Исследователю заплатили $750 за критическую уязвимость в PayPal

Исследователю заплатили $750 за критическую уязвимость в PayPal

19 июня 2015 года египетский исследователь Ибрагим Хегази (Ebrahim Hegazy) обнаружил на сайте платежной системы PayPal серьезную уязвимость. Спустя два месяца компания, наконец, сообщила о закрытии бага, а Хегази получил возможность опубликовать информацию о своей находке.

По сути, Хагази не обнаружил ничего сенсационного, однако для такой крупной системы, как PayPal, подобные баги являются совершенно непростительными. Брешь располагалась на странице SecurePayments.PayPal.com, и это была обыкновенная XSS-уязвимость. Проблема в том, что упомянутая страница используется сервисами PayPal, обеспечивая владельцами онлайновых магазинов и их пользователям возможность оплаты покупок, без сбора и хранения каких-либо конфиденциальных финансовых данных, пишет xakep.ru.

По данным Хегази, взломать систему было возможно, создав специальный подставной онлайн-магазин, или взломав любой существующий. Весь трюк заключается в подмене кнопки «Оформить заказ» на вредоносный URL, эксплуатирующий XSS-баг. Ссылка должна выглядеть примерно так: https:// securepayments.paypal.com/vulnerablepage?param=XSS-Code

В итоге, атакующий получал возможность подменить содержимое страницы SecurePayments, вместо нее отправив пользователя на фишинговый сайт и вынудив его ввести там какие-либо личные и финансовые данные. Собранная информация затем отправлялась на сервер атакующего. Кроме того, при желании, можно было обставить атаку таким образом, чтобы после клика по кнопке «Подтвердить платеж», со счета жертвы списывается не сумма покупки, а произвольная сумма, по желанию атакующего. Видео ниже записано самим Хегази и демонстрирует уязвимость в работе:

Исследователь сообщил о баге в PayPal еще в июне, и 25 августа 2015 года компания отчиталась об устранении проблемы. Хегази даже заплатили за обнаружение бреши $750, согласно программе вознаграждения за уязвимости. С одной стороны – этого явно мало, потому как XSS, на критических для работы платежного сервиса страницах, это уже немалая халатность со стороны PayPal. С другой стороны — $750, это максимум, который, согласно условиям программы вознаграждений, можно получить от PayPal за обнаружение XSS.

Фейковый маркетплейс Zadrotik обманывает геймеров и подписчиков сервисов

Компания F6 предупредила о мошенническом маркетплейсе Zadrotik, ориентированном на российских пользователей. Площадка специализируется на продаже игрового инвентаря и виртуальных товаров для популярных игр, а также подписок на различные онлайн-сервисы. Ресурс продолжает работать, и, по данным компании, уже есть пострадавшие.

Как сообщили в F6, на сайте пользователям предлагают приобрести якобы лицензионные ключи, внутриигровые предметы и игровую валюту для Genshin Impact, CS2, Standoff 2, Fortnite и PUBG Mobile.

Помимо игрового контента, на маркетплейсе доступны подписки на ChatGPT, Spotify, iTunes и ряд других популярных сервисов. Стоимость товаров варьируется от 1 до 500 тыс. рублей. Сайт размещён в доменной зоне .COM и на момент публикации продолжает открываться.

Ресурс активно рекламируется на различных площадках, включая социальные сети, видеохостинги, тематические форумы и игровые каналы. При этом, как отмечают в F6, мошеннический характер сайта с первого взгляда практически не заметен, несмотря на отсутствие какого-либо сходства с легальными сервисами. «Например, в оформлении магазина почти нет характерных для мошеннических сайтов орфографических ошибок. Структура сайта включает разделы “Условия использования” и “Оферта”, в которых описаны особенности взаимодействия с пользователями», — пояснили в компании.

По словам экспертов, схема работы ресурса строится на предложении промокода на первую покупку с ограниченным сроком действия. Перед оплатой пользователю предлагают указать адрес электронной почты для получения цифрового товара, а также выбрать способ оплаты — банковской картой, через QR-код или криптовалютой.

Однако, как подчёркивают в F6, вне зависимости от выбранного способа оплаты данные платёжных средств оказываются скомпрометированы, а покупатель теряет деньги, не получив обещанный товар. При обращении в техническую поддержку «сотрудники» сервиса ссылаются на техническую ошибку и предлагают повторить платёж. По оценкам компании, средний чек пострадавших пользователей составил 2 397 рублей.

RSS: Новости на портале Anti-Malware.ru