What if Danganronpa V3 characters live-tweeted their love suite event? (Part 1)
Twitter API의 기능 인터페이스)은 공격자가 악의적 인 사회 공학 공격을 시도하여 사용자 계정을 도용 할 가능성이 높은 것으로 나타났습니다. 모바일 응용 프로그램 개발자는 수요일 암스테르담의 Hack in the Box 보안 컨퍼런스에서이를 공개했습니다.
Twitter에서 OAuth 표준을 사용하여 데스크톱 또는 모바일 Twitter 클라이언트를 포함한 타사 앱에 API, Nicolas Seriot, mob를 통해 사용자 계정과 상호 작용하는 방법
트위터 사이트의 승인 페이지를 통해 앱에 계정 액세스 권한을 부여한 후 사용자가 리디렉션되는 사용자 정의 콜백 URL을 지정할 수 있도록 허용했습니다.
> [추가 정보: Windows PC에서 멀웨어를 제거하는 방법]Seriot은 사용자가 클릭하면 TweetDeck과 같은 인기있는 클라이언트의 Twitter 앱 인증 페이지를 열 수있는 특수 링크를 만드는 방법을 발견했습니다. 그러나 이러한 요청은 공격자의 서버를 콜백 URL로 지정하여 사용자의 브라우저가 트위터 액세스 토큰을 공격자에게 보내도록합니다.
액세스 토큰을 사용하면 Twitter API를 통해 관련 계정으로 작업을 수행 할 수 있습니다 암호. 공격자는 그러한 토큰을 사용하여 손상된 사용자를 대신하여 새로운 트윗을 게시하고, 비공개 메시지를 읽고, 트윗에 표시된 위치를 수정하는 등의 작업을 할 수 있습니다.
프레젠테이션은 기본적으로 사용자 정의 콜백을 허용하는 보안상의 영향을 다루고 이 기능을 사용하여 합법적이고 신뢰할 수있는 트위터 클라이언트로 가장하여 사용자 액세스 토큰을 도용하고 계정을 도용한다고 Seriot은 말했습니다.
공격자는 중요한 회사의 소셜 미디어 관리자에게 이러한 링크가 포함 된 전자 메일을 보낼 수 있습니다 또는 뉴스 조직은 예를 들어 트위터에서 누군가를 따라 가기위한 링크라고 제안합니다.
링크를 클릭하면 대상에 SSL로 보호 된 트위터 페이지가 표시되어 TweetDeck, iOS 용 트위터 또는 기타 인기있는 트위터 클라이언트가 자신의 계정에 액세스합니다. 대상이 이미 가장 된 클라이언트를 사용하고 있다면 이전에 부여한 승인이 만료되어 앱을 다시 인증해야한다고 생각할 수 있습니다.
'인증'버튼을 클릭하면 사용자 브라우저가 공격자의 서버는 사용자를 트위터 웹 사이트로 리디렉션합니다. 사용자는 악의적 인 일이 발생하지 않았 음을 알게 될 것이라고 Seriot은 말했다.
이러한 공격을 수행하고 특별한 링크를 만들려면 공격자는 Twitter API 토큰을 알고 있어야한다. 가장하려고합니다. 이들은 일반적으로 응용 프로그램 자체에서 하드 코딩되어 여러 가지 방법으로 추출 될 수 있다고 Seriot은 말했습니다.
개발자는 Mac OS X 용 오픈 소스 OAuth 라이브러리를 제작했습니다.이 라이브러리는 Twitter API와 상호 작용하고 인증 링크를 생성하는 데 사용할 수 있습니다. 악의적 인 콜백 URL 그러나 STTwitter라고 불리는이 라이브러리는 합법적 인 목적으로 제작되었으며 Mac OS X 용 멀티 프로토콜 채팅 클라이언트 인 Adium에 트위터 지원을 추가하기위한 것입니다.
Seriot에 따르면 Twitter는 이러한 공격을 OAuth 구현에서 콜백 기능을 비활성화합니다. 그러나 일부 고객이 기술적으로 사용하는 합법적 인 기능이기 때문에 회사가이를 수행 할 것이라고는 믿지 않는다.
트위터는 목요일에 보낸 요청에 즉시 응답하지 않았다.
공격자가 페이스 북의 전화 검색 기능을 악용하여 유효한 것을 찾지 못한다고 연구원은 말합니다. 보안 연구원에 따르면 공격자는 유효한 전화 번호와 소유자 이름을 찾기 위해 페이스 북의 전화 검색 기능을 악용 할 수 있다고 보안 연구원은 전했다.
페이스 북 독립적 인 보안 연구원 인 Suriya Prakash는 최근 블로그 포스트에서 모바일 버전의 웹 사이트를 통해 사용자가 수행 할 수있는 전화 번호 검색 수를 제한하지 않는다고 말했다.
Broadcom은 NFC를 다른 무선 기술로 칩에 제공함으로써 NFC를 일반적인 스마트 폰 기능으로 만들 수 있다고 생각합니다. 이 기술로 지불하는 것이 수년간 지속 되더라도, Broadcom은 NFC를 다른 무선 기술이 탑재 된 칩에 제공함으로써 NFC를 스마트 폰 기능으로 만들 수 있다고 생각합니다. 화요일에 통신 칩 회사는 Wi-Fi, 블루투스, FM 라디오 및 NFC (근거리 통신)가 내장 된 첫 번째 칩을 발표했다.이 칩은 핸드셋에 나타나기 시작할 것이라고한다. 내년에는 NFC를 유비쿼터스 Wi-Fi 및 블루투스 기술에 사용함으로써 스마트 폰 제조업체들이 자사 제품에이 기술을 통합하는 것이 훨씬 쉽고 저렴해질 것이라고 브로드 컴 임원들은 화요일 . 이번 행사는 다음 달 국제 소비자 전자 쇼 (International Consumer Electronics Show)의 미리보기로 디자인되었으며, Broadcom이 CES에서 볼 수있는 Miracast 모바일 TV 비디오 스트리밍
[추가 정보 : 최고의 Android 휴대 전화 모든 예산에 대해 ] 지금까지 공급 업체들은 NFC 용으로 별도의 칩을 구입하여 내부 설계에 적용하여 전화 회로의 좁은 구역에서 추가 공간을 차지해야했습니다. 브로드 컴 모바일 (Broadcom Mobile)의 제너럴 매니저이자 수석 부사장 인 마이클 허 스턴 (Michael Hurlston)은 BCM 43341 칩은 이전에 결합 된 칩이 Wi-Fi에서 가지고 있던 NFC와 동일한 효과를 낼 것이라고 말했다. "블루투스와 무선 LAN을 갖춘 콤보 장치를 만들 수 있었을 때 스마트 폰에서 Wi-Fi를 100 % 연결 속도로 만들었습니다"라고 Hurlston은 말했습니다. "우리는 NFC와 비슷한 것을함으로써 NFC의 채택을 가속화하고 추진할 것이라고 생각한다."Broadcom에 따르면, 그 채택은 NFC 모바일 결제에 전적으로 의존하지 않을 것이라고한다. 처음에는 복잡한 생태계가 필요하지 않은 응용 프로그램에 의해 구동됩니다. 예를 들어
AVG의 연구원은 최신 버전의 Zeus를 사용하는 개인 정보를 수집 한 봇넷을 발견했다. AVG의 연구원은 정교한 맬웨어의 광범위한 사용을 강조하면서 개인 정보를 수집하고 최신 버전의 Zeus 코드를 사용하는 봇넷을 발견했습니다.
Mumba 봇넷에 더하여, AVG가 발표 한 백서에 따르면 4 월 말에 컴퓨터가 35,000 대를 시작했다고한다.