XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

Tesla выплатила эксперту $10 000 за информацию о XSS-уязвимости, которую злоумышленники могли использовать для получения, а возможно, и модификации информации транспортного средства Tesla Model 3.

Этичный хакер из Небраски Сэм Карри проанализировал программное обеспечение, установленное в машинах Tesla Model 3. В результате исследователю удалось выявить XSS-брешь в поле «Name Your Vehicle», которое находится в информационно-развлекательной системе автомобиля.

Карри использовал инструмент XSS Hunter, который как раз помогает исследователям находить уязвимости типа XSS. У XSS Hunter даже предусмотрена специальная панель управления, с помощью которой эксперт может отправлять себе информацию о найденных уязвимых компонентах.

В процессе исследования Карри обратил внимание, что XSS Hunter смогу собрать некую информацию об автомобиле. Судя по всему, эта информация хранится во внутреннем приложении Tesla.

Среди перехваченных данных оказались: идентификационный номер транспортного средства (VIN), скорость, температура, номер версии, информация о наличии или отсутствии блокировки и данные о давлении в шинах.

«Самое интересное — была возможность отправлять автомобилю обновления. Другими словами, можно было изменить конфигурацию машины. Тестировать эту возможность я не стал», — объясняет Карри.

После того как Карри сообщил об уязвимости Tesla, компания присвоила ей самую высокую степень опасности. В течение 12 часов разработчики выпустили патч, а Карри получил свои $10 000.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники, обокравшие продавцов на Авито, отправлены в колонию на 5 лет

Красносельский суд Санкт-Петербурга вынес приговор по делу мошенников, опустошавших счета продавцов на Авито с помощью фишинговых ссылок. Станислав Виеру и Илья Мальков наказаны лишением свободы на 5,5 и 5 лет соответственно.

По версии следствия, Виеру в 2022 году создал ОПГ, в состав которой привлек Малькова. Свою вину в преступном сговоре оба осужденных так и не признали.

Действуя в рамках мошеннической схемы, подельники отыскивали на Авито объявления о продаже товаров (телефонов, электрогитар и проч.), связывались с продавцом и для уточнения деталей предлагали перенести общение в WhatsApp (принадлежит признанной в России экстремистской и запрещённой корпорации Meta).

В ходе переписки мнимый покупатель сообщал, что хочет заказать курьерскую доставку и просил указать имейл, на который можно выслать форму для получения перевода.

Присланная письмом ссылка вела на фишинговую страницу с логотипом и копией формы Авито. Введенные на ней банковские реквизиты попадали к мошенникам и в дальнейшем использовались для отъема денежных средств.

Выявлено 12 пострадавших, у которых украли от 4,6 тыс. до 52 тыс. рублей.

Схема обмана, по которой работали осужденные, напоминает сценарий «Мамонт», в рамках которого мошенники притворялись покупателями. Только Виеру и Мальков действовали проще — не тратили усилия на сбор информации о мишенях, помогающий сыграть роль убедительнее.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru