Шахраї крадуть облікові записи Steam, використовуючи для цього спеціально розроблений сайт з “безкоштовними роздаванням ігор”. За допомогою вкрадених екаунтів зловмисники намагаються заманити нових жертв.
Злочинці розсилають друзям жертви повідомлення про можливість отримати безкоштовну гру в Steam, досить лише зайти на спеціальний сайт і ввести промо-код, повідомляє видання Bleeping Computer. За URL-посиланням користувач переходить на портал steamsafe.fun, який потім перенаправляє його на один з інтернет-сайтів зловмисників. Зовні вони виглядають, як сайти з безкоштовними роздачами ігор в ігровому майданчику Steam.
Користувачу пропонують натиснути кнопку “Roll” для отримання випадкової безкоштовної гри, як, наприклад, PUBG, CSGO, Tropico 4, ARK: Survival Evolved, Assassin’s Creed тощо. Потім сайт відобразить частину ключа гри, для отримання якого доведеться авторизуватися. Як тільки користувач натисне кнопку входу в систему, йому відобразиться підробна сторінка авторизації в обліковий запис Steam (Steam single sign-on), розміщена на сайті шахраїв.
Якщо жертва введе облікові дані, шахраї використовують їх для авторизації в облікового запису Steam користувача. Тоді з’явиться вікно мобільного аутентифікатора Steam Guard і запросить спеціальний код. Таким чином злочинці можуть обійти двофакторну аутентифікацію і отримати повний доступ до екаунту.
За словами дослідників, атака відбувається автоматично. Шахрайський сайт самостійно входить в облікові записи, змінює пароль, прив’язану адресу електронної пошти, а також номер телефону. На наступному етапі кампанії зловмисники будуть використовувати вкрадений обліковий запис для подальшого поширення шахрайства серед друзів жертви і для потенційної крадіжки предметів з інвентарю користувачів у Steam.
У разі крадіжки екаунта дослідники рекомендують звернутися в службу підтримки Steam. Це дозволить повернути вкрадений обліковий запис, однак предмети інвентарю можуть бути втрачені назавжди.
До речі, дослідники з компанії Palo Alto Networks виявили 34 мільйони уразливостей в великих хмарних сервісах. За словами фахівців, проблеми з’явилися не з вини провайдерів, а через додатки, які розгортають клієнти в хмарі.
Нагадаємо, з мобільними додатками для Android можна буде працювати за комп’ютером із Windows або macOS. Так, під час заходу Samsung Unpacked 2019 корейський гігант представив додаток Samsung DeX for PC.
Також компанія Microsoft заблокувала установку оновлень для Windows 7 і Windows Server 2008 R2, підписаних за допомогою сертифіката SHA-2, на пристроях із встановленими антивірусними продуктами Symantec або Norton.
Стало відомо, що встановити шосту бета-версію iOS 13 можуть усі без винятку користувачі, які пройшли реєстрацію у програмі раннього доступу і встановили на свої пристрої активні бета-профілі. Якщо Ви дотрималися цих вимог, то за стабільного Wi-Fi-з’єднання або за допомогою iTunes оновлення буде завантажено на Ваш смартфон.
Окрім цього, більшість мобільних дзвінків у всьому світі здійснюються за стандартом Global System for Mobile Communications. Дослідники виявили недолік стандарту GSM, який дозволяє хакерам слухати Ваші дзвінки.
Microsoft не заперечує, що працівники компанії та підрядні організації можуть прослуховувати аудіозаписи розмов Skype і запити Cortana. Як видалити свою конфіденційну інформацію із серверів Microsft, йдеться у статті.
Зверніть увагу, Android-пристрої можуть постачатися із вбудованим шкідливим ПЗ і бекдорами через недостатній контроль виробників і постачальників.
Дослідник Педро Кабрера (Pedro Cabrera) продемонстрував на конференції Defcon наскільки уразливі для зламу сучасні Smart TV, що використовують підключений до Інтернету стандарт HbbTV.
Дослідники з Netflix і Google виявили низку багів у кількох реалізаціях протоколу HTTP/2. Експлуатація яких дозволяє зловмисникам викликати відмову в обслуговуванні на не оновлених серверах. Згідно зі статистикою, це 40% від усіх web-сайтів в Інтернеті.
.
