Откриха още една уязвимост на Abv.bg


Нова, по-сериозна уязвимост на Abv.bg откриха експертите от първата българска специализирана фирма за киберсигурност TAD GROUP. Преди по-малко от месец екипът разкри, че Abv.bg е косвено уязвим към Cross-site scripting (XSS) атаки, които позволяват на хакерите да инжектират скриптове в уеб страниците на Abv.bg, които потребителите му използват.

Тогава проблемът беше частично поправен, но сега разследването на киберекспертите доведе до ново разкритие, че Abv.bg е уязвим към Man-In-The-Middle (MITM) атаки. Този тип атаки позволява на хакерите да прихванат трафика, насочен към Abv.bg, включително потребителски имена и пароли. Атаката срещу Abv.bg е възможна, ако хакерът е свързан към същата мрежа, като регистрираните потребители. Тогава той може да прихване трафика на жертвата и прескачайки слоя за сигурност на HTTPS връзката да открадне потребителските данни във видим текст.

Проблемът ясно се вижда, когато потребител се опита да посети сайта и да влезе в пощата си. За експеримента са използвани два компютъра, свързани към една и съща мрежа. Компютър Б е използван за прихващане на трафика и за прескачане на слоя за сигурност на HTTPS връзката, докато примерният потребител се опитва да се логне в акаунта си в ABV от Компютър А. Потребителят на Компютър А е пренасочен към HTTP версия на сайта, без да е известен, че напуска защитената връзка. Когато потребителят въведе личните си данни за вход, те ще бъдат приети и потребителят ще бъде разпознат.

Тази атака е възможна, поради липсата на строг HTTPS контрол в Abv.bg.

„Изводът от разкриването на новата уязвимост на Abv.bg е, че потребителите, които са регистрирани в Abv.bg, могат да станат жертви на хакерите чрез MITM атака. Този вид уязвимост се счита за сериозен проблем на сигурността“, коментира откритието техническият директор на TAD GROUP Божидар Димитров.

От Компютър Б хакерът може да прихване трафика в HTTP връзката. Това му позволява успешно да открадне личните данни за вход на потребителя във видим некриптиран текст

Според етичния кодекс на добрите практики в бранша, на 20 февруари 2017 г. TAD GROUP уведоми Нет Инфо АД, собственик на Abv.bg, за откритата уязвимост, заедно с подробно описание как компанията бързо да разреши проблемите с киберсигурността си. Разкритието на двете уязвимости на Abv.bg от първата българска специализирана фирма за киберсигурност TAD GROUP е част от започнатата кампания за подпомагане на бизнеса да подсигури базите си данни и личната информация на потребителите си, преди те да са се превърнали в хакерска мишена. В резултат на разкритието на TAD GROUP към днешна дата втората открита уязвимост на Abv.bg е поправена.

Откриха още една уязвимост на Abv.bg
5 (100%) 1 глас(а)