Благодаря пентесту Dropbox удалось обнаружить три 0-day в macOS

Благодаря пентесту Dropbox удалось обнаружить три 0-day в macOS

Благодаря пентесту Dropbox удалось обнаружить три 0-day в macOS

На этой неделе команда Dropbox раскрыла детали трех критических уязвимостей в операционной системе macOS. По сути, они представляют собой некую связку брешей, которые вместе могут привести к удаленному выполнению кода на компьютерах Apple. Для эксплуатации этих брешей необходимо всего лишь заманить жертву на вредоносную веб-страницу.

Забавный факт — изначально проблемы безопасности обнаружили специалисты ИБ-компании Syndis, которую Dropbox наняла для проведения тестирований на проникновение в ИТ-инфраструктуру компании.

В ходе этих пентестов также проверялось программное обеспечение Apple, которое используют в Dropbox.

Уязвимости нашли в феврале этого года, тогда же о них сообщили Apple. Спустя месяц разработчики из Купертино выпустили обновления безопасности, которые полностью устранили эти проблемы.

По словам команды Dropbox, обнаруженные Syndis бреши затрагивают на только семейство macOS, а, скорее, пользователей браузера Safari. Эксплуатация возможна только в том случае, если пользователь зайдет на вредоносную страницу, используя Safari.

Вот эти три 0-day уязвимости:

  • CVE-2017-13890 — присутствует в компоненте macOS под названием CoreTypes. Позволяет Safari автоматически скачивать и монтировать образ диска, используя специально созданную злонамеренную веб-страницу.
  • CVE-2018-4176 — присутствует в процессе обработки Disk Images файлов .bundle. Эксплуатация этой бреши может позволить атакующему запустить вредоносное приложение с монтированного ранее диска.
  • CVE-2018-4175 — позволяет обойти антивирусную защиту macOS Gatekeeper, а именно проверку подписи кода.

Эксперты опубликовали видео, доказывающее наличие проблемы и демонстрирующее вектор атаки:

Ваш трудовой стаж аннулирован: мошенники нашли новый ключ к Госуслугам

Мошенники начали пугать россиян аннулированием трудового стажа из-за якобы технического сбоя. Цель знакомая — добраться до аккаунта жертвы на «Госуслугах» или получить реквизиты банковской карты. Новую схему описали в платформе «Мошеловка».

Аферисты звонят или присылают сообщения от имени Социального фонда России либо ФНС.

Легенда звучит нарочито тревожно: сведения о стаже исчезли, поэтому человек может остаться без будущей пенсии или пособий. Разумеется, проблему предлагают срочно решить, пока государственная машина окончательно не перемолола ваши трудовые годы.

Дальше сценарий расходится по двум дорожкам. В одном случае мошенники обещают восстановить стаж, в другом — оформить компенсацию за ошибку.

Для этого жертву просят назвать код из СМС, войти на поддельный сайт или передать данные банковской карты. Получив код, злоумышленники могут захватить личный кабинет на «Госуслугах».

В «Мошеловке» напоминают: государственные ведомства не аннулируют трудовой стаж по телефону и не раздают автоматические компенсации за подобные сбои. Сотрудникам СФР и ФНС также не нужны коды из СМС, пароли и платёжные реквизиты граждан.

Проверить сведения о стаже и состояние индивидуального лицевого счёта можно самостоятельно на портале «Госуслуги». Если незнакомец торопит, пугает потерей пенсии и просит продиктовать код, спасать нужно не стаж, а свой аккаунт.

RSS: Новости на портале Anti-Malware.ru