MFA fatigue ve push bombing: onay istemi saldırıya dönüştüğünde
Çok faktörlü kimlik doğrulama, ikinci faktör bilinçli bir eylem istediğinde en iyi şekilde çalışır. Push onay istemi çok daha azını ister: tek bir dokunuş. MFA fatigue saldırıları — push bombing olarak da bilinir — tam bu boşluğu kullanır. Geçerli bir şifreye sahip olan saldırgan oturum açma denemelerini tekrar tekrar tetikler ve hedefin telefonunu onay istekleriyle doldurur; biri kabul edilene kadar: refleksle, sinirle ya da onaylamanın istekleri sonunda durduracağı inancıyla.
Push bombing saldırısı nasıl işler
Desen, güvenlik ekiplerinin belgelediği tüm vakalarda aynıdır. Saldırgan başka yerden çalınan kimlik bilgileriyle başlar — toplu satılan infostealer logları sık bir kaynak — ve şifrenin hâlâ çalıştığını doğrular. Sonra tekrar tekrar oturum açmayı dener, kurbanın kayıtlı cihazında push bildirimleri üretir. Her istem meşru bir istemle aynı görünür ve yılların zararsız günlük onayları birçok kullanıcıyı neredeyse düşünmeden onaylamaya alıştırmıştır. Kampanyalar çoğu zaman ikinci bir katman ekler: IT desteği rolünde arayan ya da yazan biri, hedefe isteklerin durması için onları kabul etmesini söyler. Kullanıcı tarafında bu tasarım gereği kafa karıştırıcıdır. İstem, sanki oturumu kullanıcı başlatmış gibi görünür ama bildirimde kimin başlattığını gösteren hiçbir şey yoktur. Prensipte istem bir güvenlik kontrolüdür; pratikte şifrenizi elinde tutan herkesin üretebileceği — ve üretmeye devam edebileceği — ekranınızda bir mesajdır; yorgunluk gerisini halledene dek. Böyle bir istemi güvenilmeyen girdi saymak, tam da bu saldırıların atlatmak istediği zihinsel değişimdir.Uber, Eylül 2022: ders kitabı örneği
En çok atıf alan örnek Eylül 2022 Uber ihlali olmaya devam ediyor. TechCrunch'ın haberine göre Uber, saldırıyı Lapsus$ ile ilişkilendirilen bir hacker'a bağladı ve harici bir taşeronun kurumsal şifresinin dark web pazarından satın alınmış olabileceğini, bildirilenlere göre RedLine infostealer kötücül yazılımının loglarından geldiğini söyledi. Şifre tek başına yetmedi, çünkü hesap ikinci bir faktör istiyordu. Saldırgan bir saatten uzun süre push istemleri tetikledi, sonra taşeronla WhatsApp'tan Uber IT rolünde iletişime geçti ve onayladığında bildirimlerin duracağını söyledi. Saldırgan sonucu TechCrunch'a tek cümleyle özetledi:And well, he accepted and I added my device.Bu onayla saldırgan kendi cihazını MFA için kaydetti ve Uber'in iç ağına VPN üzerinden girdi. BleepingComputer'ın belgelediği gibi erişim hızla genişledi: Uber'in Slack'inde ihlali duyuran bir mesaj belirdi ve saldırgan bulut konsollarına, Windows alanına ve şirketin HackerOne kayıtlarına ulaştı; bildirilenlere göre erişim kesilmeden önce özel güvenlik açığı raporlarını indirdi. Bir ağ paylaşımındaki PowerShell betiği, Uber'in ayrıcalıklı erişim platformunun yönetici kimlik bilgilerini açığa vuruyordu. TechCrunch'ın haberi, number matching'in bildirilenlere göre önemli olan yerde etkin olmadığını not etti.
Cisco: aynı kaldıraç, farklı kullanım
Cisco'nun olay müdahale ekibi Talos aynı yıl paralel bir vakayı belgeledi. 24 Mayıs 2022'de Cisco, bir çalışanın kişisel Google hesabıyla başlayan bir ihlalden haberdar oldu; hesapta Chrome'da kayıtlı kurumsal kimlik bilgileri senkronize ediliyordu. Saldırgan güvenilir bir destek kuruluşu rolündeki sesli oltalama aramalarını tekrarlanan MFA push istekleriyle birleştirdi ve biri kabul edilene kadar sürdürdü; sonuç VPN erişimiydi. Talos, orta-yüksek güvenle aktörün UNC2447, Lapsus$ ve Yanluowang fidye yazılımı operatörleriyle bağlantılı bir ilk erişim komisyoncusu olduğunu değerlendirdi ve etkinliği pre-ransomware olarak tanımladı: önce erişim, sonra para. İki ihlal, aynı kapı: baskıyla onaylanan push istemi.Number matching ve hafifletme merdiveni
Hafifletme yöntemleri iyi biliniyor. CISA'nın rehberliği nettir: "phishing'e dayanıklı MFA, tüm sektör liderlerinin hedeflemesi gereken standarttır ama herhangi bir MFA hiç olmamasından iyidir". Kurum FIDO/WebAuthn'ı yaygın olarak bulunabilen tek phishing'e dayanıklı seçenek olarak gösterir ve mümkün olmadığı yerde "mobil push bombardımanını engellemek için numara eşleştirmeli MFA" önerir. Microsoft number matching'i standart hale getirdi Authenticator push bildirimleri için: oturum açma ekranı bir numara gösterir, onay için o numara uygulamaya yazılır. Bağlam dışı bir istemin yazılacak numarası yoktur — tekniğin kör onayı yendiği yer tam olarak budur.- Beklenmedik her istemi güvenilmeyen girdi sayın: reddedin, bildirin ve test edilen şifreyi değiştirin.
- Tek dokunuşla onaylanan push yerine bilinçli eylem isteyen faktörleri tercih edin — kimlik doğrulayıcı kodları ya da donanım anahtarları.
- İş ya da yüksek değerli kimlik bilgilerini kişisel tarayıcı profiline asla senkronize etmeyin; Cisco'daki saldırgan tam oradan girdi.
- Donanım güvenlik anahtarlarını en önemli hesaplar için saklayın; TechCrunch'a göre Cloudflare'de benzer bir saldırıyı onlar tuttu.