Найдена уязвимость, позволяющая организовать рассылку от имени приложения

Найдена уязвимость, позволяющая организовать рассылку от имени приложения

Найдена уязвимость, позволяющая организовать рассылку от имени приложения

Несколько российских приложений из Google Play, RuStore, Huawei AppGallery содержат уязвимость, которая позволяет взломщику отправить всем пользователям push-уведомления любого содержания. Речь о платформах для бизнеса и поиска работы, мессенджерах, онлайн-кинотеатрах и приложениях для знакомств.

О новой угрозе Anti-Malware.ru рассказали специалисты Стингрей Технолоджиз (входит в ГК Swordfish Security).

Обнаруженная проблема безопасности потенциально позволяет злоумышленникам отправлять push-уведомления на все устройства (всем пользователям), у которых установлено уязвимое приложение.

Злоумышленник может передать произвольный заголовок, текст, картинку, gif-файл и другие медиа-элементы, допустимые в данном формате.

При этом сообщение придет действительно от имени приложения, что вызовет доверие пользователя.

Атаку могут взять на вооружение в сценариях социальной инженерии. 

Например, злоумышленник отправляет push-уведомление якобы от банка о списании всех средств с карты и просьбе немедленно обратиться в службу безопасности по указанному в рассылке номеру телефона. А далее к работе с потенциальной жертвой подключаются мошенники с предложением минимизировать риски и перевести средства на “безопасный” счет.

Уязвимость можно использовать и для подрыва репутации конкретной организации. К примеру, сообщение может приглашать в магазин конкурента с более комфортными условиями.

Более того, доступ к push-уведомления от имени владельца приложения позволяет рассылать пользователям изображения непристойного характера. Это грозит крупными штрафами и возможным закрытием приложения.

Количество push-сообщений от приложения может быть неограниченным (10, 20, 100 за несколько минут), добавляют эксперты. При этом доказать, что их отправили злоумышленники, а не владелец приложения, крайне сложно.

Какие конкретно российские приложения оказались под угрозой, не уточняется. Известно, что все они находятся в крупных публичных магазинах приложений и маркетплейсов, за исключением App Store.

В Стингрей Технолоджиз сообщили, что уже связались с владельцами скомпрометированных приложений и предупредили о проблеме.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Kaspersky eSIM Store: новый сервис позволяет подключить eSIM в 150 странах

Теперь у пользователей появилась возможность подключать интернет в поездках без физической сим-карты — «Лаборатория Касперского» представила новый сервис Kaspersky eSIM Store. Это приложение для iOS и Android, а также сайт, через который можно выбрать и купить eSIM с тарифом от местного оператора, подходящим для конкретной страны или региона.

Сервис рассчитан на тех, кто часто бывает за границей — в отпуске или по работе — и хочет подключиться к интернету без роуминга или поиска местной сим-карты.

В каталоге — более 2 тысяч тарифов от операторов из 150+ стран. Есть как краткосрочные варианты (на определённое число дней), так и тарифы без срока действия, где интернет расходуется по мере использования.

Подключиться можно прямо через приложение или сайт — сразу после покупки или, при необходимости, с отложенной активацией. Там же можно проверять и пополнять баланс.

Проект реализован в партнёрстве с компанией BNESIM Limited, которая предоставляет eSIM и сопутствующую инфраструктуру.

Как отметил представитель компании, eSIM-технологии становятся всё более популярными, и многие устройства уже поддерживают этот формат подключения.

Это может быть удобно в поездках — не нужно искать салоны связи или покупать пластиковую карту, всё подключается онлайн, а оплату можно провести с российской карты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru