Ciberseguridad

Los investigadores tienen una nueva herramienta en su arsenal que se puede utilizar para automatizar ataques de phishing de una manera que derrota la autenticación de dos factores (2FA) y no es fácil de detectar y bloquear. La herramienta hace que estos ataques sean mucho más fáciles de implementar, por lo que las organizaciones deben adaptar su entrenamiento anti-phishing de acuerdo.

El nuevo kit de herramientas fue presentado el mes pasado en la conferencia Hack in the Box en Ámsterdam y fue lanzado en GitHub después de unos días. Tiene dos componentes: un proxy inverso transparente llamado Muraena y un contenedor Docker para automatizar instancias del Chromium sin cabeza llamadas NecroBrowser.

Un tipo de ataque man-in-the-middle

Los ataques tradicionales de phishing, con los que la mayoría de las personas están familiarizadas, consisten en páginas de acceso falsas alojadas en servidores web controlados por intrusos y atendidos por dominios personalizados cuyos nombres son similares a los de los sitios segmentados. Sin embargo, estos ataques estáticos no son efectivos contra servicios en línea que utilizan autenticación de dos factores, porque no hay interacción con los sitios legítimos para activar la generación de códigos de un solo uso. Sin estos códigos, los atacantes no pueden iniciar sesión con las credenciales falsas.

Para superar los 2FA, los atacantes necesitan tener sus sitios de phishing funcionando como proxies, enviando solicitudes en nombre de las víctimas a los sitios legítimos y entregando respuestas en tiempo real. El objetivo final no es obtener sólo nombres de usuario y contraseñas, sino tokens de sesión activos conocidos como cookies de sesión que los sitios reales se asocian a las cuentas iniciadas. Estas cookies de sesión se pueden colocar dentro de un navegador para acceder directamente a las cuentas con las que están asociados, sin la necesidad de autenticación.

Esta técnica basada en proxy no es nueva y se conoce desde hace mucho tiempo, pero la configuración de este ataque requería conocimientos técnicos e implicaba la configuración de varias herramientas independientes, como el servidor Web NGINX, para ejecutarse como proxy inverso. A continuación, el atacante debe abusar manualmente de las cookies de la sesión robada antes de que expiran. Además, algunos sitios web utilizan tecnologías como Subresource Integrity (SRI) y Content Security Policy (CSP) para impedir el proxy, y algunos incluso bloquean los exploradores automatizados basados ??en encabezados.

Muraena y NecroBrowser fueron creados para derrotar esas protecciones y automatizar la mayor parte del proceso. Esto significa que el lanzamiento de ataques de phishing que pueden derrotar el 2FA ahora puede ser hecho por un número mayor de invasores. Las herramientas fueron creadas por los investigadores Michele Orru, un antiguo desarrollador del Proyecto de Estructura de Exploración del Navegador (BeEF), y Giuseppe Trotta, un miembro del proyecto Bettercap.

¿Cómo funcionan el Muraena y el NecroBrowser?

Muraena está escrito en el lenguaje de programación Go, lo que significa que puede ser compilado y ejecutado en cualquier plataforma donde el Go esté disponible. Una vez implantado, el atacante puede configurar su dominio de suplantación de identidad (phishing) y obtener un certificado legítimo para él, por ejemplo, mediante la autoridad de certificación de encripción.

La herramienta contiene un servidor Web mínimo que actúa como proxy inverso y un rastreador que determina automáticamente qué recursos se buscar en el sitio legítimo. El proxy reescribe de forma transparente las solicitudes recibidas de la víctima antes de transmitirlas.

El rastreador genera automáticamente un archivo de configuración JSON, que se puede ajustar manualmente para evitar varias defensas en sitios más complejos. El paquete incluye ejemplos de archivos de configuración para Google, GitHub y Dropbox.

Cuando la víctima llega a un sitio de phishing con el soporte de Muraena, el proceso de inicio de sesión funciona exactamente como en el sitio real. El usuario es solicitado por el código 2FA. Una vez que se proporcionan y la autenticación se completa, el proxy roba la cookie de la sesión.

El token de sesión normalmente se almacena en el explorador dentro de un archivo y se muestra en solicitudes posteriores. Esto permite que el sitio proporcione automáticamente a ese navegador acceso a una cuenta por un período de tiempo determinado - duración de la sesión - sin solicitar la contraseña de inicio de sesión de nuevo. Muraena puede pasar automáticamente las cookies de sesión recogidas para su segundo componente, el NecroBrowser, que puede inmediatamente comenzar a abusar de ellos.

El NecroBrowser es un microsistema que puede ser controlado a través de una API y configurado para ejecutar acciones a través de instancias sin cabeza del Chromium en ejecución en los contenedores Dock. Dependiendo de los recursos de servidor disponibles, un atacante puede generar decenas o cientos de estos contenedores simultáneamente, cada uno con una cookie de sesión robada de una víctima.

Las acciones ejecutadas por las instancias del navegador zombie pueden ser totalmente automatizadas. Por ejemplo, dependiendo del tipo de cuenta, esto puede significar tomar capturas de correo electrónico, iniciar la restauración de contraseñas, cargar claves no autorizadas para GitHub o agregar direcciones de reenvío a los buzones. Las instancias del navegador también se pueden utilizar para recopilar información sobre contactos y amigos en redes sociales e incluso enviar mensajes de phishing a estos amigos en un ataque de gusano.

Cómo protegerse contra ataques de phishing automatizados

Desafortunadamente, pocas soluciones técnicas bloquean completamente estos ataques de phishing en el lado del servidor. El Muraena fue desarrollado para mostrar que técnicas como SRI y CSP tienen un efecto limitado y pueden ser contornadas de manera automatizada. Además, la herramienta muestra que el 2FA no es una solución a prueba de balas.

Sin embargo, el phishing basado en proxy no puede derrotar algunas implementaciones 2FA - aquellas que utilizan tokens de hardware USB con soporte para el estándar Universal 2nd Factor (U2F). Esto es porque estos tokens USB establecen una conexión criptográfica con el sitio legítimo a través del navegador, que no pasa por el proxy inverso del atacante. Mientras tanto, las soluciones basadas en códigos recibidas por SMS o generadas por aplicaciones de autenticación móvil son vulnerables, ya que las víctimas necesitan insertarlas manualmente y pueden hacerlo en los sitios de phishing.

Otra solución técnica puede ser una extensión del explorador que comprueba si el usuario está insertando sus credenciales en el sitio correcto. Google ha desarrollado esta extensión para Chrome, llamada Alerta de contraseña, que avisa a los usuarios si intentan insertar sus credenciales de Google en cualquier sitio que no pertenezca a Google.

Entrenar a los usuarios para ser vigilantes y asegurarse de que se están autenticando en el sitio correcto con el nombre de dominio correcto sigue siendo muy importante. La presencia de un indicador TLS / SSL y un certificado válido no son suficientes para considerar que un sitio es legítimo, ya que ahora los certificados se pueden obtener de forma gratuita, por lo que la mayoría de los sitios de phishing tienen habilitado el HTTPS.