Để chứng minh các "cạm bẫy" và xác định các lỗ hổng trên quy mô lớn, công ty an ninh mạng và trí tuệ máy tính CloudSEK gần đây đã cung cấp nền tảng BeVigil có khả năng tìm kiếm và kiểm tra xếp hạng bảo mật của ứng dụng, cũng như các vấn đề bảo mật khác trước khi cài đặt ứng dụng.
Một báo cáo gần đây đã nêu chi tiết cách công cụ tìm kiếm BeVigil xác định trên 40 ứng dụng với hơn 100 triệu lượt tải xuống - có các khóa Amazon Web Services (AWS) riêng được mã hóa cứng nhúng bên trong, khiến mạng nội bộ và dữ liệu người dùng của họ có nguy cơ bị tấn công mạng.
Rò rỉ khóa AWS đã được phát hiện trong một số ứng dụng chính như Adobe Photoshop Fix, Adobe Comp, Hootsuite, Weather Channel (Kênh Thời tiết) của IBM và các dịch vụ mua sắm trực tuyến Club Factory và Wholee. Các phát hiện là kết quả của việc phân tích hơn 10.000 ứng dụng được gửi đến BeVigil của CloudSEK, một công cụ tìm kiếm bảo mật ứng dụng dành cho thiết bị di động.
Các nhà nghiên cứu CloudSEK cho biết: “Các khóa AWS được mã hóa cứng trong mã nguồn ứng dụng dành cho thiết bị di động có thể là một vấn đề lớn, đặc biệt nếu vai trò [Identity and Access Management] có phạm vi và quyền rộng rãi”, các nhà nghiên cứu CloudSEK cho biết. "Khả năng lạm dụng là vô tận vì các cuộc tấn công có thể được xâu chuỗi và kẻ tấn công có thể truy cập sâu hơn vào toàn bộ cơ sở hạ tầng, thậm chí cả cơ sở mã và cấu hình".
CloudSEK cho biết họ đã tiết lộ một cách có trách nhiệm những lo ngại về bảo mật này cho AWS và các công ty bị ảnh hưởng một cách độc lập.
Trong một ứng dụng được phân tích bởi công ty an ninh mạng có trụ sở tại Bengaluru, khóa AWS bị lộ có quyền truy cập vào nhiều dịch vụ AWS, bao gồm thông tin đăng nhập cho dịch vụ lưu trữ S3, lần lượt mở ra quyền truy cập vào 88 nhóm chứa 10.073.444 tệp và dữ liệu lên tới 5,5 terabyte. Trong số đó bao gồm mã nguồn, sao lưu ứng dụng, báo cáo người dùng, cấu hình và tệp thông tin xác thực có thể được sử dụng để truy cập sâu hơn vào cơ sở hạ tầng của ứng dụng, bao gồm cả cơ sở dữ liệu người dùng.
Các phiên bản AWS được cấu hình sai có thể truy cập từ internet là nguyên nhân của nhiều vụ vi phạm dữ liệu gần đây. Vào tháng 10/2019, công ty an ninh mạng Imperva đã tiết lộ rằng, thông tin từ một nhóm nhỏ người dùng không xác định của sản phẩm Cloud Firewall của họ có thể truy cập trực tuyến sau quá trình di chuyển cơ sở dữ liệu khách hàng của họ được thực hiện vào năm 2017.
Trước đó, Upstox, nền tảng môi giới chiết khấu và giao dịch trực tuyến có trụ sở tại Ấn Độ đã gặp phải sự cố bảo mật sau khi nhóm tin tặc khét tiếng ShinyHunters truy cập vào AWS S3 được định cấu hình không phù hợp của họ.
Shahrukh Ahmad, CTO Bevigil cho biết: “Các khóa API được mã hóa cứng giống như khóa cửa ngôi nhà, nhưng để chìa khóa trong một phong bì có nhãn "Không mở". Các khóa này có thể dễ dàng bị phát hiện bởi tin tặc hoặc đối thủ cạnh tranh, những người có thể sử dụng chúng để xâm phạm dữ liệu và mạng".
BeVigil là một công cụ tìm kiếm bảo mật di động cho phép các nhà nghiên cứu tìm kiếm siêu dữ liệu ứng dụng, xem lại mã của họ, xem các báo cáo bảo mật và điểm đánh giá rủi ro và thậm chí quét các tệp APK mới.
Ứng dụng dành cho thiết bị di động đã trở thành mục tiêu của nhiều cuộc tấn công chuỗi cung ứng gần đây. Những kẻ tấn công đưa mã độc hại vào SDK mà các nhà phát triển ứng dụng sử dụng. Các nhóm bảo mật có thể dựa vào BeVigil để xác định bất kỳ ứng dụng độc hại nào sử dụng SDK độc hại.
Các nhà nghiên cứu bảo mật có thể thực hiện điều tra chuyên sâu về các ứng dụng khác nhau trên web bằng cách sử dụng tìm kiếm siêu dữ liệu. Các báo cáo dò quét do BeVigil tạo ra có sẵn cho toàn bộ cộng đồng CloudSEK. Tóm lại, nó tương đối giống VirusTotal cho người tiêu dùng và các nhà nghiên cứu bảo mật.
Các đoạn mã hoặc từ khóa dễ bị tấn công có thể tìm kiếm được trong hàng triệu ứng dụng để tìm hiểu ứng dụng nào chứa chúng. Với điều này, các nhà nghiên cứu có thể dễ dàng phân tích dữ liệu chất lượng, tương quan các mối đe dọa và đối phó với các kết quả dương tính giả.
Ngoài việc tìm kiếm một ứng dụng cụ thể bằng cách chỉ cần nhập tên, người ta cũng có thể tìm thấy toàn bộ danh sách các ứng dụng từ một tổ chức; trên hoặc dưới một điểm bảo mật nhất định; phát hành trong một khoảng thời gian nhất định (chọn ngày "từ" và "đến"); từ 48 danh mục khác nhau như tài chính, giáo dục, công cụ, sức khỏe và thể dục...; từ một nhà phát triển cụ thể bằng cách tìm kiếm bằng địa chỉ email của nhà phát triển; phát triển ở một quốc gia cụ thể (ví dụ: xác định các ứng dụng ngân hàng từ Đức); được phát triển ở một vị trí cụ thể (bằng cách tìm kiếm bằng mã pin hoặc địa chỉ email của nhà phát triển); ghi lại âm thanh, vị trí trong khi chạy ngầm; có thể truy cập quyền cụ thể trên thiết bị của người dùng; với một phiên bản SDK mục tiêu cụ thể.
Bên cạnh đó, người dùng cũng có thể sử dụng Regexes để tìm các ứng dụng có lỗ hổng bảo mật bằng cách tìm kiếm các khuôn thức mã nguồn.
Nguyễn Anh Tuấn
(theo The Hacker News)
08:00 | 18/03/2021
14:00 | 23/03/2021
09:00 | 06/01/2021
08:27 | 22/01/2016
14:00 | 25/04/2024
Ngày 18/4, Meta thông báo triển khai trợ lý AI thông minh nhất hiện nay - Meta AI miễn phí cho các nền tảng của mình. Theo CEO Meta Mark Zuckerberg, trợ lý có thể trả lời câu hỏi, tạo hình ảnh cho người dùng. Meta AI được xây dựng dựa trên mô hình ngôn ngữ lớn mới nhất của hãng mang tên Llama 3.
10:00 | 26/03/2024
Theo Bloomberg, cơ quan chức năng châu Âu đang có kế hoạch điều tra Apple, Meta và Google của Alphabet để xác định việc có hay không việc các công ty này vi phạm quy định trong Đạo luật Thị trường kỹ thuật số của Liên minh châu Âu (EU).
14:00 | 23/02/2024
Nhóm tin tặc mã độc tống tiền BlackCat đã bắt đầu lạm dụng các quy tắc báo cáo sự cố mạng của Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) để gây áp lực lên các tổ chức từ chối đàm phán thanh toán tiền chuộc. Những kẻ tấn công đã nộp đơn khiếu nại lên SEC đối với một nạn nhân, trong một động thái có thể sẽ trở thành thông lệ sau khi các quy định mới đã có hiệu lực vào giữa tháng 12.
08:00 | 24/01/2024
Sáng 23/01, Tạp chí An toàn thông tin tổ chức Hội nghị tổng kết công tác báo chí xuất bản và công tác cộng tác viên năm 2023. Đồng chí Nguyễn Hữu Hùng, Phó Trưởng ban Ban Cơ yếu Chính phủ, Chủ tịch Hội đồng biên tập các Ấn phẩm của Tạp chí chủ trì Hội nghị.
Đoàn Công tác số 8 đi thăm các chiến sĩ và nhân dân trên quần đảo Trường Sa đã thành công tốt đẹp. Hành trình để lại nhiều cảm xúc với các thành viên đoàn công tác nhất là khi tham dự những buổi Lễ đặc biệt như: Lễ Giỗ Tổ Hùng Vương, Lễ dâng hương tưởng niệm các anh hùng liệt sĩ hi sinh khi làm nhiệm vụ trên quần đảo Trường Sa, Lễ chào cờ trên đảo Trường Sa.
11:00 | 26/04/2024
Hướng tới kỷ niệm 80 năm Ngày truyền thống ngành Cơ yếu Việt Nam (12/9/1945 - 12/9/2025), Ban Cơ yếu Chính phủ đã ban hành Kế hoạch phát động Cuộc thi sáng tác nghệ thuật thơ, ca khúc về Ngành Cơ yếu Việt Nam.
10:00 | 16/04/2024
Ngày 18/4, Meta thông báo triển khai trợ lý AI thông minh nhất hiện nay - Meta AI miễn phí cho các nền tảng của mình. Theo CEO Meta Mark Zuckerberg, trợ lý có thể trả lời câu hỏi, tạo hình ảnh cho người dùng. Meta AI được xây dựng dựa trên mô hình ngôn ngữ lớn mới nhất của hãng mang tên Llama 3.
14:00 | 25/04/2024