1.500 ứng dụng iPhone, iPad dính mã độc nguy hiểm
Khoảng 1.500 ứng dụng iPhone, iPad chứa lỗ hổng bảo mật HTTPS, cho phép kẻ tấ.n côn.g đán.h cắp mật khẩu đã được mã hóa, số tài khoản ngân hàng cùng hàng loạt thông tin nhạy cảm khác.
Theo hãng phân tích SourceDNA, ước tính 2 triệu người đã tải các ứng dụng nhiễm độc, trong đó có các cái tên như Citrix OpenVoice Audio Conferencing, Alibaba.com, Movies by Flixster with Rotten Tomatoes, KYBankAgent 3.0, Revo Restaurant Point of Sale. Đây là kết quả của một lỗ hổng trong phiên bản cũ của AFNetworking, thư viện mã nguồn mở cho phép lập trình viên đưa năng lực kết nối mạng vào ứng dụng. Dù AFNetworking đã vá lỗ hổng 3 tuần trước bằng phiên bản 2.5.2, ít nhất 1.500 ứng dụng iOS vẫn gặp nguy hiểm do đang dùng phiên bản 2.5.1.
Theo hai nhà nghiên cứu Simone Bovi và Mauro Gentile, vấn đề xảy ra ngay cả khi ứng dụng yêu cầu thư viện kiểm tra các chứng nhận SSL có hiệu lực. Họ đưa ra kết luận sau khi phân tích một ứng dụng chạy AFNetworking 2.5.1 và nhận thấy tất cả traffic SSL có thể bị xâm nhập thông qua proxy như Burp mà không cần đến sự can thiệp nào.
Khoảng 1.500 ứng dụng iOS có thể là nạ.n nhâ.n trong các cuộc tấ.n côn.g man-in-the-middle, giải mã các dữ liệu HTTPS đã được mã hóa. Để khai thác lỗ hổng, kẻ tấ.n côn.g dùng mạng Wi-Fi tại một quán café hay địa điểm nào đó để theo dõi kết nối của thiết bị cài ứng dụng nhiễm độc.
Video đang HOT
SourceDNA xác định các ứng dụng nhiễm độc bằng cách quét tất cả các ứng dụng miễn phí và 5.000 ứng dụng trả tiề.n hàng đầu trên App Store rồi phân tích mã nhị phân trong mỗi loại. Tổng cộng, có khoảng 1 triệu trong số 1,4 triệu ứng dụng App Store được phân tích. Các lập trình viên đã vá lỗ hổng bao gồm những công ty lớn như Yahoo, Microsoft và Uber.
Trong 4 tuần qua, SourceDNA giữ bí mật danh sách ứng dụng dính mã độc để ngăn chặn các cuộc tấ.n côn.g ngoài đời thực. Tuy nhiên, hãng đã tiết lộ công cụ tìm kiếm cho phép người dùng kiểm tra ứng dụng họ đang sử dụng có nằm trong danh sách nguy hiểm hay không.
Độc giả đang dùng thiết bị iOS như iPhone, iPad nên dành vài phút để kiểm tra tại đây. Nếu phát hiện ứng dụng đáng nghi ngờ, cách tốt nhất là gỡ bỏ chúng và chờ đến khi có bản cập nhật từ nhà phát triển.
Theo Du Lam/ICT News
Cảnh báo thủ đoạn hack mật khẩu smartphone cực đơn giản
Bạn đang ăn tối ở nhà hàng và nhận được email. Bạn cầm lấy điện thoại và không nghĩ gì nhiều, gõ mã PIN để mở khóa điện thoại. Bạn yên tâm không ai nhìn thấy mật khẩu của bạn?
Nhưng đáng buồn, hacker có thể biết chính xác mật khẩu của mọi người bằng một phần mềm phiên dịch đoạn video quay cảnh những gì người dùng đã gõ trên màn hình smartphone, ngay cả khi màn hình không bị lộ ra.
Theo các nhà nghiên cứu của trường Đại học Syracuse (Mỹ), phần mềm dùng để phiên dịch loại video này dựa trên các "động thái học về không gian - thời gian" để đo khoảng cách từ các ngón tay người dùng đến màn hình điện thoại, sau đó đoán chính xác những ký tự nào mà ngón tay đã gõ trên bàn phím.
"Nó giống như kiểu đọc bằng quan sát chuyển động của môi", Vir Phoha, một giáo sư khoa học máy tính nói. "Dựa trên các cử động của tay và hình dạng của điện thoại, chúng tôi có thể nhận ra những phím nào đang được nhấn".
Hiện chưa ghi nhận trường hợp nào hacker lấy cắp mật khẩu bằng cách này, tuy nhiên, đó chỉ là vấn đề thời gian. Phoha và ba nhà nghiên cứu khác của Đại học Syracuse cho biết công nghệ này rất đơn giản, bất kỳ ai biết về lập trình đều có thể sử dụng.
Ngoài việc lấy cắp mật khẩu smartphone, điều này cho thấy rất nhiều nguy cơ đối với các giao dịch ngân hàng và tài chính khác. Công nghệ phân tích video tương tự cũng có thể được dùng để phiên dịch mã PIN trên máy ATM, khóa thông minh trên nhà, cửa garage và nhiều ứng dụng tương tự khác.
Việc công bố các công nghệ như thế này trên báo chí có thể cung cấp cho hacker một cách làm mới để lừ.a gạ.t người dùng. Tuy nhiên, do các nhà báo công nghệ đã đăng tải, nên các chuyên gia bảo mật và cả các tổ chức phạm tội đã biết về nó. Các cơ quan bảo mật, thực thi pháp luật cũng nên lưu ý hành vi này. Chẳng hạn, DARPA, đơn vị chuyên trách công nghệ của Lầu Năm Góc đã tài trợ một phần cho nghiên cứu của Syracuse.
Trong thử nghiệm của Syracuse, có 50 người tình nguyện tham gia gõ mã PIN trên smartphone HTC One, theo nhiều kiểu thiết lập mật khẩu khác nhau. Các nhà nghiên cứu đã ghi lại được 4 video khác nhau về mỗi tình nguyện viên. 2 thiết bị dùng để ghi video là camera trên smartphone Google Nexus 5 và một chiếc máy quay của Sony. Tất cả video đều được ghi cách từ 3,6 đến 4,5 mét. Không một video nào quay trực tiếp màn hình điện thoại.
Kết hợp phân tích hình ảnh và thuật theo dõi cử động, phần mềm đã đoán ra mã PIN mà người dùng gõ, với mức độ chính xác giữa 40% đến 62% trong lần đoán đầu tiên khi dựa vào video và tỉ số phóng đại. Mức độ chính xác lên gần 82% sau 5 lần đoán sử dụng video chất lượng cao nhất, và đạt 94% sau 10 lần đoán.
Phoha cho biết, chỉ cần khoảng 30 phút là có thể đoán ra mật khẩu. Hacker hoàn toàn có thể quay lại những video như trên mà người dùng không hề biết, đặc biệt tại những nơi đông đúc như quán bar, xe buýt, tàu điện, sân bay hay khu mua sắm. Những tên cướp có thể biết được số thẻ tín dụng hoặc mã PIN thẻ ATM "qua vai" người dùng, thậm chí ở khoảng cách xa hơn bằng việc dùng camera có thấu kính phóng lên. Tóm lại, hack qua video thực sự là một mối lo ngại mới mà các cơ quan, tổ chức, người dùng cần lưu ý.
Theo Hoàng Lan/VnReview
Tin tặc có thể làm giả bình luận trên YouTube Các chuyên gia bảo mật vừa phát hiện một lỗi trên dịch vụ lưu trữ video trực tuyến YouTube, qua đó cho phép tin tặc có thể sao chép và làm giả các lời bình luận trên này. Lỗ hổng bảo mật vừa được phát hiện trên YouTube có thể giúp tin tặc làm giả phần bình luận - Ảnh: AFP Theo TheHackerNews,...