Исследователь заработал $10 000, обнаружив XSS-уязвимость в почте Yahoo!

Исследователь заработал $10 000, обнаружив XSS-уязвимость в почте Yahoo!

Исследователь заработал $10 000, обнаружив XSS-уязвимость в почте Yahoo!

Сотрудник финской компании Klikki Oy Йоуко Пюннёнен (Jouko Pynnönen) обнаружил XSS-уязвимость в веб-интерфейсе почтового сервиса Yahoo. Баг позволял злоумышленнику отправить жертве письмо, содержащее скрытый вредоносный код, который исполнялся сразу же, как только жертва читала послание.

Пюннёнен нашел уязвимость в конце декабря и немедленно сообщил о проблеме представителям Yahoo. Баг оказался серьезным: при работе с веб-интерфейсом почтовый фильтр Yahoo! Mail функционировал некорректно, допуская внедрение вредоносного кода в HTML-письма. Данный XSS-баг не требует манипуляций с URL, что довольно нетипично для подобных уязвимостей. Исследователь заметил, что фильтр удаляет значения булевых атрибутов, но сам атрибут и последующий знак равенства при этом сохраняются. А значит, фильтр можно обмануть, пишет xakep.ru.

К примеру, если вставить в письмо изображение, используя тег <IMG>, а также применить атрибут «ismap», можно добиться выполнения произвольного JavaScript кода.

Yahoo! Mail трансформирует этот код таким образом, что когда жертва откроет письмо, код в атрибуте «onmouseover» будет выполнен без участия пользователя.

Исследователь представил proof-of-concept видео, где привел несколько возможных примеров эксплуатации уязвимости. Можно не только вставить в HTML-сообщение «невидимый» код. К примеру, можно внедрить вредоносный код в чужую подпись, создав таким образом распространяющего самостоятельно червя, который продолжит вставлять себя в подписи следующих жертв.

Пюннёнен проинформировал компанию о проблеме 26 декабря 2015 года, и 6 января 2016 года баг был устранен. Теперь знак равенства тоже удаляется фильтром, так что код из примера выше будет выглядеть следующим образом.

За эту XSS-уязвимость Yahoo выплатила исследователю $10 000, и это одно из самых крупных вознаграждений за всю историю существования bug bounty программы Yahoo. Представители компании подчеркнули, что данная уязвимость, ее последующий обзор, а также действия, оперативно предпринятые командной разработчиков Yahoo, являются идеальным примером того, зачем нужны программы вознаграждений за баги и как они должны работать.

Гражданин Латвии из Москвы получил в США 8,5 года за кибервымогательство

В США вынесли приговор Дениссу Золотарёвсу — гражданину Латвии, жившему в Москве и связанному с крупной русскоязычной группировкой вымогателей. Суд назначил ему 102 месяца тюрьмы, то есть 8,5 года, за участие в атаках на компании и вымогательство.

По данным Минюста США, группировка атаковала более 54 организаций и использовала разные названия, включая Karakurt, Royal, TommyLeaks, SchoolBoys и Akira. В её составе, как утверждают американские власти, были бывшие участники Conti.

Роль Золотарёвса описывается не как техническая, а как дожим жертв. Он занимался переговорами и усилением давления на компании, которые отказывались платить. Для этого злоумышленники использовали украденные данные: персональную информацию, корпоративные документы и медицинские сведения.

Один из самых жёстких эпизодов связан с атакой на компанию из сферы детского здравоохранения. По версии следствия, Золотарёвс предлагал публиковать или продавать медицинские данные детей, чтобы запугать будущих жертв и повысить шансы на выплату выкупа.

Финансовый ущерб тоже внушительный. Только по 13 подтверждённым жертвам власти США оценивают потери в 56 млн долларов, а общий ущерб от деятельности группировки может исчисляться сотнями миллионов. Среди последствий атак были остановка работы системы 911 у одной из госструктур, утечки номеров Social Security, дат рождения, домашних адресов и медицинских данных.

Золотарёвса задержали в Грузии в декабре 2023 года, а в августе 2024-го экстрадировали в США.

Напомним, в октябре Ирландия передала США украинца в рамках дела о шифровальщике Conti.

RSS: Новости на портале Anti-Malware.ru