Cum a avut loc hackingul la Linus Tech Tips: PDF cu malware, cookie-ul de login furat direct din browser

Mi se pare ceva din care putem învăța cu toții securitate mai bună.

Pe scurt, canalele Linus Tech Tips au fost hăcuite ieri. Cineva a preluat canalul principal, i-a schimbat handle-ul, a șters clipurile vechi și a început să ruleze un live stream ce era un soi de bitcoin scap cu fața lui Elon Musk. La fel s-a întâmplat și cu două canale auxiliare, TechLinked și TechQuickie, din care unul avea peste 4 milioane de abonați, iar celălalt 1,8 milioane.

Astăzi este totul la locul lui din nou. Cei de la YouTube s-au mișcat bine, că vorbim de unul dintre creatorii lor principali. Au repus la loc clipurile șterse (nimic nu este cu adevărat șters, mai ales dacă ai cu cine dialoga direct la YouTube), e totul ok acum.

Cum s-a întâmplat hackingul? Nici nu știam că este posibilă această metodă. Cineva din echipa lor a primit pe email o propunere de colaborare cu un atașament. Emailul părea de la o sursă reală și avea un atașament arhivat. În arhivă era un PDF. PDF-ul nu s-a deschis corect.

În realitate, era un malware care a copiat toate datele din Chrome și Edge, probabil cookie-urile și setările, și le-a transmis mai departe. Hackerii au primit astfel o copie a browserului respectivei persoane și deci au avut acces la toate site-urile pe care acea persoană era deja logată, inclusiv canalele de YouTube.

Nu au fost compromise parole sau vreun element 2FA. S-a copiat direct session token-ul, adică elementul pe care un browser îl instalează după un login de succes ca să te țină logat pe acel site pentru o vreme mai lungă, că altfel ți-ar cere parola la fiecare refresh sau schimbare de pagină. Acel “keep me logged in” a fost de vină.

Personal credeam că nu este așa ușor să primești acces la fișierele cookies și de configurare ale browserelor. Și bănuiesc că nu au avut nici un antivirus care să detecteze imediat un malware și să-l blocheze. Se mai întâmplă. Este de învățat din asta.

Clipul de mai jos le explică mai bine:

Arată în clip și o tehnică inedită. Se poate trimite un fișier executabil cu extensia .com, nu musai .exe. Cei mai bătrâni își aduc aminte din vremurile DOS și Windows 3.11 că și .com este o extensie validă de aplicații. Ei bine, dacă primești un fișier numit “draft de contract pentru youtube.com”, este posibil să crezi că acesta este numele fișierului și se referă la adresa YouTube. În realitate, numele fișiereului este “draft de contract pentru youtube” și are extensia .com.

Un sfat bun ar fi să activați în File Explorer opțiunea de a vedea mereu extensia fișierelor, nu vă bazați pe pictogramă.

Clipul de mai sus se referă și la un articol de pe site-ul Guardio despre StreamJacking, în care se arată câteva malware-uri care îți fură cookie-ul de login de pe YouTube sau Google sau alt site.

Și iată și clipul lui Linus în care descrie ziua respectivă: