В менеджере паролей LastPass снова нашли серьезную уязвимость

В менеджере паролей LastPass снова нашли серьезную уязвимость

В менеджере паролей LastPass снова нашли серьезную уязвимость

Хотя LastPass пользуется немалой популярностью, сообщения о его проблемах с безопасностью в последнее время появляются часто. Так, в конце ноября прошлого года в LastPass уже обнаруживали целый ряд багов, а еще раньше, летом 2015, менеджер паролей подвергся атаке хакеров.

Теперь независимый исследователь Шон Кессиди (Sean Cassidy) обнаружил, что LastPass уязвим перед простейшими фишинговыми атаками, из-за которых мастер-пароль пользователя может быть скомпрометирован.

Кессиди заметил, что если сессия LastPass истекает, пока пользователь бродит в интернете, менеджер выводит соответственное предупреждение, встраивая его прямо в контент веб-страницы. Окно ввода логина и пароля, а так же кода двухфакторной аутентификации, если она включена, отображаются аналогичным образом. С точки зрения безопасности, это огромный просчет: подобное решение делает пользователей уязвимыми перед различными веб-инъекциями, — от таких хитрых фишинговых атак часто страдают пользователи онлайн-банков.

 

 

Исследователь создал инструмент, при помощи которого можно автоматизировать простейшую фишинговую атаку и собирать пароли пользователей LastPass (как от самой программы, так и содержащиеся внутри хранилища). Тулзу Кессиди иронично назвал LostPass.

Единственное, что нужно будет сделать атакующему – заманить жертву на легитимный сайт, содержащий XSS-уязвимость. LostPass использует уязвимость сайта, чтобы обнаружить на компьютере жертвы установку LastPass, разлогинит её, применив известный CSRF-баг, а затем отобразит фальшивое уведомление о том, что требуется заново ввести логин и пароль. Учетные данные жертвы попадут в руки злоумышленника, как только доверчивый пользователь повторно введет их в фальшивом окне, пишет xakep.ru.

Казалось бы, двухфакторная аутентификация должна обезопасить пользователей. Однако атакующий может использовать украденные учетные данные против LastPass API, может верифицировать их и даже может запросить у пользователя код двухфакторной аутентификации. Если проделать все в нужном порядке, злоумышленник узнает не только мастер-пароль жертвы, но и получит доступ к хранилищу паролей, вместе со всем его содержимым.

Кессиди пишет, что пока атака работает только против пользователей браузера Chrome. Плюс злоумышленники могут зарегистрировать домен вида chrome-extensions.pw, который похож на настоящий центр управления расширениями в браузере Google. Firefox и прочие браузеры используют другой механизм для вывода всплывающих уведомлений LastPass. Впрочем, исследователь работает над «поддержкой» Firefox для своего инструмента.

Разработчики менеджера паролей уже знают о проблеме. Кессиди связался с ними в ноябре 2015 года. Ознакомившись с его изысканиями, компания сделала вывод, что «это не уязвимость, а фишинговая атака». Тем не менее, разработчики попытались переделать механизм вывода уведомлений об истекшей сессии. Согласно отчету Кессиди, безрезультатно – новая методика по-прежнему базируется на веб-инъекциях, а пользователи уязвимы для атак.

Чтобы не стать жертвой такой атаки, исследователь рекомендует пользователям LastPass никогда не вводить учетные данные для менеджера паролей через браузер, вместо этого используя приложение. Также Кессиди отмечает, что ограничение по IP, доступное в платной версии LastPass, в данном случае надежнее двухфакторной аутентификации.

За 2025 год российский рынок ПО вырос на 21%

Согласно совместному исследованию Apple Hills Digital и Yandex B2B Tech, российский рынок программного обеспечения в 2025 году вырос на 21% и достиг 808 млрд рублей. По прогнозам аналитиков, к 2030 году его объем превысит 1,7 трлн рублей, а среднегодовые темпы роста составят около 15%.

Как пишет «Коммерсантъ», основными драйверами рынка стали развитие гибридной инфраструктуры в банковском секторе, внедрение ИИ для автоматизации и прогнозирования, углубление импортозамещения, а также рост государственных инвестиций в ИТ.

Отдельно аналитики отмечают увеличение доли облачных решений. К 2030 году она может вырасти до 51% против 27% по итогам 2025 года. Сегмент IaaS (инфраструктура как сервис) увеличится со 101 до 226 млрд рублей, в первую очередь за счет роста спроса на вычислительные мощности, комплексы с графическими процессорами и системы хранения данных.

Сегмент PaaS (платформа как сервис) вырастет со 117 до 277 млрд рублей. Рост обеспечат сервисы контейнеризации на базе Kubernetes, а также инфраструктура для машинного обучения и генеративного ИИ.

Сегмент SaaS (ПО как услуга), по оценке аналитиков, увеличится с 312 до 835 млрд рублей. Наибольшим спросом будут пользоваться ERP- и CRM-системы, средства коммуникации и контент-менеджмента.

При этом руководитель управления бизнес-аналитики компании Т1 Александр Фролов в комментарии изданию отметил, что развитие ИИ может одновременно стать сдерживающим фактором для SaaS-сегмента: компании получают возможность создавать сервисы под собственные задачи, что снижает спрос на тиражное программное обеспечение.

Заместитель генерального директора Astra Cloud Константин Анисимов назвал ключевыми драйверами рынка государственные инвестиции, активное внедрение ИИ и углубление импортозамещения. По его оценке, к 2028 году 95% зарубежного ПО станет устаревшим, и компании, продолжающие его использовать, будут вынуждены чаще задумываться о переходе на альтернативы.

Дополнительным фактором роста облачных услуг эксперты считают подорожание оборудования. Многие компании выбирают облака, чтобы «переждать» период высоких цен.

«Крупные облачные провайдеры частично сглаживают эффект за счет ранее закупленных мощностей, однако новые сервисы и расширение инфраструктуры уже рассчитываются исходя из текущей стоимости оборудования», — отметил генеральный директор ИТ-экосистемы «Лукоморье» Арсен Благов. По его словам, некоторые провайдеры уже повысили цены до 30%.

В числе рисков директор по продуктам Selectel Константин Ансимов назвал дефицит кадров, нежелание сотрудников адаптироваться к изменениям, связанным с внедрением ИИ, ужесточение требований к безопасности и сложность оценки рентабельности инвестиций. Заместитель коммерческого директора ActiveCloud (ГК Softline) Аслан Шингаров добавил, что серьезной проблемой остается интеграция разнородных решений в единую инфраструктуру.

RSS: Новости на портале Anti-Malware.ru