Come fanno gli infostealer a bypassare l'MFA?
Aggiornato il
Come funziona il furto del token di sessione
L'attacco segue una sequenza semplice:
L'utente si autentica normalmente: l'utente effettua l'accesso con la propria password e completa la MFA. Il server crea un token di sessione e lo memorizza come cookie nel browser.
L'infostealer estrae il cookie: il malware legge la memoria dei cookie del browser e copia il token di sessione insieme a tutti gli altri dati memorizzati.
Il token viene venduto su un marketplace: il token rubato, insieme al resto del log, viene caricato su un marketplace criminale o su un canale Telegram.
L'autore dell'attacco importa il token: l'autore dell'attacco, o l'acquirente, importa il cookie nel proprio browser. Il server riconosce il token di sessione valido e concede l'accesso, senza richiedere l'accesso.
Perché la sola MFA non è sufficiente
La MFA protegge il momento dell'autenticazione: verifica che la persona che effettua l'accesso controlli il dispositivo o l'app corretti. Ma una volta completata l'autenticazione, subentra il token di sessione. Se quel token viene rubato e importato altrove, il server non può distinguere tra l'utente legittimo e l'autore dell'attacco. Questo è il fulcro dell'attacco pass-the-cookie: la sessione è già stata autenticata, quindi la MFA non viene mai più attivata.
Questo è fondamentalmente diverso dal furto di credenziali in una violazione dei dati. Le password rubate possono essere bloccate dalla MFA. I token di sessione rubati aggirano la maggior parte dei metodi MFA, perché l'autenticazione è già avvenuta. È la sessione rubata che concede l'accesso, non la password. I metodi associati all'hardware come YubiKey possono resistere a questo se la sessione è associata al dispositivo, ma la maggior parte delle applicazioni non lo impone.
Cosa possono fare le organizzazioni
La difesa contro il dirottamento di sessione e gli attacchi pass-the-cookie richiede sessioni di breve durata, token associati al dispositivo ove possibile e criteri di accesso condizionale che convalidino l'integrità del dispositivo. Ma nessun controllo tecnico rileva tutto. L'ultimo livello critico è il monitoraggio: sapere quando le sessioni rubate dai tuoi sistemi vengono scambiate sui marketplace criminali, in modo da poterle revocare prima che vengano utilizzate.
Passguard monitora costantemente questi marketplace e avvisa il tuo team di sicurezza nel momento in cui appare una sessione rubata collegata alla tua organizzazione.
Rileva gli infostealer con Passguard
Scopri se la tua organizzazione compare nei log degli stealer e sui marketplace criminali.