O grupo russo que está sendo acusado de manipular as eleições norte-americanas e Européias, também está no negócio de invadir contas de email, não apenas fazendo com que suas vítimas forneçam senhas, mas também roubando tokens de acesso.
É um hack até elegante por assim dizer, além de preocupante pois ele pode burlar a verificação de dois fatores do Google, de acordo com a empresa de segurança Trend Micro.
O grupo é conhecido como Fancy Bear ou Pawn Storm e tem executado este ataque utilizando emails tipo phishing, emails falsos, onde o grupo se passa pelo Google, com o título “Sua conta está em perigo”(Your Account is in Danger).
O email é familiar, avisando que o Google detectou várias tentativas de acesso a sua conta. Então ele sugere que o usuário instale um aplicativo de segurança chamado de “Google Defender”, entretanto o aplicativo na verdade é a forma dos hackers fazerem o usuário desavisado passar o Token da sua conta do Google.
As vitímas então são redirecionadas para uma página real do Google que pode autorizar o app do grupo a ver e gerenciar o email alvo, ao clicar em “Allow(Permitir), o usuário está dando acesso ao seu token OAuth.Embora o protocolo OAuth não transfira nenhuma informação sobre senhas, ele foi projetado para permitir que terceiros tenha acesso a contas através de tokens, justamente para evitar a transmissão de senhas.
O OAuth pode ter sido criado para ser algo conveniente mas especialistas de segurança já avisaram que ele pode ser utilizado de forma maliciosa, prova disto é o que o grupo Fancy Bear tem feito, com vários aplicativos falsos que depois de passar pelo processo de filtragem de abusos do Oauth, o aplicativo do grupo opera como qualquer outro, mesmo a autenticação de dois fatores é nula neste caso.
A maioria das pessoas já esta acostumada com email de phishing normais, mas nem tanto com aplicativos que abusam do Oath. Da sua parte o Google afirmou que revisa milhares de aplicativos que abusam do protocolo, o que não parece ser muito eficiente visto que o pessoal do Fancy Bear usou a tática por um bom tempo.
De qualquer forma é bom pensar duas vezes antes de baixar algo pirata também, é muito simples criar um instalar e embutir um app falso dentro de um normal, especialmente no caso de celulares.
