В пресс-службе Сбербанка заявили, что в последнее время участились случаи «внедрения в свободно распространяемое ПО провокационного медиаконтента» и посоветовали пользователям временно не обновлять свои приложения.
РБК цитирует пресс-службу Сбербанка, которая заявляет, что в обновления может быть встроено вредоносное ПО и «провокационный медиаконтент».
«Кроме того, различный контент и вредоносный код могут быть встроены в свободно распространяемые библиотеки, используемые для разработки программного обеспечения. Использование подобного программного обеспечения может привести к заражению вредоносным ПО личных и корпоративных компьютеров, а также ИТ-инфраструктуры», — говорят в «Сбере».
В итоге пользователей призывают отказаться от обновлений ПО вовсе, а разработчикам советуют усилить контроль за использованием внешнего кода.
«При острой необходимости использования программного обеспечения обязательно проверяйте все скачанные файлы антивирусом, а при использовании чужого исходного кода в своих программах - проведите ручную или автоматизированную проверку, в том числе, просмотрите текст исходного кода», — добавляют специалисты.
Говоря об угрозах, в Сбербанке, похоже, подразумевают случаи вроде недавнего саботажа в популярном npm-пакете node-ipc, разработчик которого внедрил в свой код функциональность, удаляющую все данные и перезаписывающую файлы на машинах разработчиков из России и Беларуси, а также создающую на чужих машинах текстовые файлы с призывами к миру.
К сожалению, инцидент с node-ipc не единственный в своем роде, и немало других разработчиков решили выразить протест через свои продукты (пусть и не таким деструктивным способом). На GitHub уже составляют список подобных злоупотреблений.
При этом, общаясь с журналистами РБК, эксперт по кибербезопасности из «Лаборатории Касперского» Виктор Чебышев предупредил, что отказ от обновлений – это не слишком хорошая идея, ведь таким образом можно остаться без патчей для серьезных уязвимостей, которые хакеры могут использовать для атак.
«Последствия от таких атак могут быть разными: от компрометации данных в атакуемом приложении (например, если используется уязвимый мессенджер, то злоумышленникам в результате атаки на него могут быть доступны истории переписок), заканчивая полной компрометацией устройства, когда на него устанавливается шпионский или банковский троянец», — объясняет Чебышев.
