Una nuova tecnica di phishing può sfruttare le applicazioni Microsoft Edge WebView2 per rubare i cookie di autenticazione e consentire ad attori malevoli di loggarsi ad account rubati bypassando la 2FA.
L’autenticazione a due fattori o 2FA, si basa sull’utilizzo congiunto di due metodi di autenticazione individuali, in genere su due canali come quando, per esempio, per accedere al conto corrente, oltre ai propri ID e password, si utilizza una one-time password o OTP (un codice utilizzabile una volta sola inviato all’utente o generato attraverso un token).
La 2FA rappresenta quindi un notevole ostacolo al remunerativo furto di credenziali di accesso nonché una barriera agli stessi attori malevoli che cercano nuovi metodi per bypassarla.
Ora, il ricercatore mr.d0x ha creato un nuovo metodo di phishing che permette di rubare facilmente le credenziali di autenticazione e fare il login anche in account protetti con la 2FA.
L’attacco è basato sul social engineering ed è stato denominato “WebView2-Cookie-Stealer”. L’attore malevole induce la vittima a lanciare un eseguibile WebView2 che apre una pagina di login a un sito legittimo all’interno dell’applicazione.
Come specificato dal ricercatore nel suo blog, WebView2 permette di integrate tecnologie Web come HTML, CSS e JavaScript nelle app native e può essere utilizzato per creare eseguibili che comunicano con le applicazioni come se fossero dei browser. In tal modo, le app possono caricare un qualsiasi sito e far sembrare che sia aperto in Microsoft Edge.
WebView2 consente inoltre agli sviluppatori di accedere direttamente ai cookie e iniettare JavaScript nella pagina caricata dall’applicazione. Nel caso dell’eseguibile di mr.d0x, queste caratteristiche vengono sfruttate per inviare tutto ciò che la vittima scrive al server dell’autore dell’attacco. Inoltre, il codice accede alla cartella User Data Folder (UDF) di Chrome, che contiene tutte le password, le sessioni e i segnalibri dell’utente, e utilizza l’interfaccia ICoreWebView2CookieManager di WebView2 per esportare i cookie dei siti all’autenticazione e inviarli al server dell’aggressore.
Questo tipo di attacco bypassa la 2FA in quanto i cookie sono rubati dopo aver superato l’autenticazione a due fattori e rimangono validi fino al termine della sessione.
https://www.securityinfo.it/2022/06/27/phishing-supera-l2fa-con-app-microsoft-webview2/
