Найдена уязвимость, позволяющая организовать рассылку от имени приложения

Найдена уязвимость, позволяющая организовать рассылку от имени приложения

Несколько российских приложений из Google Play, RuStore, Huawei AppGallery содержат уязвимость, которая позволяет взломщику отправить всем пользователям push-уведомления любого содержания. Речь о платформах для бизнеса и поиска работы, мессенджерах, онлайн-кинотеатрах и приложениях для знакомств.

О новой угрозе Anti-Malware.ru рассказали специалисты Стингрей Технолоджиз (входит в ГК Swordfish Security).

Обнаруженная проблема безопасности потенциально позволяет злоумышленникам отправлять push-уведомления на все устройства (всем пользователям), у которых установлено уязвимое приложение.

Злоумышленник может передать произвольный заголовок, текст, картинку, gif-файл и другие медиа-элементы, допустимые в данном формате.

При этом сообщение придет действительно от имени приложения, что вызовет доверие пользователя.

Атаку могут взять на вооружение в сценариях социальной инженерии. 

Например, злоумышленник отправляет push-уведомление якобы от банка о списании всех средств с карты и просьбе немедленно обратиться в службу безопасности по указанному в рассылке номеру телефона. А далее к работе с потенциальной жертвой подключаются мошенники с предложением минимизировать риски и перевести средства на “безопасный” счет.

Уязвимость можно использовать и для подрыва репутации конкретной организации. К примеру, сообщение может приглашать в магазин конкурента с более комфортными условиями.

Более того, доступ к push-уведомления от имени владельца приложения позволяет рассылать пользователям изображения непристойного характера. Это грозит крупными штрафами и возможным закрытием приложения.

Количество push-сообщений от приложения может быть неограниченным (10, 20, 100 за несколько минут), добавляют эксперты. При этом доказать, что их отправили злоумышленники, а не владелец приложения, крайне сложно.

Какие конкретно российские приложения оказались под угрозой, не уточняется. Известно, что все они находятся в крупных публичных магазинах приложений и маркетплейсов, за исключением App Store.

В Стингрей Технолоджиз сообщили, что уже связались с владельцами скомпрометированных приложений и предупредили о проблеме.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

От флешки со взрывчаткой пострадали журналисты Эквадора

Полиция Эквадора расследует целую серию атак на СМИ, в результате которых пострадали журналисты. Во всех случаях инструментом нападения становилась USB-флешка – накопитель взрывался при подключении к компьютеру.

Всего опасный носитель информации был отправлен четверым журналистам. У одного из них пострадали руки и лицо, рассказали в национальной полиции Эквадора. Ранения получил ведущий Ecuavisa TV Ленин Артьеда (Lenin Artida). Последствия могли быть гораздо серьезнее – по каким-то причинам сработала только половина устройства.

Известно, что еще трое журналистов также получили подобные USB-накопители и письма с угрозами. Две флешки содержали взрывчатку, подробности третьего инцидента пока не разглашаются.

«Заминированное» устройство сработало от электрического разряда в момент подключения к разъему компьютера, предполагают эксперты.

Накопитель мог содержать гексоген, точнее определить вещество смогут в лаборатории, добавили в полиции.

Общественность Эквадора обеспокоена происходящим.

«Это очередная эскалация насилия в отношении прессы: тревожная, неприемлемая, нарушающая свободу выражения мнений и требующая немедленного вмешательства государства», – говорится в заявлении Фундамедиос (Fundamedios), организации по защите прав журналистов и свобод.

Уровень преступности в маленьком южноамериканском Эквадоре в последние годы только растет. Нападки на журналистов могут быть связаны с их расследованиями в отношении наркоторговцев.

Подобная взрывающаяся флешка упоминалась еще 5 лет назад. В YouTube-шоу вендора Hak5 исследователь MG продемонстрировал такое устройство. Оно взрывалась именно в момент подключения к компьютеру.

«Я не могу сказать, использовалось ли подобное в реальной жизни, но меня не удивит, если да», — отметил тогда эксперт. Он уточнил, что в некоторых СМИ именно поэтому всю почту сканируют на предмет взрывчатых веществ.

Добавим, в 2021 году “Ростех” рассказал о разработке флеш-накопителя, ликвидирующего информацию нажатием кнопки. Заявлялось, что в отличие от имеющихся аналогов устройство безопасно для пользователя. При срабатывании электродетонатора целость корпуса не нарушается, а хранящиеся на флешке данные уничтожаются без возможности восстановления.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru