Эксперт раскрыл способ обхода Google ReCaptcha v2

Эксперт раскрыл способ обхода Google ReCaptcha v2

Эксперт раскрыл способ обхода Google ReCaptcha v2

Исследователь сумел обойти ReCaptcha v2 от Google и решил сделать свой способ достоянием общественности после того, как Google не смогла исправить эту проблему в течение нескольких месяцев.

Логическая уязвимость под названием ReBreakCaptcha была обнаружена в прошлом году, по словам исследователя, она до сих пор не устранена. Эксперт также объясняет, что способ обхода использует Google API для распознавания речи.

Эксплоит работает в три этапа: сначала следует выбрать аудио способ прохождения капчи, затем сконвертировать аудио-файл капчи и отправить его API распознавания речи и выполнить проверку.

ReCaptcha v2 отображает пользователям флажок "Я не робот", который затем обычно вызывает изображения для проверки. В случае же, когда пользователь выбирает звуковое подтверждение, будет необходимо нажать на кнопку Play и ввести слова, которые он услышит. Также можно скачать звуковой файл подтверждения.

После того, как звуковой файл проверки скачан, его можно отправить API распознавания речи от Google, перед этим обязательно сконвертировав в wav-формат. В результате, это может помочь обойти проверку путем простой команды «копировать-вставить».

Код, написанный на Python и подтверждающий слова эксперта, доступен на GitHub. Он был написан с целью последовательно реализовать все три этапа, описанных выше, и, используя библиотеку Python SpeechRecognition, осуществить распознавание речи.

Исследователь не уточнил, уведомил ли он компанию Google о наличии этой бреши.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенник обманул сотрудников магазина под видом технического специалиста

Управление по организации борьбы с неправомерным использованием информационно-коммуникационных технологий МВД России (УБК МВД) сообщило о необычной схеме мошенничества, жертвой которой стали сотрудники одного из магазинов. Злоумышленник представился сотрудником технической службы эквайринговой компании.

Подробности УБК МВД опубликовало в телеграм-канале «Вестник киберполиции России». Мошенник использовал легенду о проверке мобильных терминалов, применяемых для приёма платежей по банковским картам.

Он позвонил директору магазина и, представившись специалистом эквайринговой компании, потребовал провести «тестовую операцию». Для этого руководителю предложили перевести деньги со своего счёта на указанный номер карты.

Аферист уверял, что средства вернутся через 15–20 минут, а для убедительности попросил отправить чек об оплате через облачный сервис для обмена файлами.

Как отметили в УБК МВД, в ходе атаки мошенник использовал сразу несколько приёмов социальной инженерии. Во-первых, для придания звонку официального статуса он настоял, чтобы действия выполнял не рядовой сотрудник, а директор.

Во-вторых, создал ситуацию срочности, вынудив провести «проверку» немедленно, без возможности перепроверить информацию. И, наконец, сам повод выглядел правдоподобно, ведь магазины действительно периодически взаимодействуют с эквайринговыми компаниями.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru