Атакующие полюбили MFA Fatigue для обхода MFA в корпоративных сетях

Атакующие полюбили MFA Fatigue для обхода MFA в корпоративных сетях

Атакующие полюбили MFA Fatigue для обхода MFA в корпоративных сетях

Киберпреступники часто прибегают к методам социальной инженерии для получения доступа к учётным записям и крупным корпоративным сетям. Один из элементов таких атак становится всё более популярным у злоумышленников — техника под названием «MFA-усталость» (MFA Fatigue).

Конечно же, речь идёт о методе обхода многофакторной аутентификации, к которой прибегает каждая уважающая себя организация для защиты корпоративной сети. В качестве дополнительного фактора могут выступать как одноразовый пароль, так и аппаратный ключ.

Атакующие используют несколько способов обхода MFA, включая кражу cookies с помощью вредоносной программы или фишинговых фреймворков вроде evilginx2. Тем не менее всё чаще на вооружении киберпреступников можно встретить технику “MFA Fatigue“ или “MFA push spam“.

Плюсы такого метода заключаются в отсутствии необходимости использовать вредоносную программу или фишинговую инфраструктуру. Более того, “MFA Fatigue“ уже доказала свою эффективность в реальных кибератаках.

Что же собой представляет “MFA Fatigue“? Когда организация настраивает многофакторную аутентификацию на отправку пуш-уведомлений, сотрудники видят на своих мобильных устройствах уведомления о том, что кто-то пытается войти в сеть с их учётными данными.

Взаимодействуя с такими уведомлениями, служащие могут либо подтвердить вход, либ отклонить его, как показано на скриншоте ниже:

 

В ходе атаки с использованием “MFA Fatigue’ злоумышленник запускает скрипт, который пытается подключиться к сети с помощью скомпрометированных логинов и паролей, причём он делает это безостановочно. Это приводит к тому, что на мобильное устройство сотрудника приходит бесконечное число уведомлений.

Задача атакующих — поддерживать такой темп днём и ночью, чтобы в конечном счёте сломать жертву. Наглядную демонстрацию использования этого метода специалисты показали в видеоролике:

 

Эксперты в сфере кибербезопасности рекомендуют отключить пуш-увведомления MFA или хотя бы настроить аутентификацию по шестизначному коду, чтобы повысить безопасность корпоративной сети.

 

В WhatsApp Web готовят групповые голосовые и видеозвонки

WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России) готовит интересное обновление для веб-версии мессенджера. В WhatsApp Web появится поддержка групповых голосовых и видеозвонков, благодаря чему пользователи смогут участвовать в звонках независимо от того, с какого устройства они подключаются — смартфона, десктопного приложения или просто браузера.

Функция, согласно WABetaInfo, пока находится в активной разработке и ещё недоступна даже в бета-версии, но первые детали уже известны.

По сути, WhatsApp стремится сделать веб-клиент максимально близким по возможностям к мобильным и десктопным приложениям — чтобы при необходимости можно было обойтись без установки отдельного клиента.

Как следует из последних изменений в WhatsApp Web, компания дорабатывает базовую поддержку звонков и расширяет её на групповые чаты. Это означает, что пользователи смогут запускать голосовые и видеозвонки прямо из группового диалога в браузере, без перехода на смартфон.

Поддержка групповых звонков в веб-версии упоминалась ещё в прошлом году, но тогда она находилась на самой ранней стадии. Сейчас WhatsApp явно продвинулся дальше и доводит функциональность до финального состояния.

Ожидается, что WhatsApp Web будет поддерживать до 32 участников в групповом звонке, как и мобильные версии. Однако окончательные ограничения компания пока не подтвердила. Не исключено, что на старте лимит будет ниже — например, 8 или 16 человек — с последующим расширением.

На этом WhatsApp не останавливается. Вместе с групповыми звонками в веб-версии готовятся и другие полезные функции:

  • создание ссылок на звонки прямо из интерфейса чата — для голосовых или видеозвонков;
  • планирование звонков как для личных, так и для групповых чатов.

Запланированный звонок будет иметь название, описание и примерное время начала и окончания. При этом речь идёт не об автоматическом запуске — WhatsApp просто заранее уведомит участников, чтобы они знали, когда ожидается созвон.

Точной даты запуска пока нет. Все перечисленные функции — групповые звонки, ссылки и планирование — находятся в разработке и появятся в одном из будущих обновлений WhatsApp Web.

Напомним, на днях мы также писали, что WhatsApp тестирует функцию проверки приватности статусов. В свежей бета-версии мессенджера для Android (2.26.2.9), доступной через программу Google Play Beta, у части пользователей появилась возможность посмотреть, с какими настройками приватности был опубликован конкретный статус.

RSS: Новости на портале Anti-Malware.ru