хакеры могут скомпрометировать аккаунты еще до их регистрац

Аналитик Microsoft Security Response Center Эндрю Паверд (Andrew Paverd) и независимый ИБ-специалист Авинаш Судходанан (Avinash Sudhodanan) описали интересный типа атак, pre-hijacking, в рамках которого хакеры могут скомпрометировать чужие аккаунты LinkedIn, Zoom, WordPress, Dropbox и так далее еще до их регистрации.

В общей сложности эксперты изучили 75 популярных онлайн-сервисов и обнаружили, что как минимум 35 из них уязвимы для атак с предварительным взломом учетной записи.

«Последствия pre-hijacking атак точно такие же, как от захвата учетной записи. В зависимости от природы целевого сервиса, успешная атака может позволить злоумышленнику прочитать/изменить конфиденциальную информацию, связанную с учетной записью (например, сообщения, платежные документы, историю использования и так далее), или выполнить действия, используя личность жертвы (например, отправлять поддельные сообщения, совершать покупки, используя сохраненные способы оплаты и так далее)», — рассказывают авторы статьи.



Чтобы такая атака сработал, хакеру необходимо знать адрес электронной почты своей будущей жертвы, что несложно выяснить с помощью переписки или «благодаря» многочисленным утечкам данных, которые происходят практически ежедневно. После этого злоумышленник должен создать учетную запись на уязвимом сайте, используя чужой email-адрес и надеясь, что жертва не обратит внимания на уведомление, пришедшее в ее почтовый ящик (например, сочтет его спамом). Затем злоумышленнику нужно дождаться, когда жертва решить создать аккаунт на этом сайте, или обманом вынудить ее сделать это.

В итоге атакующий получает возможность провести пять различных атак.

Classic-federated merge (CFM): уязвимая платформа поддерживает слияние учетных записей, и, когда цель создает учетную запись с существующим email-адресом, в некоторых случаях даже не уведомляет об этом факте. Атака основана на предоставлении жертве опции Single-Sign-On (SSO), поэтому жертва вообще не меняет пароль, установленный злоумышленником.

Unexpired session (US): после создания учетной записи хакер сохраняет сеанс активным с помощью автоматизированного скрипта. Когда жертва создает учетную запись и сбрасывает пароль, активный сеанс может не стать недействительным, поэтому злоумышленник сохранит доступ к учетной записи.

Trojan identifier (TID): сочетает в себе типы атак Classic-Federated Merge и Unexpired Session. «Атакующий создает предварительно взломанную учетную запись, используя email-адрес жертвы, а затем связывает учетную запись с учетной записью IdP (Identity provider) злоумышленника для федеративной аутентификации. Когда жертва сбрасывает пароль (как в US-атаке), злоумышленник все еще сохраняет доступ к учетной записи через маршрут федеративной аутентификации», — поясняется в статье.

Unexpired email change (UEC): злоумышленник создает учетную запись, используя адрес электронной почты жертвы, а затем отправляет запрос на изменение этого адреса, но не подтверждает его. После того как жертва сама выполняет сброс пароля, злоумышленник подтверждает изменение и перехватывает управление учетной записью.

Non-verifying IdP (NV): хакер злоупотребляет отсутствием верификации собственности IdP при создании учетной записи, что открывает возможности по злоупотреблению облачными логин-сервисами, такими как Okta и Onelogin.



Так как сегодня многие сервисы требуют, чтобы новые пользователи подтверждали, что почтовый адрес принадлежит именно им, в таких случаях создание новых учетных записей с чужими email-адресами не будет работать. Чтобы обойти это ограничение, злоумышленник может создать учетную запись, используя собственный адрес электронной почты, а затем изменить его на email жертвы, злоупотребив стандартной функциональностью, доступной в большинстве онлайн-сервисов.

Исследователи пишут, что наиболее распространенной из всех является проблема неистекшего сеанса (Unexpired session). По их словам, яркими примерами крупных и при этом уязвимых платформ можно назвать Dropbox (UEC), Instagram* (TID), LinkedIn (US), WordPress.com (US и UEC) и Zoom (CFM и NV). Эксперты сообщили обо всех обнаруженных проблемах специалистам компаний, и многие из которых исправили уязвимости, присвоив им категорию высокой серьезности.

https://xakep.ru/2022/05/24/pre-hijacking/