Una herramienta de ataque en auge: Account Checker

F5

Hoy presentamos y explicamos una herramienta de ataque cada vez más habitual entre nuestros clientes: el comprobador de cuentas.

Esta herramienta de relleno de credenciales no es nueva, pero su uso está aumentando considerablemente por motivos que analizaremos a continuación. Aunque conceptualmente son muy sencillos y fáciles de usar, los verificadores de cuentas son extremadamente potentes.

Descripción de los verificadores de cuentas

Un comprobador de cuentas es una herramienta de ataque que utiliza listas de pares de nombre de usuario y contraseña filtrados (es decir, «credenciales») y los prueba en un sitio web objetivo.

Los paquetes avanzados de comprobación de cuentas pueden costar tan solo 100 dólares, y los atacantes también pueden crear sus propios comprobadores de cuentas a partir de kits de herramientas de automatización web disponibles en el mercado, como Mechanize, PhantomJS, IEC.py, Sikuli, Selenium o iMacros. Estos kits de herramientas reducen la complejidad técnica que supone desarrollar comprobadores de cuentas y llevar a cabo ataques de relleno de credenciales.

Anatomía del uso de verificadores de cuentas

1. El atacante obtiene contraseñas filtradas de una brecha de seguridad en un sitio web o de un sitio de volcado de contraseñas
2. El atacante utiliza un comprobador de cuentas para probar las credenciales robadas en numerosos sitios web
3. Los inicios de sesión exitosos (normalmente entre el 0,1 % y el 2 % del total) dan lugar al secuestro de cuentas
4. El atacante vacía las cuentas robadas, apropiándose del valor almacenado, los números de tarjetas de crédito y otros datos de identificación personal
5. El atacante también puede utilizar esta cuenta para otros fines maliciosos (spam, más transacciones, etc.)

Ejemplo de comprobador de cuentas benigno

A continuación se muestra un verificador de cuentas «benigno» llamado namechk.com que ilustra cómo funcionan los verificadores de cuentas. Esta herramienta comprueba si un nombre de usuario determinado está disponible en varias redes sociales. Comprobamos el nombre de usuario «shapesecurity» y la herramienta identificó correctamente todos los sitios en los que ese nombre de usuario ya estaba en uso.

Este servicio utiliza un script que comprueba automáticamente un nombre de usuario determinado en todos los sitios web que aparecen en la imagen (p. ej., Blogger, Facebook, YouTube, Twitter, etc.).

Un comprobador de cuentas utilizado por ciberdelincuentes funciona de forma similar a la herramienta anterior y añade funciones adicionales, como comprobar si distintas contraseñas (basadas en algoritmos de adivinación o alguna de las 25 contraseñas más utilizadas) funcionan en ese sitio. El proceso completo de comprobación de nombres de usuario y contraseñas con fines maliciosos da lugar al ataque generalizado conocido como relleno de credenciales.

Un estudio de Microsoft reveló que el usuario medio tiene algo más de seis contraseñas, que cada contraseña se comparte entre cuatro sitios distintos y que cada usuario tiene unas 25 cuentas que requieren contraseña. Esto significa que una filtración en cualquier sitio provoca que se hagan públicas las contraseñas utilizadas en 3,9 sitios principales.

Ejemplo de un comprobador de cuentas listas para atacar

Brian Krebs escribió sobre el verificador de cuentas listo para usar que se muestra a continuación. Es el mismo tipo de herramienta que se utilizó para hackear a Hilton.

Este verificador puede determinar si las credenciales son válidas y extraer el saldo de puntos, los cuatro últimos dígitos del número de la tarjeta de crédito y la dirección de facturación de la tarjeta.

A continuación se muestra un ejemplo del código subyacente de un verificador de cuentas. Este verificador prueba un gran número de credenciales. Cuando encuentra un par de credenciales válido, extrae información de identificación personal (PII) y roba el saldo almacenado y los datos de la tarjeta de crédito de la cuenta.

¿De dónde obtienen los atacantes las listas de credenciales?

El combustible de cualquier verificador de cuentas es una lista de credenciales. Por suerte para los atacantes, hay una enorme cantidad de credenciales disponibles públicamente.

• 38.000.000 de cuentas de Adobe
• 318.000 cuentas de Facebook
• 70.000 cuentas de Google
• 60.000 cuentas de Yahoo
• 22.000 cuentas de Twitter
• 8.000 cuentas de ADP
• 8.000 cuentas de LinkedIn

Cada día se filtran cientos de credenciales más en esta cuenta de Twitter: twitter.com/dumpmon. Muchos profesionales de la seguridad utilizan esta lista para identificar qué cuentas de usuario de sus respectivos sitios se han visto comprometidas y bloquearlas. Evidentemente, los atacantes también utilizan esta lista, junto con herramientas de comprobación de cuentas, para encontrar cuentas vulnerables que luego emplean en diversas actividades fraudulentas.

¿Qué pueden hacer los profesionales de la seguridad para frenar los verificadores de cuentas y evitar que los atacantes secuestren las cuentas de los usuarios?

Para responder, es necesario comprender el mecanismo de funcionamiento de los verificadores de cuentas.

Los verificadores de cuentas funcionan utilizando los elementos estáticos del formulario de la página de inicio de sesión como una API implícita. En el ejemplo de código anterior, el atacante hace referencia a los nombres de varios elementos del formulario para interactuar con la página web objetivo. La mayoría de los sitios web no pueden distinguir estas interacciones de las interacciones humanas normales.

y, por tanto, aceptan sin reparos el tráfico malicioso. Esto permite al atacante automatizar el sitio web mediante verificadores de cuentas y realizar fácilmente millones de pruebas en cuestión de días o semanas (a menudo utilizando una gran botnet distribuida y un enorme número de direcciones IP para eludir los límites de frecuencia y volumen). Así, incluso los atacantes con muy pocos conocimientos pueden lanzar fácilmente ataques potentes contra muchos de los sitios web más grandes del mundo.

Para proteger los sitios web frente a este tipo de actividad, que denominamos «automatización no deseada», utilizamos un enfoque conocido por los atacantes: cambiamos el código subyacente del sitio cada vez que se visualiza una página. Del mismo modo que los autores de malware llevan mucho tiempo utilizando código polimórfico para eludir los productos antivirus mediante la presentación constante de firmas diferentes, la solución de Shape crea un objetivo móvil que dificulta la labor de los scripts que intentan automatizar un sitio web. Esto permite a los administradores de sistemas aumentar el esfuerzo que debe realizar un atacante para crear scripts o automatizar correctamente un sitio web determinado.

Por supuesto, los lectores más avezados señalarán numerosas formas distintas de llevar a cabo ataques. Analizar este tipo de ataques (DOM, GUI y otros) queda fuera del alcance de este artículo, aunque quizá sea objeto de futuras publicaciones. Shape, por supuesto, está firmemente comprometida con neutralizar de forma integral todos estos ataques y dispone de soluciones para cada uno de esos niveles.

Sobre el autor

F5

Más artículos de F5