XSS-уязвимость нулевого дня в Internet Explorer позволяет атаковать любые сайты

XSS-уязвимость в Internet Explorer позволяет атаковать любые сайты

Вчера стало известно о появлении ранее неизвестной уязвимости межсайтового скриптинга в Microsoft Internet Explorer. Используя эту ошибку, удаленный пользователь может внедрить в HTML-страницу произвольный JavaScript-сценарий в обход политики единства происхождения практически на любом сайте.

Исследователи из deusen.co.uk, разместившие PoC-код эксплойта, продемонстрировали эксплуатацию уязвимости на сайте первой по величине тиража ежедневной газеты Великобритании «Daily Mail»  www.dailymail.co.uk. При нажатии на специально сформированную ссылку пользователь перенаправляется на сайт dailymail.co.uk, после чего ему выводится сообщение «Hacked by Deusen».

Уязвимость присутствует в Internet Explorer 10.x и 11.x. Эксперты Positive Technologies отмечают, что в сети уже появилось несколько примеров использования уязвимости, из которых видно, что под угрозой находятся множество сайтов, включая критических ресурсы.

В качестве эксперимента демонстрация атаки на портале международного форума по практической безопасности PHDays V: http://www.youtube.com/watch?v=R1n1aG-LNMg.

Способы защиты

Необходимо запретить сторонние iframe с помощью опции заголовка X-Frame-Options, отправляемого web-сервером.

Для Apache настройка в .htaccess будет выглядеть так:

Header always append X-Frame-Options SAMEORIGIN

Для nginx:

add_header X-Frame-Options SAMEORIGIN;

Для IIS:

<system.webServer> 
... 
<httpProtocol> 
<customHeaders> 
<add name="X-Frame-Options" value="SAMEORIGIN" /> 
</customHeaders> 
</httpProtocol> 
... 
</system.webServer> 

Перед Пасхой мошенники запустили волну атак через открытки и чат-ботов

В преддверии Пасхи злоумышленники массово рассылают пасхальные открытки с фишинговыми ссылками или вредоносными вложениями. Чаще всего для этого используются мессенджеры. Такие сообщения могут сопровождаться предложениями поучаствовать в конкурсах, благотворительных акциях или купить куличи.

О росте активности мошенников сообщает РИА Новости со ссылкой на платформу «Мошеловка».

Вредоносные приложения также маскируются под трансляции богослужений и других церемоний, включая схождение Благодатного огня.

Встречаются и другие схемы мошенничества. Так, юрист, подполковник внутренней службы в отставке Елена Браун рассказала РИА Новости о схеме, связанной с якобы возможностью списания долгов:

«Такие сообщения поступают от злоумышленников через фальшивые банковские приложения или по телефону — для списания долга они просят граждан передать личные данные, коды из СМС или другую информацию».

Ещё одной распространённой формой мошенничества остаётся фишинг. В качестве повода для перехода на поддельную страницу злоумышленники используют предложения «поставить свечку онлайн» или «оставить записку за здравие».

Цель таких схем, как предупреждает юрист, — сбор персональных данных. Пасхальная тематика также используется при создании фальшивых сайтов магазинов и маркетплейсов.

Широко распространены, по словам Елены Браун, и псевдорозыгрыши в мессенджерах:

«Мошенники создают в Telegram чат-боты, предлагающие получить пасхальные подарки или премиум-подписку от имени Telegram, Roblox или маркетплейсов. Чтобы получить бонусы в виде „пасхальных яиц“, пользователям предлагают подписаться на сомнительные каналы „спонсоров“».

RSS: Новости на портале Anti-Malware.ru