
W lutym pisaliśmyo słabych zabezpieczeniach witryn Kaspersky Labs i BitDefender.
Teraz ofiarą ataków padła amerykańska strona internetowa McAfee,
specjalizującej się w tworzeniu oprogramowania
zabezpieczającego.
Luki typu cross-site scripting attacks i cross-site request
pozwalały na kradzież danych z kont użytkowników i mogły zostać
wykorzystane do ataków phishingowych z użyciem złośliwego
oprogramowania, podającego się za produkty McAfee. Jedną z witryn,
które ukazała się pechowa była stron McAfee Secure, która skanuje
witryny użytkowników w celu ustalenia czy są podatne na ataki.
Wynika stąd, że firma nie przeprowadza testów bezpieczeństwa
własnych witryn albo dostarczane narzędzia nie działają
skutecznie.
Firma poinformowała we wtorek, że większość błędów już usunięto,
poza jedną witryną, która wymaga wyłączenia serwerów. Ataki na
strony dostawców oprogramowania antywirusowego są szczególnie
niebezpieczne, ponieważ umożliwiają atakującym tworzenie fałszywych
wersji produktów zabezpieczających, które instalują trojany albo
inne złośliwe oprogramowanie bez jakichkolwiek podejrzeń. Sugeruje
też jakoby witryny McAfee nie spełniały wymogów dotyczących PCI
ACV, ani nie korzystała z bezpiecznego cyklu rozwoju
oprogramowania.