АСТАНА, 20 янв — Sputnik. Специалист казахстанского Центра анализа и расследования кибер-атак (ЦАРКА) обнаружил критическую уязвимость в Viber, но разработчики мессенджера исправлять ее не спешат. Об этом Sputnik Казахстан рассказал глава ЦАРКА Олжас Сатиев.
По словам специалиста, злоумышленники могут быстро получить доступ к данным компьютеров, на которых установлено приложение Viber, а далее к компьютерам и серверам окружающей локальной сети. Сатиев попытался разъяснить, с чем конкретно столкнулся его коллега.
– Кто и когда обнаружил эту уязвимость в Viber?
– Что теоретически может сделать злоумышленник, зная об этой уязвимости?
– Уязвимость присутствует в Windows-версии Viber, которая устанавливается на компьютере для звонков, видеозвонков и переписки. Человек из вашего контакт-листа может при помощи обычного сообщения получить доступ к вашему компьютеру. Дальше дело техники: определяется ваш IP-адрес, перенастраивается роутер, и вы находитесь под полным контролем нападающего. Если компьютер находится в сети крупной организации, то это еще больше расширяет возможности атакующего: можно получить доступ ко всем данным компьютеров локальной сети, расширять вектор атаки, зашифровать информацию и многое другое, на что хватит фантазии злоумышленника.
– Ваш специалист связывался с представителями Viber?
– А как они мотивировали это: что ошибку исправят, но неоперативно?
– Они не считают это критической уязвимостью. Довольно частая проблема у разработчиков, когда они считают, что это "фича", а не "баг" (то есть особенность, а не ошибка – прим.).
– Теоретически такие уязвимости можно найти в других мессенджерах?
– Подобная уязвимость была в iMessage для Mac, ее когда-то обнаружил один из западных исследователей. Она позволяла атаковать компьютер, на котором программа была установлена. Подобные уязвимости в свое время находились и в Facebook-мессенджере, других мессенджерах, но их довольно быстро устраняли.
– Что касается Viber для мобильных устройств, на них эта уязвимость есть?
– Там ее нет. Для мобильных версий могут быть некритические уязвимости.
– Да, за рубежом он используется как аналог Skype.
– С какой целью специалисты ищут такие уязвимости?
– Больше, наверное, случайно натыкаются. Отправляют ссылку своему товарищу и смотрят, как реагирует на это мессенджер. Бывает, что разработчики платят исследователям за обнаружение таких уязвимостей. В данном случае у Viber, видимо, нет такой системы поощрения. По нашей оценке, стоимость такой уязвимости на "черном рынке" около 20 тысяч долларов. Обязательное условие при такой продаже – сохранение обнаруженной уязвимости в секрете.
