Хакеры из Turla APT используют новый софт для взлома TLS шифрованных соединений
Новый шпионский софт под названием Reductor позволяет анонимным хакерам взламывать веб траффик. Благодаря эксклюзивному набору функций под красноречивым названием RAT, софт позволяет следить за загрузками, выгрузками, цифровыми сертификатами и другими ресурсами пользователя. В частности, подделка сертификата позволит хакеру подменить сайт или шпионить за действиями и данными пользователей без ведома кого либо.
Как работает софт? Он находит сертификат сайта типа X509v3 в корневом каталоге, и добавляет его в файл host на машине жертвы. Также, при помощи Pipe, удаленно хакер добавляет поверх сертификата свой собственный.
Разработчики вируса взламывают TLS даже не касаясь трафика, вместо этого, они анализируют исходный код Firefox и бинарный код Chrome чтобы контролировать соответствующие функции генерации псевдо-случайных чисел (нужные в шифровании). Генерация случайных чисел обычно используется браузерами в начале соединения для создания подписи TLS.
