сентябрь    2025

Пн	Вт	Ср	Чт	Пт	Сб	Вс
1	2	3	4	5	6	7
8	9	10	11	12	13	14
15	16	17	18	19	20	21
22	23	24	25	26	27	28
29	30

показать все 

03.09.2025

Российский NGFW уровня Enterprise: UserGate запускает Data Center Firewall для корпоративных клиентов

Читать далее 

02.09.2025

Рексофт выводит на рынок собственную автоматизированную систему управления открытыми горными работами

Читать далее 

02.09.2025

Угроза на уровне ядра: две ошибки в чипах Qualcomm могут скомпрометировать ваши данные

Читать далее 

02.09.2025

Исследование Tech2B Conf: ритейл и финсектор наращивают ИТ-бюджеты, промышленность экономит

Читать далее 

28.08.2025

SpaceWeb усилил инфраструктуру связи и отказоустойчивость хостинг-систем

Читать далее 

показать все 

20.08.2025

Как опрос про ИИ-ботов спровоцировал цифровой раскол?

Читать далее 

12.08.2025

Светлана Ткаченко, УЦ РДТЕХ: «Выбор зарубежных СУБД объясним инертностью мышления»

Читать далее 

04.08.2025

Каждому покупателю – по ИИ-агенту

Читать далее 

29.07.2025

Точность до метра и сантиметра: как применяют технологии позиционирования

Читать далее 

27.07.2025

Что сегодня в тренде?

Читать далее 

27.07.2025

Почему рынок цифровых коммуникаций стал однообразным – и как клиенту не ошибиться с выбором поставщика

Читать далее 

18.04.2024

Как искусственный интеллект изменит экономику

Читать далее 

22.09.2023

Эпоха российской ориентации на Запад в сфере программного обеспечения завершилась

Читать далее 

22.09.2023

Сладкая жизнь

Читать далее 

22.09.2023

12 бизнес-концепций, которыми должны овладеть ИТ-руководители

Читать далее 

показать все 

Главная / Новости партнеров / «Лаборатория Касперского» нашла потенциальные уязвимости в терминалах московской сети велопроката

Терминалы для оплаты аренды велосипедов в системе московского городского велопроката могут иметь потенциальные уязвимости, подвергающие риску конфиденциальность персональных данных пользователей. К такому выводу пришли эксперты «Лаборатории Касперского», изучив программное обеспечение и приложения, установленные на этих терминалах.

Приложение для велосипедных паркоматов, работающих на базе операционной системы семейства Windows, позволяет пользователю зарегистрироваться и получить справочную информацию о местоположении паркомата и других велосипедных парковок. Отображение всего этого, а также баров, кафе и прочих объектов реализовано с помощью виджета компании Google, который разработчики приложения велопаркоматов используют в своем продукте. У пользователя нет возможности свернуть полноэкранное приложение и выйти за его пределы, однако именно в нем и кроется недостаток конфигурации, который позволяет скомпрометировать устройство, – в правом нижнем углу виджета содержатся ссылки «Сообщить об ошибке», «Конфиденциальность» и «Условия использования», нажатие на которые влечет за собой запуск браузера Internet Explorer.

Воспользовавшись возможностью из настроек браузера попасть в раздел со справочной информацией, пользователь может перейти в «Панель Управления» и раздел «Специальные возможности», в котором можно включить экранную клавиатуру. При помощи виртуальной клавиатуры существует возможность активировать системную утилиту «cmd.exe» – командную оболочку Windows, которая запускается с правами администратора – это серьезный просчет в конфигурации системы, открывающий возможность скачивания и совершенно беспрепятственного запуска любого приложения.

Варианты использования таких недостатков конфигурации зависят лишь от фантазии злоумышленника. К примеру, атакующий может извлечь пароль администратора, хранящийся в памяти в открытом виде. Кроме того, можно получить слепок памяти приложения велопарковки. Возможно, из него затем получится извлечь личную информацию его пользователей: ФИО, адрес электронной почты и телефон – подобная база верифицированных адресов и телефонов будет иметь особую ценность на черном рынке киберпреступников. Злоумышленник также может установить кейлоггер, перехватывающий все введенные данные и отправляющий их на удаленный сервер, или реализовать сценарий атаки, результатом которой станет получение еще большего количества персональных данных, добавив поля для ввода дополнительных данных. Наконец, учитывая особенность работы данных устройств в круглосуточном режиме, киберпреступник может использовать паркомат для майнинга криптовалюты или для других целей, требующих постоянного присутствия зараженной рабочей станции в Сети.

«Для того чтобы исключить вредоносную активность на публичных устройствах, разработчикам приложения велопарковки и администраторам терминалов следует запретить возможность открытия внешних ссылок в полноэкранном приложении и не допускать вызова каких-либо элементов интерфейса ОС Windows. Текущий сеанс операционной системы при этом должен быть запущен с ограниченными привилегиями пользователя, а учетные записи на каждом устройстве должны быть уникальными. Что касается пользователей терминалов, мы рекомендуем не вводить полные реквизиты своих платежных карт – к примеру, для осуществления платежа не требуются CVV2/CVC2 коды карточки. Требование их ввода должно настораживать», – делится рекомендациями Денис Макрушин, технологический эксперт «Лаборатории Касперского».

Производитель паркоматов уведомлен обо всех выявленных недостатках конфигурации. Повторно проверенные терминалы в настоящий момент не содержат описанные недостатки. Больше информации можно получить по ссылке: http://securelist.ru/blog/issledovaniya/24361/analiz-zashhishhennosti-ustrojstv-platnoj-veloparkovki.

В начало⇑

Комментарии отсутствуют

Комментарии могут отставлять только зарегистрированные пользователи