TM_270

8 24|4|2023 #270 Καθώς περισσότεροι άνθρωποι χρησιμο- ποιούν εφαρμογές στις κινητές συσκευές τους, οι εγκληματίες του κυβερνοχώρου συνεχίζουν να αναπτύσσουν νέες μεθόδους για να εκμεταλλεύονται τα τρωτά σημεία των εφαρμογών. Οι hackers χρησιμοποιούν «επιφάνειες επίθεσης» (attack surfaces) για να εξαγάγουν εμπιστευτικές πληροφορίες που μπορούν να αξιοποιήσουν για να διεισ- δύσουν στη συσκευή σας. Υπάρχουν πέντε τέτοιες «επιφάνειες», στις οποίες κατά κόρον στοχεύουν προκειμένου να αποκτήσουν πρόσβαση στα δεδομένα των χρηστών: • Διαπιστευτήρια χρήστη (user credentials). • Ακεραιότητα εφαρμογής (app integrity). • Ακεραιότητα συσκευής (device integrity). • Ακεραιότητα API (API channel integrity). • Ευπάθειες API και υπηρεσίας (API and service vulnerabilities). Ένας κυβερνοεγκληματίας μπορεί να εξα- πολύσει μια επίθεση στις παραπάνω επι- φάνειες μέσω της εξής διαδικασίας: Προετοιμασία επίθεσης Υπάρχουν τέσσερις τρόποι προετοιμασίας μιας επίθεσης: • Απόκτηση διαπιστευτηρίων χρήστη μέσω phishing, πλαστογράφησης και δε- δομένων που αποκτήθηκαν μέσω του Dark Web. Αυτά τα δεδομένα αποκτώνται συ- νήθως μέσω παραβιάσεων δεδομένων και πωλούνται σε τρίτους στο Dark Web. • Επίθεση στην ακεραιότητα της εφαρμο- γής για εξαγωγή των πληροφορίων του API και κατάχρηση της επιχειρηματικής λειτουργίας της εφαρμογής. • Κατάχρηση της ακεραιότητας της συ- σκευής για την απόκτηση πληροφοριών πελάτη για κακόβουλους λόγους. • Παραβίαση ακεραιότητας API για υπο- κλοπή στοιχείων και πρόσβαση στη λογική της εφαρμογής. Εκτέλεση επίθεσης Αφού αποκτήσουν πρόσβαση και συλλέ- ξουν πληροφορίες, αυτές είναι οι μέθο- δοι που χρησιμοποιούν οι χάκερς για να εκτελέσουν τη στρατηγική επίθεσης: • Χρησιμοποιούν πληροφορίες που απο- κτήθηκαν για να δημιουργήσουν έγκυρα ερωτήματα και να ρυθμίσουν αυτοματο- ποιημένα εργαλεία που στοχεύουν το API. • Συλλέγουν δεδομένα χρησιμοποιώντας νέα ή κοινώς γνωστά κενά, όπως πλα- στές φόρμες αιτήσεων, συνδέσμους και συνημμένα που περιέχουν κακόβουλο λογισμικό. • Καταχρώνται την επιχειρηματική λογι- κή του API για να ζητήσουν περισσότερα χρήματα από τους χρήστες ή να ωθή- σουν τους χρήστες να κάνουν ψεύτικες αγορές. • Παρεμβαίνουν στη λειτουργία της υπη- ρεσίας για επιβράδυνση ή εκτροπή των αιτημάτων των χρηστών. • Χρησιμοποιούν συλλεγμένες πληροφο- ρίες για να παραβιάσουν την εφαρμογή και να αναπτύξουν μια τροποποιημένη έκδοση, έτσι ώστε να εκτρέψουν οικονο- μικές συναλλαγές, διαφημιστικά έσοδα ή να κλέψουν δεδομένα. Σε βίντεο που κυκλοφόρησε πρόσφατα από την ESET , απο- τυπώνονται οι δυνατότητες που παρέχει το σύστημα ESET Anti-Theft , οι οποίες βοηθάνε στην αποτροπή ανεπιθύμητης πρόσβασης σε προσωπικά δεδομένα και στον εντοπισμό μιας οποιασδήποτε συσκευής σε περίπτωση απώλειας ή κλοπής. Το σύστημα επιτρέπει την παρακολούθηση όλων των δραστη- ριοτήτων που στον υπολογιστή ή τη συσκευή στην οποία είναι εγκαταστημένο και χρησιμοποιεί σύγχρονες τεχνολογίες, όπως αναζήτηση γεωγραφικών διευθύνσεων, καταγραφή εικόνων μέσω της ενσωματωμένης κάμερας, προστασία λογαριασμών χρήστη και παρακολούθηση συσκευών. Ακόμα, το ESET Anti-Theft προστατεύει τη συσκευή από μη εξουσιοδοτημένη πρόσβαση, επιτρέπει την παρακολούθηση ξένης δραστηριότητας και παρακολουθεί την τοποθεσία της. Οι δυνατότητες του ESET Anti-Theft Πώς οργανώνεται μια κυβερνοεπίθεση σε mobile συσκευές Της Αφροδίτης Μπαλίδου