W skrócie: szkolenie przeznaczone jest dla osób technicznych (administratorów sieci/systemów / osób odpowiedzialnych za cyberbezpieczeństwo) oraz osób zajmujące się ochroną danych osobowych. Ale zapraszamy wszystkie osoby zainteresowane bezpieczeństwem IT, które nie boją się garści praktycznych technikaliów. Jeśli pracujesz w dowolnej instytucji rządowej / samorządowej / ochronie zdrowia / służbach mundurowych…

Od jednego z czytelników otrzymaliśmy następujące zgłoszenie: Ciekawa funkcjonalność widnieje na infolinii PKO BP. Posiadając Imię / Nazwisko / Pesel możemy poznać numer dowodu osobistego danej osoby. Postanowiliśmy potwierdzić problem samodzielnie, wykonując procedurę dla osoby, której dane posiadaliśmy (wszystko za jej zgodą). Dodatkowo, zgłoszenia na infolinii dokonał mężczyzna, podając dane…

Relacja jednego z naszych czytelników. Zacznijmy od samego SMSa. Na zielono – prawdziwy, historyczny SMS, na czerwono fałszywy – wysłany przez oszustów. Zauważ też nadawcę: NestBank: Jak widać, fałszywy SMS na telefonie pojawił się w tym samym wątku co poprzedni SMS z banku (z kodem autoryzującym transakcję). Treść tego SMSa…

Podatny jest GlobalProtect. „GlobalProtect is more than a VPN. It provides flexible, secure remote access for all users everywhere.” Podatność umożliwia zdobycie roota na urządzeniu PaloAlto – bez konieczności jakiegokolwiek uwierzytelnienia (!). Unauth Command Injection. Producent informuje, że luka jest wykorzystywana w realnych atakach. Podatne są linie: PAN-OS 10.2 /…

Komunikacja odbywała się na WhatsAppie; poza sklonowanym głosem prezesa, atakujący wysyłał również wiadomości tekstowe. Obecnie głos można sklonować bardzo prosto – wystarczy kilkuminutowa próbka wypowiedzi ofiary i można sfałszowanym głosem wypowiadać wszystko. OpenAI chwali się nawet, że wystarczy 15 sekund próbki: Swoją drogą klonowanie głosu na żywo pokażemy na najbliższym…

Bitdefender opisuje całą serię podatności w LG WebOS. jednej strony wymaga to aby telewizor był udostępniony do Internetu, z drugiej strony badacze pokazali blisko 90000 telewizorów LG udostępnionych do netu… Jak widać poniżej, również w Polsce są fani wystawiania TV do internetu… Przechodząc do szczegółów, pierwsza podatność umożliwia stworzenie uprzywilejowanego…

Tym razem zacznijmy od przykładu praktycznego. Jak to jest możliwe? Wszystko za sprawą nowej techniki Kobold letters, która bazuje na e-mailu przygotowanym w formacie HTML i sprytnym użyciu styli. W trakcie forwardowania e-maili klienci poczty (Thunderbird / Outlook) dodają pewne tagi, co powoduje „zaburzenie” struktury emaila, stąd finalnie nie działa…

Portswigger to producent chyba najbardziej znanego narzędzia do testowania bezpieczeństwa aplikacji webowych – Burp Suite. Za to znalezisko wypłacono $5000 w ramach bug bounty. Co my tu mamy? Opis zaczyna się dość nietypowo: Nie zamierzałem tego zgłaszać, myślałem, że to laboratorium [do ćwiczenia podatności webowych], ale po mojej pierwszej analizie…

Sprawa jest rozwojowa, a jeśli ktoś chce przejść od razu do oryginalnego zgłoszenia problemu – zapraszam tutaj. Backdoor pojawił się w wersjach 5.6.0 and 5.6.1 (xz-utils) i występuje w oficjalnych archiwach .tgz narzędzia (nie ma go w kodzie w repozytorium GitHub). Obecnie wersja 5.6.1 jest najnowsza, a 5.6.0 została wypuszczona nieco…

Całość procedury jest dość prosta: odczyt bezprzewodowy dowolnej karty, modyfikacja odpowiednich parametrów, zapis bezprzewodowy na nową kartę (która otwiera wszystko w danym hotelu). Podatność występuje w systemie Saflok szwajcarskiego producenta Dormakaba, a badacze wskazuję że podatnych jest „ponad 3 miliony zamków/drzwi hotelowych w 131 krajach” Pewne szczegóły zostały opublikowane tutaj…

Jak czytamy w nowym regulaminie: „Ukryte kamery monitorujące są surowo zabronione.” (hmmm, ciekawe jak dużą moc prawną ma słowo „surowo” ;-) Do tej pory kamery były dozwolone w „publicznych miejscach” – np. w salonie i nie mogły być „ukryte”. Musiały być też wskazane w ogłoszeniu (czy ktoś z Was widział…

Jeden z czytelników poinformował nas o takim scamie. Materiał wideo wykorzystuje wizerunek Rafała Brzoski. Całość dostępna jest tutaj (uwaga, jeszcze raz – to jest scam; temat zgłoszony do FB) https://www.facebook.com/100084457186405/videos/315721031520526/ Na filmie widać słabą (praktycznie żadną) synchronizację głosu z ruchami ust, ale przy oglądaniu miniaturki, całkiem śmiało ktoś się może…

Zobaczcie na tę relację. Fałszywy konsultant dzwoniący rzekomo z banku zachowuje się całkiem profesjonalnie: Rozmowa była bardzo miła i grzeczna, pan sprawiał wrażenie, jakby faktycznie chciał pomóc. Ale nie chciał. (…) twierdził, że wypełniono wniosek o kredyt na moje dane. Imię, nazwisko, mail i numer telefonu miał prawidłowe, ale na…

Atakujący wykorzystali podatności w VPN Ivanti (dawniej Pulse Secure), w ostatnim czasie było dość głośno o całej serii podatności w tym rozwiązaniu – w tym o lukach umożliwiających dość prosty, zdalny i nieautoryzowany dostęp na system operacyjny urządzenia. Mowa jest o dwóch zaatakowanych systemach, które zostały „natychmiast” odłączone od sieci….

Szczegóły całej operacji dostępne są w tym miejscu. Autorzy piszą o „ponad 100 000 zainfekowanych repozytoriów”, ale wspominają że prawdopodobnie jest ich „miliony”. Operacja klonowania repozytoriów została zautomatyzowana, a schemat działania wygląda następująco: atakujący pobierają „prawdziwe” repozytorium-cel, dodają złośliwy kod, uploadują na GitHub takie repo (pod taką samą nazwą jak…