Облачная система защиты для мобильных устройств

На этой неделе вендор по информационной безопасности Trend Micro выпустил обновленную версию своего приложения Mobile Security для мобильных устройств, работающих на базе операционной системы Android.

Новая версия приложения имеет ряд преимуществ. Во-первых, пользователи могут быть совершенно уверенными в безопасности веб-серфинга через свое мобильное устройство. Ведь, Mobile Security осуществляет проверку всех ресурсов, посещаемых пользователем. Во – вторых, разработчики добавили возможность создания черного списка нежелательных звонков и текстовых сообщений. В- третьих, обновленная функция проверки файлов не допустит загрузку на устройство вредоносных приложений. И наконец, в-четвертых, теперь в Mobile Security включена функция родительского контроля.

Однако, главным преимуществом этой версии приложения, как считают в Trend Micro, является то, что основная работа проводится в «облачной среде», обеспечивая защиту для мобильных устройств в реальном времени через единую сеть Trend Micro Smart Protection Network.

Заметим, что стоимость Mobile Security для Android от Trend Micro составляет 3,99 долларов, а также доступна 30-дневная пробная версия.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Уязвимости ecommerce-платформы Honda сливали данные дилеров и клиентов

Раскрыты детали уязвимостей, найденных в платформе Honda Dealer Sites, облегчающей продажу электрооборудования: генераторов, насосов, газонокосилок. Баги, позволявшие получить информацию о клиентах и торговых партнерах компании, уже устранены.

О наличии серьезных проблем с безопасностью платформы электронной коммерции Honda узнала три месяца назад. Вендор немедленно запустил расследование, подтвердил возможность утечки и к началу апреля устранил все недочеты; признаков злоупотребления не обнаружено.

По словам автора опасных находок, анализ админ-панели, предоставляемой пользователям hondadealersites.com, выявил ошибку в реализации API для восстановления пароля. Ее использование позволяло сбросить пароль тестового аккаунта, а связке с другой найденной уязвимостью (IDOR, небезопасная прямая ссылка на объект) — получить доступ к данным всех дилеров, меняя идентификатор в URL.

Как оказалось, отсюда же можно с помощью особого запроса повысить привилегии до уровня администратора платформы (функциональность, доступная только сотрудникам Honda). Такой эксплойт позволял получить представление о дилерской сети и дивидендах компании в виде платы, взимаемой с подписчиков.

Из-за неадекватного контроля доступа можно было добраться до любой информации на платформе, притом даже из-под тестового аккаунта. А полный админ-доступ позволял получить, например, такие сведения:

  • данные более чем 21 тыс. заказов, оформленных у дилеров в период с 2016 года по 2023-й, с именами, адресами и телефонами клиентов;
  • имена, имейл, пароли 3588 дилеров, с возможностью подмены;
  • имена, фамилии, имейл более 11 тыс. клиентов;
  • формы финансовой отчетности;
  • потенциально — закрытые криптоключи PayPal, Stripe, Authorize.net.

Уязвимости также позволяли получить доступ к 1570 сайтам дилеров и привнести изменения — например, внедрить веб-скиммер. А доступ к детализации заказов можно было использовать для целевого фишинга.

Автомобильный бизнес Honda найденные проблемы не затронули.

В начале года тот же багхантер обнародовал уязвимость в системе управления глобальной цепочкой поставок Toyota. В веб-приложение GSPIMS был случайно привнесен бэкдор, позволявший получить доступ на чтение/запись к аккаунтам более 14 тыс. корпоративных пользователей, а также внутренним документам, проектам, комментариям и рейтингам поставщиков.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru