Компанията за информационна сигурност и защита Trend Micro обяви, че изтегля защитения си браузър от пакета с приложения Dr Safety Android в Google Play, след като са открили, че апликацията съдържа критична уязвимост, предава The Register.

Въпросната уязвимост може да подлъже потребителя, че посетената от него зловредна страница е легитимна. За първи път, бъгът е открит и предаден на компанията от изследователя по сигурност Дхирай Мишра през април тази година. Успешното експлоатиране на уязвимостта може да позволи да бъде променена адресната лента в Privacy Browser приложението на Trend Micro. Така например, обяснява Мишра, фишинг страница, която краде данни за вписване, може да открадне банковата информация на потребителя като пренапише съдържанието, показвано в адресната лента, за да покаже на жертвата реалния адрес на банката.

Той допълва, че уязвимостта е сравнително лесна за експлоатиране и хакерите могат да лишат немалко хора от сметките им, вземайки предвид това, че инсталационната база на Privacy Browser надвишава десет милиона инсталации. „За да се експлоатира подобна уязвимост, атакуващата страна ще се нуждае от адрес, на който да помести зловреден JavaScript пакет и ако потребителят посети тази страница ще се отвори нов прозорец или таб с фалшивия адрес. И понеже няма начин да се определи дали е автентичен или не адреса, това може да доведе до кражбата на чувствителни данни като потребителско име и парола. Освен подмяната на адреса, атакуващата страна може да подправи и SSL уведомлението за сигурна връзка, което прави атаката още по-трудна за засичане“, обяснява Мишра.

Въпросната уязвимост е бъг, който не е непознат за компанията и защитната индустрия, както може да се види и от CVE индикатора ѝ – CVE-2018-18334. Тя е регистрирана от компанията още преди две години, когато Trend Micro правят опит да я запушат, но изглежда това не е било особено успешно. Това провокира компанията вместо да се опитва да издава нов пач, просто да премахне браузъра от защитния пакет в магазина на Android.

Абонирай се
Извести ме за
guest
0 Коментара
Отзиви
Всички коментари