PoisonSeed è riuscito ad aggirare la protezione FIDO
Il team di ricercatori di Expel ha individuato una nuova tecnica di attacco in grado di aggirare la protezione FIDO per compromettere gli account delle vittime. Secondo l’analisi di Ben Nahorney e Brandon Overstreet, dietro la campagna di social engineering ci sarebbe PoisonSeed, un gruppo già noto per campagne di phishing su ampia scala.
I ricercatori spiegano che la tecnica sfrutta la feature di cross-device sign-in delle chiavi FIDO, la quale consente a un utente di effettuare il login al proprio account su sistemi senza passkey usando un dispositivo registrato, come per esempio uno smartphone. Il gruppo ha sfruttato la funzionalità per eseguire attacchi adversary-in-the-middle.
Nel dettaglio, l’attacco comincia con l’invio di un’email di phishing alle vittime che riporta a una finta pagina di login. Gli utenti presi di mira hanno una chiave FIDO registrata al proprio account e normalmente viene richiesta l’interazione fisica con la chiave per autenticarsi.
Le informazioni di login vengono inviate al portale legittimo di login e contestualmente viene inviata una richiesta per utilizzare la feature di cross-device sign-in. Nel frattempo, all’utente viene mostrato un codice QR da scansionare con il dispositivo che ha la passkey per l’autenticazione, ovvero l’autenticatore per la MFA. “L’utente scansiona il codice con l’autenticatore MFA, il portale di login e l’autenticatore comunicano e gli attaccanti entrano nell’account” spiegano i ricercatori.
Sfruttando questa funzionalità PoisonSeed è riuscito a neutralizzare la protezione delle chiavi FIDO, riuscendo ad accedere a documenti, applicazioni e servizi dell’account.
“Si tratta di uno sviluppo preoccupante, dato che le chiavi FIDO sono spesso considerate uno degli apici dell’autenticazione sicura a più fattori.Sebbene non sia stata scoperta una vulnerabilità nelle chiavi FIDO, i responsabili IT e SecOps dovranno prendere nota: questo attacco dimostra come un malintenzionato possa eseguire un attacco di successo usando una chiave FIDO installata” sottolineano i ricercatori.
Quello eseguito da PoisonSeed non è in realtà l’unico attacco che sfrutta le chiavi FIDO per prendere il controllo degli account: in un altro incidente di sicurezza analizzato dal team, gli attaccanti sono riusciti a effettuare il reset della password utente e poi generare una propria chiave FIDO.
Nonostante la protezione FIDO sia vittima di un numero sempre maggiore di attacchi negli ultimi tempi, rimane comunque una soluzione fondamentale per la protezione degli account, ma è importante prestare attenzione ai possibili segnali di compromissione ed essere consapevoli della diffusione degli attacchi di phishing.
Altro in questa categoria