Ο Samip Aryal, ένας Νεπαλέζος ηθικός χάκερ, ανακάλυψε μια ευπάθεια Zero-Click στο σύστημα επαναφοράς κωδικού πρόσβασης του Facebook, που ενδεχομένως επιτρέπει σε χάκερ να βάλουν σε κίνδυνο τον στόχο τους. Αυτή η εκμετάλλευση έφερε στον Aryal το υψηλότερο χρηματικό βραβείο γαι την εύρεση σφαλμάτων, καθώς τον ανέβασε στην κορυφή του Facebook Hall of Fame για White-Hat Hackers το 2024, αν και το ακριβές ποσό του βραβείου παραμένει άγνωστο.
Δείτε επίσης: Apple: Σοβαρή Zero-Click ευπάθεια στην εφαρμογή Shortcuts
Ο Aryal ανακάλυψε έναν τρόπο να εκμεταλλευτεί τη λειτουργία επαναφοράς κωδικού πρόσβασης του Facebook χωρίς περιορισμό ρυθμού. Το σφάλμα επέτρεπε σε επιτιθέμενους να αποκτήσουν τον έλεγχο των λογαριασμών χρηστών του Facebook, μέσω επιθέσεων “Zero-Click” (χωρίς αλληλεπίδραση χρήστη) με την αίτηση επαναφοράς κωδικού και brute-force στους 6-ψήφιους κωδικούς ασφαλείας.
Η ευπάθεια ανακαλύφθηκε στη λειτουργία επαναφοράς κωδικού πρόσβασης του Facebook. Επέτρεπε σε χάκερ να παρακάμψουν το όριο ταχύτητας του συστήματος και στη συνέχεια να ελέγξουν πιθανούς συνδυασμούς 6ψήφιων αριθμών (από 000000 έως 999999) για δύο ώρες.
Στο ιστολόγιό του, ο Aryal αποκάλυψε ότι βρήκε ένα ευάλωτο σημείο στο Android Studio κατά τη δοκιμή εκδόσεων του Facebook. Λάμβανε ένα παράθυρο ειδοποίησης στη ροή επαναφοράς κωδικού πρόσβασης που πρότεινε στους χρήστες να στείλουν έναν κωδικό ασφαλείας μέσω ειδοποίησης του Facebook. Ο κωδικός παρέμενε ενεργός για δύο ώρες παρά τις εσφαλμένες εισόδους.
Χρησιμοποίησε μια μεθοδολογία επίθεσης brute-force για να καλύψει ολόκληρο τον χώρο αναζήτησης σε μία ώρα, αποκαλύπτοντας ότι μερικοί χρήστες του Facebook είχαν τον κωδικό nonce εμφανισμένο στην ειδοποίηση, μια εκμετάλλευση zero-click. Ο κωδικός εμφανίστηκε σε άλλη οθόνη με ένα μόνο κλικ.
Ένα κρυπτογραφικό nonce είναι ένα αυθαίρετο νούμερο που μπορεί να χρησιμοποιηθεί μόνο μία φορά σε κρυπτογραφική επικοινωνία. Ανέφερε επιπλέον ότι χάκερ θα μπορούσαν να αρπάξουν λογαριασμούς χρηστών του Facebook επιλέγοντας οποιονδήποτε λογαριασμό, πηγαίνοντας στη ροή επαναφοράς κωδικού πρόσβασης, επιλέγοντας “Αποστολή κωδικού μέσω ειδοποίησης Facebook“, δοκιμάζοντας οποιονδήποτε κωδικό για να λάβουν απάντηση από τον διακομιστή και κάνοντας brute force για δύο ώρες. Οι χρήστες της εφαρμογής Facebook θα λαμβάνουν ειδοποιήσεις με έναν εξαψήφιο κωδικό ή τους ζητά να πατήσουν για να δουν τον κωδικό σύνδεσης.
Δείτε ακόμα: Android: Οι ενημερώσεις ασφαλείας Δεκεμβρίου διορθώνουν κρίσιμο zero-click bug
Ο Aryal ανέφερε την αδυναμία στο Facebook στις 30 Ιανουαρίου 2024, και το πρόβλημα διορθώθηκε στις 2 Φεβρουαρίου.
Η ευπάθεια θα μπορούσε να οδηγήσει στην κλοπή προσωπικών πληροφοριών, τη διάδοση παραπληροφόρησης και επιθέσεις στο δίκτυο. Είναι επίσης ουσιώδες να είστε ενήμεροι για τις αναδυόμενες απειλές ασφάλειας στη Meta και σε άλλες κοινωνικές πλατφόρμες, προκειμένου να προστατεύσετε τους λογαριασμούς σας.
Αξίζει να αναφερθεί ότι οι λογαριασμοί Meta έχουν γίνει στόχος απάτης τον τελευταίο καιρό. Τον Μάρτιο του 2023, ερευνητές στη Guardio εντόπισαν μια εκστρατεία κλοπής πληροφοριών που εμπλέκει ψευδείς επεκτάσεις ChatGPT που ισχυρίζονταν ότι ενσωματώνονται με τα αποτελέσματα αναζήτησης της Google, ενώ στην πραγματικότητα προσπαθούσαν να κλέψουν λογαριασμούς Facebook.
Η εταιρεία κυβερνοασφάλειας WithSecure ανέδειξε μια σύνδεση μεταξύ πρόσφατων επιθέσεων από κακόβουλο λογισμικό DarkGate και απειλών από ομάδες στο Βιετνάμ που προσπάθησαν να απαγάγουν λογαριασμούς επιχειρήσεων της Meta και να κλέψουν ευαίσθητα δεδομένα τον Οκτώβριο του 2023.
Για να παραμείνουν ασφαλείς, οι χρήστες πρέπει να ενεργοποιήσουν τη διπλή πιστοποίηση, να χρησιμοποιήσουν ισχυρούς, μοναδικούς κωδικούς πρόσβασης, να είναι προσεκτικοί με αιτήσεις επαναφοράς κωδικού πρόσβασης και να παρακολουθούν τις απειλές ασφάλειας.
Δείτε επίσης: iMessage: Zero-click exploit μολύνει τα iPhone με spyware
Το zero-click ελάττωμα του Facebook, αναφέρεται σε μια ευπάθεια ασφαλείας που επιτρέπει σε επιτιθέμενους να εκμεταλλευτούν ένα σύστημα ή μια εφαρμογή χωρίς να απαιτείται καμία ενέργεια από τον χρήστη, όπως ένα κλικ σε έναν σύνδεσμο ή η λήψη ενός αρχείου. Αυτό το είδος επίθεσης είναι ιδιαίτερα επικίνδυνο, καθώς οι χρήστες συνήθως δεν έχουν καμία ένδειξη ότι το σύστημά τους έχει παραβιαστεί. Οι επιτιθέμενοι μπορούν να εγκαταστήσουν κακόβουλο λογισμικό, να κλέψουν προσωπικά δεδομένα ή να προκαλέσουν άλλες ζημιές χωρίς τη γνώση του χρήστη.
Τα ελαττώματα zero-click μπορούν να εμφανιστούν σε διάφορα συστήματα και εφαρμογές, συμπεριλαμβανομένων των λειτουργικών συστημάτων, των εφαρμογών λογισμικού και των συσκευών IoT. Είναι σημαντικό για τους οργανισμούς και τους ατομικούς χρήστες να διατηρούν τα συστήματα και τις εφαρμογές τους ενημερωμένα για να προστατευτούν ενάντια σε αυτές τις επιθέσεις.
Πηγή: hackread
