Digital Security и Aladdin: комплексный подход к защите ДБО

Digital Security и Aladdin: комплексный подход к защите ДБО

Компании Digital Security и «Аладдин Р.Д.» объявили о заключении партнерского соглашения о совместном предоставлении услуг в области защиты систем дистанционного банковского обслуживания (ДБО). Благодаря сотрудничеству двух компаний-экспертов в области ИБ российские банки получили возможность существенно повысить уровень безопасности сервисов ДБО и минимизировать риски возникновения инцидентов.

Сегодня одним из ключевых аспектов, влияющих на рост киберпреступности в банковской сфере, является уязвимость рабочих мест пользователей систем ДБО. С другой стороны, ряд мошеннических атак направлен на программные «дыры» в современных системах дистанционного банкинга. Эксплуатация уязвимостей самих систем ДБО также может привести к хищению денежных средств со счетов клиентов банков. Для комплексной защиты от данных угроз компании Digital Security и «Аладдин Р.Д.» совместно предложили банковскому сегменту сервисы по повышению безопасности ДБО, которые включают:

  • обеспечение сохранности закрытых ключей ЭЦП за счет использования клиентами электронных ключей eToken;
  • проведение регулярного аудита приложений с целью обнаружения уязвимостей программного кода систем ДБО с привлечением экспертов Digital Security.

В комплексе данные услуги позволят банкам снизить риски, связанные с атаками злоумышленников на рабочие станции клиентов систем интернет-банкинга, а также выявить и своевременно устранить слабые места в организационных и технических методах собственной защиты сервисов дистанционного обслуживания.

Алексей Синцов, ведущий аудитор Digital Security: «В последнее время можно отметить значительное увеличение интереса участников российского банковского сектора к повышению безопасности используемых ими продуктов. Учитывая необходимость соответствия ряду стандартов в области ИБ, возникшую особенно в последнее время, партнерские отношения с компанией «Аладдин Р.Д.» являются вполне логичным шагом. Основной задачей развития данного сотрудничества является создание ряда комплексных услуг, дополняющих друг друга».

«Многие крупнейшие российские банки в последнее время реализовывали проекты по повышению безопасности работы клиентов в системах интернет-банкинга за счет использования электронных ключей eToken. Поэтому мошенники стали смещать вектор своих усилий на поиск уязвимостей в системах ДБО, - комментирует Денис Калемберг, менеджер по работе с корпоративными заказчиками компании «Аладдин Р.Д.». - Партнерство с ведущей консалтинговой компанией в области защиты информации носит стратегический характер. Совместно с Digital Security мы сможем предложить рынку комплексную защиту от большинства видов угроз, связанных с кражей денежных средств со счетов клиентов банков».

Компании Digital Security и «Аладдин Р.Д.» объявили о заключении партнерского соглашения о совместном предоставлении услуг в области защиты систем дистанционного банковского обслуживания (ДБО). Благодаря сотрудничеству двух компаний-экспертов в области ИБ российские банки получили возможность существенно повысить уровень безопасности сервисов ДБО и минимизировать риски возникновения инцидентов." />

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bounty.

RSS: Новости на портале Anti-Malware.ru