Первый день Pwn2Own 2021: взломали Windows 10, Microsoft Exchange, Teams

Первый день Pwn2Own 2021: взломали Windows 10, Microsoft Exchange, Teams

Первый день Pwn2Own 2021: взломали Windows 10, Microsoft Exchange, Teams

В первый же день Pwn2Own 2021, знаменитого конкурса для хакеров, участникам удалось взломать операционную систему Windows 10, почтовый сервер Microsoft Exchange и платформу Microsoft Teams с помощью известных уязвимостей. Это принесло исследователям $440 000.

Первым «поддался» почтовый сервер Microsoft Exchange — команда Devcore смогла добиться удалённого выполнения кода, связав две уязвимости: обход аутентификации и локальное повышение прав. Этот метод принёс исследователям $200 000.

Далее за дело взялся специалист под ником OV, успешно выполнивший код в Microsoft Teams. Для этого OV задействовал две разные бреши. Организаторы конкурса также выплатили эксперту $200 000.

После этого команда Viettel попробовала пробить саму операционную систему — Windows 10. Повысив права обычного пользователя до SYSTEM, исследователи заработали $40 000.

Однако на Pwn2Own 2021 взламывали не только продукты Microsoft. Например, Джек Дейтс из RET2 Systems получил $100 000 за выполнение кода на уровне ядра в операционной системе macOS. Для этого специалист использовал баги в браузере Apple Safari, допускающие запись за пределами границ.

А исследователь из компании Flatt Security тем временем добился root-привилегий на десктопе с установленной Ubuntu, что принесло ему $30 000.

В Google Play появились поддельные приложения Ozon Банка для Android

Мошенники оперативно заняли освободившееся место в Google Play: после удаления официального приложения Ozon Банка в магазине появились сразу две подделки. Банк предупредил, что устанавливать их опасно, к финансовой организации они отношения не имеют.

«Сегодня в Google Play появились два приложения, которые выдают себя за Ozon Банк. Они не имеют отношения к банку — это мошенники», — говорится в обращении компании, которое приводит KP.RU.

Предположительно, копии могут использоваться для фишинга, перехвата данных учётной записи и другой конфиденциальной информации. Расчёт на то, что пользователь ищет привычное приложение, видит знакомое название и логотип, а дальше сам приносит мошенникам всё необходимое для входа.

Ozon Банк уже обратился к Google с требованием заблокировать подделки. Официального приложения организации в Google Play сейчас нет из-за санкционных ограничений.

Установить его на Android можно через альтернативные магазины и другими способами, перечисленными на официальной странице банка. Также клиентам доступны веб-версия и личный кабинет через браузер.

Пользователям советуют не искать установочный файл по рекламе, случайным ссылкам и сообщениям в мессенджерах. Надёжнее начинать загрузку только с сайта самого банка и внимательно проверять источник приложения.

Если подделка уже установлена, её следует удалить, проверить выданные разрешения и как можно быстрее обратиться в банк.

RSS: Новости на портале Anti-Malware.ru