ערכת הפישינג iAuthFlow מוסיפה Passkey לחשבון Google, והחלפת סיסמה לא עוזרת
חוקרי Abnormal AI ניתחו את iAuthFlow v2, ערכת פישינג שגונבת כניסה לחשבון Google ורושמת בו Passkey של התוקף. כך הגישה נשמרת גם אחרי החלפת סיסמה וניתוק החיבורים.
TL;DR בקצרה
- Abnormal AI פרסמה ב-20 באוגוסט ניתוח של iAuthFlow v2, ערכת פישינג שנמכרת בפורום דובר רוסית ב-10,000 דולר.
- הערכה מעבירה בזמן אמת סיסמה וקוד אימות לדפדפן של התוקף, ואז יוצרת בחשבון Passkey חדש.
- Passkey לא תלוי בסיסמה, ולכן החלפת סיסמה לא מנתקת את התוקף.
- Abnormal לא הפעילה את הערכה בעצמה. הניתוח מתבסס על פרסומים והדגמות של המוכר.
ערכת פישינג חדשה בשם iAuthFlow v2 לא מסתפקת בגניבת סיסמה. לפי חוקרי Abnormal AI, היא מוסיפה לחשבון Google של הקורבן Passkey בשליטת התוקף. כך התוקף ממשיך להיכנס לחשבון גם אחרי שהקורבן מחליף סיסמה. Abnormal פרסמה את הניתוח ב-20 באוגוסט, ולמחרת סיקר אותו גם אתר SecurityWeek.
איך iAuthFlow משתלטת על חשבון Google
הערכה עובדת בשיטת browser-in-the-middle. כל קורבן מקבל קישור ייחודי, שמוביל לדף בעיצוב של Google. במקביל, דפדפן אחר על השרת של התוקף מתחבר ל-Google האמיתית. הערכה מעבירה בזמן אמת לדפדפן של התוקף את כל מה שהקורבן מקליד: מייל, סיסמה וקוד אימות דו-שלבי. גם הבקשות של Google חוזרות אל הקורבן, כך שהכול נראה לו תקין.
כשהכניסה מצליחה, התוקף מחזיק בעוגיות הכניסה של החשבון. המפעיל רואה את החיבור הפעיל בלוח הבקרה שלו. כאן מגיע החלק החדש. הקורבן רואה מסך ״אימות, בעיבוד״ (Verification, Processing). בינתיים מודול של הערכה פותח את הגדרות ה-Passkey בחשבון ויוצר מפתח חדש. לפי יומן מתוך ההדגמה של המוכר, המודול יצר את ה-Passkey שש שניות אחרי הכניסה.
למה החלפת סיסמה כבר לא מספיקה מול iAuthFlow
Passkey היא שיטת כניסה שעובדת עם מפתח קריפטוגרפי במקום סיסמה. היא שייכת לחשבון, ואין לה קשר לסיסמה. לכן החלפת סיסמה לא מוחקת אותה. היא ממשיכה לעבוד עד שמישהו מסיר אותה ידנית.
בהדגמה של המוכר, הסיסמה מתחלפת אחרי ההשתלטות. בכניסה הבאה Google מבקשת מהתוקף אימות. הוא בוחר ״Try another way״ ונכנס עם ה-Passkey. לפי Google, כפי ש-Abnormal מצטטת, החלפת סיסמה מבטלת סיסמאות אפליקציה והרשאות OAuth עם גישה ל-Gmail. אבל חלק מהמכשירים והשירותים שאישרתם בעבר עלולים להמשיך לעבוד.
חשוב לסייג. Abnormal לא הפעילה את הערכה בעצמה, והניתוח מתבסס על פרסומים וסרטוני הדגמה של המוכר. החוקרים משערים שהערכה משתמשת במנגנון וירטואלי של Chromium כדי ליצור את ה-Passkey, אבל אין לכך הוכחה.
המוכר פועל בפורום פשיעה בשפה הרוסית מאז יוני 2024, ומפעיל גם ערוץ Telegram. הגרסה הבסיסית עולה 10,000 דולר, והמוכר גובה בנפרד על מודולים נוספים. הגרסה שהחוקרים ניתחו תוקפת חשבונות Google. לטענת המוכר, יש גם גרסאות ל-Microsoft, ל-iCloud ול-LinkedIn.
מה זה אומר עבורכם
- בדקו את ה-Passkeys בחשבון: היכנסו להגדרות האבטחה של חשבון Google ועברו על רשימת ה-Passkeys ומפתחות האבטחה. מחקו כל מפתח שאתם לא מזהים.
- אחרי פישינג, לא רק סיסמה: הזנתם פרטים בדף חשוד? החליפו סיסמה והתנתקו מכל המכשירים. בדקו גם את שיטות השחזור, את כללי הסינון וההעברה ב-Gmail ואת האפליקציות שקיבלו גישה לחשבון.
- מנהלי Google Workspace: חפשו ביומני הביקורת אירועים של הוספת Passkey וכללי דואר חדשים. Abnormal ממליצה על Security Investigation Tool כדי להסיר שיטות אימות שאינכם מזהים.
- חשבונות רגישים: Abnormal ממליצה על ההגדרה ״Only security key״ באימות הדו-שלבי. ההגדרה מאפשרת כניסה רק עם מפתחות אבטחה ו-Passkeys. לעובדים בסיכון גבוה כדאי לשקול גם את Advanced Protection Program של Google.
- קוד אימות לא עוצר את זה: הערכה מעבירה בזמן אמת גם קודי אימות. לכן קוד ב-SMS או באפליקציה לא מגן מפני דף מזויף כזה.
- קיבלתם התראה מ-Google? מה עושים בפעילות חשודה בחשבון Google, לפי SecureBack.
Passkeys עדיין הגנה טובה, אבל לא לבד
Passkeys הם אחת ההגנות החזקות מפני פישינג, ובצדק. iAuthFlow לא פורצת אותם. היא מנצלת את הרגע שבו התוקף כבר בפנים, כדי לרשום Passkey משלו. לכן אחרי כל חשד לפריצה צריך לבדוק את כל שיטות הכניסה לחשבון, ולא רק את הסיסמה.
מקורות והרחבה
- iAuthFlow v2 Enrolls Google Passkeys That Survive Password ResetsAbnormal AI
- New Phishing Toolkit Uses Passkeys to Maintain Access After Password ResetsSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
