Новости

Уязвимость в macOS позволяет использовать любое доверенное приложение для генерирования виртуальных кликов. На конференции «Objective by the Sea» известный ИБ-специалист Патрик Уордл (Patrick Wardle) рассказал о новой уязвимости в macOS, позволяющей хакерам или вредоносным приложениям обойти некоторые защитные механизмы в ОС с помощью так называемых «синтетических кликов» (невидимые клики, генерируемые ПО, а не человеком). В…

Приложения из Microsoft Store распространяют мошенническую рекламу

Большая часть рекламы представляет собой поддельные уведомления об угрозах. В приложениях для Windows 10 из Microsoft Store обнаружена мошенническая реклама, целью которой является заражение компьютеров пользователей вредоносным ПО. Большая часть рекламы представляет собой поддельные уведомления об угрозах. В уведомлении сообщается, будто система была заражена вирусом, и предлагается просканировать компьютер с помощью решения безопасности, которое на…

ФСБ запросила у «Яндекса» сессионные ключи

Сессионные ключи позволяют не только читать электронную переписку, но и анализировать весь трафик сервисов «Яндекса». Федеральная служба безопасности РФ потребовала от «Яндекса» ключи для дешифровки данных пользователей сервисов «Яндекс.Почта» и «Яндекс.Диск». Об этом изданию «РБК» сообщили сразу два источника, знакомых с вопросом. По словам источников, запрос от ФСБ был направлен несколько месяцев назад, однако «Яндекс»…

Microsoft исправила уязвимости Zombieload, RIDL, Fallout и Store-to-Leak Forwarding в Windows 10

Обновления доступны для версий Windows 10 (1607, 1709, 1703) и Windows Server 2016. Microsoft выпустила ряд обновлений, устраняющих уязвимости Zombieload, RIDL, Fallout и Store-to-Leak Forwarding, обнаруженные в процессорах Intel. Обновления доступны для следующих версии Windows 10 и Windows server. KB4494175 : Windows 10 (версия 1607) и Windows Server 2016; KB4494452 : Windows 10 (версия 1709);…

Уязвимости в rkt позволяют обойти контейнер и получить на хосте права суперпользователя

Производитель не планирует выпускать исправления для уязвимостей. Исследователь безопасности Ювал Аврахами (Yuval Avrahami) обнаружил в исполняемой среде контейнеров (container runtime) rkt уязвимости, позволяющие обойти контейнер и получить на хосте права суперпользователя. Проблемам присвоены идентификаторы CVE-2019-10144, CVE-2019-10145 и CVE-2019-10147. Злоумышленник может проэксплуатировать уязвимости с целью скомпрометировать хост, когда пользователь вводит команду ‘rkt enter’ (эквивалентна команде ‘docker…

Обзор инцидентов безопасности за период с 27 мая по 2 июня 2019 года

Коротко о самых значимых событиях минувшей недели. Популярный новостной агрегатор Flipboard, аудитория которого насчитывает порядка 15 млн пользователей в месяц, сообщил о взломе своих баз данных. Злоумышленникам удалось дважды получить неавторизованный доступ к БД — в период с 2 июня 2018-го по 23 марта 2019 года, а также 21-22 апреля 2019 года. В руки атакующих…

Уязвимость в смарт-телевизорах SUPRA позволяет выводить на экран любое видео

Локальный атакующий может перехватывать видеотрансляцию и подменять ее видеофайлами по своему усмотрению. Исследователь безопасности Дхираж Мишра (Dhiraj Mishra) обнаружил в смарт-телевизорах от российской компании SUPRA уязвимость, позволяющую захватывать контроль над экраном и показывать на нем любое видео. Под брендом SUPRA продается сравнительно недорогое аудио/видеооборудование, бытовая техника и автомобильная электроника. Большая часть продукции реализуется через российские,…

Роскомнадзор включил приложение для знакомств Tinder в список ОРИ

Сервис обязан в течение полугода хранить переписку пользователей и предоставлять данные по запросу правоохранительных органов. Роскомнадзор внес в реестр организаторов распространения информации (ОРИ) компанию Match Group, владеющую популярным интернет-сервисом для знакомств Tinder. Таким образом в рамках «закона Яровой» сервис обязан в течение полугода хранить переписку пользователей и предоставлять информацию по запросу правоохранительных органов. Согласно сообщению…

ЦБ РФ работает над созданием механизма верификации электронных адресов

Первые предложения по проверке электронных адресов клиентов банки представят уже на следующей неделе. Банк России совместно с кредитными организациями запустил пилотный проект, призванный разработать механизм проверки электронной почты клиентов при взаимодействии с банками. Об этом изданию «КоммерсантЪ» сообщил первый замглавы департамента информационной безопасности Банка России Артем Сычев. По словам Сычева, кредитные организации часто присылают своим…

Новая атака «Tap ‘n Ghost» угрожает безопасности современных Android-смартфонов

Злоумышленник сможет «заставить» жертву подключиться к вредоносной сети, одобрить опасные разрешения и пр. Исследователи из Университета Васэда (Япония) разработали новый метод эксплуатации NFC (Near Field Communications) модуля, встроенного в большинство современных моделей смартфонов на базе Android, для генерации фальшивых «призрачных» нажатий на экран незаметно для владельца устройства. Для атаки специалисты разработали устройство, включающее 5-мм медную…