Баг в Twitter позволял твитить от лица пользователей и отключать 2FA

Баг в Twitter позволял твитить от лица пользователей и отключать 2FA

Британский исследователь в области кибербезопасности рассказал об уязвимости социальной платформы Twitter. Брешь позволяла злоумышленникам отправлять твиты, посылать личные сообщения, публиковать картинки и видео от имени любого пользователя. Более того, зная, как использовать эту уязвимость, атакующий мог отключить настройки безопасности аккаунта.

По словам Ричарда Де Вера из Antisocial Engineer, он смог обнаружить способ эксплуатации уязвимости за считанные минуты.

«Эксплуатация не требует какого-то серьезного процесса взлома. Уязвимость представляет собой всего лишь логическую ошибку в коде», — говорит эксперт.

В итоге уязвимость затрагивала любую учетную запись, к которой был привязан номер телефона. Зная этот номер, атакующий мог публиковать твиты, ретвитить, отправлять личные сообщения или публиковать медиаматериалы.

По словам Де Вера, злоумышленник мог даже отключить двухфакторную аутентификацию. Эксперт продемонстрировал брешь в действии, опубликовав твит от имени учетной записи издания Computer Weekly:

Специалист передал детали об уязвимости в HackerOne (компания, занимающаяся сообщениями о проблемах безопасности). Исследователь подчеркнул, что его не интересует вознаграждение.

На прошлой неделе мы писали, что Twitter сообщил об утечке данных, за которой стоят спонсируемые государством киберпреступники.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

За $500 в даркнете можно купить одну дозу вакцины от COVID-19

«Лаборатория Касперского» изучила 15 теневых площадок и обнаружила объявления о продаже трёх видов запатентованных вакцин от коронавируса — Pfizer/BioNTech, AstraZeneca и Moderna, а также некоторых ещё не запатентованных. Цены на дозу, необходимую одному человеку, варьируются от 250 до 1200 долларов США и в среднем держатся на отметке 500 долларов.

По данным «Лаборатории Касперского», объявления приходят преимущественно из Франции, Германии, Великобритании и США. Общение с продавцами происходит через защищённые мессенджеры с функцией удаления сообщений по таймеру. Оплата в основном требуется в биткойнах. Судя по анализу трансакций, многие авторы объявлений, обнаруженных «Лабораторией Касперского», провели от 100 до 500 операций.

«Сделать однозначный вывод, являются ли предложения о продаже вакцин в даркнете скамом или покупатели действительно получают то, что ищут, невозможно. Под некоторыми из таких объявлений были положительные отзывы. Можно предположить, что в результате части сделок люди действительно приобретали нужный товар. Теоретически это возможно, поскольку в медицинских учреждениях по всему миру при вскрытии упаковки с вакциной иногда остаются неиспользованные дозы. Однако получить гарантию, что все условия правильного хранения вакцины соблюдались, вряд ли получится. Нет гарантии и в том, что в ампулах действительно продаётся вакцина», — отмечает Дмитрий Галов, эксперт по кибербезопасности «Лаборатории Касперского».

Также на чёрном рынке продаются фальшивые сертификаты о вакцинации. Например, соответствующий документ европейского образца стоит около 20-25 долларов США. Кроме того, в некоторых странах требуется справка об отсутствии COVID-19, например для похода в офис или командировок, поездок в отпуск. В русскоязычном сегменте даркнета её стоимость оценивается в 3500-5000 рублей.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru