20313
Чаще про c̶y̶b̶e̶r̶s̶e̶x̶ cybersec Нет, «опасносте» не опечатка @alexmaknet Размещение рекламы остановлено в связи с войной России против Украины
И снова здравствуйте. Вы наверняка успели с четверга соскучиться по очередным новостям из мира опасностей для информации. Например, 10 ноября выйдет очередной апдейт OpenSSL — 1.1.0c, который включает себя исправление уязвимости с приоритетом High, что означает, что проблема существенная. опять начнется, что куча народу библиотеку не проапдейтит, и все будут бегать по кругу и кричать "АААААААААА" https://mta.openssl.org/pipermail/openssl-announce/2016-November/000085.html
Читать полностью…
Сегодня у меня специальный бонус для технарей — любителей технических деталей и подробного разбора. Помните Trident — три уязвимостей, которые позволяли удаленно "заджейлить" iPhone и внедрить в него шпионское ПО, собирающее информацию о пользователе и его действиях? Apple тогда еще выпускала срочный апдейт для iOS 9.3, который исправлял эти уязвимости. Короче, тут появился документ с очень качественным техническим анализом этих уязвимостей (44 страницы!) о том, как вначале уязвимость в Сафари позволяла исполнять код, как последующая уязвимость в ядре позволяла, по сути, рутить устройство, и как происходила эксалация прав для производства джейлбрейка. https://info.lookout.com/rs/051-ESQ-475/images/pegasus-exploits-technical-details.pdf
Читать полностью…
Да, и кстати. если вы мак-юзер, и в октябре искали в Google и скачивали оттуда Chrome (что, Сафари не нравится, да?), то есть риск, что вы могли скачать зловред для Мака. там были какие-то хитрецы, которые маскировались под рекламу Google, и подсовывали хитрые закачки под названием FLVPlayer.dmg, после установки которого вам предлагалось поставить потенциально нежелательную программу под названием Mac Purifier. там, короче, много чего, поэтому вот вам ссылка, изучайте, и берегите себя (и свои Маки. Впрочем, не Маки тоже берегите) https://blog.cylance.com/malvertising-on-google-adwords-targeting-macos-users
Читать полностью…
не совсем новости тематики канала, но близко. в Израиле в комитете по законодательству сочинили законопроект, по которому все порно-сайты по умолчанию должны быть заблокированы интернет-провайдерами. Для того, чтобы получить доступ к такому сайту, человек должен будет лично связаться со своим интернет-провайдером (по телефону или по почте) и запросить доступ к сайту. такой подход, по мнению законодателей, обеспечит защиту от доступа детей к подобным вебсайтам. Теперь Кнессет должен утвердить этот законопроект, и тогда он станет законом. Так что те, кто живет в Израиле, срочно выкачивайте Порнхаб, пока не заблокировали. а вообще, конечно, это риски для приватности — завтра в интернете всплывет база "кто запросил доступ к какому сайту", и кому-то может быть стыдно.
Читать полностью…
Забавно другое. я тут был недавно в Apple Store и увидел там страшно выглядящий черный дивайс с надписью Cellebrite. Оказывается, это такая хрень, которую используют сервисные чуваки в Apple Store для переноса данных клиентов на iPhone. например, приходит кто-то со старой Nokia или Motorola, покупает iPhone, и хочет перенести туда адресную книгу. Вот Apple и использует дивайс Cellebrite для этих целей. видимо, что-то отсюда http://www.cellebrite.com/Mobile-Lifecycle/Applications/content-transfer-backup-and-restore
Читать полностью…
а вот тут не менее увлекательная история о том, как подросток, используя уязвимость в iOS, вырубил колл-центр 911 в Аризоне. чуваки хотели заработать денег на программе выплаты призовых за обнаруженные уязвимости, сделали фейковую страничку и направили туда юзеров. в результате у этих юзеров телефон совершал звонок в колл-центр 911, который пользователи не могли отменить. в итоге они зафлудили колл-центр, полиция нашла автора и арестовала его, а теперь ему еще чего-нибудь впаяют. получит ли он призовые от Apple, тоже неизвестно https://staging.mcso.org/Multimedia/PressRelease/911%20Cyber%20Attack.pdf
Читать полностью…
Вы же все помните "взлом знаменитостей" в 2014 году, который подарил нам обнаженные фотографии Дженнифер Лоуренс и других известных теток? Чувак, который это сделал, получил 18 месяцев тюрьмы. взлома, конечно, как такового не было — методом обычного фишинга он получал доступ к паролям почты, а дальше уже было дело техники: скачать бекап с iCloud и вытащить из него данные (теперь 2FA поможет в защите от таких хитрецов). Забавно, что чувак из Ланкастера, штат Пенсильвания — города, в котором очень много амишей (это такая закрытая религиозная община анабаптистов). они известны тем, что всячески избегают всяких технологических новинок и вообще очень консервативны. http://www.welivesecurity.com/2016/10/28/nude-celebrity-photo-hacker-sentenced-18-months-prison/
Читать полностью…
давайте я вам еще немножко ужасов из мира инфосека расскажу. Милая китайская девушка с простым именем Wanqiao Zhang на конференции Ruxcon рассказала и, самое главное, показала... нет, не то, что вы подумали, а то, как в сетях LTE можно перехватывать и совершать звонки, отправлять текстовые сообщения и даже уводить телефоны в оффлайн. слайды с презентации вот http://www.slideshare.net/slideshow/embed_code/key/Ez63bGDQrP6EPY
Читать полностью…
алярма, пользователи iOS-устройств. Вчера, как известно, вышла iOS 10.1 (финальная, официальная, вот это всё). так вот, там исправлена одна важная уязвимость в CoreGraphics (CVE-2016-4673), которая позволяла после просмотра вредоносного JPEG получить возможность исполнения кода на устройстве. Детально о содержимом исправленных ошибок, относящихся к безопасности, можно почитать по ссылке, а вообще если вы еще не обновились, то рекомендуется не откладывать этот процесс https://support.apple.com/en-us/HT207271
Читать полностью…
в общем, вот, наверно, лучшая статья про пятничный DDoS на Dyn, вырубавший хорошую половину американского интернета с помощью IoT-устройств. Как и предполагалось, там применялась атака Mirai, которую заопенсорсили. большинство принимавших участие устройств в атаке — это системы наблюдения и IP-видеокамеры китайского производителя XiongMai Technologies. основной вектор атаки на эти устройства — логин-пароль по умолчанию, которые известны злоумышленникам, а юзерам даже не приходит в голову их менять. а когда приходит в голову, то они меняют их в веб-панели, а телнет-ssh логин-пароль остаются захардкожеными (слово-то какое!) в прошивке, и вот вам результат. а, главное, вообще непонятно, как с этим всем бороться. https://krebsonsecurity.com/2016/10/hacked-cameras-dvrs-powered-todays-massive-internet-outage/
Читать полностью…
Пишут, что атака на Dyn возобновилась, Twitter, GitHub, reddit и другие тоже могут работать с перебоями
Читать полностью…
если вдруг вы сталкивались сегодня с проблемами работы различных американских сайтов и сервисов, то знайте, что проблема не у вас. Один из крупнейших DNS-сервисов — Dyn — столкнулся сегодня с DDoS атакой, что привело к тормозам и невозможности доступа к очень многим сервисам:
ActBlue
Basecamp
Big cartel
Box
Business Insider
CNN
Cleveland.com
Esty
Github
Grubhub
Guardian.co.uk
HBO Now
Iheart.com (iHeartRadio)
Imgur
Intercom
Intercom.com
Okta
PayPal
People.com
Pinterest
Playstation Network
Recode
Reddit
Spotify
Squarespace Customer Sites
Starbucks rewards/gift cards
Storify.com
The Verge
Twillo
Twitter
Urbandictionary.com (lol)
Weebly
Wired.com
Wix Customer Sites
Yammer
Yelp
Zendesk.com
Zoho CRM
Сейчас уже Dyn пишет, что проблема исправлена (https://www.dynstatus.com/incidents/nlr4yrr162t8), но еще какие-то сбои в работе возможны
а вот среди вас наверняка же есть пользователи Linux. Тут такое дело... обнаружили уязвимость, которая присутствует уже 9 лет в практически всех версиях Linux, и позволяет эскалировать права для выполнения кода в системе. уязвимость CVE-2016-5195, исправлена на прошлой неделе, и рекомендуется к скорейшей установке при наличии апдейта для соответствующего дистрибутива. эксперты называют это самой серьезной проблемой с эскалацией привелегий в Linux. тут информация о самой уязвимости (http://dirtycow.ninja) — хорошее название, кстати, тут информация о патче https://lkml.org/lkml/2016/10/19/860. еще информация о самой уязвимости — https://access.redhat.com/security/vulnerabilities/2706661, https://bugzilla.redhat.com/show_bug.cgi?id=1384344#c16, https://github.com/dirtycow/dirtycow.github.io/wiki/VulnerabilityDetails
Читать полностью…
дратути! сегодня в программе у нас — статья на РБК с пересказом отчета Amnesty International о "самых безопасных мессенджерах" http://www.rbc.ru/technology_and_media/21/10/2016/5808f07e9a79471023e8b713?from=newsfeed
Читать полностью…
Хак за Родину (из американского Esquire)
Читать полностью…
а самое смешное в этой истории с уязвимостями Trident, которые эксплуатировал Pegasus, что этап два предусматривает установку джейлбрейка. НО! если джейлбрейк на телефоне уже есть, то малварь решает, что все хорошо и не устанавливает свои бинарники. В кои-то веки джейлбрейк оказался полезным
Читать полностью…
Битва двух фандомов — iOS и Android — не закончится никогда. Особенно когда это касается вопросов безопасности. Вообще среди экспертов по информационной безопасности считается, что iPhone более безопасен и более защищен, чем Android. Однако, во вторник на конференции директор по безопасности Android — Адриан Людвиг — заявил, что iOS и Android в плане защищенности практически одинаковые, а скоро Android будет даже лучше. Конечно, конечно, если говорить о телефонах Nexus/Pixel, где вам и шифрование пользовательского раздела, и регулярные апдейты, но 1-2% доли рынка среди устройств с Android. впрочем, ему по работе так надо говорить, чо уж там https://motherboard.vice.com/read/google-security-engineer-claims-android-is-now-as-secure-as-the-iphone
Читать полностью…
тут какая-то очень странная история между Google и Microsoft. Если вкрации, то Google обнаружила уязвимость в Windows, и 21 октября сообщила о ней в Microsoft. и всего 10 дней спустя опубликовала информацию об этой уязвимости. мало того, что эта уязвимость на момент публикации уже активно эксплуатировалась, так еще и теперь, с публикацией, риск только повышается. Короче, как-то очень нехорошо себя Google повела http://venturebeat.com/2016/10/31/google-discloses-actively-exploited-windows-vulnerability-just-10-days-after-reporting-it-to-microsoft/
Читать полностью…
тут хакеры Shadow Brokers, выложившие в свое время инструменты NSA, продолжают выкладку материалов shadowbrokerss/message-5-trick-or-treat-e43f946f93e6#.m1phqi1vw" rel="nofollow">https://medium.com/@shadowbrokerss/message-5-trick-or-treat-e43f946f93e6#.m1phqi1vw
Читать полностью…
и в качестве вечернего бонуса-лонгрида — большая статья о Cellebrite, компании, которую вы, возможно, знаете как взломщика iPhone 5c, принадлежавшего террористу из Сан Бернардино. Статья рассказывает об истории компании, об инструментах, применяемых компанией, и о сервисах, которые она предоставляет по "доставанию" информации со смартфонов iOS и Android. https://theintercept.com/2016/10/31/fbis-go-hackers/
Читать полностью…
и снова здравствуйте. вы ведь соскучились по свежим новостям информационной безопасности, а точнее даже опасносте? Вот, например, читатель Михаил прислал ссылку на эксперимент Атлантик, в рамках которого чуваки создали виртуальный тостер, подключенный к интернету, и уже в течение часа его попытались хакнуть. оригинал истории https://www.theatlantic.com/technology/archive/2016/10/we-built-a-fake-web-toaster-and-it-was-hacked-in-an-hour/505571/, на русском об этом можно почитать тут https://meduza.io/feature/2016/10/31/zhurnalist-sozdal-feykovyy-toster-s-vyhodom-v-internet-ego-vzlomali-cherez-chas
Читать полностью…
Из самого интересного на сегодня у меня для вас есть отчет компании Dyn о той самой DDoS-атаке на их DNS на прошлой неделе. Собственно, самое основное, что вам нужно знать — это что для атаки действительно был использован ботнет Mirai из IoT-устройств. компания вместе с правоохранительными органами ищет виновных. периодически в пике атака достигала 1,2Терабита в секунду. Вот уж правда, убьет человечество скайнет из тостеров, лампочек и термостатов. http://dyn.com/blog/dyn-analysis-summary-of-friday-october-21-attack/
Читать полностью…
интересный твиттер-тред о том, что, похоже, iMessage — единственный мессенджер, который поддерживает end-to-end encryption и при этом работает сразу на многих устройствах. местами криво работает, но вообще работает, в отличие от других мессенджеров https://storify.com/gruber/messaging-systems-that-support-a-e2e-encryption-an#publicize
Читать полностью…
и вот в догонку — Hangzhou Xiongmai объявила отзыв камер в свете того, что они используются для организации DDoS-атак http://www.bbc.com/news/technology-37750798
Читать полностью…
в начале октября (/channel/alexmakus/721) писал про релиз исходного кода Mirai — кода, который позволял строить ботнеты из IoT-устройств и организовывать DDoS-атаки. так вот сегодняшняя атака на Dyn, вырубившая огромное количество сервисов в интернете, в том числе использует код Miran)
Читать полностью…
вот тут еще публикация со странной историей про JS-скимеры в онлайн-магазинах (то есть где воруют данные карточек) и про то, что Github удалил этот список магазинов. берегите себя https://geektimes.ru/post/281516/
Читать полностью…
а помните, я вчера писал про то, что у подрядчика NSA обнаружили залежи информации из NSA? (/channel/alexmakus/755) тут всплыл судебный документ по этому поводу (https://assets.documentcloud.org/documents/3149129/United-States-v-Harold-T-Martin-III.pdf), из которого следует, что по КОНСЕРВАТИВНЫМ ОЦЕНКАМ объем изъятой информации у чувака составляет 50 ТЫСЯЧ ГИГАБАЙТ. Понятно, что, скорей всего, не все из этого — украденная секретная информация, но вообще некисло так
Читать полностью…
по этому поводу есть парочка интересных моментов. такой список без присутствия там в топ-позициях мессенджера Signal — профанация темы вообще. а по поводу того, что там на первом месте Facebook, а не Телеграм, уже подгорело у Дурова https://twitter.com/durov/status/789407530560532480
Читать полностью…
тут в очередной раз поднимается тема вопроса о том, может ли полиция заставлять человека разблокировать телефон своим отпечатком пальца. у Washington Post статья на тему того, как в этом всем фигурирует Пятая поправка к Конституции США (невозможность свидетельствовать против себя), и разблокировка телефона сканером отпечатка пальца как доказательство принадлежности телефона человеку. и что делать вообще с принуждением человека к прикосновению к телефону, если оказывается, что "ключ к разблокировке" — это тело человека. но вообще статья не дает ответа на вопрос, насколько это все легально и оставляет тему открытой. https://www.washingtonpost.com/news/volokh-conspiracy/wp/2016/10/19/can-warrants-for-digital-evidence-also-require-fingerprints-to-unlock-phones/?utm_term=.2cbd8c3e2513
Читать полностью…
и вот еще статья в The New York Times, как у подрядчика обнаружили залежи украденных у NSA документов и инструментов для взлома. и после этого ФБР будет рассказывать "ну вы сделайте тут бэкдор для айфона, мы его будем надежно хранить, никто его не заполучит". хахаха. остается только отдать должное Apple, что у компании тогда хватило яиц противостоять ФБР http://www.nytimes.com/2016/10/20/us/harold-martin-nsa.html?_r=1
Читать полностью…