0 
0 Quando o grupo de malware Lapsus$ precisou obter acesso a sistemas comprometidos em violações recentes, ele não apenas procurou por senhas, mas também por tokens de sessão — ou seja, cookies — usados para autenticar um dispositivo ou navegador como legítimo.
Suas táticas de acesso inicial destacam uma tendência entre os invasores, que comprarão senhas e cookies no submundo dos criminosos e os usarão para acessar serviços em nuvem e aplicativos locais. Além disso, quando obtêm acesso a um sistema, os invasores priorizam o roubo de cookies para uso posterior ou para venda. Os cookies de sessão se tornaram o caminho para os invasores ignorarem o mecanismo de autenticação multifator (MFA) que protege sistemas e serviços em nuvem dos invasores, diz Andy Thompson, evangelista de pesquisa global do CyberArk Labs.
Em uma apresentação na Black Hat Middle East and Africa na próxima semana, os pesquisadores da CyberArk demonstrarão como os invasores podem roubar cookies de sessão e usá-los para obter acesso a serviços comerciais e de nuvem.
“A parte louca é que isso se aplica a todos os tipos de multifatores, porque roubar esses cookies ignora tanto a autenticação quanto a autorização”, diz Thompson. “Depois de autenticar usando multifator, esse cookie é estabelecido no endpoint e o invasor pode usá-lo para acesso posterior.”
O roubo de cookies de sessão tornou-se uma das formas mais comuns de os invasores contornarem a autenticação multifator. O malware Emotet, o malware como serviço Raccoon Stealer e o keylogger RedLine Stealer têm funcionalidade para roubar tokens de sessão dos navegadores instalados no sistema da vítima
Em agosto, a empresa de software de segurança Sophos observou que as populares ferramentas de red-teaming e ataque Mimikatz, Metasploit Meterpreter e Cobalt Strike também poderiam ser usadas para coletar cookies dos caches dos navegadores, que a empresa chamou de “o novo desvio de perímetro”. “
“Cookies associados à autenticação de serviços da Web podem ser usados por invasores em ataques ‘passar o cookie’, tentando se passar por usuário legítimo para quem o cookie foi originalmente emitido e obter acesso a serviços da Web sem um desafio de login”, Sean Gallagher, um pesquisador de ameaças da Sophos, afirmou na postagem do blog de agosto . “Isso é semelhante aos ataques ‘passar o hash’, que usam hashes de autenticação armazenados localmente para obter acesso aos recursos da rede sem precisar quebrar as senhas”.
Um ataque fácil para manter o acesso
Roubar cookies é um ataque bastante básico, mas que cresceu em importância à medida que mais empresas adotam estratégias de autenticação adaptáveis, que usam um cookie para permitir que usuários em um navegador e dispositivo específicos acessem um serviço protegido, sem precisar inserir novamente uma autenticação multifator código.
Para os invasores, há muito pouco necessário para que o ataque seja bem-sucedido. Contanto que eles tenham algum tipo de acesso a uma máquina, eles podem pegar os cookies, diz Thompson, da CyberArk.
“A maioria dos ataques requer algum tipo de elevação de privilégio para instalar software”, diz ele. “Com isso, temos tudo o que precisamos, independentemente do nível de privilégio. Mesmo não sendo administrador, ainda estamos vulneráveis à coleta de cookies.”
Atacantes assumem MFA por necessidade
Embora o roubo de cookies de sessão seja uma maneira comum de os invasores ignorarem a autenticação multifator, também existem várias outras. O keylogging pode burlar a MFA pegando a senha de uso único usada por muitas empresas, enquanto um ataque de adversário no meio pode capturar informações de segurança enviadas de e para um serviço direcionado.
Os invasores também podem tentar acessar uma conta repetidamente, com o sistema de back-end enviando uma solicitação de autenticação ao usuário real. Conhecido como bombardeio MFA, o objetivo da técnica é sobrecarregar o usuário com solicitações e, por cansaço ou por pouco ceticismo, fazer com que ele clique para permitir o acesso. Os invasores usaram cookies roubados e bombardeios da MFA para comprometer a gigante Uber e a empresa de entretenimento Take-Two Interactive .
No geral, a maneira de impedir que os invasores ignorem a MFA é ter software de segurança adicional nos sistemas para detectar o roubo de cookies, diz Thompson, da CyberArk. Portanto, em vez de apenas pressionar os usuários a adotar gerenciadores de senhas e MFA e chamar isso de suficiente, as empresas também precisam adotar algum tipo de controle de endpoint, diz ele.
“Também precisamos de alguma habilidade para ter um tipo de privilégio mínimo ou controle de aplicativos, antivírus ou EDR/XDR – qualquer um deles é realmente crítico para resolver a lacuna”, diz Thompson . “Queremos impedir que ferramentas e atores maliciosos coletem senhas ou coletem informações de cookies da memória”.
FONTE: DARK READING