В коде популярных Android- и iOS-приложений нашли открытые учётные данные

В коде популярных Android- и iOS-приложений нашли открытые учётные данные

В коде популярных Android- и iOS-приложений нашли открытые учётные данные

Специалисты изучили ряд популярных приложений в Google Play и App Store и нашли серьёзные проблемы в безопасности: жёстко заданные в коде учётные данные и незашифрованные логины от облачных сервисов.

По словам исследователей Юаньцзиня Го и Томми Донга, это типичный пример ленивого подхода к программированию. Наличие учётных данных в коде ,как известно, существенно повышает риск раскрытия пользовательских данных.

В частности, специалисты Symantec указывают на следующие приложения для мобильных устройств, где им удалось выявить проблемы:

  • The Pic Stitch — этот софт для Android оценили более пяти миллионов пользователей. Он позволяет редактировать коллажи, однако содержит захардкоженные учётные данные от хранилища Amazon S3.
  • Crumbl — iOS-приложение, помогающее пользователям заказывать сладости, раскрывает данные AWS в виде простого текста, включая ключ доступа и секретный ключ.
  • Eureka — софт для опросов, который оценили почти 500 тыс. пользователей. Тоже содержит жёстко заданные в коде логины и пароли.
  • Videoshop — видеоредактор, в коже которого нашлись учётные данные AWS. С помощью этой информации любой, у кого будет бинарник, может получить доступ к бэкенду и выкрасть данные.
  • Meru Cabs — ориентированное на индийских пользователей приложение для вызова такси. Содержит жёстко заданные в коде учётные данные Azure.
  • Sulekha Business — генератор лидов с той же проблемой — логины и пароли от облачного сервиса Azure.
  • EatSleepRIDE Motorcycle GPS — здесь эксперты нашли данные для входа в аккаунт Twilio.
Подпишитесь на новости

Lazarus рядом с КриптоПро: кому Bybit запретила отправлять криптовалюту

Криптобиржа Bybit разослала пользователям предупреждение о переводах в адрес санкционных организаций. Отправлять им криптовалюту или получать средства от них запрещено, причём как напрямую, так и через посредников. Сумма значения не имеет: комплаенс не растрогает даже перевод на пару долларов.

Биржа опубликовала перечень Restricted Counterparties, который может обновляться в любой момент.

Список получился интересным: среди его участников соседствуют северокорейская киберпреступная группировка Lazarus и российский разработчик средств криптографической защиты «КриптоПро».

Роднит их в данном случае только присутствие в санкционных перечнях? никаких связей между организациями Bybit не заявляет.


Исходящий перевод запрещённому контрагенту биржа отклонит, а поступившие от него или связанных с ним адресов активы может заморозить. Вернуть деньги отправителю получится не всегда: законодательство способно потребовать удерживать их неопределённое время. Вдобавок аккаунт пользователя могут приостановить или окончательно закрыть.

Bybit напоминает, что блокчейн публичен, поэтому маршрут средств виден без признательных показаний владельца кошелька. Причём перечень не считается исчерпывающим: биржа оставляет за собой право остановить операцию даже с пока не указанным в нём контрагентом.

Ограничения закреплены в условиях обслуживания Bybit, которые позволяют прекращать обслуживание лиц и организаций из санкционных списков США, ЕС и Великобритании.

RSS: Новости на портале Anti-Malware.ru