Bất kỳ tài khoản DigiLocker Ấn Độ nào cũng có thể được truy cập mà không cần mật khẩu

Chính phủ Ấn Độ cho biết họ có giải quyết một lỗ hổng nghiêm trọng trong dịch vụ ví tài liệu an toàn Digilocker có khả năng cho phép kẻ tấn công từ xa bỏ qua mật khẩu một lần di động (OTP) và đăng nhập như những người dùng khác.

Được phát hiện riêng biệt bởi hai nhà nghiên cứu tiền thưởng lỗi độc lập, Mohesh Mohan và Ashish Gahlot, lỗ hổng có thể bị khai thác dễ dàng để truy cập các tài liệu nhạy cảm được tải lên bởi người dùng mục tiêu trên nền tảng do Chính phủ điều hành.

“Chức năng OTP thiếu ủy quyền cho phép thực hiện xác thực OTP bằng cách gửi bất kỳ chi tiết người dùng hợp lệ nào và sau đó thao tác luồng để đăng nhập như một người dùng hoàn toàn khác”, Mohesh Mohan nói trong một tiết lộ được chia sẻ với The Hacker News.

 

Với hơn 38 triệu người dùng đã đăng ký, Digilocker là một kho lưu trữ dựa trên đám mây hoạt động như một nền tảng kỹ thuật số để tạo điều kiện xử lý tài liệu trực tuyến và cung cấp nhanh hơn các dịch vụ khác nhau cho chính phủ. Nó được liên kết với số điện thoại di động của người dùng và ID Aadhar một số nhận dạng duy nhất (UID) được cấp cho mọi cư dân của Ấn Độ.

 

Theo Mohan, tất cả những kẻ tấn công cần biết là ID Aadhaar của nạn nhân hoặc số điện thoại di động được liên kết hoặc tên người dùng để truy cập trái phép vào tài khoản Digilocker được nhắm mục tiêu, khiến dịch vụ gửi OTP và sau đó khai thác lỗ hổng để bỏ qua quá trình đăng nhập.

Điều đáng chú ý là phiên bản ứng dụng di động của Digilocker cũng đi kèm với mã PIN gồm 4 chữ số để tăng thêm lớp bảo mật. Nhưng các nhà nghiên cứu cho biết có thể sửa đổi các lệnh gọi API để xác thực mã PIN bằng cách liên kết mã PIN với người dùng khác (được xác định bằng UUID phiên bản-5) và đăng nhập thành công với tư cách là nạn nhân.

 

Điều này có nghĩa là “bạn có thể thực hiện SMS OTP (xác minh) với tư cách là một người dùng và gửi mã pin của người dùng thứ hai và cuối cùng, bạn sẽ kết thúc việc đăng nhập với tư cách là người dùng thứ hai”, Mohan nói.

Hơn nữa, việc thiếu ủy quyền cho điểm cuối API được sử dụng để đặt mã PIN bí mật ngụ ý hiệu quả API có thể được khai thác để đặt lại mã PIN được liên kết với người dùng ngẫu nhiên bằng UUID của cá nhân.

“Không có thông tin liên quan đến phiên trên yêu cầu POST, vì vậy nó không bị ràng buộc với bất kỳ người dùng nào”, Mohan nói thêm.

 

Ngoài các vấn đề được đề cập ở trên, các lệnh gọi API từ ứng dụng di động được bảo mật bằng xác thực cơ bản có thể tránh được bằng cách xóa cờ tiêu đề “is_encrypted: 1.” Ứng dụng này cũng được phát hiện để thực hiện cơ chế ghim SSL yếu, khiến chúng dễ bị bỏ qua khi sử dụng các công cụ như Frida.

Sau khi lỗ hổng được báo cáo với CERT-In vào ngày 10 tháng 5 bởi Mohan và DigiLocker vào ngày 16 tháng 5 bởi Ashish, cơ quan mạng cho biết vấn đề đã được khắc phục vào ngày 28 tháng 5.

“Bản chất của lỗ hổng là tài khoản DigiLocker của một cá nhân có khả năng bị xâm phạm nếu kẻ tấn công biết tên người dùng cho tài khoản cụ thể đó,” Digilocker nói trong một tweet tuần trước thừa nhận lỗ hổng. “Đó không phải là một lỗ hổng có thể cho phép bất cứ ai có quyền truy cập vào (tài khoản) DigiLocker của bất kỳ ai có tên người dùng và các chi tiết khác không được biết đến.”

“Sau khi phân tích, người ta đã phát hiện ra rằng lỗ hổng này đã xuất hiện trong mã khi một số tính năng mới được thêm vào gần đây. Lỗ hổng này đã được nhóm kỹ thuật vá trên cơ sở ưu tiên trong một ngày nhận được cảnh báo từ CERT-In. Đây không phải là một cuộc tấn công vào cơ sở hạ tầng và không có dữ liệu, cơ sở dữ liệu, lưu trữ hoặc mã hóa nào bị xâm phạm “, nhóm nghiên cứu cho biết thêm.

Các ứng dụng Android trong Cửa hàng Google Play Tận dụng sự bùng phát của coronavirus

 

Trước những lo ngại công khai, sự bùng phát coronavirus đang diễn ra đang chứng tỏ là cơ hội cho những kẻ tấn công thực hiện một loạt các cuộc tấn công phần mềm độc hại, các chiến dịch lừa đảo và tạo các trang web lừa đảo và các ứng dụng theo dõi độc hại.

Giờ đây, trong một bước ngoặt mới, các nhà phát triển ứng dụng Android của bên thứ ba cũng đã bắt đầu tận dụng tình huống này để sử dụng các từ khóa liên quan đến coronavirus trong tên ứng dụng, mô tả hoặc trong tên gói để loại bỏ phần mềm độc hại, duy trì hành vi trộm cắp tài chính và xếp hạng cao hơn trong các tìm kiếm trên Cửa hàng Google Play liên quan đến chủ đề.

“Hầu hết các ứng dụng độc hại được tìm thấy là các mối đe dọa bó từ phần mềm ransomware đến phần mềm độc hại gửi SMS và thậm chí phần mềm gián điệp được thiết kế để dọn sạch nội dung của thiết bị nạn nhân để lấy dữ liệu cá nhân hoặc tài chính”, các nhà nghiên cứu Bitdefender cho biết trong báo cáo phân tích từ xa được chia sẻ với The Hacker Tin tức.

 

Phát hiện của Bitdefender là phát hiện mới nhất trong một loạt các mối đe dọa kỹ thuật số đang cõng trên đại dịch coronavirus.

Sử dụng các từ khóa liên quan đến coronavirus để xếp hạng trong tìm kiếm trên cửa hàng trò chơi

 

Khi mọi người ngày càng tìm kiếm các ứng dụng cung cấp thông tin về COVID-19, các tác giả phần mềm độc hại đã lẻn vào phần mềm quảng cáo, trojan ngân hàng (ví dụ: Anubis, Cerberus, Joker) và kẻ đánh cắp thông tin dưới vỏ bọc của ứng dụng theo dõi trực tiếp và những người giúp xác định người dùng phổ biến triệu chứng của bệnh.

 

“Kể từ ngày 1 tháng 1 năm 2020, chúng tôi đã tìm thấy 579 ứng dụng có chứa các từ khóa liên quan đến coronavirus trong bảng kê khai của họ (tên gói, hoạt động, máy thu, v.v.)”, các nhà nghiên cứu quan sát.

“Điều này có nghĩa là một thành phần chính của ứng dụng được đặt tên theo cách – hoặc ứng dụng chứa các chuỗi – liên quan đến sự bùng phát gần đây. Trong tổng số, 560 sạch, 9 là Trojans và 10 là Rủi ro.”

Hơn nữa, một số ứng dụng như Bubble Shooter Merge và Galaxy Shooter – Falcon Squad thậm chí đã thay đổi tên và mô tả của họ để điều trị đại dịch coronavirus bằng cách bao gồm các từ khóa đảm bảo ứng dụng của họ xếp hạng cao hơn khi mọi người tìm kiếm coronavirus trong cửa hàng Google Play.

 

 

Điều này bất chấp chính sách nghiêm ngặt của Google đối với việc tận dụng các sự kiện nhạy cảm và các điều chỉnh của nó đối với kết quả tìm kiếm của Google Play để cố tình lọc các ứng dụng độc hại tiềm ẩn khi tìm kiếm các từ khóa như “corona” hoặc “coronavirus”.

COVID-19 Tấn công theo chủ đề Galore

 

Từ các cuộc tấn công mạng đến lừa đảo, từ email tống tiền đến các trang web độc hại, một danh sách dài các mối đe dọa kỹ thuật số đã tận dụng sự bùng phát của coronavirus trong những tuần gần đây. Rõ ràng là các cuộc tấn công này khai thác nỗi sợ coronavirus và sự thèm khát thông tin về sự bùng phát của mọi người.

• Hack bộ định tuyến – Một vụ hack được phát hiện gần đây đã nhắm mục tiêu các bộ định tuyến văn phòng nhỏ và gia đình để chuyển hướng người dùng đến các trang web độc hại đóng vai trò là tài nguyên thông tin COVID-19 trong nỗ lực cài đặt phần mềm độc hại “Oski” đánh cắp mật khẩu và thông tin xác thực tiền điện tử.
• Lừa đảo qua email và lừa đảo – Các email spam liên quan đến mối quan tâm về sức khỏe đã chiếm gần 2,5% tổng khối lượng thư rác, cho thấy các vụ lừa đảo qua email liên quan đến đại dịch đã tăng đều đặn chỉ trong tháng ba. Hơn nữa, ít nhất 42.578 tên miền “covid” hoặc “corona” đã được đăng ký mới kể từ đầu tháng, với hơn 2.500 tên miền mới được đăng ký trung bình mỗi ngày trong hai tuần qua.
• Spear Phishing tấn công – Những kẻ tấn công đã được tìm thấy tích cực lạm dụng tên và logo của nhiều công ty và tổ chức trong các chiến dịch tống tiền và lừa đảo, bao gồm Tổ chức Y tế Thế giới (WHO) và Trung tâm Kiểm soát Bệnh tật Hoa Kỳ (CDC) và gửi các tài liệu RTF được chế tạo đặc biệt trong một nỗ lực. để lừa đảo nạn nhân của họ để tải xuống kẻ đánh cắp thông tin, trojan truy cập từ xa (RAT), người thu hoạch thông tin.
• Tấn công Ransomware – Tội phạm mạng đằng sau ransomware Maze đã tấn công mạng CNTT của Hammersmith Thuốc nghiên cứu (HMR), một cơ sở y tế ở chế độ chờ để giúp thực hiện thử nghiệm bất kỳ vắc-xin coronavirus nào có thể, và công bố chi tiết cá nhân của hàng ngàn bệnh nhân cũ sau khi công ty từ chối trả tiền chuộc . Sự phát triển diễn ra sau khi nhóm tội phạm mạng đưa ra lời hứa công khai không tấn công các tổ chức nghiên cứu y tế trong đại dịch coronavirus.
• Ứng dụng giả – Đã có sự gia tăng các chiến dịch lừa đảo và các ứng dụng lừa đảo nhằm mục đích bán thuốc chữa bệnh coronavirus hoặc mặt nạ, hoặc yêu cầu đầu tư vào các công ty lừa đảo tuyên bố đang phát triển vắc-xin hoặc kêu gọi người dùng quyên góp cho các tổ chức từ thiện giả.
• Phần mềm độc hại ngân hàng và hack thẻ thanh toán – Các nhà điều hành của Trojan ngân hàng Ginp bắt đầu sử dụng thông tin về những người bị nhiễm coronavirus làm mồi nhử để dụ người dùng Android ở Tây Ban Nha cung cấp dữ liệu thẻ tín dụng.

Cách tự bảo vệ mình

 

Tất cả các cuộc tấn công này đã khiến Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) đưa ra cảnh báo về sự gia tăng của các vụ lừa đảo có chủ đề coronavirus và Tổ chức Y tế Thế giới (WHO) đưa ra cảnh báo về các hành vi lừa đảo mạo danh tổ chức của họ.

Để bảo vệ khỏi các mối đe dọa như vậy, chúng tôi luôn khuyến nghị người dùng chỉ cài đặt ứng dụng từ các thị trường hợp pháp, chỉ tìm kiếm thông tin từ các nguồn chính thức và cảnh giác với bất kỳ email nào cố gắng để người nhận mở tệp đính kèm hoặc nhấp vào liên kết.

FBI cũng đã đưa ra một lời khuyên, kêu gọi người dùng coi chừng các email CDC giả và email lừa đảo yêu cầu người nhận xác minh thông tin cá nhân của họ –

“Những kẻ lừa đảo đang tận dụng đại dịch COVID-19 để đánh cắp tiền của bạn, thông tin cá nhân của bạn hoặc cả hai. Đừng để họ. Hãy tự bảo vệ và thực hiện nghiên cứu của bạn trước khi nhấp vào các liên kết có ý định cung cấp thông tin về virus, quyên góp cho tổ chức từ thiện trực tuyến hoặc thông qua phương tiện truyền thông xã hội, đóng góp cho chiến dịch gây quỹ, mua sản phẩm trực tuyến hoặc từ bỏ thông tin cá nhân của bạn để nhận tiền hoặc các lợi ích khác. ”

 

Tin tặc khai thác lỗi không ngày trong các thiết bị Draytek để nhắm mục tiêu mạng doanh nghiệp

 

Các nhà nghiên cứu an ninh mạng với NetLab của Qihoo 360 hôm nay đã tiết lộ chi tiết về hai chiến dịch tấn công mạng sử dụng lỗ hổng chưa được phát hiện trong các thiết bị mạng cho doanh nghiệp do DrayTek có trụ sở tại Đài Loan sản xuất.

Theo báo cáo, ít nhất hai nhóm tin tặc khác nhau đã khai thác hai lỗ hổng thực thi lệnh từ xa (CVE-2020-8515) ảnh hưởng đến các bộ chuyển mạch doanh nghiệp, bộ cân bằng tải, bộ định tuyến và thiết bị cổng VPN của DrayTek để nghe lén lưu lượng mạng và cài đặt các cửa hậu.

Các cuộc tấn công zero-day bắt đầu ở đâu đó vào cuối tháng 11 năm ngoái hoặc đầu tháng 12 và có khả năng vẫn đang tiếp diễn chống lại hàng ngàn người bị phơi bày công khai Chuyển mạch DrayTekS, Sức mạnh 2960, 3900, 300B các thiết bị chưa được vá với các bản cập nhật firmware mới nhất được phát hành vào tháng trước.

 

Các lỗ hổng zero-day trong câu hỏi có thể được khai thác bởi bất kỳ kẻ tấn công từ xa trái phép nào để tiêm và thực thi các lệnh tùy ý trên hệ thống, cũng như chi tiết bởi một nhà nghiên cứu riêng biệt trên blog của mình.

 

“Hai điểm tiêm lệnh dễ bị tổn thương trong 0 ngày là keyPath và rtick, nằm trong /www/cgi-bin/mainfeft.cgi và chương trình Máy chủ Web tương ứng là / usr / sbin / lighttpd”, báo cáo viết.

 

Các nhà nghiên cứu NetLab chưa quy kết cả hai cuộc tấn công cho bất kỳ nhóm cụ thể nào, nhưng họ đã xác nhận rằng trong khi nhóm đầu tiên chỉ đơn giản là gián điệp lưu lượng mạng, nhóm tấn công thứ hai đã sử dụng lỗ hổng tiêm lệnh rtick để tạo:

• cửa sau phiên web không bao giờ hết hạn
• Cửa hậu SSH trên các cổng TCP 22335 và 32459,
• tài khoản backlink hệ thống với người dùng “wuwuhanhan” và mật khẩu “caonimuqin.”

 

Cần lưu ý, nếu bạn vừa mới cài đặt chương trình cơ sở đã vá hoặc cài đặt ngay bây giờ, nó sẽ không tự động xóa tài khoản cửa sau trong trường hợp bạn đã bị xâm phạm.

“Chúng tôi khuyên người dùng DrayTek Vigor kiểm tra và cập nhật chương trình cơ sở của họ kịp thời và kiểm tra xem có quá trình tcpdump, tài khoản backlink SSH, backlink Web, v.v. trên hệ thống của họ không.”

“Nếu bạn có quyền truy cập từ xa được bật trên bộ định tuyến của mình, hãy tắt nó nếu bạn không cần nó và sử dụng danh sách kiểm soát truy cập nếu có thể”, công ty gợi ý.

Danh sách các phiên bản phần mềm bị ảnh hưởng như sau:

• Vigor2960 <v1.5.1
• Vigor300B <v1.5.1
• Vigor3900 <v1.5.1
• VigorSwitch20P2121 <= v2.3.2
• VigorSwitch20G1280 <= v2.3.2
• VigorSwitch20P1280 <= v2.3.2
• VigorSwitch20G2280 <= v2.3.2
• VigorSwitch20P2280 <= v2.3.2

 

Các công ty và cá nhân bị ảnh hưởng rất khuyến khích cài đặt các bản cập nhật firmware mới nhất để bảo vệ hoàn toàn các mạng có giá trị của họ trước các phần mềm độc hại và các mối đe dọa trực tuyến mới nổi.