Jedna kampania, a masa najróżniejszych domen. Tutaj np. dostajecie SMS-a od nadawcy Mandaty24 + domena mandat9582[.]net. Chodzi o rzekomo niezapłacony mandat karny. Raptem 10 zł: Po kliknięciu na linka trafiamy na stronę z wyborem banku: Później pozbywamy się (na rzecz przestępców) danych dostępowych do banku: Dalej po uzyskaniu loginu/hasła/SMS-a –…

W wyniku nacisków medialnych, Facebook opublikował ostatnio oficjalne oświadczenie, odnosząc się do feralnego wycieku danych: W skrócie, Facebook twierdzi że nie został “zhackowany”, a dane pochodzą jedynie z “scrapingu”. Jest to pewna forma manipulacji, ponieważ stosowanie terminu “scraping” ma zmniejszyć “wagę” problemu, mimo że głównym problemem była funkcja “importowania kontaktów”,…

Aresztowany 28-latek, zwierzył się komuś na Signalu, że zamierza zakupić ładunek wybuchowy. Przy czym cel był dość „ambitny”: kill of about 70% of the internet. No więc Signal jest komunikatorem bezpiecznym, ale druga strona komunikacji może z otrzymaną wiadomością zrobić oczywiście wszystko. W każdym razie nasz Teksańczyk finalnie chciał zakupić…

Tymczasem idąc nieco od końca, kilka opinii uczestników o poprzedniej edycji: Polecam dla początkujących i zaawansowanych. Jeśli ktoś dopiero zaczyna swoją przygodę w reconie to jest to najlepsze i najbardziej przystępne źródło wiedzy jakie kiedykolwiek widziałem. Jestem pod wrażeniem ilości wiedzy, jaką człowiek jest w stanie zmieścić w 4h szkolenia….

Badacz z Google udostępnił szczegóły podatności oraz możliwości jej wyeksploitowania. Żeby być nieco bardziej dokładnym mówimy tutaj o całej serii podatności: BleedingTooth is a set of zero-click vulnerabilities in the Linux Bluetooth subsystem that can allow an unauthenticated remote attacker in short distance to execute arbitrary code with kernel privileges on…

Jeszcze kurz nie opadł po Facebooku, który trafił na pierwsze strony serwisów, a wygląda na to, że czeka nas kolejny, tym razem z LinkedIn. Archiwum zawierające dane rzekomo 500 milionów profilii LinkedIn zostało wystawione na sprzedaż na popularnym forum cyberprzestępców. 2 miliony rekordów zostało wystawione do wycieku jako próbka potwierdzająca…

Wydarzenie “Pwn2own” organizowane przez “Zero Day Initiative” trwa w najlepsze, a badacze pokazują coraz ciekawsze znaleziska. Niedawno Microsoft Teams, teraz na celowniku znalazł się Zoom – popularne oprogramowanie do wideokonferencji. Badacze bezpieczeństwa Daan Keuper oraz Thijs Alkemade wykorzystali kombinację 3 błędów do stworzenia 1 “solidnego” exploita. Dodatkowo, exploit nie wymaga…

W marcu Google Project Zero opublikował analizę kampani tajemniczej grupy, korzystającej z szeregu 0-dayów: * Dziury wykorzystane w kampanii. Podatności dotyczą między innymi systemów Windows 10, Android czy iOS, a także Chrome’a,… Badacze podkreślali stopień zaawansowania kampanii, wspominając o metodach utrudniania analizy ataków czy nowatorskim podejściu do eksploitacji Chrome’a i…

Konkurs Zero Day Initiative się rozkręca, co dopiero pisaliśmy o grubej podatności 0day w Microsoft Exchange (ominięcie uwierzytelnienia, dostanie się na serwer), a tymczasem mamy kolejny efekt dość nietypowych zawodów: Widoczny na zrzucie „Attempt 1”, oznacza że exploit działa bardzo sprawnie i do skutecznego zadziałania wystarczyła tylko jedna próba. Jak…

Info sprzed dosłowni kilku minut. Tym razem nie damy Wam rekomendacji – łatajcie, bo łatać nie ma czego (o szczegółach buga nie wie jeszcze sam Microsoft, choć zapewne niebawem się dowiedzą). W akcji ponownie jest ekipa Devcore (ta od https://proxylogon.com/), więc można spodziewać się naprawdę ostrego efektu. Ostrego efektu, czyli…

Opis tematu możecie znaleźć tutaj. Na początek, w ramach rekonesansu, badacz wziął na cel pliki znajdujące się w katalogu /api Co ciekawe wykorzystał pewną sztuczkę działającą na serwerach IIS; mianowicie można użyć windowsowego ciągu ~1 do łatwego wykrywania nazw katalogów czy plików znajdujących się na serwerze (tutaj stosowny skaner). Przykładowo,…

Jakiś czas temu “The Washington Post” poinformował o dość nietypowych atakach na posiadaczy kryptowalut. Nietypowych, bo głównym “winowajcą” zamieszania jest App Store, ale przejdźmy do konkretów… Portfel sprzętowy Trezor Trezor to portfel sprzętowy, zapewniający zaawansowane zabezpieczenia do obsługi kluczy prywatnych Bitcoin i innych kryptowalut. Urządzenie zostało zaprojektowane w taki sposób,…

Dla przypomnienia chodzi o ten wyciek. Całość bazy zaimportował do siebie Troy Hunt i po praz pierwszy została w wyszukiwarce dodana opcja szukania po telefonie: https://haveibeenpwned.com/ Przypominamy, że w omawianym wycieku z FB wyciekły takie dane jak: nr telefonu (pojawia się on przy każdym rekordzie), ID użytkownika na Facebooku, Imię,…

Jakiś czas temu chińska policja we współpracy z firmą Tencent aresztowała członków grupy przestępczej, zajmującej się wytwarzaniem i dystrybucją cheatów do gier. Warto dodać, że jest to jedno z „najgrubszych” aresztowań, a potwierdzeniem tego może być chociażby kolekcja sportowych aut należących do przestępców: Zrozumienie logistyki grupy przestępczej ułatwi ten film:…

Wyciek tutaj, czy Twoje dane wyciekły można sprawdzić tutaj (na razie tylko po mailu, niebawem może i po telefonie). Dane Marka: Zwróćcie uwagę na bardzo niski ID użytkownika – 4. Inni, wcześni użytkownicy Facebooka, którzy pojawiają się w wycieku wylistowani zostali poniżej: –ms