Уязвимость подмены URL обнаружена во многих браузерах

Олег Иванов 17 Августа 2016 - 17:04

Домашние пользователи

...

Chrome, Firefox и другие браузеры имеют уязвимости, связанные с подменой URL в адресной строке. Некоторые из вендоров по-прежнему работают над решением проблемы. Уязвимость обнаружил пакистанский исследователь Rafay Baloch.

Проблема проявляется на Chrome для Android, в частности, связана с тем, как пишутся арабский текст и иврит – справа налево. Если URL-адрес атакующего начинается с IP-адреса и содержит арабский символ, путь и хост меняются местами.

Например, URL 127.0.0.1/ا/http: //example.com превращается в http: //example.com/‭ا/127.0.0.1 так как содержит символ “ا”, арабскую букву. Метод работает и с другими арабскими буквами.

«Часть IP-адреса может быть легко спрятана для мобильных браузеров, если URL длинный (google.com/fakepath/fakepath/fakepath/... /127.0.0.1) - объясняет Baloch в своем блоге - Для того, чтобы сделать атаку более реалистичной, злоумышленник может использовать символ Юникода в виде замка, якобы присутствует SSL».

Похожая уязвимость была найдена и в Firefox для Android (CVE-2016-5267). В случае с Firefox, URL не должен начинаться с IP-адреса, единственным условием является наличие арабских символов. Например, http: //عربي.امارات/google.com/test/test/test становится google.com/test/test/test/عربي.امارات.

Google знает об этой проблеме уже более года. Baloch сказал, что проинформировал Google о проблеме в мае и компания откликнулась в конце июня. Mozilla исправили уязвимость в Firefox для Android 2-го августа.

Baloch также утверждает, что другие браузеры тоже уязвимы, в том числе десктопные. В случае Firefox и Chrome, уязвимость влияет только на мобильные версии.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 28 Ноября 2025 - 09:04

Трояны Целевые атаки Таргетированные атаки Корпорации Государство

Bloody Wolf атакует Кыргызстан и Узбекистан через поддельные документы

Исследователи из Group-IB сообщили о новой волне целевых атак группировки Bloody Wolf. Если раньше действия злоумышленников замечали в Казахстане и России, то теперь, по данным компании, они активно атакуют организации в Кыргызстане и Узбекистане. Кампанию фиксируют минимум с июня 2025 года.

Главная цель атак — установка удалённого доступа NetSupport RAT. Для этого хакеры используют довольно простую, но эффективную тактику: они выдают себя за государственные структуры.

В случае с Кыргызстаном злоумышленники маскировались под Министерство юстиции, рассылая легитимно выглядящие PDF-файлы и ссылки на домены, похожие на реальные. Внутри таких документов скрывались JAR-файлы, которые запускали цепочку заражения.

По данным Group-IB и государственного предприятия «Укук» при Генпрокуратуре Кыргызстана, атаки нацелены на государственные структуры, финансовый сектор и ИТ-компании.

Механизм атаки практически неизменен. Получателю приходит письмо, где его просят скачать «необходимые документы» и установить Java Runtime якобы для просмотра файлов. На деле JAR-файл оказывается загрузчиком, который подтягивает NetSupport RAT с серверов злоумышленников и закрепляется в системе тремя способами:

создаёт планировщик задачи;
прописывает значение в реестре;
помещает BAT-файл в автозагрузку.

Узбекский этап кампании выделяется дополнительной хитростью — геофенсингом. Если открыть вредоносную ссылку из другой страны, жертва попадёт на легитимный сайт data.egov.uz. Но пользователи внутри Узбекистана получают вредоносный JAR, вшитый в PDF.

Исследователи отмечают, что загрузчики написаны на устаревшей Java 8 от 2014 года. Это указывает на возможность использования специально созданного генератора JAR-файлов. Сам RAT также старый — версия NetSupport Manager от 2013 года.

Несмотря на использование недорогих и доступных инструментов, Bloody Wolf остаётся эффективной угрозой. Эксперты подчёркивают: группа демонстрирует, как простые коммерческие решения могут превращаться в полноценные региональные кибероперации, если комбинировать их с социальной инженерией и грамотным выбором целей.

Уязвимость подмены URL обнаружена во многих браузерах

Читайте также