Найдена уязвимость, позволяющая организовать рассылку от имени приложения

Найдена уязвимость, позволяющая организовать рассылку от имени приложения

Найдена уязвимость, позволяющая организовать рассылку от имени приложения

Несколько российских приложений из Google Play, RuStore, Huawei AppGallery содержат уязвимость, которая позволяет взломщику отправить всем пользователям push-уведомления любого содержания. Речь о платформах для бизнеса и поиска работы, мессенджерах, онлайн-кинотеатрах и приложениях для знакомств.

О новой угрозе Anti-Malware.ru рассказали специалисты Стингрей Технолоджиз (входит в ГК Swordfish Security).

Обнаруженная проблема безопасности потенциально позволяет злоумышленникам отправлять push-уведомления на все устройства (всем пользователям), у которых установлено уязвимое приложение.

Злоумышленник может передать произвольный заголовок, текст, картинку, gif-файл и другие медиа-элементы, допустимые в данном формате.

При этом сообщение придет действительно от имени приложения, что вызовет доверие пользователя.

Атаку могут взять на вооружение в сценариях социальной инженерии. 

Например, злоумышленник отправляет push-уведомление якобы от банка о списании всех средств с карты и просьбе немедленно обратиться в службу безопасности по указанному в рассылке номеру телефона. А далее к работе с потенциальной жертвой подключаются мошенники с предложением минимизировать риски и перевести средства на “безопасный” счет.

Уязвимость можно использовать и для подрыва репутации конкретной организации. К примеру, сообщение может приглашать в магазин конкурента с более комфортными условиями.

Более того, доступ к push-уведомления от имени владельца приложения позволяет рассылать пользователям изображения непристойного характера. Это грозит крупными штрафами и возможным закрытием приложения.

Количество push-сообщений от приложения может быть неограниченным (10, 20, 100 за несколько минут), добавляют эксперты. При этом доказать, что их отправили злоумышленники, а не владелец приложения, крайне сложно.

Какие конкретно российские приложения оказались под угрозой, не уточняется. Известно, что все они находятся в крупных публичных магазинах приложений и маркетплейсов, за исключением App Store.

В Стингрей Технолоджиз сообщили, что уже связались с владельцами скомпрометированных приложений и предупредили о проблеме.

5G в России могут запустить на старом оборудовании уже в 2026 году

5G в России снова подаёт признаки жизни — и на этот раз без громких обещаний и «революций завтра». Как рассказал гендиректор «Вымпелкома» Сергей Анохин, операторы могут начать запуск 5G на тех частотах и на том оборудовании, которое у них уже есть. Проще говоря — из подручных средств.

В интервью «Коммерсанту» Анохин отмечает, что решение временное и вынужденное: серийного отечественного оборудования для полноценного 5G пока нет.

Но если регуляторы дадут добро, то уже в следующем году пользователи начнут замечать заветный значок 5G на экранах смартфонов. Да, без повсеместных гигабит в кармане, но с ощущением, что технология наконец-то перестала быть мифом. Как выразился Анохин, 5G «станет реальностью», пусть и не сразу в максимальной комплектации.

Проект, по его словам, уже предварительно согласован, а финальное решение профильные ведомства могут принять до конца года. Если всё пойдёт по плану, это будет аккуратный компромисс между ожиданиями рынка и суровой технологической реальностью.

При этом на «настоящий» 5G с российским оборудованием операторы рассчитывают ближе к 2028–2029 годам. Как только появятся серийные отечественные решения, внедрение пойдёт уже исключительно на них — без временных костылей и оговорок.

Напомним, в ноябре Минцифры отказалось от первоначального требования использовать исключительно российские криптоалгоритмы при развертывании сетей 5G. Зарубежные производители абонентского оборудования не поддержали эту инициативу.

RSS: Новости на портале Anti-Malware.ru