Ipinapaliwanag ng Onion kung paano na-hack ang Twitter account

Mga Hacker na nag-command ng Twitter account ng Onion ay gumagamit ng simple ngunit epektibong pag-atake sa phishing upang makakuha ng mga password, ayon sa isang writeup ng koponan ng teknolohiya ng publisher.

The Syrian Electronic Army (SEA), a ang grupo na sumusuporta sa pag-aalsa sa Pangulong Bashar al-Assad ng Syrian, ay nakompromiso din ang mga prominenteng account sa Twitter, kabilang ang mga Associated Press, Ang Tagapangalaga, ang BBC at NBC News.

The Onion, ang spoof media outlet na tinatawag na "America's Finest News Pinagmulan, "nakita nito ang Twitter account na kinuha sa Lunes. Ang Onion ay nagulat sa pag-hack sa isang kuwento na nagsasabi na binago nito ang password nito sa Twitter sa "OnionMan77."

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Ngunit ang koponan ng Teknolohiya ng Onion ay nagsulat ng malubhang post sa Huwebes na nagpapaliwanag kung paano ito pansamantalang nawalan ng kontrol sa account.

Ang SEA nakompromiso ang mga Google Apps account ng limang empleyado ng Onion. Ang pag-atake ay nagsimula sa ika-3 ng Mayo na may isang pag-ikot ng mga email ng phishing sa ilang mga empleyado na may isang link sa isang istatistika ng Washington Post.

Ipinapakita ng isang imahe ang isa sa mga email na lumabas mula sa isang domain na kabilang sa United Nations High Commissioner for Refugees.

Ang link sa Washington Post, gayunpaman, ay isang ruse at na-redirect ang biktima sa isang pekeng Google Apps login page. Sinabi ng tech team na hindi bababa sa isang empleyado ang pumasok sa kanilang mga kredensyal.

Sa sandaling ang kontrol ng SEA ay may isang tunay na account, ginamit nila ito upang magpadala ng higit pang mga email ng phishing sa iba pang mga staff ng Onion maaga sa Mayo 6.

"Pagdating mula sa isang pinagkakatiwalaang address, maraming mga tauhan ng mga tauhan ang nag-click sa link, ngunit karamihan ay pinigil mula sa pagpasok ng kanilang mga kredensyal sa pag-login, "isinulat ng Onion. "Dalawang miyembro ng kawani ang pumasok sa kanilang mga kredensyal, na ang isa ay may access sa lahat ng aming mga social media account."

Binigyan ng kawani ng teknolohiya ng papel ang lahat upang baguhin ang kanilang mga password sa email. Ngunit ang magsasalakay ay gumamit ng isa pang, undiscovered nakompromiso na account upang magpadala ng isang link sa pag-reset ng password.

Dalawang iba pang mga account ang nakompromiso sa pamamagitan ng pagsisikap na iyon, na ang isa ay pinahintulutan ang SEA na patuloy na pag-access sa kanyang Twitter account.

Ang sibuyas ay gumagamit ng likas na talino para sa pang-iinis upang masubukan kung aling account ang nakompromiso. Nag-publish ito ng isang kuwento, "Ang Syrian Electronic Army ay may isang maliit na kagalakan bago maiiwasang mga nalalapit na pagkamatay sa mga kamay ng mga rebelde," na pinalubha ang mga hacker, na pagkatapos ay nagsimulang mag-post sa Twitter. Ngunit hindi pa rin ito malinaw.

"Sa sandaling natuklasan namin ito, napagpasyahan naming hindi namin malalaman kung paanong ang mga account ay nakompromiso at pinilit na i-reset ang password sa bawat account ng Google Apps account ng staff," isinulat ng Onion. <

Sinabi ng koponan ng teknolohiya ng papel na ang mga email address para sa mga account sa Twitter ay dapat na naka-imbak sa ibang system kaysa sa normal na email ng isang organisasyon. Hangga't ang mga password ay malakas, "gagawin nito ang iyong mga account sa Twitter halos hindi maiiwasan sa phishing."

Gayundin, inirerekomenda ng Sibuyas na ang mga tweet ay dapat dumaan sa isang application tulad ng HootSuite, na pumipigil sa pag-access sa password sa mga account. Ang HootSuite ay gumagamit ng nag-iisang pag-sign-on at OAuth, na gumagamit ng session at mga token ng seguridad upang patotohanan ang mga gumagamit ng ulit.