Согласно последним опубликованный данным компании Imperva, хакеры могут легко получить доступ к любому файлу в облачных хранилищах Dropbox, Google Drive, Microsoft OneDrive и Box. При этом совсем необязательно взламывать логины и пароли к учетным записям.


Миллионы пользователей хранят данные в облаках. Несмотря на сложные методы защиты, которые внедряют разработчики в своих сервисах, остаются лазейки, благодаря которым опытный хакер может получить доступ к вашим рабочим или личным файлам.

Метод взлома с помощью токена

Исследователи выяснили, что все из указанных сервисов предоставляют непрерывный доступ приложений-клиентов к серверам с помощью токенов, которые генерируются при первой аутентификации пользователя. Эти токены хранятся на ПК в специальных файлах, в реестре Windows или в Windows Credential Manager (зависит от приложения).

Аналитики написали приложение под названием Switcher, которое способно проникать на компьютер жертвы в виде вложения в почтовом сообщении или через уязвимость в браузере. Попав на машину, Switcher заменяет токен для доступа к аккаунту в определенном облачном сервисе на свой собственный, связанный с учетной записью злоумышленника, пишет cnews.ru. Затем Switcher перезагружает приложение-клиент облачного сервиса, после чего оно уже использует подменный токен.

в тему: ОБНАРУЖЕНА НОВАЯ ФИШИНГОВАЯ КАМПАНИЯ С ИСПОЛЬЗОВАНИЕМ GOOGLE DRIVE

В результате синхронизация папки на ПК пользователя происходит с облачным аккаунтом злоумышленника. Switcher помещает в эту папку копию подлинного токена, которую он создал заранее. Таким образом, хакер получает в свое распоряжение не только файлы жертвы, но и токен для последующего доступа к аккаунту жертвы уже со своего компьютера.

Широкие возможности для дальнейших махинаций

По словам аналитиков, данная уязвимость открывает хакерам широкие возможности. Например, воспользовавшись инструментом Windows Management Instrumentation, они могут настроить автоматическую синхронизацию с аккаунтом злоумышленника тогда, когда в папку на ПК попадает определенный файл. После этого злоумышленник сможет иметь доступ к файлам жертвы всегда, даже если Switcher будет удален с компьютера.

Или, в другом случае, хакер сможет зашифровывать персональные данные пользователя, которые он хранит в облаке, и затем требовать деньги за расшифровку. Этим методом промышляют набирающие популярность в последние годы программы-вымогатели.

Такие программы трудно обнаружить антивирусом

По словам технического директора Imperva Амичая Шульмана (Amichai Shulman), такие программы, как Switcher, трудно обнаружить антивирусам, так как они не ведут какую-либо подозрительную активность. Кроме того, Switcher может не записываться на накопитель и выполнять все приготовления из оперативной памяти. В свою очередь, сетевые экраны также не смогут помочь в защите от подобной атаки, так как по сетевым соединениям будет проходить легитимный зашифрованный трафик из достоверных источников, подчеркнул представитель компании.

Сложное восстановление после атаки

Восстановить защищенный доступ к облачному хранилищу после атаки хакеров с помощью Switcher или аналога будет сложно, предупреждает Шульман. Дело в том, что во многих сервисах изменение пароля не ведет к генерации нового токена. Поэтому самым верным вариантом будет удаление аккаунта и создание нового. Ситуация усугублена тем фактом, что облачные провайдеры, как правило, не уведомляют своих клиентов о том, что доступ к их аккаунтам был осуществлен из другого места.

Источник: Anti-Malware