Investigadores en ciberseguridad han revelado una novedosa técnica de ataque que permite a los autores de amenazas reducir la protección de las claves FIDO (Fast IDentity Online) engañando a los usuarios para que aprueben solicitudes de autenticación procedentes de portales de inicio de sesión falsos.

Las claves FIDO son autenticadores basados en hardware o software diseñados para eliminar la suplantación de identidad vinculando los inicios de sesión a dominios específicos mediante criptografía de clave pública-privada. En este caso, los agresores se aprovechan de una función legítima -el inicio de sesión a través de dispositivos- para engañar a las víctimas y hacerlas autenticar sesiones maliciosas sin saberlo.

La actividad, observada por Expel como parte de una campaña de phishing en la naturaleza, se ha atribuido a un actor de amenazas llamado PoisonSeed, que recientemente fue señalado por aprovechar credenciales comprometidas asociadas con herramientas de gestión de relaciones con los clientes (CRM) y proveedores de correo electrónico masivo para enviar mensajes de spam que contienen frases semilla de criptomoneda y vaciar las carteras digitales de las víctimas.

"El atacante aprovecha las funciones de inicio de sesión entre dispositivos disponibles con las claves FIDO", explican los investigadores Ben Nahorney y Brandon Overstreet. "Sin embargo, los malos actores en este caso están utilizando esta característica en ataques adversary-in-the-middle (AitM)".

Esta técnica no funciona en todos los escenarios. Se dirige específicamente a los usuarios que se autentican a través de flujos entre dispositivos que no aplican comprobaciones de proximidad estrictas, como Bluetooth o la atestación de dispositivos locales. Si el entorno de un usuario exige claves de seguridad de hardware conectadas directamente al dispositivo de inicio de sesión, o utiliza autenticadores vinculados a la plataforma (como Face ID vinculado al contexto del navegador), la cadena de ataque se rompe.

El inicio de sesión entre dispositivos permite a los usuarios iniciar sesión en un dispositivo que no tiene una clave de acceso utilizando un segundo dispositivo que sí tiene la clave criptográfica, como un teléfono móvil.

La cadena de ataque documentada por Expel comienza con un correo electrónico de phishing que induce a los destinatarios a iniciar sesión en una página de inicio de sesión falsa que imita el portal Okta de la empresa. Una vez que las víctimas introducen sus credenciales, la información de inicio de sesión es transmitida sigilosamente por el sitio falso a la página de inicio de sesión real.

A continuación, el sitio de phishing indica a la página de inicio de sesión legítima que utilice el método de transporte híbrido para la autenticación, lo que hace que la página muestre un código QR que posteriormente se envía de vuelta al sitio de phishing y se presenta a la víctima.

Si el usuario escanea el código QR con la aplicación de autenticación en su dispositivo móvil, permite a los atacantes obtener acceso no autorizado a la cuenta de la víctima.

"En el caso de este ataque, los ciberdelincuentes han introducido el nombre de usuario y la contraseña correctos y han solicitado el inicio de sesión entre dispositivos", explica Expel.

"El portal de inicio de sesión muestra un código QR, que el sitio de phishing captura inmediatamente y devuelve al usuario en el sitio falso. El usuario lo escanea con su autenticador MFA, el portal de inicio de sesión y el autenticador MFA se comunican, y los atacantes están dentro".

Lo que hace que el ataque sea digno de mención es que elude las protecciones ofrecidas por las claves FIDO y permite a los actores de la amenaza obtener acceso a las cuentas de los usuarios. El método no aprovecha ningún fallo en la implementación de FIDO. Más bien, abusa de una característica legítima para degradar el proceso de autenticación.

Aunque FIDO2 está diseñado para resistir la suplantación de identidad, su flujo de inicio de sesión entre dispositivos -conocido como transporte híbrido- puede utilizarse indebidamente si no se aplica la verificación por proximidad, como Bluetooth. En este flujo, los usuarios pueden iniciar sesión en un ordenador de sobremesa escaneando un código QR con un dispositivo móvil que contenga su clave de acceso.

Sin embargo, los atacantes pueden interceptar y retransmitir ese código QR en tiempo real a través de un sitio de phishing, engañando a los usuarios para que aprueben la autenticación en un dominio falso. Esto convierte una función segura en una brecha de phishing, no debido a un fallo del protocolo, sino a su flexible implementación.

Expel también dijo que observó un incidente separado en el que un actor de amenaza inscribió su propia clave FIDO después de comprometer una cuenta a través de un correo electrónico de phishing y restablecer la contraseña del usuario.

Para proteger mejor las cuentas de los usuarios, las organizaciones deben combinar la autenticación FIDO2 con comprobaciones que verifiquen el dispositivo utilizado. Cuando sea posible, los inicios de sesión deben realizarse en el mismo dispositivo que contiene la clave, lo que limita el riesgo de suplantación de identidad. Los equipos de seguridad deben estar atentos a inicios de sesión con códigos QR inusuales o nuevas inscripciones de claves. Las opciones de recuperación de cuentas deben utilizar métodos resistentes al phishing, y las pantallas de inicio de sesión -especialmente las de inicio de sesión entre dispositivos- deben mostrar detalles útiles como la ubicación, el tipo de dispositivo o advertencias claras para ayudar a los usuarios a detectar actividades sospechosas.

En todo caso, los resultados subrayan la necesidad de adoptar una autenticación resistente al phishing en todos los pasos del ciclo de vida de una cuenta, incluidas las fases de recuperación, ya que el uso de un método de autenticación susceptible de phishing puede socavar toda la infraestructura de identidad.

"Los ataques AitM contra claves FIDO y claves FIDO controladas por atacantes son sólo el último de una larga serie de ejemplos en los que los malos actores y los defensores suben la apuesta en la lucha por comprometer/proteger las cuentas de los usuarios", añaden los investigadores.

Fuente: thehackernews.com