Aggiornamenti recenti Aprile 24th, 2024 2:00 PM
Ago 02, 2022 Redazione news News, RSS, Vulnerabilità 0
Secondo CloudSEK oltre 3000 app espongono le chiavi API di Twitter al rischio di furto e dei pirati potrebbero prendere possesso degli account di chi le usa e creare un esercito di bot
BeVigil di CloudSEK, il primo motore di ricerca di sicurezza per le app mobili, ha scoperto 3207 app che fanno trapelare chiavi API di Twitter che possono essere utilizzate per accedere agli account e prenderne possesso.
Tutte queste applicazioni trasmettono una Consumer Key e un Consumer Secret validi per l’API di Twitter. 230 delle app fanno trapelare tutti e 4 gli Auth Creds dell’API e possono essere utilizzate per prendere completamente il controllo degli account Twitter ed eseguire una serie di azioni critiche.
Tra queste, leggere i messaggi diretti, ritwittare, mettere “mi piace”, rimuovere i follower del profilo, seguire qualsiasi account, ottenere le impostazioni dell’account e cambiare l’immagine del profilo.
Quando integrano le app mobili con Twitter, gli sviluppatori ricevono speciali chiavi di autenticazione, quelle citate, che consentono alle loro app di interagire con l’API di Twitter. Quando un utente associa il proprio account Twitter all’applicazione mobile, le chiavi consentono a quest’ultima di agire per conto dell’utente, svolgendo le azioni menzionate.
Secondo CloudSEK il furto di chiavi API è comunemente il risultato di errori da parte degli sviluppatori di app che incorporano le loro chiavi di autenticazione nell’API di Twitter.
Il report dichiara che l’utilizzo di queste chiavi di accesso potrebbe consentire a un pirata di creare un esercito di account Twitter con un numero elevato di follower per promuovere notizie false, campagne di malware, truffe di criptovalute, ecc.
CloudSEK ha condiviso con BleepingComputer un elenco di applicazioni colpite, con un numero di scaricamenti che va da 50.000 a 5.000.000, tra cui strumenti per la pianificazione del trasporto urbano, sintonizzatori radio, lettori di libri, giornali, applicazioni di e-banking, applicazioni GPS per ciclisti e altro ancora. Dato che per molte il problema non è stato risolto, l’elenco non è stato divulgato
Gen 31, 2024 0
Ott 19, 2023 0
Ago 24, 2023 0
Giu 13, 2023 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...Apr 22, 2024 0
Nel periodo compreso tra il 13 e il 19 aprile,...