Windows на платежном терминале — к убыткам
Специалисты по компьютерной безопасности исследовали платежные терминалы московского городского велопроката и обнаружили забавную уязвимость, позволяющую получить административный доступ к терминалу и всем пользовательским данным, включая номера кредитных карт.
Платежный терминал — так называемый паркомат — является по совместительству и информационным киоском, через который можно посмотреть карту пунктов велопроката на карте Google Maps.
Специалист, проводящий аудит безопасности, загрузил карту и увидел в самом низу ссылку, которая сразу привлекла его внимание — «Условия использования». При нажатии на эту ссылку был запущен браузер Internet Explorer. Одной из особенностей этого печально известного браузера является возможность перейти в панель управления прямо из настроек браузера. Далее специалист из панели управления перешел в раздел «Специальные возможности» и вызвал экранную клавиатуру. С помощью нее аудитор вызвал командный интерпретатор cmd.exe. К большому удивлению, интерпретатор запустился с правами администратора.
Наверное, не стоит объяснять, какие возможности для обогащения открывает для киберпреступников этот способ легко и быстро получить администраторские полномочия на платежном терминале.
Производитель паркоматов о проблеме уведомлен и в ближайшее время ожидается выпуск заплатки.
Комментарии
pomodor
17 ноября, 2014 - 23:02
Не пойму, что заставляет людей покупать кучу дорогих лицензий на дырявый Вантуз, когда есть менее дырявый и бесплатный Линукс? Нравится тратить деньги, чтобы потом экстренно затыкать дырки, пока каккеры потрошат номера кредиток?
Чингачгук
18 ноября, 2014 - 18:17
Тут проблема в том, что производитель этих аппаратов использует ПО, написанное для винды, а перекомпилить под линукс либо мозгов не хватает, либо желания. Зачем делать хорошую вещь, если хорошо продаётся плохая.
pomodor
18 ноября, 2014 - 19:52
Это правило работало бы, если бы существовал только один производитель паркоматов. Если их 2 и более, то возникает такое явление, как конкуренция. Кто предложит товар по более выгодной цене и более высокого качества, тот и будет зарабатывать. Linux позволяет и цену снизить, и безопасность повысить. Конкретно, описанный выше алгоритм взлома в Linux бы не прошел.
dk
20 ноября, 2014 - 08:52
В случае РФ — скорее кто больше предложит, а качество и прочая — постольку-поскольку.
Комментировать