Xiaomi не может устранить проблему URL-спуфинга в своих браузерах

Xiaomi не может устранить проблему URL-спуфинга в своих браузерах

Xiaomi не может устранить проблему URL-спуфинга в своих браузерах

У Xiaomi проблемы — компания не может раз и навсегда устранить уязвимость в своих браузерах. Эта проблема безопасности открывает возможность для URL-спуфинга, который крайне трудно детектировать рядовому пользователю.

Брешь затрагивает Mint Browser и Mi (идет предустановленным на смартфонах Xiaomi). Компания выпустила один патч, затем вдогонку пошли другие, однако проблема по-прежнему актуальна на сегодняшний день.

Уязвимость угрожает миллионам пользователей — Xiaomi за прошлый год удалось продать 118,7 миллионов смартфонов. Приложение Mint Browser установили более 500 000 раз из Google Play.

Используя эту уязвимость, киберпреступники смогут организовать более качественные фишинговые атаки, которые потребуют минимум действий со стороны пользователей. Злоумышленникам всего лишь потребуется заставить жертву перейти по вредоносной ссылке.

Получившая идентификатор CVE-2019-10875 брешь работает как с HTTP, так и с HTTPS-сайтами. В случае успешной эксплуатации можно отобразить в браузерной строке любой адрес.

Эксперт в области безопасности Ариф Хан описал подробности уязвимости, а также опубликовал видео, демонстрирующее ее наличие. С видео можно ознакомиться ниже.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Telegram активизировались мошенники, собирающие данные пользователей ЖКУ

Последние месяцы в Angara Security фиксируют всплеск активности мошенников, маскирующих свои телеграм-боты под сервисы оплаты ЖКУ. Новые атаки, по мнению экспертов, спровоцировала реализация проекта по цифровизации ЕПД.

Инициатива Минстроя РФ по тотальному переводу единых счетов ЖКХ в электронную форму, доступную через ГИС ЖКХ и Госуслуги, еще не узаконена, однако сетевые аферисты уже подхватили актуальную тему и усиленно ее эксплуатируют.

«Эксперты отмечают всплеск мошеннических схем в мессенджере Telegram на фоне реализации в ряде российских регионов проекта по переходу на единый платежный документ за жилищно-коммунальные услуги в электронном виде, — цитирует РИА Новости комментарий Angara. — Злоумышленники активно используют новостную повестку, чтобы заманить пользователей в фишинговые боты, имитирующие сервисы управляющих компаний».

Поддельные сервисы ЖКХ в популярном мессенджере, по данным аналитиков, предлагают не только оплату счетов по единому документу, но также передачу показаний счетчиков, оформление заявок через диспетчерскую и решение других вопросов, волнующих собственников жилья.

Действующие в Telegram мошенники заманивают пользователей в такие боты с помощью личных сообщений от имени управляющих компаний и председателей ТСЖ / ЖСК. Подобные злоумышленники могут также объявиться в локальном чате, рекомендуя участникам некий бот-ассистент.

Во всех случаях потенциальным жертвам предлагается перейти по фишинговой ссылке, якобы для уточнения персональных данных. Ввиду возросшей угрозы эксперты напоминают: управляющие компании и ТСЖ никогда не проводят массовые рассылки в мессенджерах с целью уточнения ПДн либо финансовой информации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru