В июне 2017 года специалисты компании Check Point рассказали о масштабной adware-кампании Fireball, от которой пострадали более 250 млн устройств по всему миру (впрочем, специалисты Microsoft решили оспорить выводы коллег и сообщали лишь о 5 млн зараженных устройств).
Тогда сообщалось, что Fireball поражает браузеры пользователей и имеет две основные функции: одна заключается в способности запускать любой код и скачивать любые файлы на компьютер жертвы, а другая позволяет управлять трафиком пользователя, чтобы генерировать прибыль от рекламы. Хотя эксперты писали, что Fireball лишь устанавливает плагины и дополнительные конфигурации для увеличения рекламного трафика, они подчеркивали, что так же легко угроза может превратиться в распространителя любого другого вредоносного ПО, пишет xakep.ru.
Обычно Fireball попадает на компьютер жертвы в связке с другим ПО (вместе с Deal Wifi и Mustang Browser компании Rafotech, или совместно с такими решениями как Soso Desktop, FVP Imageviewer), которое скачивает пользователь, а часто даже без его согласия.
Интересно, что аналитикам Check Point удалось выяснить, что вредоносной кампанией управляет крупнейшее маркетинговое агентство Rafotech, расположенное в Пекине. Rafotech использует Fireball, чтобы управлять браузерами жертв и подменять поисковые системы и стартовые страницы, установленные по умолчанию, на фейковые поисковики, которые просто перенаправляют запросы на yahoo.com или google.com. Хуже того, поддельные поисковики способны собирать персональную информацию пользователей.
Теперь Китайские СМИ сообщают, что вскоре после публикации отчета Check Point в полицию поступило анонимное заявление. После проведения расследования, китайские власти перешли к решительным действиями, и аресты сотрудников Rafotech начались уже 15 июня 2017 года.
По данным прессы, которая цитирует источники в правоохранительных органах, среди 14 арестованных числятся три менеджера Rafotech и руководители компании, включая CEO, CTO и CFO. Также сообщается, что девять подозреваемых пытались спешно уничтожить информацию на своих компьютерах во время задержания. Все задержанные уже признали свою вину.
Полиция Пекина, в свою очередь, сообщает, что компания Rafotech была основана в 2015 году тремя студентами, которые оказались ответственны за разработку различных семейств adware: Youndoo, Trotux, Startpageing123, Luckysearch123, Hohosearch, Yessearches, теперь известных под общим названием Fireball. По подсчетам правоохранительных органов, этот бизнес принес Rafotech более 80 млн юаней (11, 8 млн долларов).
Участники Google Project Zero раскрыли детали уязвимости удаленного выполнения кода, обнаруженной в Samsung Galaxy в прошлом году. Патч для нее вендор выпустил в составе декабрьского набора обновлений для мобильных устройств.
Уязвимость CVE-2024-49415 (8,1 балла CVSS) связана с возможностью записи за границами буфера, которая может возникнуть при декодировании аудиофайлов формата MonkeyAudio (APE). Подобные ошибки позволяют удаленно выполнить произвольный код в системе.
Виновником появления проблемы является библиотека libsaped.so, а точнее, функция saped_rec. Эксплойт, по словам автора находки, не требует взаимодействия с пользователем (0-click), но возможен лишь в том случае, когда на целевом устройстве включены RCS-чаты (дефолтная конфигурация Galaxy S23 и S24).
Атаку можно провести, к примеру, через Google Messages, отправив намеченной жертве специально созданное аудиосообщение. Согласно бюллетеню Samsung, уязвимости подвержены ее устройства на базе Android 12, 13 и 14.
Декабрьский пакет обновлений Samsung закрывает еще одну опасную дыру — CVE-2024-49413 в приложении SmartSwitch (некорректная верификация криптографической подписи, 7,1 балла CVSS). При наличии локального доступа данная уязвимость позволяет установить вредоносное приложение на телефон.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.