В менеджере паролей LastPass снова нашли серьезную уязвимость

В менеджере паролей LastPass снова нашли серьезную уязвимость

В менеджере паролей LastPass снова нашли серьезную уязвимость

Хотя LastPass пользуется немалой популярностью, сообщения о его проблемах с безопасностью в последнее время появляются часто. Так, в конце ноября прошлого года в LastPass уже обнаруживали целый ряд багов, а еще раньше, летом 2015, менеджер паролей подвергся атаке хакеров.

Теперь независимый исследователь Шон Кессиди (Sean Cassidy) обнаружил, что LastPass уязвим перед простейшими фишинговыми атаками, из-за которых мастер-пароль пользователя может быть скомпрометирован.

Кессиди заметил, что если сессия LastPass истекает, пока пользователь бродит в интернете, менеджер выводит соответственное предупреждение, встраивая его прямо в контент веб-страницы. Окно ввода логина и пароля, а так же кода двухфакторной аутентификации, если она включена, отображаются аналогичным образом. С точки зрения безопасности, это огромный просчет: подобное решение делает пользователей уязвимыми перед различными веб-инъекциями, — от таких хитрых фишинговых атак часто страдают пользователи онлайн-банков.

 

 

Исследователь создал инструмент, при помощи которого можно автоматизировать простейшую фишинговую атаку и собирать пароли пользователей LastPass (как от самой программы, так и содержащиеся внутри хранилища). Тулзу Кессиди иронично назвал LostPass.

Единственное, что нужно будет сделать атакующему – заманить жертву на легитимный сайт, содержащий XSS-уязвимость. LostPass использует уязвимость сайта, чтобы обнаружить на компьютере жертвы установку LastPass, разлогинит её, применив известный CSRF-баг, а затем отобразит фальшивое уведомление о том, что требуется заново ввести логин и пароль. Учетные данные жертвы попадут в руки злоумышленника, как только доверчивый пользователь повторно введет их в фальшивом окне, пишет xakep.ru.

Казалось бы, двухфакторная аутентификация должна обезопасить пользователей. Однако атакующий может использовать украденные учетные данные против LastPass API, может верифицировать их и даже может запросить у пользователя код двухфакторной аутентификации. Если проделать все в нужном порядке, злоумышленник узнает не только мастер-пароль жертвы, но и получит доступ к хранилищу паролей, вместе со всем его содержимым.

Кессиди пишет, что пока атака работает только против пользователей браузера Chrome. Плюс злоумышленники могут зарегистрировать домен вида chrome-extensions.pw, который похож на настоящий центр управления расширениями в браузере Google. Firefox и прочие браузеры используют другой механизм для вывода всплывающих уведомлений LastPass. Впрочем, исследователь работает над «поддержкой» Firefox для своего инструмента.

Разработчики менеджера паролей уже знают о проблеме. Кессиди связался с ними в ноябре 2015 года. Ознакомившись с его изысканиями, компания сделала вывод, что «это не уязвимость, а фишинговая атака». Тем не менее, разработчики попытались переделать механизм вывода уведомлений об истекшей сессии. Согласно отчету Кессиди, безрезультатно – новая методика по-прежнему базируется на веб-инъекциях, а пользователи уязвимы для атак.

Чтобы не стать жертвой такой атаки, исследователь рекомендует пользователям LastPass никогда не вводить учетные данные для менеджера паролей через браузер, вместо этого используя приложение. Также Кессиди отмечает, что ограничение по IP, доступное в платной версии LastPass, в данном случае надежнее двухфакторной аутентификации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Выручка Группы Астра выросла на 22% и достигла 10,4 млрд рублей

«Группа Астра» опубликовала неаудированные финансовые результаты за первые девять месяцев 2025 года. Компания отмечает, что продолжает работать в условиях высокой неопределённости и жесткой денежно-кредитной политики, которые сдерживают отгрузки. Тем не менее по ряду показателей зафиксирован рост.

Отгрузки за январь–сентябрь составили 9,7 млрд рублей — примерно на уровне прошлого года. Выручка при этом увеличилась на 22% и достигла 10,4 млрд рублей.

Рост объясняется увеличением продаж ОС Astra Linux и сопровождения продуктов, а также признанием доходов по ранее выполненным поставкам.

Показатели прибыльности остаются положительными. Скорректированная EBITDA достигла 2,2 млрд рублей, скорректированная чистая прибыль — 1 млрд рублей. В компании отмечают, что бизнес традиционно сильно зависит от сезонности: большая часть отгрузок приходится на второе полугодие, а до половины — на декабрь.

Долговая нагрузка остаётся умеренной: коэффициент чистый долг/EBITDA на 30 сентября составил 0,42.

Корпоративные события

В октябре компания впервые получила высокие кредитные рейтинги от АКРА (AA(RU)) и «Эксперт РА» (ruAA). Московская биржа включила бумаги «Группы Астра» в сектор ранних инвестиций (РИИ), что даёт долгосрочным инвесторам — налоговым резидентам РФ — льготу по НДФЛ при соблюдении ряда условий.

Компания продолжает программу buyback: к концу сентября выкуплено 500 тыс. акций, а в ноябре — ещё 150 тыс. Бумаги направят на программу долгосрочной мотивации сотрудников.

Комментарий менеджмента

Заместитель гендиректора по финансам Елена Бородкина заявила, что компания адаптируется к рыночным условиям, несмотря на давление на клиентов и высокую стоимость заёмных средств. По её словам, спрос остаётся «отложенным»: многие заказчики пилотируют продукты, и по мере восстановления экономики компания ожидает роста продаж.

За девять месяцев выпущено более 65 релизов продуктов. Решения «Группы Астра» внедрены примерно у 15 тыс. клиентов.

Проекты и технологические новинки

Компании удалось расширить клиентскую базу: на форуме «Финополис» было подписано девять соглашений, включая партнёрства в сфере цифрового рубля, работы с банкоматами и развитием платежного оборудования.

Среди внедрений:

  • ALROSA протестировала Tantor Postgres на 700 одновременных пользователей;
  • структура «Росатома» использует Astra Linux для VR-тренажёров;
  • «Спортмастер» внедрил Knomary для корпоративного обучения;
  • «Губернские аптеки» перевели 1 300 сотрудников на почтовый сервер RuPost и другие решения группы.

В продуктовом портфеле появились обновления Astra Linux 1.8.3, GitFlic, ALD Pro. В облако внедрён квантовый генератор случайных чисел, а также представлен новый набор программно-аппаратных комплексов XPlatform. В ряд продуктов внедрены ИИ-механизмы: например, ассистент для анализа документов в WorksPad.

Кроме того, решения «Группы Астра» стали совместимы с продуктами IVA Technologies, Positive Technologies и «Солар».

Образовательные инициативы и награды

Компания продолжает работать с регионами по внедрению отечественного ПО в школы. На ОС Astra Linux переходят образовательные учреждения Челябинской и Амурской областей, а в Республике Алтай расширяется программа цифровизации.

«Группа Астра» также получила ряд отраслевых наград: от Smart 500 до премий за RuPost и RuBackup. Семь руководителей компании вошли в рейтинг «Топ-1000 российских менеджеров», а команда по связям с инвесторами заняла первое место в рейтинге Московской биржи.

Расширенные финансовые данные доступны в разделе «Отчёты» на сайте компании.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru