SOS :: Security Operation Space
16 августа, четверг, 00:00
|
Hot News:

Криптокошелек Electrum стал безопаснее

12 января 2018 г., пятница, 15:38

Разработчики устранили уязвимость, которая открывала доступ к денежным средствам пользователей.

Создатели биткойн-кошелька Electrum устранили уязвимость, которая угрожала денежным средствам его пользователей. Брешь оставалась в приложении почти два года. Компания смогла закрыть ее только после нескольких предупреждений о растущей активности киберпреступников.

Уязвимость существовала в интерфейсе JSON RPC (JavaScript Object Notation Remote Procedure Call). Это протокол удаленного доступа, который позволяет сторонним приложениям обмениваться данными с программным продуктом и проводить различные операции. В криптокошельках JSON RPC обеспечивает, в частности, расчеты при покупках и проведение денежных переводов. Для обеспечения безопасности владельцу кошелька следует защитить его паролем и привязать к своему компьютеру. В противном случае невозможно проконтролировать, какие приложения могут проводить операции с денежными средствами.

В конце ноября журналисты Bleeping Computer сообщили об активности ботов, сканирующих Интернет в поисках незащищенных портов JSON RPC. Уязвимость позволяет злоумышленникам менять настройки кошелька, редактировать список контактов и публичных ключей. Один из пользователей обратил внимание, что в кошельках Electrum также используется открытый протокол, и сообщил об этом компании-разработчику. Однако реакция последовала только после того, как специалист по информационной безопасности Google Тэвис Орманди (Tavis Ormandy) продемонстрировал рабочий способ воровства. Он создал страницу с веб-скриптом, который за считаные секунды находил открытый порт и проводил нелегитимные операции с пользовательскими средствами. Обновление Electrum последовало через два дня.

По информации Electrum, преступники не успели использовать уязвимость для мошеннических операций. Разработчики призвали всех пользователей срочно обновить ПО, а владельцев незащищенных кошельков — завести новые и закрыть их паролем. Список контактов следует удалить, поскольку злоумышленники могли подменить легитимные адреса на собственные.

Создатели криптокошельков зачастую пренебрегают средствами защиты своих продуктов, открывая преступникам возможности для хищения средств и других преступлений. Кроме того, злоумышленники крадут учетные данные пользователей через поддельные приложения, которые маскируются под официальные кошельки, либо вмешиваются в процессы перевода, меняя адрес получателя на свой. По оценкам «Лаборатории Касперского», каждая подобная кампания может приносить преступникам от 100 тысяч долларов и выше.

Ваш голос учтён!
нравится
не нравится Рейтинг:
0
Всего голосов: 0
Комментарии

Добавить комментарий к новости

Ваше имя: *
Сообщение: *
Нет комментариев
14:03
13:56
13:16
13:03
12:04
12:00
10:55
09:48
09:16
09:12
08:27
07:23
07:00
06:36
06:02
06:01
15:30
13:25


© 2013—2018 SOS :: Security Operation Space (Пространство Операций Безопасности)  // Обратная связь  | 0.082
Использование любых материалов, размещённых на сайте, разрешается при условии ссылки на sos.net.ua.