20533
Чаще про c̶y̶b̶e̶r̶s̶e̶x̶ cybersec Нет, «опасносте» не опечатка @alexmaknet Размещение рекламы остановлено в связи с войной России против Украины
В Великобритании пытаются принять закон, в рамках которого в мессенджерах и других безопасных сервисах должны будут появиться бекдоры для просмотра переписки. технологические компании активно этому сопротивлятся, и вот Apple говорит, что скорее уберет Messages из системы, чем откроет доступ к шифрованию
https://www.bbc.com/news/technology-66256081
Умер Кевин Митник
https://www.nytimes.com/2023/07/20/technology/kevin-mitnick-dead-hacker.html
ЛОЛ, одна пропущенная буква, а такой провал — TLD .ML вместо .MIL
https://arstechnica.com/information-technology/2023/07/typo-leaks-millions-of-us-military-emails-to-mali-web-operator/
Microsoft опубликовала “разъяснение” по поводу китайской группировки Storm-0558 и того, как она недавно смогла взломать учетки госслужащих США, включая госдепартамент и министерство торговли.
TL;DR взлом произошел с использованием трех уязвимостей в Exchange Online и Azure Active Directory. Что странно — это усилия, которые применяет Microsoft, чтобы не называть эти уязвимости zero day. При этом хакеры использовани ключ подписи от потребительского облачного сервиса, но при этом злоумышленники смогли использовать его для подписи токенов AAD.
https://www.microsoft.com/en-us/security/blog/2023/07/14/analysis-of-storm-0558-techniques-for-unauthorized-email-access/
https://www.wired.com/story/silk-road-variety-jones-sentencing/
Читать полностью…
июльский патч безопасности у Microsoft богат: 132 уязвимости, 6 из которых — в активной эксплуатации, 37 (9 из которых критичные) RCE.
https://news.sophos.com/en-us/2023/07/11/julys-patch-tuesday-a-rich-harvest/
про войну гадюки с жабой — сравнение того, кто собирает больше пользовательских данных, Twitter или Threads
https://www.wired.com/story/meta-twitter-threads-bluesky-spill-hive-mastodon-privacy-comparison/
Интересная уязвимость в Revolut, позволившая злоумышленникам украсть 20 млн долларов — там какая-то хитрость с возвратом денег по отклоненным транзакциям, когда деньги Революта возвращались злоумышленникам, с последующим снятием через банкоматы
https://archive.ph/Joh4a
эмердженси! эктивли экслойтед! и вот это все — в новом эпизоде сериала “Эпол выпускает срочный апдейт для iOS/macOS
Impact: Processing web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
Description: The issue was addressed with improved checks.
CVE-2023-37450: an anonymous researcher
https://support.apple.com/en-us/HT213823
https://support.apple.com/en-us/HT213825
конечно, нельзя обойти вниманием статью в NYT о том, что правоохранительные органы рф могут, как пишут некоторые сми, “читать переписку” в различных месседжах. Не хочу преуменьшать “полезность” для органов разных ведомств доступа к метаданным переписки, потому что даже с их помощью можно, сопоставив данные, много чего выяснить и определить, но никакой сенсационности и сюрпризов в этом, в общем-то, нет. Но статья все равно интересная с точки зрения описания возможных юзкейсов, где такие данные могут использоваться, а также перечисления компаний, которые занимаются разработкой решений для правоохранительных органов, которые потом эти самые метаданные используют.
https://www.nytimes.com/2023/07/03/technology/russia-ukraine-surveillance-tech.html
топ 25 слабых мест программного обеспечения с точки зрения информационной безопасности — то есть типичные ошибки, которые приводят потом к уязвимостям
https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html#tableView
(оказывается, телеграм не умеет прикреплять стикер к написанному сообщению, и просто отправляет стикер, убирая сообщение)
Читать полностью…
“Недавно Mikrotik исправили уязвимость, выявленную в декабре прошлого года. ZDI в свою очередь утверждает, что сообщили перед проведением Pwn2Own об этом Mikrotik, и также в ходе конференции одному из их сотрудников.”
https://blog.mikrotik.com/security/cve-2023-32154.html
https://www.zerodayinitiative.com/advisories/ZDI-23-710/
Sony, которая допустила утечку корпоративных данных просто потому что плохо замазали данные фломастером (данные оказались видны после сканирования) — это просто прелестно
https://www.theverge.com/2023/6/28/23777298/sony-ftc-microsoft-confidential-documents-marker-pen-scanner-oops
как известно, в IoT буква S отвечает за Security, а буква Д — за “долгосрочные перспективы”. Потому что когда компания-производитель модных электрических велосипедов обанкротилась, вся IT-инфраструктура, включая ту, которая генерит коды для разблокировки велосипедов, тоже оказалась под угрозой.
https://arstechnica.com/gadgets/2023/07/rival-e-bike-maker-helps-vanmoof-owners-grab-bike-keys-while-company-struggles/
Google тут сообщает, что для снижения рисков кибератак планирует в рамках пилотной программы посадить сотрудников за компьютеры без интернет-доступа. В принципе, все логично, конечно, но потом на сцену выйдут исследователи из Израиля, которые специальным удаленным сканером мозговых волн будут снимать содержимое экрана пользователя
https://www.cnbc.com/2023/07/18/google-restricting-internet-access-to-some-employees-for-security.html
Критические уязвимости в Adobe ColdFusion
https://helpx.adobe.com/security/products/coldfusion/apsb23-41.html
JumpCloud подтвердили взлом и опубликовали информацию о случившемся. Подозревается в взломе группировка из Серверной Кореи
https://jumpcloud.com/blog/security-update-incident-details
какая прекрасная история про то, как Sophos обнаружили 133 вредоносных драйвера, подписанных честными сертификатами, и при этом 100 из них были подписаны Microsoft
https://news.sophos.com/en-us/2023/07/11/microsoft-revokes-malicious-drivers-in-patch-tuesday-culling/
и не менее веселое продолжение
Microsoft blocks a new batch of system drivers, but the loophole empowering them remains.
https://arstechnica.com/security/2023/07/hackers-exploit-gaping-windows-loophole-to-give-their-malware-kernel-access/
у MOVEit, уязвимость которой сделала компанию ответственной за массу взломов и кражу данных в последнее время, похоже, очередная срочная дыра в безопасности
https://community.progress.com/s/article/MOVEit-Transfer-2020-1-Service-Pack-July-2023
Данные производителя аксессуаров для компьютеров Razer доступны к покупке, хотя Razer все еще вроде как отрицает факт взлома
https://www.databreaches.net/intellectual-property-allegedly-from-razer-appears-for-sale-on-hacking-forum/
Про Страву я неоднократно писал, но, как правильно указывают, you can’t make this shit up
Читать полностью…
https://www.theregister.com/2023/07/03/338000_fortinet_firewalls_vulnerability/
Читать полностью…
Неизвестные хакеры заявили, что взломали компанию, которая предоставляет спутниковые коммуникации для различных государственных служб рф. взлом никто не подтвердил, но сервисы компании лежали около 14 часов.
https://cyberscoop.com/russian-satellite-hack-wagner-group/
интересная история развивается в Казахстане, где власти время назад арестовали бывшего менеджера Group-IB Никиту Кислицина по запросу США в рамках дела о взломах многолетней давности. Видимо, чтобы не допустить экстрадиции Кислицина в США, суд в москве срочно выписал ордер на его арест.
https://www.cnews.ru/news/top/2023-06-28_arestovan_byvshij_glavred
прекрасная история для пятницы. Школа в штате Иллинойс, в рамках аудита(!) кибербезопасности(!) случайно(!) сбросила пароли всех(!) учеников — ну ладно, их вендор это сделал, но не суть. А суть в том, что гении в школе решили, что лучший выход из этой ситуации — это поменять всем(!) ученикам пароль на ОДИН И ТОТ ЖЕ — “Ch@ngeme!”, и сообщить об этом ВСЕЙ!!! школе!
на следующий день администрации школы донесли, что это глупость несусветная, и они занялись улучшением процедуры, но это не помешало некоторым родителям залогиниться в учетки других учеников и обнаружить там различные материалы.
https://techcrunch.com/2023/06/29/high-school-changes-every-students-password-to-chngeme/
о криминализации шифрования
https://www.laquadrature.net/en/2023/06/05/criminalization-of-encryption-the-8-december-case/
еще несколько ссылок от читателей, которые накопились в ТГ
https://arstechnica.com/security/2023/06/prominent-cryptocurrency-exchange-infected-with-previously-unseen-mac-malware/
Большой отчет о мессенджерах и безопасности данных, о которой так много говорят. Изучены Messenger (Meta), WhatsApp, Signal, Telegram, Messages by Google, Apple Messages
https://techpolicy.press/wp-content/uploads/2023/06/What-Is-Secure-An-Analysis-of-Popular-Messaging-Apps-20-June-2023.pdf
- отсутствие шифрования по умолчанию, как у Телеграма и Мессенджера Меты, плохо
- пользователи мало понимают отличия цветов, как в iMessages
- минимизация и шифрование метаданных, как у Signal — хорошо
- мессенджеры, расширяющие свою функциональсть фичами социальных сетей, повышают риски безопасности для пользователей