Nie, nie zhakowano znowu Signala

Coraz więcej mówi się o zagrożeniu wobec urzędników w Brukseli. Europejscy oficjele stali się celem kampanii mającej na celu przejęcie dostępu do ich kont na popularnych komunikatorach, takich jak Signal czy WhatsApp. Serwis POLITICO twierdzi, że dotarł do prezentacji, w której jednostka ds. cyberbezpieczeństwa, w lipcu ostrzegała przed tym, że rządy innych państw próbują włamywać się na konta wysokich rangą urzędników UE. 

TLDR:

• Signal ani WhatsApp NIE zostały zhackowane – to spearphishing na urzędników UE 📵
• Wariant 1: fałszywy “helpdesk” straszy pilnym alertem i wyłudza kod z SMS-a / PIN 📲
• Wariant 2: skan kodu QR → konto podpięte do urządzenia atakującego przez “Linked devices” 👀
• Ostrzegali Holendrzy (AIVD/MIVD – m.in. GRU/Sandworm) i Niemcy (BSI/BfV) 🇳🇱🇩🇪
• Wg POLITICO: 8 znaczących incydentów w tym roku, KE kazała zamknąć część grup na Signalu ⚠️

Tak naprawdę temat ciągnie się przynajmniej od marca, kiedy to holenderski wywiad (AIVD i MIVD) donosił o rosyjskiej kampanii próbującej przejąć dostęp do kont właśnie na komunikatorach Signal i WhatsApp. Rosyjscy cyberzbóje próbują przejąć kody weryfikacyjne i kody PIN, podając się np. za pomoc techniczną Signala. Ponadto próbowali wykorzystać opcję “Linked devices”, która jest dostępna na Signalu i Whatsappie. Holendrzy wprost podali, jacy threat aktorzy są odpowiedzialni za kampanię – wskazali m.in. jednostkę GRU – zapewne wielokrotnie czytaliście o ich kampaniach, bo to znana grupa Sandworm. Ofiarami tej kampanii z marca tego roku byli nie tylko pracownicy rządowi, ale również dziennikarze. Co ważne i warte podkreślania, kampania nie polegała na hackowaniu Signala lub Whatsappa, lecz na socjotechnice.

Również w tym roku, ale chwilę wcześniej, w lutym, media obiegła informacja, że Niemcy ostrzegają przed kampanią phishingową prowadzoną przez obce państwo, która za cel obrała wysokich rangą polityków, przedstawicieli wojska, dyplomacji, dziennikarzy i urzędników. Ponownie chodziło o próbę uzyskania dostępu do prywatnych kont na komunikatorach, w tym Signala. W ten sposób atakujący chcieli monitorować poufną korespondencję i być może przejąć dostęp do szerszej sieci. Ponownie zamiast przygotowywać malware lub wykorzystywać podatności, zdecydowano się na socjotechnikę. Niemcy nie pokusili się o wskazanie, z jakiego państwa pochodziły ataki, wskazując jedynie, że są prawdopodobnie to grupy hackerskie sponsorowane przez państwo.

BSI i BfV zidentyfikowały dwa warianty ataku – ponownie pojawia się tutaj wątek, że hackerzy podszywają się pod oficjalny helpdesk danej aplikacji i kontaktują się właśnie za pomocą komunikatora. Takie wiadomości próbują przestraszyć odbiorcę i zmusić go do bezmyślnego nagłego działania, strasząc, że jest to pilne ostrzeżenie dotyczące bezpieczeństwa, że może dojść do utraty prywatnych danych. Ofiary mają podzielić się PIN-em lub kodem z SMS-a. W drugim wariancie tego ataku wykorzystuje się opcję “linked devices”, ofiary są nakłaniane do zeskanowania kodu QR, który łączy konto z urządzeniem kontrolowanym przez atakującego. Schemat więc jest ten sam, jak w ataku, o którym donosił wywiad holenderski.

Wiadomo, że kampania wykorzystuje spear phishing, a w prezentacji nazwano to zagrożenie jednym z największych, przed którymi stoi Unia w tym roku. POLITICO twierdzi, że prezentacja, do której dotarł to pierwszy raz, gdy organ UE formalnie powiązał cyberataki z rządem innego państwa. Czy faktycznie tak jest? Cóż, tego nie wiemy.  

Komisja Europejska w odpowiedzi na to zagrożenie już na początku tego roku nakazała niektórym ze swoich najwyższych rangą urzędników zamknięcie grup na Signalu z obawy przed atakami. Krajowe organy ds. cyberbezpieczeństwa natomiast w tym samym czasie wzywały do rezygnacji z komercyjnych aplikacji do celów służbowych. 

W prezentacji wskazano, że w tym roku zaobserwowano osiem znaczących incydentów – tak przynajmniej twierdzi portal. Jednak ani Komisja Europejska, ani Signal czy Whatsapp nie skomentowali tych doniesień. 

~Black Hat Logan