Hacker претендует на ошибку SQL на сайте Symantec

Румянский хакер, который провел последние несколько недель, разоблачая общую, но опасную ошибку веб-программирования для поставщиков безопасности. Веб-сайты говорят, что он обнаружил ошибку SQL-инъекции на веб-сайте Symantec. Но Symantec заявляет, что это не проблема безопасности.

Тем не менее Symantec была вынуждена вывести раздел веб-сайта компании в четверг после того, как румынский хакер, идя по имени Unu, заявил, что нашел ошибку в документе Symantec Центр загрузки, защищенная паролем часть сайта компании, на которой партнеры по каналам могут загружать рекламные материалы для продуктов компании.

На сайте размещены маркетинговые материалы, и Symantec заявила, что информация о компаниях и клиентах не была раскрыта.

[далее]: Как удалить вредоносное ПО с вашего ПК с Windows »

« Symantec сразу же убрала сайт, провела всестороннее тестирование и решила, что проблема не является уязвимостью безопасности », - говорится в заявлении компании в четверг. «Похоже, что лицо, сообщившее о нем, составило отчет об ошибке».

Представители Symantec не смогли подробно прокомментировать этот вопрос, но в худшем случае проблема представляет собой смущение для Symantec, самого известного в мире поставщик компьютерной безопасности. «Ирония ситуации заключается в том, что это сделано на … странице, которая продвигает продукты безопасности, такие как Norton AntiVirus 2009 и Norton Internet SECURITY», - написал Уну в своей записке, описывающей проблему. «Что я могу сказать: хорошая реклама».

В атаке SQL-инъекции хакер использует ошибки в веб-программах, которые запрашивают базы данных SQL. Дело в том, чтобы найти способ запускать команды в базах данных и получить доступ к информации, которая обычно будет защищена.

Эти недостатки были использованы в широко распространенных атаках в Интернете, которые позволили преступникам размещать вредоносный код на тысячах веб-сайтов по в прошлом году.

Основываясь на описании Unu, неясно, нашел ли он законную ошибку SQL-инъекции, сказал Роберт Хансен, генеральный директор SecTheory, консультант по безопасности в Интернете. «Он может быть абсолютно прав. Это может быть SQL-инъекция, но так что, - сказал он. «Возможно, [рекламные материалы] действительно ценны для злоумышленника, но я в этом сомневаюсь».

Примерно через неделю Уну нашел аналогичную проблему на сайте «Лаборатории Касперского», а также на партнерском сайте для поставщика безопасности BitDefender, и на веб-сайте F-Secure.

Атаки выявили данные, которые вендоры хотели защитить, такие как адреса электронной почты клиентов, коды активации продукта и данные исследований, но не финансовую информацию.

«Пока атака - это то, чему мы должны научиться, и указывает на то, что нам нужно улучшить, это еще не конец света », - написал F-Secure в блоге, комментируя этот вопрос. В атаке F-Secure хакеру удалось получить доступ к статистике, в которой компания продолжает вредоносное ПО.