Специалисты сообщили об уязвимости платежной системы Google Wallet

В платежной системе Google Wallet, позволяющей использовать смартфон с модулем NFC в качестве бесконтактной платежной карты, содержится уязвимость, с помощью которой хакеры могут похитить деньги со счета владельца смартфона, сообщила компания Zvelo, занимающаяся разработкой технологий в области информационной безопасности.



На настоящий момент платежная система Google Wallet работает только в США и только на одном смартфоне - Samsung Nexus S 4G на ОС Android, в версии с контрактом мобильного оператора Sprint. Таким образом, риск массовой атаки пока невелик, сообщает РИА новости.

Система Google Wallet требует, чтобы пользователь ввел четырехзначный пин-код перед осуществлением денежной транзакции. Исследователям из Zvelo удалось выяснить, что пин-код в виде хэша (числовых значений пина, вычисляемых с помощью алгоритма шифрования) хранится в памяти смартфона, и его можно расшифровать путем обычного подбора вариантов. По данным экспертов, поскольку взломщику известно, что длина пин-кода составляет четыре цифры, а для его шифрования используется известный алгоритм (SHA256), нужно перебрать лишь десять тысяч возможных хэшей и сравнить их с тем, что хранится в памяти смартфона, чтобы найти верный пароль.

"Даже для такого небольшого и маломощного по сравнению с ПК устройства, как смартфон, такие вычисления не являются проблемой", - написал в блоге Zvelo ведущий эксперт компании Джошуа Рубин (Joshua Rubin).

Как сообщают представители Zvelo, в компании Google оперативно отреагировали на информацию об обнаружении уязвимости и пообещали ее исправить.

В Zvelo также отмечают, что пин-код нельзя вычислить, просто достав смартфон из коробки. Для осуществления взлома злоумышленник для начала должен получить root-доступ к системе Android, который, в свою очередь, откроет доступ к части памяти смартфона, в которой хранятся данные о пин-коде. После этого необходимо установить специальное приложение, которое найдет хэш и подберет по нему пин-код.

Хотя массовые атаки на пользователей смартфонов, оснащенных NFC-модулем и технологией Google Wallet пока маловероятны, теоретически они возможны - случаи появления вредоносного ПО, которое способно самостоятельно получить root-доступ к Android и установить дополнительное ПО, за последний год были зафиксированы не раз.

Сервис мобильных платежей Google Wallet начал работу в США в сентябре 2011 года. С помощью бесплатного приложения Google Wallet пользователю для оплаты товаров и услуг нужно лишь приложить смартфон с NFC-чипом (Near Field Communication) к специальному считывающему устройству. Эту технологию многие ведущие компании рассматривают как более удобную альтернативу традиционным банковским картам. Конкуренцию Google на этом рынке планируют составить многие крупные игроки финансового и мобильного рынка, такие как Visa, Mastercard и ряд американских и европейских сотовых операторов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Flipper Zero использует уязвимость для открытия электронного сейфа

Павел Жовнер, основатель проекта Flipper Zero, наглядно показал, как можно открыть электронный сейф с помощью портативного мультитула, используя уязвимость в протоколе управления контроллера.

Напомним, что Flipper Zero является универсальным хакерским инструментом для пентестеров и гиков.

Павел Жовнер использовал для видео сейфы компании SentrySafe. Ниже можно посмотреть сам процесс перехвата данных по протоколу UART и эксплуатации уязвимости сейфов.

 

 

С помощью данной техники можно открыть электронный сейф, не владея ПИН-кодом. Релиз данного гаджета состоялся в июле 2020 года на Kickstarter. Не прошло и суток, как Flipper Zero собрал более $1 млн.

Спустя месяц сбор заявок на электронный мультитул закончился. Сумма, полученная с продаж гаджета, составила $4 882 784. У проекта нашлось 37 987 сторонников на краудфандинговой платформе. В нескольких странах мира начались проблемы с торговлей Flipper Zero.

Например, в Канаде официальная продажа данного устройства была запрещена в феврале. Правительство аргументировало это возросшим числом случаев угона автомобилей в стране.

В марте 2023 года бразильская таможня задержала и арестовала партию Flipper Zero, чтобы предотвратить использование мультитулов в преступных целях. Из-за санкций, наложенных на РФ, 15 декабря 2022 немецкая таможня уничтожила партию посылок с гаджетами на сумму $200 тысяч.

30 марта 2023 года представители Flipper Zero сообщили, что заказы всё же добрались до своих получателей с помощью альтернативных схем поставок.

В апреле 2023 года современная торговая площадка Amazon внесла запрет на продажу Flipper Zero, так как посчитала, что данный продукт относится к устройствам для взлома и краж.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru