4 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Как хакеры могут украсть ваши пароли через WiFi 2020

Как хакеры могут украсть ваши пароли через WiFi 2020

Table of Contents:

  • Как хакеры могут красть пароли через WiFi
  • Что такое WindTalker и как работает ли это

Кажется, что почти все поддается критике, когда дело касается безопасности в Интернете. Мы видели даже самые лучшие системы безопасности, имеющие один или несколько недостатков, которые могут быть использованы для выгоды хакеров. Нет, некоторые профессора из трех университетов теперь продемонстрировали, что использование банковских паролей по WiFi уже не безопасно. Они придумали бумагу, чтобы показать, как хакеры могут украсть ваши пароли через WiFi. Это то, о чем мы поговорим в этой статье.

Как браузеры хранят ваши данные

Разработчики браузеров стремятся защитить информацию, которую им доверили. Для этого они шифруют информацию, а расшифровать ее можно только на том устройстве и из того аккаунта, в котором вы эту информацию сохранили. Так что если просто украсть файл с данными автозаполнения, то воспользоваться им не получится — в нем все надежно зашифровано.

Однако есть один нюанс. По умолчанию разработчики браузеров предполагают, что свои устройство и аккаунт вы хорошо защитили, поэтому программа, запущенная с вашего аккаунта на вашем компьютере, может без проблем достать и расшифровать сохраненные данные. Ведь она действует как бы от вашего имени. К сожалению, это относится и к зловреду, проникшему на устройство и запущенному под вашей учетной записью.

Единственный браузер, предлагающий дополнительную защиту сохраненной информации от посторонних, — это Firefox: в нем можно создать мастер-пароль, без ввода которого данные расшифровать не получится даже на вашем компьютере. Однако эта опция по умолчанию отключена.

Как стилеры воруют данные из Chrome

Google Chrome и другие браузеры на движке Chromium — например, Opera или Yandex.Браузер — всегда хранят данные пользователя в одном и том же месте, поэтому стилеру не составит проблем их найти. В теории эти данные хранятся в зашифрованном виде. Однако если зловред уже проник в систему, то все его действия происходят как бы от вашего имени.

Поэтому зловред просто вежливо просит специальную систему браузера, отвечающую за шифрование сохраненной на компьютере информации, расшифровать эти данные. Поскольку такие запросы от лица пользователя по умолчанию считаются безопасными, в ответ стилер получит ваши пароли и данные кредиток.

Объявление на форуме о продаже трояна-стилера. Источник: Securelist

Как стилеры воруют данные из Firefox

Firefox работает немного иначе: чтобы спрятать базу данных с паролями и прочим от посторонних, браузер создает для нее профиль со случайным именем, поэтому зловред не может заранее знать, где ее искать. Однако само название файла с сохраненными данными не меняется. Поэтому ничто не мешает стилеру перебрать все профили (ведь папки с ними собраны в одном месте) и опознать нужный файл.

После этого зловред опять-таки попросит соответствующий модуль браузера расшифровать файлы и тоже добьется успеха — ведь он действует якобы от вашего имени.

Как стилеры воруют данные из Internet Explorer и Edge

Родные браузеры Windows используют для ваших данных специальные хранилища. В разных версиях программ методы защиты вашей информации и сами хранилища различаются, но их надежность все равно оставляет желать лучшего: в этом случае зловред тоже без труда получит ваши пароли и данные кредиток, запросив их у хранилища от вашего имени.

Одним словом, проблема одинакова для всех браузеров и заключается в том, что расшифровку сохраненных в браузере данных зловред запрашивает как бы от имени пользователя, поэтому у браузера нет никаких оснований ему отказать.

Читать еще:  ТОП 10 Самых Лучших Ультрабуков

Получаем доступ к OneDrive

Для доступа к OneDrive нам потребуется указать адрес электронной почты пользователя (@hotmail.com, @live.com или @outlook.com) и его пароль. И если с первым проблем обычно никаких, то ломиться с подбором паролей в онлайновый сервис было бы в корне неправильно.

К счастью, в лобовой атаке нет никакой необходимости. Все, что нам потребуется для доступа в облако, — это компьютер пользователя, в качестве логина в котором использовалась учетная запись Microsoft Account. Компьютер можно выключенный. С этого компьютера нам нужно будет извлечь хеш пароля от учетной записи пользователя и провести атаку в попытке восстановить оригинальный текстовый пароль, который и будет использоваться для логина в OneDrive.

Итак, что нам для этого потребуется? В первую очередь нам нужно загрузить компьютер с флешки, на которую записана среда Windows PE или что-то на основе Linux. Создать такую флешку можно самостоятельно с помощью Rufus, а можно воспользоваться готовым решением класса Elcomsoft System Recovery.

Создаем загрузочную флешку

Xakep #211. Когда «Окна» смотрят в тебя

  • Содержание выпуска
  • Подписка на «Хакер»

При использовании бесплатного Rufus тебе потребуется загрузочный образ Windows PE, скачать который можно, например, с сайта Microsoft. Не забудь записать на ту же флешку утилиту для извлечения хешей паролей к учетным записям — к примеру, Pwdump.

Если же ты создаешь загрузочную флешку на базе Linux, то с извлечением хешей паролей помогут creddump или ophcrack.

Мы же для удобства воспользуемся Elcomsoft System Recovery. Первый шаг — создание загрузочной флешки (здесь важно указать правильный тип загрузчика; доступные варианты — 32-разрядный BIOS и 32- и 64-разрядный UEFI. Для большинства систем сгодится последний вариант. Для планшетов с Windows — второй, с 32-битным UEFI. Наконец, для старых систем, в которых есть режим совместимости с BIOS, можно использовать вариант с BIOS.

Выбираем тип загрузчика

Дальше нужно перегрузить компьютер, зайти в настройки BIOS/UEFI и сделать две вещи: изменить порядок загрузки (так, чтобы компьютер грузился с флешки, а не с жесткого диска) и отключить Secure Boot, если он включен.

Загружаем образ Elcomsoft System Recovery (или созданный Rufus’ом загрузочный образ). В случае с Elcomsoft нужная утилита запустится автоматически. При работе с самостоятельно созданной флешкой тебе придется активировать режим командной строки и запустить Pwdump. Нас интересует база данных SAM:

Можно заглянуть внутрь и проверить, присутствует ли в базе нужная учетная запись Microsoft Account (ее можно отличить по тому, что в качестве логина используется адрес электронной почты пользователя):

Далее выбираем Dump password hashes:

Если используется Pwdump, то достаточно просто запустить его и перенаправить вывод в файл:

Обрати внимание: Pwdump не знает, что такое учетные записи Microsoft Account, поэтому отобразит соответствующие им локальные аккаунты. Pwdump можно запускать и на уже загруженном компьютере, но тогда в некоторых случаях извлечь хеши не получится.

Запускаем pwdump.exe

На этом данный этап заканчивается. Переходим к взлому пароля.

Internet Explorer: как извлечь пароли из браузера

В Internet Explorer с помощью приведенных выше шагов вы сможете извлечь не все пароли. Для других вам понадобится дополнительный инструмент:

  • Скачайте бесплатно программу IE Asterisk Password Uncover.
  • Откройте инструмент и нажмите в левом верхнем углу зеленую кнопку воспроизведения.

  • Запустите Internet Explorer и откройте веб-страницу, для которой вам нужны ваши учетные данные.
  • После загрузки страницы программа отобразит как имя пользователя, так и пароль.

Стиллер паролей для браузеров на Windows | Разбор плюсов и минусов

Давайте разберемся, почему такие плюсы и минусы имеет наш стиллер паролей для браузеров.

Думаю первые пару пунктов в разборе не нуждаются, а вот простота в доработке, давайте посмотрим почему.

Ниже будет код программы, там видно, что стиллер крадет пароли из 3 браузеров, Opera, Mozilla, Chrome. Если вы захотите сделать его более объемным и добавить все браузеры, то вам нужно просто найти их директории и прописать пути.

Далее мгновенный запуск. Создаём файл autorun.inf и добавляем наш anyname.bat туда. Как только вы вставите флешку в ПК, произойдёт кража и её можно сразу вытаскивать. Это займет у секунду времени, однако тут сразу и минус. Autorun.inf не запускается на Windows 8+, так что придётся запускать батник вручную. Точнее сказать, автоматический запуск стал невозможен с последнего обновления безопасности Windows 7.

Постоянное созданиеудаление autorun.inf – если вы вставите флешку в ПК, а потом пойдёте домой и у вас Windows 8.1 или ниже, то пароли обновятся из-за авторана. Чтобы этого избежать его нужно постоянно удалять, однако в нашем скрипте уже всё есть. Он будет удален автоматически после запуска.

Читать еще:  Можно ли взломать VPN-сервис? Подробный обзор. Варианты vpn сервера в микротике

Для чего нужны менеджеры паролей

Сохранять пароли в одном месте

Главная функция менеджеров паролей — сохранять информацию об учётных записях пользователей. Можно применять собственный уникальный пароль для каждой отдельной учётной записи: программа сохранит и запомнит любое количество комбинаций.

Защищать данные

Конечно, вы можете сохранять свои пароли в браузере. Большинство популярных веб-браузеров имеет встроенные администраторы паролей. К примеру, вы регистрируетесь на сайте, а Google Chrome или Microsoft Edge предлагает вам сохранить пароль. При следующем входе на этот же сайт браузер автоматически заполнит нужные данные.

Плюс браузерных менеджеров паролей — синхронизация между разными устройствами и простота использования. Вам не нужно ничего дополнительно настраивать, достаточно дать согласие запоминать пароли. Однако безопасность сохраняется только на уровне основного приложения. Если посторонний человек получит полный доступ к браузеру, он сможет украсть сохранённые пароли или использовать их для входа в учётные записи.

Сторонние менеджеры паролей хранят всю информацию в зашифрованном и защищённом от взлома хранилище. Доступ к нему сможет получить только непосредственный владелец.

Автоматически заполнять формы

Приложение указывает информацию для авторизации в соответствии с сохранённым URL-адресом. Это предотвращает ошибки ввода и защищает от хакерских атак.

Генерировать сложные пароли

Для каждой новой учётной записи можно создать собственный уникальный пароль из хаотичной комбинации знаков, букв и цифр. Сгенерированный пароль может состоять из нескольких десятков или сотен символов.

Определять опасные сайты

Менеджер паролей определяет правильный URL-адрес для конкретного идентификатора входа и пары паролей. При несовпадении адресов и предполагаемой подмене URL ввод регистрационных данных отменяется.

Вот как Keeper работает с Edge

На любом устройстве, на котором используется браузер Microsoft Edge, менеджер паролей и цифровое хранилище Keeper хранит ваши пароли и личную информацию вне досягаемости для киберпреступников, и при этом вам не нужно помнить или вводить длинные сложные пароли.

Являющийся браузером по умолчанию на Windows 10, Windows 10 Mobile и консолях Xbox One, Microsoft Edge может использоваться на устройствах по всему вашему дому, и Keeper облегчает управление паролями для всех. Очень важно иметь надежное управление паролями в своей домашней обстановке.

Киберпреступники используют множество алгоритмов, чтобы подбирать и воровать пароли, и если вы используете ненадежные пароли или повторно используете пароли, вы можете легко стать их жертвой. При отсутствии надежной защиты паролей на всех ваших устройствах Edge, преступники могут украсть ваши пароли, вашу цифровую идентификацию, ваши деньги, вашу личную информацию и не только.

Вместо того, чтобы вспоминать десятки разных паролей и управлять ими, при использовании Keeper вы выбираете для своих устройств один надежный мастер-пароль, который используется только для доступа к вашему личному зашифрованному хранилищу Keeper. Затем Keeper делает всё остальное, предоставляя вам безопасный и удобный способ распоряжаться своими паролями, учетными данными, номера кредитных карт, номерами банковских счетов и другой личной информацией в Edge, в любом веб-браузере и в любой ОС.

Как крадут пароли из браузеров

Все стилеры, когда дело доходит до кражи данных из браузеров (паролей, информации о банковских картах, данных автозаполнения), действуют по практически одинаковой схеме.

Google Chrome и браузеры на основе Chromium

В браузерах, созданных на основе открытого исходного кода Chromium, сохраненные пароли защищены с помощью DPAPI (Data Protection API). При этом используется собственное хранилище браузера, выполненное в виде базы данных SQLite. Извлечь пароли из базы может только тот пользователь операционной системы, который их создал, а также только на том компьютере, на котором они были зашифрованы. Это обеспечивается особенностями реализации шифрования: ключ шифрования включает в себя в определенном виде информацию о компьютере и пользователе системы. Для обычного пользователя вне браузера и без специальных утилит эти данные недоступны.

Но все это не является препятствием для стилера, уже проникшего на компьютер: он запущен с правами этого самого пользователя, и в этом случае процесс получения всех сохраненных данных в браузере сводится к следующему:

  1. Получение файла базы данных. Chromium-браузеры хранят этот файл по стандартному и неизменному пути. Для того чтобы избежать проблем с доступом к нему (например, использование его в данный момент браузером), стилеры могут скопировать файл в другое место либо завершить все процессы браузера.
  2. Чтение зашифрованных данных. Как уже было сказано, браузеры используют БД SQLite, прочитать данные из нее можно стандартными инструментами.
  3. Расшифровка данных. Исходя из описанного выше принципа защиты данных, кража самого файла БД не поможет получить данные, т. к. их расшифровка должна проходить на компьютере пользователя. Но это не проблема: расшифровка осуществляется прямо на компьютере жертвы вызовом функции CryptUnprotectData. Никаких дополнительных данных злоумышленнику не нужно — все сделает DPAPI, так как вызов был сделан от имени пользователя системы. В результате функция возвращает пароли в «чистом», читабельном виде.
Читать еще:  Как определить тип операционной системы. Как узнать операционную систему и её разрядность. Чем питаются осы

Пример кода троянца-стилера Arkei, расшифровка данных, полученных из Chromium-браузера

Все! Сохраненные пароли, данные банковских карт, история посещений — все это получено и готово к отправке на сервер злоумышленника.

Firefox и браузеры на его основе

В браузерах на основе Firefox шифрование паролей происходит не совсем так, как в Chromium, но для стилера процесс их получения все так же прост.

В Firefox-браузерах для шифрования используется Network Security Services — набор библиотек от Mozilla для разработки защищенных приложений, в частности библиотека nss3.dll.

Как и в случае с браузерами на базе Chromium, получение данных из зашифрованного хранилища сводится к тем же простым действиям, но с некоторыми оговорками:

  1. Получение файла базы данных. Firefox-браузеры, в отличие от браузеров на базе Chromium, используют генерацию случайного имени профиля пользователя, что делает расположение файла с зашифрованными данными не определяемым заранее. Однако в силу того, что злоумышленник знает путь до папок с профилями пользователей, ему не составит труда перебрать их, «заглядывая» внутрь и проверяя на наличие файла с определенным именем (имя файла с зашифрованными данными, наоборот, не зависит от пользователя и всегда одинаково). При этом данные могут остаться, даже если пользователь удалил браузер, чем и пользуются некоторые стилеры (например, KPOT).
  2. Чтение зашифрованных данных. Данные могут храниться либо так же, как в Chromium, в формате SQLite, либо в виде JSON с полями, содержащими зашифрованные данные.
  3. Расшифровка данных. Для расшифровки данных стилеру необходимо подгрузить библиотеку nss3.dll, а затем вызвать несколько функций и получить расшифрованные данные в читаемом виде. Некоторые стилеры имеют функции работы напрямую с файлами браузера, что позволяет не зависеть от этой библиотеки и работать даже при удаленном браузере. Однако стоит отметить, что если пользователь воспользовался функцией защиты данных с помощью мастер-пароля, расшифровка без знания (или подбора) этого пароля невозможна. К сожалению, эта функция по умолчанию отключена, а для ее включения придется забраться глубоко в меню настроек.

Пример кода троянца-стилера Orion, расшифровка данных браузера на базе Firefox

И снова все! Данные готовы к отправке злоумышленнику.

Internet Explorer и Microsoft Edge

В версиях Internet Explorer 4.x–6.0 сохраненные пароли и данные автозаполнения хранились в так называемом Protected Storage. Для их получения (не только данных IE, но и других приложений, которые используют это хранилище) стилеру необходимо подгрузить библиотеку pstorec.dll и простым перечислением получить все данные в открытом виде.

В версиях 7 и 8 браузера Internet Explorer применяется несколько другой подход: для хранения используется Credential Store, шифрование осуществляется с использованием «соли». К сожалению, эта «соль» одинакова и хорошо известна, а потому стилер может также вызовом уже знакомой нам функции CryptUnprotectData получить все сохраненные пароли.

Internet Explorer 9 и Microsoft Edge используют новый тип хранилища — Vault. Но и оно не обещает ничего нового с точки зрения получения данных: стилер подгружает vaultcli.dll, вызывает несколько функций оттуда и получает все сохраненные данные.

Таким образом, даже череда изменений способа хранения данных не спасает от чтения данных стилерами.

Результаты тестов

Для тестов был написан универсальный программный сканер для SDR и NRF24 (github.com/chopengauer/nrf_analyze), который позволяет слушать эфир, находить и с высокой долей вероятности идентифицировать потенциально уязвимые устройства, что в свою очередь позволяет либо перехватывать данные, либо имитировать нажатия клавиатуры и клики мышкой, то есть подменять вводимые данные.

Атакующий может находиться, скажем, в машине около бизнес-центра или во дворе многоквартирного дома. Дистанция прослушивания трафика может достигать 100 метров, а при использовании направленных антенн и усилителей еще увеличивается. Если цель заключается в подмене данных и выполнении атаки MouseJack, то радиус нападения увеличивается до 0,5−1 км.

В тестах были достигнуты следующие результаты:

  • Microsoft (клавиатура и мышь) — получилось прослушивать и эмулировать, подменять и отправлять команды, а также осуществить атаку MouseJack;
  • A4Tech (мышь) — удалось подменять мышь и переходить на сайты;
  • Logitech (клавиатура и мышь) — удалось вывести их из строя.
Ссылка на основную публикацию
Статьи c упоминанием слов:
Adblock
detector