Эксперт взломал внутренние системы Microsoft, Apple, PayPal, Tesla

Эксперт взломал внутренние системы Microsoft, Apple, PayPal, Tesla

Эксперт взломал внутренние системы Microsoft, Apple, PayPal, Tesla

Исследователю в области кибербезопасности удалось взломать внутренние системы более чем 35 крупнейших компаний, среди которых были Microsoft, Apple, PayPal, Shopify, Netflix, Yelp, Tesla и Uber. В этом специалисту помогла новая атака на цепочку поставок софта.

В ходе отработки «взлома» специалист Алекс Бирсан смог загрузить вредоносную программу в репозитории с открытым исходным кодом, включая PyPI, npm и RubyGems. В результате этот зловред автоматически разошёлся по внутренним приложениям корпораций.

Продемонстрированный исследователем способ атаки отличается от похожих схем своей сложностью, при этом для его реализации от жертвы не требуется никаких действий. А всё потому, что атака задействует уязвимость в экосистемах, предназначенных для хранения исходного кода. Эта брешь получила название «путаница зависимостей».

Поскольку обнаруживший проблему безопасности эксперт не ставил целью по-настоящему ломать системы крупнейших корпораций, он открыл информацию о дыре представителям ИТ-гигантов. В результате этичный хакер заработал $130 000.

Идея нового вектора атаки пришла в голову Бирсану в прошлом году. Во время работы с Джастином Гарднером, другим экспертом, Алекс обратил внимание на одну деталь при взаимодействии с репозиториями npm.

Согласно описанию способа атаки на BleepingComputer, исследователь начал создавать фейковые проекты с теми же именами, что были в репозиториях npm, PyPI и RubyGems. Вскоре Бирсан понял следующую зависимость: если используемый приложением пакет находится как в публичном репозитории, так и в личном, то приоритет отдаётся именно публичному.

Используя эту особенность, специалист выполнил успешную атаку на цепочку поставок и добрался до систем Microsoft, Apple, PayPal, Shopify, Netflix, Tesla, Yelp и Uber. Этого удалось добиться простым размещением публично доступных пакетов с теми же именами, которые находились во внутренних системах корпораций.

Xiaomi навяжет криптокошелёк пользователям своих смартфонов

Xiaomi без лишнего шума подписала соглашение о предустановке новых приложений на свои смартфоны. Начиная с 2026 года компания будет выпускать устройства с криптокошельком и приложением от Sei Labs. Формально — это «глобальное партнёрство по продвижению блокчейна», по факту — ещё один нежелательный софт (bloatware) на новых смартфонах.

Приложение связано с Sei — блокчейном первого уровня, заточенным под торговлю цифровыми активами.

Оно будет предустанавливаться на все новые смартфоны Xiaomi, продаваемые за пределами материкового Китая и США. А это огромный объём: Xiaomi занимает третье место на мировом рынке смартфонов после Apple и Samsung, контролируя более 13% рынка — около 160 млн устройств в год.

Само приложение позиционируется как криптокошелёк и «входная точка» в Web3. По задумке Sei, пользователи смогут отправлять переводы, работать с децентрализованными приложениями и пользоваться другими блокчейн-сервисами без установки дополнительного софта.

На этом планы не заканчиваются. Sei Labs хочет расширить сотрудничество и на розничную инфраструктуру Xiaomi. Компания рассчитывает запустить приём стейблкоинов в более чем 20 тысячах фирменных магазинов — сначала в Гонконге и ряде стран ЕС. В перспективе покупатели смогут расплачиваться за устройства Xiaomi, например, в USDC, а транзакции будут проходить через блокчейн Sei.

В официальном комментарии для CoinDesk Sei заявила, что партнёрство откроет криптовалюты для миллионов людей, особенно в регионах, где Xiaomi доминирует. Например, в Греции компания занимает почти 37% рынка смартфонов, а в Индии — около 24%.

Но если посмотреть на ситуацию глазами обычного пользователя, всё выглядит куда менее вдохновляюще. Для большинства это просто ещё одно предустановленное приложение, которое никто не просил.

Блоатвар давно остаётся болезненной темой для владельцев смартфонов Xiaomi. Несколько лет назад ситуация была особенно тяжёлой: устройства поставлялись с массой лишних приложений, которыми юзеры никогда не пользовались. Со временем компания стала действовать осторожнее и прозрачнее, но новая инициатива с криптокошельком выглядит шагом назад.

Предустанавливать криптоприложения, о которых пользователь может даже не знать и которыми не собирается пользоваться, — решение, мягко говоря, спорное. Особенно на фоне того, что далеко не все готовы видеть Web3 и блокчейн прямо «из коробки» на своём смартфоне.

RSS: Новости на портале Anti-Malware.ru