Обложка канала

Cyber Security. Страница 9

2150 @singlesecurity
Открыть

Анонимность добра — верх благородства, Анонимность зла — верх подлости.

  • Cyber Security

    ​⚙️🕹 DrainerBot загружается с топ-приложениями Google Play и представляет угрозу для вашего телефона и кошелька

    • 📌❗️Ваш Android часто перегревается, виснет, очень быстро разряжается или расходует значительно больше трафика, чем раньше?
    Возможно он стал жертвой рекламного зловреда DrainerBot. Эта мошенническая кампания распространяется через популярные приложения Google Play, загруженные более 10млн раз.

    • 🌎 ⚠️ Зачастую это приложения, ориентированные на широкий круг интересов, от макияжа и красоты до мобильных игр. Они загружают скрытую видеорекламу на телефон и могут потреблять до 10 ГБ трафика в месяц. Владелец телефона может даже не знать об этом и не видеть этой рекламы, но мошенники получают доход каждый раз, когда официальное устройство загружает ее.

    • ⁉️👥 В чем заключается опасность этого зловреда? Специалисты Oracle Data Cloud, обнаружившие бота, утверждают, что он может сильно ударить по кошельку пользователей. Во-первых, он тратит в разы больше вашего трафика, а соответственно и денег. Во-вторых, он значительно тормозит работу устройства и ускоряет износ аккумулятора. Страдают, в том числе, и рекламодатели. Они платят большие деньги за рекламу, которая фактически не достигает пользователей.

    • ⚙️ Oracle заявила, что сотни популярных приложений и игр для Android были заражены кодом DrainerBot. В общей сложности они были установлены более 10 миллионов раз. Компания обнародовала названия только пяти зараженных приложений: Perfect365, VertexClub, Draw Clash of Clans, Touch ‘n’ Beat-Cinema и Solitaire: 4 Seasons. Работа над полным списком приложений еще ведется и будет опубликована чуть позже.

    • Есть несколько способов выяснить, заражено ли ваше устройство.
    Самый простой из них - проверить сколько установленные приложения используют трафика.     ⬇️

    Для этого перейдите в Настройки> Сеть и Интернет> Использование данных> Использование данных приложениями. Затем посмотрите, сколько данных потребляют в фоновом режиме приложения вверху списка.  
    Приложения, зараженные DrainerBot, могут потреблять гигабайты данных в месяц.


    @SingleSecurity 🛡

  • Cyber Security

    ​✅ 🔎 Прицел на личные данные. Что мобильная реклама может узнать о пользователе Android

    • 🕹⚙️ В Google Play приложений, которые будут тебе показывать рекламу, больше 40%. Так что если у тебя смартфон на Android и ты пользуешься мобильными приложениями, то, скорее всего, ты понимаешь, о чем речь.
    Используя такие приложения, ты запускаешь встроенный в них AdSDK, который подгружает со своего сервера рекламные объявления. И чаще всего это объявления MRAID, которые через javascript обращаются к нативным функциям твоего смартфона: например, при помощи mraid.storePicture() кешируют картинки во внешнем хранилище. Звучит небезопасно, правда?

    • 📌 Бизнес-логика AdSDK часто непрозрачна для разработчика, который встраивает его в свое мобильное приложение. Программный код AdSDK работает с теми же привилегиями, что и приложение-носитель. Если носителю какие-то специальные разрешения не нужны, но они нужны AdSDK — носителю придется запросить их. Любой уважающий себя AdSDK затребует от тебя доступ к ID смартфона и геолокации, чтобы показывать тебе релевантные объявления.

    • 🏳️ AdSDK-провайдеры вынуждены мириться с небезопасностью по многим причинам.
    Несколько самых очевидных:

    📲 между рекламодателем и твоим смартфоном может быть непредсказуемое число промежуточных звеньев;

    ♻️ объявления для показа выбираются динамически;

    • ⚠️ на сегодняшний день не существует инструментов для гарантированной дезинфекции JS-кода.

    • 🔑 Поэтому AdSDK-провайдеры рассматривают каждое объявление как потенциально злонамеренное и используют механизм защиты, который запрещает программному коду объявлений читать чужие файлы из внешнего хранилища твоего смартфона.
    Этот запрет реализуется в два шага:

    1. AdSDK помещает программный код каждого объявления в изолированный экземпляр встроенного браузера WebView и ограничивает набор разрешений, которыми этот экземпляр может пользоваться.

    2. Доступ программного кода объявления к внешнему миру, в частности к локальным файлам внешнего хранилища твоего смартфона, регламентируется в соответствии с концепцией SOP — чтобы программный код объявления не мог читать из внешнего хранилища чужие файлы.

    • 📄В данной статье узнаем об остальных технических моментах и примерах угроз


    @SingleSecurity 🛡

  • Cyber Security

    ​💣🔥 9 место в мировом SSL-рейтинге заняла Россия, опережая Китай, Данию и Швейцарию

    • 🖥⏳Рынок информационной безопасности (ИБ) за последние несколько лет увеличивался стремительными шагами. Компании стали больше инвестировать в кибербезопасность, заключать больше контрактов. Глобальный рынок товаров и услуг в сфере цифровой безопасности растёт, в частности, SSL-отрасль.

    • 🌎 🔁 На мировом рынке количество сайтов, перешедших на безопасное соединение HTTPS, за последний год возросло в среднем в 2 раза. Подобная динамика касается как развитых, так и многих развивающихся стран.

    • ⚖️ Последние пять лет первенство по количеству сайтов, защищённых SSL, держат Северная Америка, Западная Европа и Япония. Это связано с исторически ведущей ролью, которую ИБ занимает в этих странах, а также с принятием криптографических алгоритмов RSA / SHA в качестве национальных, что позволяет, придерживаясь стандартов, внедрять новые ИБ-продукты быстрее, чем в тех странах, в которых имеются свои собственные криптографические стандарты и неопределенные правовые нормы в использовании SSL, как, например, в России, где существуют свои криптоалгоритмы ГОСТ.

    • ♻️📌 Однако Россия сделала сильный рывок навстречу безопасному трафику: начиная с 2017 года количество защищённых сайтов с сертификатами увеличилось в 3 раза. Сегодня Россия занимает 9-е место в мировом рейтинге, оставив позади не только ЮАР и Данию, но и Китай, Польшу, Швейцарию.

    • 📊 По данным компании Netcraft
    Количество SSL-сертификатов по странам. Данные приведены без учёта самоподписанных сертификатов. ↘️


    @SingleSecurity 🛡

  • Реклама

  • Cyber Security

    ​📢 ⚠️ Баг в WhatsApp позволяет обойти защиту Face ID и Touch ID

    • 📌 В начале февраля текущего года в iOS версии WhatsApp появилась возможность защитить приложение с помощью биометрической аутентификации Face ID и Touch ID (распознавание лица и отпечатков пальцев, соответственно). Не прошло и месяца, как пользователи обнаружили способ обхода защиты.

    • ♻️ Сообщение о том, как обмануть защиту мессенджера через Face ID и Touch ID, опубликовано на Reddit. Оказалось, для этого достаточно воспользоваться функциональностью Share Sheet, системы совместного использования контента в iOS. Пользователю достаточно открыть Share Sheet и нажать на иконку WhatsApp, после чего приложение не потребует какой-либо аутентификации, как должно, но будет сразу доступно.

    • 🔎 На Reddit отмечают, что срабатывание бага зависит от интервала блокировки приложения, который пользователь может самостоятельно задать в настройках (Settings -> Account -> Privacy -> Screen Lock в WhatsApp). Если значение для мессенджера установлено на 1 минуту, 15 минут или 1 час, баг сработает, но если задать значение «Немедленно», обход защиты не удастся.

    • 👥 Представители компании Facebook (которой принадлежит WhatsApp) уже сообщили Reuters, что им известно об этой проблеме, и скоро для нее будет выпущен патч.


    @SingleSecurity 🛡

  • Cyber Security

    ​📌 GitHub увеличил вознаграждения по своей программе bug bounty

    • 🎉 В этом году команда GitHub отметила пятилетие программы вознаграждений за уязвимости. Разработчики дополнили ее новыми продуктами и повысили суммы выплат. За 2018 год ИБ-специалисты получили за свою работу около $165 тысяч. Если учесть исследовательские гранты, частные программы bug bounty и «живые» хакерские мероприятия, то общая сумма вознаграждений достигает $250 тысяч.

    • ♻️ Отныне программа распространяется на весь домен github.com. Например GitHub Education, GitHub Learning Lab, GitHub Jobs, и GitHub Desktop, а также Enterprise Cloud. К тому же уязвимости можно искать во внутренних сервисах на github.net и githubapp.com. Представители компании заявляют, что «защита данных наших пользователей зависит от защищенности наших сотрудников и внутренних систем».

    • ✅ Суммы вознаграждений за ошибки теперь следующие:

    💰Критическая уязвимость — 20 000 – 30 000+ долларов;
    💰Уязвимость высокой опасности — 10 000 – 20 000 долларов;
    💰Уязвимость умеренной опасности — 4000 – 10 000 долларов;
    💰Уязвимость низкой опасности — 617 – 2000.

    • ⚖️📄 Помимо всего, был дополнительно проработан Legal Safe Harbor – юридический сборник правил и рекомендаций, который обеспечит исследователям легальность работы и возможность заработать вознаграждение, а не судебный иск.


    @SingleSecurity 🛡

  • Cyber Security

    ​Уязвимость в WinRAR существовала 19 лет и угрожает 500 млн пользователей

    • 👥 Специалисты компании Check Point сообщили о серьезной уязвимости в WinRAR и продемонстрировали эксплуатацию проблемы. Исследователи предупреждают, что всем 500 млн пользователей WinRAR может угрожать опасность, так как найденная проблема существует примерно 19 лет. Нужно отметить, что разработчики WinRAR уже устранили баг в прошлом месяце и выпустили исправленную версию.

    • 📌 Логический баг, найденный аналитиками, связан со сторонней библиотекой UNACEV2.DLL, которая входит в состав практически всех версий архиватора с незапамятных времен. Данная библиотека не обновлялась с 2005 года и отвечает за распаковку архивов формата ACE. Учитывая возраст библиотеки, совсем неудивительно, что исследователи Check Point обнаружили связанные с ней проблемы.

    • 🔎 Оказалось, что можно создать специальный архив ACE, который при распаковке сможет поместить вредоносный файл в произвольном месте, в обход фактического пути для распаковки архива.

    • ⚙️ К примеру, таким образом исследователям удалось поместить малварь в директорию Startup, откуда вредонос будет запускаться при каждом включении и перезагрузке системы. Ниже можно увидеть proof-of-concept видео, опубликованное экспертами.

    • ✅ Найденные специалистами проблемы (CVE-2018-20250, CVE-2018-20251, CVE-2018-20252 и CVE-2018-20253 ) релизом WinRAR 5.70 Beta 1, в январе текущего года. Так как доступ к исходным кодам UNACEV2.DLL оказался давно утрачен, было принято решение отказаться от поддержки формата ACE вовсе.

    ⚠️ Специалисты настоятельно рекомендуют пользователям как можно скорее установить обновления, а также проявить бдительность и до установки патчей не открывать архивы ACE, полученные от неизвестных источников (например, от незнакомцев по почте).


    @SingleSecurity 🛡
    Extracting Code Execution from WinRAR

    In this article, we tell the story of how we found a logical bug using the WinAFL fuzzer and exploited it in WinRAR to gain full control over a victim’s comp...

    YouTube

  • Cyber Security

    WordPress 5.0.0 Remote Code Execution by RIPS Tech

    https://blog.ripstech.com/2019/wordpress-image-remote-code-execution/

    YouTube

  • Cyber Security

    ​💣 ⚠️ RCE-брешь в WordPress 5.0.0 не могут пропатчить более шести лет

    Эксперты в области безопасности сообщают о проблеме безопасности в движке WordPress.

    • 🔎 Обнаруженная уязвимость получила статус критической, поскольку позволяет удаленно выполнить код (RCE-брешь). Баг оставался незамеченным на протяжении шести лет, он затрагивает версии WordPress до 5.0.3.

    • 🔬⚙️ Выявила уязвимость команда RIPS Technologies, чьи специалисты предупреждают: атакующие могут выполнить PHP-код на сервере жертвы. Однако для этого злоумышленникам понадобится аккаунт с правами «author» или выше.

    • ♻️ В сущности, данная проблема безопасности представляет собой связку из уязвимостей Path Traversal и Local File Inclusion. Вместе они могут привести к удаленному выполнению кода в ядре WordPress, что позволит получить полный контроль над атакуемым сайтом.

    • ⚠️ Несмотря на то, что эксперты сразу же уведомили разработчиков, для бреши до сих пор не был выпущен соответствующий патч.

    • ❗️Согласно информации на официальном сайте проекта WordPress, 33% сайтов используют уязвимую версию движка. Сама атака с использованием этой дыры полагается на систему управления изображениями, а именно на тот способ, которым эта система обрабатывает Post Meta.


    @SingleSecurity🛡

  • Cyber Security

    ​Около 18 000 приложений для Android собирают информацию о пользователях

    • 👥 📢 Специалисты независимой некоммерческой организации International Computer Science Institute (ICSI), базирующейся в Калифорнии, предупредили, что тысячи приложений нарушают правила Google Play Store, а именно пункты касающиеся рекламных ID.

    • ♻️ 🔐 По данным исследователей, почти 18 000 приложений для Android собирают различные данные об устройствах, включая серийные номера, IMEI, MAC-адреса и так далее. Затем все эти данные передаются на домены, связанные с мобильной рекламой, вместе с рекламным идентификатором пользователя (без ведома и согласия последнего).

    • 🌎❗️Согласно правилам Google Play, «рекламный идентификатор может быть связан с данными, позволяющими установить личность пользователя, или постоянными идентификаторами устройства, такими как SSAID, MAC-адрес или IMEI, только с явно выраженного согласия пользователя». Также Google требует учитывать предпочтения пользователя в отношении подбора и персонализации рекламы. Если эти функции отключены, то разработчикам «запрещается использовать рекламный идентификатор для создания пользовательского профиля в рекламных целях или для показа персонализированных объявлений».

    • ⚠️ 📌 Исследование доказывает, что множество разработчиков попросту игнорируют эти требования.

    • 🕹 Врезультате третьи стороны получают возможность отслеживать сетевую активность конкретных людей и устройств, создавать профили пользователей, показывать им целевую рекламу, невзирая на их предпочтения и так далее.

    Ниже можно увидеть список 20 самых популярных приложений, вошедших в список нарушителей, по данным ICSI.↘️


    @SingleSecurity 🛡

  • Cyber Security

    ​🍏♻️ Apple требует от разработчиков использовать двухфакторную аутентификацию

    •📢👥Компания Apple оповестила разработчиков (участников программы Apple Developer), что до 27 февраля 2019 года им стоит настроить двухфакторную аутентификацию (2ФА), если они еще этого не сделали. В противном случае разработчики могут лишиться доступа к аккаунту и Certificates, Identifiers & Profiles, то есть к разделу, где происходит управление сертификацией приложений.

    • ⚠️🔒В послании компании сказано, что двухфакторная аутентификация является дополнительным слоем защиты, оберегающим Apple ID разработчика и его учетную запись.

    • ❗️Как выяснилось, это письмо может ввести многих в заблуждение, так как на самом деле 2ФА станет обязательным требованием далеко не для всех.

    • 👤⚙️ Разработчик Кристофер Пиксли (Christopher Pickslay) обратился за разъяснением содержимого письма к сотрудникам Apple Developer Relations, и те сообщили, что включить 2ФА до конца февраля должны только владельцы аккаунтов (Account Holder). То есть для разработчиков с ролью Admin это не необходимо.


    @SingleSecurity 🛡

  • Cyber Security

    ​💣🔥🔐 Twitter хранит личные сообщения удаленных аккаунтов дольше положенного

    • 🌎🦋 Cоциальная сеть Twitter хранит личные сообщения чуть дольше, чем следует. В частности, были обнаружены сообщения давно деактивированных аккаунтов. Оказалось, что удалить свою информацию с серверов Twitter довольно сложно, хотя правила соцсети гласят, что деактивированные аккаунты будут удалены вместе со всеми данными.

    • ♻️👥 Чтобы оказать содействие правоохранительным органам, Twitter какое-то время сохраняет твиты и личные сообщения пользователей социальной сети, которые решили деактивировать свои учетные записи. Однако исследователи обнаружили личные сообщения, которые принадлежат уже давно деактивированным аккаунтам.

    • ⚠️ 🔑 Таким образом, социальная платформа явно сохраняет переписку пользователей дольше положенного.



    @SingleSecurity 🛡

  • Cyber Security

    ​📌 Рекомендации от ЦБ по защите биометрических данных граждан РФ


    • 🔒 Биометрические данные граждан — к защите такого рода информации стоит подходить со всей ответственностью.

    • 💡ЦБ предложил кредитным организациям информировать регулятор обо всех инцидентах, которые возникнут на этапе работы с биометрическими данными.
    Такой подход поможет свести к минимуму все риски, которые могут возникнуть в процессе работы с Единой биометрической системой.

    • 📄 Исходя из опубликованных рекомендаций ЦБ (PDF), российским банкам надлежит регистрировать действия операторов, которые имеют дело непосредственно с биометрическими данными россиян. Для защиты такой чувствительной информации необходимо использовать персональный сертификат для проверки электронной подписи сотрудника.

    • 🗃⛔️Центробанк также советует не хранить биометрически данные на автоматизированном рабочем месте. Все взаимодействие с Единой биометрической системой должно быть защищено средствами криптографической защиты информации.


    @SingleSecurity 🛡

  • Cyber Security

    ​💣 ⚙️🕹 Среди топовых бесплатных приложений в Microsoft Store найдены майнеры


    • 👥 🔎 Специалисты антивирусной компании Symantec обнаружили несколько приложений, размещенных в официальном магазине Microsoft Store, которые тайно добывали криптовалюту Monero. При этом пользователь был совершенно не в курсе такого поведения программ.

    • 🔎 🔋Нежелательные приложения размещались злоумышленниками в Microsoft Store, они использовали ресурсы процессора скачавших их пользователей для майнинга цифровой валюты. Эксперты Symantec незамедлительно уведомили Microsoft об этих программах, что позволило интернет-гиганту оперативно удалить их из магазина.

    • 🕳 Маскировались скрытые майнеры под самые разные категории программ:
    ☑️оптимизаторы батареи и производительности, ☑️поисковики
    ☑️браузеры
    ☑️загрузчики для видео

    • 🏬 Но разработчиками всех этих приложений были три компании - DigiDream, 1clean и Findoo. “В общей сложности мы выявили восемь таких приложений. Они были разработаны тремя этими компаниями и демонстрировали одно и то же нежелательное поведение. После проведения небольшого расследования у нас есть основания полагать, что за всеми этими майнерами стоит один человек или группа лиц”, - пишут исследователи Symantec.

    • ♻️ Наткнуться на эти программы пользователь мог в списке лучших бесплатных приложений Microsoft Store. Обнаруженные исследователями семплы были предназначены для работы в системе Windows 10. П

    • 📌 После загрузки и запуска эти приложения догружали JavaScript-код, предназначенный для майнинга криптовалюты. Это происходило путем вызова Google Tag Manager (GTM) на сервере разработчиков. После этого скрипт использовал ресурсы процессора жертвы для добычи цифровой валюты, принося таким образом прибыль разработчикам программ.

    • ✅ Все приложения были опубликованы в магазине в период с апреля по декабрь 2018 года.


    @SingleSecurity 🛡

  • Cyber Security

    ​В FIREFOX ДЛЯ ОПЕРАЦИОННОЙ СИСТЕМЫ IOS ВВЕДЕН ПОСТОЯННЫЙ ПРИВАТНЫЙ РЕЖИМ

    • ♻️ Компания Mozilla обновила Firefox для владельцев iPhone и iPad. В свежей версии браузера изменился внешний вид панелей меню и настроек, а также появились дополнительные возможности организации вкладок. Однако наибольшее внимание пользователей привлек новый режим постоянного приватного просмотра.

    • ⌛️В прошлых версиях браузера при восстановлении предыдущей сессии возвращались только обычные вкладки. Теперь при очередном запуске Firefox пользователи также могут продолжить работу с сайтами, открытыми в приватном режиме.

    • ⚙️ Такое нововведение должно упростить работу с теми страницами, которые пользователи не хотят сохранять в истории просмотров браузера. Однако команда Mozilla отмечает, что режим приватного просмотра лишь стирает информацию о посещениях, пароли и файлы cookies, но не делает пользователей анонимными и не защищает их от кейлоггеров.

    • 👥 🔁 Также разработчики попытались упростить переход к закладкам, истории просмотров сайтов, списку для чтения и загрузкам. Теперь доступ к этим разделам можно получить в «Библиотеке», как и в десктопной версии браузера.


    @SingleSecurity 🛡

  • Cyber Security

    ​УСТАНОВЛЕН НОВЫЙ РЕКОРД В ФИШИНГЕ НА ТЕМЕ ДНЯ ВЛЮБЛЕННЫХ

    • 📈👥 Аналитики «Лаборатории Касперского» отметили значительный рост активности фишеров в связи с празднованием дня Св. Валентина. Эксперты подчеркивают, что речь идет не о скачке атак, который традиционно сопровождает все крупные события, — количество переходов по вредоносным ссылкам в первые февральские недели 2019 года выросло более чем в два раза именно в сравнении с аналогичным периодом 2018-го.

    • 📌 Анонимизированные данные исследования были собраны с помощью защитных продуктов «Лаборатории Касперского». В первой половине февраля пользователи 4,3 млн раз кликнули по фишинговым ссылкам. Годом ранее эта цифра составила 2 млн. В российской части Интернета за отчетный период было зафиксировано 476 тыс. попыток перехода на опасные страницы, что на 20% превышает показатель 2018 года.

    • 📌 Преступники заманивают жертв предложениями выгодно заказать цветы, найти счастье на сайте знакомств, приобрести виагру. Чтобы подтолкнуть пользователя к нужному решению, они предупреждают о якобы скором окончании привлекательной акции или ограниченном количестве доступных товаров.

    • 🕹Разумеется, поддавшийся на уловку пользователь не получит заказанные товары и услуги. Злоумышленники охотятся только за персональными и платежными данными своих жертв, а праздник — только повод для привлечения внимания.
    Фишеры используют любые популярные темы — крупные спортивные события, экономические явления или популярные праздники. Это же касается приглашений на ложные сайты знакомств.

    • 💡С каждым годом используемые приемы становятся все убедительнее, поэтому пользователям нужно проявлять максимальное внимание и не верить проявлениям неслыханной щедрости. Всю информацию о выгодных акциях и предложениях нужно самостоятельно проверять на официальных сайтах организаторов.

    • Письма от неизвестных адресатов стоит вовсе игнорировать.

    "Никогда не ставь свою безопасность в зависимость от благородства другого человека"
                                            -Уилла Кадер


    @SingleSecurity 🛡

  • Реклама

  • Cyber Security

    ​💣 🕹 ВЗЛОМЩИКИ АТАКУЮТ БАГИ В КОММЕРЧЕСКОМ WORDPRESS-ПЛАГИНЕ

    • 🔎 Опасные уязвимости обнаружили в плагине WP Cost Estimation & Payment Forms Builder специалисты компании Wordfence.

    • ⚠️ Бреши позволяют злоумышленникам внедрять произвольные скрипты на целевой сайт под управлением WordPress, а также перезаписывать некоторые файлы на сервере. Баги уже эксплуатируются в дикой природе: несмотря на то, что еще в октябре 2018 года разработчики выпустили патч, большинство пользователей расширения не знает о проблемах.

    • Плагин, предназначенный для создания сложных онлайн-форм, продается на популярной площадке CodeCanyon и установлен более чем на 11 тыс. ресурсов. Как выяснили исследователи, устаревшие релизы продукта WP Cost Estimation & Payment Forms Builder позволяли загружать на сайт файлы с несуществующими расширениями. Ошибкой воспользовались злоумышленники, которые передали на целевой ресурс PHP-скрипт с именем ngfndfgsdcas.tss и файл .htaccess, который связывал объекты типа .tss с обработчиком сценариев.

    • Второй баг был связан с включенной в плагин AJAX-функцией lfb_removeFile. При помощи этой команды киберпреступники получили возможность удалить файл wp-config.php, вызвать режим переустановки CMS и подключить к ней собственную базу данных.

    • ⚙️ Обе бреши были исправлены создателями плагина в октябре прошлого года с выпуском версии 9.644. Разработчики добавили в панель управления список разрешенных к загрузке объектов, куда по умолчанию включены только графические форматы и архивы, а также отдельно запретили передавать через формы файл .htaccess. Помимо этого, авторы WP Cost Estimation & Payment Forms Builder исключили из него функции lfb_removeFile и removeFile. Правда, до пользователей плагина информацию о существовании багов и патчей не донесли.

    • ⏳Кроме того, протестировав исправленный релиз плагина, ИБ-специалисты нашли в нем еще одну уязвимость, которая позволяла загружать файлы в произвольные директории. Эксплуатация ошибки обхода каталога давала возможность злоумышленникам заменить резервные копии сайта на вредоносные версии с бэкдорами и новыми пользователями. Разработчик оперативно устранил и эти недостатки — обновленный вариант WP Cost Estimation & Payment Forms Builder был выложен на CodeCanyon 31 января этого года.

    • 📈 Сторонние плагины представляют серьезную угрозу безопасности для WordPress-ресурсов. По данным исследования компании Imperva, лишь 2% уязвимостей таких веб-ресурсов связаны с ядром CMS, а остальные приходятся на долю расширений. Наибольшую обеспокоенность ИБ-специалистов вызывают баги в популярных разработках, затрагивающие сотни тысяч пользователей.


    @SingleSecurity 🛡

  • Cyber Security

    ​💣🔥🔝 Рейтинг защищенности облачных сервисов

    • ☁️ 🗂 Облачное хранилище нужно выбирать не только по популярности, но и уделив пристальное внимание уровню безопасности.

    • 📄 В рамках настоящей статьи поговорим о том, какие результаты анализа получили данные сервисы.


    @SingleSecurity 🛡

  • Cyber Security

    ​Фишеры значительно активизировались накануне Дня святого Валентина

    • ♥️✨⚠️ Всем влюбленным в День святого Валентина стоит опасаться активности киберпреступников, которая заметно возросла накануне этого праздника.

    • 👥 📑 Об участившихся рассылках фишинговых писем предупреждают эксперты «Лаборатории Касперского».
    Основная тема, всплывающая в письмах кибермошенников, касается покупки праздничного подарка своей второй половине. Помимо этого, преступники рассылают предложения купить различные препараты, помогающие в интимной жизни.

    • ⏳За последние несколько дней эксперты «Лаборатории Касперского» зафиксировали значительно увеличившуюся фишинговую активность.
    В частности, с 11 по 12 февраля количество переходов по фишинговым ссылкам возросло более чем в два раза — с 2 до 4,3 миллионов. Сравнив количество переходов на фишинговые сайты с прошлым годом, исследователи также отметили, что их количество значительно увеличилось. Например, в прошлом году жертвы 396 тысяч раз пытались посетить злонамеренные веб-ресурсы. В этом году эта цифра выросла до 476 тысяч.

    • ⚙️ 💳 💸 Основная цель кибермошенников — заполучить ваши платежные данные. Как раз в этом мошенникам помогают фишинговые сайты. При попытке купить на их страницах подарок близкому человеку (или заказать препараты для повышения либидо), все введенные пользователем данные карты попадают прямиком в руки злоумышленников.


    @SingleSecurity 🛡