Os pesquisadores de segurança da Varonis descobriram uma maneira de contornar a autenticação multifator (MFA) via SMS para contas Box. Os invasores com credenciais roubadas conseguiram comprometer a conta Box de uma organização e exfiltrar dados confidenciais sem precisar acessar o telefone da vítima.
Pesquisadores de segurança relataram essa vulnerabilidade ao Box via HackerOne em 3 de novembro de 2021, o que o levou a ser fechado. No mês passado, o Varonis Thread Labs demonstrou como contornar o MFA baseado em TOTP da Box. Ambas as lacunas deixam claro que a segurança na nuvem nunca deve ser considerada garantida, mesmo ao usar tecnologias aparentemente seguras, e que é necessária uma estratégia de segurança em várias camadas.
Código SMS sem telefone da vítima
Como a maioria dos aplicativos, o Box permite que usuários sem logon único (SSO) usem um aplicativo autenticador (como Okta Verify ou Google Authenticator) ou um SMS com um código de segurança único como a segunda etapa da autenticação. Depois de inserir um nome de usuário e senha no formulário de login, o Box define um cookie de sessão e direciona o usuário para um formulário para inserir uma senha temporária de uso único (TOTP) se o usuário estiver conectado a um aplicativo autenticador ou um formulário para inserir um códigos SMS se o usuário tiver optado por receber um código de segurança via SMS.
Mistura perigosa de métodos MFA
Um cookie de sessão também é gerado se o usuário não navegar para o formulário de verificação por SMS. Da mesma forma, os invasores precisam apenas inserir o endereço de e-mail e a senha do usuário, que eles já roubaram ou compraram na dark web, para receber um cookie de sessão válido. Depois que o cookie é gerado, os invasores podem cancelar o mecanismo MFA baseado em SMS (onde o usuário está conectado) e, em vez disso, iniciar o mecanismo MFA baseado em TOTP, misturando assim os modos MFA.
Fluxo do Ataque de Caixa
- Na autenticação multifator, o invasor faz login com um aplicativo autenticador e salva o ID do fator do dispositivo.
- O invasor insere o endereço de e-mail e a senha da vítima em account.box.com/login.
- Se a senha estiver correta, o navegador do invasor recebe um novo cookie de autenticação e é redirecionado para /2fa/verification.
- No entanto, em vez de seguir o redirecionamento para o formulário de verificação por SMS, o invasor publica seu próprio ID de fator e código do aplicativo autenticador para o terminal de verificação TOTP /mfa/verification.
- O invasor agora está conectado à conta da vítima, que não recebe uma mensagem SMS e, portanto, não percebe nada
O curso de tal ataque é ilustrado neste vídeo do YouTube.
Descobertas do ataque
A MFA é um passo importante para uma internet mais segura e uma autenticação mais confiável para aplicativos SaaS. Dito isso, o MFA pode fornecer uma falsa sensação de segurança: só porque o MFA está ativado não significa necessariamente que um invasor precise obter acesso físico ao dispositivo da vítima para comprometer sua conta. Portanto, a autenticação confiável só pode ser um nível de segurança.
Assim, essa vulnerabilidade também ilustra a necessidade de uma abordagem centrada em dados. "Confiar apenas na proteção do perímetro e na autenticação forte é totalmente negligente", explica Michael Scheffler, Country Manager DACH da Varonis Systems. “Os líderes de segurança devem se fazer as seguintes perguntas para revisar a eficácia de sua estratégia de segurança e fazer os ajustes necessários: Posso saber se o MFA foi desabilitado ou ignorado para um usuário em todos os meus aplicativos SaaS? Quantos dados um invasor pode acessar se comprometer uma conta de usuário comum? Os usuários só têm acesso aos arquivos de que realmente precisam? E somos capazes de detectar quando um usuário está acessando dados de maneiras incomuns?”
Mais em Varonis.com
Sobre Varonis Desde a sua fundação em 2005, a Varonis adotou uma abordagem diferente para a maioria dos fornecedores de segurança de TI, colocando os dados corporativos armazenados no local e na nuvem no centro de sua estratégia de segurança: arquivos e e-mails confidenciais, clientes confidenciais, informações de pacientes e pacientes Registros de funcionários, registros financeiros, planos estratégicos e de produtos e outras propriedades intelectuais. A Varonis Data Security Platform (DSP) detecta ameaças internas e ataques cibernéticos analisando dados, atividade de conta, telemetria e comportamento do usuário, evita ou atenua violações de segurança de dados bloqueando dados confidenciais, regulamentados e obsoletos e mantém um estado seguro dos sistemas através de uma automação eficiente.,