Остерігайтеся “Купідона” – нового методу Heartbleed-атаки, що вражає Android-пристрої

Якщо ви думаєте, що загроза Heartbleed Bug минула, подумайте ще раз. Менш ніж через два місяці після того, як ця вразливість була вперше виявлена, використовувати її стало набагато простіше.

За словами португальського дослідника безпеки Луїса Грангейї, новий метод атаки, який отримав назву Cupid, використовує вразливість в OpenSSL так само, як і Heartbleed. Єдина відмінність полягає в тому, що він виконуватиме свою функцію через Wi-Fi, а не через Інтернет, і націлений на Android-пристрої.

“Це, по суті, та ж сама атака, що і Heartbleed, заснована на шкідливому пакеті серцебиття. Як і оригінальна атака, яка відбувається на звичайних TLS-з’єднаннях через TCP, можуть бути використані як клієнти, так і сервери, і пам’ять може бути зчитана з процесів на обох кінцях з’єднань”, – сказав Грангейя в своєму блозі.

“Різниця в цьому сценарії полягає в тому, що з’єднання TLS [Transport Layer Security] здійснюється через EAP [Extensible Authentication Protocol], який є основою/механізмом аутентифікації, що використовується в бездротових мережах. Він також використовується в інших ситуаціях, включаючи дротові мережі, які використовують мережеву аутентифікацію 802.1x і однорангові з’єднання … Для експлуатації вразливих клієнтів hostapd (з маршрутом cupid) може використовуватися для налаштування “злої” мережі таким чином, що, коли вразливий клієнт намагається підключитися і запитує TLS-з’єднання, hosted буде відправляти зловмисні запити серцебиття, запускаючи уразливість”.

Існує дві програми, на які впливає Cupid:

• Hostapd використовується для налаштування конфігурованої точки доступу на Linux.
• Grangeia сказав, що можна створити практично будь-яку конфігурацію бездротової мережі і дозволити клієнтам підключатися до неї. Інша програма, wpa_supplicant, використовується для підключення до бездротових мереж на Linux і Android.

Існує два сценарії атаки Cupid. Перший передбачає використання “злого клієнта”, який використовує змінений додаток wpa_supplicant для аутентифікації Wi-Fi з’єднань. Зловмисник може запросити підключення до вразливого сервера. Після встановлення з’єднання хакери можуть надсилати пульсові запити. Другий сценарій атаки передбачає використання зміненого додатку hostapd для доступу до вразливого клієнта. Це дозволяє зловмисникам створити мережу для відправки шкідливих heartbeat-запитів.

За даними Grangeia, вразливими є пристрої, що працюють на Android 4.1.0 та 4.1.1. Однак ризик не обмежується старим програмним забезпеченням. Грангейя зазначив, що оскільки всі версії Android використовують wpa_supplicant для підключення до бездротових мереж, не виключено, що всі пристрої, що працюють під управлінням цієї ОС, можуть бути вразливими.

Крім мобільних пристроїв, вразливі також системи Linux і корпоративні бездротові з’єднання. З іншого боку, домашні маршрутизатори вважаються безпечними, оскільки вони не використовують EAP.

Висновки Grangeia викликали незгоду інших розробників, в першу чергу FreeRadius, який стверджує, що є “найпопулярнішим в світі Radius-сервером”. У відповідь на зауваження про те, що уразливість Cupid була відома раніше, він сказав: “Метод атаки, однак, є новим. До цього часу не існувало загальнодоступних інструментів, які б запускали уразливість Heartbleed через EAP”.

П’єрлуїджі Паганіні (Pierluigi Paganini), який працює в Агентстві Європейського Союзу з мережевої та інформаційної безпеки, пояснив, що зловмиснику не потрібен дійсний пароль для використання вразливості. Для використання вразливості достатньо імені користувача. Повноцінне TLS-з’єднання (яке дозволяє клієнтам і серверам безпечно взаємодіяти через мережу) також не потрібне, оскільки імпульсні запити можуть бути надіслані та отримані до того, як відбудеться обмін ключами та сертифікатами.

Якщо у вас є вразливий пристрій, радимо вжити заходів для захисту вашої інформації. Grangeia створив патчі для вразливих додатків hostapd і wpa_supplicant, які можна знайти на його сторінці на Github.

Рекомендації редакції

• Щойно придбали новий iPhone? Ось 12 порад та підказок, які допоможуть його освоїти
• Найкращі пропозиції для нових клієнтів Verizon Fios на грудень 2022 року
• Як завантажити відео з YouTube на iPhone або iPad
• Коли мій телефон отримає Android 13? Google, Samsung, OnePlus та багато іншого
• Найкращі пропозиції Google Pixel: Pixel 6, Pixel 7 та Pixel Watch

Source: digitaltrends.com