Ferramenta de ataque em ascensão: verificador de contas

F5

Hoje, apresentamos e explicamos uma ferramenta de ataque que está se tornando cada vez mais comum entre nossos clientes: o Account Checker.

Essa ferramenta de preenchimento de credenciais não é nova, mas seu uso está crescendo rapidamente por motivos que discutiremos a seguir. Embora sejam conceitualmente muito simples e fáceis de usar, os verificadores de contas são extremamente poderosos.

Descrição dos verificadores de contas

Um verificador de contas é uma ferramenta de ataque que utiliza listas de pares de nome de usuário e senha vazados (ou seja, “credenciais”) e os testa em um site-alvo.

Pacotes avançados de verificação de contas podem custar apenas US$ 100, e os invasores também podem criar seus próprios verificadores de contas usando kits de ferramentas de automação da Web prontos para uso, como Mechanize, PhantomJS, IEC.py, Sikuli, Selenium ou iMacros. Esses kits de ferramentas reduzem a complexidade técnica envolvida na criação de verificadores de contas e na realização de ataques de preenchimento de credenciais.

Anatomia do uso de verificadores de contas

1. O invasor obtém senhas vazadas de uma violação de dados de um site ou de um site de despejo de senhas
2. O invasor usa um verificador de contas para testar credenciais roubadas em vários sites
3. Logins bem-sucedidos (geralmente entre 0,1% e 2% do total) resultam na tomada de controle da conta
4. O invasor esvazia as contas roubadas, apropriando-se de valores armazenados, números de cartão de crédito e outras informações de identificação pessoal
5. O invasor também pode usar esta conta para outros fins maliciosos (spam, novas transações etc.)

Exemplo de verificador de contas legítimo

Abaixo, apresentamos um verificador de contas “benigno” chamado namechk.com que ilustra como os verificadores de contas funcionam. Essa ferramenta verifica se um determinado nome de usuário está disponível em várias redes sociais. Verificamos o nome de usuário “shapesecurity”, e a ferramenta identificou corretamente todos os sites nos quais esse nome de usuário já estava em uso.

Este serviço usa um script que testa automaticamente um determinado nome de usuário em todos os sites exibidos na imagem (por exemplo, Blogger, Facebook, YouTube, Twitter etc.).

Um verificador de contas usado por criminosos funciona da mesma forma que a ferramenta acima e acrescenta recursos adicionais, como verificar se várias senhas (com base em algoritmos de adivinhação ou em uma das 25 senhas mais usadas) funcionam nesse site. O processo completo de verificação de nomes de usuário e senhas, aliado à intenção maliciosa, resulta no ataque generalizado de preenchimento de credenciais.

Um estudo da Microsoft constatou que o usuário médio tem pouco mais de seis senhas, que cada senha é compartilhada entre quatro sites diferentes e que cada usuário tem cerca de 25 contas que exigem senha. Isso significa que uma violação em qualquer lugar resulta na exposição das senhas usadas em 3,9 dos principais sites.

Exemplo de um verificador de contas prontas para ataque

Brian Krebs escreveu sobre o verificador de contas pronto para uso abaixo. Esse é o mesmo tipo de ferramenta usado para invadir a Hilton.

Esse verificador consegue determinar se as credenciais são válidas e extrair o saldo de pontos, os quatro últimos dígitos do número do cartão de crédito e o endereço de cobrança do cartão.

Abaixo está uma amostra do código subjacente de um verificador de contas. Esse verificador testa um grande número de credenciais. Quando encontra um par de credenciais válido, ele coleta informações de identificação pessoal (PII) e rouba valores armazenados e dados de cartão de crédito da conta.

Onde os invasores conseguem listas de credenciais?

O combustível de qualquer verificador de contas é uma lista de credenciais. Para a sorte dos invasores, há um enorme número de credenciais disponíveis publicamente.

• 38.000.000 de contas da Adobe
• 318.000 contas do Facebook
• 70.000 contas do Google
• 60.000 contas do Yahoo
• 22.000 contas do Twitter
• 8.000 contas da ADP
• 8.000 contas do LinkedIn

Centenas de outras credenciais são vazadas todos os dias neste perfil do Twitter: twitter.com/dumpmon. Muitos profissionais de segurança usam essa lista para identificar quais contas de usuário em seus respectivos sites foram comprometidas e bloqueá-las. Obviamente, os invasores também usam essa lista, em conjunto com ferramentas de verificação de contas, para encontrar contas vulneráveis, que depois utilizam em diversas atividades fraudulentas.

O que os profissionais de segurança podem fazer para coibir os verificadores de contas e impedir que invasores sequestrem contas de usuários?

Para responder a essa pergunta, é preciso entender o mecanismo de funcionamento dos verificadores de contas.

Os verificadores de contas funcionam usando os elementos estáticos do formulário da página de login como uma API implícita. No exemplo de código acima, o invasor faz referência aos nomes de vários elementos do formulário para interagir com a página da Web de destino. A maioria dos sites não consegue distinguir essas interações das interações humanas normais.

e, portanto, aceitam de bom grado o tráfego malicioso. Isso permite que o invasor automatize o site usando verificadores de contas e execute facilmente milhões de testes ao longo de alguns dias ou semanas (muitas vezes usando uma grande botnet distribuída e um enorme número de endereços IP para evitar limites de taxa e volume). Assim, até mesmo invasores pouco sofisticados podem facilmente lançar ataques poderosos contra muitos dos maiores sites do mundo.

Para proteger os sites contra esse tipo de atividade, que chamamos de “automação indesejada”, usamos uma abordagem conhecida pelos invasores: alteramos o código subjacente do site a cada visualização de página. Assim como os autores de malware há muito usam código polimórfico para driblar produtos antivírus, apresentando constantemente assinaturas diferentes, a solução da Shape cria um alvo móvel que frustra os scripts que tentam automatizar um site. Isso permite que os administradores de sistemas aumentem o esforço que um invasor precisa fazer para criar scripts ou automatizar um determinado site com sucesso.

É claro que leitores experientes apontarão inúmeras maneiras diferentes de realizar ataques. Está além do escopo deste artigo (mas talvez seja tema de textos futuros) considerar esses tipos de ataque (DOM, GUI e outros). A Shape, naturalmente, está totalmente empenhada em neutralizar de forma abrangente todos esses ataques e conta com soluções para cada um desses níveis.

Sobre o autor

F5

Mais publicações de F5