Злоумышленники использовали ИИ для атак на программные интерфейсы
JPCERT/CC расследовал серию инцидентов несанкционированного доступа к японским организациям и выявил инфраструктуру, применявшуюся для атак на веб-сервисы в Японии и за рубежом. Злоумышленники использовали процессы с поддержкой ИИ для поиска известных уязвимостей и атак на API. В ходе расследования обнаружили несколько связанных с этой деятельностью исходных серверов, размещённых в интернете.
Анализ приложений Flutter и поиск уязвимостей API
Одной из ключевых техник было получение и анализ файлов APK для выявления API приложений и поиска уязвимостей, в том числе подделки запросов на стороне сервера (SSRF). По имеющимся данным, злоумышленники проверяли, принимают ли API URL-адреса под их контролем и позволяют ли обращаться к внутренним или внешним ресурсам, доступ к которым не предусмотрен.
На одном из серверов находились несколько файлов APK и инструменты для реверс-инжиниринга приложений Flutter, включая Blutter и jadx. Blutter предназначен для анализа кода на Dart, скомпилированного заранее и встроенного в приложения Flutter. В сочетании с Frida, LIEF и Capstone такой анализ позволяет выявлять структуру приложения, способы взаимодействия с API, встроенные секреты, логику аутентификации и алгоритмы подписи запросов.
Исследования, на которые ссылается JPCERT/CC, показали, что из приложения Flutter можно извлечь закрытый ключ RSA и логику формирования подписи API. Отдельный клиент на Python может воспроизводить подписанные запросы и получать доступ к API продукта без официального приложения. Анализ APK и скомпилированных файлов libapp.so также может раскрыть ключи API, учётные данные, структуру классов и адреса функций.
Другие цели и рекомендации для приложений
На другом сервере обнаружили файлы, указывавшие на активность против систем MySQL, серверов Jenkins, почтовых шлюзов и веб-приложений. JPCERT/CC связал эту инфраструктуру с более широким поиском и эксплуатацией уязвимостей, не ограниченными мобильными API.
Авторы отчёта рекомендуют приложениям, которые могли подвергнуться раскрытию, не встраивать в клиентское программное обеспечение закрытые ключи и учётные данные с длительным сроком действия. Они также рекомендуют проверять аутентификацию и авторизацию на стороне сервера, отслеживать и ограничивать частоту использования API, а API для получения URL ограничивать проверенными адресами, чтобы снизить риск злоупотреблений через SSRF.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
