Yahoo выплатили 10 000 $ за обнаружение критической уязвимости

Yahoo выплатили 10 000 $ за обнаружение критической уязвимости

Yahoo выплатили 10 000 $ за обнаружение критической уязвимости

Исследователь получил 10 000 $ за то, что нашел брешь в Yahoo! Mail. Для того чтобы воспользоваться этой уязвимостью, злоумышленник должен был заставить пользователя открыть специально созданное электронное письмо.

Почти год назад эксперт из Финляндии обнаружил XSS-уязвимость в веб-версии сервиса Yahoo! Mail. Эта брешь позволяла злоумышленнику выполнить вредоносный JavaScript-код, скрытый в электронных письмах.

Исследователь объяснил, что недостаток мог быть использован для пересылки сообщений электронной почты пользователей, изменения настроек их учетных записей и даже для создания почтового червя, который будет прикрепляться ко всем исходящим письмам. Брешь, за которую исследователь получил 10 000 $ существует из-за неправильной обработки кода в HTML-письмах.

Также эксперт, недавно еще раз взглянувший на почтовый сервис Yahoo обнаружил похожую дыру в безопасности. На этот раз она связана со вставкой кода в момент прикрепления к письму определенного типа контента.

Функция в Yahoo! Mail позволяет пользователям прикреплять к письмам файлы из облачных хранилищ, например, таких как Dropbox или Google Drive. Эксперт проанализировал вставляемый в письма код при использовании этой функции и обнаружил, что некоторые HTML-атрибуты имеют имена data-* (например, data-url, data-category, data-embed-url). Дальнейший анализ показал, что эти атрибуты также используются, когда видео YouTube добавляется в электронное письмо.

Исследователь нашел способ использовать эти атрибуты для выполнения произвольного JavaScript-кода, когда в качестве вложения прикрепляется видео с YouTube. Для выполнения вредоносного кода пользователю не нужно нажимать на ссылку или открывать вложение, достаточно просто открыть электронное письмо.

Эксперт также уточнил, что пока не получил возможность проверить этот метод атаки в случае с вложениями из Google Drive и Dropbox. Yahoo были проинформированы об уязвимости 12 ноября и исправили ее к концу месяца.

Яндекс собрал единый антифрод: ботам и накрутчикам станет сложнее

Яндекс начал внедрять «Универсальный антифрод» — единую ИИ-платформу для борьбы с ботами, накрутками и другими видами цифрового мошенничества. Новая система позволяет подключить защиту к сервису за 2-4 дня. Раньше разработка отдельного решения могла занимать несколько месяцев.

К платформе уже подключены десятки сервисов Яндекса, включая Еду, Афишу, Путешествия и приложения с Алисой AI. Сценарии атак у них разные, но суть одна: мошенники пытаются обмануть алгоритмы и получить выгоду.

Например, в Афише система вычисляет ботов, которые массово бронируют билеты на популярные мероприятия. Так перекупщики создают искусственный дефицит, а затем выставляют билеты на других площадках — разумеется, уже с бодрой наценкой.

В Еде антифрод проверяет обращения в службу поддержки. Речь в том числе о случаях, когда злоумышленники многократно жалуются на один заказ в надежде получить компенсацию. После внедрения платформы сервис стал распознавать и блокировать такие обращения более чем в десять раз эффективнее.

В основе системы — нейросеть, аналитические методы и свыше 100 правил, описывающих основные классы атак. Платформа анализирует трафик в реальном времени и подбирает параметры защиты отдельно для каждого сервиса.

Главная фишка решения — централизованное обновление. Если Яндекс обнаружит новую мошенническую схему, защиту можно быстро распространить сразу на все подключённые продукты. Пока мошенники придумывают очередной хитрый план, антифрод уже готовится его испортить.

RSS: Новости на портале Anti-Malware.ru