Удалось обойти ещё один вид двухфакторной аутентификации

Гуру информационной безопасности Брюс Шнайер пишет в своём блоге о трояне «Eurograbber», похитившем более 36 миллионов евро у своих жертв, который способен обходить двухфакторную аутентификацию, что собственно Брюс Шнайер предсказал ещё 8 лет назад:

Обход двухфакторной аутентификации в Eurograbber следующим образом: во-первых компьютер жертва УЖЕ должна использовать компьютер инфицированный трояном, обычно это происходит путём заманивая пользователя на вредоносные страницы и использовании «дыр» в системе безопасности браузера, ОС и других компонентов рабочей среды. Далее троян мониторит активность пользователя ожидая его подключение к системам веб-сайтам систем дистанционного банковского обслуживания (ДБО). Как только жертва заходит на соответствующий сайт, троян Eurograbber внедряет JavaScript и HTML-разметку в их браузер таким образом, чтобы пользователь ввёл свой телефонный номер якобы в связи с  «обновлением ПО банка».  После ввода своего номера, пользователь получает вредоносную SMS с просьбой якобы установить «бесплатное ПО для шифрования», в итоге один из популярных методов двухфакторной аутентификации (SMS от банка с кодом авторизации, transaction authorization numbers, TANs) ставновится скомпрометированным, поскольку среда телефона тоже попала под контроль злоумышленника.

Источники:

https://twitter.com/schneierblog/status/278223081175146496

http://www.techspot.com/news/51037-trojan-bypasses-two-factor-authentication-steals-465-million.html