Уязвимость в Facebook раскрывала данные администраторов страниц
Имена администраторов содержались в исходном коде электронного письма от Facebook.
Исследователь кибербезопасности из компании Seekurity Мохамед Басет (Mohamed Baset) обнаружил в социальной сети Facebook уязвимость раскрытия информации, позволяющую просматривать имена и другие данные администраторов страницы.
По словам исследователя, проблема была выявлена после того, как на его почту пришло сообщение с предложением поставить отметку «Нравится» странице, на которой он ранее отметил понравившейся отдельную публикацию. Проанализировав исходный код полученного письма, эксперт заметил, что оно включает имя администратора страницы и другие сведения.
Басет уведомил Facebook об уязвимости, после чего компания выплатила ему $2,5 тыс. вознаграждения, а проблема была исправлена.
Исследователь безопасности из компании Sophos Пол Даклин (Paul Ducklin) объяснил, почему подобные уязвимости раскрытия информации могут представлять проблему для администраторов страниц Facebook.
«Для бизнес-страниц или сообществ, в которых может быть несколько администраторов, Facebook не должна раскрывать ничего, кроме имени самой страницы, по крайней мере без разрешения. Это защищает отдельных сотрудников от получения множества комментариев и вопросов», - отметил эксперт.
В общей сложности в прошлом году Facebook выплатила исследователям более $800 тыс. за обнаруженные уязвимости.
Источник:
https://www.securitylab.ru/news/491771.php
Киберпреступники требуют выкуп за остановку DDoS-атак Memcrashed
Атаки «DDoS-for-Bitcoin» получили новый виток в развитии.
На этой неделе исследователи компании Cloudflare рассказали о новом эффективном методе усиления DDoS-атак с использованием серверов memcached. В последнее время популярность метода, получившего название Memcrashed, стремительно растет. В частности, с его помощью была осуществлена самая мощная DDoS-атака за всю историю интернета, жертвой которой стал портал GitHub. Пиковая мощность атаки составляла 1,35 ТБ/с.
Вооружившись новым методом, киберпреступники не только атакуют интересующие их ресурсы, но также занимаются вымогательством. Эксперты компании Akamai сообщили о весьма необычной атаке с использованием серверов memcached. Вместо того, чтобы отправить жертве UDP-пакеты с произвольными данными, атакующие оставили в них короткое послание. Согласно сообщению, жертва должна заплатить по указанному адресу 50 Monero (около $17 тыс.). Правда, злоумышленники не пообещали прямо, что прекратят атаку, а только намекнули на такую возможность.
Подобный вид вымогательства используется киберпреступниками с 2015 года и изначально был известен как «DDoS-for-Bitcoin» («DDoS за биткойны») по одноименному названию группировки, первой начавшей его применять.
Источник:
https://www.securitylab.ru/news/491872.php
Имена администраторов содержались в исходном коде электронного письма от Facebook.
Исследователь кибербезопасности из компании Seekurity Мохамед Басет (Mohamed Baset) обнаружил в социальной сети Facebook уязвимость раскрытия информации, позволяющую просматривать имена и другие данные администраторов страницы.
По словам исследователя, проблема была выявлена после того, как на его почту пришло сообщение с предложением поставить отметку «Нравится» странице, на которой он ранее отметил понравившейся отдельную публикацию. Проанализировав исходный код полученного письма, эксперт заметил, что оно включает имя администратора страницы и другие сведения.
Басет уведомил Facebook об уязвимости, после чего компания выплатила ему $2,5 тыс. вознаграждения, а проблема была исправлена.
Исследователь безопасности из компании Sophos Пол Даклин (Paul Ducklin) объяснил, почему подобные уязвимости раскрытия информации могут представлять проблему для администраторов страниц Facebook.
«Для бизнес-страниц или сообществ, в которых может быть несколько администраторов, Facebook не должна раскрывать ничего, кроме имени самой страницы, по крайней мере без разрешения. Это защищает отдельных сотрудников от получения множества комментариев и вопросов», - отметил эксперт.
В общей сложности в прошлом году Facebook выплатила исследователям более $800 тыс. за обнаруженные уязвимости.
Источник:
https://www.securitylab.ru/news/491771.php
Киберпреступники требуют выкуп за остановку DDoS-атак Memcrashed
Атаки «DDoS-for-Bitcoin» получили новый виток в развитии.
На этой неделе исследователи компании Cloudflare рассказали о новом эффективном методе усиления DDoS-атак с использованием серверов memcached. В последнее время популярность метода, получившего название Memcrashed, стремительно растет. В частности, с его помощью была осуществлена самая мощная DDoS-атака за всю историю интернета, жертвой которой стал портал GitHub. Пиковая мощность атаки составляла 1,35 ТБ/с.
Вооружившись новым методом, киберпреступники не только атакуют интересующие их ресурсы, но также занимаются вымогательством. Эксперты компании Akamai сообщили о весьма необычной атаке с использованием серверов memcached. Вместо того, чтобы отправить жертве UDP-пакеты с произвольными данными, атакующие оставили в них короткое послание. Согласно сообщению, жертва должна заплатить по указанному адресу 50 Monero (около $17 тыс.). Правда, злоумышленники не пообещали прямо, что прекратят атаку, а только намекнули на такую возможность.
Подобный вид вымогательства используется киберпреступниками с 2015 года и изначально был известен как «DDoS-for-Bitcoin» («DDoS за биткойны») по одноименному названию группировки, первой начавшей его применять.
Источник:
https://www.securitylab.ru/news/491872.php