Фишеры собирают пароли ВКонтакте под предлогом возможной утечки архива

Фишеры собирают пароли ВКонтакте под предлогом возможной утечки архива

В социальной сети «ВКонтакте» зафиксирована фишинговая рассылка, нацеленная на кражу паролей к аккаунтам. Злоумышленники сообщают пользователю о готовящемся выводе его архива в чужой почтовый ящик и предлагают пройти по указанной ссылке для отката операции и смены пароля.

Участники соцсети «ВКонтакте» имеют возможность выгрузить всю информацию, собранную о них соцсетью. Этот архив содержит не только открытые данные профиля, но также все диалоги пользователя, загруженные им документы, привязки телефонных номеров, историю платежей, список использованных банковских карт.

Заказать выдачу архива может только сам пользователь, войдя в свой аккаунт. В данном случае фишеры заставляют потенциальную жертву забыть об этом, играя на ее боязни утечки.

Атака мошенников происходит следующим образом:

  • Пользователь получает тревожное сообщение (на почту, через пуш-уведомление или в личку) вида «Архив на все ваши переписки будет создан через 24 часа и отправлен на почту XXX», где XXX — произвольный адрес, и явно чужой.
  • Для отмены создания и передачи архива получателю предлагают перейти по ссылке на некий сайт, имя которого включает строку vk.
  • Поддельная страница содержит форму с полями для смены пароля; если посетитель осуществит переход и введет требуемые данные, они отправятся прямиком к фишерам.

Один из сайтов-ловушек, созданный в рамках этой схемы (vkarchives[.]com), уже выявлен и закрыт. Переход на него по ссылке, распространяемой в соцсети, заблокирован.

«Злоумышленники могут создавать фишинговые сайты и присылать спам-письма, маскируясь под популярные ресурсы, — комментирует Александр Швец, директор по защите приватности пользователей «ВКонтакте». — При этом, конечно, никто не взламывает наши серверы, не получает доступ к базам данных. Люди сами неумышленно отдают свои профили мошенникам, доверчиво переходя по непроверенным ссылкам.

В среднем отправляем около 10 тысяч предупреждений о смене пароля в сутки. Мы оперативно блокируем переходы из “ВКонтакте” на вредоносные сайты. Кроме того, рекомендуем не пользоваться вредоносными программами, которые просят указать личные данные для получения возможностей, которых нет “ВКонтакте”: просмотра чужих скрытых фото или гостей страницы, безлимитных подарков или бесплатных голосов».

Что касается данного случая, представитель соцсети подчеркнул, что скачать персональный архив с данными профиля «ВКонтакте» без подтверждения с привязанного к аккаунту устройства нельзя, а уникальную ссылку для скачивания невозможно открыть из другого профиля. Те, кого тревожит сохранность этих данных, также могут зашифровать свой архив с помощью индивидуального ключа OpenPGP.

Чтобы не стать жертвой фишинга, участники соцсети должны соблюдать следующие правила:

  • не переходить по ссылкам из неожиданных сообщений, особенно играющих на эмоциях;
  • вводить адрес соцсети в браузер только вручную либо использовать приложение «ВКонтакте»;
  • при переходе по ссылке всегда проверять благонадежность страницы по URL в адресной строке, не вводить учетные данные на сторонних сайтах;
  • не пренебрегать опцией двухфакторной аутентификации (2FА);
  • при появлении сомнений в безопасности аккаунта следует сменить пароль или обратиться в службу техподдержки
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Drupal устранили CSRF-уязвимости и обход ограничений на доступ

Разработчики Drupal выпустили обновления безопасности для веток 8.9, 9.1 и 9.2. В модулях ядра CMS-системы объявились пять уязвимостей; три из них грозят обходом ограничений по контенту на сайте, две — атакой CSRF (cross-site request forgery, подделка межсайтовых запросов).

Все новые проблемы признаны умеренно критичными; они получили от 10 до 14 баллов из 25 возможных по шкале CMSS. (На проекте используется система оценки, рекомендованная американским институтом стандартов и технологий — NIST).

Наиболее опасна CSRF-уязвимость CVE-2020-13674 (14 баллов по CMSS), связанная с работой модуля QuickEdit. Причиной ее появления является неадекватная проверка прав на изменение пути к файлу. Эксплойт в данном случае может привести к нарушению целостности данных.

Другая возможность CSRF (CVE-2020-13673) менее опасна, ее оценили в 10 баллов из 25. Она возникла из-за некорректной работы модуля Media, позволяющего встраивать внутренний и внешний медиаконтент в поля текущей страницы. Как оказалось, с помощью этого инструмента можно внедрить на страницу сторонний HTML-код от имени пользователя, обладающего правом доступа к фильтрам Media.

Уязвимость CVE-2020-13677 вызвана неспособностью модуля JSON:API строго ограничить доступ к некоторым видам контента. Проблема CVE-2020-13675 грозит загрузкой на сайт вредоносного файла при включенном модуле REST/File или JSON:API. В появлении CVE-2020-13676 повинен QuickEdit, который невнимательно проверяет разрешения на доступ к полям при редактировании контента.

Патчи включены в состав обновлений 9.2.6, 9.1.13 и 8.9.19. Седьмую версию Drupal эти проблемы не затрагивают; для Drupal 8 сборок ниже 8.9.x и Drupal 9 ниже 9.1.x заплаток не будет: срок поддержки таких версий истек.

Хотя эту CMS-систему используют лишь 1,4% сайтов в интернете, массовые атаки на сайты с использованием ее уязвимостей нередки. Пользователям настоятельно рекомендуется обновить свои установки.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru