Ростелеком-Солар отметил уязвимости open source-браузера Brave

Ростелеком-Солар отметил уязвимости open source-браузера Brave

Ростелеком-Солар отметил уязвимости open source-браузера Brave

Эксперты компании «Ростелеком-Солар» провели исследование защищенности популярных пользовательских приложений с открытым исходным кодом для ПК. Анализ 10-ти open-source программ продемонстрировал, что ряд обнаруженных уязвимостей в случае успешной эксплуатации злоумышленниками открывают доступ ко всем данным пользователей, которые хранятся на компьютерах в незашифрованном виде. При этом абсолютное большинство людей не шифруют свои данные на ПК.

Рынок программного обеспечения с открытым исходным кодом находится на этапе бурного роста. Начиная с 2014 года, в комьюнити наблюдается ежегодный интенсивный приток участников: только в 2019 году к сообществу open source присоединилось более 1,3 млн новых авторов. С 2018 года мировые ИТ гиганты вроде Microsoft прекратили борьбу с открытым ПО и стали вносить свой вклад в развитие индустрии. По прогнозам мировых экспертов, к концу 2021 года объем использования продуктов с открытым исходным кодом в компаниях вырастет на 77% по сравнению с аналогичным периодом текущего года.

В связи с ростом популярности open source-приложений как в корпоративной, так и в пользовательской среде специалисты «Ростелеком-Солар» решили проверить уровень защищенности наиболее популярного свободного ПО для ПК в самых востребованных пользователями категориях с помощью инструмента Solar appScreener. Были отобраны приложения в категориях «браузеры», «офисные пакеты», «графические редакторы», «текстовые редакторы», «программы восстановления данных», «редакторы диаграмм», «программы расширенного поиска файлов и папок в Windows», «программы для очистки компьютера» и «эмуляторы видеоигр». Таким образом, в исследовании приняли участие приложения Brave browser, LibreOffice, Krita, Notepad++, TestDisk & PhotoRec, GIMP, Dia, Search Everything, BleachBit и RetroArch.

По результатам автоматизированного сканирования лидером рейтинга защищенности open source-приложений для ПК является программа для восстановления данных TestDisk & PhotoRec. Она не содержит критических уязвимостей в коде и при этом имеет минимальное количество уязвимостей среднего уровня среди всех исследованных приложений. Чуть большее число уязвимостей средней критичности содержит бесплатный аналог Adobe Photoshop – приложение GIMP. Уровень защищенности обеих программ Solar appScreener оценил в 4.2 балла.

Неожиданно слабые результаты – 1.3 балла из 5.0 – продемонстрировал популярный браузер с открытым исходным кодом Brave Browser, который по состоянию на июнь 2020 года имеет в активе 15 млн ежемесячных пользователей и до 5 млн ежедневных. В просканированном ядре браузера критические уязвимости в коде встречаются 15 раз, что превышает предельно допустимый показатель в 5 единиц, чтобы не опуститься ниже среднего по рынку общего уровня защищенности. Это обстоятельство не позволяет считать данное приложение безопасным для использования.

Впрочем, самые низкие показатели защищенности отмечены у популярного эмулятора видеоигр для ПК с открытым исходным кодом RetroArch (0.8 балла из 5.0). Программа имеет наибольшее количество вхождений критических уязвимостей.

«Для исследованного свободного ПО характерны такие серьезные бреши, как заданные в исходном коде пустые ключи шифрования, пустые пароли, указанные в явном виде конфиденциальные данные. Эти уязвимости несут серьезную угрозу данным пользователей на тех компьютерах, на которых это ПО установлено. В целом, результаты проверки наглядно демонстрируют, в каких приложениях активно используются заимствованные из сторонних библиотек части кода, а какие программы написаны разработчиками максимально собственными силами. В последнем случае количество уязвимостей и НДВ в коде заметно ниже, и, соответственно, выше защищенность пользовательских данных, к которым приложение имеет доступ», – подчеркнул директор центра решений безопасности ПО компании «Ростелеком-Солар» Даниил Чернов.

Сервисы для анализа были отобраны согласно позициям в обзоре «11 лучших программ с открытым исходным кодом в 2020 году», а также исходя из количества скачиваний мобильных версий данных приложений в Google Play и App Store. В свое исследование эксперты «Ростелеком-Солар» включили 10 приложений из 11-ти, представленных в данном обзоре, обойдя вниманием программу для создания цифровых Lego-моделей Stud.io ввиду специфичности ее применения узкой аудиторией.

Анализ безопасности кода приложений осуществлялся автоматически с помощью Solar appScreener – российского программного продукта для проверки защищенности приложений. Решение использует методы статического, динамического и интерактивного анализа.

 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники вынуждают своих жертв атаковать инфраструктуру

Злоумышленники, используя методы социальной инженерии, массово заставляют жертв атаковать объекты инфраструктуры. Только за минувшие выходные около 20 человек задержаны за поджоги отделений банков, почты и торговых центров.

Как обращает внимание телеграм-канал «Вестник киберполиции России», основной целевой аудиторией злоумышленников являются те, кто уже пострадал от деятельности мошенников.

Их с помощью психологических манипуляций заставляли бросать петарды, бутылки с зажигательной смесью в торговых центрах, банках, отделениях почты в Москве и Санкт-Петербурге, а также пытаться поджечь полицейские автомобили.

По данным, собранным «Известиями», факты поджогов зафиксированы в Москве, Подмосковье, Красноярске, Пскове, Санкт-Петербурге, ряде городов Ленинградской области.

«Профессиональная ложь, комбинация психологических приемов и мотивация получением или возвратом денег — все это используют злоумышленники для достижения своих целей. Попавшие на крючок люди не только продавали квартиры, поджигали банкоматы, но и инсценировали собственные похищения», — говорится в официальном сообщении Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России.

Корреспондентам «Известий» удалось связаться с дочерью одного из тех, кто под воздействием злоумышленников поджег два банкомата в Санкт-Петербурге. Супруга поджигателя стала жертвой мошенников, которую вынудили перевести все сбережения на «безопасный счет».

«Они (злоумышленники) три дня обрабатывали маму, что надо спалить банкомат, чтобы замести следы перевода денег. Мама на это сказала: «Я на такое и под расстрелом не пойду», — рассказала собеседница издания.

После этого мошенники начали убеждать мужа женщины, который в итоге и стал поджигателем. Он также несколько лет назад стал жертвой мошенников.

Руководитель практики уголовно-правовой защиты юридической компании «Институт УДО» Игорь Ивлев также в комментарии для «Известий» обратил внимание на то, что злоумышленники могут вынуждать людей совершать нужные им действия, представляясь сотрудниками правоохранительных органов. При этом поджог якобы является частью оперативно-разыскных мероприятий.

«В лучшем случае исполнителя ожидает обвинение в хулиганстве с использованием предметов в качестве оружия — наказание до семи лет, — отметила в комментарии для «Известий» практикующий юрист Зара Горбушина. — Однако, в зависимости от масштабов ущерба, количества жертв и других отягчающих обстоятельств, наказание может быть значительно строже, вплоть до обвинения в терроризме. Российское законодательство не освобождает от ответственности лиц, совершивших преступление под влиянием третьих лиц, даже при наличии значительного психологического давления».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru