Niepokoi kilka rzeczy: nie jest to przypadkowy kod wprowadzony przez roztargnionego programistę, tylko prawdziwy backdoor z krwi i kości, dający możliwość wykonywania kodu przez napastników backdoor znalazł się w oficjalnej aktualizacji kilku narzędzi dystrybuowanych przez firmę Netsarang znaleziono przynajmniej jedno złośliwe wykorzystanie backdoor-a (pytanie czy w reszcie miejsc w ogóle…

Jak w tytule. Mamy tu sporo danych o przygotowaniu środowiska, podstawach, analizie statycznej, dynamicznej czy szyfrowaniu. Nie zabrakło też informacji o tonie narzędzi oraz rozmaitych technikach używanych przez złośliwe oprogramowanie. Całość idealna jest dla osób chcących zacząć przygodę z tematem. –ms

Wiecie ile warta jest taka informacja: curl -k „https://yaqs.googleplex.com” –resolve „yaqs.googleplex.com:443:172.217.28.180” ? 10 000$ USD – taką bowiem kwotę wypłaciło Google za zgłoszenie buga, który polegał na wysłaniu jednego requestu do serwera 172.217.28.180 z ustawionym nagłówkiem Host: yaqs.googleplex.com – o dziwo, badaczowi wyświetliła się wtedy strona Google z treścią oznaczoną jako Google…

Microsoft ostatnio nie przestaje dostarczać nam wrażeń. Tym razem w Hyper-V mamy możliwość wyskoczenia z maszyny Guest do głównej i wykonanie tam kodu: An attacker who successfully exploited the vulnerability could execute arbitrary code on the host operating system. Niedawno podobny problem pokazano w VMWare Workstation, a za wyskoczenie z…

Tym bezpłatnie można pobrać wydaną wydana 3 lata temu pozycję: Building Virtual Pentesting Labs for Advanced Penetration Testing. Opinie można poczytać tutaj. Znajdziemy tutaj zarówno trochę informacji jak przygotować sobie środowisko do pracy, jest trochę rzeczy organizacyjnych (np. tematyka OSSTMM czy NIST 800-115), ale także informacje jak zacząć testować konkretne obszary:…

Może znacie samochody, które automatycznie wykrywają znaki drogowe? Tego typu auta wcale nie muszą być autonomiczne – ot oferują dodatkową pomoc dla kierowcy. Ta funkcja jest o wiele bardziej istotna w pojazdach autonomicznych – w końcu jakoś muszą orientować się na drodze. Pamiętajmy też, że znaki muszą być rozpoznawalne pod…

Mamy nową funkcję w znanym serwisie Troy Hunta – haveibeenpwned. Tym razem Troy udostępnia nam możliwość sprawdzenia online czy dane hasło znajduje się na liście tych skompromitowanych (obecnie mamy w bazie około 320 milionów unikalnych rekordów). Czy jest to rozsądne? Mamy mieszane uczucia (wymaga to podania hasła do sprawdzenia, które…

To niezwykle popularne rozszerzenie do Chrome (1 000 000+ użytkowników), zostało ostatnio podmienione na zainfekowaną wersję 0.4.9. Prawdopodobnie było to tylko adware, choć w przypadku działania na podatnej wersji, zaleca się oczywiście zmianę haseł do odwiedzanych ostatnio serwisów. Jak doszło do infekcji? Konto oficjalnego developera zostało przejęte i użyte do zuploadowania…

Przypominamy WannaCry to głośny ransomware, który szarżował dość skutecznie w tym roku. Wiele serwisów donosi, że Marcus Hutchins – człowiek, który zlokalizował i wykupił domenę będącą kill switchem, blokującym ten malware – został aresztowany zaraz po konferencji Defcon (tuż przed odlotem do rodzimego Londynu). Zarzuca mu się stworzenie malware bankowego Kronos, choć pojawiają…

Próbujemy właśnie zrealizować w pełni społecznościowy projekt :) – czyli na naszym facebookowym profilu zapytaliśmy czy ktoś nie chciałby przygotować serii tekstów o Zabbix. Do publikacji na sekuraku. Wprawdzie jeden tekst już mamy… ale jest on raczej wprowadzający i na pewno wymaga odświeżenia. Na marginesie dodam, że sekuraka w ostatnim…

Gizmodo donosi o analizowanej na Defconie starej maszynie używanej w trakcie głosowania w USA, na której znaleziono sporą liczbę rekordów z danymi osobowymi głosujących (ponad 650 000). Inkryminowana maszyna wygląda tak: i jest określana jako check-in machine. Prawdopodobnie chodzi więc o urządzenie gdzie zgłaszamy się na głosowanie i jesteśmy weryfikowani…

Niedawno organizowaliśmy konkurs na rozwal.to z paroma nagrodami pieniężnymi 3×300 pln. W dość szybkim tempie otrzymaliśmy odpowiedzi, a zgodnie z obietnicą publikujemy też rozwiązania :) Zadania rozwiązało dość sporo osób, ale na podium stoją: REV, Nazywam oraz quaker (rozwiązanie przesłane o 23:03 – czyli około 2 godziny po ogłoszeniu zadań) – którzy…

TL;DR – jest możliwość zdalnego wykonania kodu na module GSM w wybranych modelach: BMW, Forda, Infiniti, Nissana.

Może Alexa sama nie udostępni ssh z rootshellem, ale mamy ładny opis jak można zrootować sobie Amazon Echo:

Kiedyś były maszyny z LEGO do łamania pinów na telefonach, a na tegorocznym Defconie pokazano z kolei robota otwierającego sejf. Tym razem celem była maszyna firmy SentrySafe, posiadająca 3 gałki z liczbami od 00 do 99 –  w najgorszym przypadku sejf wymagał podania miliona kombinacji, ale na tak długie sprawdzanie nie…