Специалист казахстанского Центра анализа и расследования кибер-атак (ЦАРКА) обнаружил критическую уязвимость в Viber, но разработчики мессенджера исправлять ее не спешат. Об этом Sputnik Казахстан рассказал глава ЦАРКА Олжас Сатиев.
По словам специалиста, злоумышленники могут быстро получить доступ к данным компьютеров, на которых установлено приложение Viber, а далее к компьютерам и серверам окружающей локальной сети. Сатиев попытался разъяснить, с чем конкретно столкнулся его коллега.
- Кто и когда обнаружил эту уязвимость в Viber?
- Уязвимость обнаружил наш исследователь Игорь, работающий под ником @almart_oO. Работа была продемонстрирована на алматинском дефконе (Defcon — конференция хакеров — прим.) в конце октября 2016 года. Это было первое упоминание. На дефконе присутствовали организаторы одной из крупнейших международных хакерских конференций — ZeroNights, которые пригласили нас с докладом в Москву. К дальнейшему изучению подключились наши коллеги и друзья из России, ведущие эксперты области — Сергей Белов, Тимур Юнусов, Антон Лопаницын. В ноябре, в рамках международной конференции в Москве, мы рассказали об уязвимости уже во второй раз.
- Что теоретически может сделать злоумышленник, зная об этой уязвимости?
— Уязвимость присутствует в Windows-версии Viber, которая устанавливается на компьютере для звонков, видеозвонков и переписки. Человек из вашего контакт-листа может при помощи обычного сообщения получить доступ к вашему компьютеру. Дальше дело техники: определяется ваш IP-адрес, перенастраивается роутер, и вы находитесь под полным контролем нападающего. Если компьютер находится в сети крупной организации, то это еще больше расширяет возможности атакующего: можно получить доступ ко всем данным компьютеров локальной сети, расширять вектор атаки, зашифровать информацию и многое другое, на что хватит фантазии злоумышленника.
- Ваш специалист связывался с представителями Viber?
- Да, мы направили представителям Viber описание уязвимости. Разработчики очень пассивно отреагировали на сообщение, сообщив что "когда-нибудь исправят". Идет уже третий месяц, а данная уязвимость все еще актуальна.
- А как они мотивировали это: что ошибку исправят, но не оперативно?
— Они не считают это критической уязвимостью. Довольно частая проблема у разработчиков, когда они считают, что это "фича", а не "баг" (то есть, особенность, а не ошибка — прим.).
- Теоретически такие уязвимости можно найти в других мессенджерах?
— Подобная уязвимость была в iMessage для Mac, ее когда-то обнаружил один из западных исследователей. Она позволяла атаковать компьютер, на котором программа была установлена. Подобные уязвимости в свое время находились и в Facebook-мессенджере, других мессенджерах, но их довольно быстро устраняли.
- Что касается Viber для мобильных устройств, на них эта уязвимость есть?
— Там ее нет. Для мобильных версий могут быть некритические уязвимости.
- Viber для Windows, насколько нам известно, меньше распространен в Казахстане, чем на Западе?
— Да, за рубежом он используется как аналог Skype.
- С какой целью специалисты ищут такие уязвимости?
— Больше, наверное, случайно натыкаются. Отправляют ссылку своему товарищу и смотрят, как реагирует на это мессенджер. Бывает, что разработчики платят исследователям за обнаружение таких уязвимостей. В данном случае у Viber, видимо, нет такой системы поощрения. По нашей оценке, стоимость такой уязвимости на "черном рынке" около 20 тысяч долларов. Обязательное условие при такой продаже — сохранение обнаруженной уязвимости в секрете.
