Уязвимость в анонимном приложении угрожает безопасности смартфонов

Уязвимость в анонимном приложении угрожает безопасности смартфонов

Найденная уязвимость в популярном приложении Snapchat позволяет проводить атаки DoS (Denial of Service – «отказ в обслуживании») против владельцев «яблочных» гаджетов и мобильных устройств на платформе Android, сообщает Los Angeles Times со ссылкой на консультанта по информационной безопасности в компании Telefonica Джейми Санчеса (Jaime Sanchez).

По словам специалиста, найденная им вместе с его коллегой уязвимость в сервисе обмена мгновенными сообщениями Snapchat позволяет отправлять тысячи сообщений одному пользователю всего лишь за несколько секунд.

Отправка такого большого числа сообщений в столь малый промежуток времени сопоставима с эффектом от DoS-атаки, рассказал Санчес: устройство перестает реагировать на действия пользователя, после чего в некоторых случаях требуется «жесткая» перезагрузка (принудительное выключение и повторное включение аппарата), передает CNews.ru.

Санчес рассказал, что уязвимость заключается в возможности использования старых токенов (ключей), предназначенных для идентификации отправителя, при отправке новых сообщений.

Специалист сообщил, что атакованы могут быть как iOS-устройства, так и на базе Android. Редакция Los Angeles Times провела эксперимент и выяснила, что при такой атаке iPhone зависает, после чего необходима его перезагрузка; тогда как Android-смартфон начинает очень медленно работать и находится в таком состоянии, пока атака не прекратится. Модель смартфона в редакции не уточнили.

«Мы не стали сообщать об этой уязвимости администрации Snapchat, потому что она все равно бы не обратила на нас внимание», – заявил Санчес. В качестве примера он сослался на ситуацию с австралийской компанией Gibson Security. В августе она уведомила Snapchat об уязвимости, которая позволяет получить доступ к недокументированным функциям сервиса и взломать его. Спустя 4 месяца, так и не дождавшись реакции от Snapchat, эксперты опубликовали в открытом доступе всю необходимую информацию для эксплуатации этой уязвимости.

Спустя некоторое время после публикации статьи на страницах Los Angeles Times, Санчес сообщил, что администрация Snapchat заблокировала два его аккаунта в сервисе, которые он использовал для тестирования уязвимости. «Вот такие у них контрмеры», – написал он в своем твиттере.

Мессенджер Snapchat был запущен в 2011 г. Одна из его особенностей заключается в возможности отправки сообщений анонимно. При этом сообщения автоматически удаляются спустя 10 секунд или раньше, в зависимости от желания отправителя. Создатели утверждают, что таким образом общение максимально приближено к реальной жизни, в которой собеседники делятся впечатлениями в режиме реального времени и не могут сохранить их у себя каким-либо образом.

Подпишитесь на новости

Сдайся и получи награду: что адвокат Бух предлагал мнимому главе LockBit

«Известия» опубликовали расследование о переговорах американского адвоката Аркадия Буха с человеком, выдававшим себя за предполагаемого руководителя LockBit Дмитрия Хорошева. По версии издания, юрист предлагал собеседнику сдаться властям США и разделить награду за его поимку. Бух это отрицает.

В материале «Известий» говорится, что анонимный источник передал редакции видеозаписи разговоров. Сам источник утверждает, что назвался Хорошевым, чтобы получить ответы адвоката.

За информацию, позволяющую установить местонахождение Хорошева или добиться его задержания, американские власти предлагают до $10 млн. По интерпретации опубликованных записей, Бух обсуждал вариант, при котором две трети награды достались бы собеседнику, а треть — адвокату.

Издание также описывает предложения встретиться на нейтральной территории или организовать разговор с ФБР через Zoom.

Опрошенный «Известиями» американский адвокат поставил под сомнение правовую основу выплаты разыскиваемому награды за собственную явку и указал на возможный конфликт интересов.

Бух заявил редакции, что не подталкивает доверителей к сделкам: он обязан объяснять доступные стратегии, а решение принимает клиент. Предложение делить награду он отверг, назвав такую практику недопустимой.

В итоге перед нами спор о содержании переговоров с человеком под вымышленной личностью. Громкий сюжет есть; подтвержденного вывода, что адвокат продает клиентов ФБР, опубликованный материал сам по себе не устанавливает.

RSS: Новости на портале Anti-Malware.ru