Адмыслоўцы з кампаніі Information Security Research Team (InSeRT) паведамілі аб выяўленні ў паштовай сістэме Gmail уразлівасці, якая ператварае серверы, абслуговыя email-трафік, у рассыльнікаў спаму. Выяўлены пралом дазваляе рэалізаваць класічны напад тыпу man-in-the-middle, якая падае патэнцыйнаму спамеру магчымасць рассылаць тысячы электронных паведамленняў праз SMTP-серверы Google без рызыкі быць выяўленым.
"Дадзены метад дазваляе абыходзіць як сістэму выяўлення махлярства, так і існы ліміт на 500 адрасоў у выпадку множнай адпраўкі лістоў. У тэорыі ўразлівасць дазваляе рассылаць калі заўгодна шмат лістоў", - кажуць у InSeRT.
Як растлумачылі ў кампаніі, уразлівасць крыецца ў магчымасці атакавалага абыходзіць белыя/чорныя спісы паштовых фільтраў, адпраўляючы паведамленні SMTP-серверам напроста. На сёння сістэма паштовай ретрасляции Google працуе адчынена, але для таго, каб прапусціць паведамленні праз яе, неабходна, каб яно (паведамленне) мінула сістэму верыфікацыі.
"Тэставы эксплоит дазволіў нам разаслаць за раз з аднаго акаўнта да 4000 паштовых паведамленняў, што ў 8 раз больш афіцыйнага ліміту", - кажуць даследнікі.
Дадатковая небяспека, звязаная з кампраметацыяй сістэмы Gmail, крыецца і для карыстачоў іншых паштовых сістэм, напрыклад Hotmail або Yahoo Mail, бо антыспамавыя фільтры, якія працуюць на ўзроўні ip-адрасоў, у гэтых сістэмах маюць даверныя адносіны з паштарамі Google. "Падчас эксперыменту мы паспрабавалі ажыццявіць масавае рассыланне некалькіх тысяч паведамленняў з выпрабавальнага кампутара, які быў занесены ў чорны спіс Yahoo і Hotmail. Дадзеная аперацыя не ўвянчалася поспехам. Той жа трук быў праведзены і праз SMTP-серверы Google, у дадзеным выпадку MX-серверы Yahoo і Hotmail апынуліся адчыненымі", - распавядаюць у InSeRT.