Wykradanie danych przy użyciu USB to znany temat. Metod i przykładowych gotowych urządzeń jest wiele, część z nich zresztą jest dostępna wyłącznie dla informatyków śledczych. Przykładowe malware korzystające z tego sposobu wymieniono i przedstawiono tutaj. Ostatnio pojawił się nowy model. Przede wszystkim należy przyznać, że opisywane urządzenie o nazwie evil…
Czytaj dalej »
Na Sekuraku zazwyczaj publikujemy artykuły, w których opisujemy mniej lub bardziej skomplikowane błędy bezpieczeństwa i ostrzegamy przed nimi. Tym razem, dzięki życzliwości naszego czytelnika i zarazem szkoleniowca, Grzegorza Tworka, możemy przedstawić Wam nietypowy wariant popularnego oszustwa „na AnyDesk”. W omawianym przez nas przypadku przestępca dzwoni do ofiary, informując ją o…
Czytaj dalej »
Jeśli już po tytule uznaliście, że jest to coś dla Was – do 30.09.2021r. można zapisać się na to szkolenie bezpłatnie! Wystarczy, że przy wyborze biletu standard użyjecie kodu rabatowego: sekurak-owasp Jeśli potrzebujecie dużo bezpłatnych biletów (z certyfikatem uczestnictwa) dla Waszej firmy – poproście Waszego przełożonego lub dział HR o…
Czytaj dalej »
Temat relacjonuje Bitdefender. Najpierw komuś udało się przemycić fejkowego newsa do serwisu GlobalNewsWire. Stamtąd podchwycił temat CNBC czy nawet Reuters. O dziwo informację zretweetował nawet sam Litecoin: Jak można się domyślić, od dużych serwisów newsowych, dużo innych serwisów newsowych zaczęło kopiować informację, co spowodowało skokowy wzrost wartości LTC o około…
Czytaj dalej »
Szantażowanie firmy Apple, atak na największego dostawcę mięsa na świecie (JBS) czy incydent z Acerem – REvil z pewnością można zaliczyć do jednej z najskuteczniejszych grup ransomware’owych ostatnich lat. Dobra passa grupy została jednak przerwana za sprawą głośnego wydarzenia związanego z oprogramowaniem Kaseya, w wyniku którego dane 200 firm zostały…
Czytaj dalej »
Szczegóły możecie zobaczyć tutaj. Samo wykorzystanie podatności było banalne: najpierw wylogowujemy się (z listingu usunięto nieistotne w kontekście tekstu nagłówki), podmieniając user_id na ten ofiary. W odpowiedzi HTTP otrzymujemy token. POST /scauth/otp/droid/logout HTTP/1.1Host: gcp.api.snapchat.com {“user_id”:”████”,”device_id”:”███████”,”device_name”:”███████”} HTTP/1.1 200 OK {“status”:”SUCCESS”,”user_id”:”█████████”,”token”:”█████”,”expiry_hint”:████} Teraz wystarczyło zalogować się, podając dodatkowo w żądaniu zdobyty token i…
Czytaj dalej »
W ciągu ostatnich kilku lat sporo mówi się o szeroko rozumianym cloud security (bezpieczeństwo w chmurze). Metodyka ta z pewnością niesie za sobą wiele zalet – wszak ochronę naszych danych powierzamy firmom z wielomilionowymi budżetami. Problem pojawia się wtedy, gdy ci, którzy się tego podjęli, nie do końca radzą sobie…
Czytaj dalej »
Tydzień temu informowaliśmy Was o krytycznej podatności w Microsoft Office (CVE-2021-40444), która umożliwia zdalne wykonanie kodu na urządzeniu ofiary: Co prawda domyślny tryb Protected View w MS Office jest w stanie skutecznie ochronić nasze urządzenie przed atakiem, lecz, zdaniem badaczy bezpieczeństwa, mechanizm ten można obejść na co najmniej kilka sposobów…
Czytaj dalej »
Minęło już kilka miesięcy od „afery mailowej”, w wyniku której grupa UNC1151 uzyskała dostęp do kont e-mail polskich polityków, w tym do skrzynki pocztowej szefa Kancelarii Prezesa Rady Ministrów Michała Dworczyka. Według ustaleń ABW oraz SKW główny wektor ataku na konto Dworczyka stanowił phishing: Całej sytuacji można było jednak zapobiec…
Czytaj dalej »
W sierpniu informowaliśmy Was o exploicie FORCEDENTRY, który umożliwiał operatorom Pegasusa zdalne zainfekowanie urządzenia ofiary przy użyciu spreparowanej wiadomości iMessage: Wyżej wymieniona podatność została załatana w najnowszej aktualizacji iPhone’a (iOS 14.8) oraz iPada (iPadOS 14.8): Oprócz luki FORCEDENTRY naprawiono również błąd typu use after free w WebKit, pozwalający na zdalne…
Czytaj dalej »
Jeśli nie słyszeliście jeszcze o Europejskim Miesiącu Cyberbezpieczeństwa – tutaj nieco więcej szczegółów. W ramach akcji proponujemy Wam kilka wydarzeń kierowanych zarówno do osób technicznych (IT) jak i pracowników biurowych. Część wydarzeń dostępna jest w formie otwartej (tj. możecie zapisać się sami), a wszystkie w formie zamkniętej (realizacja dla zamkniętych…
Czytaj dalej »
Pełna treść SMSa rozsyłanego przez oszustów wygląda tak: Nowy Ład, centralizacja, “ratowanie gospodarki narodowej” i na koniec upaństwowienie 30% wartości konta. Przedsiębiorca torpedowany z każdej strony takimi informacjami może w pierwszym odruchu bezsilności przelać pieniądze, na co liczą przestępcy. Zauważcie, że SMS wygląda jak wysłany z banku ING, jest też…
Czytaj dalej »
O akcji donosi Policja, uzupełniając materiał o filmik, ukazujący wypłatę części skradzionych środków przez osobę zamieszaną w przestępstwo. Jak do tego doszło? Zacznijmy od końca. Powiedzmy, że ktoś posiada dane logowania do bankowości ofiary – nazwijmy ją roboczo panią Matyldą. Czy przestępca może przelać wszystkie pieniądze na swoje konta? No…
Czytaj dalej »
Burp Suite to popularne narzędzie pozwalające na przeprowadzanie testów bezpieczeństwa aplikacji internetowych. Więcej na temat tego oprogramowania pisaliśmy w artykule z 2014 roku. Tymczasem badacze bezpieczeństwa z Noah Lab odkryli podatność, która pozwala na zdalne wykonanie kodu na urządzeniu użytkownika Burp Suite: Luka dotyczy wykorzystywania przez oprogramowanie bezokienkowej wersji przeglądarki…
Czytaj dalej »
OWASP Top Ten to często pierwszy dokument polecany osobom, które chcą bezboleśnie rozpocząć swoją przygodę z bezpieczeństwem aplikacji webowych. To 10 najistotniejszych kategorii problemów bezpieczeństwa w aplikacjach webowych: The OWASP Top 10 is a standard awareness document for developers and web application security. It represents a broad consensus about the…
Czytaj dalej »
