Търсене
Close this search box.

Изследователи разкриват подслушване на услуга за незабавни съобщения

Нови открития хвърлят светлина върху това, което се смята за законен опит за тайно прихващане на трафик, идващ от jabber[.]ru (известен още като xmpp[.]ru), услуга за незабавни съобщения, базирана на XMPP, чрез сървъри, хоствани в Hetzner и Linode (дъщерно дружество на Akamai) в Германия.

„Атакуващият е издал няколко нови TLS сертификата, използвайки услугата Let’s Encrypt, които са били използвани за превземане на криптирани STARTTLS връзки на порт 5222 с помощта на прозрачно [man-in-the-middle] прокси“, заяви по-рано тази седмица изследовател по сигурността, който се подвизава под псевдонима ValdikSS.

„Атаката беше открита поради изтичането на срока на валидност на един от MiTM сертификатите, които не са били преиздадени.“

Събраните до момента доказателства сочат, че пренасочването на трафика е конфигурирано в мрежата на хостинг доставчика, което изключва други възможности, като пробив в сървъра или атака с подмяна на имената.

Предполага се, че подслушването е продължило цели шест месеца – от 18 април до 19 октомври, въпреки че е потвърдено, че то се е извършвало поне от 21 юли 2023 г. и до 19 октомври 2023 г.

Признаците за подозрителна дейност са открити за първи път на 16 октомври 2023 г., когато един от UNIX администраторите на услугата получава съобщение „Сертификатът е изтекъл“ при свързване с нея.

Смята се, че хакерът е преустановил дейността, след като на 18 октомври 2023 г. е започнало разследването на инцидента MiTM. Не е ясно веднага кой стои зад атаката, но се предполага, че става въпрос за законно прихващане въз основа на искане на германската полиция.

Друга хипотеза, макар и малко вероятна, но не и невъзможна, е, че атаката MiTM е проникване във вътрешните мрежи на Hetzner и Linode, като конкретно е посочен jabber[.]ru.

„Като се има предвид естеството на прихващането, нападателите са били в състояние да изпълнят всяко действие, сякаш е изпълнено от оторизиран акаунт, без да знаят паролата на акаунта“, казва изследователят.

„Това означава, че атакуващият е можел да изтегли списъка на акаунта, доживотната некриптирана история на съобщенията от страна на сървъра, да изпраща нови съобщения или да ги променя в реално време.“

The Hacker News се свърза с Akamai и Hetzner за допълнителен коментар и ще актуализираме историята, ако получим отговор.

На потребителите на услугата се препоръчва да приемат, че съобщенията им през последните 90 дни са компрометирани, както и да „проверяват акаунтите си за нови неоторизирани OMEMO и PGP ключове в хранилището PEP и да сменят паролите си“.

Източник: The Hacker News

Подобни публикации

19 април 2024

Замбия арестува 77 души в операция за киберпрес...

Компанията за фалшиви телефонни центрове извършва онлайн  и други и...
18 април 2024

Платформата за фишинг LabHost е закрита от прав...

LabHost, голяма платформа за фишинг като услуга, е била затворена к...
18 април 2024

Компания за управление на киберриска набра 21 м...

В сряда компанията за риск мениджмънт CyberSaint обяви, че е набрал...
18 април 2024

Болница в Кан с 869 легла и 2100 служителя прет...

Болница „Симон Вейл“ в Кан (CHC-SV) обяви, че във вторн...
18 април 2024

Akira ransomware е събрала 42 млн. долара от ре...

Според съвместна препоръка на ФБР, CISA, Европейския център за кибе...
18 април 2024

Вариант на LockBit 3.0 генерира персонализиран,...

Изследователите на Kaspersky са открили новия вариант, след като са...
18 април 2024

Групата "Sandworm" е основното звено за киберат...

Но дори и да се е фокусирала върху това, сложната група за заплахи ...
Бъдете социални
Още по темата
18/04/2024

Болница в Кан с 869 легла и...

Болница „Симон Вейл“ в Кан (CHC-SV)...
18/04/2024

Групата "Sandworm" е основн...

Но дори и да се е...
18/04/2024

Apple предупреждава потреби...

В ново уведомление за заплахи Apple...
Последно добавени
19/04/2024

Замбия арестува 77 души в о...

Компанията за фалшиви телефонни центрове извършва...
18/04/2024

Платформата за фишинг LabHo...

LabHost, голяма платформа за фишинг като...
18/04/2024

Компания за управление на к...

В сряда компанията за риск мениджмънт...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!