Heute stellen wir ein Angriffstool vor, das bei unseren Kunden immer häufiger zum Einsatz kommt, und erläutern seine Funktionsweise: den Account Checker.
Dieses Credential-Stuffing-Tool ist zwar nicht neu, wird aber aus Gründen, auf die wir im Folgenden eingehen, immer häufiger eingesetzt. Obwohl Account Checker konzeptionell sehr einfach und leicht zu bedienen sind, verfügen sie über enorme Schlagkraft.
Beschreibung von Account-Checkern
Ein Account-Checker ist ein Angriffstool, das Listen offengelegter Kombinationen aus Benutzernamen und Passwörtern (d. h. „Anmeldedaten“) nimmt und sie auf einer Zielwebsite testet.
Leistungsfähige Account-Checker-Pakete sind bereits ab 100 US-Dollar erhältlich. Angreifer können mithilfe sofort einsetzbarer Webautomatisierungs-Toolkits wie Mechanize, PhantomJS, IEC.py, Sikuli, Selenium oder iMacros auch eigene Account-Checker erstellen. Diese Toolkits verringern den technischen Aufwand für die Entwicklung von Account-Checkern und die Durchführung von Credential-Stuffing-Angriffen.
Anatomie der Nutzung von Account-Checkern
- Der Angreifer beschafft sich durchgesickerte Passwörter aus einem Website-Datenleck oder von einer Website mit Passwort-Dumps.
- Der Angreifer verwendet einen Account-Checker, um gestohlene Zugangsdaten auf zahlreichen Websites zu testen
- Erfolgreiche Anmeldungen (in der Regel 0,1–2 % aller Versuche) führen zur Kontoübernahme
- Der Angreifer entwendet aus den übernommenen Konten gespeicherte Guthaben, Kreditkartennummern und andere personenbezogene Daten.
- Der Angreifer kann dieses Konto auch für andere böswillige Zwecke nutzen (Spam, weitere Transaktionen usw.)
Beispiel für einen legitimen Kontoprüfer
Nachfolgend sehen Sie einen „harmlosen“ Account-Checker namens namechk.com , der veranschaulicht, wie Account-Checker funktionieren. Dieses Tool prüft, ob ein bestimmter Benutzername in verschiedenen sozialen Netzwerken verfügbar ist. Wir haben den Benutzernamen „shapesecurity“ überprüft, und das Tool hat alle Websites, auf denen dieser Benutzername bereits vergeben war, korrekt erkannt.
Dieser Dienst verwendet ein Skript, das einen bestimmten Benutzernamen automatisch auf allen im Bild sichtbaren Websites überprüft (z. B. Blogger, Facebook, YouTube, Twitter usw.).
Ein krimineller Account-Checker funktioniert ähnlich wie das oben beschriebene Tool und bietet zusätzliche Funktionen, etwa die Überprüfung, ob verschiedene Passwörter (die auf Algorithmen zum Erraten von Passwörtern basieren oder zu den 25 häufigsten Passwörtern gehören) auf der betreffenden Website funktionieren. Das systematische Überprüfen von Benutzernamen und Passwörtern in böswilliger Absicht führt zu weitverbreiteten Credential-Stuffing-Angriffen.
Eine Microsoft-Studie ergab, dass der durchschnittliche Nutzer etwas mehr als sechs Passwörter hat, jedes Passwort auf vier verschiedenen Websites verwendet wird und jeder Nutzer etwa 25 Konten besitzt, für die Passwörter erforderlich sind. Das bedeutet, dass ein Datenleck bei einer beliebigen Website dazu führt, dass Passwörter für 3,9 der meistbesuchten Websites öffentlich werden.
Beispiel für einen Checker für angriffsbereite Konten
Brian Krebs berichtete über den unten gezeigten, frei erhältlichen Account-Checker. Mit derselben Art von Tool wurde auch Hilton gehackt.
Dieser Checker kann feststellen, ob die Zugangsdaten gültig sind, und den Punktestand, die letzten vier Ziffern der Kreditkartennummer sowie die Rechnungsadresse der Karte auslesen.
Nachfolgend finden Sie einen Auszug aus dem zugrunde liegenden Code eines Account-Checkers. Dieser Account-Checker testet eine große Anzahl von Zugangsdaten. Wenn er ein gültiges Paar von Zugangsdaten findet, liest er personenbezogene Daten aus und stiehlt gespeicherte Guthaben sowie Kreditkartendaten aus dem Konto.
Woher erhalten Angreifer Listen mit Zugangsdaten?
Die Grundlage für jeden Account-Checker ist eine Liste mit Zugangsdaten. Zum Glück für die Angreifer ist eine riesige Menge an Zugangsdaten öffentlich zugänglich.
- 38.000.000 Adobe-Konten
- 318.000 Facebook-Konten
- 70.000 Google-Konten
- 60.000 Yahoo-Konten
- 22.000 Twitter-Konten
- 8.000 ADP-Konten
- 8.000 LinkedIn-Konten
Jeden Tag werden über diesen Twitter-Account Hunderte weitere Zugangsdaten veröffentlicht: twitter.com/dumpmon. Viele IT-Sicherheitsexperten nutzen diese Liste, um festzustellen, welche Benutzerkonten auf ihren jeweiligen Websites kompromittiert wurden, und um diese Konten zu sperren. Natürlich nutzen auch Angreifer diese Liste in Verbindung mit Tools zur Kontoüberprüfung, um anfällige Konten zu finden, die sie anschließend für verschiedene betrügerische Aktivitäten verwenden.
Was können Sicherheitsexperten tun, um Account-Checker einzudämmen und zu verhindern, dass Angreifer Benutzerkonten übernehmen?
Um diese Frage zu beantworten, muss man verstehen, wie Account-Checker funktionieren.
Account-Checker nutzen die statischen Formularelemente der Anmeldeseite als implizite API. Im obigen Codebeispiel verweist der Angreifer auf verschiedene Namen von Formularelementen, um mit der Zielwebseite zu interagieren. Die meisten Websites können solche Interaktionen nicht von normalen menschlichen Interaktionen unterscheiden.
und akzeptieren den Angriffsverkehr daher bereitwillig. Dadurch kann der Angreifer die Website mithilfe von Account-Checkern automatisieren und innerhalb weniger Tage oder Wochen problemlos Millionen von Tests durchführen (häufig unter Einsatz eines großen verteilten Botnetzes und einer enormen Anzahl von IP-Adressen, um Beschränkungen hinsichtlich Anfragerate und Datenvolumen zu umgehen). So können selbst technisch wenig versierte Angreifer ohne Weiteres wirkungsvolle Angriffe auf viele der größten Websites der Welt starten.
Um Websites vor solchen Aktivitäten zu schützen, die wir als „unerwünschte Automatisierung“ bezeichnen, verwenden wir einen Angreifern vertrauten Ansatz: Wir ändern bei jedem Seitenaufruf den zugrunde liegenden Code der Website. So wie Malware-Autoren seit Langem polymorphen Code einsetzen, um Antivirenprogramme durch ständig wechselnde Signaturen zu umgehen, erzeugt die Lösung von Shape ein bewegliches Ziel, das Skripte ausbremst, die eine Website automatisieren sollen. Dadurch können Systemadministratoren den Aufwand erhöhen, den ein Angreifer betreiben muss, um eine bestimmte Website erfolgreich per Skript zu steuern oder zu automatisieren.
Natürlich werden versierte Leser auf zahlreiche Möglichkeiten hinweisen, solche Angriffe auf andere Weise durchzuführen. Eine Betrachtung derartiger Angriffe (auf DOM-, GUI- und anderen Ebenen) würde den Rahmen dieses Artikels sprengen, könnte aber Gegenstand künftiger Beiträge sein. Shape ist selbstverständlich mit Nachdruck darauf ausgerichtet all diese Angriffe umfassend abzuwehren, und bietet für jede dieser Ebenen entsprechende Lösungen.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...