FBI en CISA waarschuwen dat Russische hackers Signal-gebruikers phishen voor back-upherstelsleutels die berichtenarchieven kunnen ontgrendelen.
Belangrijkste punten:
- Aan Russische inlichtingendiensten gelieerde hackers jagen op Signal-back-upherstelsleutels, niet alleen op codes of pincode.
- Met een gestolen sleutel kunnen aanvallers back-ups herstellen, privé- en groepschats lezen en toegang behouden aan hetzelfde nummer.
- De campagne misbruikt social engineering en legitieme functies, niet de versleuteling van Signal.
Signal-hackers
In het bijgewerkte advies, gepubliceerd op 26 juni, staat dat actoren die aan Russische inlichtingendiensten zijn gelinkt zich voordoen als geautomatiseerde ondersteuningsaccounts om doelwitten ertoe te bewegen hun Signal-herstelsleutels prijs te geven.
De kennisgeving identificeert UNC5792 en UNC4221, namen die niet in de waarschuwing van maart voorkwamen, en koppelt de activiteiten aan Russische inlichtingengroepen, waaronder FSB-officieren die zijn ingebed bij de grenswacht van de FSB.
De campagne richt zich op mensen die de diensten omschrijven als van “hoge inlichtingenwaarde”, waaronder huidige en voormalige Amerikaanse en internationale functionarissen, militairen, politieke figuren, journalisten en functionarissen in Oekraïne.
Eerdere versies vroegen doelwitten om verificatiecodes en accountpincodes, of gebruikten valse groepsuitnodigingslinks om het apparaat van een aanvaller aan het account te koppelen.
De nieuwere versie vraagt gebruikers om Signal-back-ups in te schakelen, het scherm voor de herstelsleutel te openen en de sleutel in de chat te plakken.
Ook lezen: Claude Fable 5 keert mogelijk terug nu Washington de patstelling met Anthropic afzwakt
FBI-waarschuwing
Volgens de FBI werd in een voorbeeldbericht gesproken over een verplichte uitrol van tweefactorauthenticatie, terwijl een ander bericht beweerde dat urgente gegevensherstel nodig was om verlies van berichten te voorkomen.
Als een doelwit de sleutel deelt, kunnen aanvallers de back-up herstellen, privé- en groepsberichtgeschiedenis lezen en het account overnemen. De sleutel kan geldig blijven nadat het slachtoffer van telefoon wisselt of een nieuw account aanmaakt met hetzelfde nummer.
Het genereren van een nieuwe sleutel in de Signal-instellingen maakt de oude ongeldig voor toekomstige back-updownloads, maar draait geen back-up terug die al is ingezien.
De tactiek omzeilt de encryptie van Signal of de app zelf niet. Ze werkt omdat slachtoffers worden overgehaald om inloggegevens af te staan die hun back-ups beschermen.
Het programma Rewards for Justice van het State Department biedt tot 10 miljoen dollar voor informatie over UNC5792.
De Google Threat Intelligence Group documenteerde hoe UNC5792 begin 2025 misbruik maakte van de functie voor gekoppelde apparaten van Signal, voordat onderzoekers soortgelijk vakmanschap zagen gericht op WhatsApp en Telegram.
Lees verder: PUMP stijgt 12% terwijl Protocol Data waarschuwt dat het herstel broos kan zijn