Стриминговые устройства EZCast компрометируют безопасность пользователей

Стриминговые устройства EZCast компрометируют безопасность пользователей

Стриминговые устройства EZCast компрометируют безопасность пользователей

Цифровые медиаплееры EZCast работают по тому же принципу, что и устройства Chromecast компании Google. Эти HDMI-донглы удобны и подходят практически к любому телевизору, превращая его в полноценный Smart TV. Но специалисты компании Check Point предупреждают: использование EZCast может привести к компрометации всей домашней сети.

Эксперт компании Check Point Касиф Дикель (Kasif Dekel) обнаружил в прошивке донглов EZCast сразу несколько багов. К сожалению, компания EZCast до сих пор не выпустила исправление, хотя исследователь давно сообщил им о найденных проблемах.

Дикель выяснил, что для упрощения работы донгл создает собственную Wi-Fi сеть, чтобы без проблем подключить к EZCast другие устройства (ноутбуки, ПК или мобильные гаджеты) и начать стримить контент. Проблема в том, что эта сеть Wi-Fi защищена лишь простым паролем, длина которого составляет 8 символов. Устройство также не имеет никакой защиты против брутфорс-атак, так что взломать пароль крайне легко, пишет xakep.ru.

Дикель пишет, что злоумышленник также может использовать приемы социальной инженерии и создать вредоносную ссылку, которую можно отправить в Skype или Facebook жертвы. Если такое вредоносное сообщение будет открыто на ТВ, пока пользователь находится в сети через телевизор с подключенным EZCast, атакующий получит доступ к сети донгла.

Исследователь объясняет, что пользователей не спасет тот факт, что EZCast подключается к телевизору, а не к ПК. Если атакующий сумеет проникнуть в Wi-Fi сеть донгла, он без проблем доберется и до других устройств в этой сети – ноутбуков, ПК и так далее.

 «Устройства EZCast создавались без оглядки на безопасность, — пишет эксперт. — Нам [с коллегами] удалось обнаружить несколько критических уязвимостей и это лишь верхушка айсберга. Вы продали бы root shell для своей сети за $25? По сути, покупая устройство EZCast, вы делаете именно это».

По итогам своих изысканий, Дикель обнаружил две уязвимости, позволяющие произвести удаленное выполнение произвольного кода, одну возможность инъекции команд и один баг, связанный с неограниченной загрузкой файлов. Эксплуатация найденных проблем позволит атакующему получить root-привилегии в системе.

Как уже было сказано выше, производитель донглов проигнорировал все сообщения об уязвимостях, посланные экспертами. Исправлений пока нет и, похоже, не предвидится.

Банковские карты россиян возьмут на карандаш

Банк России взялся за год создать единый реестр платежных карт с тем, чтобы облегчить кредитно-финансовым организациям соблюдение планируемых к вводу лимитов: до 20 карт у гражданина, до пяти в одном банке.

О намерении ЦБ запустить в будущем году такой справочник для отрасли стало известно из выступления в Думе замглавы Минцифры Ивана Лебедева. С его слов, оба регулятора вместе прорабатывали этот вопрос.

«Вы знаете, что это ограничение по банкам — по картам, — цитирует РИА Новости спикера. — Центральный банк взял на себя обязательство в течение года подготовить базу единую по всей стране, из которой будет видно, сколько у каждого гражданина в каком банке оформлено карт.

В конце прошлого года в Госдуму был внесен второй пакет законопроектов в рамках борьбы с кибермошенничеством. В числе прочих мер противодействия было предложено ограничить число банковских карт — до 20 на человека, не более пяти одного и того же эмитента.

Для контроля соблюдения этого требования, способного сдержать рост числа дропов, планировалось запустить специальный сервис.

Напомним, дропперство в России является уголовно наказуемым деянием. Пособникам в проведении мошеннических операций грозит до трёх лет лишения свободы, организаторам схемы — до шести лет.

RSS: Новости на портале Anti-Malware.ru