U novom napadu na Gmail korisnike hakeri koriste propust u Flash-u

Vesti, 07.06.2011, 07:47 AM

Kompanija Adobe potvrdila je u ponedeljak da je propust u Flash-u za koji je objavila zakrpu u nedelju korišćen za krađu podataka korisnika potrebnih za prijavljivanje na Gmail naloge.

Propust u bezbednosti je ispravljen u nedelju objavljivanjem vanredne, hitne zakrpe. Ovo je druga zakrpa za Flash za manje od mesec dana i peta ove godine. Međutim, objavljivanje zakrpe u nedelju je veoma neobično za Adobe.

Iz kompanije kažu da su dobili prijave o ranjivosti koja se koristi u ciljanim napadima osmišljenim tako da se korisnik namami da klikne na zlonamerni link u email poruci. Oni ne mogu da potvrde da je bilo napada i na korisnike drugih veb mail provajdera, ali ima indicija da su meta napada bili ipak Gmail korisnici.

Ranjivost koju su koristili napadači je cross-site scripting propust u Flash-u. Propuste ovog tipa često koriste oni kojima je cilj krađa identiteta što postižu svojevrsnim preotimanjem korisničkih imena i lozinki od ranjivih browser-a. Međutim, u ovom slučaju browser-i sami po sebi nisu bili meta, već plug-in browser-a za Flash Player, kojeg instaliraju praktično svi korisnici.

Ovaj propust u Flash-u timu zaduženom za bezbednost programa u kompaniji Adobe prijavio je Google, kažu u kompaniji. Google koji svoj browser isporučuje u paketu sa Flash-om u nedelju je takođe ažurirao Chrome, i to sve tri verzije browser-a, stabilnu, beta i razvojnu verziju.

Adobe je najnoviji propust u Flash-u rangirao kao “važan”, što je u četvorostepenom sistemu rangiranja drugi najviši nivo u odnosu na ozbiljnost baga. Prema Adobe-ovom rangiranju, ovakva ocena se daje propustima u bezbednosti programa koji napadačima omogućavaju pristup podacima na kompjuteru koji je pogođen napadom ali istovremeno ne pružaju mogućnost ubacivanja malware-a na žrtvin računar.

Korisnici drugih browser-a mogu preuzeti zakrpljenu verziju Flash Player-a sa sajta proizvođača. Adobe je objavio ažurirao verzije Flash Player-a za Windows, Mac OS X i Linux, a korisnici Androida će svoju zakrpu dobiti tokom ove nedelje.

Napadi na Gmail korisnike za koje je Google prošle nedelje optužio kineske hakere razlikuju se od ovih o kojima je ovde reč jer u njima nije korišćena ranjivost u Flash-u za krađu korisničkih podataka, već su ti napadi, ne oslanjajući se na exploit-e (vidi u Rečniku: exploit), imali za cilj prevaru korisnika koji bi uneli svoje korisničko ime i lozinku u polja na lažnoj strani za prijavljivanje na Gmail email servis.