Lỗ hổng này nằm trong nền tảng chia sẻ video ngắn phổ biến của TikTok, tạo điều kiện cho kẻ tấn công dễ dàng biên dịch số điện thoại của người dùng, các ID người dùng duy nhất hoặc dữ liệu khác để tấn công phishing.
TikTok hiện có trên 800 triệu người dùng đang hoạt động trên toàn cầu. Lỗ hổng này nằm trong tính năng “Tìm bạn bè” (Find friends) trên mobile, thuận tiện cho người dùng đồng bộ danh bạ của họ với các dịch vụ như danh bạ, Facebook… để tìm danh sách những người tiềm năng có thể theo dõi.
Danh bạ người dùng được tải lên TikTok qua một truy vấn HTTP dưới dạng một danh sách bao gồm tên liên hệ đã được băm (hashed) và số điện thoại tương ứng. Tiếp theo, ứng dụng sẽ gửi một truy vấn HTTP thứ hai để truy xuất các hồ sơ TikTok được kết nối với những số điện thoại được gửi trong truy vấn đầu tiên. Response trả về bao gồm tên hồ sơ, số điện thoại, ảnh và thông tin liên quan.
Để khai thác, trước tiên cần bypass cơ chế HTTP message signing của TikTok. Các nhà nghiên cứu đã thực hiện điều này bằng cách dùng framework phân tích động như Frida, sử dụng cơ chế hook sửa đổi dữ liệu của các đối số (trong trường hợp này là liên hệ mà kẻ tấn công muốn đồng bộ hóa) và re-sign request đã sửa đổi để gửi đến máy chủ ứng dụng TikTok.
Từ đó, kẻ tấn công có thể tự động hóa quá trình tải lên và đồng bộ hóa danh bạ trên quy mô lớn. Điều này có thể cho phép họ xây dựng cơ sở dữ liệu về người dùng và số điện thoại được kết nối của họ và sử dụng cho các cuộc tấn về sau.
Đây không phải lần đầu tiên Tiktok bị phát hiện tồn tại các điểm yếu bảo mật trong nền tảng của mình. May mắn, lỗ hổng này đã được xử lý trước khi công bố.
Vào tháng 1/2020, các nhà nghiên cứu cũng đã đã phát hiện ra nhiều lỗ hổng trong ứng dụng TikTok có thể đã bị khai thác để chiếm tài khoản người dùng và thao túng nội dung của họ, bao gồm cả việc xóa video, tải lên các video trái phép, công khai các video riêng tư được ẩn và để lộ thông tin cá nhân người dùng đã lưu trên tài khoản.
Sau đó vào tháng 4/2020, các nhà nghiên cứu bảo mật cũng đã tìm ra các lỗ hổng trong TikTok khiến những kẻ tấn công có thể hiển thị các video giả mạo, bao gồm cả những video từ các tài khoản đã được xác minh, bằng cách chuyển hướng ứng dụng đến một máy chủ giả mạo lưu trữ bộ sưu tập video giả mạo.
M.H
16:00 | 05/10/2020
13:00 | 17/02/2021
13:00 | 26/02/2021
18:00 | 27/01/2022
08:00 | 11/08/2021
14:00 | 18/09/2020
13:00 | 21/01/2020
09:00 | 18/06/2021
10:00 | 03/03/2022
09:00 | 30/06/2022
21:00 | 26/01/2025
Trong vài năm qua, nhóm tin tặc Lazarus đã phân phối phần mềm độc hại bằng cách khai thác các cơ hội việc làm giả mạo nhắm vào nhân viên trong nhiều ngành công nghiệp khác nhau, bao gồm quốc phòng, hàng không vũ trụ, tiền điện tử và các lĩnh vực toàn cầu khác. Chiến dịch tấn công này được gọi là DeathNote và cũng được gọi là “Operation DreamJob”. Bài viết sẽ cung cấp tổng quan về những thay đổi đáng kể trong chuỗi lây nhiễm của Lazarus và khám phá cách chúng kết hợp việc sử dụng các mẫu phần mềm độc hại mới và cũ để điều chỉnh các cuộc tấn công.
13:00 | 03/01/2025
Ít nhất 5 tiện ích mở rộng của Chrome đã bị xâm phạm trong một cuộc tấn công mạng tinh vi, trong đó kẻ tấn công đã chèn mã đánh cắp thông tin nhạy cảm của người dùng.
09:00 | 08/11/2024
Các chuyên gia phát hiện ra 02 lỗ hổng Zero-day trong camera PTZOptics định danh CVE-2024-8956 và CVE-2024-8957 sau khi Sift - công cụ chuyên phát hiện rủi ro an ninh mạng sử dụng AI tìm ra hoạt động bất thường chưa từng được ghi nhận trước đó trên mạng honeypot của công ty này.
10:00 | 30/10/2024
Vụ việc hàng nghìn máy nhắn tin và các thiết bị liên lạc khác phát nổ ở Liban hồi tháng 9 đã gióng lên hồi chuông cảnh báo về phương thức tấn công chuỗi cung ứng mới vô cùng nguy hiểm, đánh dấu sự leo thang mới trong việc sử dụng chuỗi cung ứng chống lại các đối thủ. Điều này đã đặt ra yêu cầu cấp bách cho các nhà lãnh đạo toàn cầu về việc giảm phụ thuộc vào công nghệ từ các đối thủ.
Năm 2025 được dự báo sẽ chứng kiến sự gia tăng các cuộc tấn công mạng, với sự xuất hiện và phát triển mạnh mẽ của những phần mềm độc hại nhắm vào cả cá nhân lẫn tổ chức trên toàn cầu. Bài viết tập trung nghiên cứu và phân tích 5 mối đe dọa phần mềm độc hại hàng đầu được dự báo sẽ gây ảnh hưởng lớn nhất trong năm nay. Từ những dòng mã độc tống tiền tinh vi đến trojan đánh cắp thông tin và công cụ truy cập từ xa. Những mối đe dọa này không chỉ đặt ra thách thức lớn cho các chuyên gia an ninh mạng mà còn yêu cầu sự chuẩn bị kỹ lưỡng từ mọi tổ chức và cá nhân.
10:00 | 06/02/2025