Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Специалисты «Лаборатории Касперского» обнаружили сразу несколько уязвимостей в биометрических терминалах производства компании ZKTeco. В случае эксплуатации злоумышленники могут обойти систему контроля доступа и физически проникнуть в охраняемые места.

Кроме того, как отметили в Kaspersky, с помощью выявленных брешей можно выкрасть биометрические данные, модифицировать базы и даже установить бэкдоры.

Терминалы ZKTeco используются во многих отраслях: их можно встретить в медицинских учреждениях, на производственных предприятиях и даже атомных электростанциях.

В общей сложности устройства дают возможность аутентифицироваться четырьмя способами: с помощью биометрии (сканирование лица), по паролю, электронному пропуску и QR-коду.

Поскольку в самих терминалах могут храниться биометрические данные тысяч людей, производителю важно поддерживать должный уровень защищённости. «Лаборатория Касперского», обнаружив ряд уязвимостей, направила информацию о них вендору. Всего специалисты выявили пять проблем:

  1. CVE-2023-3938 — допускает проведение SQL-инъекции. Условные атакующие могут внедрить данные в QR-код, что поможет им попасть в охраняемые зоны. С точки зрения терминала база ошибочно идентифицирует вредоносный QR-код как последний легитимный.
  2. CVE-2023-3940 — открывает доступ к любому файлу в системе, а также возможность извлечь его. С помощью соответствующего эксплойта злоумышленники могут добраться до биометрических данных пользователей и хешей их паролей.
  3. CVE-2023-3941 — эта уязвимость позволяет внести изменения в базу данных биометрического считывателя. Другими словами, условный преступник может загрузить в БД собственные данные и добавить себя в список авторизованных пользователей.
  4. CVE-2023-3939 и CVE-2023-3943 могут привести к выполнению произвольных команд или кода на устройстве. В теории атакующий может задействовать девайс в атаках на другие сетевые узлы.

Злоумышленники обманывают россиянок от имени звезд

Компания F6 предупреждает о резком росте числа мошеннических схем, в которых злоумышленники выманивают деньги у россиянок, представляясь звёздами шоу-бизнеса — как российскими, так и зарубежными. Для убедительности аферисты активно используют дипфейки, а также мессенджеры и социальные сети. В ход идут сгенерированные нейросетями голосовые и видеосообщения.

О новой волне дипфейк-атак на россиянок рассказал изданию «Фонтанка» эксперт F6 Сергей Золотухин.

«Главный тренд года в схемах “про любовь” — использование искусственного интеллекта. С помощью нейросетей киберпреступники уже давно создают фейковые фото и видео со знаменитостями, которые сложно отличить от настоящих. Известны случаи, когда для обмана использовались образы Димы Билана, Сергея Лазарева, Брэда Питта, Райана Гослинга и Леонардо Ди Каприо», — рассказал Сергей Золотухин.

Сценарий обычно начинается с комплиментов и виртуального флирта, после чего злоумышленники переходят к отработке различных схем. Самая распространённая — просьба о финансовой помощи. В качестве повода могут называться болезнь, блокировка счетов, необходимость купить билеты или иная «экстренная» ситуация. После получения денег мошенники чаще всего исчезают, хотя иногда продолжают выманивать средства повторно.

Так, в январе жительницу Саратовской области обманул злоумышленник, представившийся Филиппом Киркоровым. Он попросил оплатить поездку и прекратил общение сразу после перевода денег.

Существуют и схемы без прямого требования перевода средств. Например, аферисты выдают себя за владельцев сети салонов красоты и предлагают бесплатное посещение. Для записи нужно перейти по ссылке, которая ведёт на заражённый сайт. После этого устройство жертвы может быть скомпрометировано, а злоумышленники получают над ним контроль.

Как отмечает Сергей Золотухин, не исчезла и классическая схема Fake Date, рассчитанная преимущественно на мужчин. В этом году злоумышленники чаще всего заманивают жертв на фишинговые сайты якобы для покупки билетов в театр или на концерт. В результате в их распоряжении оказываются платёжные данные. По аналогичной схеме аферисты действовали и ранее.

В 2026 году появился и новый предлог для перехода по фишинговой ссылке — «бесплатная фотосессия». Злоумышленники представляются фотографами, а ссылка якобы ведёт на сайт студии. Также участились попытки вовлечь жертв в инвестиционные мошеннические схемы.

RSS: Новости на портале Anti-Malware.ru