Відео: Real Attack Stories: DDoS Attack Trends During Coronavirus (Вересень 2024)
Популярний додаток для обміну зображеннями Snapchat можна використовувати для запуску атаки відмови у наданні послуг на iPhone користувача, зазначив дослідник безпеки.
Кишеньковий DDOS
Зловмисники можуть залити обліковий запис користувача Snapchat тисячами повідомлень за лічені секунди, що призведе до того, що додаток замерзне, а весь пристрій вийде з ладу, - написав у публікації на seguridadofensiva.com Хайме Санчес, консультант із безпеки іспанської телекомунікаційної компанії Telefonica. Можливо, для відновлення користувачі повинні виконати жорсткий скидання на своїх iPhone.
Санчес продемонстрував слабкість, надіславши протягом п'яти секунд 1000 повідомлень на рахунок облікового запису репортера Лос-Анджелес Таймс Сальвадора Родрігеса у Snapchat, внаслідок чого його пристрій вимкнувся та перезапустився, повідомляє Times. Атака не призведе до краху пристроїв Android, хоча вони стануть повільними, а додаток буде неможливим у використанні, сказав Санчес.
Додаток, орієнтований на конфіденційність Snapchat, дозволяє користувачам надсилати фото та відео повідомлення, які зникають незабаром після того, як одержувач їх переглянув. Коли користувач надсилає повідомлення, додаток генерує новий маркер для підтвердження користувача. На жаль, виявляється, що старі маркери також можна повторно використовувати для надсилання додаткових повідомлень, виявив Санчес.
Погана репутація безпеки
Snapchat позиціонує себе як додаток до конфіденційності для обміну повідомленнями, але останнім часом бореться з проблемами безпеки. Ця остання знахідка лише посилює погану репутацію компанії серед дослідників з кібербезпеки.
Минулого літа компанія відхилила звіти дослідницької групи Gibson Security про недолік у програмі, який може бути використаний для викриття даних користувачів. У новорічну ніч інша група успішно використала вразливість та опублікувала імена користувачів та номери телефонів майже п’яти мільйонів користувачів. Snapchat викопав виправлення, щоб закрити отвір через кілька днів.
Санчес не намагався зв’язатися зі Snapchat і пішов прямо до Los Angeles Times, оскільки стартап не піклується про безпеку - або, принаймні, про дослідників безпеки. Це хвилююча репутація компанії, яка намагається залучити користувачів, занепокоєних їх приватністю в Інтернеті.
Зважаючи на те, що в сервісі є проблема зі спамом, той факт, що спамери можуть використовувати один і той же маркер для надсилання тисяч повідомлень, означає, що користувачі можуть мати ще більше спаму в наступні дні. Зловмисники також можуть запускати цільові атаки проти конкретних користувачів, тимчасово роблячи їх мобільні пристрої непридатними.
Виправлення йде?
Компанія повідомила Times, що цікаво про слабкість, яку виявив Санчес, і буде вести розслідування. Однак Санчес заявив у Twitter, що Snapchat заблокував два облікові записи, які він використовував для тестування, а також IP-адресу VPN, яку він використовує.
"Це їх контрзахід", - сказав Санчес.
Безпечний обмін повідомленнями - це все більш переповнений простір, і якщо Snapchat хоче зберегти свою популярність, йому потрібно негайно повернути свою погану репутацію безпеки. І першим кроком до цього є серйозне ставлення до дослідницької спільноти.
