Популярный VPN-плагин Hola скомпрометирован

    Популярный VPN-плагин для Chrome и Android под названием Hola, которым пользуется более 50 млн человек по всему миру, был скомпрометирован. Целью атаки являются пользователи MyEtherWallet — одного из крупнейших горячих онлайн-кошельков для держателей эфира. Атака длилась примерно пять часов и за это время Hola собирал информацию о кошельках пользователей MEW с целью последующей кражи криптовалюты.


    В единственной рекомендации, поступившей от администрации кошелька, советуется завести новый кошелек MEW и перевести туда свои средства в случае, если вы являетесь пользователем Hola и совершали действия в MyEtherWallet в последние 24 часа.

    Это уже вторая атака на пользователей MyEtherWallet за последние четыре месяца. Этой весной хакерам удалось взломать DNS-сервер, который использовался MyEtherWallet, что позволило перенаправлять пользователей на фишинговый сайт с питерским IP-адресом. Тогда было украдено не менее 215 ETH. Считается, что за обеими этими атаками стоят одни и те же люди.

    Стоит отметить, что VPN-плагин Hola ранее был скомпрометирован еще в 2015 году. Тогда пользователи Hola были вовлечены в проведение массированных DDoS-атак.

    Основная причина привлекательности Hola для злоумышленников — это популярность плагина вкупе с использованием одноранговой архитектуры peer-to-peer для установления соединения. Также играет роль и крайне небрежная разработка, которая привела к наличию целого ряда уязвимостей и лазеек для злоумышленников. Кроме этого администрация Hola была замечена в крайне небрежном отношении в случае предоставления платного доступа к сети. В 2015 году разработчики заявляли, что «устранили уязвимость за несколько часов после репорта», однако группа исследователей, которая и указала на проблему, была с этим категорически несогласна:

    Они говорят, что устранили уязвимость за несколько часов, но мы знаем, что это ложь. Разработчики просто сломали наш метод проверки, а сами сообщили, что уязвимость устранена. Кроме этого, дыр было не две, как они сообщают, а шесть.

    В конфликте 2015 года фигурировала не просто кража персональных данных через плагин. Тогда разработчиков обвиняли в преступной халатности, продаже доступа к сети сомнительным лицам и даже в предоставлении возможности исполнять код на стороне пользователя без его ведома.

    В отличие от пользователей Tor, которые чаще всего осознают, что они делают и какие доступы предоставляют, работающий «из коробки» плагин обрел популярность среди рядовых пользователей, которые могут даже не до конца понимать, как работает эта «волшебная кнопка» в Chrome — для них важен лишь конечный эффект в виде доступности заблокированных ресурсов и условной анонимности.

    Whalesburg

    73,38

    Создаем умную майнинговую платформу

    Поделиться публикацией
    Комментарии 15
      +2
      Забавно, что как раз за пару дней до этого я уточнял на ethereum.stackexchange.com — Can myetherwallet be “hacked” from the browser extension?
        +2
        Вы бы уж и результат привели (ответили «да» и посоветовали вообще включить умеренно беспокойного параноика, если это действительно беспокоит).
          0
          Привел для этого ссылку на сам вопрос :)

          Самое главное из ответа:

          If you have given a browser extension permission to do so, it can access all data on all pages you use, including MyEtherWallet. You're placing trust in the browser extension.

          You can increase your security by only accessing MyEtherWallet on a browser without extensions, for example Chrome's incognito mode.


          Перевожу примерно: не доверяете расширению — не устанавливайте. Иначе рискуете. Нужны расширения, но страшно за свою безопасность / приватность / etc? Проще всего использовать для этого инкогнито режим (вроде как он есть во всех браузерах)
            0
            Нужны расширения, но страшно за свою безопасность / приватность / etc? Проще всего использовать для этого инкогнито режим

            А разве расширения в нём не работают? По крайней мере в FF работают.
              0
              Не берусь говорить насчет FF, в хроме и его форках по дефолту расширение не работает в приватном режиме. Только если вы руками поставили галочку в chrome://extensions/.
          0

          Пользуясь случаем, какой бесплатный или простой впн (родителям установлю) посоветуете? Кроме оперы.)

            +2
            Бесплатный продукт означает что товар Вы
              0
              Самый дешевый вариант, это поставить VPN на какой-нибудь VPSке за доллар. Все бесплатные сервисы это сомнительно, непонятно что они и как анализируют. Уже были скандалы с HotSpotVPNShield и другими сервисами.
                0
                А какие VPS за доллар? За пять знаю.
                  0
                  Aruba.it за 1 евро, наверно и другие есть.
                    0
                    del
                0
                А, это обьясняет тогда почему после установки недавно свежей версии с маркета он начал жрать ресурсы мобилы как не в себя. как обнаружил сразу снес, да и не очень то и надо было
                  0
                  В свое время хотел установить себе данный плагин для хрома, но что-то он не заработал тогда. Возможно это был знак свыше…
                    0
                    К слову, основатель Hola и и его CTO — первый хакер в Израиле, которого поймали и публично посадили)))

                    Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                    Самое читаемое