В прошлом месяце ИБ-специалисты https://xakep.ru/2020/02/28/cerberus-2fa/ новую модификацию Android малвари Cerberus (гибрид банкера и RAT), которая научилась похищать коды двухфакторной аутентификации, сгенерированные приложением Google Authenticator, и таким образом обходить защиту.
«Злоупотребления привилегиями Accessibility, троян может похищать коды 2ФА из приложения Google Authenticator. Когда запущено приложение [Authenticator], троян способен извлечь содержимое интерфейса и отправить его на свой управляющий сервер», — пишут эксперты, рассказывая, что малварь, по сути, делает простой снимок экрана и таким образом ворует 2ФА коды.
Теперь эксперты компании Nightwatch Cybersecurity более детально https://wwws.nightwatchcybersecurity...creen-capture/ Google Authenticator, которая делает подобные атаки возможными, а именно тот факт, что приложение Authenticator в принципе позволяет делать скриншоты своего содержимого.
Дело в том, что Android позволяет приложениям защищать своих пользователей, не давая другим приложениям делать скриншоты. Это достигается путем использования опции «FLAG_SECURE», однако в Google Authenticator этого по какой-то причине сделано не было. Исследователи Nightwatch отмечают, что разработчики Google могли бы решить проблему еще в октябре 2014 года, когда кто-то впервые обратил внимание на эту ошибку в конфигурации и сообщил об этомhttps://github.com/google/google-aut...tor/issues/401.
Кроме того, ранее исследователи обнаружили, что https://wwws.nightwatchcybersecurity...creen-capture/ тоже имеет такую же неправильную конфигурацию, позволяет другим приложениям делать скриншоты экрана с одноразовыми кодами.
Из-за столь странного поведения Google Authenticator многие специалисты рекомендуют переходить на другие приложения, генерирующие одноразовые 2ФА коды, или на более безопасные методы двухфакторной аутентификации, например, использовать аппаратные ключи.