Хакеры могут незаметно получать доступ ко всем данным на macOS через Safari

19 Июля 2017 21:00

304

На профильном русскоязычном ресурсе xakep.ru специалист по информационной безопасности Bo0oM подробно описал возможность получения доступа к данным пользователя через браузер Safari. Под угрозой атаки, от которой можно защититься только полностью отказавшись от браузера Apple, пользователи macOS. Для реализации атаки злоумышленникам нужно лишь доставить на компьютер жертвы HTML-документ.

Основная уязвимость, позволяющая совершить атаку, заключается в особенности выполнения JavaScript для HTML-документов в Safari. Конкретно, речь идет объекте XMLHttpRequest (XHR), который дает возможность из JavaScript делать HTTP-запросы к серверу без перезагрузки страницы. Несмотря на XML в названии, объект позволяет работать с любыми данными: читать содержимое файла и отправлять на указанный сервер.

Safari, как и другие браузеры, по умолчанию не позволяет выполнять XHR-запросы к файлам на жестком диске. Однако, у браузера Apple есть отличительная особенность: если HTML-документ уже сам сохранен на компьютере, такой стандартный запрос можно выполнить к любому локальному файлу. Так хакеры смогут получить содержимое файлов, хранящих SSH-ключи; историю команд, введенных в терминале; куки; информацию о аккаунтах в системе; историю сообщений в мессенджерах и, в принципе, любую информацию.

В качестве способа доставки вредоносного HTML-файла исследователь предложил использовать клиент Telegram для macOS, который не маркирует происхождение переданных через него файлов (флаг Where from). Но в материале отмечается, что таким могут грешить и многие другие приложения. В конце концов, хакеры могут просто подбросить жертве флешку с вредоносным файлом.

Фактически, защититься от этого можно только полностью отказавшись от использования Safari. Однако, файлы с расширениями XHTM и webarchive открываются только в браузере Apple и позволяют выполнять JavaScript.

Напомним, ранее стало известно, что аудиодрайвер в ноутбках HP, начиная с моделей 2015 года, содержал кейлогер. Он записывал каждое нажатие клавиши пользователем в обычный текстовый файл. Компания устранила уязвимость в течение нескольких дней.

Заметили ошибку? Выделите ее и нажмите Ctrl+Enter, чтобы сообщить нам.

Также подобрали для вас

Как живой: нейросеть создала видео выступления Обамы и его не отличить от оригинала
«Укрпошта» стала членом платежной системы Mastercard. Компания сама будет принимать оплату картами
Украинская биткоин-биржа Kuna выходит на SCO (это как ICO, только вторичное размещение токенов)
Amazon запустила «Instagram для шоппинга» — сервис Spark
Google Glass живы: очки вернули в продажу, они популярны на предприятиях
Bitfury запустил блокчейн-платформу с открытым кодом для создания безопасных сервисов
Киберполиция посоветовала не верить разработчикам M.E.Doc
Эвелин Бучацкий и Семен Дукач запустили венчурный фонд для иммигрантов

загрузить еще

51 просмотров