В коде популярных Android- и iOS-приложений нашли открытые учётные данные

В коде популярных Android- и iOS-приложений нашли открытые учётные данные

В коде популярных Android- и iOS-приложений нашли открытые учётные данные

Специалисты изучили ряд популярных приложений в Google Play и App Store и нашли серьёзные проблемы в безопасности: жёстко заданные в коде учётные данные и незашифрованные логины от облачных сервисов.

По словам исследователей Юаньцзиня Го и Томми Донга, это типичный пример ленивого подхода к программированию. Наличие учётных данных в коде ,как известно, существенно повышает риск раскрытия пользовательских данных.

В частности, специалисты Symantec указывают на следующие приложения для мобильных устройств, где им удалось выявить проблемы:

  • The Pic Stitch — этот софт для Android оценили более пяти миллионов пользователей. Он позволяет редактировать коллажи, однако содержит захардкоженные учётные данные от хранилища Amazon S3.
  • Crumbl — iOS-приложение, помогающее пользователям заказывать сладости, раскрывает данные AWS в виде простого текста, включая ключ доступа и секретный ключ.
  • Eureka — софт для опросов, который оценили почти 500 тыс. пользователей. Тоже содержит жёстко заданные в коде логины и пароли.
  • Videoshop — видеоредактор, в коже которого нашлись учётные данные AWS. С помощью этой информации любой, у кого будет бинарник, может получить доступ к бэкенду и выкрасть данные.
  • Meru Cabs — ориентированное на индийских пользователей приложение для вызова такси. Содержит жёстко заданные в коде учётные данные Azure.
  • Sulekha Business — генератор лидов с той же проблемой — логины и пароли от облачного сервиса Azure.
  • EatSleepRIDE Motorcycle GPS — здесь эксперты нашли данные для входа в аккаунт Twilio.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Калининграде будут судить фигуранта американского дела о шифровальщиках

В Калининграде завершилось расследование в отношении 32-летнего местного жителя, обвиняемого в создании вредоносной программы для шифрования файлов. Уголовное дело передано в суд для рассмотрения по существу.

По версии следствия, зловред, о котором идет речь, был разработан в январе этого года с корыстной целью: его предполагалось использовать против коммерческих организаций, чтобы потом требовать выкуп за возврат данных.

Подобное деяние подпадает под признаки преступления, предусмотренного ч. 1 ст. 273 УК РФ (создание вредоносных программ). В случае установления вины ответчика могут отправить за решетку на срок до четырех лет.

Как выяснил корреспондент РИА Новости, обвиняемый — тот самый Михаил Матвеев, которого ФБР объявило в розыск как фигуранта похожих дел, открытых в США. Американцы инкриминируют россиянину вымогательство с помощью шифровальщиков и пообещали заплатить $10 млн за информацию, которая поможет его поймать и наказать.

Чтобы избежать уголовного преследования за рубежом, Матвеев, он же Wazawaka, m1x и Boriselcin, перестал выезжать из России. Он также во всеуслышание заявил, что покончил с противоправным заработком; по всей видимости, это была дымовая завеса, и теперь ему придется отвечать перед законом в своей стране.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru