Aktualności

Podatność zaprezentowano w ramach tegorocznego konkursu Pwn2Own. Błąd jest klasy buffer overflow i występuje w komponencie baseband telefonu (czyli komunikującym się bezprzewodowo z siecią GSM). Wystarczy więc odpowiednia stacja bazowa i wysyłamy złośliwą komunikację do telefonu. Poniżej wprawdzie widać, że badacze utworzyli zdalnie swój plik na telefonie, ale informacja że…

O temacie doniósł CERT Polska: Uwaga! Ostrzegamy przed #phishing kierowanym do użytkowników @Allegro_Group. W scenariuszu kampanii ofiara jest informowana o niedopłacie do salda konta z krótkim terminem płatności. Domena wykradająca hasła użytkowników to 2-login.alleqro-pl.choljai[.]info. Mail wygląda w ten sposób i „na szczęście”, przynajmniej jeśli oprzeć się na relacji CERT-u, nie…

Google assistant, Siri czy Amazon Alexa – wszystkie da się zmylić w ten zaskakujący sposób. Badacze pokazali laser, którym „strzelają” w docelowe urządzenie (w pokazach demo widać, że może być to zrealizowane nawet przez szybę!). Wiązka lasera przekazuje wcześniej nagrany (dowolny) głos, który nie jest słyszalny dla ofiary (jest za…

Wg kolegów z X-LAB (Tencent) podatne jest w zasadzie wszystko (głównie rozmaite telefony oparte o Androida) + iPhone-y do 8 włącznie (Apple przeszedł później na inny sposób uwierzytelnienia biometrycznego: FaceID). W ramach LIVE demo na konferencji Geekpwn poprosili kogoś z publiczności o zostawienie odcisku palca na kieliszku oraz podanie swojego telefonu….

Informacja zaczęła wypływać chyba od tego dość alarmującego Twitta: So, it’s public now. Domain controller-level access at Kudankulam Nuclear Power Plant. The government was notified way back. Extremely mission-critical targets were hit. Rząd w Indiach najpierw zdementował informację, niewiele później jednak ją potwierdził (choć bez podania szczegółów ataku). Co ciekawe,…

Książka o bezpieczeństwie aplikacji webowych do kupienia jest tutaj. Spis treści tutaj, przykładowy rozdział – tutaj. Jak zdobyć za darmo naszą książkę? Gdzieś tutaj macie dostępny kod (pierwsze dwie osoby, które go wyślą na adres sklep@securitum.pl dostaną darmową książkę z przesyłką!). Uwaga to już nasz drugi konkurs, więc w kodzie będzie…

Podatność o której pisaliśmy parę miesięcy temu dotyka wprawdzie Windowsa 7 (i niższych), ale umożliwia bez żadnej interakcji ofiary na otrzymanie pełnego dostępu administracyjnego na atakowanej maszynie. Sytuację pogarsza fakt, że w Metasploicie od jakiegoś czasu gotowy jest exploit na lukę. Tymczasem ktoś rzeczywiście zaczął atakować systemy dostępne z Internetu…

Podejrzewam, że 99.9% czytelników sekuraka klika na 'Nie pozwalaj’ w takim przypadku: W Firefoksie od stycznia 2020 nie trzeba będzie klikać, bo… takie popupy w ogóle się nie pokażą. ZDNET donosi się że o ew. możliwości zapisania się na spamik ;) będzie nas informowała mała ikonka na pasku URL. Brawo…

Niedawno pisaliśmy o ciekawym przekręcie wykorzystującym automatyczne generowanie głosu na podstawie próbek od ofiary – w tym przypadku „na prezesa” oszukano firmę na ok 1 mln PLN. Na „lewą fakturę” oszukano też nasz rodzimy LOT (ok 2.5 mln PLN – część udało się odzyskać). Tym razem mamy grubszą sprawę, bo…

O operacji / malware nazwanej QSNATCH doniosła jako pierwsza fińska agencja związana z cyberbezpieczeństwem. Później dołączyły się Niemcy pisząc o 7000 infekcjach dysków sieciowych firmy QNAP tylko w tym kraju: Dokładna metoda infekcji nie jest znana, choć wiadomo że malware ma możliwość wykonywania dowolnego kodu na urządzeniach, wyłącza aktualizacje, kradnie…

Pismo jest dość niemal idealna kopią oryginalnego dokumentu (nie zgadza się numer konta na który trzeba wpłacać pieniądze: Skąd wiadomo do jakiej firmy przesłać taki dokument. Otóż okazuje się że: Urząd jest przez prawo zmuszony do publikowania podstawowych informacji o zgłaszanym znaku towarowy. Znajdują się tam również dane zgłaszającego. Zostaje tylko znaleźć…

Miało być pięknie, od strony atakujących wszystko legalnie – za obietnicę wykasowania 57 milionów rekordów danych o użytkownikach Ubera mieli otrzymać nagrodę w ramach programu Bug Bounty. Pieniądze te zresztą dostali za pośrednictwem serwisu HackerOne (2016 r.). Nie ma danych – nie ma problemu, wtedy Uber nie poinformował o temacie…

Mowa o Pwnagotchi, które z jednej strony jest bezprzewodowym Bettercapem na sterydach. Z drugiej strony nawiązuje do popularnej niegdyś zabawki Tamagotchi. „Zwierze” nie tylko żywi się złapanymi z sieci handshake-ami WPA2 (można je łamać w trybie offline uzyskując dostęp do klucza do sieci WiFi), ale potrafi działać też dość agresywnie (np. odłączać…

Informację o nowej wersji przeglądarki oraz podstawowe informacje o zlokalizowanych poważnych błędach podał Google. Błędy są na tyle istotne, że firma na razie nie podaje szczegółów technicznych, zasłaniając się (słusznie) bezpieczeństwem użytkowników: Access to bug details and links may be kept restricted until a majority of users are updated with a…

Dość mocną wręcz historię opisuje Tygodnik Szczytno. Mamy tu przykład oszustwa seniorki metodą na „policjanta”, ale że w akcji była kwota aż 800 000 zł, przestępca użył innego sposobu niż powiedzmy prośba o zapakowanie całej gotówki w reklamówki i wystawienie przed drzwi. Jak więc postanowiono wykraść 800 000 zł? Mężczyzna…