Instagram-ի ամենանոր «էքսպլոյթը» ամենածիծաղելին է, որ տեսել եմ

Հաշվի զավթումը երկու քայլով

Մայիսի 30-ին Instagram-ի հաշիվների ալիքը, այդ թվում՝ Obama White House-ի հաշվի նման հայտնիները, կարծես կոտրված էին։ Սիդը՝ անվտանգության հետազոտող, որը գրում է 0xsid.com-ում և ասում է, որ գրեթե տասնհինգ տարի փնտրում է խոցելիություններ «միաեղջյուրների» մասշտաբով, սա անվանում է իր տեսած ամենաանլուրջ էքսպլոյթը։ Հարձակվողի մեկնարկային կետը միայն զոհի օգտանունն է, որը հրապարակային է։ Այնուհետև նա միանում է VPN-ով կամ փրոքսիով թիրախի քաղաքի մոտակայքում, որպեսզի Instagram-ի անվտանգության ալգորիթմներին տարածաշրջանը հավանական թվա, և Meta-ի աջակցության AI-ին հայտնում է, որ հաշիվը կոտրվել է։ Ապա խնդրում է ուղարկել հաստատման կոդերը իր վերահսկած էլփոստին — և դա տեղի է ունենում։

Ըստ գրառման՝ ոչ ոք չի ստուգում, թե արդյոք այդ հասցեն երբևէ կապված է եղել հաշվին։ Հարձակվողը կոդը հետ է վերադարձնում՝ հաստատումն ավարտելու համար, և հարթակը տրամադրում է գաղտնաբառի զրոյացման նոր հղում։ «Իրականում այսքանը», գրում է Սիդը։ «Առաջին իսկական զրոյական նույնականացման գաղտնաբառի զրոյացումը, որ տեսել եմ արտադրությունում»։ Instagram-ի AI-ն կարող է վիդեո սելֆի պահանջել, կարող է՝ ոչ. Սիդի խոսքով՝ այն առանձնապես բծախնդիր չէ, և լայնորեն հաղորդվում է, որ բավական է թիրախի հրապարակային էջից վերցված, AI-ով անիմացված լուսանկարը։

Երկգործոն նույնականացումը չի օգնում

Քանի որ համակարգը այս բարձր լիազորությունների վերականգնման ընթացքը դիտարկում է որպես «իսկական» սեփականատիրոջ կողմից հաշվի ամբողջական զրոյացում, առկա 2FA-ն ոչ թե փորձարկվում, այլ շրջանցվում է։ Սեսիաները չեղարկվում են, և գաղտնաբառը փոխվում է առանց իրական սեփականատիրոջը էլփոստի, SMS-ի կամ ծանուցման ուղարկելու։ Դրանից հետո վերականգնումը փակ է, քանի որ հաշվին կցված էլփոստն ու հեռախոսահամարը հիմա ցույց են տալիս հարձակվողին։ Մարդ, ում կարելի է դիմել, չկա. սեփականատերը մնում է վիճել չաթի հետ ու հուսալ, որ դա չի կրկնվի։ Այն հաշիվները, որոնք A/B թեստի այն խմբում են, որտեղ AI աջակցության տարբերակը միացված է, չեն կարող նույնիսկ անջատել այն։

Օգտանունների սև շուկա

Telegram-ում առաջացել են մի քանի սև շուկայի խմբեր, որոնք առաջարկում են «հաշվի զավթման» ծառայություններ բարձր գներով և կարճ ժամկետներով։ Կարճ օգտանունները արժեն հարյուր հազարավոր, երբեմն միլիոնավոր դոլարներ, ուստի պահանջարկը զարմանալի չէ։ Հաշիվները վերավաճառվել են, այդ թվում՝ «hey» անունը, կամ օգտագործվել քարոզչության համար, ինչպես obamawhitehouse-ի և ocmssf-ի դեպքում. վերջինս ԱՄՆ տիեզերական ուժերի գլխավոր սերժանտի հաշիվն է։

Ուղղվեց՝ շաբաթներ կամ ամիսներ անց

Telegram-ի խմբերը լռեցին, և Meta-ն, ըստ երևույթին, արդեն փակել է մեթոդը։ Սիդը նշում է, որ մինչ այդ այն, հավանաբար, գործել է շաբաթներ, եթե ոչ ամիսներ։ Նրա ամփոփումը հետևյալն է. 1,5 տրիլիոն դոլար արժողությամբ ընկերությունը զուրկ էր ամուր պաշտպանիչ մեխանիզմներից, իսկ նրա աջակցության AI-ն կփոխի ցանկացած հաշվի կցված էլփոստը, եթե բավական քաղաքավարի խնդրես. հեռանկար, որը նա անվանում է սարսափելի, եթե չլիներ այդքան ծիծաղելի։