» » Уязвимость в skype, позволяющая угнать любой аккаунт
14 ноября 2012; 15:32

Уязвимость в skype, позволяющая угнать любой аккаунт

Категория: софт

Месяца три назад я писал об этой критической уязвимости в skype support, но она до сих пор не исправлена.

Сразу скажу, что саму уязвимость я целиком не знаю, но в последнее время начались массовые угоны аккаунтов.

Для реализации атаки необходимо лишь знать логин скайпа и e-mail жертвы.

Proof-of-Concept я не знаю. Но делается по достаточно незамысловатой схеме:
-Регистрируется новый скайп на e-mail жертвы.
-Запрашивается восстановление пароля скайпа на этот e-mail.
-Меняется e-mail на зарегистрированном скайпе.
-Дальнейшие действия мне не известны, то ли маркер пароля опять восстанавливается на уже подконтрольную злоумышленнику почту, то ли еще что-то, в итоге злоумышленник меняет пароль от вашего основного скайпа через маркер пароля который пришел на его почту, маркер то ли остается такой же, то ли еще какая-то хитрость тут присутствует.

Proof-of-Concept ( копирайт forum.xeksec.com/f13/t68922/#post98725 )
1. Регистрируем новый скайп акк на мыло жертвы (там будет написано типа на это мыло уже кто-то зареген). Не обращаем внимания — заполняем дальше.
2. Логинимся в скайп клиент
3. Удаляем все куки, идём на login.skype.com/account/password-reset-request вбиваем мыло жертвы.
4. В скайп приходит уведомление

Уязвимость в skype, позволяющая угнать любой аккаунт


6. Переходим по ссылке и видим мыло жертвы и списки логинов зарегистрированных на это мыло. Свой логин тоже видим.
7. Выбираем логин жертвы и меняем пароль
8. PROFIT



Если Вам приходили подобные письма — повод насторожиться!

Единственный способ защититься на данный момент это зарегистрировать новый никому не известный e-mail адрес и сменить через сайт скайпа основной e-mail аккаунта на новый.

Внимание! Сменить через саму программу skype основной e-mail нельзя! Только через сайт!

За последнюю неделю 10 человек только из моего контакт листа взломали с помощью этой уязвимости.
Я хочу предупредить всех как можно быстрее обезопасить себя, так как пока что Microsoft не принимает никаких действий, позаботьтесь о своей безопасности сами.

Теги: skype

© habrahabr.ru

<
XenoMorph

14 ноября 2012 18:56

Информация к комментарию
  • Группа: Администраторы
  • Регистрация: 4.10.2007
  • Статус: Пользователь offline
  • Публикаций: 6 399
  • Комментариев: 2 409
Skype отключил функцию восстановления паролей
(Cреда, 14 ноября 2012 г., 11:17 GMT 15:17)
<
Fox

15 ноября 2012 00:48

Информация к комментарию
  • Группа: Администраторы
  • Регистрация: 10.09.2007
  • Статус: Пользователь offline
  • Публикаций: 612
  • Комментариев: 939
у меня так утром угнали скайп, больше им пользоваться не буду
<
XenoMorph

15 ноября 2012 00:51

Информация к комментарию
  • Группа: Администраторы
  • Регистрация: 4.10.2007
  • Статус: Пользователь offline
  • Публикаций: 6 399
  • Комментариев: 2 409
правильно!! JABBER рулит! )))) krab
Информация
Посетители, находящиеся в группе Гости, не могут оставлять комментарии к данной публикации.