Архив новостей

Системы восстановления пароля ― удобство или брешь?

Используя методы социальной инженерии, исследователи из Positive Technologies получили доступ к трем из пяти популярных веб-сервисов через процедуру восстановления пароля.

Проверка этого звена в системе безопасности проводилась на основе выборки из реальных почтовых аккаунтов Gmail, Mail.ru, Яндекс, а также профилей ВКонтакте и Facebook. Их владельцы были заранее проинформированы об эксперименте и дали согласие на свое участие. Работая с разными механизмами восстановления пароля, эксперты вели поиск информации о владельце аккаунта на общедоступных сайтах, вступали в переписку со службой техподдержки целевого сервиса. В отдельных случаях им приходилось провоцировать «жертву» на раскрытие нужных данных, устанавливая с ней контакт в социальной сети. Каждый из рассмотренных сервисов получил оценку по двум параметрам: уровень защищенности и удобство для пользователя, и был впоследствии ознакомлен с результатами.

Как оказалось, для взлома учетных записей ВКонтакте и Gmail (а также прочих служб Google, привязанных к почтовым ящикам) через процедуру восстановления пароля вполне достаточно информации об их владельцах, выложенной в общий доступ в Сети. При этом специалисты службы поддержки обоих сервисов не обращают внимания на то, что запрос на восстановление пароля приходит с чужого IP-адреса. В случае с Mail.Ru исследователям пришлось добывать дополнительные данные, анонимно общаясь с владельцами аккаунтов через ВКонтакте.

Надежные механизмы защиты данных продемонстрировали Facebook и Яндекс. Последний тоже требует подробную информацию о почтовом ящике при восстановлении пароля, которую, впрочем, весьма легкомысленно предоставляют незнакомцам сами владельцы. Однако для завершения процедуры служба поддержки Яндекс требует, чтобы забывчивый пользователь явился в офис в определенные сроки ― и с паспортом. На Facebook, помимо привязки к email и номеру телефона, используется такая опция, как помощь друзей. Однако задействовать ее экспертам не удалось: доверенным другом в этой социальной сети считается пользователь с солидным стажем, активно поддерживающий отношения с доверителем. В целом возможности восстановления пароля на Facebook весьма ограничены. Если владелец профиля потерял доступ к почте и забыл ответ на секретный вопрос, ему рекомендуют зарегистрироваться заново.

Системы восстановления пароля ― удобство или брешь?

Ваш e-mail не будет опубликован.

 

Отчеты

ToddyCat: неизвестная APT-группа, нацеленная на организации Европы и Азии

ToddyCat является относительно новой APT-группой, ответственной за серии атак на высокостатусные организации Европы и Азии. Два ключевых отличительных признака этой группы — ранее неизвестные инструменты, которые мы назвали «бэкдор Samurai» и «троянец Ninja».

Lazarus распространяет протрояненный DeFi-кошелек

Недавно мы обнаружили протрояненное DeFi-приложение, которое имплантирует в систему полнофункциональный бэкдор. Проанализировав этот бэкдора, мы обнаружили многочисленные совпадения с другими инструментами группы Lazarus.

MoonBounce: скрытая угроза в UEFI

В конце 2021 года мы обнаружили прошивку UEFI, в которую был внедрен вредоносный код, названный нами MoonBounce. В данном отчете мы подробно опишем принцип действия импланта MoonBounce и его связь с APT41.

Подпишитесь на еженедельную рассылку

Самая актуальная аналитика – в вашем почтовом ящике