Ρώσοι χάκερ εκμεταλλεύονται τη δυνατότητα «Συνδεδεμένες συσκευές» του Signal για να κατασκοπεύουν κρυπτογραφημένες συνομιλίες

Εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας εγείρουν συναγερμό μετά την αποκάλυψη μιας μυστικής εκστρατείας hacking από Ρώσους επιτιθέμενους επιτιθέμενους που παραβιάζουν λογαριασμούς Signal Messenger για να παρακολουθούν ιδιωτικές, κρυπτογραφημένες συνομιλίες σε πραγματικό χρόνο.

Σε μια έρευνα που κυκλοφόρησε πρόσφατα, ερευνητές ασφαλείας από το Mandiant, ένα τμήμα της Google, προειδοποιούν ότι πολλές ρωσικές ομάδες Advanced Persistent Threat (APT) έχουν αναπτύξει μια ισχυρή μέθοδο για να παραβιάσουν τη λειτουργία "συνδεδεμένων συσκευών" του Signal - μια βασική δυνατότητα που επιτρέπει στους χρήστες να συγχρονίζουν την ασφαλή εφαρμογή ανταλλαγής μηνυμάτων τους σε πολλά τηλέφωνα, tablet ή υπολογιστές.

Ωστόσο, αυτή η ευκολία μετατρέπεται σε ένα επικίνδυνο όπλο. Εκμεταλλευόμενοι συνδεδεμένες συσκευές, οι χάκερ μπορούν να πατήσουν αόρατα τους λογαριασμούς των θυμάτων και να παρακολουθούν τα κρυπτογραφημένα μηνύματά τους χωρίς να παραβιάζουν την κρυπτογράφηση από άκρο σε άκρο της Signal. Μόλις αποκτηθεί πρόσβαση, κάθε μήνυμα αντιγράφεται απευθείας στους εισβολείς — χωρίς να το γνωρίζει ποτέ ο στόχος.

Πώς λειτουργεί η επίθεση: Ψάρεμα κωδικού QR και αεροπειρατεία συσκευής

Η μέθοδος των χάκερ βασίζεται στην εξαπάτηση. Τα θύματα εξαπατούνται για να σαρώσουν κακόβουλους κωδικούς QR που μοιάζουν με νόμιμες προσκλήσεις ομάδας Signal ή οδηγίες σύζευξης συσκευών. Αφού σαρωθεί, η συσκευή των εισβολέων προστίθεται κρυφά στον λογαριασμό Signal του θύματος ως «συνδεδεμένη συσκευή».

Από εκείνη τη στιγμή και μετά, όλα τα μηνύματα - τόσο σταλμένα όσο και λαμβανόμενα - αντικατοπτρίζονται σε πραγματικό χρόνο στο σύστημα του εισβολέα. Αυτό παρακάμπτει την ισχυρή κρυπτογράφηση του Signal επειδή οι εισβολείς είναι πλέον εξουσιοδοτημένος συμμετέχων, χωρίς να παραβιάζουν την κρυπτογράφηση αλλά να συμμετέχουν κρυφά στη συνομιλία.

Η έκθεση της Mandiant τονίζει ότι:

• Οι ρωσικές ομάδες APT που ευθυγραμμίζονται με το Κρεμλίνο έχουν δει να χρησιμοποιούν αυτήν τη μέθοδο σε επιθέσεις phishing που στοχεύουν στρατιωτικό προσωπικό, πολιτικούς, δημοσιογράφους και ακτιβιστές - άτομα που συνήθως βασίζονται στο Signal για ασφαλείς επικοινωνίες.
• Αυτές οι σελίδες phishing μιμούνται συχνά την επίσημη διεπαφή του Signal ή παρουσιάζονται ως αξιόπιστες εφαρμογές όπως το εργαλείο καθοδήγησης πυροβολικού του ουκρανικού στρατού, το Kropyva.
• Σε σενάρια πεδίου μάχης, οι ρωσικές δυνάμεις έχουν πιαστεί να χρησιμοποιούν συσκευές που έχουν καταληφθεί για να συνδέσουν λογαριασμούς Signal πίσω στους διακομιστές τους για συλλογή πληροφοριών.

Invisible Access: Γιατί αυτό το Exploit είναι τόσο επικίνδυνο

Μία από τις πιο ανησυχητικές πτυχές αυτής της επίθεσης είναι το πόσο αθόρυβα λειτουργεί. Οι χρήστες σήματος συνήθως δεν λαμβάνουν αξιοσημείωτες ειδοποιήσεις όταν μια νέα συσκευή συνδέεται με τον λογαριασμό τους. Αυτό επιτρέπει στους χάκερ να διατηρούν μακροχρόνια παρακολούθηση χωρίς εντοπισμό.

Η Mandiant περιγράφει την τεχνική ως μια «μορφή αρχικής πρόσβασης χαμηλής υπογραφής», που σημαίνει ότι αφήνει λίγα ίχνη πίσω της. Χωρίς να ελέγχουν ενεργά τις ρυθμίσεις τους για τις «Συνδεδεμένες συσκευές», τα θύματα ενδέχεται να μην γνωρίζουν για μήνες —ή και περισσότερο— ότι οι ιδιωτικές συνομιλίες τους μεταδίδονται σε εχθρικούς ηθοποιούς.

Ευρύτερος στόχος: Το WhatsApp και το Telegram επίσης σε κίνδυνο

Ενώ το Signal είναι η τρέχουσα εστίαση, η Mandiant τονίζει ότι αυτός ο τύπος επίθεσης συνδεδεμένης συσκευής δεν είναι μοναδικός για το Signal. Ρώσοι χάκερ αναπτύσσουν παρόμοιες τακτικές εναντίον άλλων ευρέως χρησιμοποιούμενων εφαρμογών ανταλλαγής μηνυμάτων, συμπεριλαμβανομένων των WhatsApp και Telegram.

Όλες αυτές οι εφαρμογές επιτρέπουν το συγχρονισμό πολλών συσκευών και η διαδικασία συχνά περιλαμβάνει κωδικούς QR για ευκολία—καθιστώντας τις ώριμες για κατάχρηση μέσω phishing.

Κατασκοπεία πραγματικού κόσμου: Στρατιωτικοί και πολιτικοί στόχοι

Η κύρια εστίαση των επιτιθέμενων φαίνεται να είναι η συλλογή πληροφοριών από άτομα και ομάδες υψηλής αξίας, όπως:

• Ουκρανικό στρατιωτικό προσωπικό
• ευρωπαίοι πολιτικοί
• Δημοσιογράφοι ερευνητές
• Ακτιβιστές ανθρωπίνων δικαιωμάτων

Μια ιδιαίτερα εξελιγμένη επιχείρηση είδε τη διαβόητη ομάδα hacking της Ρωσίας Sandworm να αξιοποιεί αυτήν την τεχνική στο πεδίο της μάχης. Αφού κατέλαβαν τα τηλέφωνα των εχθρικών στρατιωτών, συνέδεσαν τις συσκευές με την υποδομή τους, δίνοντάς τους τη δυνατότητα να κατασκοπεύουν τις στρατιωτικές επικοινωνίες σε πραγματικό χρόνο.

Σημάδια ότι μπορεί να είστε σε κίνδυνο

Δεδομένου ότι αυτή η μέθοδος επίθεσης έχει σχεδιαστεί για να είναι αθόρυβη, ο αυτοέλεγχος είναι ζωτικής σημασίας. Ακολουθούν ορισμένα βήματα για τον εντοπισμό και την αποτροπή μη εξουσιοδοτημένης πρόσβασης:

1. Ελέγχετε τακτικά τις Συνδεδεμένες συσκευές: Ανοίξτε την εφαρμογή Signal, μεταβείτε στις Ρυθμίσεις → Συνδεδεμένες συσκευές και επιθεωρήστε προσεκτικά τη λίστα. Εάν δείτε μια άγνωστη συσκευή, αποσυνδέστε τη αμέσως.

Τι πρέπει να κάνουν τώρα οι χρήστες σήματος

Η έκθεση του Mandiant είναι μια απογοητευτική υπενθύμιση ότι καμία εφαρμογή δεν είναι απρόσβλητη στην εκμετάλλευση —ειδικά όταν αντιμετωπίζουμε φορείς εθνικών κρατών με τεράστιους πόρους. Η κρυπτογράφηση από άκρο σε άκρο του Signal παραμένει ισχυρή, αλλά αυτή η επίθεση παρακάμπτει την κρυπτογράφηση εκμεταλλευόμενη την ανθρώπινη συμπεριφορά και την ευκολία συγχρονισμού συσκευών της εφαρμογής.

Εάν ασκείτε ένα ευαίσθητο επάγγελμα ή ζείτε σε μια περιοχή με ενεργές απειλές παρακολούθησης, ο έλεγχος των ρυθμίσεων ασφαλείας του σήματος θα πρέπει να γίνει τακτική συνήθεια.

Οι ειδικοί ασφαλείας τονίζουν ότι η επαγρύπνηση είναι το κλειδί:

• Οι χρήστες υψηλού κινδύνου (στρατιωτικό προσωπικό, δημοσιογράφοι, ακτιβιστές) θα πρέπει να ελέγχουν τις συνδεδεμένες συσκευές κάθε εβδομάδα.
• Αποφύγετε τη σάρωση κωδικών QR εκτός εάν είναι απολύτως βέβαιοι για την προέλευσή τους.
• Αναφέρετε ύποπτα μηνύματα ή απόπειρες phishing στην ομάδα IT του οργανισμού σας ή στον πάροχο ασφάλειας στον κυβερνοχώρο.

Μια νέα εποχή σιωπηλής επιτήρησης

Η εκμετάλλευση των χαρακτηριστικών «συνδεδεμένων συσκευών» της Signal σηματοδοτεί μια ανατριχιαστική εξέλιξη στην κυβερνοκατασκοπεία που υποστηρίζεται από το κράτος. Σε αντίθεση με το κακόβουλο λογισμικό που αφήνει ίχνη ή διακόπτει τα συστήματα, αυτή η μέθοδος λειτουργεί αθόρυβα, αναμειγνύεται στο παρασκήνιο ενώ διοχετεύει ευαίσθητες συνομιλίες στις ρωσικές υπηρεσίες πληροφοριών.