0-click в Signal и Discord способна деанонимизировать пользователей

0-click в Signal и Discord способна деанонимизировать пользователей

0-click в Signal и Discord способна деанонимизировать пользователей

Исследователь под ником hackermondev сообщил о 0-click уязвимости, позволяющей без взаимодействия с пользователем определить его местоположение с достаточно большой точностью. Атака нацелена на софт Signal и Discord и задействует механизмы кеширования в инфраструктуре Cloudflare для определения геолокации пользователя в радиусе до 400 километров.

Брешь кроется в механизме кеширования систем доставки контента (CDN). Специалист так описывает проблему:

«Если устройство пользователя загружает контент на сайте, использующем Cloudflare, этот ресурс кешируется в локальном дата-центре. Затем можно идентифицировать конкретный ЦОД, закешировавший контент».

Signal и Discord автоматически скачивают кешированные файлы — например, аватары или вложения — которые сохраняются в ближайшем дата-центре Cloudflare. Используя прокси Cloudflare Teleport или похожие инструменты, злоумышленник может установить, какой именно дата-центр использовался, вычислив таким образом регион пользователя.

Исследователь продемонстрировал эксплуатацию вектора на платформе Signal, широко используемой журналистами и активистами. Он отправил вложение через CDN Signal и выяснил, в каком дата-центре был кеширован файл.

«В моем случае я нахожусь в Нью-Йорке, а ближайший ко мне дата-центр — в Ньюарке, штат Нью-Джерси. Последний располагается примерно в 150 милях (чуть больше 241 километра — прим. Anti-Malware.ru) от меня», — пояснил он.

Аналогичная уязвимость была обнаружена в Discord. Эксперт продемонстрировал атаку через пользовательские эмодзи или уведомления о запросах в друзья. Например, аватар отправителя в запросе автоматически загружается устройством получателя, что активирует 0-click.

Cloudflare устранила конкретную уязвимость, однако hackermondev нашел обходной путь через VPN.

«С помощью нового метода мне удалось снова вычислить около 54% всех дата-центров Cloudflare», — заявил он.

Реакция разработчиков Signal и Discord была довольно прохладной. В Signal заявили, что пользователи сами должны озадачиться сокрытием своей личности. Discord, в свою очередь, возложил ответственность на Cloudflare.

Фальшивая GTA VI весом 113 ГБ оказалась упаковкой для зловреда

В торрент-сетях начали распространять якобы рабочую сборку GTA VI размером 113 ГБ. Пользователи, изучившие образ, утверждают, что игры внутри нет: почти весь объём заполнен нулями, а полезное содержимое сводится к зловреду размером около 50 КБ.

По данным Tom’s Hardware, подозрительный ISO распространяется под видом утёкшей версии одной из самых ожидаемых игр. Анализ проводили пользователи соцсетей, поэтому выводы пока не подтверждены Rockstar или независимой ИБ-компанией.

В декомпилированном коде якобы обнаружили команды PowerShell, добавляющие весь системный диск в исключения Microsoft Defender, а также попытки принудительно завершить работу защитных программ.

Огромный размер образа нужен не для игрового мира, а для убедительности и затруднения проверки файла. Приманка появилась на фоне публикаций предполагаемых фрагментов игрового процесса и карты GTA VI.

Ажиотаж вокруг утечек создаёт идеальную среду для мошенников: поклонник ждёт игру годами, видит полную сборку и на радостях запускает неизвестный файл от неизвестного автора.

До официального релиза GTA VI скачиваемая готовая версия почти гарантированно будет чем угодно, кроме GTA VI. В данном случае 113 ГБ ожиданий могут привести к 50 КБ очень реальных проблем.

RSS: Новости на портале Anti-Malware.ru