В клиенте PyBitmessage обнаружена 0Day-уязвимость

Создатели официального BitMessage-клиента PyBitmessage выпустили экстренное обновление, устраняющее критическую уязвимость, использовавшуюся в атаках на ряд пользователей PyBitmessage 0.6.2. Одним из пострадавших оказался разработчик BitMessage Петер Шурда (Peter Šurda). Он порекомендовал пользователям не связываться с ним по старому адресу и признал, что его ключи, скорее всего, были скомпрометированы. Новый адрес добавлен в версию PyBitmessage 0.6.3.2.

«Если вы подозреваете, что ваш компьютер был скомпрометирован, смените все ваши пароли и создайте новые ключи bitmessage», - отметил Шурда.

Уязвимость, связанная с шифрованием сообщений, была исправлена с выпуском версии 0.6.3.2. Поскольку проблема не затрагивает PyBitmessage 0.6.1 пользователи также могут откатиться до данной версии. Атакующий может проэксплуатировать уязвимость путем отправки вредоносного сообщения.

Как пояснил Шурда, атакующий использовал уязвимость для удаленного выполнения команд и кражи биткойнов из электронных кошельков Electrum. По его словам, злоумышленник «запустил автоматизированный скрипт, но также открыл или пытался открыть удаленную обратную оболочку», с помощью которой мог получить доступ к другим файлам.

В настоящее время расследование атак продолжается, более полную информацию разработчики пообещали предоставить чуть позже.

BitMessage - криптографический мессенджер с открытым исходным кодом написанный на C++ и Python, использующий децентрализованную P2P-сеть. Сеть BitMessage работает по принципу шифрования всех входящих и исходящих сообщений каждого пользователя, используя сильные алгоритмы шифрования, таким образом, что только получатель сообщения способен его расшифровать. Популярность сети резко возросла после того, как стало известно о программах слежки, проводимых Агентством национальной безопасности США и другими спецслужбами.