诈骗者攻击：Mozilla有一个关键漏洞，Android应用程序窃取数据
诈骗者攻击：Mozilla有一个关键漏洞，Android应用程序窃取数据
Coinbase Security和Google安全研究员Samuel Gross在Mozilla Firefox浏览器中发现了一个可以操纵Javascript对象的漏洞。它已被用于攻击加密的用户。这是在Medium上报告的。
零日漏洞获得了CVE-2019-11707标识符，而在Firefox中，该漏洞被分配了一个关键或最高威胁级别。
“严重漏洞 – 它可用于启动攻击者的代码并安装不需要用户交互的软件，但正常查看除外。”
事实上，攻击者可能会强迫用户访问恶意网站，从而能够在受害者的设备上执行任意代码。使用该漏洞的诈骗者可以安装程序，查看，更改或删除数据，以及创建新帐户。
建议用户尽快升级到新版本的Firefox 67.0.3和Firefox ESR 60.7.1，其中修复了漏洞。
上下文：https://t.co/EQX4Ev42tx
– SamuelGroß（@ 5aelo），2019年6月19日
此外，还发现了Android操作系统的恶意应用程序。他们可以使用通知系统窃取一次性双因素身份验证密码。
2FA和OTP代码。它拦截了短信通知。在Play商店中发现了具有此类功能的假加密货币交易所.https://t.co/t5Vtm3DrJW
– Lukas Stefanko（@LukasStefanko），2019年6月17日
ESET研究员Lukash Stefanko已经确定了许多应用程序（BTCTurk Pro Beta和BtcTurk Pro Beta），冒充土耳其加密货币交易所BtcTurk。他们可以窃取帐户数据并在受双因素身份验证保护的服务中使用它。
请注意，在今年年初，Google通过禁止他们访问短信和呼叫日志而没有严肃的理由来对应用程序施加限制。但是，攻击者能够规避这些限制：应用程序请求检查和管理通知的权限。
收到后，用户被要求以伪造形式从各种加密货币服务中输入凭证。收集的信息被传输到攻击者服务器，他们可以访问其他应用程序的通知。值得注意的是，欺诈者还可以关闭声音，通知收到的通知，以便受害者甚至不知道未经授权的干预。
因此，研究人员发现了区分一种目标应用程序的过滤器，其名称包含关键字gm，yandex，mail，k9，outlook，sms和messaging。
回想一下，最近，ESET的分析师在谷歌Play商店发现了一个假的Trezor移动钱包应用程序，伪装成一个流行的钱包并窃取用户的加密货币。
订阅0x资讯 Facebook新闻