Một tin tặc mũ trắng với biệt danh trực tuyến “Samm0uda” đã tìm thấy một lỗ hổng CSRF (hình thức tấn công sử dụng quyền chứng thực của người dùng của ứng dụng website) trên Facebook người dùng cuối với đường dẫn facebook.com/comet/dialog_DONOTUSE/. Bằng việc lừa người dùng truy cập vào một đường dẫn độc hại, lỗ hổng này cho phép vượt qua cơ chế chống lại tấn công CSRF và thực hiện hành vi độc hại với quyền truy cập của người dùng. Samm0uda đã công bố các đường dẫn được cho là sử dụng để đăng nội dung lên dòng thời gian, xóa ảnh đại diện, thậm chí xóa toàn bộ tài khoản của người dùng.
Theo nhà nghiên cứu, phương thức tấn công này cũng có thể được sử dụng để lấy quyền kiểm soát tài khoản bằng cách gửi các yêu cầu thay đổi email hoặc số điện thoại của tài khoản người dùng Facebook được nhắm đến. Nếu kẻ tấn công có thể thêm email hoặc số điện thoại của chúng vào tài khoản nạn nhân, thì có thể sử dụng tính năng đặt lại mật khẩu và không cho người dùng hợp pháp truy cập. Việc chiếm đoạt tài khoản qua lỗ hổng bảo mật này là không trực tiếp vì phải truy cập hai đường dẫn riêng biệt, một để thêm địa chỉ email hoặc số điện thoại mới và một để xác nhận hành động.
Tuy nhiên, Samm0uda vẫn tìm ra cách để thực hiện việc khai thác chỉ qua một bước, bằng phương pháp chiếm đoạt quyền truy cập của người dùng cho một ứng dụng độc hại và lấy mã truy cập (access token). Đáng lưu ý, bằng phương thức này, việc tấn công được thực hiện trong thời gian rất ngắn.
Samm0uda đã báo cáo phát hiện của mình cho Facebook vào ngày 26/01/2019 và bản vá đã được phát hành vào ngày 31/01/2019. Facebook đã quyết định trao khoản tiền thưởng 25 nghìn USD.
Trước đó vào tháng 9/2018, Facebook đã công bố về việc tăng mức tiền thưởng cho những nhà nghiên cứu phát hiện lỗ hổng của trang mạng xã hội này (bao gồm các lỗ hổng liên quan đến access token). Vào tháng 12/2018, Facebook báo cáo rằng, họ đã thanh toán 1,1 triệu USD tiền thưởng trong năm 2018 và tổng cộng 7,5 triệu USD kể từ khi chương trình tìm lỗ hổng trao tiền thưởng này bắt đầu vào năm 2011.
Toàn Thắng
Theo SecurityWeek
20:00 | 04/02/2019
23:00 | 30/04/2020
00:00 | 21/12/2018
08:00 | 25/12/2018
16:00 | 26/03/2024
Theo nhận định của các chuyên gia, Công ty chứng khoán VNDIRECT có thể đã bị tin tặc tấn công bằng hình thức mã độc tống tiền. Cho đến chiều 26/3, hệ thống của VNDIRECT và một số hệ thống liên quan vẫn trong trạng thái ngừng trệ hoạt động.
14:00 | 23/02/2024
Trong thời đại kỹ thuật số phát triển như hiện nay, tấn công phishing đã trở thành một mối đe dọa rất khó phòng tránh đối với người dùng mạng. Theo báo cáo của Tổ chức toàn cầu về chống lừa đảo trên mạng (Anti-Phishing Working Group), trong quý IV/2022, đã có hơn 304.000 trang web phishing được phát hiện, lừa đảo hơn 300 triệu người dùng trên toàn cầu. Đáng chú ý, số lượng trang web phishing đã tăng lên 6,9% so với quý trước, đạt mức cao nhất trong vòng 5 năm. Các cuộc tấn công phishing nhắm vào các tổ chức tài chính, ngân hàng và thanh toán trực tuyến chiếm 42,4% tổng số các cuộc tấn công. Số lượng các tên miền giả mạo đã tăng lên 11,5% so với quý III/2022, đạt mức cao nhất trong vòng 3 năm. Trong bối cảnh như vậy, việc nâng cao nhận thức và có các biện pháp đối phó với tấn công phishing là rất quan trọng.
14:00 | 22/02/2024
Các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một dòng phần mềm độc hại mới được phân phối một cách bí mật thông qua các ứng dụng, phần mềm bẻ khóa (crack), nhắm mục tiêu vào ví tiền điện tử của người dùng macOS. Theo các nhà nghiên cứu, mối đe dọa mới này có những tính năng nổi trội hơn so với việc cài đặt trái phép Trojan trên các máy chủ proxy đã được phát hiện trước đó.
07:00 | 15/01/2024
Công ty bán dẫn toàn cầu Qualcomm của Mỹ tiết lộ một lỗ hổng nghiêm trọng mới cho phép các tác nhân đe dọa thực hiện tấn công từ xa thông qua các cuộc gọi thoại qua mạng LTE.
Các chuyên gia bảo mật cảnh báo rằng thế giới đang phải đối mặt với sự phát triển của những công nghệ mới, mối đe dọa đang ngày càng gia tăng cả về phạm vi, lẫn cường độ của các cuộc tấn công.
08:00 | 17/04/2024