Infractorii au pus la cale o nouă modalitate de a încerca să ocolească protecțiile de autentificare cu doi factori (2FA) de pe Facebook.

Ciborgii trimit notificări false de violare a drepturilor de autor cu amenințarea de a retrage paginile dacă utilizatorul nu încearcă să facă apel. Primul pas în „apel?” Victima este rugată să trimită un nume de utilizator, o parolă și un cod 2FA de pe dispozitivul său mobil, potrivit cercetătorului Sophos Paul Ducklin, ceea ce le permite escrocilor să ocolească 2FA.

2FA este un nivel de protecție suplimentar față de un nume de utilizator și o parolă care implică, de obicei, trimiterea unui cod unic către un dispozitiv mobil, care trebuie introdus pentru a accesa o platformă. Dar escrocii găsesc din ce în ce mai multe modalități de a-l ocoli.

Ducklin a explicat într-o postare recentă despre descoperirile sale că Sophos primește în mod regulat e-mailuri de înșelăciune privind încălcarea drepturilor de autor pe rețelele sociale, dar acesta s-a distins prin lansarea unui atac plauzibil folosind pagini frauduloase generate pe Facebook, dându-le e-mailurilor de phishing un aer suplimentar de legitimitate.

„Niciuna dintre aceste tactici nu este nouă – această înșelătorie a fost doar o combinație interesantă și informativă”, a scris Ducklin pentru Threatpost într-un e-mail despre descoperirile sale. „În primul rând, e-mailul este scurt și simplu; în al doilea rând, linkul din e-mail merge către un site legitim, și anume Facebook; în al treilea rând, fluxul de lucru de pe site-ul escrocheriei este surprinzător de credibil.”

E-mailurile false de pe Facebook oferă indicii că nu sunt legitime, dar Ducklin subliniază că este suficient de convingător pentru a-i determina pe administratorii de social-media să dorească să adune mai multe informații despre presupusele plângeri de încălcare a drepturilor de autor, ceea ce înseamnă să facă clic pe link-ul de phishing din e-mail.

Mesajul e-mailului amenință să șteargă pagina victimei dacă nu se depune un apel în termen de 24 de ore.

„Veți vedea că atunci când treceți peste „continuă” vă duce într-adevăr la facebook.com”, a spus el. „Capcana este că adresa de Facebook este pagina frauduloasă configurată pentru a arăta ca o pagină oficială de Facebook dedicată rezolvării problemelor legate de încălcarea drepturilor de autor.”

De acolo, chiar dacă textul legat pare că clicurile sunt trimise către o altă pagină de Facebook – aparent pentru ca victimele să poată depune un „apel” – Ducklin s-a uitat și a constatat că URL-ul țintă este diferit de textul legat. În schimb, acesta trimite victima la un domeniu .CF cu sediul în Republica Centrafricană.

„Acesta este un truc vechi folosit de escroci – și chiar de unele site-uri legitime”, a adăugat Ducklin.

Site-ul a fost configurat temporar pe un serviciu de găzduire web în cloud, care generează un certificat HTTPS odată ce site-ul este online, ceea ce face ca detectarea să fie un pic mai dificilă, a adăugat el.

„Valabilitatea certificatului a început la miezul nopții de astăzi, iar e-mailul de escrocherie pe care l-am primit a sosit la 01:53 UTC, ceea ce înseamnă seara devreme pe Coasta de Vest a Americii și seara târziu pe Coasta de Est”, a scris Ducklin. „După cum puteți vedea, infractorii cibernetici se mișcă repede!”

După ce intrau pe site, utilizatorilor li se cerea să își introducă parola, de două ori, să acceseze aplicația Facebook de pe dispozitivul mobil și să introducă codul 2FA, care se găsește în secțiunea „Settings & Privacy > Code Generator” din aplicație. Ducklin a scris că acest lucru ar putea avea ca rezultat „posibilitatea de a le oferi o șansă unică de a se autentifica ca tine, direct de pe serverul lor, chiar dacă ai activat 2FA.”

După ce au acces la acreditările Facebook ale victimei, atacatorii pot vinde informațiile pe dark web, le pot folosi pentru a deturna sau a downloada pagini, pot păstra datele utilizatorilor pentru răscumpărare sau chiar pot face achiziții frauduloase în aplicații.

Facebook a răspuns la solicitarea de comentarii a Threatpost, spunând că firma recomandă să fie atenți să nu dea click pe niciun link suspect, adăugând că, dacă un utilizator este piratat, acesta poate obține ajutor pentru a-și securiza contul la facebook.com/hacked. Compania a adăugat că recomandă utilizarea unei aplicații de autentificare de la o terță parte ca metodă principală de securitate. Facebook are, de asemenea, o listă de sfaturi pentru a evita tentativele de phishing pe platforma sa.

Este 2FA stricat?

Depășirea 2FA a apărut ca o tendință îngrijorătoare.

Grupul de infractori cibernetici Rampant Kitten a fost descoperit chiar luna trecută, după ani de zile în care a operat nedetectat, că a dezvoltat un malware pentru Android care adună codurile de securitate 2FA trimise către dispozitive, pe lângă informațiile de conectare Telegram, în timp ce lansează atacuri de phishing Google.

aproximativ în aceeași perioadă, un troian numit „Alien” a vizat băncile cu un nou sniffer de notificări care le-a oferit escrocilor posibilitatea de a accesa noile actualizări ale dispozitivelor, inclusiv codurile 2FA, pentru a ocoli protecția.

În mai, un alt atac asupra Office 365 a încercat să păcălească utilizatorii să acorde permisiuni unei aplicații necinstite, care ar fi ocolit apoi protecțiile 2FA.

Lista încălcărilor 2FA continuă. Rămâne la latitudinea utilizatorului să se asigure că nu cade în capcana acestor tipuri de escrocherii de phishing. Ducklin a adăugat că utilizarea unui filtru web și evitarea solicitărilor prin e-mail pentru detalii de conectare sunt, de asemenea, politici bune de urmat.

„2FA nu a fost niciodată un glonț de argint care să elimine phishing-ul și frauda – dar face lucrurile mai dificile pentru escroci și vă oferă încă o ocazie de a vă opri și de a vă gândi atunci când vă conectați, „Chiar vreau să-mi introduc parola și codul de conectare *pe acest site*?”.” a declarat Ducklin. Verificați întotdeauna de unde provin e-mailurile și unde v-au dus linkurile web – pentru că singurul lucru mai rău decât să fii înșelat este să fii înșelat și apoi să-ți dai seama că semnele revelatoare au fost acolo tot timpul.”

El a adăugat: „Așa cum vă va spune orice tâmplar: măsurați de două ori; tăiați o dată.”

.