Freaked out por "clic imposible" en los registros

Hemos visto este tipo de comportamiento en nuestros servidores (hace algunos años): algún proceso automatizado intentó repetir cada solicitud realizada por un usuario que inició sesión.

En nuestro caso, el servicio requería TLS para las páginas de inicio de sesión, pero permitía a los usuarios registrados continuar su sesión en páginas que no eran HTTPS. Sin embargo, el identificador de sesión cambió en cada solicitud, mientras que los identificadores de sesión usados permanecieron válidos durante algunos segundos después de la primera vez que fueron enviados de vuelta al servidor (para mitigar los problemas de latencia).

Cuando se notó el patrón que describiste, investigamos quién o cuál era la fuente de la solicitud de repetición. Cuando redujimos el tiempo de espera de invalidación para los identificadores de sesión reutilizados, rápidamente quedó claro que se repetían todas para ciertos usuarios, pero que el patrón solo surgía para un subconjunto distinto de usuarios.

Resultó que el factor común para este subconjunto de usuarios era que todos estaban en China. Asumimos que era una característica del gran servidor de seguridad de China, cambiamos todo el servicio a HTTPS (obligatorio) y se detuvieron las solicitudes de repetición.

Por lo tanto, para resumir, ya que se está conectando a su script PHP remoto a través de una conexión que no es TLS, cualquier persona, incluidos muchos procesos automatizados, podría incluir su solicitud. Esto podría ser nefasto, pero también podría ser una característica de seguridad (como la detección de malware, etc.) en alguna parte.

Cambie a HTTPS y vea si continúa. Si se detiene, resolvió el problema. Si continúa, sus solicitudes se están interceptando en uno de sus puntos finales (su servidor o su máquina local).

Podría ser algún software de seguridad en su sistema o en su red que inspeccione si la URL que visita es dañina. A menudo realizan visitas desde sistemas que obviamente no están asociados con las compañías de seguridad, ya que los atacantes a menudo intentan ofrecer contenido inocente si detectan un bot de una compañía de seguridad. Por lo tanto, en lugar de intentar encontrar cualquier malware, intente deshabilitar todo el software de seguridad en su sistema o dentro de su red y vea si el problema desaparece.

Puede haber varias causas para esto. Desde mi perspectiva, lo más probable es que sea algún tipo de malware, pero no está necesariamente en tu Mac.

Uno de los principales problemas con el malware es: incluso si logra detectar un archivo infectado (o una instancia del malware), eliminarlo o destruirlo no eliminará necesariamente la fuente de la actividad maliciosa. Puede que solo sea un archivo hijo. Es posible que hayas infectado con algo, o que tus dispositivos móviles estén infectados o que también estén infectados y tal vez sea adicional o simplemente tu enrutador.

Así que aquí viene la triste verdad: sin reiniciar todo el dispositivo (s) hay pocas posibilidades de que te deshagas de esto. Si tiene un enrutador antiguo o mal mantenido (en relación con las actualizaciones y la seguridad) quizás también deba restablecerlo. Si desea profundizar en el análisis forense, también puedo recomendarle que no haga esto en sus sistemas en vivo, dependiendo de si también quiere usarlos de otras maneras. Lamento traer malas noticias.

¿Notaste este hecho?

¿Fue cortafuegos y restringió su entorno de ensayo? Si no es así, el contrato y la NDA que usted haya firmado con su empresa ahora serán nulos e inválidos o podrían presentar una demanda legal en su contra si otra persona tuviera acceso a su entorno de almacenamiento, que generalmente tiene secretos comerciales. Estas son las implicaciones con las que se encuentra sin contratar o buscar un servicio de seguridad profesional.

Si usted es tan experto en appsec como en mi experiencia como ingeniero de seguridad . Los entornos de prueba siempre deben usar el protocolo TLS, así como ser cortafuegos , usar iptables y permitir solo ciertas subredes pertenecientes a su intranet corporativa o VPN para acceder a esta instancia de almacenamiento.

¿Implementó la Autenticación básica o el cortafuegos en su instancia de almacenamiento o al menos usó TLS mientras se comunicaba con esa instancia de almacenamiento?

sí / no ?

El problema principal

Estoy seguro de que no estaba usando un VPN corporativo y no estaba restringiendo el acceso a la instancia de almacenamiento por IP. Primer punto a tener en cuenta.

Segundo, el protocolo TLS no se implementó, lo que lleva a la intercepción de solicitudes de red.