Нова уязвимост в системата за разплащания на Google Play

Изследователи по сигурността, разкриват информация за нова уязвимост в системата за разплащания на маркета за приложения на OC Android – Play Store. Всъщност уязвимостта не е никак нова и датира от края на 2014 година, точно тогава беше моментът, в който редица големи компании като Spotify премахнаха възможността техните абонаментни услуги и приложения да могат да се закупуват чрез плащане през Google Play.

Уязвимостта дава възможност на всеки домашен ентусиаст да използва необходимия за целта скрипт и да манипулира системата за разплащания, за да получи достъп до премиум приложения или абонаментни услуги, в това число кредити за Viber, абонамент на медийния сървър Plex, Tapatalk и редица други. Реално уязвимостта може да бъде използвана с всяко едно приложение или услуга, които се предлагат в платформата.

Първи за това съобщават от Android Police още през 2014, а след това многократно през годините други електронни медии са писали по случая.

Някои приложения, имат двуфакторна проверка за валидността на едно плащане и когато то е невалидно спрямо тяхната система, въпреки че потребителят е успях да излъже услугите на Google, той няма достъп до приложението или услугата. Въпреки това, са сравнително малко разработчиците, които внедряват такава проверка в приложенията си и уязвимостта вече е генерирала загуби за компаниите в размер на хиляди долари.

Как работи?

Схемата работи сравнително просто – потребителят, заявява услугата, за която иска да се абонира или приложението, което иска да закупи и подава заявката за разплащане. Когато се появи прозореца, в който да избере метод на плащане – чрез кредитна или дебитна карта, заявката вече е генерирана и той може да види нейният номер в своя Google акаунт през уеб сайта на платформата, като през това време, не трябва да затваря приложението. Междувременно той копира номера на заявката и го въвежда в специално разработения за това скрипт. След това затваря приложението и до минути в профила му плащането се появява като успешно извършено.

Наистина, схемата звучи смехотворно и дори абсурдно. Въпросните „специални скриптове“ са се разпространявали безплатно или срещу заплащане в биткойн в dark web сайтове в onion мрежата. Не е ясно точно на какъв принцип работят, нито какви средства използват за манипулиране на услугите на Google. Компанията към момента не е дала коментар.

За щастие, въпросният злонамерен софтуер не работи под операционната система Microsoft Windows, което го прави достъпен за доста малък процент от интернет потребителите.

4
ДОБАВИ КОМЕНТАР

avatar
2 Коментари
2 Отговори на коментарите
0 Последователи
 
Коментарът с най-много реакции
Най-горещият коментар
  Абонирай се  
нови стари оценка
Извести ме за
Гошо, от спирката
Гошо, от спирката

Малък процент от потребителите??? Това е Android, по-голямата част от хората по света.

CMEx
CMEx

Тъй ли? Някой ще тръгне да използва уязвимост в Андроид, да пише скриптове, ама ще се откаже, защото няма, не знае как или не може да си инсталира Линукс дистро? Е, това е най-голямото щастие. Направо Гугъл са най-голямите късметлии. Отървали са се на косъм. Отделно от това, какво пишете и какво имате в предвид, са много различни неща. Само вие си знаете как сте стигнали до това върховно умотворение.

Da-da-da
Da-da-da

Пропуснали сте да сложите линк към въпросните скриптове. Аудиторията на този сайт има техническите познания да разбере как работят и съответно ще се допълни статията.