Scripts desonestos estão explorando APIs de verificação OTP para enviar pilhas de SMS OTP e manter o potencial de provocar interrupções no serviço.

Number of Exposed APIs according to the country
India	44
Indonesia	1
Russia	81

Nota: Esses gráficos são baseados em APIs encontradas e agrupadas a partir do código-fonte de várias ferramentas de bombardeio de SMS, algumas das quais estão arquivadas agora. Os pesquisadores da Cloudsek se abstiveram de testar essas APIs quanto ao status atual de vulnerabilidade.

Cadeia de ataque

Coletando números de telefone de destino: O usuário do bombardeiro SMS fornece o número de telefone de destino ou uma lista de números de telefone para os quais deseja enviar as mensagens. Essas informações podem ser inseridas manualmente ou importadas de um arquivo.

Isso depende da motivação do agente da ameaça. Para uma brincadeira, apenas o número do amigo seria usado, mas para um ataque dedicado, os números de telefone dos representantes do departamento de vendas poderiam ser coletados dos “vendedores líderes” em fóruns da dark web ou até mesmo no LinkedIn ou Scribd.

Esses números são então passados para o software, que faz várias solicitações contínuas nas APIs de destino e o ataque é iniciado.

Cadeia de ataque (continuação)

Operação contínua: A ferramenta continuará enviando mensagens até que um limite predefinido seja atingido ou até que o usuário decida interromper a operação manualmente. Isso pode resultar em uma enxurrada de mensagens e/ou chamadas enviadas para o número de telefone de destino.

Impacto no alvo: O fluxo constante de mensagens e chamadas pode sobrecarregar o dispositivo do alvo, potencialmente causando lentidão, congelamento ou até mesmo travamento. Além disso, o alvo pode ser constantemente alertado com notificações, dificultando o uso do dispositivo para outras tarefas.

Como no caso do hack do Uber, isso também pode levar a ataques de “fadiga de MFA” ou “exaustão”

Finalmente, a caixa de entrada do receptor pode ser preenchida, o que o impede de receber mensagens novas e potencialmente importantes.

Em nosso exemplo, a operação de vendas da empresa-alvo pode ser totalmente encerrada devido ao bombardeio constante de SMS e chamadas.

Repercussões legais - Bombardear um telefone com SMS mesmo depois de ativar o serviço DND não é apenas uma forma de assédio e incômodo (Seção 268 do IPC), mas “uma armadilha, isca e um ato criminoso de roubo, trapaça e indução desonesta de propriedade de acordo com as Seções 378 e 420 do IPC”, disse Satya Mulay, advogada da Suprema Corte de Bombaim. ( referência )

Acessibilidade e finanças de tais serviços -

Mitigação

For Brands	For Users
Rate Limiting and Throttling: Implement rate limiting and throttling mechanisms for API requests. This prevents a single user or IP address from sending a large volume of requests in a short amount of time. This can help deter automated attacks by slowing down the rate of requests. User Authentication and Authorization: Require users to authenticate and authorize their usage of the API. This can involve using API keys, OAuth tokens, or other forms of authentication to ensure that only authorized users can access the API. CAPTCHA and Human Verification: Implement CAPTCHA challenges or other forms of human verification for actions that involve sending messages. This helps prevent automated bots from abusing your services. Abuse Detection and Blocking: Implement algorithms that can detect patterns of abuse, such as a sudden surge in requests from a single source. Automatically flag or block suspicious activity and notify administrators. Monitoring and Analytics: Implement monitoring and analytics tools to track API usage patterns. This can help you identify unusual behavior and take action against potential attacks in real-time. Use CloudSEK’s Xvigil tool to find if threat actors are abusing your APIs with its github repository scanning feature.	Ask the tools owners (links later in the report) to put your phone number in the protected list. Ask your telecom provider to activate Do Not Disturb on your phone number.

For Brands

For Users

Rate Limiting and Throttling: Implement rate limiting and throttling mechanisms for API requests. This prevents a single user or IP address from sending a large volume of requests in a short amount of time. This can help deter automated attacks by slowing down the rate of requests.
User Authentication and Authorization: Require users to authenticate and authorize their usage of the API. This can involve using API keys, OAuth tokens, or other forms of authentication to ensure that only authorized users can access the API.
CAPTCHA and Human Verification: Implement CAPTCHA challenges or other forms of human verification for actions that involve sending messages. This helps prevent automated bots from abusing your services.
Abuse Detection and Blocking: Implement algorithms that can detect patterns of abuse, such as a sudden surge in requests from a single source. Automatically flag or block suspicious activity and notify administrators.
Monitoring and Analytics: Implement monitoring and analytics tools to track API usage patterns. This can help you identify unusual behavior and take action against potential attacks in real-time.
Use CloudSEK’s Xvigil tool to find if threat actors are abusing your APIs with its github repository scanning feature.

Ask the tools owners (links later in the report) to put your phone number in the protected list.
Ask your telecom provider to activate Do Not Disturb on your phone number.

Sumário executivo

AMEAÇA

IMPACTO

MITIGAÇÃO

Análise e atribuição

As empresas afetadas e suas APIs expostas (em termos de região) -

Cadeia de ataque

Cadeia de ataque (continuação)

Acessibilidade e finanças de tais serviços -

Mitigação

Scripts

Referências

Recent Articles

Get Global Threat Intelligence on Real Time

Protect and proceed with Actionable Intelligence