किसी भी खाते को हाईजैक करने के लिए स्काइप भेद्यता

लगभग तीन महीने पहले मैंने स्काइप समर्थन में इस महत्वपूर्ण भेद्यता के बारे में लिखा था, लेकिन यह अभी तक तय नहीं किया गया है ( पहले से तय )।

मुझे तुरंत कहना होगा कि मुझे पूरी भेद्यता नहीं पता है (यह पहले से ही ज्ञात है), लेकिन हाल ही में बड़े पैमाने पर खाता अपहरण शुरू हो गए हैं।

हमले को लागू करने के लिए, आपको केवल पीड़ित का स्काइप नाम और ईमेल पता जानना होगा।

सबूत-कांसेप्ट मुझे नहीं पता। लेकिन यह काफी सीधी योजना के अनुसार किया जाता है:
-एक नए स्काइप ईमेल पीड़ित को हटा दिया।
-इस ई-मेल पर आपको अपना Skype पासवर्ड पुनर्प्राप्त करने के लिए कहा गया है।
पंजीकृत स्काइप पर ई-मेल का आदान-प्रदान।
-अधिक कार्यों की जानकारी मुझे नहीं है, या तो पासवर्ड टोकन को फिर से पहले से ही हमलावर द्वारा नियंत्रित मेल पर पुनर्स्थापित किया जाता है, या कुछ और, परिणामस्वरूप, हमलावर अपने मुख्य Skype से पासवर्ड को पासवर्ड टोकन के माध्यम से बदल देता है जो उसके ईमेल पर आया था, मार्कर या तो वही रहता है या फिर कुछ चाल यहाँ मौजूद है।

सबूत-संकल्पना (कॉपीराइट फोरम। xxecec.com/f13/t68922/#post98725 )
1. पीड़ित के साबुन के लिए एक नया स्काइप खाता पंजीकृत करें (यह लिखा जाएगा कि इस साबुन के लिए कोई पंजीकृत है)। ध्यान न दें - आगे भरें।
2. स्काइप क्लाइंट में लॉग इन करें
3. सभी कुकी हटाएं, पीड़ित के साबुन में login.skype.com/account/password-reset-request ड्राइव पर जाएं ।
4. अधिसूचना स्काइप पर आती है



6. लिंक का पालन करें और पीड़ित के साबुन और इस साबुन के लिए पंजीकृत लॉगिन की सूची देखें। हम आपका लॉगिन भी देखते हैं।
7. पीड़ित का उपयोगकर्ता नाम चुनें और पासवर्ड बदलें
8. लाभ

पीड़ित के मेल पर, पत्र लगभग निम्नलिखित क्रम में दिखाई देते हैं (साझेदार और परिचित हैकिंग के बाद अपने मेलबॉक्स के स्क्रीनशॉट भेजते हैं):



और अन्य उदाहरण:
http://screenshot.ru/html/11.14.12_01:53:00_d0de803b.html
http://screenshot.ru/html/11.14.12_01:52:44_ecfe3230.html
http://screenshot.ru/html/11.13.12_23:00:43_210be0fe.html
http://screenshot.ru/html/11.13.12_23:06:50_48247500.html
http://screenshot.ru/html/11.13.12_23:10:36_64dafe3f.html

यदि आप इस तरह के पत्र प्राप्त करते हैं - सावधान रहने का कारण!

फिलहाल अपने आप को बचाने का एकमात्र तरीका एक नया अज्ञात ई-मेल पता दर्ज करना है और स्काइप के माध्यम से मुख्य ई-मेल खाते को एक नए में बदलना है।
चेतावनी! आप स्वयं स्काइप प्रोग्राम के माध्यम से मुख्य ई-मेल नहीं बदल सकते हैं! केवल साइट के माध्यम से!

पिछले एक सप्ताह में, मेरी संपर्क शीट से 10 लोगों को इस भेद्यता का उपयोग करके हैक किया गया था।
मैं सभी को जल्द से जल्द अपनी सुरक्षा करने की चेतावनी देना चाहता हूं, क्योंकि अभी तक Microsoft कोई कार्रवाई नहीं कर रहा है, अपनी सुरक्षा का ख्याल रखें।

युपीडी
एक तरीका था (PoC) भेद्यता का उपयोग कैसे करें:
http://forum.xeksec.com/f13/t68922/#post98725

UPD2
Skype प्रतिनिधि की एक आधिकारिक टिप्पणी:

हमें Skype सुरक्षा भेद्यता की रिपोर्ट मिली है। अपने उपयोगकर्ताओं की सुरक्षा के लिए, हमने पासवर्ड रीसेट सुविधा को अस्थायी रूप से अक्षम कर दिया है, और हम इस समस्या का और पता लगाना जारी रखते हैं। हम असुविधा के लिए क्षमा चाहते हैं, हमारे उपयोगकर्ताओं की सुरक्षा हमारी पहली प्राथमिकता है।