Bất kỳ tài khoản DigiLocker Ấn Độ nào cũng có thể được truy cập mà không cần mật khẩu

Chính phủ Ấn Độ cho biết họ có giải quyết một lỗ hổng nghiêm trọng trong dịch vụ ví tài liệu an toàn Digilocker có khả năng cho phép kẻ tấn công từ xa bỏ qua mật khẩu một lần di động (OTP) và đăng nhập như những người dùng khác.

Được phát hiện riêng biệt bởi hai nhà nghiên cứu tiền thưởng lỗi độc lập, Mohesh Mohan và Ashish Gahlot, lỗ hổng có thể bị khai thác dễ dàng để truy cập các tài liệu nhạy cảm được tải lên bởi người dùng mục tiêu trên nền tảng do Chính phủ điều hành.

“Chức năng OTP thiếu ủy quyền cho phép thực hiện xác thực OTP bằng cách gửi bất kỳ chi tiết người dùng hợp lệ nào và sau đó thao tác luồng để đăng nhập như một người dùng hoàn toàn khác”, Mohesh Mohan nói trong một tiết lộ được chia sẻ với The Hacker News.

 

Với hơn 38 triệu người dùng đã đăng ký, Digilocker là một kho lưu trữ dựa trên đám mây hoạt động như một nền tảng kỹ thuật số để tạo điều kiện xử lý tài liệu trực tuyến và cung cấp nhanh hơn các dịch vụ khác nhau cho chính phủ. Nó được liên kết với số điện thoại di động của người dùng và ID Aadhar một số nhận dạng duy nhất (UID) được cấp cho mọi cư dân của Ấn Độ.

 

Theo Mohan, tất cả những kẻ tấn công cần biết là ID Aadhaar của nạn nhân hoặc số điện thoại di động được liên kết hoặc tên người dùng để truy cập trái phép vào tài khoản Digilocker được nhắm mục tiêu, khiến dịch vụ gửi OTP và sau đó khai thác lỗ hổng để bỏ qua quá trình đăng nhập.

Điều đáng chú ý là phiên bản ứng dụng di động của Digilocker cũng đi kèm với mã PIN gồm 4 chữ số để tăng thêm lớp bảo mật. Nhưng các nhà nghiên cứu cho biết có thể sửa đổi các lệnh gọi API để xác thực mã PIN bằng cách liên kết mã PIN với người dùng khác (được xác định bằng UUID phiên bản-5) và đăng nhập thành công với tư cách là nạn nhân.

 

Điều này có nghĩa là “bạn có thể thực hiện SMS OTP (xác minh) với tư cách là một người dùng và gửi mã pin của người dùng thứ hai và cuối cùng, bạn sẽ kết thúc việc đăng nhập với tư cách là người dùng thứ hai”, Mohan nói.

Hơn nữa, việc thiếu ủy quyền cho điểm cuối API được sử dụng để đặt mã PIN bí mật ngụ ý hiệu quả API có thể được khai thác để đặt lại mã PIN được liên kết với người dùng ngẫu nhiên bằng UUID của cá nhân.

“Không có thông tin liên quan đến phiên trên yêu cầu POST, vì vậy nó không bị ràng buộc với bất kỳ người dùng nào”, Mohan nói thêm.

 

Ngoài các vấn đề được đề cập ở trên, các lệnh gọi API từ ứng dụng di động được bảo mật bằng xác thực cơ bản có thể tránh được bằng cách xóa cờ tiêu đề “is_encrypted: 1.” Ứng dụng này cũng được phát hiện để thực hiện cơ chế ghim SSL yếu, khiến chúng dễ bị bỏ qua khi sử dụng các công cụ như Frida.

Sau khi lỗ hổng được báo cáo với CERT-In vào ngày 10 tháng 5 bởi Mohan và DigiLocker vào ngày 16 tháng 5 bởi Ashish, cơ quan mạng cho biết vấn đề đã được khắc phục vào ngày 28 tháng 5.

“Bản chất của lỗ hổng là tài khoản DigiLocker của một cá nhân có khả năng bị xâm phạm nếu kẻ tấn công biết tên người dùng cho tài khoản cụ thể đó,” Digilocker nói trong một tweet tuần trước thừa nhận lỗ hổng. “Đó không phải là một lỗ hổng có thể cho phép bất cứ ai có quyền truy cập vào (tài khoản) DigiLocker của bất kỳ ai có tên người dùng và các chi tiết khác không được biết đến.”

“Sau khi phân tích, người ta đã phát hiện ra rằng lỗ hổng này đã xuất hiện trong mã khi một số tính năng mới được thêm vào gần đây. Lỗ hổng này đã được nhóm kỹ thuật vá trên cơ sở ưu tiên trong một ngày nhận được cảnh báo từ CERT-In. Đây không phải là một cuộc tấn công vào cơ sở hạ tầng và không có dữ liệu, cơ sở dữ liệu, lưu trữ hoặc mã hóa nào bị xâm phạm “, nhóm nghiên cứu cho biết thêm.

Cảnh sát Ukraine bắt giữ Hacker đã thử bán hàng tỷ hồ sơ bị đánh cắp

 

Cảnh sát Ukraine đã bắt giữ một hacker đã gây chú ý vào tháng 1 năm ngoái bằng cách đăng một cơ sở dữ liệu khổng lồ chứa khoảng 773 triệu địa chỉ email bị đánh cắp và 21 triệu mật khẩu văn bản gốc duy nhất để bán trên các diễn đàn hack ngầm khác nhau.

Trong một tuyên bố chính thức được công bố vào thứ ba, Dịch vụ An ninh Ukraine (SBU) cho biết họ đã xác định được tin tặc đứng sau bút danh “Sanix”, là cư dân của vùng Ivano-Frankivsk của Ukraine, nhưng nó không tiết lộ danh tính thực sự của anh ta các phương tiện truyền thông.

 

Vào tháng 1 năm ngoái, tin tặc đã cố bán cơ sở dữ liệu khổng lồ 87 gigabyte được dán nhãn là “mảng dữ liệu bị đánh cắp lớn nhất trong lịch sử”, theo các chuyên gia bảo mật, chỉ là một phần dữ liệu bị đánh cắp mà Sanix thu thập được.

 

Theo các nhà chức trách, Sanix có ít nhất 6 cơ sở dữ liệu mật khẩu bị đánh cắp và bị phá vỡ tương tự, với tổng kích thước terabyte, bao gồm hàng tỷ số điện thoại, chi tiết thẻ thanh toán và số An sinh xã hội.

Bên cạnh thông tin đăng nhập email, cơ sở dữ liệu còn chứa mã PIN thẻ ngân hàng, ví điện tử về tiền điện tử, tài khoản PayPal và thông tin về các máy tính bị hack để sử dụng thêm trong botnet và để khởi động các cuộc tấn công từ chối dịch vụ phân tán (DDoS), SBU cho biết.

 

Vào thời điểm đó, Sanix cung cấp quyền truy cập “trọn đời” vào cơ sở dữ liệu bị đánh cắp với số tiền khiêm tốn từ 45 đến 65 đô la.

Các dữ liệu bị đánh cắp bao gồm dữ liệu cá nhân và tài chính từ cư dân của các quốc gia khác nhau, bao gồm Liên minh châu Âu và Bắc Mỹ, các nhà chức trách cho biết.

 

Tìm kiếm tại nơi cư trú của anh ta đã dẫn đến việc thu giữ thiết bị máy tính với 2 terabyte dữ liệu bị đánh cắp, điện thoại có bằng chứng về các hoạt động bất hợp pháp và hơn 10.000 đô la tiền mặt từ các giao dịch bất hợp pháp. 190.000 hryvnias của Ukraine (~ 7.100 đô la) và hơn 3.000 đô la.

Sanix hiện đang phải đối mặt với cáo buộc hình sự của Ukraine về việc can thiệp trái phép vào máy tính và bán hoặc phổ biến trái phép thông tin với quyền truy cập hạn chế được lưu trữ trong máy tính.

Nếu bị kết tội, sự kết hợp của hai tội danh này có thể dẫn đến 8 năm tù theo Bộ luật hình sự của Ukraine.

 

Bạn có thể xem video về hoạt động bắt giữ của Sanix, được thực hiện cùng với cảnh sát mạng, điều tra viên của Cảnh sát Quốc gia dưới sự hướng dẫn tố tụng của công tố viên.

 

Lỗ hổng Bluetooth mới cho thấy hàng tỷ thiết bị cho tin tặc

 

Các học giả từ École Polytechnique Fédérale de Lausanne (EPFL) tiết lộ một lỗ hổng bảo mật trong Bluetooth có khả năng cho phép kẻ tấn công giả mạo một thiết bị được ghép nối từ xa, phơi bày hàng tỷ thiết bị hiện đại cho tin tặc.

Các cuộc tấn công, được đặt tên là Tấn công giả mạo Bluetooth hoặc BIAS, liên quan đến Bluetooth Classic, hỗ trợ Tốc độ cơ bản (BR) và Tốc độ dữ liệu nâng cao (EDR) để truyền dữ liệu không dây giữa các thiết bị.

“Thông số kỹ thuật Bluetooth chứa các lỗ hổng cho phép thực hiện các cuộc tấn công mạo danh trong quá trình thiết lập kết nối an toàn”, các nhà nghiên cứu nêu trong bài báo. “Các lỗ hổng như vậy bao gồm việc thiếu xác thực lẫn nhau bắt buộc, chuyển đổi vai trò quá mức cho phép và hạ cấp thủ tục xác thực.”

Trước tác động rộng rãi của lỗ hổng, các nhà nghiên cứu cho biết họ có trách nhiệm tiết lộ những phát hiện cho Nhóm quan tâm đặc biệt Bluetooth (SIG), tổ chức giám sát sự phát triển của các tiêu chuẩn Bluetooth, vào tháng 12 năm 2019.

 

Bluetooth SIG thừa nhận lỗ hổng, thêm vào đó đã thực hiện các thay đổi để giải quyết lỗ hổng. “Những thay đổi này sẽ được đưa vào bản sửa đổi đặc điểm kỹ thuật trong tương lai,” SIG nói.

Cuộc tấn công BIAS

 

Để BIAS thành công, một thiết bị tấn công cần phải nằm trong phạm vi không dây của thiết bị Bluetooth dễ bị tấn công trước đó đã thiết lập kết nối BR / EDR với một thiết bị Bluetooth khác có kẻ tấn công biết địa chỉ.

Lỗ hổng bắt nguồn từ cách hai thiết bị được ghép nối trước đó xử lý khóa dài hạn, còn được gọi là khóa liên kết, được sử dụng để xác thực lẫn nhau các thiết bị và kích hoạt kết nối an toàn giữa chúng.

 

Khóa liên kết cũng đảm bảo rằng người dùng không phải ghép nối thiết bị của mình mỗi khi xảy ra quá trình truyền dữ liệu giữa tai nghe không dây và điện thoại hoặc giữa hai máy tính xách tay.

Kẻ tấn công, sau đó, có thể khai thác lỗi để yêu cầu kết nối với thiết bị dễ bị tổn thương bằng cách giả mạo địa chỉ Bluetooth của đầu bên kia và ngược lại, do đó giả mạo danh tính và có quyền truy cập đầy đủ vào thiết bị khác mà không thực sự sở hữu khóa ghép nối dài hạn được sử dụng để thiết lập kết nối.

Nói cách khác, cuộc tấn công cho phép một diễn viên xấu mạo danh địa chỉ của một thiết bị được ghép nối trước đó với thiết bị đích.

 

Hơn nữa, BIAS có thể được kết hợp với các cuộc tấn công khác, bao gồm cả cuộc tấn công KNOB (Đàm phán chính của Bluetooth), xảy ra khi bên thứ ba buộc hai hoặc nhiều nạn nhân đồng ý về khóa mã hóa với entropy giảm, do đó cho phép kẻ tấn công vũ phu- buộc khóa mã hóa và sử dụng nó để giải mã thông tin liên lạc.

Thiết bị không được cập nhật kể từ tháng 12 năm 2019 bị ảnh hưởng

 

Với hầu hết các thiết bị Bluetooth tuân thủ tiêu chuẩn bị ảnh hưởng bởi lỗ hổng này, các nhà nghiên cứu cho biết họ đã thử nghiệm cuộc tấn công chống lại tới 30 thiết bị, bao gồm điện thoại thông minh, máy tính bảng, máy tính xách tay, tai nghe và máy tính bảng đơn như Raspberry Pi. Tất cả các thiết bị được phát hiện là dễ bị tấn công BIAS.

Bluetooth SIG cho biết họ đang cập nhật Thông số kỹ thuật Bluetooth Core để “tránh việc hạ cấp các kết nối an toàn thành mã hóa cũ”, cho phép kẻ tấn công khởi tạo “một công tắc vai trò chủ nô để đặt chính nó vào vai trò chủ và trở thành người khởi tạo xác thực.”

Ngoài việc kêu gọi các công ty áp dụng các bản vá cần thiết, tổ chức này đang khuyến nghị người dùng Bluetooth cài đặt các bản cập nhật mới nhất từ ​​các nhà sản xuất thiết bị và hệ điều hành.

“Các cuộc tấn công BIAS là các vấn đề phát hiện đầu tiên liên quan đến các quy trình xác thực thiết lập kết nối an toàn của Bluetooth, chuyển đổi vai trò đối nghịch và hạ cấp Kết nối an toàn”, nhóm nghiên cứu kết luận. “Các cuộc tấn công BIAS là lén lút, vì thiết lập kết nối an toàn Bluetooth không yêu cầu tương tác người dùng.”

 

. (tagsToTranslate) hack bluetooth (t) hack Bluetooth (t) lỗ hổng bluetooth (t) Internet of Things (t) hack điện thoại thông minh (t) Lỗ hổng

Phần mềm độc hại ComRAT mới sử dụng Gmail để nhận lệnh và lọc dữ liệu

 

Các nhà nghiên cứu bảo mật không gian mạng hôm nay đã phát hiện ra một phiên bản mới của cửa hậu ComRAT, một trong những cửa hậu được biết đến sớm nhất được sử dụng bởi nhóm Turla APT, tận dụng giao diện web của Gmail để nhận các lệnh và lọc dữ liệu nhạy cảm.

“ComRAT v4 được nhìn thấy lần đầu tiên vào năm 2017 và vẫn được sử dụng gần đây vào tháng 1 năm 2020″, công ty an ninh mạng ESET cho biết trong một báo cáo được chia sẻ với The Hacker News. “Chúng tôi đã xác định được ít nhất ba mục tiêu: hai Bộ Ngoại giao ở Đông Âu và một quốc hội ở khu vực Kavkaz.”

Turla, còn được gọi là Snake, đã hoạt động trong hơn một thập kỷ với lịch sử lâu dài về các lỗ tưới nước và các chiến dịch lừa đảo chống lại các đại sứ quán và các tổ chức quân sự ít nhất là từ năm 2004.

Nền tảng gián điệp của nhóm bắt đầu với tên Agent.BTZ, vào năm 2007, trước khi nó phát triển thành ComRAT, ngoài việc có được các khả năng bổ sung để đạt được sự bền bỉ và đánh cắp dữ liệu từ mạng cục bộ.

 

Hiện tại, người ta biết rằng các phiên bản trước đó của Agent.BTZ chịu trách nhiệm lây nhiễm các mạng lưới quân sự của Mỹ ở Trung Đông vào năm 2008. Trong những năm gần đây, Turla được cho là đứng sau sự thỏa hiệp của Lực lượng Vũ trang Pháp năm 2018 và Bộ Ngoại giao Áo sớm Năm nay.

 

Các phiên bản mới hơn của cửa hậu ComRAT đã bỏ qua Đại lý. Cơ chế lây nhiễm thanh USB của BTZ có lợi cho việc tự tiêm vào mọi quy trình của máy bị nhiễm và thực hiện tải trọng chính của nó trong “explorer.exe”.

Có gì mới trong ComRAT v4?

 

Theo ESET, ComRAT v4 (hay “Chinch”), vì người kế nhiệm mới được gọi, sử dụng một cơ sở mã hoàn toàn mới và phức tạp hơn nhiều so với các biến thể trước đó của nó, theo ESET. Công ty cho biết mẫu phần mềm độc hại được biết đến đầu tiên được phát hiện vào tháng 4/2017.

ComRAT thường được cài đặt thông qua PowerStallion, một cửa hậu PowerShell nhẹ được Turla sử dụng để cài đặt các cửa hậu khác. Ngoài ra, trình tải PowerShell đưa một mô-đun có tên là bộ điều phối ComRAT vào trình duyệt web, sử dụng hai kênh khác nhau – chế độ email và chế độ email – để nhận lệnh từ máy chủ C2 và cung cấp thông tin cho nhà khai thác.

“Công dụng chính của ComRAT là khám phá, đánh cắp và làm lộ ra các tài liệu bí mật”, các nhà nghiên cứu cho biết. “Trong một trường hợp, các nhà khai thác của nó thậm chí đã triển khai một tệp thực thi .NET để tương tác với cơ sở dữ liệu MS SQL Server trung tâm của nạn nhân có chứa các tài liệu của tổ chức.”

 

Hơn nữa, tất cả các tệp liên quan đến ComRAT, ngoại trừ DLL của bộ điều phối và tác vụ theo lịch trình để duy trì, được lưu trữ trong một hệ thống tệp ảo (VFS).

Chế độ “thư” hoạt động bằng cách đọc địa chỉ email và cookie xác thực có trong VFS, kết nối với chế độ xem HTML cơ bản của Gmail và phân tích trang HTML hộp thư đến (sử dụng trình phân tích cú pháp Gumbo HTML) để lấy danh sách email có dòng chủ đề phù hợp với những người trong tệp “topic.str” trong VFS.

 

Đối với mỗi email đáp ứng các tiêu chí trên, comRAT tiến hành bằng cách tải xuống các tệp đính kèm (ví dụ: “document.docx,” http://feedproxy.google.com/ “Documents.xlsx”) và xóa các email để tránh xử lý chúng lần thứ hai.

Mặc dù có định dạng “.docx” và “.xlsx” trong tên tệp, nhưng tệp đính kèm không phải là tài liệu mà là các đốm dữ liệu được mã hóa bao gồm một lệnh cụ thể được thực thi: đọc / ghi tệp, thực thi các quy trình bổ sung và thu thập nhật ký .

Trong giai đoạn cuối cùng, kết quả thực hiện lệnh được mã hóa và lưu trữ trong tệp đính kèm (với phần mở rộng kép “.jpg.bfe”), sau đó được gửi dưới dạng email đến địa chỉ đích được chỉ định trong “answer_addr.str” Tập tin VFS.

Mặt khác, chế độ “di sản” sử dụng cơ sở hạ tầng C2 đã có (ComRAT v3.x) để phát lệnh từ xa, kết quả được nén và truyền đến dịch vụ đám mây như Microsoft OneDrive hoặc 4Shared.

Dữ liệu được lọc ra bao gồm các chi tiết người dùng và các tệp nhật ký liên quan đến bảo mật để kiểm tra xem các mẫu phần mềm độc hại của chúng có được phát hiện trong quá trình quét các hệ thống bị nhiễm hay không.

Dựa trên các mẫu phân phối email của Gmail trong khoảng thời gian một tháng, ESET cho biết các nhà khai thác đằng sau chiến dịch đang làm việc trong các múi giờ UTC + 3 hoặc UTC + 4.

“Phiên bản bốn của ComRAT là một gia đình phần mềm độc hại hoàn toàn được phát hành vào năm 2017,” nhà nghiên cứu ESET Matthieu Faou nói. “Các tính năng thú vị nhất của nó là Hệ thống tệp ảo ở định dạng FAT16 và khả năng sử dụng giao diện người dùng web Gmail để nhận lệnh và lọc dữ liệu. Do đó, nó có thể bỏ qua một số kiểm soát bảo mật vì nó không phụ thuộc vào bất kỳ miền độc hại nào. ”

. (tagsToTransTable) phần mềm độc hại cửa sau (t) virus máy tính (t) Cyber ​​Attack (t) gián điệp mạng (t) hack email (t) gmail (t) hack tin tức (t) Phần mềm độc hại