„Zero-day“ ранливост во Google: Хакери тврдат дека имаат пристап до Gmail дури и по промена на лозинката

За 1.000 долари месечно, наводно може да се добие пристап до поштенските сандачиња на жртвите во Gmail, дури и откако тие ќе ги сменат лозинките на Google. Барем така тврдат хакерите.

Развивачите на малициозниот софтвер за кражба на информации (infostealer) наречен Remus Stealer тврдат дека една од неговите функционалности им овозможува на операторите да ги пресретнуваат кодовите за потврда испратени преку е-пошта, без притоа да ги крадат датотеките со колачиња (browser cookies) од прелистувачот. Наводно, малициозниот софтвер го задржува и пристапот до поштенското сандаче дури и по промена на лозинката и отповикување на активните сесии.

Рекламираната функционалност им овозможува на операторите директно да пребаруваат низ поштенското сандаче на жртвата, преку контролната табла на Remus за управување со украдените податоци од компромитираните уреди.

Снимките од екранот објавени од компанијата за сајбер-безбедност Hudson Rock, која прва извести за малициозниот софтвер, прикажуваат е-пораки, испраќачи, временски ознаки и опција за споделување на пристапот до поштенското сандаче со други оператори.

Операторите на малициозниот софтвер можат да изберат лог од компромитиран компјутер, да го отворат поврзаното поштенско сандаче, да пребаруваат низ пораките и да го споделуваат пристапот до сандачето преку самата услуга.

„Разговаравме директно со развивачот и со лице кое јавно ја потврдува веродостојноста на услугата. Развивачот тврди дека малициозниот софтвер комуницира со меморијата на прелистувачот, ја извршува потребната операција и потоа се исклучува“, напиша коосновачот на Hudson Rock, Alon Gal, во објава на LinkedIn.

„Клиентот тврди дека пристапот до поштенското сандаче продолжува и по затворањето на прелистувачот, па дури и по промената на лозинката на Google. Развивачот ја нарекува оваа функционалност Gmail „zero-day“ ранливост“, додаде тој.

Доколку рекламираната можност за задржување на пристапот функционира како што е опишано, напаѓачите би можеле да продолжат да добиваат линкови за ресетирање лозинки и пораки со кодови за потврда. Тоа потенцијално би им овозможило да преземат контрола и врз други поврзани кориснички сметки, што претставува сериозен безбедносен ризик за корисниците.

Побаравме коментар од Google во врска со случајот и ќе ја ажурираме статијата веднаш штом добиеме одговор.

Како Remus може да го задржи пристапот до Gmail?

Remus може да добие или да воспостави авторизација што може повторно да се користи додека жртвата е најавена на Gmail преку компромитиран прелистувач. На прашањето како функционира оваа функција, развивачот на Remus посочил дека софтверот комуницира со меморијата на прелистувачот, а потоа се извршува и се исклучува.

Овој механизам би објаснил како пристапот до поштенското сандаче може да продолжи и без оригиналната извршна датотека постојано да работи. Сепак, тоа не објаснува автоматски зошто пристапот би се задржал и по ефективното поништување на украдената авторизација.

Развивачот, исто така, тврди дека клиентите ја потврдиле ефикасноста на функцијата и дека таа ги заобиколува безбедносните проверки на Google против измами.

„Најверојатното општо објаснување е дека Remus добива или воспоставува авторизација што може повторно да се користи додека има пристап до прелистувач во кој корисникот е најавен. Потоа, оддалечена компонента може да испраќа барања за пристап до поштата и откако локалната извршна датотека ќе престане да работи, сè додека услугата ја прифаќа таа авторизација“, соопштија истражувачите на Hudson Rock.

Промената на лозинката можеби не е доволна

Според Hudson Rock, промената на лозинката за Google останува суштински чекор во процесот на враќање на безбедноста на сметката, но жртвите на инфекции со инфокрадци (infostealers) треба да ги проверат и другите начини на кои напаѓачот би можел да го задржи пристапот.

Безбедносните тимови треба да ги преземат следниве чекори:

• Да го изолираат заразениот компјутер и целосно да го отстранат малициозниот софтвер пред повторно да го користат за пристап до сметки на кои им се верува.
• Да ги променат компромитираните лозинки од друг, чист и безбеден уред.
• Да ги проверат уредите на кои е најавена сметката и да ги отповикаат сомнителните сесии и пристапот на апликации од трети страни.
• Да ги проверат правилата за препраќање пораки во Gmail, филтрите, поставките за делегирање и далечинскиот пристап до поштата, за да откријат неовластени промени.
• Да ги проверат методите за обновување на сметката и неодамнешната безбедносна активност.
• Да ги заштитат и другите сметки што ја користат компромитираната е-пошта за ресетирање лозинки или за верификација.

Извори:

• Cybernews – Google’s “zero-day”: Attackers say they have access to Gmail even after password change Cybernews