Згідно з повідомленнями фахівців компанії Fortinet, дві уразливості в браузерах Chrome, Edge і Firefox можуть використовуватися для отримання інформації про встановлені на пристрої користувача додатках.
Теоретично хакер може визначити, в яких соцмережах перебуває жертва, а також відзначити встановлений уразливий софт і захисні програми. Проблеми безпеки зачіпають Protocol Handlers (обробники протоколу), пов’язані із загальним механізмом, що дозволяє додаткам призначати власні URI-схеми, які згодом використовуються для запуску процесу.
У Windows, наприклад, існують три різних ключі, за допомогою яких можна контролювати обробники URL. Браузери, як правило, пропонують користувачам вибрати інший додаток для обробки URL без http. Щоб задіяти описаний Fortinet сценарій атаки, зловмисник повинен створити спеціальні веб-сторінки, які викличуть потенційно вразливі додатки, встановлені в системі користувача.
Подібні атаки, за словами експертів, здатні обійти захисні заходи на кшталт Smart Screen. Firefox (64-бітна версія під номером 78.0.1 в Windows 10) може зливати обробники протоколу. Ця уразливість отримала ідентифікатор CVE-2020-15680, розробники вже встигли пропатчити її.
Суть бага полягала в тому, що браузер по-різному обробляв зображення в коді сторінок за існуючими і неіснуючими протоколами.
“Цю різницю можна вирахувати за допомогою простого JavaScript-коду. Брутфорс-атака може видати інші обробники протоколу”, – відзначають дослідники з Fortinet.
Щодо Google Chrome, то фахівці тестували наявність уразливості на версії під номером 83.0.4103.116 (в Windows 10). Експлуатація виявилася трохи більш проблемною, але результат залишився таким же. Представники Google визнали проблему і пообіцяли незабаром випустити патч, а ось Microsoft не вважає дану проблему уразливістю.
Радимо звернути увагу на поради, про які писав Cybercalm, а саме:
Як увімкнути новий зчитувач PDF від Google Chrome? – ІНСТРУКЦІЯ
Як надавати дозволи, зокрема, тимчасові для програм на Android? – ІНСТРУКЦІЯ
Нова macOS Big Sur: 10 порад щодо налаштування та використання ОС
Як заборонити друзям із Facebook надсилати Вам повідомлення в Instagram? – ІНСТРУКЦІЯ
Як захисти свої пристрої під час віддаленої роботи з дому? ПОРАДИ
До речі, кібершахраям в черговий раз вдалося обійти захист офіційного магазину додатків для Android – Google Play Store, у результаті чого понад мільйон користувачів постраждали від фейковий модів для популярної гри Minecraft.
Зверніть увагу, що оператори відеосервісу TikTok усунули дві уразливості, які в комбінації дозволяють без особливих зусиль отримати контроль над чужим екаунтом. Одна з уразливостей була присутня на сайті, інша з’явилася в клієнтському додатку.
Також дослідники з кібербезпеки повідомили про зростання кількості кібератак, що використовують сервіси Google в якості зброї для обходу засобів захисту і крадіжки облікових даних, даних кредитних карт та іншої особистої інформації.
У мобільній версії додатка Facebook Messenger усунули уразливість, за допомогою якої можна було прослуховувати оточення абонента. За свідченням експерта, який знайшов баг, таємне підключення до цільового Android-пристрою у даному випадку виконується за кілька секунд.
П’ятеро фігурантів видавали себе за IT-спеціалістів фінансової установи. Під виглядом “тестування платіжної системи” вони здійснили незаконні перекази грошей на підконтрольні рахунки. У результаті таких дій вони незаконно привласнили 1,4 мільйона гривень банківської установи.
