Un nuovo malware sfrutta le password di Google dopo il cambio di password.

• أداة iAuthFlow v2، المتوفرة في المنتديات الروسية، تُمكّن المهاجمين من البقاء في حسابات البريد الإلكتروني.
• تستخدم الأداة التصيّد الاحتيالي للحصول على بيانات الدخول، ثم تنشئ سرًا مفاتيح مرور (passkeys) يتحكم بها المهاجم لضمان الوصول الدائم.
• تشمل سبل الدفاع مراجعة مفاتيح المرور، ورموز OAuth، وقواعد البريد، وإزالة الطرق غير المصرح بها.

اكتشف باحثو الأمن مجموعة أدوات برمجيات خبيثة جديدة تُمكّن الجهات الفاعلة الخبيثة من إعادة تسجيل الدخول إلى حسابات البريد الإلكتروني المخترقة، حتى بعد تغيير كلمة المرور وإنهاء جميع الجلسات.

تُباع أداة iAuthFlow v2 حاليًا في منتديات الويب المظلم الروسية بسعر يتجاوز 10,000 دولار، وفقًا لتقرير جديد صادر عن خبراء الأمن السيبراني من شركة Abnormal، بعد أن حصلوا على نسخة من الأداة لتحليلها.

تعمل هذه البرمجيات الخبيثة بشكل أساسي كأداة تصيّد احتيالي، حيث تحاول خداع المستخدمين per accedere per me Account Google O Microsoft O iCloud O LinkedIn. بمجرد قيامهم بذلك، يتم تمرير بيانات الاعتماد إلى المهاجمين، الذين يقومون بتسجيل الدخول إلى الحسابات من جانبهم أيضًا. يحدث هذا قبل أن تعرض الأداة صفحة “جاري المعالجة” لبضع ثوانٍ، بينما تقوم في الخلفية بإعداد مفتاح مرور جديد.

كيفية الدفاع ضد iAuthFlow v2

مفتاح المرور (passkey) هو وسيلة مصادقة بديلة غالبًا ما تُوصف بأنها “قاتل كلمات المرور”. تستخدم هذه المفاتيح تشفيرًا مخزنًا على الجهاز، مما يتيح للمستخدمين تسجيل الدخول باستخدام بصمة الإصبع O مسح الوجه O رمز PIN الخاص بالجهاز.

نظرًا لأن المفتاح السري لا يغادر الجهاز أبدًا، فإنه مقاوم للتصيّد الاحتيالي. ومع ذلك، إذا تمكن المهاجم من إنشاء مفتاح خاص به على جهاز يمتلكه، فإن الوصول إلى الحساب يصبح مضمونًا بشكل أساسي.

يأتي الإعلان عن مجموعة الأدوات أيضًا مع عرض توضيحي بالفيديو يوضح كيفية عملها. في العرض التوضيحي، أنشأت iAuthFlow v2 مفتاح المرور بعد ست ثوانٍ من المصادقة.

ومع ذلك، فإن إنشاء مفتاح مرور ليس عملية مباشرة تمامًا وقد تواجه بعض العقبات، كما تلمح Abnormal، مشيرة إلى أن Google قد تتطلب، على سبيل المثال، مزيدًا من التحقق من الهوية قبل السماح بالتغيير.

عادةً، عندما يخترق مهاجم Account email، يكون إنهاء جميع الجلسات وتغيير كلمة المرور كافيًا عادةً.

في هذه الحالة، ومع ذلك، يجب على المستخدمين القيام بPlus: مراجعة الحساب بحثًا عن علامات الاختراق، بما في ذلك مفاتيح المرور O مفاتيح الأمان غير المصرح بها، وفلاتر Gmail وقواعد إعادة التوجيه الضارة، وتغييرات الوصول للاسترداد والوصول المفوض، والتطبيقات غير المصرح بها، كما تقترح Abnormal.

يجب عليهم أيضًا إلغاء صلاحيات ورموز OAuth ذات الصلة، والتحقيق في أحداث التدقيق المتاحة لتسجيل الدخول، وقواعد البريد، والتحقق بخطوتين (2-Step Verification)، ومفاتيح المرور (passkey)، وOAuth، وأخيرًا، التأكد من إزالة أي طرق مصادقة سجلها المهاجم.