«Лаборатория Касперского» предоставила статистику Российских кибератак текущего года. Уязвимость десериализации позволила похитителям красть данные в 2 раза чаще как у пользователей, так и у компаний.
Видимый скачок этой угрозы наблюдается в апреле текущего года, когда активность злоумышленников, по сравнению с апрелем 2021 года, выросла в 3 раза. Программное обеспечение хранит и передаёт потоки различных данных. Передача чаще осуществляется сериализацией в последовательность байтов, записывая объект в хранилище, а когда понадобится, объект десериализуется в обратном порядке. Если данные не подвергаются специальной проверке, это становится уязвимостью, именуемой «небезопасной десериализацией». Пользуясь этой слабостью, злоумышленники приводят в действие зловредные программы, инициируют отказ, фальсифицируют код на устройствах и серверах, чтобы получить к ним доступ. Это формирует риск потери конфиденциальных данных и денежных средств со счетов жертв.
«Новые киберриски — вечный спутник новых технологий. Вместе с распространением ПО, созданного с применением продвинутых инструментов, например, управляемых языков программирования, расширяется и перечень угроз, направленных на эти технологии. Уязвимость небезопасной десериализации актуальна для большинства популярных языков, таких как Java, C#, C/C++, Python, Ruby, ASP.NET, PHP. Обычно в современных библиотеках, как встроенных в ядро языка, так и сторонних, присутствуют различные механизмы по устранению этой уязвимости. Но на деле разработчики часто забывают ими воспользоваться или недостаточно прорабатывают исходный код, особенно, если сказывается недостаток опыта в написании безопасных программ», — Алексей Кулаев, ведущий вирусный аналитик «Лаборатории Касперского».