Хакеры могут использовать Twitter, LinkedIn в iOS для совершения звонков

Хакеры могут использовать Twitter, LinkedIn в iOS для совершения звонков

Хакеры могут использовать Twitter, LinkedIn в iOS для совершения звонков

Приложения для iOS, среди которых Twitter, LinkedIn и возможно другие, не менее популярные, могут использоваться хакерами для совершения телефонных звонков на произвольные номера. Также, используя эту схему, злоумышленники могут и препятствовать совершению звонков пользователем.

Исследователь в области безопасности Коллин Муллинер (Collin Mulliner) утверждает, что эта уязвимость связана с тем, как некоторые iOS-приложения обрабатывают компонент WebView. WebView, по сути, является браузером, встроенным в мобильные приложения. Он часто используется для отображения веб-страниц внутри приложения без необходимости использования стороннего браузера.

По словам Муллинера, злоумышленник, которому удастся заманить пользователя на специально созданную веб-страницу сможет совершать звонки, используя уязвимое приложение. Вредоносная страница, в данном случае, должна перенаправить жертву на TEL URI, который инициирует вызов на указанный номер. Эта часть атаки включает в себя только одну строку HTML-кода, однако жертва может легко завершить вызов.

В 2008 году Муллинер сообщил Apple об аналогичной уязвимости в Safari, что позволило злоумышленникам не только инициировать телефонные звонки, но и мешать пользователям сбросить вызов путем замораживания графического интерфейса телефона в течение нескольких секунд. На тот момент, Apple исправили этот недостаток прошивкой iOS 3.0.

Эксперт утверждает, что ему удалось инициировать вызовы, используя приложения Twitter и LinkedIn, при этом ему удалось запретить условному пользователю отменить вызов. Он опубликовал видео, где демонстрируется эта атака для каждого из этих двух приложений.

«Трюк заключается в том, чтобы заставить iOS открыть второе приложение в то время, пока совершается вызов» - объясняет Муллинер - «В 2008 году я использовал SMS URL с очень длинным номером телефона, чтобы блокировать пользовательский интерфейс».

Исследователь считает, что помимо Twitter и LinkedIn, другие приложения могут быть тоже подвержены этой уязвимости. Однако те приложения, которые открывают ссылки в сторонних браузерах, например, Safari и Chrome, не затронуты.

Поставщиков радиостанций для МВД отправили в СИЗО из-за иностранных деталей

В России разгорается очередной скандал вокруг импортозамещения. Руководителей двух связанных петербургских компаний — «Профи-связь» и «Астроком» — арестовали по делу о мошенничестве при поставках радиостанций для МВД. Следствие считает, что компании поставили силовикам радиостанции «Радон», которые по документам должны были быть собраны из российских комплектующих, но фактически содержали иностранные детали.

По данным «Коммерсанта», гендиректора «Профи-связи» Виталия Козлова и руководителя «Астрокома» Алексея Баранова задержали в Санкт-Петербурге, а затем доставили в Москву.

В центре расследования оказался контракт 2020 года на поставку радиостанций «Радон П45» для нужд МВД. Сумма сделки была относительно небольшой — около 950 тыс. рублей. Однако проведенная экспертиза МВД показала, что изделия не соответствовали требованиям технического задания в части происхождения компонентов.

Следствие квалифицировало ситуацию как мошенничество, совершённое организованной группой.

Сами фигуранты обвинения отвергают. По их версии, контракт был исполнен полностью, а претензий к качеству оборудования со стороны заказчика никогда не возникало. Защита также настаивала, что спор носит хозяйственный характер и должен рассматриваться в арбитраже, а не в рамках уголовного дела. Однако суд отправил обоих обвиняемых в СИЗО.

На этом история может не закончиться. По данным издания, следователи проверяют возможную связь фигурантов с другими государственными контрактами.

Особое внимание вызывает компания «Астроком», которая поставляла средства связи для Росгвардии. В 2021 году организация получила контракт почти на 165 млн рублей на поставку более 2800 радиостанций «Радон». Однако впоследствии соглашение было расторгнуто из-за невозможности исполнения, а заказчику пришлось добиваться возврата части аванса через суд.

Ранее обе компании уже попадали в поле зрения антимонопольщиков. В 2022 году УФАС по Санкт-Петербургу установило, что «Профи-связь», «Астроком» и ряд связанных структур использовали один и тот же IP-адрес для участия в торгах по гособоронзаказу. Кроме того, между фирмами были обнаружены связи через владельцев и руководство.

RSS: Новости на портале Anti-Malware.ru