Исследователю заплатили $750 за критическую уязвимость в PayPal

19 июня 2015 года египетский исследователь Ибрагим Хегази (Ebrahim Hegazy) обнаружил на сайте платежной системы PayPal серьезную уязвимость. Спустя два месяца компания, наконец, сообщила о закрытии бага, а Хегази получил возможность опубликовать информацию о своей находке.

По сути, Хагази не обнаружил ничего сенсационного, однако для такой крупной системы, как PayPal, подобные баги являются совершенно непростительными. Брешь располагалась на странице SecurePayments.PayPal.com, и это была обыкновенная XSS-уязвимость. Проблема в том, что упомянутая страница используется сервисами PayPal, обеспечивая владельцами онлайновых магазинов и их пользователям возможность оплаты покупок, без сбора и хранения каких-либо конфиденциальных финансовых данных, пишет xakep.ru.

По данным Хегази, взломать систему было возможно, создав специальный подставной онлайн-магазин, или взломав любой существующий. Весь трюк заключается в подмене кнопки «Оформить заказ» на вредоносный URL, эксплуатирующий XSS-баг. Ссылка должна выглядеть примерно так: https:// securepayments.paypal.com/vulnerablepage?param=XSS-Code

В итоге, атакующий получал возможность подменить содержимое страницы SecurePayments, вместо нее отправив пользователя на фишинговый сайт и вынудив его ввести там какие-либо личные и финансовые данные. Собранная информация затем отправлялась на сервер атакующего. Кроме того, при желании, можно было обставить атаку таким образом, чтобы после клика по кнопке «Подтвердить платеж», со счета жертвы списывается не сумма покупки, а произвольная сумма, по желанию атакующего. Видео ниже записано самим Хегази и демонстрирует уязвимость в работе:

Исследователь сообщил о баге в PayPal еще в июне, и 25 августа 2015 года компания отчиталась об устранении проблемы. Хегази даже заплатили за обнаружение бреши $750, согласно программе вознаграждения за уязвимости. С одной стороны – этого явно мало, потому как XSS, на критических для работы платежного сервиса страницах, это уже немалая халатность со стороны PayPal. С другой стороны — $750, это максимум, который, согласно условиям программы вознаграждений, можно получить от PayPal за обнаружение XSS.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Оператор фейковой техподдержки Microsoft похитил у жертв $3 млн

Житель штата Северная Каролина обвиняется в организации мошеннической схемы, которая была замаскирована под деятельность техподдержки. Злоумышленнику за четыре года удалось обмануть американских граждан на общую сумму в $3 миллионов.

Согласно судебным документам, 24-телний Бишап Миттал создал компанию Capstone Technologies LLC, от лица которой вместе с подельником управлял множеством сайтов и операций.

Миттал с напарником покупали рекламу у Google и Bing, чтобы продвигать свои сайты в результатах поисковой выдачи. Также они приобрели у разработчиков авдаре доступ к всплывающим окнам.

Когда пользователь посещал их сайт, агрессивные рекламные окна блокировали браузер жертвы, утверждая, что компьютер заражен вредоносными программами. Большинство этих всплывающих окон были замаскированы под отправленные Microsoft уведомления.

Жертвам предлагалось связаться с техподдержкой. Согласно обвинительному заключению, пользователей соединяли с колл-центром, расположенным в Нью-Дели, Индия.

Операторы этого колл-центра действовали по отработанным сценариям, утверждая, что компьютер пользователя дает сбои из-за использования двух антивирусных программ в системе.

Чтобы устранить все проблемы, пользователи должны были заплатить суммы от $200 до $2 400. Деятельность преступников происходила в период с ноября 2014 года по август 2018 года.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru