Polski badacz bezpieczeństwa opracował narzędzie, które automatyzuje ataki phishingowe i może łatwo ominąć dwuetapową weryfikację użytkownika (2FA). Piotr Duszyński opublikował pliki kilka dni temu i postawiły one społeczność osób zajmujących się zabezpieczeniami w stan najwyższej gotowości. Pliki są dostępne w serwisie GitHub i wraz z załączonym przewodnikiem są ekstremalnie proste w użyciu. Pozwala to hakerom włamywać się na konta, nawet jeśli włączone jest 2FA. Narzędzie nosi nazwę Modlishka i działa na zasadzie reverse proxy, co oznacza, że znajduje się pomiędzy użytkownikiem obranym na cel, a właściwą stroną internetową. Normalnie phishing jest dość skomplikowany i wymaga sporej ilości kodowania i umiejętności programistycznych, jednak to proste narzędzie jest zupełnie inne. Jego działanie właściwie ogranicza się do niemal zwykłego przeklikania niezbędnych kroków i niemal każdy z podstawową wiedzą, może przejąć czyjeś konto bez większego wysiłku.
Modlishka działa przechwytując ruch od użytkownika do docelowej strony. Aby przeprowadzić atak, haker musi jedynie zdobyć tani certyfikat TLS i przekierować użytkownika na swoją stronę. Ponieważ Modlishka działa na zasadzie odwrotnego proxy, przepuszcza całą zawartość strony oraz formularze do uzupełnienia przez użytkownika. Dzięki temu nie ma konieczności odtwarzania dokładnego wyglądu strony, która jest celem ataku, by upewnić się, że użytkownik nie nabierze podejrzeń. Kiedy ofiara spróbuje się zalogować, wszystko będzie wyglądało całkowicie normalnie, poza tym, że dane logowania zostaną najpierw przesłane na serwer gdzie znajduje się Modlishka, a następne zostaną przesłane na prawdziwy serwer i nastąpi zalogowanie użytkownika. Modlishka będzie dalej przekazywać cały ruch w normalny sposób, więc przejęta sesja nie będzie się niczym różnić od innych. Jeśli serwis, do którego loguje się użytkownik będzie wymagał dwustopniowego uwierzytelnienia, to dane te również zostaną przesłane atakującemu.
Witaj gościu. Dziękujemy, że przeglądasz nasze forum ale czy wiesz, że zakładając konto możesz w pełni korzystać z dobrodziejstw jakimi są promocje i konkursy. Nie zobaczysz tu też żadnych reklam a rejestracja zajmie Ci tylko chwilę.
Ta strona wykorzystuje ciasteczka (cookies) w celu: utrzymania sesji zalogowanego Użytkownika, gromadzenia informacji związanych z korzystaniem z serwisu, ułatwienia Użytkownikom korzystania z niego, dopasowania treści wyświetlanych Użytkownikowi oraz tworzenia statystyk oglądalności czy efektywności publikowanych reklam.Użytkownik ma możliwość skonfigurowania ustawień cookies za pomocą ustawień swojej przeglądarki internetowej. Użytkownik wyraża zgodę na używanie i wykorzystywanie cookies oraz ma możliwość wyłączenia cookies za pomocą ustawień swojej przeglądarki internetowej.
