AiTM: כשהפישינג גונב את ההתחברות שלכם, לא רק את הסיסמה

במשך זמן רב העצה הייתה פשוטה: «הפעילו אימות דו-שלבי, והפישינג כבר לא יוכל לכם». העצה עדיין מצוינת, אבל היא כבר לא מספיקה. משפחה של מתקפות בשם AiTM, ראשי תיבות של Adversary-in-the-Middle («היריב שבאמצע»), גונבת הרבה יותר מסיסמה: היא גונבת את ההפעלה (session) שכבר פתוחה. נראה איך, בפשטות.

מה זו מתקפת «Adversary-in-the-Middle»?

בפישינג רגיל, האתר המזויף הוא העתק: דף שמחקה את דף הבנק או הדואר ושומר את הסיסמה שהוקלדה. התוקף צריך להשתמש בה בעצמו, מאוחר יותר.

במתקפת AiTM, האתר המזויף כבר לא העתק, אלא מתווך. דמיינו פקיד מזויף שיושב מול האשנב האמיתי של הבנק. אנחנו נותנים לו את המסמכים, הוא מעביר אותם לפקיד האמיתי, מביא בחזרה את התשובה, וכן הלאה. הכול מתנהל כרגיל… רק שבדרך הוא מצלם הכול.

מבחינה טכנית, האתר המזויף מציג את דף הכניסה האמיתי, שאותו הוא מביא בזמן אמת מהשירות האמיתי. ערכות «מוכנות לשימוש» עושות את העבודה הזאת ומושכרות כמו מנוי, וכך השיטה זמינה לכל נוכל.

גניבת עוגיית ההפעלה: הצמיד של הפסטיבל

כשמתחברים לאתר, לא מקלידים את הסיסמה מחדש בכל לחיצה. האתר נותן לנו עוגיית הפעלה (session cookie), אסימון קטן שנשמר בדפדפן ואומר: «האדם הזה כבר הזדהה».

זה המקביל לצמיד של פסטיבל. בכניסה מציגים כרטיס ותעודה מזהה. אחר כך מציגים רק את הצמיד. אף אחד לא בודק שוב את הכרטיס לפני כל הופעה.

מתקפת AiTM נועדה להשיג עותק של הצמיד הזה. מאותו רגע התוקף כבר לא צריך לא את הסיסמה ולא את הקוד: הוא מדביק את העוגייה בדפדפן שלו ומוצא את עצמו בתוך החשבון, כבר מחובר. לכן שינוי הסיסמה בדיעבד לא תמיד מספיק: הצמיד הגנוב עשוי להישאר בתוקף כל עוד ההפעלה לא נסגרה.

למה חלק מסוגי האימות הדו-שלבי לא מספיקים

אימות דו-שלבי (2FA) מוסיף לסיסמה הוכחה שנייה: קוד שמתקבל ב-SMS, קוד מאפליקציה, התראה שמאשרים בטלפון. מול אתר מועתק זו הגנה חזקה מאוד. מול מתווך, הרבה פחות: הקוד נכון, הוא פשוט הוקלד במקום הלא נכון והועבר לאתר האמיתי תוך שנייה.

השיטות שעומדות בזה הן אלה שבודקות בעצמן את כתובת האתר: מפתחות אבטחה פיזיים ומפתחות גישה (passkeys). ברגע ההתחברות, המפתח בודק עם איזה דומיין הוא מדבר. אם זה לא הדומיין האמיתי, הוא פשוט לא עונה. אדם יכול להתבלבל בין אתרים; מפתח לא מתבלבל בגלל דמיון.

איך מזהים תשתית AiTM

המלכודת של AiTM היא שרואים את הדף האמיתי: לוגו אמיתי, עיצוב אמיתי, לפעמים אפילו רקע של הארגון שלנו וכתובת הדוא״ל שלנו כבר ממולאת. התוכן לא מסגיר כלום. לכן צריך להסתכל במקום אחר:

• הכתובת בשורת הדפדפן. זה הדבר היחיד שהמתווך לא יכול לחקות בשלמות. דף כניסה של Microsoft בכתובת login.microsoftonline.com.secure-auth.example לא נמצא אצל Microsoft: הדומיין האמיתי הוא secure-auth.example. כדי לקרוא דומיין נכון, ראו את המדריך קווישינג: כשהפישינג מסתתר מאחורי קוד QR, ועל אותיות מטעות — Punycode והומוגרפים.
• מנהל הסיסמאות שלא מציע כלום. הוא ממלא שדות לפי הדומיין, לא לפי המראה. אם הוא שותק בדף שבדרך כלל הוא מכיר, זה סימן אזהרה.
• עיקוף לפני הדף: בדיקת «האם אתם בני אדם?», הפניה אחת או כמה, קישור שהתקבל בדוא״ל או בקוד QR.
• דומיין חדש לגמרי, שנוצר לפני ימים ספורים, לעיתים קרובות מאחורי CDN או מאוחסן בפלטפורמה חינמית לדפי אינטרנט.

מה לאסוף לצורך הדיווח

כדי שספק אחסון או רשם יפעלו מהר, צריך לתת להם עובדות שאפשר לאמת. אוספים, בלי להקליד שוב פרטי התחברות בדף בשום מקרה:

• הכתובת המלאה של הדף ואת כל שרשרת ההפניות שמובילה אליו;
• צילום מסך שבו רואים גם את הדף וגם את שורת הכתובת;
• התאריך והשעה של התצפית (תשתיות כאלה משתנות מהר);
• קוד המקור המלא של ההודעה שהכילה את הקישור;
• את הרשם ואת תאריך היצירה של הדומיין, ואת ספק האחסון או ה-CDN שמגיש את הדף;
• את המותג שמתחזים אליו: Microsoft, ‏Google, בנק… צוותי האבטחה שלהם מקבלים דיווחים כאלה.

לדווח על התשתית עם Baitback

המתקפה מתחילה כמעט תמיד בהודעת דוא״ל. מדביקים את קוד המקור המלא שלה ב-Baitback: הכלי מוצא את השרת השולח ואת כתובת הדיווח של ספק האחסון שלו, עוקב אחרי ההפניות של הקישורים בהודעה ומסמן את מה שלא מסתדר ביעד: דומיין שמחקה מותג, דומיין שנוצר לאחרונה, אחסון חינמי, דומיין ברשימה שחורה. אחר כך הוא מכין הודעות דיווח מוכנות לשליחה.

לגבי הדף עצמו, מעבירים את מה שנאסף לרשם, לספק האחסון או ל-CDN, ולפלטפורמות ש-Baitback מזכיר (Google Safe Browsing‏, Microsoft‏, Netcraft…). כדי להבין למה הודעה כזאת יכולה לעבור את כל הבדיקות הטכניות, ראו דוא״ל יכול לשקר… גם כשהבדיקות אומרות „OK”.

אם הקלדנו פרטי התחברות בדף AiTM

הסיסמה כבר לא מספיקה, צריך גם להחזיר את הצמיד:

1. לשנות את הסיסמה ממכשיר מהימן;
2. להשתמש ב«התנתקות מכל ההפעלות», או בארגון, לבקש ממחלקת ה-IT לבטל את ההפעלות;
3. לבדוק שלא נוספה שיטת אימות דו-שלבי חדשה;
4. לבדוק את כללי תיבת הדואר: תוקפים מוסיפים לעיתים קרובות כלל שמעביר או מסתיר הודעות מסוימות.