Bất kỳ tài khoản DigiLocker Ấn Độ nào cũng có thể được truy cập mà không cần mật khẩu

Chính phủ Ấn Độ cho biết họ có giải quyết một lỗ hổng nghiêm trọng trong dịch vụ ví tài liệu an toàn Digilocker có khả năng cho phép kẻ tấn công từ xa bỏ qua mật khẩu một lần di động (OTP) và đăng nhập như những người dùng khác.

Được phát hiện riêng biệt bởi hai nhà nghiên cứu tiền thưởng lỗi độc lập, Mohesh Mohan và Ashish Gahlot, lỗ hổng có thể bị khai thác dễ dàng để truy cập các tài liệu nhạy cảm được tải lên bởi người dùng mục tiêu trên nền tảng do Chính phủ điều hành.

“Chức năng OTP thiếu ủy quyền cho phép thực hiện xác thực OTP bằng cách gửi bất kỳ chi tiết người dùng hợp lệ nào và sau đó thao tác luồng để đăng nhập như một người dùng hoàn toàn khác”, Mohesh Mohan nói trong một tiết lộ được chia sẻ với The Hacker News.

 

Với hơn 38 triệu người dùng đã đăng ký, Digilocker là một kho lưu trữ dựa trên đám mây hoạt động như một nền tảng kỹ thuật số để tạo điều kiện xử lý tài liệu trực tuyến và cung cấp nhanh hơn các dịch vụ khác nhau cho chính phủ. Nó được liên kết với số điện thoại di động của người dùng và ID Aadhar một số nhận dạng duy nhất (UID) được cấp cho mọi cư dân của Ấn Độ.

 

Theo Mohan, tất cả những kẻ tấn công cần biết là ID Aadhaar của nạn nhân hoặc số điện thoại di động được liên kết hoặc tên người dùng để truy cập trái phép vào tài khoản Digilocker được nhắm mục tiêu, khiến dịch vụ gửi OTP và sau đó khai thác lỗ hổng để bỏ qua quá trình đăng nhập.

Điều đáng chú ý là phiên bản ứng dụng di động của Digilocker cũng đi kèm với mã PIN gồm 4 chữ số để tăng thêm lớp bảo mật. Nhưng các nhà nghiên cứu cho biết có thể sửa đổi các lệnh gọi API để xác thực mã PIN bằng cách liên kết mã PIN với người dùng khác (được xác định bằng UUID phiên bản-5) và đăng nhập thành công với tư cách là nạn nhân.

 

Điều này có nghĩa là “bạn có thể thực hiện SMS OTP (xác minh) với tư cách là một người dùng và gửi mã pin của người dùng thứ hai và cuối cùng, bạn sẽ kết thúc việc đăng nhập với tư cách là người dùng thứ hai”, Mohan nói.

Hơn nữa, việc thiếu ủy quyền cho điểm cuối API được sử dụng để đặt mã PIN bí mật ngụ ý hiệu quả API có thể được khai thác để đặt lại mã PIN được liên kết với người dùng ngẫu nhiên bằng UUID của cá nhân.

“Không có thông tin liên quan đến phiên trên yêu cầu POST, vì vậy nó không bị ràng buộc với bất kỳ người dùng nào”, Mohan nói thêm.

 

Ngoài các vấn đề được đề cập ở trên, các lệnh gọi API từ ứng dụng di động được bảo mật bằng xác thực cơ bản có thể tránh được bằng cách xóa cờ tiêu đề “is_encrypted: 1.” Ứng dụng này cũng được phát hiện để thực hiện cơ chế ghim SSL yếu, khiến chúng dễ bị bỏ qua khi sử dụng các công cụ như Frida.

Sau khi lỗ hổng được báo cáo với CERT-In vào ngày 10 tháng 5 bởi Mohan và DigiLocker vào ngày 16 tháng 5 bởi Ashish, cơ quan mạng cho biết vấn đề đã được khắc phục vào ngày 28 tháng 5.

“Bản chất của lỗ hổng là tài khoản DigiLocker của một cá nhân có khả năng bị xâm phạm nếu kẻ tấn công biết tên người dùng cho tài khoản cụ thể đó,” Digilocker nói trong một tweet tuần trước thừa nhận lỗ hổng. “Đó không phải là một lỗ hổng có thể cho phép bất cứ ai có quyền truy cập vào (tài khoản) DigiLocker của bất kỳ ai có tên người dùng và các chi tiết khác không được biết đến.”

“Sau khi phân tích, người ta đã phát hiện ra rằng lỗ hổng này đã xuất hiện trong mã khi một số tính năng mới được thêm vào gần đây. Lỗ hổng này đã được nhóm kỹ thuật vá trên cơ sở ưu tiên trong một ngày nhận được cảnh báo từ CERT-In. Đây không phải là một cuộc tấn công vào cơ sở hạ tầng và không có dữ liệu, cơ sở dữ liệu, lưu trữ hoặc mã hóa nào bị xâm phạm “, nhóm nghiên cứu cho biết thêm.

Phần mềm độc hại ComRAT mới sử dụng Gmail để nhận lệnh và lọc dữ liệu

 

Các nhà nghiên cứu bảo mật không gian mạng hôm nay đã phát hiện ra một phiên bản mới của cửa hậu ComRAT, một trong những cửa hậu được biết đến sớm nhất được sử dụng bởi nhóm Turla APT, tận dụng giao diện web của Gmail để nhận các lệnh và lọc dữ liệu nhạy cảm.

“ComRAT v4 được nhìn thấy lần đầu tiên vào năm 2017 và vẫn được sử dụng gần đây vào tháng 1 năm 2020″, công ty an ninh mạng ESET cho biết trong một báo cáo được chia sẻ với The Hacker News. “Chúng tôi đã xác định được ít nhất ba mục tiêu: hai Bộ Ngoại giao ở Đông Âu và một quốc hội ở khu vực Kavkaz.”

Turla, còn được gọi là Snake, đã hoạt động trong hơn một thập kỷ với lịch sử lâu dài về các lỗ tưới nước và các chiến dịch lừa đảo chống lại các đại sứ quán và các tổ chức quân sự ít nhất là từ năm 2004.

Nền tảng gián điệp của nhóm bắt đầu với tên Agent.BTZ, vào năm 2007, trước khi nó phát triển thành ComRAT, ngoài việc có được các khả năng bổ sung để đạt được sự bền bỉ và đánh cắp dữ liệu từ mạng cục bộ.

 

Hiện tại, người ta biết rằng các phiên bản trước đó của Agent.BTZ chịu trách nhiệm lây nhiễm các mạng lưới quân sự của Mỹ ở Trung Đông vào năm 2008. Trong những năm gần đây, Turla được cho là đứng sau sự thỏa hiệp của Lực lượng Vũ trang Pháp năm 2018 và Bộ Ngoại giao Áo sớm Năm nay.

 

Các phiên bản mới hơn của cửa hậu ComRAT đã bỏ qua Đại lý. Cơ chế lây nhiễm thanh USB của BTZ có lợi cho việc tự tiêm vào mọi quy trình của máy bị nhiễm và thực hiện tải trọng chính của nó trong “explorer.exe”.

Có gì mới trong ComRAT v4?

 

Theo ESET, ComRAT v4 (hay “Chinch”), vì người kế nhiệm mới được gọi, sử dụng một cơ sở mã hoàn toàn mới và phức tạp hơn nhiều so với các biến thể trước đó của nó, theo ESET. Công ty cho biết mẫu phần mềm độc hại được biết đến đầu tiên được phát hiện vào tháng 4/2017.

ComRAT thường được cài đặt thông qua PowerStallion, một cửa hậu PowerShell nhẹ được Turla sử dụng để cài đặt các cửa hậu khác. Ngoài ra, trình tải PowerShell đưa một mô-đun có tên là bộ điều phối ComRAT vào trình duyệt web, sử dụng hai kênh khác nhau – chế độ email và chế độ email – để nhận lệnh từ máy chủ C2 và cung cấp thông tin cho nhà khai thác.

“Công dụng chính của ComRAT là khám phá, đánh cắp và làm lộ ra các tài liệu bí mật”, các nhà nghiên cứu cho biết. “Trong một trường hợp, các nhà khai thác của nó thậm chí đã triển khai một tệp thực thi .NET để tương tác với cơ sở dữ liệu MS SQL Server trung tâm của nạn nhân có chứa các tài liệu của tổ chức.”

 

Hơn nữa, tất cả các tệp liên quan đến ComRAT, ngoại trừ DLL của bộ điều phối và tác vụ theo lịch trình để duy trì, được lưu trữ trong một hệ thống tệp ảo (VFS).

Chế độ “thư” hoạt động bằng cách đọc địa chỉ email và cookie xác thực có trong VFS, kết nối với chế độ xem HTML cơ bản của Gmail và phân tích trang HTML hộp thư đến (sử dụng trình phân tích cú pháp Gumbo HTML) để lấy danh sách email có dòng chủ đề phù hợp với những người trong tệp “topic.str” trong VFS.

 

Đối với mỗi email đáp ứng các tiêu chí trên, comRAT tiến hành bằng cách tải xuống các tệp đính kèm (ví dụ: “document.docx,” http://feedproxy.google.com/ “Documents.xlsx”) và xóa các email để tránh xử lý chúng lần thứ hai.

Mặc dù có định dạng “.docx” và “.xlsx” trong tên tệp, nhưng tệp đính kèm không phải là tài liệu mà là các đốm dữ liệu được mã hóa bao gồm một lệnh cụ thể được thực thi: đọc / ghi tệp, thực thi các quy trình bổ sung và thu thập nhật ký .

Trong giai đoạn cuối cùng, kết quả thực hiện lệnh được mã hóa và lưu trữ trong tệp đính kèm (với phần mở rộng kép “.jpg.bfe”), sau đó được gửi dưới dạng email đến địa chỉ đích được chỉ định trong “answer_addr.str” Tập tin VFS.

Mặt khác, chế độ “di sản” sử dụng cơ sở hạ tầng C2 đã có (ComRAT v3.x) để phát lệnh từ xa, kết quả được nén và truyền đến dịch vụ đám mây như Microsoft OneDrive hoặc 4Shared.

Dữ liệu được lọc ra bao gồm các chi tiết người dùng và các tệp nhật ký liên quan đến bảo mật để kiểm tra xem các mẫu phần mềm độc hại của chúng có được phát hiện trong quá trình quét các hệ thống bị nhiễm hay không.

Dựa trên các mẫu phân phối email của Gmail trong khoảng thời gian một tháng, ESET cho biết các nhà khai thác đằng sau chiến dịch đang làm việc trong các múi giờ UTC + 3 hoặc UTC + 4.

“Phiên bản bốn của ComRAT là một gia đình phần mềm độc hại hoàn toàn được phát hành vào năm 2017,” nhà nghiên cứu ESET Matthieu Faou nói. “Các tính năng thú vị nhất của nó là Hệ thống tệp ảo ở định dạng FAT16 và khả năng sử dụng giao diện người dùng web Gmail để nhận lệnh và lọc dữ liệu. Do đó, nó có thể bỏ qua một số kiểm soát bảo mật vì nó không phụ thuộc vào bất kỳ miền độc hại nào. ”

. (tagsToTransTable) phần mềm độc hại cửa sau (t) virus máy tính (t) Cyber ​​Attack (t) gián điệp mạng (t) hack email (t) gmail (t) hack tin tức (t) Phần mềm độc hại

Một công cụ giám sát miễn phí mới để đo mức độ phơi sáng trên web tối của bạn

 

Tuần trước, công ty bảo mật ứng dụng ImmuniWeb đã phát hành một công cụ miễn phí mới để theo dõi và đo lường mức độ tiếp xúc của một tổ chức trên Dark Web.

Để cải thiện quy trình ra quyết định cho các chuyên gia an ninh mạng, công cụ miễn phí thu thập dữ liệu thị trường Dark Web, diễn đàn hack và các tài nguyên Surface Web như Pastebin hoặc GitHub để cung cấp cho bạn một lược đồ phân loại dữ liệu của bạn được rao bán hoặc rò rỉ.

Tất cả những gì bạn cần để khởi chạy một tìm kiếm Dark Web là nhập tên miền của bạn.

Khối lượng thông tin bị đánh cắp trên Dark Web đang bùng nổ

 

Tuần này, hơn 26 triệu hồ sơ người dùng, bao gồm cả mật khẩu văn bản gốc, bị đánh cắp từ LiveJournal đã xuất hiện trên thị trường Dark Web với mức giá thấp nhất là 35 đô la. Tuần hiện tại cũng được đánh dấu một cách đáng buồn với sự thỏa hiệp của 31 cơ sở dữ liệu SQL (với 1,6 triệu hàng dữ liệu khách hàng) từ các chủ sở hữu webshop.

Có 7.098 vụ vi phạm được báo cáo vào năm 2019, phơi bày hơn 15,1 tỷ hồ sơ, một năm mới tồi tệ nhất được ghi nhận theo báo cáo của Risk Dựa Security. Hơn 80% các vi phạm dữ liệu trong danh mục hack liên quan đến việc sử dụng thông tin bị mất hoặc bị đánh cắp, Báo cáo Điều tra Vi phạm Dữ liệu năm 2020 của Verizon cho biết.

Trong khi hơn 21 triệu thông tin đăng nhập bị đánh cắp từ các công ty Fortune 500 đã có sẵn để bán trong Dark Web, theo báo cáo của ImmuniWeb từ năm 2019.

Công cụ giám sát ImmuniWeb Dark Web đang hoạt động

 

ImmuniWeb nói rằng công nghệ Deep Learning AI của nó có khả năng phân biệt và loại bỏ các bản sao và hồ sơ giả, cung cấp dữ liệu có thể hành động và ghi điểm rủi ro cho khách hàng của mình.

Dưới đây là một ví dụ về những phát hiện cho một tổ chức tài chính nổi tiếng:

 

Thật thú vị, đối với Gartner, có hơn 100.000 đề cập đến thông tin đăng nhập được phát hiện và dữ liệu khác. Tuy nhiên, chỉ có 14% vượt qua xác thực hỗ trợ AI và thấp nhất là 466 được chỉ định rủi ro nghiêm trọng, có khả năng lộ mật khẩu rõ ràng hợp lệ từ các tài nguyên web quan trọng trong kinh doanh:

 

Trong thông cáo báo chí của mình, ImmuniWeb cũng đề cập rằng khả năng hiển thị hàng đầu trên 30 tỷ thông tin bị đánh cắp, thử nghiệm trực tuyến miễn phí cũng phát hiện và cung cấp đầy đủ chi tiết kỹ thuật:

• Chiến dịch lừa đảo
• Tên miền ngồi xổm
• Vi phạm nhãn hiệu
• Tài khoản mạng xã hội giả

 

Ví dụ: đối với Yahoo, có 131 chiến dịch lừa đảo đang diễn ra đang nhắm mục tiêu đến các khách hàng của mình, hơn 1.000 tên miền bị đánh cắp hoặc lỗi chính tả, nhiều trong số đó chuyển hướng đến phần mềm độc hại và ransomware.

Các siêu liên kết đến các trang web độc hại được hiển thị một cách an toàn, với mỗi mục cũng được trang bị một ảnh chụp màn hình để cho phép các chuyên gia bảo mật đánh giá rủi ro mà không cần phải mở tài nguyên web nguy hiểm trong trình duyệt của họ.

Công cụ này cũng có sẵn thông qua một API miễn phí, làm cho nó trở thành một công cụ vô giá cho các nhà phân tích bảo mật SOC để phát hiện kịp thời các mối đe dọa bảo mật và bảo mật web mới nổi.

Lần trước chúng tôi đã đề cập đến ImmuniWeb là một trong 10 công ty bảo mật không gian mạng sáng tạo nhất sau RSA 2020 và dường như trong khi theo đuổi thành công sự phát triển của mình, nhóm của họ đã không quên đóng góp cho cộng đồng an ninh mạng. Làm tốt lắm!