Утечка ключей Twitter API может быть использована для создания армии ботов

Специалисты CloudSEK с помощью инструмента для тестирования безопасности мобильных приложений BeVigil обнаружили возможность получения API ключей Twitter-аккаунтов из 3207 приложений, 230 из которых позволяют получить все аутентификационные данные, необходимые для полного доступа к аккаунту.

Исследователи описали процесс создания армии ботов, перечислили различные сценарии проведения атак и информационных кампаний, а также предоставили методы, с помощью которых можно предотвратить утечку данных аутентификации.


Исследователи Group-IB обнаружили крупную фишинговую кампанию, нацеленную на пользователей из Европы

По словам специалистов, более 5000 обнаруженных вредоносных доменов все еще активны. Для увеличения охвата аудитории злоумышленники продвигают кампанию с помощью рекламы или скомпрометированных аккаунтов в социальных сетях. Под видом персонального менеджера мошенник связывается с жертвой и сообщает выгодные условия инвестирования. После внесения средств жертва получает доступ к панели управления, которая показывает поддельную прибыль. Мошенничество раскрывается при попытке вывода денег с платформы.


Nozomi Networks обнаружили уязвимость в IP-камерах Dahua

CVE-2022-30563 затрагивает реализацию механизма аутентификации WS-UsernameToken Open Network Video Interface Forum (ONVIF) и может быть использована злоумышленниками для компрометации сетевых камер посредством перехвата незашифрованного взаимодействия ONVIF и повторного использования учетных данных в новом запросе к камере, которые будут приняты устройством как действительные аутентифицированные запросы. Получив учетные данные, злоумышленник также может добавить учетную запись администратора и использовать ее для получения полного доступа к устройству.