SDO СryptoNet

Новые виды атак на основе технологии кликджекинга

15.07.11 Кликджекинг – механизм обмана пользователей, при котором переход по ссылке на каком-либо сайте перенаправляет пользователя на вредоносную страницу – стал очень эффективным. Часто он используется для распространения через Facebook ссылок на вредоносные сайты. Недавно подобные техники показали свою эффективность в деанонимизации посетителей сайта. Также переход по хитрой ссылке может привести к тому, что злоумышленник получит доступ к данным OAuth. Давайте посмотрим, как это происходит.

Классическое применение кликджекинга – рапространение ссылок через Facebook

В классическом сценарии кликджекинга злоумышленник прячет кнопку «Like» или «Share» в прозрачном iframe. Этот iframe располагается над элементом страницы, на который должен нажать пользователь, также iframe может перемещаться за курсором мыши. При нажатии на... читать дальше

Хакеры украли адреса электронной почты 90 тысяч американских военных

14.07.11 Хакеры из группы Anonymous взломали сервер подрядчика Пентагона — компании Booz Allen Hamilton — и украли адреса электронной почты более 90 тысяч американских военных. Об этом сообщается на сайте компании Sophos.

При этом хакерам, возможно, достались и пароли от почты. Опасность, которая теперь грозит Пентагону, состоит в том, что хакеры могут попытаться, использую электронную почту, заразить вирусами компьютеры военных.

В 2010 году хакеры из группы Anonymous атаковали сайты Visa, Mastercard и Paypal, которые... читать дальше

Список сайтов, которые хранят пароли открытым текстом

14.07.11 В это трудно поверить, но около 30% сайтов держат пароли своих пользователей в незащищённом виде. Если кто-то проникнет к ним в систему, то все пароли будут перед ними открытым текстом.

Продвинутым пользователям должно быть обидно, если они генерируют и запоминают 15-символьные пароли, которые так хранятся.

Как известно, многие люди склонны использовать одинаковые пароли для различных сервисов. Если в одном месте случилась утечка данных, то этот пароль может подойти и к его почтовому ящику, и к сервису онлайн-банкинга.

Авторы «чёрного списка» Plain Text Offenders уверены, что бороться с такой беспечностью веб-разработчиков можно только с помощью общественного порицания. На этом ресурсе ежедневно публикуются сайты, которые, возможно, хранят пароли в открытом виде.

Если вы сами обнаружили такой... читать дальше

Серверы Sony работали на устаревшей версии Apache

14.07.11 Сегодня на слушаниях в Конгрессе по поводу взлома PSN дал показания независимый эксперт по безопасности д-р Джен Спэффорд (Gene Spafford) из университета Пердью. Он сказал, что серверы Sony работали на непропатченной версии веб-сервера Apache с известными уязвимостями и «без файрвола».

Компании Sony это было известно за два-три месяца до инцидента, который привёл к утечке персональных данных более 100 млн пользователей. По словам Спэффорда, данный вопрос «обсуждался на открытом форуме, модераторами которого являются сотрудники Sony».

Таким образом, тучи над Sony сгущаются. Если информация Спэффорда подтвердится, то компании грозят серьёзные судебные иски с обвинением в преступной неосторожности, а это уже уголовное дело. Конечно, можно спорить насчёт наличия состава преступления в действиях Sony, но если... читать дальше