Il Phishing si evolve e batte l'autenticazione a due fattori 2FA: arriva il super tool Modlishka

Nell'eterna lotta tra il cybercrime e la sicurezza informatica, i ricercatori di sicurezza avevano assestato un duro colpo, almeno per quanto riguarda la guerra al phishing: l'autenticazione a due fattori ha reso non sufficiente la detenzione della password di un account per potervi accedere. E' stato però un ricercatore di sicurezza (strano a dirsi, ma neppure troppo, ormai) a inventare il super tool per portare attacchi di phishing in grado di bypassare l'autenticazione a due fattori. 

Il tool, come spiega Piotr Duszynski - il suo creatore, è un "reverse proxy" programmato appositamente per gestire operazioni di phishing. Per "reverse proxy" si intende un tipo di proxy che recupera i contenuti per conto di un client da uno o più server. Tali contenuti vengono trasmessi al client come provenienti dallo stesso proxy: il proxy appare quindi al client come un server. Il funzionamento, in parole semplici, è questo: l'attaccante invece di creare una copia esatta del sito che vuole imitare può usare Modlishka come server per ospitare un sito da usare come tramite tra la vittima e il sito originale mentre ne replica i contenuti in real-time. 

Fonte: www.securityinfo.it

Modlishka è dotato di una interfaccia grafica che lo rende un tool molto facile da usare: soggetti anche non particolarmente formati saranno quindi in grado di raccogliere le credenziali di accesso inserite dalle vittime. Sotto, il video dimostrativo pubblicato da Duszynski

Phishing with Modlishka (bypass 2FA) from Piotr Duszynski on Vimeo.

Perchè un ricercatore di sicurezza rende pubblici tool molto pericolosi?

Duszynski non si è limitato a produrre e annunciare questo tool, ma ne ha anche pubblicato l'intero codice su GitHub, fondamentalmente smarrendone la possibilità di controllo. La motivazione, ha spiegato, è l'urgente necessità di affrontare il problema del phishing, secondo lui non contrastato con la dovuta attenzione: la pubblicazione del tool obbligherà i vendor e i ricercatori di sicurezza ad affrontare il tema della sicurezza generale degli account in Internet. Duszynski ha spiegato infatti di non essere affatto il capostipite del bypass dell'autenticazione a due fattori: sono già stati due gli episodi in cui gli attaccanti sono riusciti a bypassare il 2FA. 

Che l'autenticazione a due fattori non sia più lo strumento per debellare il phishing è ormai una realtà assodata, ma mancano, ad ora, alternative valide. 

Per approfondire >> L'autenticazione a due fattori via SMS non è sicura: ecco le alternative