🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
🔸Хакеры научились угонять Google и WhatsApp* через настоящие окна авторизации
25 августа. / КИБЕР МЕДИА /. Исследователи выявили три предполагаемые российские кибершпионские группы - UNC6293, UNC7005 и UNC5976, которые атакуют дипломатов, сотрудников оборонных и аэрокосмических компаний, ученых и аналитиков в Европе и США. Вместо привычных поддельных форм входа злоумышленники все чаще используют настоящие механизмы авторизации Google, Microsoft и WhatsApp*.
Одна из схем строится на OAuth. Жертву отправляют на легитимную страницу входа Google или Microsoft, после чего убеждают передать код подтверждения или разрешить доступ приложению. Пароль при этом может вообще не попасть к злоумышленникам - им достается токен, позволяющий войти в аккаунт. UNC6293 также продолжает выдавать себя за представителей Госдепартамента США и организаторов дипломатических мероприятий.
UNC7005 применяет похожий прием против WhatsApp*. Жертве предлагают подключиться к «защищенному звонку» или получить документ, а затем показывают настоящий QR-код привязки нового устройства. После подтверждения аккаунт оказывается связан с устройством атакующих. Некоторые фишинговые страницы дополнительно запрашивали камеру и микрофон и могли записывать видео и звук пользователя.
Третья группа, UNC5976, создавала поддельные сервисы обмена файлами, которые перенаправляли пользователей на настоящий вход Google и автоматически перехватывали полученные токены. За три месяца после первой блокировки атакующие создали как минимум 12 новых доменов и начали переносить инфраструктуру к другим облачным провайдерам. Исследователи с высокой уверенностью связывают все три группы с российским направлением, однако конкретная принадлежность UNC5976 к определенной спецслужбе пока не установлена.
* Принадлежит компании Meta, признанной экстремистской организацией на территории Российской Федерации.