XSS-эксплойт Yahoo Mail продаётся за 700 долларов

XSS-эксплойт Yahoo Mail продаётся за 700 долларов

Информация о 0-day уязвимости на сайте Yahoo.com, которая позволяла злоумышленникам взламывать аккаунты пользователей почтового сервиса и внедрять вредоносный код, довольно широко разошлась по подпольным форумам.

Компания Yahoo не платит хакерам за найденные уязвимости, поэтому они вынуждены зарабатывать иными способами. Например, один из египетских хакеров предлагает купить готовый XSS-эксплойт за 700 долларов. Ниже ссылка на рекламный видеоролик, который он опубликовал для демонстрации эксплойта покупателям (копию ролика сделал Брайан Кребс и разместил на Youtube).

/video/2012-11-23/10637 

Автор объясняет, что XSS-эксплойт ворует пользовательские cookies для входа в аккаунт и работает во всех браузерах. Он также говорит, что подобные эксплойты обычно продаются по 1000-1500 долларов, а у него цена $700, пишет xakep.ru.

XSS-эксплойт подразумевает, что жертва должна самостоятельно нажать по специально сконструированной ссылке, после чего злоумышленник получает текущие cookies и может зайти в почтовый аккаунт жертвы на Yahoo Mail.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Роскомнадзор хочет знать о маршрутах трафика и оборудовании в сетях связи

Роскомнадзор обновил перечень параметров, которым он руководствуется при осуществлении контроля в области связи. Список сокращен до 971 позиции, но охват расширен: операторов обяжут раскрыть технические детали своей инфраструктуры.

Новый приказ «Об утверждении формы проверочного листа (списка контрольных вопросов, ответы на которые свидетельствуют о соблюдении или несоблюдении контролируемым лицом обязательных требований)» опубликован на федеральном портале проектов нормативных правовых актов.

Ранее этот перечень охватывал лишь формальные аспекты — соблюдение положений закона «О связи», лицензионных требований, а также отраслевых нормативов (правил построения / присоединения / взаимодействия / защите сетей, оказания услуг связи, предоставления доступа к экстренным службам, хранения информации, взаимодействия с правоохранительными и надзорными органами и т. п.).

Теперь в него включены вопросы, касающиеся прохождения трафика через ТСПУ, а также наличия СОРМ, средств госконтроля и выявления IP-адресов, соответствующих именам доменов.

Информацию, позволяющую идентифицировать средства связи и пользовательское оборудование, оператор обязан предоставить РКН в течение 6 месяцев с момента вступления в силу приказа регулятора № 51 от 28.02.2025 либо не позднее 15 рабочих дней с начала действия договора об оказании услуг, а об изменении таких данных — в течение суток.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru