Groupe de piratage chinois a trouvé une nouvelle façon de contourner l’authentification à deux facteurs

Un groupe avec des liens présumés avec le gouvernement chinois a été accusé de piratage de réseaux dans le monde entier, mais dans une torsion rare, il est dit de contourner l’authentification à deux facteurs dans le processus.

Le hack a été détaillé à la fin de la semaine dernière par des chercheurs en sécurité de Fox-IT Holding B.V. APT20, le groupe derrière la campagne, cible les serveurs web comme le premier point d’entrée avec un accent particulier sur Jboss.

Une fois à travers la porte, le groupe installe des coques Web puis se propage sur l’ensemble du réseau. Affichant un comportement assez typique, le groupe recherche des mots de passe et des comptes d’administrateur pour obtenir plus d’informations de leurs cibles en utilisant les informations d’identification du réseau virtuel pour un accès plus sécurisé.

Là où cela devient intéressant, c’est que les chercheurs affirment qu’ils ont trouvé des preuves que APT20 a été l’accès à des comptes VPN qui ont été protégés par 2FA. Hacking 2FA n’est pas nouveau, et le processus impliqué est un peu compliqué, mais APT20 est dit avoir trouvé une nouvelle façon de contourner le processus.

Les pirates sont soupçonnés d’avoir volé un jeton logiciel RSA SecurID d’un système piraté, puis modifié la clé pour travailler sur différents systèmes.

"Le jeton logiciel est généré pour un système spécifique, mais bien sûr cette valeur spécifique au système pourrait facilement être récupérée par l’acteur lors de l’accès au système de la victime", ont expliqué les chercheurs en sécurité. "Il s’avère que l’acteur n’a pas réellement besoin de passer par la peine d’obtenir la valeur spécifique du système de la victime, parce que cette valeur spécifique n’est vérifiée que lors de l’importation de la graine de jeton SecuriD, et n’a aucun rapport avec la graine utilisée pour générer réelle 2- jetons de facteur. Cela signifie que l’acteur peut en fait simplement corriger le contrôle qui vérifie si le jeton mou importé a été généré pour ce système, et n’a pas besoin de s’embêter à voler la valeur spécifique au système à tous."

Tout en s’appliquant spécifiquement aux jetons basés sur des logiciels, la méthode est inquiétante d’autant plus que 2FA est régulièrement présenté comme un moyen d’empêcher le piratage comme celui-ci.

Une copie complète de la recherche sur le groupe peut être trouvée ici.

0 replies

Leave a Reply

Want to join the discussion?
Feel free to contribute!

Leave a Reply

Your email address will not be published. Required fields are marked *