在3家美国酒店的登记系统中发现了一款消费级间谍软件应用

据TechCrunch最早报道，安全研究员Eric Daigle在美国至少三家温德姆酒店的登记系统上发现了一款名为pcTattletale的商业间谍软件应用。父母通常使用这款应用来监控他们孩子的在线活动，雇主也会使用它来跟踪员工的工作效率和互联网使用情况。Daigle在调查消费级间谍软件（也称为跟踪软件）时，在酒店的登记系统上发现了这款商业监控软件。

pcTattletale是一款用于监控和记录计算机用户活动的软件程序。有人使用该软件捕获了酒店预订系统的屏幕截图，包括客人详细信息。Daigle还发现了监控软件中的一个漏洞，允许任何人访问该应用程序所采集的屏幕截图。“PCTattletale是一款简单的跟踪软件应用。与许多类似不安全的竞争对手的复杂监控不同，它只需要在感染时请求权限来录制目标设备的活动（支持Android和Windows）。之后，观察者可以登录在线门户并激活录制，在此过程中设备会进行屏幕截图，并在目标浏览器中播放。”Daigle在一篇文章中写道。“最近我发现了PCTattletale API中的一个严重漏洞，使得任何攻击者都能够获取在安装了PCTattletale的任何设备上记录的最新屏幕截图。这与之前由Jo Coscia发现的IDOR漏洞不同，并且使得从其他设备中获取截图变得非常轻松。”

Daigle试图向pcTattletale报告这个漏洞，但该公司没有回应。他在一篇博文中分享了关于屏幕截图漏洞的有限细节，故意省略了具体信息以防止恶意利用。“TechCrunch报道称，TechCrunch看到的两家温德姆酒店的屏幕截图显示了Sabre提供的Web门户上的客人姓名和预订详情。这些Web门户的屏幕截图还显示了客人部分信用卡付款号码。另一张屏幕截图显示了第三家温德姆酒店的登记系统访问权限，当时该系统已登录到Booking.com的管理门户，用于管理客人的预订。”目前尚不清楚是谁在酒店系统上安装了恶意软件，以及他的动机是什么。

原文始发于微信公众号（黑猫安全）：在3家美国酒店的登记系统中发现了一款消费级间谍软件应用