PoC-эксплойт позволяет скомпрометировать аккаунты Microsoft Live

PoC-эксплойт позволяет скомпрометировать аккаунты Microsoft Live

PoC-эксплойт позволяет скомпрометировать аккаунты Microsoft Live

Опубликованный концепт эксплойта показывает, как злоумышленник может получить доступ к сессии пользователя сервиса Microsoft Live, при этом учетные данные жертвы не требуются. Для этого атакующему достаточно просто осуществить перехват субдомена веб-сайта Live.com, который принадлежит Microsoft.

PoC (proof-of-concept) был разработан ИБ-компанией CyberInt. По словам экспертов, эта проблема безопасности имеет высокую степень опасности, так как ее можно использовать для получения полного контроля над аккаунтом пользователя сервиса от Microsoft.

Таким образом, эксплуатируя эту брешь, киберпреступник может организовать атаки на многие организации и их клиентов.

«Злоумышленник может просмотреть информацию DNS той или иной организации, чтобы определить, присутствуют ли записи субдоменов, настроенные на редирект или работающие в качестве алиаса (псевдонима) устаревшего домена», — объясняют в CyberInt.

«В случае устаревшего домена атакующий может купить его, получив таким образом контроль над этим поддоменом».

Используя свою внутреннюю разработку, специалисты CyberInt попробовали найти поддомены, уязвимые для перехвата сессии. В итоге был найден субдомен Live.com под названием «Windows Live», который располагался на облачной платформе Azure.

У поддомена не были обновлены DNS-настройки, что и открыло вектор атаки.

WhatsApp Web получит групповые звонки до 32 человек

Похоже, WhatsApp (принадлежит корпорации Meta, признанной экстремисткой и запрещённой в России) всё ближе к тому, чтобы превратить веб-версию в полноценную замену настольному приложению. В бета-версии WhatsApp Web начали тестировать групповые голосовые и видеозвонки.

О нововведении сообщили специалисты WABetaInfo. Некоторые участники тестирования уже получили уведомление о том, что в групповых чатах появилась возможность запускать аудио- и видеоконференции прямо через браузер.

Поддерживаются звонки с участием до 32 человек. Также пользователи смогут демонстрировать экран и приглашать в разговор не весь чат целиком, а только выбранных участников группы.

Работает всё довольно просто: если функция доступна для аккаунта, в верхней части группового чата появляется кнопка звонка. После нажатия можно выбрать голосовой или видеорежим и указать, кого именно подключить к беседе.

 

Как и в мобильных приложениях WhatsApp, групповые звонки в браузере защищены сквозным шифрованием. Кроме того, поддерживаются ссылки-приглашения, которые позволяют быстро подключать новых участников к уже запущенной конференции.

Любопытно, что WhatsApp ещё не завершил даже полноценное внедрение обычных звонков в веб-версии, а разработчики уже тестируют следующий этап — групповые звонки. Это может стать серьёзным шагом для пользователей, которые работают с мессенджером преимущественно через браузер и не хотят устанавливать отдельное приложение.

Подключиться к тестированию проще, чем в мобильных бета-программах. Для этого достаточно открыть настройки WhatsApp Web, перейти в раздел Help и активировать опцию Join the beta. Впрочем, даже участие в бета-тестировании не гарантирует доступ к новой функции, WhatsApp традиционно распространяет экспериментальные возможности постепенно.

Если тестирование пройдёт без серьёзных проблем, вскоре браузерная версия WhatsApp сможет конкурировать с Zoom, Google Meet и Microsoft Teams не только в личных звонках, но и в групповых видеоконференциях.

Интересно при этом, что пользователи на днях опять пожаловались на WhatsApp для Windows: мессенджер ест до 1,2 ГБ RAM и тормозит даже на мощных ПК.

RSS: Новости на портале Anti-Malware.ru