Эксперты взялись за главную дыру Google Chrome — JavaScript-движок V8

Эксперты взялись за главную дыру Google Chrome — JavaScript-движок V8

Эксперты взялись за главную дыру Google Chrome — JavaScript-движок V8

Как известно, JavaScript-движок V8, используемый в браузере Google Chrome, не раз подвергался критике со стороны специалистов в области кибербезопасности. Эксперты отмечали большое количество уязвимостей в V8, однако теперь появилась новая инициатива, задача которой — усилить безопасность движка JavaScript.

В этом году разработчики Google пропатчили множество уязвимостей нулевого дня (0-day) в V8. В апреле, например, корпорация подтвердила наличие серьёзного бага CVE-2021-21224, используемого в реальных атаках.

Чтобы как-то решить проблему с JavaScript-движком, Сэмюэль Гросс из Google Project Zero предложил своё видение песочницы для V8, которая должна защитить память от опасных уязвимостей.

«Баги V8, как правило, позволяют создать нетипично мощные эксплойты. Более того, эти дыры вряд ли можно устранить посредством безопасных языков программирования (например, Rust) или функциями безопасности вроде MTE и CFI. В результате V8 становится лакомым куском для злоумышленников», — объясняет специалист.

Также Гросс отметил, что стоит уделить внимание проблемам во взаимодействии софтверных компонентов браузера с аппаратной составляющей. Там тоже есть баги, из-за которых у атакующих появляется возможность выполнить код в системе пользователя.

Основная проблема здесь кроется в JIT-компиляторах, которые можно использовать для запуска злонамеренного кода, повреждающего память. Тем не менее введение дополнительных уровней защиты может сказаться на производительности, признаёт эксперт.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Около 40% ИТ-преступлений В России совершаются по телефону

По оценке МВД РФ, в настоящее время примерно 40% ИТ-преступлений в стране совершаются с использованием телефонной связи. В 80% случаев целью является кража денег, которые мошенники зачастую предлагают перевести на «безопасный» счет.

Эту цифру озвучил в ходе круглого стола «Известий» на тему защиты от кибермошенничества замначальника отдела по противодействию ИТ-преступлениям УБК МВД Денис Костин.

Как оказалось, в мошеннических кол-центрах существуют даже свои надзиратели, которые могут оштрафовать рядового сотрудника за малейшую провинность.

«Это всё делается в профессиональных кол-центрах с распределением ролей, — рассказывает Костин. — Если раньше, когда мошенник звонил, можно было посмеяться и задать ему вопрос: “Чей Крым?”, и он там отвечал матом и бросал трубку, то сейчас им это делать запрещено».

Операторам, в основном молодым людям, также запрещено сознаваться в попытке обмана, пока собеседник на связи. За их работой следят «менеджеры»; если подопечный сделал что-то не по протоколу, ему грозит штраф.

Большинство мошеннических звонков поступает с Украины, где развернуто более 200 кол-центров. Самые отчаянные злоумышленники, пренебрегая риском, базируются на территории России.

Возрастной состав жертв обмана, со слов Костина, тоже изменился. Если ранее в сети мошенников попадали в основном пенсионеры, то теперь в группу риска входит также молодежь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru