Не очень белый хакер использовал выявленный баг для скама Apple

Не очень белый хакер использовал выявленный баг для скама Apple

Не очень белый хакер использовал выявленный баг для скама Apple

Исследователь Ной Роскин-Фрейзи, который в прошлом помог Apple найти и пропатчить ряд уязвимостей, оказался не очень «белым» хакером. Выяснилось, что эксперт использовал один из багов для мошеннической деятельности, стоившей купертиновцам 2,5 миллиона долларов.

Роскин-Фрейзи работает в компании ZeroClicks Lab, ранее Apple не раз отмечала важный вклад этого специалиста в обнаружение уязвимостей в системах корпорации.

Однако исследователь умудрился запятнать свою репутацию после того, как стало известно об использовании одной из брешей в противозаконной деятельности.

Как сообщил новостной ресурс 404Media, Роскин-Фрейзи сначала обнаружил уязвимость в бэкенд-системе Apple — Toolbox, а затем использовал её для повышения прав и получения доступа к закрытым активам.

Toolbox используется для обработки заказов: Apple с её помощью ставит их на паузу, что позволяет редактировать занесённую информацию.

Известно также, что Роскин-Фрейзи задействовал механизм сброса пароля одного из сотрудников сторонней компании, которая управляет службами техподдержки Apple.

Скомпрометированный аккаунт далее использовался для доступа к другим учётным записям, одна из которых открывала путь к VPN-сервисам. Именно в этой точке злоумышленнику удалось добраться до Toolbox.

Сама система использовалась для корректировки стоимости заказа: Роскин-Фрейзи устанавливал $0 для покупки ноутбуков и смартфонов.

Google запустила новый режим установки сторонних приложений на Android

Google начала разворачивать новый усложнённый режим сайдлоадинга на сертифицированных Android-устройствах. Он позволит опытным пользователям устанавливать приложения от непроверенных разработчиков без ADB, но сначала придётся пройти небольшой бюрократический квест.

Пользователю нужно открыть скрытое меню для разработчиков, включить специальный переключатель, подтвердить личность, перезагрузить смартфон и подождать 24 часа.

Только после этого Android разрешит устанавливать приложения, авторы которых не прошли проверку Google.

На каждом таком приложении и его обновлении система всё равно будет показывать предупреждение. Продолжить установку можно кнопкой «Всё равно установить». Проходить весь обряд повторно не потребуется: Android запомнит решение пользователя и распространит его на другие связанные устройства.

Google намеренно сделала процедуру неудобной, чтобы мошенники не могли за пару минут уговорить владельца смартфона отключить защиту и поставить заражённое приложение. Для тех, кто не активирует расширенный режим, останется установка через ADB.

 

Изменения связаны с новой системой проверки разработчиков. Google будет привязывать приложения на сертифицированных устройствах (включая загруженные со сторонних площадок) к подтверждённому идентификатору автора.

С 30 сентября 2026 года проверка начнёт работать для Google Play, Galaxy Store, Honor App Market, Oppo App Market, Palm Store, V-Appstore и GetApps. В этом году требования введут в Бразилии, Индонезии, Сингапуре и Таиланде, а глобальное распространение запланировано на 2027 год.

Функция появляется постепенно и требует системной службы Android Developer Verifier.

RSS: Новости на портале Anti-Malware.ru