Придуман способ массового взлома аккаунтов Facebook

Синх нашел проблему в механизме, при помощи которого социальная сеть обнуляет забытые пароли пользователей. Как только кто-то запрашивает смену пароля, Facebook осуществляет эту операцию через генерацию случайного шестизначного кода, то есть комбинаций для таких кодов может быть всего 10⁶ = 1 000 000.

Исследователь обнаружил, что если запросить смену пароля через mbasic.facebook.com, шестизначный код сменится и придет в негодность лишь после его использования, то есть, фактически у него нет «срока годности». Синх понял, что если миллион человек запросит смену пароля примерно одновременно, то код, который социальная сеть создаст для миллион первого, будет дублировать чей-то еще.

Для проверки своей теории исследователь собрал базу Facebook ID, забрасывая запросами API Facebook Graph API. Синх методично перебирал ID, начиная с 100 000 000 000 000. Дело в том, что ID — это уникальный идентификатор, обычно состоящий из 15 символов. С ID разрешено работать только авторизованным приложениям, но если попытаться воспользоваться адресом www.facebook.com/[ID], произойдет редирект, ID будет автоматически заменен на имя пользователя. Что подтвердит верность ID. Также исследователь смог присовокупить к своей базе фотографии профилей и полные имена пользователей, так как социальная сеть никак не ограничивала распространение этой свободной информации. Суммарно Синх собрал информацию о двух миллионах учетных записей.

Имея на руках базу, состоящую из двух миллионов пользователей, Синх написал скрипт, который использовал сотни прокси и рендомных user-agent. Скрипт запрашивал сброс паролей для всех двух миллионов пользователей, быстро исчерпывая пул «одноразовых» шестизначных кодов. Затем исследователь выбрал случайное число (к примеру, 33825) и начал процедуру смены пароля, брутфорсом перебирая весь имеющийся двухмиллионный список. Надежды Синха полностью оправдались, так как в итоге в списке действительно удалось обнаружить пользователей, которым шестизначный код подходил, то есть алгоритм Facebook действительно начал повторяться, как и предполагалось.

Хотя компания уже выпустила патч, призванный устранить обнаруженную Синхом проблему, исследователь не уверен, что проблема полностью решена.

1.3K постов 23.1K подписчик

Обязательно к прочтению для авторов:

1. Если вы добавляете пост, утверждающий об утечке данных или наличии дыр в системе, предоставьте ссылку на источники или технически подкованное расследование. Посты из разряда "Какой-то банк слил данные, потому что мне звонили мошенники" будут выноситься в общую ленту. 2. Все вопросы "Как обезопасить сервер\приложение\устройство" - в лигу "Компьютер это просто".

Обязательно к прочтению для всех:

Добавление ссылки разрешено если она не содержит описание коммерческих (платных) продуктов и/или идентификаторов для отслеживания перехода и для доступа не нужен пароль или оплата в т.ч. интернет-ресурсы, каналы (от 3-х тематических видео), блоги, группы, сообщества, СМИ и т.д.

Запрещены политические holy wars.

По решению модератора или администратора сообщества пользователь будет забанен за:

1. Флуд и оскорбление пользователя, в т.ч. провокация спора, флуда, холивара (высказывание без аргументации о конкретной применимости конкретного решения в конкретной ситуации), требование уже данного ответа, распространение сведений порочащих честь и репутацию, принижающих квалификацию оппонента, переходы на личности.

2. Публикацию поста/комментария не соответствующего тематике сообщества, в том числе обсуждение администраторов и модераторов сообщества, для этого есть специальное сообщество.

3. За обвинение в киберпреступной деятельности.

4. За нарушение прочих Правил Пикабу.

Желтые заголовки такие желтые!

т.е. из 2х миллионов код подходит к двум! Потом два ляма итераций нужно повторить снова, ведь

И можно восстановить пароль еще целым двум страницам! Под массовый взлом никак не подходит.

Месяц профукал на неблагодарных фейсбуковских лентяев. Зачем?

А я еще думал, почему фб шатало пару дней.

А еще думал, почему ФБ почикал так много нормальных методов в АПИ, зато дыру оставил, лол.

надеюсь ему подарили кружку и карандаш?

"применить социальную инженерию" - это должно быть проблемой пользователей.

а для ВК эта фишка работает?

А потом его взяли на работу в лицокнигу=)

Как он сможет войти, если ему нужно знать дату рождения? Я с паролем и почтой не могу войти. Когда создавал акк, решил не раскрывать все свои данные и указал левую дату рождения. А через некоторое время не смог зайти, т.к. эта сука требует дату и не ипет. Пришлось создавать новый акк.

А почему просто не перебирать 1000 000 вариантов для одного нужного пользователя? Или после определенного количества попыток код меняется?

"компания уже выпустила патч"

Как же глупо это звучит по отношению к Facebook.

"Компания mail.ru выпустила патч для vkontake, который добавляет новый дизайн"

Процессы, происходящие в обоих случаях по своей сути полностью идентичны, но второй случай наиболее полно раскрывает весь абсурд таких высказываний

пффффф, у меня брат в фейсбуке работает. он мне так пароль даст

Или бред или херовый перевод.

Зачем запрашивать сброс пароля 2 млн. пользователей, чтобы потом брутфорсить один аккаунт?

как дела у вконтакшле, там ид даже узнавать не надо.

В сеть утекли личные данные более 500 млн пользователей Facebook

Это может стать одной из крупнейших утечек компании

Телефонные номера и личные данные более 553 млн пользователей Facebook утекли в сеть. Они были опубликованы на хакерском форуме и распространялись бесплатно. В базе данных были пользователи как минимум из 100 стран. Из России — около 10 млн.

Если быть точнее, в сеть утекли телефонные номера, Facebook ID, полные имена, местоположение, даты рождения и электронные почтовые адреса. Журналисты проверили данные, сопоставив номера телефонов известных им пользователей Facebook с идентификаторами. Утечка оказалась не ложной. Эксперты говорят, что злоумышленники могут использовать эти данные для взлома или мошенничества.

Это не первый раз, когда Facebook допускает утечку пользовательской информации. Наиболее громкой историей, связанной с этим, был скандал с Cambridge Analytica. Эта компания смогла собрать личные данные пользователей Facebook, чтобы оказать влияние на их политические предпочтения.

Хакер пообещал удалить страницу Марка Цукерберга на Facebook в прямом эфире

«Белый» хакер из Тайваня утверждает, что в грядущее воскресенье он будет транслировать взлом и удаление страницы основателя Facebook Марка Цукерберга в прямом эфире на той же самой платформе. Он написал об этом в Facebook своим 26 000 друзей. Сообщается, что Чан Чи-янь (Chang Chi-yuan) в своей стране хорошо известен.

Ранее Чан уже занимался поиском слабых мест на популярных платформах за вознаграждение. Кстати, у Facebook работает постоянная программа поиска багов и уязвимостей. Платформа вознаграждает исследователей безопасности, которые сообщают о такого рода проблемах службе поддержки.

Если Чан Чи-яню удастся его план, это будет не первый успешный взлом страницы Цукерберга. Еще в 2011 году другому хакеру удалось успешно опубликовать обновление статуса учетной записи Цукерберга. Трансляция (если, конечно, Facebook ее не запретит) начнется в воскресенье в 13:00 по московскому времени.

Глава компании SEC Consult взломал мошенников, прислав им вредоносный PDF

В начале августа 2016 года французский исследователь Иван Квиатковски проучил мошенников, выдававших себя за специалистов технической поддержки. Дело в том, что скаммеры атаковали родителей специалиста, с чем он мириться не пожелал и хитростью вынудил мошенника установить шифровальщика Locky на свой компьютер. О похожем поступке недавно рассказал и глава сингапурского подразделения компании SEC Consult, Флориан Лукавски (Florian Lukavsky). Он сумел скомпрометировать мошенников более крупного калибра и передал все собранные о них данные в руки правоохранительных органов.

О содеянном Лукавски рассказал журналистам издания The Register на конференции Hack in the Box, прошедшей в Сигнапуре, в августе 2016 года. Эксперту удалось разоблачить так называемых скаммеров-китобоев (или whaling-скаммеров). Основной бизнес таких парней заключается в организации хитроумных афер с применением социальной инженерии. Мошенники рассылают сотрудникам крупных, прибыльных предприятий письма, которые замаскированы под послания от начальства или от руководителей фирм-партнеров. В письмах поддельный босс просит сотрудников срочно перевести деньги на какой-либо банковский счет, который на самом деле принадлежит злоумышленникам.

Данная схема работает очень эффективно. Так, по данным ФБР, за семь месяцев было зафиксировано более 14 000 случаев whaling-мошенничества, а компании суммарно лишились более чем 2,2 млрд долларов. Среди пострадавших, были такие всемирно известные компании, как Mattel, потерявшая 3 млн долларов, Ubiquiti, лишившаяся 46,7 млн долларов, и бельгийский банк Crelan, чьи потери составили 78 млн долларов. При этом вернуть средства удается очень редко. К примеру, компания Ubiquiti сумела вернуть лишь 9 млн долларов из похищенных 46,7 млн.

Лукавски применил к мошенникам их же методы. Эксперт сумел скомпрометировать Microsoft-аккаунты злоумышленников.

Парольные хеши Windows 10 не продержались долго, и вскоре исследователь предоставил полиции данные, которые позже привели к аресту ряда лиц в Африке.

Также эксперт признался журналистам, что ему очень понравилась недавняя история Ивана Квиатковски. Лукавски рассказал, что один из его друзей тоже недавно «поймал» whaling-скаммера и передал в руки правоохранительных органов и банков информацию сразу о семи различных счетах, принадлежавших злоумышленникам. Эксперт уверен, что такие аккаунты являются едва ли не самым ценным активом мошенников, так как в наши дни банки вводят все более жесткие механизмы регламентации и регулирования и уделяют больше внимания схемам, направленным против отмывания денег.

Хакер, сливший данные MYSPACE, LINKEDIN и TUMBLR, продает 379 000 000 аккаунтов TWITTER

Уже дважды неизвестный доброжелатель, скрывающийся под псевдонимом Tessa88, предоставлял ресурсу LeakedSource копии свежих дампов, только появившихся в даркнете. Так было с базами аккаунтов MySpace и «ВКонтакте». Вчера Tessa88 поделился с представителями агрегатора базой аккаунтов Twitter, которая, по заверениям хакера, содержит данные 379 млн пользователей. Хотя ежемесячное число активных пользователей Twitter колеблется в районе 310 млн, можно было бы предположить, что дамп также содержит данные о неактивных пользователях. В даркнете базу продают за 10 биткоинов, то есть за $5820.

В официальном блоге операторы LeakedSource пишут, что после отсева дублей и различного мусора в базе осталось лишь 32 888 300 записей. База содержит email-адреса (в том числе и вторичные для некоторых аккаунтов), имена пользователей и пароли в виде обычного текста.

Хотя представители LeakedSource уверены в том, что Twitter в последнее время не подвергался атакам или взлому, дамп они признали подлинным: все пользователи, которых удалось опросить, опознали свои данные и конкретно свои пароли. Исследователи предполагают, что информацию об аккаунтах Twitter похищала некая малварь, действуя через популярные браузеры (Chrome или Firefox).

Свою теорию LeakedSource подкрепляют следующими аргументами. Во-первых, Twitter совершенно точно не хранит пароли в формате обычного текста. Исследователи считают, что утечка датируется примерно 2014 годом, и тогда Twitter тоже не хранил пароли открыто. Во-вторых, для многих аккаунтов в базе вместо пароля значится <blank> или null, а некоторые браузеры сохраняют пароли именно в формате <blank>, когда пользователь не ввел пароль при сохранении учетных данных. Также исследователям показался странным список самых популярных среди утекших аккаунтов почтовых доменов. Как можно увидеть ниже, многие из них принадлежат российским сервисам, что снова наводит на мысли о малвари, которая действовала на территории России и стран СНГ.

Официальные представители Twitter сообщают, что уже проводят собственное расследование в отношении недавних масштабных утечек. Один из представителей подразделения безопасности компании также поспешил успокоить пользователей. Он пишет, что в Twitter уверены: их системы не были скомпрометированы, а пароли компания шифрует с применением bcrypt.