汇丰等知名银行APP存在关键漏洞,或致数百万用户遭黑客攻击

admin 2022年6月8日06:23:02安全新闻评论16 views905字阅读3分1秒阅读模式
汇丰等知名银行APP存在关键漏洞,或致数百万用户遭黑客攻击
点击上方“安全优佳” 可以订阅哦!

12 月 7 日消息,英国伯明翰大学的安全研究人员 Chris McMahon Stone、Tom Chothia 和 Flavio Garcia 近期在佛罗里达州奥兰多举行的 2017 计算机安全应用会议 上发表了一篇学术论文,宣称他们通过测试数百款 iOS 与 Android 设备的不同银行应用程序中发现多家知名银行的主要移动应用程序均存在一处关键漏洞,可导致数百万用户的银行凭证易遭黑客中间人(MitM)攻击,其中受影响的银行包括爱尔兰联合银行、Co-op、汇丰银行、NatWest 和桑坦德银行等。

调查显示,即使该移动银行应用程序使用了 SSL pinning 功能,黑客也可通过该漏洞连接至与受害用户同一网络后拦截 SSL 连接,并检索用户银行凭证(例如:用户名与密码等)。

SSL pinning 提供了一种额外的防止中间人攻击的保护措施,通过证书锁定达到有效规避黑客使用不可信证书查看并操控用户网络流量的行为。然而,一旦认证机构(CA)错误签发不信任证书,就有可能允许攻击者在其目标应用程序中进行中间人攻击此外,由于缺少针对主机名的验证导致多数银行应用程序面临黑客攻击的风险,因为它们无法检查银行应用程序连接 URL 的主机名与服务器公开的数字证书的主机名是否匹配。

汇丰等知名银行APP存在关键漏洞,或致数百万用户遭黑客攻击

知情人士透露,研究人员特意开发了一款新型自动化检测工具 Spinner,能够在数百款银行应用程序中快速检测漏洞,而无需购买证书。

Spinner 工具主要通过 Censys IoT 搜索引擎在证书中查找不同备用主机证书链后,将来自应用程序的流量重定向至具有相同 CA 证书签名的网站。如果连接失败,那么就会知道应用程序检测到错误的主机名;而如果连接成功建立并且客户机在连接失败之前传输了加密的应用程序数据,则应用程序已接受主机名并极易遭受攻击。

目前,研究人员已经与国家网络安全中心(NCSC)合作,通知所有受影响银行尽快解决问题,以避免造成客户信息与财产的损失。

本文转载自HackerNews.cc


汇丰等知名银行APP存在关键漏洞,或致数百万用户遭黑客攻击

安全优佳

http://news.secwk.com

长按识别左侧二维码,关注我们


本文始发于微信公众号(安全优佳):汇丰等知名银行APP存在关键漏洞,或致数百万用户遭黑客攻击

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月8日06:23:02
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  汇丰等知名银行APP存在关键漏洞,或致数百万用户遭黑客攻击 http://cn-sec.com/archives/526288.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: