- Registrado
- 18 Ago 2010
- Mensajes
- 2.833
- Puntuación de reacción
- 118
- Puntos
- 63
- Edad
- 52
- Sitio web
- Odis11.ru
Adobe ha comenzado un trabajo apresurado para corregir una vulnerabilidad desagradable en una de sus tecnologías más famosas, Flash Player. Gracias a esta sutileza, los atacantes pueden activar de forma encubierta micrófonos y cámaras web en las computadoras de los usuarios finales utilizando el método llamado "clickjacking". Un estudiante de vulnerabilidad en la Universidad de Stanford, Feross Abuhadiji (Feross Aboukhadijeh), quien creó un ejemplo de piratería basada en un algoritmo descubierto en 2008 por un investigador anónimo, descubrió la vulnerabilidad.
Técnicamente, el "robo de clics" es un tipo de ataque que combina las capacidades completamente legales de las aplicaciones web, incluida la configuración de elementos de transparencia y posicionamiento utilizando estilos CSS, así como métodos de ingeniería social que engañan a los usuarios para que realicen acciones innecesarias. Por ejemplo, esto se usó para obligar a los usuarios de las redes sociales a "poner ventajas" en páginas falsas o colocar spam por su cuenta: los botones correspondientes simplemente se hicieron transparentes y se superpusieron sobre elementos completamente inofensivos.
El ataque de 2008 a las cámaras web se creó utilizando la utilidad Adobe Flash Player Settings Manager, que en realidad es una página web en el sitio web de Adobe. Se mostraba en un Iframe invisible, y como resultado del engaño, el propio usuario activó el acceso a su micrófono y cámara web. Luego, se usó un juego escrito en JavaScript para engañar, y algunos clics del mouse realmente funcionaron, mientras que otros fueron redirigidos a un marco invisible. Como resultado, Adobe introdujo un código especial en el cuadro de diálogo Administrador de configuración de Flash Player que evita que esta página se inserte en marcos invisibles.
A pesar de las medidas tomadas, Abuhadiji descubrió que todos los parámetros de acceso se almacenan en un archivo SWF normal (Shockwave Flash) y pueden cargarse directamente en el marco, sin el resto de la página web. Como resultado, es posible omitir el código de Adobe que protege contra la inserción en marcos. De hecho, se utiliza la misma vulnerabilidad que en 2008, solo el vector de ataque se elige ligeramente diferente. Abuhadiji mismo admitió que estaba sorprendido por la operación de su esquema. El autor afirma haber informado a Adobe de la vulnerabilidad encontrada, pero no recibió respuesta. Solo después del anuncio público Adobe llegó a Abuhadiji para informarles sobre el trabajo para rectificar la situación. Se supone que para evitar la vulnerabilidad, los usuarios no tendrán que actualizar sus copias de Flash Player.
Basado en materiales de BetaNews, PC World y CNET.
Técnicamente, el "robo de clics" es un tipo de ataque que combina las capacidades completamente legales de las aplicaciones web, incluida la configuración de elementos de transparencia y posicionamiento utilizando estilos CSS, así como métodos de ingeniería social que engañan a los usuarios para que realicen acciones innecesarias. Por ejemplo, esto se usó para obligar a los usuarios de las redes sociales a "poner ventajas" en páginas falsas o colocar spam por su cuenta: los botones correspondientes simplemente se hicieron transparentes y se superpusieron sobre elementos completamente inofensivos.
El ataque de 2008 a las cámaras web se creó utilizando la utilidad Adobe Flash Player Settings Manager, que en realidad es una página web en el sitio web de Adobe. Se mostraba en un Iframe invisible, y como resultado del engaño, el propio usuario activó el acceso a su micrófono y cámara web. Luego, se usó un juego escrito en JavaScript para engañar, y algunos clics del mouse realmente funcionaron, mientras que otros fueron redirigidos a un marco invisible. Como resultado, Adobe introdujo un código especial en el cuadro de diálogo Administrador de configuración de Flash Player que evita que esta página se inserte en marcos invisibles.
A pesar de las medidas tomadas, Abuhadiji descubrió que todos los parámetros de acceso se almacenan en un archivo SWF normal (Shockwave Flash) y pueden cargarse directamente en el marco, sin el resto de la página web. Como resultado, es posible omitir el código de Adobe que protege contra la inserción en marcos. De hecho, se utiliza la misma vulnerabilidad que en 2008, solo el vector de ataque se elige ligeramente diferente. Abuhadiji mismo admitió que estaba sorprendido por la operación de su esquema. El autor afirma haber informado a Adobe de la vulnerabilidad encontrada, pero no recibió respuesta. Solo después del anuncio público Adobe llegó a Abuhadiji para informarles sobre el trabajo para rectificar la situación. Se supone que para evitar la vulnerabilidad, los usuarios no tendrán que actualizar sus copias de Flash Player.
Basado en materiales de BetaNews, PC World y CNET.
Original message
Компания Adobe начала спешную работу над устранением неприятной уязвимости в одной из своих самых известных технологий Flash Player. Благодаря этой узявимости злоумышленники могли скрытно активировать микрофоны и веб-камеры на компьютерах конечных пользователей, используя метод так называемой «кражи кликов» (clickjacking). Обнаружил уязвимость студент Стэнфордского университета Феросс Абухадижи (Feross Aboukhadijeh), создавший пример взлома на базе алгоритма, раскрытого еще в 2008 анонимным исследователем.
Технически «похищение кликов» представляет собой такой тип атаки, в котором сочетаются вполне легальные возможности веб-приложений, включая установку прозрачности и положения элементов с помощью стилей CSS, и также методы социальной инженерии, которые обманом заставляют пользователей выполнить ненужные действия. Например, подобное применялось, чтобы заставить пользователей социальных сетей «ставить плюсики» на фальшивых страницах или размещать спам на своих – соответствующие кнопки просто делались прозрачными и накладывались поверх вполне безобидных элементов.
Атака 2008 года на веб-камеры была построена на использовании утилиты Adobe Flash Player Settings Manager, которая фактически представляет собой веб-страницу на сайте Adobe. Она выводилась в невидимом фрейме Iframe ,а пользователь в результате обмана сам включал доступ к своему микрофону и веб-камере. Тогда для обмана использовалась игра, написанная на JavaScript, причем некоторые щелчки мыши действительно работали в ней, тогда как другие перенаправлялись на невидимый фрейм. В итоге компания Adobe внедрила в диалог Flash Player Settings Manager специальный код, который не дает вставлять эту страницу в невидимые фреймы.
Несмотря на принятые меры, Абухадижи обнаружил, что все параметры доступа хранятся в обычном файле формата SWF (Shockwave Flash), и их можно загрузить во фрейм напрямую, без остальной веб-страницы. В результате появляется возможность обойти код Adobe, защищающий от вставки во фреймы. По сути, используется та же уязвимость, что и в 2008 году, только вектор атаки выбран несколько иной. Сам Абухадижи признал, что был удивлен срабатыванием своей схемы. Автор утверждает, что сообщил компании Adobe о найденной уязвимости, но не получил ответа. Только после публичной огласки компания Adobe вышла на Абухадижи, чтобы проинформировать о работе над исправлением ситуации. Предполагается, что для обхода уязвимости пользователям не придется обновлять свои копии Flash Player.
По материалам сайтов BetaNews, PC World и CNET.
Технически «похищение кликов» представляет собой такой тип атаки, в котором сочетаются вполне легальные возможности веб-приложений, включая установку прозрачности и положения элементов с помощью стилей CSS, и также методы социальной инженерии, которые обманом заставляют пользователей выполнить ненужные действия. Например, подобное применялось, чтобы заставить пользователей социальных сетей «ставить плюсики» на фальшивых страницах или размещать спам на своих – соответствующие кнопки просто делались прозрачными и накладывались поверх вполне безобидных элементов.
Атака 2008 года на веб-камеры была построена на использовании утилиты Adobe Flash Player Settings Manager, которая фактически представляет собой веб-страницу на сайте Adobe. Она выводилась в невидимом фрейме Iframe ,а пользователь в результате обмана сам включал доступ к своему микрофону и веб-камере. Тогда для обмана использовалась игра, написанная на JavaScript, причем некоторые щелчки мыши действительно работали в ней, тогда как другие перенаправлялись на невидимый фрейм. В итоге компания Adobe внедрила в диалог Flash Player Settings Manager специальный код, который не дает вставлять эту страницу в невидимые фреймы.
Несмотря на принятые меры, Абухадижи обнаружил, что все параметры доступа хранятся в обычном файле формата SWF (Shockwave Flash), и их можно загрузить во фрейм напрямую, без остальной веб-страницы. В результате появляется возможность обойти код Adobe, защищающий от вставки во фреймы. По сути, используется та же уязвимость, что и в 2008 году, только вектор атаки выбран несколько иной. Сам Абухадижи признал, что был удивлен срабатыванием своей схемы. Автор утверждает, что сообщил компании Adobe о найденной уязвимости, но не получил ответа. Только после публичной огласки компания Adobe вышла на Абухадижи, чтобы проинформировать о работе над исправлением ситуации. Предполагается, что для обхода уязвимости пользователям не придется обновлять свои копии Flash Player.
По материалам сайтов BetaNews, PC World и CNET.
