В популярных наборах эксплоитов обнаружено более 13 уязвимостей

В популярных наборах эксплоитов обнаружено более 13 уязвимостей

Специалисты из TEHTRI-Security провели анализ уязвимостей в популярных средствах автоматизации атак на основе веб-интерфейсов. Исследованию подверглись такие популярные комплексы как Neon, Eleonore, Liberty, Lucky и Yes. Рассматриваемые комплексы автоматизации атак как правило состоят из набора эксплоитов к популярным уязвимостям и веб-интерфейса, облегчающего управление и мониторинг процесса инфицирования скомпрометированных систем.

Обычно, такие комплексы продаются или сдаются в аренду на хакерских форумах, где стоимость может достигать нескольких тысяч долларов США, в зависимости от комплектации и набора функций. Но существует миф, что разработкой таких средств занимаются группы пионеров-хакеров, которые занимаются "завёртыванием" существующих эксплоитов в эргономичный веб-интерфейс. Именно этот миф и попытались изучить исследователи из TEHTRI-Security.

Результат анализа подтвердил наличие множественных уязвимостей в рассматриваемых средствах автоматизации атак. Всего было обнаружено 13 различных уязвимостей, которые позволяли бы получить права администратора системы, произвести инъекцию HTML-кода, выполнить произвольный SQL-запрос. В пакетах эксплоитов NEON и Liberty были обнаружены возможности проведения XSS+XSRF атаки и SQL-инъекции.

Безграмотная система распределения прав доступа к файлам комплекса YES позволяет получить неавторизированный доступ к данным комплекса, а ошибки в его веб-интерфейсе провести XSS+XSRF атаку и выполнить SQL-инъекцию. Комплекс автоматизации атак Lucky оказался более устойчив к рассмотренным выше атакам, однако в нем были обнаружены возможности неавторизированного удаленного управления. Один из популярнейших наборов эксплоитов Eleonore также может похвастаться множественными XSS уязвимостями и возможностью проведения SQL-инъекции. Таким образом, миф о недостаточном образовании разработчиков пакетов эксплоитов с веб-интерфейсом оказался реальностью.

Источник

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

УБК МВД предупреждает о новой схеме перехвата платежных данных

Управление по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) предупреждает о новой схеме мошенничества, основанной на перехвате платёжных данных через функцию демонстрации экрана.

Как сообщает официальный телеграм-канал УБК МВД «Вестник киберполиции России», злоумышленники ищут потенциальных жертв среди людей, которые подыскивают работу или подработку.

Чаще всего аферисты предлагают вакансию помощника для пожилого человека, в обязанности которого входит закупка продуктов и лекарств.

После этого мошенники переводят общение в мессенджер, где передают списки покупок и якобы отправляют деньги для их оплаты.

Чтобы внушить доверие, жертве направляют поддельное СМС-сообщение от банка о переводе средств. Таким образом создаётся иллюзия реальной финансовой операции и укрепляется вера в «работодателя».

Под предлогом контроля расходов аферисты просят включить демонстрацию экрана. Это позволяет им перехватывать реквизиты онлайн-банка, включая коды из СМС или push-уведомлений, используемые для двухфакторной аутентификации.

В УБК МВД напомнили: ни при каких обстоятельствах нельзя включать демонстрацию экрана при общении с незнакомыми людьми.

Популярность этой мошеннической техники резко выросла в 2024 году. По данным Банка России, на такие схемы приходилось до 20% дистанционных хищений, общий ущерб составил около 1 млрд рублей. Массово применять её начали уже в январе 2024 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru