Windows-версия WhatsApp позволяет запускать Python и PHP без предупреждения

Windows-версия WhatsApp позволяет запускать Python и PHP без предупреждения

Проблема в безопасности последней версии WhatsApp (принадлежит компании Meta, признанной экстремистской и запрещенной в России) для Windows позволяет отправлять Python- и PHP-вложения, которые будут выполняться на устройстве пользователя без каких-либо предупреждений.

Для успешной эксплуатации этого бага в системе жертвы должен быть установлен Python. Это условие может сузить список потенциальных жертв до разработчиков софта.

Похожая проблема в свое время обнаружилась в другом мессенджере — Telegram. В апреле мы писали, что разработчики «телеги» устранили автоматический запуск Python-скриптов.

Вообще, WhatsApp должен блокировать ряд типов файлов, которые могут представлять опасность для пользователей. Тем не менее разработчики мессенджера заявили в беседе с BleepingComputer, что не планируют включать Python в список блокировки.

Интересно, что в этот же список не попадают файлы с расширением .php. На проблему в безопасности указал исследователь Саумьяджит Дас. Специалист экспериментировал с типами файлов, которые можно прикрепит в чатах WhatsApp.

Если попытаться отправить исполняемый файл в формате .EXE, мессенджер выведет получателю предупреждение, в котором будет две опции: «Открыть» и «Сохранить как».

 

Однако при попытке открыть файл Windows-версия WhatsApp отображает ошибку и предлагает сохранить полученное вложение. Такое поведение можно наблюдать в случае с файлами .EXE, .COM, .SCR, .BAT и Perl. Кроме того, Дас также обнаружил, что мессенджер блокирует .DLL, .HTA и VBS.

 

Однако ситуация совершенно иная с расширениями .PYZ (приложение Python ZIP), .PYZW (софт PyInstaller) и .EVTX (файл события журнала Windows). Такая же история с .PHP.

 

Сначала разработчики WhatsApp в ответ на отчет Даса сообщили, что проблема исправлена, однако тесты BleepingComputer показали, что это не так. По крайней мере, баг присутствует в версии v2.2428.10.0 для Windows.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Сроки замены зарубежных СЗИ сдвинуты не будут

На конференции BIS Summit прозвучали заявления о том, что сроки, установленные указом президента на замену зарубежных средств защиты информации (СЗИ), сдвигаться не будут.

«С инициативой сдвинуть сроки выполнения Указов точно выходить не будем. Будем помогать тем, кто не готов к выполнению Указов», — отметил в своем выступлении на пленарной сессии BIS Summit заместитель директора ФСТЭК России Виталий Лютиков.

Вместе с тем заместитель руководителя ФСТЭК признал проблемы с целыми классами решений:

«Плохая ситуация с отдельными классами — во-первых, в аспектах наличия таких сертифицированных средств, а второе — качество этих средств и их эффективность».

Он при этом анонсировал, что до конца года получат сертификаты ФСТЭК России NGFW от двух вендоров. Уже сегодня ГК «Солар» сообщила о получении сертификата на Solar NGFW.

Также Виталий Лютиков раскритиковал высокие цены на ПО. Директор АНО «Центр компетенций по импортозамещению в сфере информационно-коммуникационных технологий» Илья Массух заявил о том, что цены находятся в разумных пределах, хотя и признал, что они растут более высокими темпами, чем инфляция. Кроме того, он обратил внимание на то, что при пересчете в доллары или евро цены на ПО в России будут заметно ниже, чем на зарубежных рынках.

По мнению депутата Госдумы Андрея Свинцова, росту цен способствует распыление сил игроков на схожие проекты:

«Когда в рамках рабочих групп выясняется, что десятки компаний разрабатывают одно и тоже — количество потребителей и денег конечно и когда на рынок выходит 10 одинаковых продуктов, это приводит к задиранию цен, чтобы отбить затраты. А эти затраты начинают расти сильно выше инфляции. Когда 10 команд пилят одно и то же, владелец начинает докупать себе персонал, рынок начинает разгоняться».

Свинцов призвал вмешаться в данный процесс и перераспределять разработчиков на другие продукты, поскольку, используя исключительно рыночные механизмы, ситуацию исправить не удастся.

«На своем уровне с Минцифры и разработчиками несколько подходов сделали. Выбрали 4 ОС, назвали их целевыми. К сожалению, регуляторику подогнать, что они “главные“ для импортозамещения, до конца не удалось. Такая же идея была с базами данных: пройти по всем классам и обозначить общесистемные решения, на которые весь рынок должен ориентироваться. Тут нужна позиция правительства с точки зрения регулирования», — отметил Илья Массух.

Директор АНО «Центр компетенций по импортозамещению в сфере информационно-коммуникационных технологий» привел пример Китая, где за несколько лет количество разработчиков некоторых видов ПО снизилось с сотен до 4.

«Хорошо, что мы пришли к консенсусу, что количество решений должно быть разумным, в том числе это приведет к снижению цен», — подвела итог дискуссии президент ГК InfoWatch Наталья Касперская.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru