Aktuelle „MFA Bombing“-Angriffe auf Apple-Nutzer

 (krebsonsecurity.com)
1 Punkte von GN⁺ 2024-03-28 | 1 Kommentare | Auf WhatsApp teilen
  • Apples Benachrichtigungen zum Zurücksetzen des Passworts wurden massenhaft und wiederholt angezeigt, sodass einige Nutzer Phishing-Angriffe erlebten, die die normale Nutzung ihrer Geräte erschwerten
  • Nach der Benachrichtigungsflut fälschten die Angreifer die Anrufernummer von Apple Support, riefen an und gaben sich als Teil eines Kontoschutzverfahrens aus, um Einmalcodes zu verlangen
  • Im Fall Parth Patel wurde sogar ein falscher Alias aus PeopleDataLabs missbraucht; gibt man den Apple-ID-Zurücksetzungscode weiter, kann dies zur Kontosperrung und zum Remote-Löschen von Geräten führen
  • Die Fälle Chris und Ken zeigen, dass die im Konto registrierte Telefonnummer ein zentraler Hinweis im Angriffsablauf sein kann und dass allein ein Apple Recovery Key das Versenden von Zurücksetzungsbenachrichtigungen nicht verhindert
  • Als Abhilfen werden weniger bekannte VOIP-Nummern oder E-Mail-Aliasse genannt; entfernt man jedoch die echte Mobilnummer, können iMessage und Facetime deaktiviert werden

MFA-Fatigue-Angriff über Apples Benachrichtigungen zum Zurücksetzen des Passworts

  • In jüngster Zeit waren mehrere Apple-Kunden von MFA Bombing- bzw. MFA fatigue-Angriffen betroffen
  • Der Angriff nutzt ein Verhalten in Apples Funktion zum Zurücksetzen des Passworts aus, das wie ein Bug wirkt
    • Auf den Apple-Geräten des Ziels erscheinen Dutzende Systembenachrichtigungen
    • Der Nutzer muss bei jeder Benachrichtigung Allow oder Don’t Allow antippen
    • Wenn sich die Benachrichtigungen weiter stapeln, kann eine Situation entstehen, in der die Gerätenutzung selbst blockiert wird
  • Die Angreifer hoffen darauf, dass der Nutzer von den wiederholten Anfragen ermüdet versehentlich Allow antippt oder zustimmt, um sein Telefon wieder nutzen zu können
  • Nachdem alle Benachrichtigungen abgelehnt wurden, folgt ein Anruf mit gefälschter Anrufernummer, der wie Apple Support aussieht
    • Die Telefonnummer kann als Apples echte Supportnummer 1-800-275-2273 angezeigt werden
    • Der Betrüger behauptet, das Konto werde angegriffen, und sagt, ein Einmalcode müsse bestätigt werden

Fall Parth Patel: Benachrichtigungsflut, danach gefälschter Support-Anruf

  • Parth Patel hat am 23. März auf Twitter/X eine gegen ihn gerichtete Phishing-Kampagne dokumentiert
  • Auf seiner Apple Watch, seinem Laptop und seinem Telefon gingen gleichzeitig Benachrichtigungen ein, und er musste mehr als 100 Benachrichtigungen zum Zurücksetzen des Passworts ablehnen
  • Nachdem er alle Benachrichtigungen abgelehnt hatte, erhielt sein iPhone einen Anruf, der scheinbar von Apple Support kam
  • Als Patel den Betrüger bat, seine Identität zu bestätigen, lieferte dieser korrekte personenbezogene Daten, konnte aber seinen echten Namen nicht nennen
    • Der vom Betrüger genannte Name war ein falscher Alias, den Patel nur in einem Background-Report von PeopleDataLabs gesehen hatte
    • Patel sagte, er habe versucht, seine Daten von mehreren Personensuchseiten löschen zu lassen, doch bei PeopleDataLabs sei dieser Alias weiterhin in seinem Verbraucherprofil angezeigt worden
  • Ziel des Voice-Phishings ist es, einen Apple-ID-Zurücksetzungscode an das Gerät des Nutzers senden zu lassen und dann diesen Einmalcode abzugreifen
    • Gibt der Nutzer den Code weiter, kann der Angreifer das Kontopasswort zurücksetzen und den Nutzer aussperren
    • Anschließend kann er möglicherweise auch die Apple-Geräte des Nutzers remote löschen

Telefonnummer als möglicher Angriffshinweis

  • Auch Chris, Besitzer eines Krypto-Hedgefonds, erlebte Ende Februar einen ähnlichen Phishing-Versuch
  • Unmittelbar nachdem er die erste Benachrichtigung mit Don’t Allow abgelehnt hatte, trafen etwa 30 weitere Benachrichtigungen hintereinander ein, und die Zurücksetzungsbenachrichtigungen hielten mehrere Tage an
  • Er erhielt auch einen Anruf, der scheinbar von Apple Support kam, doch Chris legte auf und sagte, er werde selbst zurückrufen
    • Als er tatsächlich bei Apple anrief, konnte Apple nicht bestätigen, ob gerade ein Supportanruf stattgefunden hatte
    • Apple erklärte, dass das Unternehmen Kunden nicht von sich aus anruft, sofern diese keinen Kontakt angefordert haben
  • Chris änderte sein Passwort, kaufte im Apple Store ein neues iPhone und erstellte mit einer neuen E-Mail-Adresse ein neues iCloud-Konto
  • Doch während er an der Apple Genius Bar saß, gingen auch auf dem neuen iPhone und dem neuen iCloud-Konto weiterhin Systembenachrichtigungen ein
    • Chris sah die im Konto registrierte Telefonnummer als einziges Element an, das sich beim neuen Konto nicht geändert hatte
    • Er vermutete, dass Angreifer die Telefonnummer des Ziel-Apple-Kontos kennen müssen, um Apple-Systembenachrichtigungen schnell zu erzeugen

Kens Benachrichtigungen, die auch durch den Recovery Key nicht stoppten

  • Ken, der Erfahrung in der Sicherheitsbranche hat, erhielt seit Anfang dieses Jahres unerwünschte Systembenachrichtigungen auf seinen Apple-Geräten, bekam aber anders als in anderen Fällen keinen gefälschten Apple-Support-Anruf
  • Einmal wurde er um 0:30 Uhr durch eine Benachrichtigung auf der Apple Watch geweckt; auf der Watch wurde zuerst Allow angezeigt, und um Don’t Allow zu drücken, musste er am Rad scrollen
  • Allein durch das Drücken von Allow kann ein Angreifer Kens Passwort nicht ändern
    • Wenn Allow gedrückt wird, erscheint auf Kens Gerät die für die Passwortänderung nötige sechsstellige PIN
    • Die wiederholten Zurücksetzungsbenachrichtigungen scheinen dazu zu dienen, einen späteren Anruf, der Apple imitiert, glaubwürdiger zu machen
  • Ken kontaktierte den echten Apple Support und erhielt von einem leitenden Apple-Ingenieur die Auskunft, dass die Benachrichtigungen aufhören würden, wenn er den Apple Recovery Key aktiviere
  • Der Apple Recovery Key ist eine optionale Funktion zur Erhöhung der Sicherheit eines Apple-ID-Kontos und besteht aus einem zufälligen 28-stelligen Code
    • Bei Aktivierung soll Apples standardmäßiger Kontowiederherstellungsprozess deaktiviert werden
    • Wenn man den Wiederherstellungsschlüssel und alle Apple-Geräte verliert, kann man dauerhaft aus dem Konto ausgesperrt werden
  • Ken aktivierte den Recovery Key, doch alle paar Tage erschienen weiterhin unerwünschte Systembenachrichtigungen auf allen seinen Geräten
  • Tests ergaben, dass auch ein aktivierter Recovery Key den Ablauf auf iforgot.apple.com, bei dem Benachrichtigungen zum Zurücksetzen des Passworts an Apple-Geräte gesendet werden, nicht blockiert
    • Die Seite verlangt eine E-Mail-Adresse und ein CAPTCHA
    • Anschließend zeigt sie die letzten beiden Ziffern der mit dem Konto verknüpften Telefonnummer an
    • Gibt man die restlichen Ziffern ein und sendet sie ab, wird unabhängig davon, ob der Recovery Key aktiviert ist, eine Systembenachrichtigung verschickt

Fragen zum Rate Limiting und frühere MFA-Bombing-Fälle

  • Es bleibt fraglich, wie ein Authentifizierungssystem so gestaltet sein kann, dass innerhalb weniger Minuten Dutzende Passwortänderungsanfragen gesendet werden können, obwohl der Nutzer schon auf die erste Anfrage nicht reagiert hat
  • Apple hat auf eine Bitte um Stellungnahme bislang nicht geantwortet
  • 2022 setzte die kriminelle Hackergruppe LAPSUS$ MFA Bombing erfolgreich bei Einbrüchen in Cisco, Microsoft und Uber ein
  • Microsoft begann als Gegenmaßnahme mit der Einführung von MFA number matching
    • Dem Nutzer, der einen Login versucht, wird eine Zahlenfolge angezeigt
    • Der Kontoinhaber muss diese Zahl in der Microsoft-Authenticator-App auf seinem Mobilgerät eingeben, um die Login-Bestätigung abzuschließen
  • Sicherheitsforscher Kishan Bagaria sieht das Problem auf Apples Seite
    • Er meldete Apple 2019 den AirDoS-Bug
    • Dieser Bug konnte AirDrop-Dateifreigabe-Prompts unbegrenzt auf nahegelegenen iOS-Geräten anzeigen lassen
    • Apple behob den Bug im Dezember 2019 und dankte Bagaria in der zugehörigen Sicherheitsmitteilung
    • Laut Bagaria bestand Apples Fix darin, ein strengeres Rate Limiting für AirDrop-Anfragen hinzuzufügen
  • Möglicherweise hat jemand einen Weg gefunden, Apples Rate Limiting für Passwort-Zurücksetzungsanfragen zu umgehen; es könnte sich um einen Rate-Limiting-Bug handeln, der offiziell an Apple gemeldet werden sollte

Mögliche Abhilfen für Nutzer

  • Für Apple-Konten scheint eine Telefonnummer erforderlich zu sein, doch nach der Kontoeinrichtung muss es offenbar nicht zwingend eine Mobilnummer sein
  • Tests zufolge akzeptiert Apple VOIP-Nummern wie Google Voice
    • Eine mögliche Abhilfe könnte darin bestehen, die Telefonnummer des Kontos auf eine wenig bekannte VOIP-Nummer zu ändern
  • Allerdings werden iMessage und Facetime auf dem Gerät deaktiviert, wenn keine echte Mobilnummer enthalten ist
    • Für Nutzer, die die gesamte Angriffsfläche ihrer Apple-Geräte reduzieren wollen, kann das auch ein Vorteil sein
    • Zero-Click-Zero-Days in iMessage und Facetime wurden wiederholt von Spyware-Anbietern genutzt
  • Apples System zum Zurücksetzen von Passwörtern scheint E-Mail-Aliasse zu akzeptieren und zu respektieren
    • Man kann nach dem Nutzernamen ein + und eine sitespezifische Kennzeichnung anhängen, um eine eindeutige E-Mail-Adresse zu erzeugen, die mit demselben Konto verknüpft ist
    • Möglich ist zum Beispiel ein Format wie krebsonsecurity+example@gmail.com
    • Für einen Apple-Alias könnte ein weniger offensichtlicher Alias besser sein als eine zu auffällige Kennzeichnung wie +apple

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-03-28
Meinungen auf Hacker News

  • In dem Artikel und den Top-Kommentaren fehlt ein wichtiger Punkt: Selbst wenn man versehentlich auf Allow tippt, kann der Angreifer nicht einfach in seinem eigenen Browser das Passwort ändern.
    Wenn man auf dem Gerät auf Allow tippt, wird auf diesem Gerät eine sechsstellige PIN angezeigt, und mit dieser PIN kann man auf dem eigenen Gerät das Passwort ändern. Der letzte Schritt des Angriffs besteht darin, dass der Angreifer mit einer gefälschten Apple-Telefonnummer anruft und darum bittet, diese sechsstellige PIN vorzulesen. Wenn man dem Angreifer am Telefon diese PIN mitteilt, kann er in seinem Browser das Passwort zurücksetzen.
    Es ist überraschend, dass Krebs dieses kleine Detail in seinem Security-Blog weggelassen und es so dargestellt bzw. bestätigt zu haben scheint, als könne man im Schlaf den vollständigen Kontozugriff abgeben.

    • Im ersten Absatz des Artikels wird das bereits so erklärt:

      Assuming the user manages not to fat-finger the wrong button on the umpteenth password reset request, the scammers will then call the victim while spoofing Apple support in the caller ID, saying the user’s account is under attack and that Apple support needs to “verify” a one-time code.

    • Es steht im Artikel:

      Ken didn’t know it when all this was happening (and it’s not at all obvious from the Apple prompts), but clicking “Allow” would not have allowed the attackers to change Ken’s password. Rather, clicking “Allow” displays a six digit PIN that must be entered on Ken’s device — allowing Ken to change his password. It appears that these rapid password reset prompts are being used to make a subsequent inbound phone call spoofing Apple more believable.

    • Das stimmt und ist wissenswert, aber trotzdem sieht es so aus, als könnten auch völlig vernünftige Menschen darauf hereinfallen. Das ist nicht nur ein Problem von Menschen über 80.
      Selbst wenn man nicht darauf hereinfällt, bleibt eine massive Belästigung, die Apple schon durch ein Rate Limit für Anfragen abstellen könnte. Ich verstehe nicht, warum man in kurzer Zeit Hunderte davon verschicken kann.

  • „Aktuell“ ist hier etwas fragwürdig.
    2021, spätestens 2022, haben meine Frau und ich im Abstand von ein paar Tagen dasselbe erlebt. Anfangs kam es ein paar Mal am Tag, später steigerte es sich auf einmal pro Stunde. Ich glaube, wir haben beide auch ein paar SMS bekommen, die so aussahen, als kämen sie von Apple.
    Sobald es stark zunahm, haben wir für beide Konten einen Wiederherstellungsschlüssel eingerichtet; das war ohnehin geplant, weil weder Apple noch jemand, der Apple unter Druck setzt oder übernimmt, Zugriff auf unsere Konten haben sollte. Damit wurde der Angriff sofort gestoppt.
    Aus ähnlichen Gründen habe ich den erweiterten Datenschutz aktiviert, sobald er verfügbar war, und den Webzugriff deaktiviert. Nur vertrauenswürdige Geräte können die Daten sehen, und auch die Registrierung neuer Geräte ist nur über vertrauenswürdige Geräte möglich.

    • Ich wusste nicht, was ein Recovery Key ist; es ist dieses Dokument: https://support.apple.com/en-us/109345
      Auch das ist ziemlich beängstigend. Wenn man den Schlüssel verliert, kann einem niemand bei der Kontowiederherstellung helfen.
    • Interessant, dass das Problem durch die Nutzung eines Wiederherstellungsschlüssels aufgehört hat, aber inzwischen scheint er diese Rolle nicht mehr zu erfüllen.
      Laut Artikel: „Ken said he enabled a recovery key for his account as instructed, but that it hasn’t stopped the unbidden system alerts from appearing on all of his devices every few days.
      KrebsOnSecurity tested Ken’s experience, and can confirm that enabling a recovery key does nothing to stop a password reset prompt from being sent to associated Apple devices.“
    • Die Methode selbst ist nicht neu, aber es wirkt wie eine aktuelle Kampagne, die sie gegen viele Menschen einsetzt. Gut möglich, dass jemand aus einem aktuellen Leak-Dump eine Liste gehackter Passwörter bekommen hat und nun die darin enthaltenen Apple-Konten durchprobiert.
    • Man sollte ein paar YubiKeys kaufen, mindestens drei, und sie für die Apple-ID-Authentifizierung statt dieser dummen Push-basierten MFA verwenden.
      https://support.apple.com/en-gb/HT213154
    • Es überrascht mich, denn für so etwas sollte es selbstverständlich ein Rate Limit geben. Nach etwa zwei Versuchen sollte es nur noch einmal alle 15 Minuten gehen, danach einmal pro Stunde, nach 4 Stunden, nach einem Tag und so weiter. Man kann es wie fehlgeschlagene Login-Versuche behandeln.

  • Wenn nach dem Tippen auf Allow das Zurücksetzen des Passworts von einem anderen Gerät aus möglich ist, ist diese Meldung furchtbar gestaltet. Der Text lautet eindeutig Use this iPhone to reset, also hätte die Person, die auf Allow tippt, wohl angenommen, dass sie auf demselben Gerät ein neues Passwort festlegen soll.
    Wenn es aber auch auf der Apple Watch erscheint, heißt das, dass es keine einfache Spiegelung von Telefonbenachrichtigungen ist, die den Lautlosmodus ignoriert. Es ist schwer vorstellbar, dass die Idee darin besteht, auf der Uhr auf Allow zu tippen und dann mit dieser Tastatur ein Passwort einzugeben.

    • Ich glaube nicht, dass das Tippen auf Allow an sich gefährlich ist. Danach gibt es immer noch Zwei-Faktor-Authentifizierung, und man muss auch ein neues Passwort wählen. Die Gefahr kommt vollständig aus dem Telefonanruf, bei dem offenbar der Zwei-Faktor-Code abgegriffen werden soll.
    • Als meine 90-jährige Mutter ihr iMac-Passwort vergessen hatte, hat diese Funktion sie wirklich gerettet. Ich hatte sogar vergessen, dass ich ein zweites Administratorkonto angelegt hatte.
      Obwohl sie am iMac ausgesperrt war, kam sie noch ins iPad und konnte das Passwort zurücksetzen. Die iPad-PIN hatte sie zwar auch vergessen, aber zum Glück fanden wir eine Notiz, auf der sie stand.

  • Ab einem gewissen Punkt ist vielleicht schon die Tatsache problematisch, dass sich solche Prompts auf Apple-Geräten anzeigen lassen. Dasselbe gilt für diese Bluetooth-basierten Einrichtungs-Prompts für neue Geräte, die letztes Jahr für Aufsehen gesorgt haben.
    Natürlich muss ein Zurücksetzen des Passworts möglich sein, aber dem Artikel zufolge scheint es möglich zu sein, in kurzer Zeit 30 Anfragen zum Zurücksetzen des Passworts zu senden.
    Welchen Grund sollte es dafür in einer nicht böswilligen Situation überhaupt geben?

    • Keinen. Man hat einfach keine solche Prüflogik hinzugefügt. Das heißt aber nicht, dass man Apple dafür zwangsläufig scharf kritisieren muss.
      Rückblickend wirkt es offensichtlich, aber zwischen Sprints, OKRs/KPIs und Beförderungsunterlagen können solche weniger glanzvollen Features leicht unter den Tisch fallen.

  • Ich frage mich, wie lange es dauert, bis ein weiteres Ziel solcher Anrufe darin besteht, genug Samples zu sammeln, um überzeugend Stimmen zu klonen.

    • Es gibt bereits eine Variante, bei der man jemanden dazu bringt, „yes“ zu sagen, und diese Aufnahme dann als „Beweis“ dafür verwendet, dass die Person irgendeinem Vertrag zugestimmt habe.
    • Ich glaube nicht, dass man durch 100-mal „hello?“ sagen eine Stimme klonen kann. Aber fürs Stimmenklonen braucht man auch nicht unbedingt MFA Bombing.
      Man muss nur unter einem plausiblen Vorwand anrufen und die Person in ein längeres Gespräch verwickeln. Zum Beispiel: „Ich bin der Uber-/Doordash-Fahrer“, „wir rufen vom Krankenhaus/der Schule/der Kita an“.
    • Das ist also ein weiterer Grund, Nutzer nicht per Telefon oder Telefonnummer zu authentifizieren. Auch sogenannte Stimmerkennung oder Voice ID lässt sich mit fortgeschrittenem Stimmenklonen leicht aushebeln.

  • Ich bin verwirrt. Was genau passiert als Nächstes, wenn man auf Allow tippt? Zeigt Apple der Person auf der iForgot-Website ein Formular zum Zurücksetzen des Passworts an, oder erscheint das nur auf dem Gerät?

    • Offenbar wird auf dem Gerät ein Bestätigungscode angezeigt. Danach ruft der Betrüger an und versucht, diesen Code herauszubekommen.

  • Es gibt die Stelle, dass der Anruf auf dem iPhone so angezeigt wurde, als käme er vom Apple Support, und dass die Nummer auch Apples echte Supportnummer 1-800-275-2273 war.
    Mir ist das genau einmal passiert, zwei Tage nachdem ich im Apple Online Store ein neues MacBook bestellt hatte. Weil ich auf die Lieferung wartete, wäre ich fast rangegangen, habe stattdessen aber selbst beim Apple Support angerufen und gefragt, ob sie mich gerade angerufen hätten; die Antwort war nein.

    • Ich frage mich, ob die Bestellung direkt nach Erscheinen eines neuen Modells aufgegeben wurde oder ob der Anruf direkt nach der Bestellung einfach zufällig genau gepasst hat.

  • Instagram hat dasselbe Problem. Es ist absurd, dass so große Unternehmen keine Ratenbegrenzung für Account-Recovery-Flows haben.

    • Das Problem beim Hinzufügen von Ratenbegrenzungen, besonders bei globalen Limits pro Nutzer, ist, dass dadurch wiederum ein neues Denial-of-Service-Problem entsteht, bei dem Leute an der Wiederherstellung ihres Accounts gehindert werden.

  • Seit ein paar Tagen bekomme ich so etwas auch bei meinem LinkedIn-Account. Alle paar Stunden kommt eine E-Mail mit einem Magic-Login-Link, scheinbar aus verschiedenen Regionen der Welt verschickt, und sie wirkt legitim.

    • Mir ist das gestern auch passiert, und zuerst war ich beunruhigt. Dann habe ich aber herausgefunden, dass man ein Einmalpasswort anfordern kann, wenn man nur die mit dem LinkedIn-Account verknüpfte E-Mail-Adresse kennt. Das Passwort war also nicht geleakt.
      Trotzdem habe ich Passwort und primäre E-Mail-Adresse geändert und in den LinkedIn-Privatsphäre-Einstellungen auch die öffentliche Anzeige meiner E-Mail entfernt.
    • Ich bekomme so etwas auch. Da ich bereits mehrere Formen der Zwei-Faktor-Authentifizierung wie TOTP und Passkey nutze, wäre es gut, wenn man diese Funktion im Account deaktivieren könnte.
    • Bei mir war es Uber.

  • Push-MFA mochte ich schon nicht, als es zum ersten Mal aufkam.
    Ich weiß nicht, warum es so schwer sein soll, einen Code einzugeben. Wenn man am Ende versucht, Push Bombing zu verhindern, landet man wieder bei Push-Benachrichtigungen, die einen Code verlangen.

    • Für die Apple-ID-MFA kann man stattdessen HSMs verwenden. Genau dafür habe ich an mehreren Orten 3 YubiKeys liegen.
      https://support.apple.com/en-gb/HT213154
    • Zumindest beim iCloud-Login – ob das auch beim Zurücksetzen des Passworts so ist, nachzusehen ist mir gerade zu mühsam – erlaubt ein Tippen auf Allow nicht den Login, sondern zeigt nur einen sechsstelligen Code an, den man beim Login eingeben muss.