Россиянам стоит подготовиться к атакам кибермошенников перед Новым годом

Россиянам стоит подготовиться к атакам кибермошенников перед Новым годом

Россиянам стоит опасаться заметного роста активности кибермошенников в предверии новогодних распродаж. Эксперты считают, что преступники сосредоточатся на краже персональных данных, а также данных банковских карт граждан.

О потенциальной опасности предупредили специалисты антивирусной компании «Лаборатория Касперского». Аналитики отметили заметное увеличение попыток кражи данных пользователей в течение всего 2018 года.

Например, за первый квартал было зафиксировано 94 миллиона таких попыток, второй квартал принес уже 107 миллионов, третий — 137 миллионов. Такие цифры превышают аналогичные показатели 2017 года вполовину.

Теперь исследователи ожидают, что перед Новым годом активность различных онлайн-мошенников еще увеличится. В частности, прогнозируется рост числа фишинговых сайтов в Сети, которые имитируют легитимные популярные ресурсы.

Рост числа таких сайтов уже был отмечен экспертами международной компании Group-IB — они зафиксировали около 400 клонов глобальной торговой онлайн-площадки AliExpress. При этом мошенники регистрировали доменные имена, очень похожие на адрес легитимного веб-ресурса AliExpress.

«Некоторое время назад фишинговой атаке подверглись посетители якобы официального сайта налоговой службы, — сообщил «Известиям» старший контент-аналитик «Лаборатории Касперского» Андрей Костин. — Спам-рассылка, содержала письмо с требованием немедленно перейти на сайт налоговиков».

«После перехода на сайт как две капли воды похожий на официальный, всплывало окно, куда жертва должна была ввести свои персональные данные от аккаунта, которые затем и отправлялись к злоумышленникам. Также бывали случаи, когда в фишинговое письмо был прикреплен архив с важным документом, при открытии которого скачивался вирус-троянец».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Нераскрытая XSS в Apache Velocity Tools опасна для сайтов в зоне .GOV

Эксплуатация уязвимости в библиотеке Apache Velocity Tools не требует аутентификации и позволяет провести атаку по методу межсайтового скриптинга (XSS) на правительственные сайты в TLD-домене .gov, в том числе против НАСА и госучреждений Австралии. Брешь устранили более 2,5 месяцев назад, однако соответствующее обновление до сих пор не вышло.

Как стало известно BleepingComputer, проблемным является один из Java-классов коллекции Apache Velocity Tools — подпроекта Apache Velocity, основанного на Java движка шаблонов. Последний разработчики используют для разделения данных приложения, пользовательского интерфейса и управляющей логики на три компонента. Такая схема разделения (MVC, Model-View-Controller, модель-представление-контроллер) упрощает привнесение изменений в проект.

Уязвимый Java-класс VelocityViewServlet, по данным BleepingComputer, используют более 2,6 тыс. бинарников, доступных в npm, PyPI, Maven Central и других хранилищах продуктов с открытым исходным кодом. Баг, классифицируемый как «отраженный XSS», связан с рендерингом страниц ошибок (таких как template not found — «шаблон не найден») и при использовании позволяет заманить пользователя на фишинговый сайт или угнать его сессию.

 

Проблема затрагивает все версии Apache Velocity Tools и особенно опасна для правительственных порталов, на которых регистрируются служащие и подрядчики.  

Уязвимость обнаружил в начале октября участник команды этичных хакеров Sakura Samurai. Разработчики Apache Velocity Tools удостоверились в наличии ошибки и втихую ее исправили, опубликовав соответствующий коммит в своем репозитории на GitHub.

На запрос BleepingComputer о комментарии представители  Apache Software Foundation (ASF) пояснили, что XSS-баг, кулуарно идентифицируемый как CVE-2020-13959, некритичен, поэтому патч для него будет официально выпущен вместе с другими в составе очередной сборки Apache Velocity Tools (ее дата выпуска пока не определена). Те, кого тревожит отсутствие заплатки, могут самостоятельно загрузить ее с GitHub.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru