Az orosz hackerek kihasználják a Signal „Linked Devices” funkcióját, hogy kémkedjenek a titkosított beszélgetések után
Kiberbiztonsági szakértők riasztást adnak, miután felfedték az orosz államilag támogatott támadók lopakodó hackerkampányát, amely Signal Messenger fiókokat térít el, hogy valós időben lehallgathassa a privát, titkosított beszélgetéseket.
Egy újonnan kiadott vizsgálat során a Mandiant, a Google egyik részlege biztonsági kutatói arra figyelmeztetnek, hogy több orosz Advanced Persistent Threat (APT) csoport hatékony módszert fejlesztett ki a Signal „kapcsolt eszközök” funkciójának veszélyeztetésére – ez a kulcsfontosságú képesség, amely lehetővé teszi a felhasználók számára, hogy biztonságos üzenetküldő alkalmazásukat több telefon, táblagép vagy számítógép között szinkronizálják.
Ezt a kényelmet azonban veszélyes fegyverré csavarják. Az összekapcsolt eszközök kihasználásával a hackerek láthatatlanul hozzáférhetnek az áldozatok fiókjaihoz, és figyelhetik titkosított üzeneteiket anélkül, hogy feltörnék a Signal végpontok közötti titkosítását. A hozzáférés megszerzése után minden üzenet közvetlenül a támadókhoz másolódik – anélkül, hogy a célpont tudná.
Tartalomjegyzék
Hogyan működik a támadás: QR-kód adathalászat és eszközeltérítés
A hackerek módszere a megtévesztésen alapul. Az áldozatokat ráveszik arra, hogy olyan rosszindulatú QR-kódokat olvassanak be, amelyek úgy néznek ki, mint a Signal csoport legitim meghívói vagy az eszközpárosítási utasítások. A beolvasás után a támadó eszköze titokban hozzáadódik az áldozat Signal fiókjához, mint „kapcsolt eszköz”.
Ettől a pillanattól kezdve minden üzenet – a küldött és a fogadott egyaránt – valós időben tükröződik a támadó rendszerében. Ez megkerüli a Signal robusztus titkosítását, mivel a támadók immár felhatalmazott résztvevők, nem törik meg a titkosítást, hanem lopva csatlakoznak a beszélgetéshez.
A Mandiant jelentése kiemeli, hogy:
- A Kremlhez igazodó orosz APT csoportok ezt a módszert használták adathalász támadásokban, amelyek katonai személyzetet, politikusokat, újságírókat és aktivistákat céloznak meg – olyan személyeket, akik általában a Signalra támaszkodnak a biztonságos kommunikáció érdekében.
- Ezek az adathalász oldalak gyakran utánozzák a Signal hivatalos felületét, vagy olyan megbízható alkalmazásoknak tűnnek, mint az ukrán hadsereg tüzérségi irányító eszköze, a Kropyva.
- Harctéri forgatókönyvekben az orosz erőket elkapták, hogy elfogott eszközöket használnak, hogy visszakapcsolják a Signal fiókokat a szervereikhez információgyűjtés céljából.
Láthatatlan hozzáférés: Miért olyan veszélyes ez a kizsákmányolás?
Ennek a támadásnak az egyik leginkább aggasztó aspektusa az, hogy milyen csendesen működik. A Signal felhasználók általában nem kapnak észrevehető figyelmeztetést, ha új eszközt kapcsolnak a fiókjukhoz. Ez lehetővé teszi a hackerek számára, hogy észlelés nélkül hosszú távú felügyeletet tartsanak fenn.
A Mandiant a technikát „a kezdeti hozzáférés alacsony aláírású formájaként” írja le, ami azt jelenti, hogy kevés nyomot hagy maga után. A „Linked Devices” beállításainak aktív ellenőrzése nélkül az áldozatok hónapokig – vagy még tovább – nem tudnak arról, hogy privát beszélgetéseiket ellenséges szereplőknek közvetítik.
Tágabb cél: WhatsApp és Telegram is veszélyben
Míg jelenleg a Signal áll a középpontban, a Mandiant hangsúlyozza, hogy ez a fajta összekapcsolt eszközre irányuló támadás nem egyedülálló a Signal esetében. Az orosz hackerek hasonló taktikákat alkalmaznak más, széles körben használt üzenetküldő alkalmazásokkal, köztük a WhatsApp-pal és a Telegrammal szemben is.
Ezen alkalmazások mindegyike lehetővé teszi a több eszköz közötti szinkronizálást, és a folyamat gyakran QR-kódokat is tartalmaz a kényelem kedvéért, így azok alkalmasak az adathalászattal való visszaélésre.
Valós kémkedés: katonai és politikai célpontok
Úgy tűnik, hogy a támadók elsődleges célja a hírszerzés nagy értékű személyektől és csoportoktól, többek között:
- Ukrán katonai személyzet
- európai politikusok
- Oknyomozó újságírók
- Emberi jogi aktivisták
Az egyik különösen kifinomult művelet során Oroszország hírhedt Sandworm hackercsoportja alkalmazta ezt a technikát a csatatéren. Miután elfoglalták az ellenséges katonák telefonjait, összekapcsolták az eszközöket az infrastruktúrájukkal, így valós időben kémkedhettek a katonai kommunikáció után.
Jelek arra, hogy veszélybe kerülhet
Mivel ezt a támadási módszert úgy tervezték, hogy csendes legyen, az önellenőrzés kulcsfontosságú. Íme néhány lépés a jogosulatlan hozzáférés észlelésére és megakadályozására:
- Rendszeresen tekintse át a kapcsolt eszközöket: Nyissa meg a Signal alkalmazást, válassza a Beállítások → Kapcsolt eszközök menüpontot, és alaposan ellenőrizze a listát. Ha ismeretlen eszközt lát, azonnal válassza le azt.
Mit kell most tenniük a jelfelhasználóknak
A Mandiant jelentése kijózanító emlékeztető, hogy egyetlen alkalmazás sem mentes a kizsákmányolástól – különösen, ha hatalmas erőforrásokkal rendelkező nemzetállami szereplőkkel kell szembenéznie. A Signal végpontok közötti titkosítása robusztus marad, de ez a támadás megkerüli a titkosítást, kihasználva az emberi viselkedést és az alkalmazás eszközszinkronizálásának kényelmét.
Ha érzékeny szakmában dolgozik, vagy olyan régióban él, ahol aktív felügyeleti fenyegetések fenyegetnek, a jelbiztonsági beállítások ellenőrzése rendszeres szokássá kell váljon.
A biztonsági szakértők hangsúlyozzák, hogy az éberség kulcsfontosságú:
- A magas kockázatú felhasználóknak (katonai személyzet, újságírók, aktivisták) hetente ellenőrizniük kell az összekapcsolt eszközöket.
- Kerülje a QR-kódok beolvasását, hacsak nem teljesen biztos a forrásukban.
- Jelentse a gyanús üzeneteket vagy adathalászati kísérleteket szervezete informatikai csapatának vagy kiberbiztonsági szolgáltatójának.
A csendes megfigyelés új korszaka
A Signal „összekapcsolt eszközök” funkciójának kiaknázása az állam által támogatott kiberkémkedés döbbenetes fejlődését jelzi. Ellentétben a rosszindulatú programokkal, amelyek nyomokat hagynak vagy megzavarják a rendszereket, ez a módszer csendesen működik, a háttérbe keveredve, miközben érzékeny beszélgetéseket továbbít az orosz titkosszolgálatoknak.