Stary dowcip bezpieczników mówi, że litera „“s” w skrócie IoT pochodzi od „security”. Ironiczne stwierdzenie wskazuje, że wzrost popularności Internetu Rzeczy nie zawsze idzie w parze z realnym bezpieczeństwem tych rozwiązań. Całe szczęście wysiłek badaczy bezpieczeństwa powoduje, że producenci zaczynają rozumieć zagrożenia i wdrażać poprawki w swoich produktach.  Badacze z…

Środowiska developerskiego Visual Studio nie trzeba przedstawiać. To bardzo zaawansowane narzędzie od Microsoft, skrywające wiele ficzerów przydatnych programistom, a także pentesterom i badaczom bezpieczeństwa.  W ostatni Patch Tuesday Microsoft wypuścił łatkę na podatność umożliwiającą eskalacja uprawnień (privilege escalation), która otrzymała identyfikator CVE-2024-20656. Autorem znaleziska jest Filip Dragovic z MDsec. W…

Email od CEO to ważna rzecz. Prezesi działają szybko, mają wiele rzeczy na głowie, potrzebują danych do sprawnego zarządzania. Mają też autorytet wśród pracowników. Dlatego gdy przychodzi e-mail z prośbą o wykonanie przelewu czy przesłanie informacji z księgowości, pracownicy działają szybko. Nie zawsze jednak pośpiech jest wskazany.  Motyw phishingu na…

AirDrop to usługa ekosystemu Apple, która pozwala na przesyłanie plików pomiędzy urządzeniami tej firmy na niewielkich odległościach. Wykorzystuje do tego celu AWDL (Apple Wireless Direct Link) – stosunkowo szybkie połączenie peer-to-peer. Szczegóły tego protokołu zostały przybliżone już jakiś czas temu. W przypadku AirDropa, ustawienie odbioru wiadomość „“od wszystkich” pozwala na…

Administratorzy profilu Lotnisko Chopina na FB informują, że powstają fałszywe profile związane z działalnością tego obiektu. Scam polega na reklamowaniu możliwości zakupu bagażu za 13 zł w “akcji charytatywnej”. Co ciekawe, rzeczywiście można się nieco nabrać z tego względu, że prezentowana nazwa fałszywego profilu “Warsaw Chopin Airport” wygląda identycznie jak…

Tim Longin, znany z ataków na protokół DNS, we współpracy z SEC Consult, opublikował informację o możliwości ataku SMTP Smuggling na popularne serwery i usługi pocztowe. Cała historia rozpoczyna się w czerwcu 2023 roku, kiedy to przedstawiono pierwszy PoC (Proof of Concept) ataku SMPT Smuggling działającego w systemie pocztowym firmy…

Ta bitwa trwała już od czterech lat – przeciwko firmie Google został złożony pozew zbiorowy, w którym zarzucono firmie korzystanie z Google Analytics, Google Ad Manager oraz różnych innych wtyczek do aplikacji i witryn internetowych w trybie incognito.  W skardze złożonej w 2020 r. stwierdzono, że Google „śledzi i gromadzi…

Koniec starego roku i początek nowego, to zazwyczaj czas na podsumowania. Nie da się ukryć, że w ostatnim czasie temat cyberbezpieczeństwa staje się coraz bardziej popularny, i jest to istotny aspekt życia dla coraz większej liczby ludzi. Są to zarówno prywatni użytkownicy, szukający praktycznych informacji o tym, jak skutecznie chronić…

Barracuda Email Security Gateway (ESG) to rozwiązanie enterprise do filtrowania poczty przychodzącej. Upraszczając, to połączenie firewalla i antywirusa, które ma chronić klientów przed otrzymywaniem niechcianej poczty (spamu, phishingu) oraz zapewnić ciągłość działania poczty czy poufność przesyłanych informacji.  Już w drugim kwartale 2023 roku, Mandiant donosił o wykryciu, we współpracy z…

Przeprowadzanie testów penetracyjnych wymaga użycia istniejących rozwiązań, które w sposób znaczący mogą ułatwić pracę audytora. W przypadku aplikacji internetowej cenne jest rozpoznanie struktury katalogów lub odnalezienie plików, które mogą wzbudzić zainteresowanie testera. W tym celu stosuje się takie narzędzia jak: • ffuf,• dirbuster,• gobuster. Podczas omawianego pentestu, użyłem narzędzia ffuf…

Wzrost świadomości po stronie administracji centralnej, firm i instytucji publicznych przekładający się na większe zainteresowanie wiedzą i inwestycje w zabezpieczenia – finansowane również ze środków publicznych. Towarzyszy temu rosnąca presja ze strony przestępców na sektory obejmowane systemowym wsparciem. Między innymi te aspekty w obszarze cyberbezpieczeństwa wymieniają eksperci Stormshield w podsumowaniu…

Hack-A-Sat to zawody typu Capture the Flag organizowane już po raz czwarty. Finał konkursu odbywa się równolegle z jedną z największych konferencji o tematyce cyberbezpieczeństwa – Defconem.  Polski zespół Poland Can Into Space powstał w wyniku połączenia sił dwóch wybitnych drużyn – Dragon Sector oraz p4 wspartych przyjaciółmi. Wyzwania tegorocznej…

Po dłuższej przerwie redakcja Paged Out! opublikowała trzecie wydanie swojego technicznego e-zinu! Spis treści jak zwykle jest bogaty: Nowe wydanie zawiera pięćdziesiąt artykułów poruszających tematykę szeroko pojętego IT! W niniejszym numerze znajdziecie prace dotyczące hackingu, administracji, sieci, kryptografii czy sztucznej inteligencji. A to nie wszystko! Dowiecie się między innymi jak…

Ledger – producent fizycznych portfeli kryptowalutowych opublikował oświadczenie, w którym potwierdza, że doszło do naruszenia bezpieczeństwa w kodzie Ledger Connect Kit oraz informuje, że użytkownicy powinni wstrzymać się od wykonywania transakcji przez najbliższe 24h. Co się stało? Kilka dni temu użytkownicy zauważyli, że Ledger Connect Kit ładuje podejrzany kod, który…

Program Bug Bounty łatwo rozpocząć, trudniej jest nim sprawnie zarządzać i nawiązywać dobre relacje z badaczami bezpieczeństwa. Stawką może być full disclosure na własnej platformie o czym przekonał się X (dawniej Twitter).  Użytkownik @rabbit_2333 umieścił 11.12.2023 r. post z PoC-em do reflected XSS-a.  PoC zawierał link do portalu analytics.twitter.com, który…