Отчет основан на данных, полученных экспертами компании в ходе обследования 58 банковских приложений. Был проведен статический и динамический анализ исходного кода приложений. Эксперты компании «Инфосистемы Джет» оценили уровень безопасности межсетевого взаимодействия между мобильным приложением и веб-сервисом и настройки защищенного соединения веб-сервиса. По данным, полученным в ходе анализа, 98% исследованных приложений имеют уязвимости и более 40% из них обладают критичными уязвимостями.

Среди основных уязвимостей, обнаруженных аналитиками, недостаточная защита пакета приложения и его компонентов (87% приложений), отсутствие проверок наличия несанкционированного привилегированного доступа к мобильному устройству (78%), небезопасная конфигурация защищенного соединения (40%), использование небезопасных криптографических методов (38%), небезопасное хранение конфиденциальных данных (38%) и другие. Кроме того, 13 исследованных приложений (22% от общего количества), как выяснили эксперты, используют незащищенные протоколы передачи информации.

Компания Google раздала более 50 тыс. долл. исследователям, которые активно участвовали в исследовании программного кода проекта с открытыми кодами Chromium. За 5 наиболее опасных ошибок исследователи получили по 1337 долл., еще 26 призов по 1 тыс. долл. и 37 - по 500 дол. Компания также выдала еще три приза по 1337 долл. и один за 1 тыс. долл. за определение ошибок в компонентах, разрабатываемых в сторонних проектах. Причем изначально сотрудники Google планировали потратить всего 20 тыс. долл., однако реакция на конкурс оказалась слишком активной, поэтому им пришлось изменить призовой фонд.

Причем наиболее активным исследователем оказался Сергей Глазунов, который получил 3 награды стоимостью 1337 долл., 6 призов по 1 тыс. долл. и 1 за 500 долл, что в сумме составляет 10511 долл. Второе место в этом своеобразом конкурсе занял Аки Хелен из Oulu University Secure Programming Group, который заработал на поиске ошибок более 8 тыс. долл.  Такие премии позволяют надеяться, что проект Chromium станет после этого значительно безопаснее.

Как выяснилось, ошибка, ставшая причиной недавней бурной эпидемии червей на сайте Twitter, уже была исправлена в августе, однако впоследствии ее случайно внесли в программное обеспечение сайта снова. Брешь вызвала настоящий хаос на Twitter, и ситуацию удалось взять под контроль лишь через несколько часов.

"Лаборатория Касперского" сообщает, что благодаря сотрудничеству с компанией Microsoft была закрыта серьезная уязвимость операционной системы Microsoft Windows. Уязвимость, которая в момент своего обнаружения имела статус нулевого дня, использовалась компьютерным червем Worm.Win32.Stuxnet. Данный червь является инструментом промышленного шпионажа - он предназначен для получения доступа к системе Siemens WinCC, которая отвечает за сбор данных и оперативное диспетчерское управление производством. Эксперты "Лаборатории Касперского" выяснили, что, помимо уязвимости в обработке LNK/PIF файлов, Stuxnet использует еще четыре уязвимости Windows, одну из которых использовал и широко известный червь Kido в начале 2009 года. Однако три других уязвимости были ранее неизвестны и затрагивали актуальные версии Windows. Сразу после обнаружения уязвимости эксперты "Лаборатории Касперского" уведомили Microsoft о найденной проблеме; их выводы были подтверждены разработчиками. Уязвимость классифицирована как Print Spooler Service Impersonation Vulnerability и ей был присвоен статус критической. В Microsoft немедленно приступили к созданию соответствующего патча, который был выпущен 14 сентября 2010 года. Кроме того, специалисты "Лаборатории Касперского" обнаружили еще одну уязвимость "нулевого дня", относящуюся к классу Elevation of Privilege, которая использовалась червем для получения полного контроля над зараженной системой. Вторая аналогичная уязвимость была обнаружена специалистами Microsoft. Обе уязвимости будут исправлены в будущих обновлениях для ОС Windows.

Коммерческие системы квантового шифрования подвержены возможности перехвата передаваемой информации из-за своих конструктивных недостатков, утверждают исследователи из Норвежского университета науки и техники в Тронхейме, которые опубликовали доклад о своей находке в журнале Nature Photonics. Фундаментальное преимущество квантового шифрования — теоретическую невозможность сокрытия попытки перехвата — они свели на нет, "ослепив" квантовый детектор на принимающей стороне с помощью лазера мощностью 1 мВт. В результате детектор теряет свои свойства, но не "понимает", что вышел из строя.

Для данной атаки уязвимы системы квантовой криптографии, предлагаемые компаниями ID Quantique и MagiQ Technologies. Как отмечают исследователи, в теории такому взлому можно противодействовать, если оснастить криптографическое оборудование специальной системой, распознающей вторжение.

Исследователи из университетов им. Ратгерса и штата Южная Каролина пытаются привлечь внимание производителей автомобилей к необходимости учета требований защиты личной информации при создании новых компьютерных автосистем. На конференции Usenix Security Symposium они представили доклад, посвященный анализу работы систем автоматического мониторинга давления в шинах, установка которых в США с 2008 года является обязательной. На каждой шине имеется датчик давления, снабженный микросхемой радиочастотной идентификации (RFID), которая передает данные по радио компьютеру автомобиля. Однако, как выяснили авторы, данные при этом не шифруются, а каждый датчик обладает собственным 32-битным идентификационным кодом. Перехват данных возможен на расстоянии до 40 м от движущегося автомобиля. Сеть приемников на дорогах может легко собирать данные о перемещениях конкретных лиц.

Злоумышленники могут даже отправлять компьютеру автомобиля поддельные данные, и иногда таким способом можно вывести из строя управляющий модуль. Хотя риски пока невелики, подчеркивают авторы, производителям следует внимательнее относиться к проблемам безопасности.

В воскресенье популярный видеосайт YouTube пострадал от массовой атаки с использованием межсайтового скриптинга (XSS). Уязвимость обнаружилась в системе публикации комментариев к видеороликам. Вскоре после начала массовой эксплуатации этой уязвимости анонимными пользователями Google стала скрывать секцию комментариев на страницах с видео, а через два часа, как сообщает компания, специалисты ликвидировали уязвимость.

Основной целью атакующих послужили страницы с видеоклипами певца Джастина Бибера. Внедренные в раздел комментариев коды показывали крупным текстом разнообразные бестактные сообщения по поводу их музыкальных вкусов и перенаправляли пользователей на сайты порнографического содержания. Сами коды не были рассчитаны на заражение компьютеров вредоносными программами, хотя специалисты предупреждают, что оно, теоретически, могло бы происходить при переходе на сторонние сайты.

По утверждениям компании, уязвимость не могла быть использована для доступа к учетным записям Google, но безопасность пользовательских файлов cookie была нарушена. Пользователям YouTube рекомендуется выйти и вновь войти в свои учетные записи.

Обнаружены две ошибки в продуктах Adobe. Одна в Adobe Flash Player, которая связана с некорректной работой программы с указателями в модуле ActionScript Virtual Machine 2 (AVM2), а вторая - в Adobe Reader/Acrobat, который поставляется вместе с Flash Player (authplay.dll). Причем обе ошибки не имеют исправлений, но уже используются для атак пользователей приложения.

В браузере Apple Safari обнаружено 46 ошибок, из которых 29 допускают исполнение вредоносного кода с помощью переполнения буфера. Частично компания испрвила обнаруженные ошибки и выпустила обновления. Пользователи могут обновить свой браузер до версии 4.1 или просто перейти на пятую версию браузера.

Компания Microsoft выпустила июньский набор обновлений, в котором исправлено 10 уязвимостей в различных продуктах компании. Правда всего 3 из них являются действительно критическими, в то время как 7 ошибок помечены как просто важные. Впрочем, три ошибки связаны с наиболее критическими системами Windows: Media Decompressio, ActiveX и Internet Explorer. Рекомендуется при первой возможности установить предлагаемый производителем набор исправлений.

Компания Cisco выпустила обновления для своего продукта Network Building Mediator, в котором устранена возможность получения важной информации и поднятия привелегий в системе. Проблемы возникают при использовании протокола XML-RPC поверх HTTP/HTTPS. Проблемы зафиксированы в моделях Richards-Zeta Mediator 2500, Cisco Network Building Mediator NBM-2400 и NBM-4800. Для устранения уязвимостей производитель рекомендует обновить программное обеспечение до исправленной версии.

Компания Adobe выпустила обновление для своего продукта Photoshop CS4, в котором была обнарежена ошибка переполнения буфера. Ошибка может возникнуть при обработке длинных строк в файлах с расширениями .ASL, .GRD или .ABR. Результатом может стать исполнение вредоносного кода. Наличие уязвимости подтверждено производителем вплоть до версии 11.0.1. Для исправления ошибки Adobe рекомендует обновиться до версии 11.0.2.

В продукте Google Chrome обнаружено шесть ошибок, из которых наиболее опасными являются ошибки в Safe Browsing и в функциональности drag-and-drop, которые злоумышленники могут использовать для переполнения буфера и нарушения работы динамической памяти. Впрочем, есть ошибки и в исполнении сценариев JavaScript. Остальные ошибки позволяют ввести пользователей в заблуждение и обойти систему защиты браузера. Некоторые ошибки исправлены в версии 5.0.375.55, которую и рекомендуется установить.

Метод подмены содержимого вкладки, tabnapping, о котором рассказал креативный директор разработки браузера Firefox Аза Раскин, не требует использования каких-либо специфических уязвимостей браузеров. Вместо этого он полагается на невнимательность пользователей, которые часто держат в браузере множество открытых вкладок.
Атака начинается с привлечения пользователя на мошеннический сайт, что не представляет особой сложности. Этот сайт показывает обычные страницы, но при этом ждет, пока пользователь не прекратит на определенное время взаимодействовать с ним. Как только сайт посчитает, что пользователь не смотрит на открытую вкладку, он меняет ее содержимое и иконку, к примеру, на имитацию входной страницы Gmail, Facebook или банковского сайта. Если пользователь не заметит, что содержимое вкладки изменилось, он может по привычке ввести туда пароль.
Гарантированного способа предотвращения такой атаки пока не придумано. Она срабатывает в большинстве современных браузеров, использующих в интерфейсе модель вкладок - Chrome, Firefox, Opera, Safari и IE последних версий.