Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Специалисты «Лаборатории Касперского» обнаружили сразу несколько уязвимостей в биометрических терминалах производства компании ZKTeco. В случае эксплуатации злоумышленники могут обойти систему контроля доступа и физически проникнуть в охраняемые места.

Кроме того, как отметили в Kaspersky, с помощью выявленных брешей можно выкрасть биометрические данные, модифицировать базы и даже установить бэкдоры.

Терминалы ZKTeco используются во многих отраслях: их можно встретить в медицинских учреждениях, на производственных предприятиях и даже атомных электростанциях.

В общей сложности устройства дают возможность аутентифицироваться четырьмя способами: с помощью биометрии (сканирование лица), по паролю, электронному пропуску и QR-коду.

Поскольку в самих терминалах могут храниться биометрические данные тысяч людей, производителю важно поддерживать должный уровень защищённости. «Лаборатория Касперского», обнаружив ряд уязвимостей, направила информацию о них вендору. Всего специалисты выявили пять проблем:

  1. CVE-2023-3938 — допускает проведение SQL-инъекции. Условные атакующие могут внедрить данные в QR-код, что поможет им попасть в охраняемые зоны. С точки зрения терминала база ошибочно идентифицирует вредоносный QR-код как последний легитимный.
  2. CVE-2023-3940 — открывает доступ к любому файлу в системе, а также возможность извлечь его. С помощью соответствующего эксплойта злоумышленники могут добраться до биометрических данных пользователей и хешей их паролей.
  3. CVE-2023-3941 — эта уязвимость позволяет внести изменения в базу данных биометрического считывателя. Другими словами, условный преступник может загрузить в БД собственные данные и добавить себя в список авторизованных пользователей.
  4. CVE-2023-3939 и CVE-2023-3943 могут привести к выполнению произвольных команд или кода на устройстве. В теории атакующий может задействовать девайс в атаках на другие сетевые узлы.

Телефонные мошенники начали применять новую многоступенчатую схему

Злоумышленники начали использовать новую трёхэтапную схему обмана, в которой поочерёдно представляются полицейским и опасным преступником. Схема уже привела к реальным жертвам: с её помощью мошенники похитили у пожилой жительницы Москвы более 20 млн рублей.

О новом способе мошенничества сообщил ТАСС со ссылкой на пресс-службу прокуратуры Москвы. Как уточнили в ведомстве, в случае с пенсионеркой аферисты применили трёхступенчатую модель обмана.

На первом этапе женщине позвонил человек, представившийся сотрудником полиции. Он сообщил об убийстве другой пожилой женщины, якобы проживавшей по соседству, и оставил номер телефона для связи — «на случай подозрительных звонков».

В отличие от традиционных схем, используемых с 2021 года, где лжеправоохранители подключаются на более поздних этапах, здесь «полицейский» появляется уже в самом начале, чтобы заранее завоевать доверие жертвы.

На следующий день пенсионерке позвонил уже якобы сам преступник. В грубой форме он потребовал передать 500 тыс. рублей. Женщина, следуя ранее полученным инструкциям, сразу же перезвонила по «служебному» номеру и рассказала о произошедшем.

На завершающем этапе лжеполицейский предложил пенсионерке «помочь следствию» и принять участие в операции по поимке преступника — якобы для его задержания при передаче денег.

«Пострадавшая начала выполнять все указания звонившего и передала 500 тыс. рублей курьеру. Затем аферисты сообщили пенсионерке, что операция пошла не по плану, а её паспортные данные стали известны третьим лицам, которые пытаются похитить сбережения. Испугавшись, женщина продолжила общение с мошенниками, в том числе по видеосвязи. По их указаниям она несколько раз снимала со счетов семейные накопления и передавала их курьерам, полагая, что это инкассаторы. Общий ущерб превысил 20 млн рублей», — рассказали в прокуратуре.

В надзорном ведомстве напомнили, что никакие следственные действия и оперативно-разыскные мероприятия по телефону не проводятся, а сотрудники правоохранительных органов не привлекают граждан к содействию дистанционно. Граждан призвали не выполнять указания неизвестных лиц, кем бы они ни представлялись.

RSS: Новости на портале Anti-Malware.ru