Объемы бизнеса скаммеров стремительно растут

Объемы бизнеса скаммеров стремительно растут

...

Американская Федеральная комиссия по торговле сегодня опубликовала отчет, в котором говорится, что объем бизнеса скаммеров стремительно растет. Напомним, что скамминг - это разновидность интернет-мошенничества, когда организаторы рассылают письма, в которых говорится, что их получатели якобы стали победителями лотерей, или же письма, в которых получателям предлагается инвестировать в создание офшорных предприятий и недвижимости.



В Комиссии говорят, что зачастую мошенники предлагают инвестировать в виртуальные предприятия и дома всего несколько долларов или центов, но даже с учетом этого, скамминг превратился в бизнес с миллионными оборотами. В свете этого эксперты предупреждают пользователей в очередной раз не попадаться на удочку подобных мошенников.

"Эти схемы мошенничества довольно хорошо продуманы, а люди, стоящие за ними вовсе не глупы", - говорит представитель комиссии Стив Верникофф.

По его словам, только с марта этого года комиссия подала публичные иски против 14 так называемых "мулов" - людей, нанимаемых кибермошенниками для пересылки денег из США в такие страны, как Болгария, Кипр или Эстония. Статистика по непубличным искам не разглашается. "Нам приходится работать все более агрессивно, чтобы дойти до настоящих координаторов этих мошеннических схем", - говорит Верникофф.

Эксперт отмечает, что организаторы скамминговых схем находят лазейки в процессинговых системах, работающих с банковскими картами, создают фиктивные компании, на счета которых переводят краденные деньги, после чего компании закрываются, а деньги выводятся за границу. Кроме того, в отчете говорится, что скаммеры работают в тесном контакте с другими интернет-мошенниками, продающими им номера кредитных карт и данные о банковских реквизитах.

Зачастую мошенники работают с очень маленькими суммами - от 25 центов до 9 долларов, а для процессинга транзакций учреждают по сотне компаний, переводя деньги по цепочке. Благодаря такой схеме до 94% пользователей со счетов которых пропали средства, даже не догадываются об этом.

Тем не менее, только с начала этого года для обналички денег мошенники использовали около 1,35 млн кредитных карт. "Кредитные карты все чаще используются для небольших покупок и отследить фиктивные транзакции становится все сложнее", - говорится в отчете.

В комиссии говорят, что большинство систем предупреждения в процессинговых центрах срабатывают только после перевода суммы минимум в 10 долларов, меньшие же транзакции проходят без проблем.

Последний громкий случай с осуждением скаммера в США прошел в марте этого года, когда житель Калифорнии Александр Берник был приговорен к 70 месяцам тюрьмы за проведение десятков тысяч незаконных транзакций в сумме от 9 до 15 долларов. Однако в том случае, ни федеральные власти, ни система American Express не смогли объяснить, где подсудимый получил так много номеров банковских карт.

Источник

Новая атака на кеш Nginx позволяет красть данные и ломать сайты

Исследователь YesWeHack Алекс Брумен описал вектор кибератаки Cache Key Injection. В случае её эксплуатации последствия для потенциальной жертвы опасные: обход контроля доступа, раскрытие закрытых страниц, отказ в обслуживании и при определённых условиях.

Как объясняет исследователь YesWeHack, проблема возникает не в Nginx по умолчанию, а в конфигурациях, где администраторы просто склеивают несколько значений переменной длины без разделителей. Например:

$scheme$host$request_uri$http_accept

Разных запроса два, а итоговая строка может получиться одна. Так, запрос к /h с заголовком Accept: ome*/* создаёт тот же ключ, что и обычное обращение к /home с Accept: */*.

Если атакующий успеет первым положить в кеш ответ 404, пользователи вместо главной страницы будут получать ошибку до очистки записи. Получается CPDoS — отказ в обслуживании с доставкой прямо из кеша.

 

Ещё веселее становится с закрытыми разделами. В лабораторном примере страница /admin была доступна только с localhost, но злоумышленник мог обратиться к /ad и перенести оставшуюся часть имени в соседний компонент ключа. Nginx видел разрешённый путь, однако доставал из кеша содержимое админ-панели.

При совпадении нескольких условий техника позволяет столкнуть HTTP- и HTTPS-запросы и записать в кеш страницу со ссылкой на атакующий JavaScript, превратив ошибку конфигурации в stored XSS. Даже Cloudflare не всегда спасёт: заголовок Authorization может провести запрос мимо его кеша прямо к уязвимому кешу Nginx.

 

Защита выглядит до смешного просто: не склеивать значения вслепую. Между элементами ключа нужны разделители или структурное кодирование, например:

$scheme|$host|$request_uri|$http_accept

Также следует проверять Host, перенаправлять HTTP на HTTPS и не кешировать аутентифицированные запросы.

RSS: Новости на портале Anti-Malware.ru