Сегодня 25 апреля 2017
18+
Теги → уязвимости
Быстрый переход

Microsoft устранила огромное количество уязвимостей в своих продуктах

Корпорация Microsoft выпустила одну из крупнейших порций патчей в своей истории: в общей сложности апдейты устраняют 135 уязвимостей в самых разнообразных программных продуктах и компонентах.

Опубликовано 18 бюллетеней безопасности, половина из которых содержат описание критически опасных «дыр». Такие уязвимости могут эксплуатироваться злоумышленниками с целью выполнения на удалённом компьютере произвольных операций, хищения конфиденциальной информации и пр. Ещё девять бюллетеней охарактеризованы «важными».

Уязвимости устранены в таких продуктах, как Windows, Internet Explorer, Microsoft Edge, Microsoft Office, Exchange, Skype for Business, Microsoft Lync и Silverlight. Один бюллетень целиком посвящён багам в Adobe Flash Player.

Важно отметить, что некоторые из «дыр», для которых выпущены патчи, уже используются злоумышленниками при проведении атак. Речь, в частности, идёт о нескольких уязвимостях в Microsoft Edge и Internet Explorer.

Столь большое количество апдейтов в марте отчасти объясняется тем, что Microsoft была вынуждена отменить выпуск патчей в феврале. Тогда в корпорации сообщили следующее: «В этом месяце, непосредственно перед выпуском обновлений, мы обнаружили потенциальную проблему, с которой могут столкнуться некоторые заказчики. К сожалению, данная проблема не может быть устранена до запланированного нами выпуска обновлений в феврале. После рассмотрения всех возможных вариантов мы решили отложить выпуск обновлений в этом месяце».

Более подробную информацию о мартовской порции «заплаток» можно найти здесь

Четыре из десяти уязвимостей Windows-систем приходится на браузеры

Компания ESET подвела итоги исследования распределения количества уязвимостей в различных приложениях и компонентах продуктов Microsoft.

Сообщается, что в общей сложности редмондский гигант устранил в прошлом году 518 уязвимостей в своём софте. Для сравнения: в 2015-м Microsoft закрыла 571 уязвимость.

Приблизительно треть выявленных в 2016 году «дыр» теоретически может использоваться злоумышленниками для удалённого исполнения вредоносного кода в атакуемой системе.

Примерно четыре из десяти уязвимостей приходится на браузеры. Так, в Internet Explorer в прошлом году обнаружено 109 уязвимостей, что в два раза меньше, чем в 2015 году. В новом Microsoft Edge, браузере по умолчанию в Windows 10, закрыто 111 уязвимостей. При этом важно отметить, что ни одна из «дыр» в Edge не использовалась в 2016-м в кибератаках до выхода закрывающих обновлений.

Компания ESET также выяснила, что количество закрытых уязвимостей в офисных приложениях Microsoft за год подскочило практически в три раза — с 24 до 68. Кроме того, примерно в четыре раза возросло число багов различных компонентов пользовательского режима Windows — 116 против 30 в 2015 году. 

Брешь в процессорах Skylake делает возможной атаку через USB 3.0

Современные процессоры и чипсеты — устройства чрезвычайно сложные. В процессе их проектирования, отладки и выпуска в серию ошибки неизбежны, но ошибка ошибке рознь: порой некоторые ошибки приводят к появлению уязвимостей, позволяющих захватить контроль над целой системой. Недаром технология Intel AMT, призванная упростить управление удалёнными системами, вызывает здоровый скептицизм у многих системных администраторов. Но то, что было обнаружено недавно специалистами из компании Positive Technologies, занимающейся вопросами компьютерной безопасности, существенно хуже. Как сообщает компания, некоторые процессоры Intel Skylake уязвимы до такой степени, что системы, в которых они установлены, могут быть взяты под полный контроль всего лишь с помощью интерфейса USB. Корни проблемы кроются в отладочном интерфейсе, предусмотренном Intel — он, по всей видимости, использовался в процессе «полировки» архитектуры Skylake перед её выпуском на рынок.

Хуже всего то, что отладчик Intel реализован на уровне ниже того, на котором оперирует обычное программное обеспечение, так что обнаружить сам факт вторжения не так-то легко; традиционные системы безопасности, работающие на обычном уровне, просто ничего не заметят. Содержится такой блок отладки лишь в некоторых процессорах Intel и доступен он через интерфейс USB 3.0. Специального оборудования для атаки не требуется, как выяснили специалисты Positive Technologies. Нужен лишь физический доступ к системе — по крайней мере, к её портам USB 3.0. На данный момент считается, что данная уязвимость свойственна только процессорам Skylake-U, то есть экономичным чипам, которые устанавливаются в ультрабуки и системы Intel NUC. Атакующий, получивший доступ к системе, может сделать с ней практически всё, что захочет, включая перезапись BIOS и доступ к любым данным. В отличие от всемирно известного червя Stuxnet, атака данного типа не зависит от типа установленной ОС, поскольку работает на более низком уровне; спастись отказом от Windows не получится. Российские специалисты Максим Горячий и Марк Ермолов рассказали о методах и способах такой атаки, а также мерах по её предотвращению на 33-м конгрессе Chaos Communications, который прошёл в Германии, в городе Гамбург.

Отладочный комплект ITP-XDP. В случае со Skylake-U не требуется

Отладочный комплект ITP-XDP. В случае со Skylake-U не требуется

Они отметили, что сам механизм изначально предназначался лишь для отладки процессоров и продемонстрировали возможную атаку с использованием интерфейса JTAG, который у описываемых процессоров доступен и по USB. В самом интерфейсе JTAG нет ничего нового и он давно используется производителями различного оборудования для отладки аппаратного обеспечения и наблюдения за функционированием ядра ОС, гипервизоров и драйверов. Процессоры Intel более ранних поколений для доступа к JTAG требовали использования специального устройства ITP-XDP, подключаемого к специальному порту на системной плате, но начиная со Skylake компания реализовала технологию DCI (Direct Connect Interface), позволяющую использовать JTAG через обычный интерфейс USB 3.0. Режим DCI должен быть включён, и это можно сделать несколькими путями (обычно требуется доступ к флеш-памяти, содержащей BIOS), а в ряде систем он включён по умолчанию. Была предсказана возможность новой волны атак типа Bad USB, но на этот раз гораздо более опасных. Меры защиты включают в себя использование технологии Intel BootGuard и запрета на включение режима DCI. В настоящее время сама Intel оповещена о наличии уязвимости в процессорах Skylake-U, остаётся ждать её официального ответа и соответствующих патчей.

Интенсивность кибератак в сегменте Интернета вещей в 2017 году возрастёт

Компания ESET обнародовала отчёт о тенденциях в сфере информационной безопасности, которые окажут влияние на киберпространство в 2017 году.

По мнению экспертов, злоумышленники продолжат активно атаковать пользователей мобильных устройств. Основной мишенью при этом будут оставаться владельцы Android-гаджетов. Так, если в 2015 году злоумышленники выпускали 200 новых вредоносных программ для Android каждый месяц, то в 2016-м их количество выросло до 300. В нынешнем году ежемесячное число новых Android-угроз прогнозируется на уровне 400.

Ожидается рост ущерба от киберугроз — программ-вымогателей, DDoS-атак и атак на устройства Интернета вещей. Более того, эксперты полагают, что в 2017-м могут появиться вымогатели нового типа, блокирующие «умные» устройства и требующие выкуп за восстановление доступа.

Специалисты ESET также считают, что в текущем году многие киберпреступники сосредоточат усилия на атаках на критическую инфраструктуру.

На этом фоне число уязвимостей популярных программных продуктов продолжит снижаться после рекорда 2014 года (7946). Так, в 2016 году зафиксировано 6435 «дыр». Но, как отмечают эксперты, эта статистика не даёт полной картины, поскольку доля критических уязвимостей растёт. 

Первая порция патчей Microsoft в 2017 году стала одной из самых небольших в истории

Microsoft выпустила первые в новом году обновления для своих программных продуктов: наблюдатели отмечают, что нынешняя порция патчей стала одной из самых небольших в истории редмондского гиганта.

Всего опубликовано четыре бюллетеня безопасности, но один из них затрагивает уязвимости в Adobe Flash Player при использовании на компьютерах с операционными системами Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10 и Windows Server 2016.

Информация о багах в продуктах Microsoft сосредоточена в трёх бюллетенях. Один из них описывает уязвимость в браузере Edge, которая может использоваться для повышения уровня привилегий в системе. Для организации атаки злоумышленнику нужно заманить пользователя на сформированную особым образом веб-страницу.

Ещё одна брешь выявлена в пакете офисных программ Microsoft Office. Киберпреступники могут выполнить на удалённом компьютере произвольный программный код, вынудив жертву открыть специально созданный файл.

Наконец, последний из опубликованных бюллетеней содержит описание уязвимости типа «отказ в обслуживании» (Denial of Service) в операционных системах Windows Vista, Windows 7, Windows Server 2008 и Windows Server 2008 R2.

Нужно отметить, что отныне информация об уязвимостях будет публиковаться корпорацией Microsoft не в традиционных бюллетенях, а на новом портале Security Updates Guide

Nintendo будет платить до $20 тыс. за обнаружение уязвимостей в 3DS

Nintendo анонсировала программу по поиску багов в своих устройствах из серии 3DS. Компания предлагает исследователям из сферы безопасности искать и сообщать ей об уязвимостях в карманной консоли и взамен получать денежные вознаграждения. Nintendo просит сообщать о тех проблемах, «которые могут поставить под угрозу окружение» 3DS. За обнаружение самых серьёзных критических уязвимостей в консоли будут платить до $20 тыс.

«Этими действиями Nintendo стремится создать лучший игровой опыт для всех», — заявила компания. С помощью программы по поиску багов она хочет избавиться от таких проблем, как, например, пиратство и модификация приложений с целью обмана игроков. Поэтому разработчики хотят знать о каждой уязвимости, которая может быть использована в таких целях. Среди них — уязвимости, позволяющие повышать пользовательские привилегии, получать контроль над ядром, использовать аппаратные баги для создания дешёвых копий Nintendo 3DS и находить ключи безопасности посредством утечки данных.

Минимальная награда за обнаружение уязвимости в карманной консоли — $100, а максимальная сумма, как уже было сказано выше, составляет $20 тыс. При регистрации уязвимости Nintendo просит указывать подробное описание обнаруженных проблем в системе безопасности 3DS и предоставлять программный код, доказывающий существование уязвимости.

При этом компания отметила, что на данный момент она заинтересована только в уязвимостях в 3DS и не будет обрабатывать информацию касательно багов в других устройствах и сервисах.

Три четверти российских пользователей работают с устаревшим ПО

«Лаборатория Касперского» выяснила, насколько актуальным с точки зрения безопасности является программное обеспечение, установленное на компьютерах российских пользователей.

Оказалось, что 77 % пользователей в нашей стране работают с устаревшим софтом. Причём на одном компьютере в среднем содержится семь приложений, которые требуют обновлений.

Именно продукты, требующие апдейта, зачастую становятся лазейкой для киберпреступников и вредоносного ПО. Наиболее активно с этой целью эксплуатируются уязвимости в браузерах и редакторах Microsoft Office. Так, в первом полугодии 2016 года на эти приложения в совокупности пришлось более 80 % «дыр».

«Лаборатория Касперского» также отмечает, что на компьютере каждого четвёртого пользователя в России имеются программы, о существовании которых он даже не подозревает. В среднем на одном ПК можно обнаружить два таких «сюрприза».

Кроме того, исследование показало, что приблизительно каждый третий пользователь в России просто забывает, какие программы содержатся на его устройстве. 

Уязвимость безопасности Quadrooter затрагивает 900 млн устройств Android

Обнаружено четыре уязвимости, получившие название Quadrooter. Они касаются смартфонов и планшетов под управлением Android, оснащённых процессорами Qualcomm, и дают злоумышленникам полный контроль над устройством. Специалисты Check Point, обнаружившие эти ошибки, утверждают, что проблема затрагивает более 900 миллионов аппаратов.

Злоумышленники могут подтолкнуть пользователя к установке вредоносной программы, которая не потребует каких-либо особых разрешений. Как только это произойдёт, взломщик получает root-права и полный доступ к данным взломанного устройства и его оборудованию, включая камеру и микрофон.

Опытным путём подтверждено, что собственные аппараты Google Nexus 5X, Nexus 6 и Nexus 6P не избавлены от этой проблемы, а также популярные флагманы Samsung Galaxy S7 и S7 Edge, не говоря уже о других моделях, уязвимость которых очень вероятна. Даже недавно анонсированный BlackBerry DTEK50, который преподносится производителем как «самый защищённый Android-смартфон», всё-таки подвержен одной из четырёх уязвимостей.

Как отмечает представитель Google, на исправление одной из ошибок потребуется больше времени, так что полностью Quadrooter будет устранена не ранее сентября.

За найденные баги Apple будет платить до $200 тыс.

Большинство крупных компаний, таких как Microsoft, Fiat Chrysler, United Airlines и другие, щедро вознаграждают специалистов по безопасности, которые находят «дыры» в их программном обеспечении. Например, Google за последний год заплатила в совокупности $550 тыс. тем, кто находил уязвимости в операционной системе Android. А Facebook за шесть лет потратила на свою премиальную программу по нахождению багов более $4,3 млн.

techviral.com

techviral.com

В компании Apple такой практики до последнего времени не было. Возможно потому, что в её операционных системах уровень безопасности выше и критические ошибки встречаются реже, чем в Windows. Многие добросовестные хакеры, найдя ошибки, сообщали об этом Apple. Но кто-то хотел и заработать на этом, продавая информацию о найденных уязвимостях заинтересованным лицам. С новой премиальной программой Apple у исследователей будет теперь больше стимула сообщать о своих находках непосредственно разработчикам, а не злоумышленникам.

techviral.com

techviral.com

На известной конференции по информационной безопасности Black Hat глава соответствующего подразделения Apple Иван Крстич (Ivan Krstic) отметил, что за нахождение уязвимости компания вознаградит суммой до $200 тыс. Конечно, размер премии будет зависеть, скорее всего, от серьёзности найденной «дыры» и сложности проделанной работы.

Программа стартует в сентябре, и будет охватывать и поощрять, в первую очередь, несколько десятков исследователей, с которыми компания уже сотрудничала ранее. Но это не будет закрытый эксклюзивный клуб. Если кто-то другой найдёт ценную уязвимость, Apple вознаградит его.

«Лаборатория Касперского» заплатит за обнаружение уязвимостей в своём ПО

«Лаборатория Касперского» запустила программу Bug Bounty по поиску уязвимостей в своём программном обеспечении. Об этом сообщает «Коммерсантъ» со ссылкой на информацию, полученную от представителей российской антивирусной компании.

«Лаборатория Касперского»

«Лаборатория Касперского»

Схема Bug Bounty заключается в том, что сторонние специалисты в области информационной безопасности проверяют программные продукты или веб-ресурсы на предмет наличия уязвимостей. Разработчики в данном случае обычно выплачивают «белым хакерам» вознаграждение за обнаруженные баги. Сумма премий варьируется в зависимости от актуальности сведений, наличия эксплойта и уровня опасности.

«Лаборатория Касперского»

«Лаборатория Касперского»

«Лаборатория Касперского» планирует реализовать программу Bug Bounty в несколько этапов. На первом, который стартует на этой неделе, специалистам будет предложено заняться поиском багов в пакетах Kaspersky Internet Security и Kaspersky Endpoint Security. Этап продлится шесть месяцев, а общая сумма вознаграждений за обнаруженные уязвимости составит 50 тысяч долларов США.

После завершения первой фазы программы Bug Bounty «Лаборатория Касперского» решит, какие программные продукты будут включены во вторую. Предполагается, что инициатива позволит повысить качество программного обеспечения. 

Microsoft убрала возможность установки Linux на свои ARM-планшеты

Выпуск операционной системы Windows RT был с самого начала неплохой идеей: распространение на планшетную платформу привычной рабочей среды привлекло бы многих пользователей, которым приходится работать в дороге. Но с реализацией этой идеи с самого начала что-то не заладилось: по неизвестным причинам настольных приложений под Windows RT было выпущено крайне мало, а плиточных, ориентированных на планшетный интерфейс, — лишь немногим больше. Совместимость с ПО для Windows x86, разумеется, отсутствовала, а установка сторонних приложений не из магазина Microsoft была запрещена, хотя имелись способы обхода этого запрета.

В итоге система оказалась мертворождённой, но с аппаратной точки зрения сами устройства Microsoft с процессорами ARM были неплохими и потенциально могли бы стать хорошими Linux-устройствами. Да, сами устройства были созданы таким образом, чтобы обеспечивать загрузку только подписанных Microsoft программ, но в программной части была уязвимость, позволяющая отключить эту проверку и, по крайней мере, в теории, установить любую операционную систему, рассчитанную на работу в 32-битной среде ARMv7. Появлялась также возможность установки неподписанных драйверов и стороннего программного обеспечения.

К сожалению, Microsoft решила собственной рукой уничтожить все устройства на базе Windows RT. Во-первых, поддержка планшетов Surface RT закончится уже в конце этого года, а самой операционной системы — в 2018 году. Всякая разработка для Windows RT 8.1 прекращена. Но последний патч MS16-094, закрывающий ряд уязвимостей, полностью закрыл и возможность установки на Surface RT сторонней операционной системы. Это обновление было выпущено для всех систем MS, но если на платформе x86 оно оказалось полезным, то в случае с Windows RT лишило эти устройства последних остатков привлекательности.

Автопроизводители начинают привлекать хакеров для поиска «дыр» в ПО и сервисах

Компания Fiat Chrysler Automobiles (FCA) при участии веб-площадки Bugcrowd инициировала программу привлечения сторонних специалистов в области IT-безопасности для поиска уязвимостей в автомобильном программном обеспечении и сопутствующих сервисах.

Напомним, что в прошлом году FCA столкнулась с серьёзной проблемой, связанной с медиасистемой Uconnect. Выяснилось, что в бортовом ПО ряда моделей Chrysler присутствовала уязвимость, позволявшая захватить удалённый контроль над ключевыми системами автомобиля через сотовую сеть. Теоретически злоумышленники могли взять на себя управление рулём, тормозами, акселератором и трансмиссией. В результате, концерн FCA был вынужден в срочном порядке отозвать 1,4 млн машин разных моделей.

Дабы предвосхитить подобные ситуации, компания анонсировала программу поиска уязвимостей Bug Bounty. Её суть заключается в том, что сторонние специалисты в области информационной безопасности проверяют программные продукты или веб-ресурсы на предмет наличия «дыр». Автопроизводитель будет выплачивать «белым хакерам» вознаграждение за обнаруженные баги. Сумма премий варьируется в зависимости от актуальности сведений и уровня опасности: минимальная награда, обещанная FCA, составляет $150 за уязвимость, максимальная — $1500.

Нужно добавить, что через площадку Bugcrowd вознаграждение в размере от $100 до $10 000 за найденные «дыры» также предлагает компания Tesla, выпускающая электромобили с возможностью обмена данными через мобильную сеть. Таким образом, проблема безопасности автомобильного ПО и сопутствующих сервисов становится всё более актуальной. 

Новый способ кражи данных: вентиляторы систем охлаждения

Как знает любой системный администратор, абсолютно надёжный в плане недоступности данных компьютер отключён от всех сетей, включая питание, и помещён в надёжно запертый сейф. Разумеется, это шутка, но в последнее время разработчики различных вредоносных приложений продвинулись настолько, что это даже несколько пугает: в войне «брони и снаряда» явно выигрывает снаряд. Так, новый способ беспроводной передачи информации с работающей системы основан на акустических эффектах, а именно — на шуме, издаваемом вентиляторами систем охлаждения. Он легко преодолевает даже так называемый «воздушный промежуток», когда атакуемая система полностью отключена от всех сетей.

В наши дни любой продвинутый сервер, рабочая станция или игровой ПК оснащены массой вентиляторов, причём все они не просто подключены к питанию, а управляются «умными» контроллерами, которые, в свою очередь, могут управляться соответствующим образом написанным программным обеспечением (достаточно вспомнить утилиту SpeedFan). Разработчики из Cyber Security Labs в университете имени Бен-Гуриона указали, что даже это свойство может служить точкой утечки информации. Заражённая система по приказу внедрённого специального вредоносного ПО начинает менять скорости вентиляторов в пределах 1000‒1600 об/мин, создавая, таким образом, эффект своеобразной частотной модуляции. Передаваемая наружу информация зашифровывается в изменении тона звучания вентиляторов.

Достаточно записать шумовую картину на любое устройство, оснащённое достаточно чувствительным микрофоном — а сегодня для этого подходит большинство обычных смартфонов, а затем подвергнуть несложной дешифровке получившийся звуковой файл. Таким образом данные могут утекать помимо желания владельцев системы, даже если та использует «воздушный промежуток» и не подключена ни к каким сетям. Более того, она может быть лишена монитора и клавиатуры. Скорость передачи данных с помощью акустической модуляции может достигать 1200 бит в час (150 символов в час). Не слишком серьёзно, но для кражи паролей или ключей вполне достаточно. Единственной надёжной защитой от этой атаки является использование полностью бесшумных систем охлаждения. Там, где это действительно необходимо, не помешает также политика запрета на использование устройств, оснащённых микрофонами.

Русский хакер опубликовал базу с 33 млн аккаунтами Twitter

В мае поступили сообщения о том, что миллионы учётных записей LinkedIn, Myspace и других социальных сетей взломаны. Теперь пришла очередь Twitter. Сообщается, что русский хакер под псевдонимом Tessa88 продаёт базу, состоящую из 32 888 300 учётных записей пользователей Twitter (с адресами электронной почты, паролями и именами пользователей). Это более 10% от числа активных пользователей социальной сети за месяц.

Продаётся база относительно недорого — за 10 биткоинов (в настоящее время — порядка $5810). Сообщается также, что продавец может предложить заинтересованным лицам также базы пользователей LinkedIn и Myspace. «Чтобы помочь людям защитить свои учётные записи, мы предпринимаем меры против последствий публикации последних массовых утечек паролей», — сообщила социальная сеть микроблогов.

Вероятнее всего, речь идёт не о прямом взломе учётных записей, а скорее о базе, собранной при помощи мошеннических техник вроде фишинга. По крайней мере, недавняя утечка миллионов учётных записей пользователей «ВКонтакте», согласно заявлению представителей этой социальной сети, относилась именно к такой категории.

Тем временем поисковый движок по уязвимостям LeakedSource заполучил базу и пополнил ею своё собрание, так что пользователи Twitter могут проверить, были ли украдены их данные. Заодно выяснилось, что люди не очень заботятся о своей безопасности и среди украденных «паролей» по-прежнему лидируют простейшие вроде: «123456», «qwerty», «password», «111111». База во многом представлена учётными записями российских пользователей: на первых местах — почтовые ящики @mail.ru (5 млн записей) и @yandex.ru (1 млн записей). Но в базе немало аккаунтов, зарегистрированных и в зарубежных почтовых службах (@yahoo.com — 4,7 млн, @hotmail.com — 4,5 млн, @gmail.com — 3,3 млн). LeakedSource утверждает, что данные были украдены при помощи вредоносной программы через браузеры Firefox и Chrome.

Стоит отметить, что не так давно поступили сообщения о взломе учётных записей Twitter известных людей вроде исполнительного директора Facebook Марка Цукерберга (Mark Zuckerberg) и певицы Кэти Перри (Katy Perry). Последняя является рекордсменом по количеству подписчиков в этой социальной сети — 89 миллионов человек.

В России заработала биржа по продаже уязвимостей в ПО

В России появилась онлайновая биржа, через которую «белые хакеры» и специалисты в области информационной безопасности смогут продавать уязвимости в популярном программном обеспечении (ПО).

Как сообщает «Коммерсантъ», сервис expocod.com основан Андреем Шороховым, ранее работавшим в финансовой разведке в управлении финансовых расследований Росфинмониторинга. Предполагается, что информация о «дырах» в ПО, купленная через новую площадку, затем будет перепродаваться государственным структурам, спецслужбам и компаниям, работающим в сфере IT-безопасности. Те, в свою очередь, смогут проводить тесты на проникновение с целью улучшения защиты компьютерных систем.

На сайте сервиса представлен прайс-лист с ценами на уязвимости в различных продуктах. К примеру, за сведения о «дырах» в Adobe Acrobat и Adobe Flash может быть заплачено $55 000. За информацию об уязвимостях в популярных браузерах основатели сервиса готовы отдать от $35 000 до $60 000. Кроме того, могут быть куплены сведения о брешах в офисных продуктах, операционных системах и различных веб-платформах.

К концу года, как уточняет «Коммерсантъ», оборот Expocod от сделок по приобретению эксплойтов у разработчиков и хакеров составит около 100–120 млн рублей. Оплата будет проводиться банковскими переводами или криптовалютой.

Отмечается также, что Expocod планирует самостоятельно искать уязвимости, а также работает над созданием своего ПО с набором тестовых эксплойтов, которое позволит оценивать степень защищённости какой-либо IT-системы. При этом информировать производителей об уязвимостях в их софте в планы Expocod не входит.