Aktualności

Jeśli nasze być albo nie być zależy od ekstremalnie wysokiego bezpieczeństwa, możemy schować komputery w bunkrze i unikać połączeń z siecią zewnętrzną. Zwykle jednak, dopóki nie mamy nic wspólnego z bronią jądrową, każda działalność wymaga takiego dostępu, za cenę nieustannego obserwowania, czy ktoś nie próbuje przeniknąć do naszej sieci.

Świadomie lub nie, wielu z nas ma okazje korzystać z aplikacji typu „Desktop Web”, czyli takich, których integralną część stanowi przeglądarka WWW lub przynajmniej interpreter JavaScript. Okazuje się, że często takie rozwiązanie stosowane jest w środowiskach programistycznych (IDE), chociażby do generowania podglądu tworzonego dokumentu Markdown. Skutkom takiego połączenia postanowił przyjrzeć się Matt Austin a wynikami podzielił w opublikowanej prezentacji.

TL;DR – jest możliwość zdalnego wykonania kodu na module GSM w wybranych modelach: BMW, Forda, Infiniti, Nissana.

Może Alexa sama nie udostępni ssh z rootshellem, ale mamy ładny opis jak można zrootować sobie Amazon Echo:

Jako wstęp do cytowanego tekstu można poczytać: RFC 3986 oraz nasz tekst o podatności Server Side Request Forgery. Można też obadać świeże mięso z BlackHata. Dowiecie się  m.in. że URL:  http://2130706433/ prowadzi de facto do http://127.0.0.1/

Robak przejmujący telefony (root) atakujący kolejne ofiary przez WiFi (trzeba być w zasięgu sieci robaka, nie trzeba być podłączonym do tej samej sieci) jest realny. Została zaprezentowana konkretna implementacja (ale bez kodów źródłowych).

Decyzja o tym, jakie oprogramowanie wykorzystamy w wybranym celu, często podejmowana jest na podstawie analizy czasu potrzebnego na jego wdrożenie oraz sumarycznej ilości funkcji, jakie ten system nam dostarczy. Prawdopodobne jest jednak to, że tam, gdzie priorytetem jest wygodna i czas, w pierwszej kolejności ucierpi bezpieczeństwo.

Pewnie znacie już działy teksty/narzędzia na sekuraku? To około trzystu unikalnych/autorskich opracowań, które w zdecydowanej większości publikowane są tylko u nas. Chcecie więcej? To czytajcie dalej…

Zespół hack^H^H^H^H fascynatów technicznego bezpieczeństwa; osoby piszące na sekuraku, tworzące zadania na rozwal.to czy prezentujące na Sekurak Hacking Party. Luźna atmosfera i wszyscy otwarci na dzielenie się wiedzą. A teraz najważniejsze – atakowanie systemów o różnej skali i z różnych branż, brak nudy…

Czwarty numer magazynu Sekurak/Offline dotyczy jeszcze raz tematu bezpieczeństwa aplikacji webowych. Tym razem wracamy z kolejnym wydaniem po pół roku i mamy dla Was 70 stron.

Analiza incydentów bezpieczeństwa, jak sensownie podejść do GDPR/RODO, bezpieczeństwo aplikacji webowych, praktyczne wprowadzenie do bezpieczeństwa, czy budowanie świadomości dla pracowników nietechnicznych…

Kiedy rozmawiałem z Maćkiem Pokornieckim (autorem kilku tekstów na sekuraku o GDPR/RODO) o tematach związanych nową regulacją o ochronie danych osobowych, nie spodziewałem niczego specjalnego; wszyscy techniczni ludzie z IT podchodzą do tematów proceduralno-prawnych jak do jeża; w skrócie – nikomu niepotrzebna nuda… Myliłem się.

Niedawno Microsoft załatał krytyczną podatność w popularnym protokole SMB (możliwość zdalnego wykonania kodu), która była wykorzystywane przez jedno z ujawnionych w wyniku wycieku narzędzi NSA: EternalBlue.

Obecnie exploit został doposażony w funkcję ransomware i automatycznego atakowania innych systemów.

Tego jeszcze nie było – w dużym skrócie jeśli macie na swoim Windows plik C:\Users\Public\MicTray.log powinniście czuć się zaniepokojeni – jest to bowiem log zawierający naciśnięte przez Was na klawiaturze przyciski (czyli w uproszczeniu log z ukrytego keyloggera).

Na początek samo stanowisko: Firmware Security Architect. Brzmi intrygująco? Bo jest i wymaga kilku niezależnych umiejętności z obszaru security: trochę z obszaru IoT, trochę z obszaru pentestów, …