تستغل البرامج النصية المخادعة واجهات برمجة تطبيقات التحقق من OTP لإرسال أكوام من رسائل OTP القصيرة، مما يؤدي إلى احتمال حدوث اضطرابات في الخدمة.

Number of Exposed APIs according to the country
India	44
Indonesia	1
Russia	81

ملاحظة - تستند هذه الرسوم البيانية إلى واجهات برمجة التطبيقات التي تم العثور عليها وتجميعها من الكود المصدري لأدوات تفجير الرسائل القصيرة المتعددة، والتي تمت أرشفة بعضها الآن. امتنع باحثو Cloudsek عن اختبار واجهات برمجة التطبيقات هذه لحالة الضعف الحالية.

سلسلة الهجوم

جمع أرقام الهواتف المستهدفة: يوفر مستخدم مفجر الرسائل القصيرة رقم الهاتف المستهدف أو قائمة أرقام الهواتف التي يريد إرسال الرسائل إليها. يمكن إدخال هذه المعلومات يدويًا أو استيرادها من ملف.

يعتمد هذا على دوافع ممثل التهديد، بالنسبة للمزحة، سيتم استخدام رقم الصديق فقط، ولكن بالنسبة للهجوم المخصص، يمكن جمع أرقام هواتف ممثلي قسم المبيعات من «البائعين الرئيسيين» من منتديات الويب المظلمة أو حتى من Linkedin أو scribd.

يتم بعد ذلك تمرير هذه الأرقام إلى البرنامج الذي يقدم طلبات متعددة مستمرة في واجهات برمجة التطبيقات المستهدفة ويبدأ الهجوم.

سلسلة الهجوم (تابع)

التشغيل المستمر: ستستمر الأداة في إرسال الرسائل حتى يتم الوصول إلى حد الإعداد المسبق أو حتى يقرر المستخدم إيقاف العملية يدويًا. يمكن أن يؤدي ذلك إلى تدفق الرسائل و/أو المكالمات التي يتم إرسالها إلى رقم الهاتف المستهدف.

التأثير على الهدف: يمكن أن يؤدي التدفق المستمر للرسائل والمكالمات إلى إرباك جهاز الهدف، مما قد يؤدي إلى إبطائه أو تجميده أو حتى تعطله. بالإضافة إلى ذلك، قد يتم تنبيه الهدف باستمرار بالإشعارات، مما يجعل من الصعب استخدام الجهاز لمهام أخرى.

كما هو الحال في اختراق Uber، قد يؤدي هذا أيضًا إلى «إجهاد MFA» أو هجمات «الإرهاق»

أخيرًا، يمكن ملء صندوق الوارد الخاص بالمستلم مما يمنعه من تلقي رسائل جديدة وربما مهمة.

في مثالنا، يمكن إيقاف عملية مبيعات الشركة المستهدفة تمامًا بسبب القصف المستمر للرسائل القصيرة والمكالمات.

التداعيات القانونية - وقال محامي المحكمة العليا في بومباي، ساتيا مولاي، إن قصف الهاتف بالرسائل القصيرة حتى بعد تنشيط خدمة DND ليس مجرد شكل من أشكال المضايقة والإزعاج (القسم 268 من قانون العقوبات الدولي)، ولكنه «فخ وطعم وعمل إجرامي من السرقة والغش والتحريض بطريقة غير شريفة على تسليم الممتلكات بموجب المادتين 378 و420". ( مرجع )

إمكانية الوصول والتمويل لهذه الخدمات -

التخفيف

For Brands	For Users
Rate Limiting and Throttling: Implement rate limiting and throttling mechanisms for API requests. This prevents a single user or IP address from sending a large volume of requests in a short amount of time. This can help deter automated attacks by slowing down the rate of requests. User Authentication and Authorization: Require users to authenticate and authorize their usage of the API. This can involve using API keys, OAuth tokens, or other forms of authentication to ensure that only authorized users can access the API. CAPTCHA and Human Verification: Implement CAPTCHA challenges or other forms of human verification for actions that involve sending messages. This helps prevent automated bots from abusing your services. Abuse Detection and Blocking: Implement algorithms that can detect patterns of abuse, such as a sudden surge in requests from a single source. Automatically flag or block suspicious activity and notify administrators. Monitoring and Analytics: Implement monitoring and analytics tools to track API usage patterns. This can help you identify unusual behavior and take action against potential attacks in real-time. Use CloudSEK’s Xvigil tool to find if threat actors are abusing your APIs with its github repository scanning feature.	Ask the tools owners (links later in the report) to put your phone number in the protected list. Ask your telecom provider to activate Do Not Disturb on your phone number.

For Brands

For Users

Rate Limiting and Throttling: Implement rate limiting and throttling mechanisms for API requests. This prevents a single user or IP address from sending a large volume of requests in a short amount of time. This can help deter automated attacks by slowing down the rate of requests.
User Authentication and Authorization: Require users to authenticate and authorize their usage of the API. This can involve using API keys, OAuth tokens, or other forms of authentication to ensure that only authorized users can access the API.
CAPTCHA and Human Verification: Implement CAPTCHA challenges or other forms of human verification for actions that involve sending messages. This helps prevent automated bots from abusing your services.
Abuse Detection and Blocking: Implement algorithms that can detect patterns of abuse, such as a sudden surge in requests from a single source. Automatically flag or block suspicious activity and notify administrators.
Monitoring and Analytics: Implement monitoring and analytics tools to track API usage patterns. This can help you identify unusual behavior and take action against potential attacks in real-time.
Use CloudSEK’s Xvigil tool to find if threat actors are abusing your APIs with its github repository scanning feature.

Ask the tools owners (links later in the report) to put your phone number in the protected list.
Ask your telecom provider to activate Do Not Disturb on your phone number.

ملخص تنفيذي

تهديد

تأثير

تخفيف

التحليل والإسناد

الشركات المتأثرة وواجهات برمجة التطبيقات المكشوفة (حسب المنطقة) -

سلسلة الهجوم

سلسلة الهجوم (تابع)

إمكانية الوصول والتمويل لهذه الخدمات -

التخفيف

البرامج النصية

المراجع

Recent Articles

Get Global Threat Intelligence on Real Time

Protect and proceed with Actionable Intelligence