Modlishka – 2FA를 대상으로하는 새로운 피싱 도구

폴란드 보안 연구원 Piotr Duszynski는 최근 Modlishka라는 침투 테스트 도구를 발표했습니다. 이 도구는 사용자에게 2 단계 인증을 스푸핑 할 수있는 기능을 제공합니다. 최근 몇 달 동안 보안 왕으로 환영받은 바에 따르면 2FA가 원하는만큼 안전하지 않을 수 있습니다. Modlishka가 무엇인지 /하고 어떻게 계정 보안을 진행해야하는지 이해하려면 계속 읽으십시오..


Modlishka-2FA를 대상으로하는 새로운 피싱 도구

Modlishka – 2FA를 대상으로하는 새로운 피싱 도구

Modlishka는 무엇입니까?

Modlishka는 공격자가 대상에게 암호와 2FA 코드를 제공하도록 속일 수있는 리버스 프록시 도구입니다..

설명하겠습니다.

즉, 사용자와 의도 한 사이트 사이에있는 프록시입니다. 프록시는 완전히 스푸핑 된 웹 사이트를 대상으로 표시하는 대신 실제 웹 사이트의 사용자 실제 컨텐츠를 표시합니다. 이로 인해 누구나 사기를당하는 것을 알아 내기가 매우 어렵습니다..

Modlishka는 사용자에서 웹 사이트로 이동하는 모든 트래픽을 차단합니다. 즉, 침입자는 사용자가 입력 한 암호 및 인증 코드를보고 실시간으로 피해자의 실제 계정에 액세스 할 수 있습니다.

이 도구는 오픈 소스이며 Github에서 다운로드 할 수 있으며 White Hat 보안 연구원을 대상으로하지만 해커가 도구를 사용하지 못하도록 막는 것은 없습니다.

2FA 사용을 중단해야합니까?

절대적으로하지.
예, 2FA가 손상 될 수 있지만 이것이 더 좋은 옵션이 단순히 추가 보안 기능을 가지고 있지 않다는 것을 의미하지는 않습니다. 도둑이 용접 도구를 사용하여 집의 앞 자물쇠를 뚫을 수 있다고 말하면 앞문 자물쇠가 중요하지 않습니까? 아닙니다. 2FA는 여전히 업계 표준이며 인증을 강화하기 위해 할 수있는 일이 있습니다..

보안 연구원은 여전히 ​​2FA를 사용하는 것이 좋습니다. 그들은이 기능이 미래의 모든 보안에있어 최종적인 것은 아니라는 데 동의하지만 올바른 방향으로 나아가는 단계입니다.

일반적으로 모든 온라인 보안 조치는 보안 전문가와 나쁜 행위자 간의 악의적 인 고양이 게임입니다. 수정하거나 남용하기위한 취약점을 찾는 것은 항상 경쟁입니다. 전문가가 제안한 보안 기능을 사용하지 않는 것이 좋습니다..

그러나 인터넷 사용자는 온라인 보안에 대해 가능한 한 정보를 유지해야 할 의무가 있음을 분명히해야합니다. 우리 자신의 연구를하지 않고 서비스를 사용할 수있는 시대는 지났고, 전자 세계에서 무슨 일이 일어나고 있는지에 대한 정보를 얻는 것이 보안을 보호하기 위해 취할 수있는 가장 중요한 단계입니다..

내 계정을 안전하게 유지하는 방법

Modlishka와 같은 도구로부터 자신을 보호하기 위해 여전히 할 수있는 일이 있습니다. 이 도구의 위협 모델을 기반으로 계정을 보호하는 데 사용할 수있는 두 가지 방법은 다음과 같습니다.

2FA 대신 UFA 사용

위에서 언급했듯이 Modlishka 스푸핑 2FA.

보다 구체적으로, 사용자가 입력해야하는 2FA 코드를 스푸핑합니다. SMS (고신뢰 할 수 없음) 또는 코드 생성기를 통해 코드를 가져 오든 다시 입력해야한다는 사실은 2FA를 취약하게 만드는 요소입니다..

당신이 유명한 인터넷 사용자이거나 자신의 계정을 보호하지 않아 잃을 것이 많은 사람이라면, 궁극적 인 2FA : 2FA 토큰을 추천합니다..

2FA 토큰은 하드웨어 기반이기 때문에 코드 생성기보다 훨씬 안정적입니다. 아무 것도 입력 할 필요없이 토큰을 연결하기 만하면됩니다. U2F 프로토콜 (Universal 2nd Factor 인증)이라는 방식으로 작동하여 모든 계정을 확인할 수있는 하나의 범용 키를 제공합니다..

지금까지 U2F 토큰을 만드는 회사는 2 개뿐입니다 : Google과 Yubico.

그러나 실제로이 키를 구매해야하지만 가격이 저렴하지는 않습니다. 그렇기 때문에 해킹 당할 위험이 높은 경우이 단계를 수행하는 것이 좋습니다. 그러나 이것들은 오늘날 얻을 수있는 가장 안전한 제품입니다. 해커가 스푸핑 할 수있는 것은 없기 때문에 이러한 종류의 인증은 Modlishka 음소거도 렌더링합니다..

토큰은 자체적으로 작동합니다. USB 또는 블루투스 인증 (Google 만이 기능을 제공함)을 사용하기 만하면됩니다..

비밀번호 관리자 사용

따라서이 Modlishka는 피싱 기반 도구입니다. 다시 말해, 전체 목표는 사용자가 자신의 비밀번호와 2FA 토큰 / 코드를 합법적 인 웹 사이트에 입력한다고 생각하도록 속이는 것입니다. 다시 말해,보고있는 사이트가 가짜임을 알게되면 사기에 빠지지 않습니다..

공격자가 Modlishka를 사용하려면보고있는 사이트의 사용자 지정 도메인 이름을 등록해야합니다. 실제로 Gmail에 로그인하려고하지만 Gmail과 다른 도메인 이름을 사용하는 사이트로 연결되는 경우 피싱 웹 사이트 일 수 있습니다.?

권리. 문제는 사람들이 보통 도메인 이름을 확인하지 않는다는 것입니다. 인간은 습관의 생물입니다. 도메인 이름이 정확한지 확인하기 위해 사용하는 모든 사이트를 갑자기 다시 확인하기를 기대하지는 않습니다..

그러나 비밀번호를 저장하는 비밀번호 관리자를 사용하거나 사용하는 기본 브라우저에서 ‘비밀번호 기억’에 동의한다는 아이디어를 전합니다..

Gmail을 열고 이미 입력 한 비밀번호를 찾는 데 익숙한 경우 비밀번호가 입력되지 않으면 조금 버려 질 수 있습니다. Modlishka의 스푸핑 된 사이트에는 저장된 비밀번호가 없습니다. 즉, 무언가 잘못되었다는 것을 알리고 원하는 정보를 공격자에게 건네지 못하게 할 수 있습니다..

브라우저에 비밀번호를 저장하려는 경우 비밀번호 관리자를 대신 사용하십시오. 기본적으로 동일한 작업을 수행하고 로그인 프로세스 속도를 높입니다. 간단하고 저렴하며 정보가 사이트를 피싱하는시기를 확인할 수 있습니다..

Modlishka와 2FA에 대한 위협 – 최종 생각

인터넷 보안은 해커보다 먼저 취약점을 찾아 내려고했습니다. 지속적인 과정이지만 전혀 “잃어버린 전투”가 아닙니다. 우리가 할 수있는 최선의 방법은 새로운 피싱 캠페인을 지속적으로 최신 상태로 유지하는 것입니다. 정보에 입각 한 사용자는 인적 오류의 양을 제한하여 피싱 사기의 어려운 대상이됩니다..
이 새로운 도구에 대해 어떻게 생각하십니까? 그것을 만든 전문가가 오픈 소스해야한다고 생각하십니까? 아래 의견에 알려주세요.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector