Уинстон Бонд, технический менеджер из компании Arxan Technologies для выделения рисков разработал фиктивное банковское приложение и успешно подключил его к внешнему серверу.
При этом он использовал средства отладки программ, воспользовавшись «дырами» в исходном двоичном коде, куда и вставил команды перехода на фиктивное банковское приложение.
Исходный код открывает хакерам, как пошагово работает приложение, необходимое для выполнения определённых задач, а также сведения о структуре приложения.
Хакеры способны манипулировать этим исходным кодом, добавляя строки команд, выгружающих малверное приложение на внешний сервер.
Более сложные коды используются для создания правил — например, что каждый раз, когда платежное поручение выполняется, то же самое количество денег отправляется на счёт хакера.
Продвинутые хакеры могут так изменить код, чтобы убрать эти изменения из основной программы, поэтому программа будет предполагать, что всё работает как надо.
После того, как были сделаны эти изменения, отредактированный код загружается обратно на сервер компании.
И, как описал Уинстон Бонд, все эти шаги могут быть выполнены с помощью инструментов, свободно доступных в Интернете, пишет gearmix.ru.
Во время демонстрации журналистам он успешно осуществил все эти действия и даже получил средства на свой фиктивный счёт.
