Jak, prawdopodobnie hakowano bez ograniczeń kody PIN iPhone’ów

Od kilku miesięcy na rynku dostępne są technologie umożliwiające odgadywanie kodów PIN iPhone’ów z ominięciem wszystkich systemowych ograniczeń. Właśnie opublikowano informacje o tym, na czym polega sztuczka.
Zarówno weteran rynku analizy śledczej urządzeń komórkowych, firma Cellebrite, jak i nowy gracz na tym polu, firma GrayKey, od kilku miesięcy sprzedawały (i to pewnie w sporych ilościach) urządzenia umożliwiające odblokowanie większości mobilnych urządzeń Apple’a, działające skutecznie i w czasie kilkunastu godzin odgadujące kod PIN, którym zabezpieczony był telefon. Sposób przeprowadzenia tego ataku nie był publicznie znany – lecz chyba właśnie został odkryty.

 

Wszystkie PIN-y naraz.
Jak donosi ZDNet, badacz Matthew Hickey, znany na Twitterze jako @hackerfantastic, opublikował informacje o działającym kodzie pozwalającym na odblokowywanie telefonów Apple’a. Na tym filmie widać że, za pomocą podłączonego kabla wysyłane są kolejne kody PIN, a telefon, mimo aktualnego oprogramowania i aktywnej opcji kasowania zawartości urządzenia po 10 nieudanych próbach, nadal działa i pozwala na kolejne próby odgadnięcia PIN-u. Jak to możliwe?
Metoda jest tak prosta, że aż trudno w to uwierzyć. Okazuje się, że sposobem na ominięcie zabezpieczeń Apple’a jest wysłanie wszystkich kodów PIN do sprawdzenia w postaci jednego bardzo długiego ciągu znaków. Sprawia to, że procedury weryfikacji liczby podawanych PIN-ów nie zdążą się nigdy uruchomić, ponieważ nadal priorytet ma proces przyjmowania znaków z „klawiatury”. Dzięki temu kolejne kody PIN są wpisywane bez przerwy, a telefon po prostu czeka, aż pojawi się ten prawidłowy.
Nie mamy pewności, czy odnaleziony sposób ataku faktycznie był używany w opisywanych wcześniej urządzeniach, lecz obstawiamy, że tak właśnie było. Wskazuje na to między innymi czas potrzebny do odgadnięcia hasła – w przypadku czterocyfrowego kodu PIN GrayKey miał rzekomo odgadywać go w ciągu kilkunastu godzin, a właśnie kilkunastu godzin potrzeba na sprawdzenie czterocyfrowego PIN-u metodą przedstawioną przez Hickeya.
Warto także zauważyć, że aktualizacje iOS-u zawierają bardzo istotne ograniczenia w dostępie do portu Lightning – użycie go do czegokolwiek innego niż ładowania telefonu będzie wymagało, by telefon był odblokowany prawidłowym kodem najwyżej godzinę wcześniej. To sprawia, że ataki podobne to opisanego powyżej będą dużo trudniejsze do przeprowadzenia. Nawet jeśli policja uzyska natychmiastowy dostęp do telefonu, to nie zdąży przetestować wszystkich możliwych kombinacji kodu PIN.
Jak się bronić przed takimi atakami?
Nawet nieznacznie dłuższy PIN jest już solidną przeszkodą – sześć cyfr sprawia, że atak trwa sto razy dłużej, czyli wiele tygodni. Wygląda zatem na to, że ośmiocyfrowy PIN powinien w zupełności wystarczyć, zakładając, że nikt nie zna lepszego ataku niż opisany powyżej.

 

źródło: zaufanatrzeciastrona.pl

Uwaga na sklep MojeKlocki.com i nietypową sztuczkę przestępców.

Robicie zakupy w internetowym sklepie. Towar nie dociera, a z Waszego konta znikają wszystkie pieniądze. Niemożliwe? Niestety to może być rezultat najnowszego pomysłu przestępców atakujących polskich internautów.
Opisywaliśmy już zarówno fałszywe sklepy, jak i fałszywe strony pośredników płatności. Tym razem złodzieje połączyli dwa pomysły i chcąc złapać okazję, można stracić nie tylko kwotę równą cenie produktu, ale wszystkie pieniądze z konta. Poniżej opisujemy dwa scenariusze takich ataków.
Przerwa techniczna
Jeśli szukacie w Google klocków LEGO, to możecie bardzo łatwo trafić na fałszywy sklep mojeklocki.com. Na poniższym zrzucie ekranu to pierwsza (!) opcja.

Nazwa sklepu jest podobna do innych sklepów z klockami. Sama strona sklepu nie wygląda szczególnie podejrzanie – ot, zwykły sklep internetowy.

Cały proces zakupu wygląda normalnie. Ciekawie robi się dopiero przy płatności. Dowiadujemy się tam, że trwa przerwa techniczna a „moduł płatności będzie włączony do 10h”. Nie dostajemy więc ani możliwości zapłacenia szybkim przelewem, ani kartą, ani nawet zwykłym przelewem. Jak zatem zarabiają przestępcy? Odpowiedź pojawia się po pewnym czasie w naszym telefonie – w formie SMSa od złodziei.

Pod adresem z SMSa czeka fałszywy panel płatności Dotpaya. Za jego pomocą przestępcy wyłudzają login i hasło do banku oraz kod jednorazowy potwierdzający zdefiniowanie przelewu zaufanego na koncie ofiary. Zrzuty ekranu tej części ataku zobaczycie w opisie drugiego scenariusza ataku. Obecnie przestępcy używają domeny dtpay.info.
Strona mojeklocki.com korzysta także z fałszywego serwisu Opineo, zamieszczonego pod adresem oppineo.com – to popularna sztuczka przestępców, mająca przekonać osoby niezdecydowane, szukające opinii o podejrzanym sklepie w Google.

Drugi scenariusz ataku
W tym scenariuszu posłużymy się przykładem już nieczynnego sklepu creative-impact.pl. Strona główna sklepu:

Wybieramy produkt i kupujemy:

Wybieramy sposób dostawy i metodę płatności:

Super, mamy link do szybkich płatności! Jak wygodnie. Klikamy.

Wygląda prawie jak prawdziwy, prawda? Obsługuje oczywiście strony logowania różnych banków.

Po podaniu loginu i hasła są one prawdopodobnie weryfikowane pod kątem poprawności a następnie operator serwisu zleca zdefiniowanie przelewu zaufanego i wyświetla prośbę o przepisanie kodu z wiadomości SMS. Po zatwierdzeniu przelewu przez ofiarę jej konto jest czyszczone do zera.
Ostrzeżcie swoich znajomych.
Wiemy już o co najmniej kilku ofiarach działań sprytnych przestępców. Choć zarówno fałszywe sklepy jak i fałszywe strony pośredników płatności były już wcześniej znane, to pierwszy raz zostały w te sposoby połączone przez złodziei. Warto być świadomym nowych zagrożeń.

źródło: zaufanatrzeciastrona.pl

Wiem co wieczorem robisz przed swoim komputerem, zapłać mi tysiaka to nikomu nie powiem

niebezpiecznik.pl

Od kilku tygodni dostajemy od Was mniej lub bardziej pełne rozpaczy prośby o pomoc. Wszystkie zaczynają się od tego, że ktoś włamał się Wam na komputer, pozyskał kompromitujące Was dane i Was szantażuje. Brzmi poważnie. Rozumiemy stres i Wasze roztrzęsienie. Dlatego tym bardziej cieszy nas, że większość z tych szantaży nie jest prawdziwa. To tak naprawdę bardzo bezczelne próby oszustwa. I to nie takie znowu oryginalne, bo o tym problemie pisaliśmy po raz pierwszy pół roku temu. Ale wygląda na to, że zjawisko znów się nasiliło — dlatego ostrzegamy: nie dajcie się nabrać i zobaczcie na czym polega to oszustwo.
Mówią, że oglądałem porno… a kto dziś Panie nie ogląda!?
Oddajmy głos jednemu z naszych Czytelników:
(…) otrzymałem podobnego maila po oglądaniu strony porno (niechcący kliknąłem w niej w jakąś reklamę, ale zaraz cofnąłem) jak pisaliście o tym w październiku i teraz jestem szantażowany. Bardzo mnie to przestraszyło, tym bardziej, że mail przyszedł na firmową pocztę, a ja jestem prezesem i nie wiem co począć, jeśli szantażysta swojego dzieła dokona. Nie ściągnąłem żadnej aplikacji ani plików, czy faktycznie może posiadać dostęp do wszystkich adresów w poczcie? Faktem jest, że mail przyszedł zaraz po oglądaniu strony, więc to mnie tym bardziej przeraża. Treść maila też wyglądała tym razem trochę inaczej niż na waszej stronie, szczególnie jeśli chodzi o nagłówek, bo jest tam też godzina rzekomego uruchomienia kamery. Poradźcie, co powinienem zrobić? Poniżej wklejam treść maila z nagłówkiem, proszę o dyskrecję.”
Czytaj dalej

Aplikacja „Bankowość uniwersalna Polska” oszustwem!

źródło: wirtalnemedia.pl

Hakerzy umieścili w sklepie Google Play aplikację „Bankowość uniwersalna Polska”, która agregowała formularze logowania do 21 polskich banków. Z jej poziomu nieświadomi użytkownicy, podając swoje prawdziwe loginy oraz hasła, mogli sądzić, że logują się do swoich rachunków. Za jej pośrednictwem hakerzy kradli te dane, by wyprowadzać pieniądze z kont klientów.
Fałszywą aplikację „Bankowość uniwersalna Polska” odkryto 20 marca br. Jak wskazują eksperci, mogła w sposób znaczący pozbawić pieniędzy wielu nieświadomych użytkowników. – Za jej pomocą użytkownik spośród aż 21 polskich banków mógł wybrać ten, w którym posiada swój rachunek bankowy. Następnie był proszony o dane uwierzytelniające, czyli login i hasło. Te dane były wysyłane do hakera, a proces logowania do rachunku w ogóle nie miał miejsca. Aplikacja potrafiła omijać dwuskładnikowe uwierzytelnienie – użytkownik nie widział SMS-ów z banku, natomiast dostęp do nich zyskiwał cyberprzestępca. Z ich pomocą mógł wyprowadzić pieniądze z rachunków swoich użytkowników – tłumaczy Lukas Stefanko, badacz zagrożeń z ESET. Ekspert dodaje, że aplikacja została pobrana nie więcej niż sto razy i usunięta z Google Play w dniu jej odkrycia. Nadal jest jednak dostępna w tzw. drugim obiegu, czyli w nieautoryzowanych sklepach z aplikacjami. Poniżej lista banków, których klienci mogli paść ofiarami oszustwa.

Do podobnego ataku doszło w listopadzie zeszłego roku. Dotyczył on wówczas użytkowników czternastu polskich banków. Został przeprowadzony za pomocą aplikacji dostępnych w oficjalnym sklepie Google Play: CryptoMonitor oraz StorySaver. Obie aplikacje, oprócz obiecywanych funkcjonalności, wyświetlały swoim ofiarom fałszywe powiadomienia systemowe, które wyglądały identycznie jak te generowane przez popularne w Polsce aplikacje bankowe. Dodatkowo złośliwe aplikacje podsuwały swoim ofiarom fałszywe formularze logowania do rachunków bankowych, by docelowo przechwycić wprowadzane za ich pośrednictwem loginy i hasła.

źródło: wirtualnemedia.pl

Przekleństwo zielonej kłódki.

zaufanatrzeciastrona.pl
zaufanatrzeciastrona.pl

Płacisz za zakupy kartą kredytową. Co byś jednak zrobił, gdyby po zakupie online okazało się, że Twoje konto zostało obciążone kilkoma dodatkowymi operacjami z wypłatą gotówki w Meksyku włącznie ?
Zapewne przeżyłbyś szok i niedowierzanie, bo przecież na stronie widniał znany wszystkim symbol zielonej kłódki. Przekleństwo zielonej kłódki polega na tym, że paradoksalnie oznaczenie to często obniża poziom cyberbezpieczeństwa, powodując uśpienie czujności klientów sklepów. Użytkownik strony wykorzystującej HTTPS został nauczony i przyzwyczajony do weryfikacji, czy dana strona jest oznaczona tym charakterystycznym symbolem, a sama obecność kłódki stała się dla niego ewidentnym dowodem na brak jakichkolwiek zagrożeń. Niestety rzeczywistość jest inna. Przestępcy – świadomi takiego podejścia użytkowników – wykorzystują ich nadmierną ufność w bezpieczeństwo strony w różny sposób.

Czytaj dalej