Ошибка в OS X Lion позволяет сменить пароль без ведома владельца

Ошибка в OS X Lion позволяет сменить пароль без ведома владельца

В блоге Defense in Depth появилось сообщение о том, что одному из исследователей удалось обнаружить серьезную ошибку безопасности в последнем выпуске операционной системы Mac OS X. Изъян позволяет злоумышленнику изменить пароль к учетной записи пользователя, не вводя прежнее кодовое слово.


Необходимо заметить, что в данном случае перед нами не привычная уязвимость в коде, для злоупотребления которой нужен эксплойт; складывается впечатление, что Apple просто забыла вставить соответствующую проверку в новую операционную систему. В прежней версии - Snow Leopard - все было нормально: пользователя просили сначала ввести старый пароль, затем назначить новый и подтвердить его; в новом выпуске OS X первый шаг просто отсутствует. Соответственно, злоумышленник, располагающий физическим или логическим доступом к устройству, может совершенно спокойно устроить смену пароля для того пользователя, учетная запись которого активна в текущий момент времени.

Кроме того, вошедший в систему пользователь располагает возможностью считывать хэши паролей других учетных записей и заниматься их дешифровкой, подбором по словарю и т.п. Для осуществления этой операции даже не требуются привилегии суперпользователя: осуществить считывание нужных сведений можно и без корневых прав доступа к системе. Исследователь отметил, что при наличии подобных изъянов простое посещение инфицированного веб-сайта из-под учетной записи администратора может открыть потенциальному злоумышленнику пути для эскалации пользовательских привилегий и получения удаленного доступа к системе с root-правами.

Теперь пользователям Mac OS X остается лишь ожидать, когда Apple выпустит исправление и ликвидирует уязвимость. До тех пор можно принять некоторые временные меры; сам аналитик, обнаруживший изъян, советует ограничить базовый доступ к утилите управления паролями dscl посредством команды $ sudo chmod 100 /usr/bin/dscl. Кроме того, могут оказаться полезны и стандартные организационные приемы защиты: отключить автовход в систему, активировать парольную блокировку экранной заставки, не оставлять работающее устройство без присмотра в тех местах, где к нему могут свободно получить доступ посторонние, и т.п.

Sophos

Письмо автору

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Обратные звонки стали самой популярной уловкой мошенников

Телефонные мошенники начали применять новую тактику: вместо привычных обзвонов они стараются вынудить потенциальную жертву самостоятельно перезвонить по указанному номеру. Такой приём позволяет обходить антифрод-системы банков и операторов связи, которые отслеживают и блокируют подозрительные входящие вызовы.

В результате у человека создаётся иллюзия, что инициатива разговора исходит от него самого, что снижает уровень настороженности.

Как сообщает официальный телеграм-канал Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) «Вестник киберполиции России», рост подобных схем заметен в последние месяцы.

Такая тактика позволяет злоумышленникам обходить технические средства блокировки внешних вызовов, которые активно применяются банками и операторами связи.

«Все схемы начинаются с создания иллюзии угрозы: «взлом госуслуг», «утечка данных», «несанкционированный доступ»… Затем гражданину приходит сообщение с «подсказанным» номером, звонок по которому якобы решит проблему. На деле же этот номер ведёт напрямую в мошеннический кол-центр», — предупреждает УБК МВД.

УБК МВД выделяет следующие характерные признаки подобных сообщений:

  • Нестандартный отправитель: SMS или письма поступают с случайных адресов и номеров, не связанных с организациями, от имени которых якобы отправлены.
  • Акцент на срочности действий — требование немедленно позвонить или выполнить указания является главным маркером мошенничества.
  • Ошибки в тексте: грамматические, стилистические, а также искажённые факты или некорректные данные.

В МВД напоминают: ни банки, ни госслужбы не просят граждан перезванивать по случайным номерам для решения проблем. В подобных ситуациях стоит проверять информацию только через официальные каналы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru