Уязвимости WhatsApp
По состоянию на начало 2018 года приложение для обмена сообщениями, принадлежащее Facebook, — WhatsApp имеет более 1,5 миллиарда пользователей, более миллиарда групп и 65 миллиардов сообщений, отправляемых каждый день. С таким большим количеством пользователей есть большая вероятность для онлайн-мошенничества, фишинга и фальшивых новостей.
Группа Check Point Research недавно обнародовала новые уязвимости в популярном приложении для обмена сообщениями, которые могут позволить злоумышленникам перехватывать и обрабатывать сообщения, отправленные как в личных, так и в групповых чатах, предоставляя им огромные возможности для создания и распространения дезинформации. Так как подменить сообщения WhatsApp?
Давайте взглянем на виды угроз:
1) Используя функцию «цитата» в групповом диалоге можно изменить имя отправителя, даже если этот человек не является членом группы.
2) Изменить текст чужого ответа. То есть подмена сообщений в WhatsApp
3) Отправлять личные сообщения члену группы, когда тот заблокировал эту возможность.
Как известно, WhatsApp шифрует каждое отправляемое вами сообщение: изображение, звонок, видео и тд., чтобы его мог видеть только получатель.
Эти процессы шифрования привлекли, и решили попробовать изменить алгоритм WhatsApp для расшифровки данных. И после расшифровки WhatsApp они обнаружили, что WhatsApp использует для этого «протокол protobuf2».
Преобразовав эти данные protobuf2 в Json, они смогли увидеть фактические отправленные параметры и манипулировать ими, чтобы проверки безопасности WhatsApp.
Для манипуляции потребовался инструмент BurpSuite. Однако, чтобы начать манипулирование, сначала нужно получить закрытый и открытый ключ нашего сеанса и заполнить его в нашем расширении burpsuit.
Подробный материал вы найдете в нашем телеграм канале через несколько дней после релиза этого видео.
Второй нюанс — это брешь CVE-2019-11931. Она позволяла злоумышленникам удаленно, с помощью WhatsApp, взламывать устройства, зная только номера телефонов пользователей, другими словами это взлом WhatsApp. Хакеры отправляли жертвам специальный файл в любом формате (главное отправленный как документ), с помощью которого на гаджете устанавливалась шпионская программа или бэкдор, то есть как взломать WhatsApp. Это вело к проблемам с переполнением буфера и сбою. Проблема кроется в парсинге метаданных таких типов файлов. Результатом успешной эксплуатации может стать как состояние DoS, так и удаленное выполнение кода.
Фактически с помощью отправленного документа хакеры получали доступ к сообщениям и файлам, которые отправляли пользователи через WhatsApp.
Уязвимость была обнаружена в версиях программы для всех платформ: Android, iOS, Enterprise Client, Windows Phone, а также Business for Android и Business for iOS.
Её конечно залатали, но вот не долго длилось счастье. Если раньше она была привязана к конкретным операционным системам и к конкретным версиям вотсап. То сейчас уязвимость CVE-2019-2232 еще не устранена и она выполняет такие же функции: вызывает перманентную DoS-атаку на устройство, из-за чего оно может выйти из строя.
При этом для осуществления такой атаки не требуются права администратора, а также какое-либо участие владельца устройства — все происходит в фоновом режиме. Опасной уязвимости подвержены смартфоны на базе Android 8.0, Android 8.1, Android 9 и Android 10.
В Google заявили о том, что декабрьский патч, устраняющий все три проблемы, уже выпущен, а значит пользователям не о чем волноваться. Однако, беспокоиться все же стоит — дело в том, что очередные обновления операционной системы появляются на смартфонах Android в разное время. В то время, как клиенты одного производителя уже могут выдохнуть с облегчением, пользователи со смартфонами другого бренда пока не могут чувствовать себя в безопасности.
Возможно, многие слышали о вирусе под названием «MrsMajor» (он же «BossDaMajor»). Вирус был создан 9 июля 2017 года пользователем видеохостинга YouTube, под псевдонимом «Elektro Berkay».
После того, как пользователь запустил вирус, создается масса иконок на рабочем столе с названием «HUMANS ARE TASTY», затем появляется скример… много скримеров и компьютер выключается.
Затем после запуска системы вы увидите, что вместо курсора у вас глаз, вместо всех иконок — иконка беса, появляется окно с куклой Аннабель, у которого установлен таймер.
Рядом с таймером находится меню правил:
— Если счетчик дойдет до конца — компьютер будет уничтожен.
— Если попытаетесь удалить файлы — компьютер будет уничтожен.
— Если попытаетесь завершить процесс — компьютер будет уничтожен.
— Не открывайте диспетчер задач и командную строку.
— Удалите антивирус.
И начинает играть загадочная музыка из фильмов ужасов.
Вирус сам по себе не такой уж и страшный, но напугать неподготовленного пользователя и причинить вред системе он способен.
Если вы не сумеете его одолеть то вирус убьет процесс logoui.exe и заменит его на свой, тем самым вы не сможете произвести вход в систему. Он ничего не шифрует, он просто убивает этот системный файл и все.
Большого страха и паники он может произвести на того кто впервые с ним столкнулся, но на деле 6/10, но благодаря приятной атмосфере с графическим интерфейсом, задумкой и музыкой — 9/10. Мне понравилось!
Вы узнаете, какие сервисы чаще всего доступны для подключения на сетевом периметре, каков возраст самой старой уязвимости и почему Heartbleed и WannaCry все еще актуальны. Познакомитесь с данными выявленных уязвимостей — о степени риска, о местах обнаружения, о наличии общедоступных эксплойтов. Во второй части вебинара мы расскажем о нашем подходе к управлению уязвимостями и о новом продукте, который появится в ноябре.
Вебинар будет полезен широкому кругу слушателей, которые интересуются актуальными угрозами информационной безопасности.
Любое использование данного материала без прямого разрешения АО «Позитив Текнолоджиз» запрещено.
Вебинар Центра Специалист при МГТУ Баумана посвящен анонсу популярного курса «COBIT- практика ИТ-менеджмента (http://www.specialist.ru/course/cobit). В ходе вебинара будети дано краткое описание международной методологии COBIT, объединяющей около 40 мировых стандартов и руководств в области ИТ, аудита и ИТ-безопасности. COBIT — крупнейшая библиотека стандартов, которая, наряду с ITIL служит платформой для конструктивного диалога между ИТ и бизнесом.
На семинаре будет рассмотрено содержание библиотеки, рассказано о методах оперативного поиска информации в ее материалах, о том, как COBIT может облегчить практическую деятельность вашей компании.
Занятие ведет профессионал экстра-класса, сертифицированный тренер ITIL Максим Юрьевич Чак.
Братья Папашвили приехали в аэропорт, так как один из них должен улетать в Израиль. Захотели выпить шампанского. Захотели и выпили. И в результате улетел не хормейстер детского хора Яков, а очень похожий на него таксист Мераб.
Формат: фильм
Жанр: драма, комедия, приключения
Год производства: 1990
Режиссер: Георгий Данелия
Сценарий: Георгий Данелия, Реваз Габриадзе, Аркадий Хайт
Композитор: Гия Канчели
Оператор-постановщик: Вадим Юсов
Директор картины: Константин Александров, Виктор Фрейлих, Филипп Раттон
В ролях: Жерар Дармон, Наталья Гундарева, Олег Янковский, Ким Салливан, Лео Пилпани, Армен Джигарханян, Евгений Леонов, Леонид Ярмольник, Игорь Кваша, Мамука Кикалейшвили
Где отдыхать и главное КАК? Всё, чего ты не знал о путешествиях на канале «Мировая прогулка» www.youtube.com/TheMprogulka
Онлайн-кинотеатр StarMedia на YouTube www.youtube.com/starmedia
Смотреть онлайн фильмы и сериалы бесплатно в хорошем качестве.
www.starmediafilm.com
Лучшие русские фильмы и сериалы, лучшие мелодрамы, военные фильмы, новинки кино, фильмы с русскими и английскими субтитрами — смотреть онлайн бесплатно в хорошем качестве в онлайн кинотеатре StarMedia на YouTube. Приятного просмотра!
Обстановка в Сирии сегодня и жизнь без войны. Путешествие по Сирии. Как живут простые люди в этой стране? Посетил крупные города: Дамаск, Алеппо, Хомс, Тартус, Латакия. Фильм: «С новым годом, Сирия!» — О том, как я встречал 2019 год в Сирийской Арабской Республике. Очутился здесь и почувствовал себя одним из первых путешественников за 8 лет войны.
Бесплатный Интенсив «Как уехать учиться в Чехию»: is.gd/JKBfW8
GoStudy поможет выучить чешский язык, подготовиться ко вступительным экзаменам в университет и сделает процесс переезда и адаптации максимально простым и комфортным.
***
Для Госдумы последняя неделя перед Новым годом выдалась особенно результативной: приняли много поправок, в том числе ограничивающие неуважение к власти в Интернете, Правительство одобрило кредит Беларуси на $1 млрд, Общественная палата предложила ввести продуктовые карточки, а Газпром всё-таки создаст альтернативный YouTube. Но и это ещё не всё! Скорее смотрите наш крайний выпуск «Редакции. News» в этом году!
Содержание:
0:00 Поехали!
0:19 Навальный звонит агенту ФСБ
3:13 Высшее образование в Европе бесплатно (реклама)
4:12 Что напринимала Госдума перед НГ
5:51 Депутаты хотят уважения
8:50 Приговор Юлии Галяминой
9:57 Дерипаска предложил сажать за провоцирование санкций
11:00 В России хотят ввести продуктовые карточки
12:37 Переправа из веток в Красноярском крае
13:33 Новый год под знаком ковида
15:00 Испытания вакцины «Спутник» завершены
16:16 В Петербурге разрешили открытые кафе
17:13 Госдума и Газпром vs YouTube
18:48 В Нововоронеже снесли памятник Аленке
20:10 Чудесное спасение застрявших на льдине
20:53 До встречи в 2021!
e-mv