Спамеры обходят анти-CSRF защиту Facebook

Спамеры обходят анти-CSRF защиту Facebook

Эксперты Symantec обнаружили на сайте Facebook мошенническую схему, помогающую злоумышленникам раздобыть анти-CSRF токены для публикации вредоносных ссылок в социальной сети.



Подделка межсайтовых запросов (Cross-site Request Forgery, CSRF) ― тип кибератаки, при которой атакующий повторно использует разрешение на связь, выданное законному пользователю, для совершения противоправных действий без ведома и согласия инициатора сеанса. Чтобы предотвратить такое вторжение, многие веб-сервисы, включая Facebook, применяют генераторы посеансовых токенов, которые при авторизации вводятся в веб-форму как скрытый входной параметр, передает securelist.com

Стремясь завладеть этими одноразовыми паролями, злоумышленники распространяют на Facebook фишинговые сообщения «от друга», завлекающие получателей на подставную страницу YouTube. При переходе на сторонний веб-сайт, указанный ссылкой, посетитель обнаруживает, что для просмотра «потрясного видеоролика» требуется авторизация. Активация линка Generate Code («Сгенерировать код»), проставленного на фишинговой странице, отсылает запрос на сервер Facebook и возвращает JavaScript-код с искомым идентификатором. Далее пользователь копирует эти данные и вставляет в соответствующее поле на той же странице-ловушке, отсылая сигнал злоумышленникам кнопкой Confirm («Подтвердить»). Они вычленяют анти-CSRF токен, просмотрев в браузере html-код страницы с заполненной формой, и используют его в ходе текущего сеанса Facebook для распространения зловредных ссылок от имени жертвы.

Насколько известно, данный трюк пока не используется для проведения drive-by атак, однако Symantec не исключает такую возможность. Администрация Facebook уже уведомлена о мошеннической схеме и работает над устранением новой проблемы.

Документация на микроконтроллер Baikal-U стала общедоступна

«Байкал Электроникс» запустила публичный информационный портал с полной технической документацией на серийный микроконтроллер Baikal-U (BE-U1000). Теперь все ключевые материалы — от даташитов и SDK до схем, reference design плат и API — доступны открыто, без запросов, согласований и лишней бюрократии.

По сути, компания открыла весь базовый набор, который обычно нужен для старта разработки и интеграции микроконтроллера в реальные проекты.

Идея простая: сократить время входа, упростить жизнь инженерным командам и сделать работу с Baikal-U более предсказуемой и удобной — как для технологических партнёров, так и для независимых разработчиков, образовательных проектов и сообществ.

Портал планируют развивать и дальше. Со временем там должны появляться новые практические примеры использования микроконтроллера, прикладные заметки и кейсы, а также доработки интерфейса и навигации на основе обратной связи от пользователей.

Baikal-U (BE-U1000) — универсальный отечественный микроконтроллер на базе российских RISC-V-ядер CloudBEAR. Он рассчитан на индустриальные сценарии, включая применение на объектах критической информационной инфраструктуры.

Среди типовых областей использования — роботизированные комплексы АСУ ТП, датчики безопасности, приборы учёта, устройства ввода-вывода и решения для интернета вещей. За счёт встроенных функций управления электродвигателями и высокой энергоэффективности микроконтроллер может применяться и в системах управления беспилотными летательными аппаратами.

Генеральный директор «Байкал Электроникс» Андрей Евдокимов отметил, что компания сознательно решила изменить подход к взаимодействию с разработчиками и убрать избыточные барьеры. По его словам, открытая документация должна упростить работу с продуктами компании и помочь развитию экосистемы чипов Baikal в целом — в том числе за счёт обратной связи от инженерного сообщества.

В итоге запуск портала выглядит как попытка сделать российский микроконтроллер более «приземлённым» для практического использования — без закрытых архивов, долгих переписок и ограниченного доступа к базовой технической информации.

RSS: Новости на портале Anti-Malware.ru