Ferramenta de ataque em ascensão: Verificador de Contas

Descrição dos verificadores de contas

Um verificador de contas é uma ferramenta de ataque que pega listas de pares de nome de usuário/senha vazados (ou seja, “credenciais”) e os testa em um site alvo.

Pacotes poderosos de verificadores de contas custam apenas US$ 100, e os adversários também podem criar seus próprios verificadores de contas a partir de kits de ferramentas de automação da web prontos para uso, como Mechanize, PhantomJS, IEC.py, Sikuli, Selenium ou iMacros. Esses kits de ferramentas reduzem a carga técnica necessária para escrever verificadores de contas e conduzir ataques de preenchimento de credenciais.

Anatomia do uso do verificador de contas

1. O invasor obtém senhas vazadas de uma violação de site ou de um site de despejo de senhas
2. O invasor usa o verificador de contas para testar credenciais roubadas em muitos sites
3. Logins bem-sucedidos (geralmente 0,1-2% do total) resultam na tomada de conta
4. O invasor drena contas roubadas de valor armazenado, números de cartão de crédito e outras PII
5. O invasor também pode usar esta conta para outros fins nefastos (spam, transações futuras, etc.)

Exemplo de verificador de conta benigno

Abaixo está um verificador de contas "benigno" chamado namechk.com que ilustra como os verificadores de contas funcionam. Esta ferramenta verifica se um determinado nome de usuário está disponível em várias redes sociais. Verificamos o nome de usuário “shapesecurity” e esta ferramenta identificou corretamente todos os sites nos quais esse nome de usuário foi usado.

Este serviço usa um script que testa automaticamente um determinado nome de usuário em todos os sites visíveis na imagem (por exemplo, Blogger, Facebook, Youtube, Twitter, etc.).

Um verificador de contas criminosas funciona da mesma forma que a ferramenta acima e adiciona recursos adicionais, como verificar se várias senhas (com base em algoritmos de adivinhação ou uma das 25 principais senhas ) funcionam naquele site. O processo completo de verificação de nomes de usuário e senhas, juntamente com intenções maliciosas, leva ao ataque generalizado de preenchimento de credenciais.

Um estudo da Microsoft descobriu que o usuário médio tem pouco mais de seis senhas, que cada senha é compartilhada entre quatro sites diferentes e que cada usuário tem cerca de 25 contas que exigem senhas. Qualquer violação de dados em qualquer lugar faz com que as senhas de 3,9 dos principais sites se tornem públicas.

Exemplo de um verificador de conta pronto para ataque

Brian Krebs escreveu sobre o verificador de contas pronto para uso abaixo. Este é o mesmo tipo de ferramenta usada para hackear o Hilton .

Este verificador é capaz de verificar se as credenciais são válidas e verificar o saldo de pontos, os últimos quatro dígitos do número do cartão de crédito e o endereço de cobrança do cartão.

Abaixo está um exemplo do código subjacente de um verificador de contas. Este verificador de contas testa um grande número de credenciais. Ao encontrar um par válido de credenciais, ele coleta informações de identificação pessoal e rouba valores armazenados e detalhes de cartão de crédito da conta.

Onde os invasores obtêm listas de credenciais?

O combustível para qualquer verificador de contas é uma lista de credenciais. Felizmente para os invasores, há um grande número de credenciais que são públicas.

• 38.000.000 de contas Adobe
• 318.000 contas do Facebook
• 70.000 contas do Google
• 60.000 contas do Yahoo
• 22.000 contas do Twitter
• 8.000 contas ADP
• 8.000 contas do LinkedIn

Centenas de outras credenciais vazam todos os dias neste perfil do Twitter: twitter.com/dumpmon . Muitos profissionais de segurança usam essa lista para identificar quais contas de usuários em seus respectivos sites foram comprometidas e para bloquear contas comprometidas. Obviamente, os invasores também usam essa lista, em conjunto com verificadores de contas, para encontrar contas vulneráveis, que eles então usam para diversas atividades fraudulentas.

O que os profissionais de segurança podem fazer para coibir verificadores de contas e impedir que invasores sequestrem contas de usuários?

A resposta requer uma compreensão do mecanismo pelo qual os verificadores de contas funcionam.

Os verificadores de conta funcionam usando os elementos de formulário estáticos da página de login como uma API implícita. No exemplo de código acima, o invasor faz referência a vários nomes de elementos de formulário para interagir com a página da web de destino. A maioria dos sites não consegue distinguir essas interações das interações humanas normais

e assim aceitar de bom grado o tráfego de ataque. Isso permite que o invasor automatize o site usando verificadores de conta e execute facilmente milhões de testes ao longo de alguns dias ou semanas (geralmente usando uma grande botnet distribuída e um grande número de endereços IP para evitar limites de taxa e volume). Assim, até mesmo invasores pouco sofisticados podem lançar ataques potentes contra muitos dos maiores sites do mundo.

Para defender os sites contra essa atividade, que chamamos de “automação indesejada”, usamos uma abordagem que é familiar aos invasores: alteramos o código subjacente do site em cada visualização de página. Assim como os autores de malware há muito usam código polimórfico para escapar de produtos antivírus apresentando constantemente assinaturas diferentes, a solução da Shape cria um alvo móvel que frustra scripts que buscam automatizar um site. Isso permite que os administradores de sistemas aumentem o esforço que um invasor deve investir para criar scripts ou automatizar com sucesso um determinado site.

É claro que leitores experientes apontarão inúmeras maneiras de conduzir ataques de diferentes maneiras. Está além do escopo deste artigo (mas talvez seja assunto de artigos futuros) considerar tais ataques (DOM, GUI e outros). A Shape, claro, está extremamente focada em derrotar completamente todos esses ataques e tem soluções em cada um desses níveis.