Czy zielona kłódka w przeglądarce chroni przed czymkolwiek?

02 lutego 2022, 16:09 | Teksty | komentarzy 18
Czy zielona kłódka w przeglądarce chroni przed czymkolwiek?

Znacie to (błędne!) stwierdzenie: „jeśli strona internetowa, którą odwiedzamy, posiada „zieloną kłódkę” – to na pewno jest bezpieczna. Nic Ci nie grozi, podaj wszystkie dane, o które Cię proszą – nie ma obaw”? Przykład tego typu błędnych zaleceń prezentujemy na filmie poniżej: Powtórzmy jeszcze raz – kłódka przy adresie danej strony…

Czytaj dalej »

Kupił akwarium. Oraz akcesoria. Przeskanował API i dostał roota.

01 lutego 2022, 09:09 | Teksty | komentarze 22
Kupił akwarium. Oraz akcesoria. Przeskanował API i dostał roota.

Krótka historia, pokazująca, że każdy może spokojnie „pobawić się” w bezpieczeństwo IoT, osiągając satysfakcjonujące wyniki w krótkim czasie. Częścią zestawu akwarystycznego, która nas najbardziej interesuje jest lampa, którą można nabyć np. na uroczym serwisie erybka.pl No więc, po wstępnym skanowaniu urządzenia (być może nmapem), zlokalizowanie portu, na którym dostępne było…

Czytaj dalej »

Giga korporacja bierze na spytki twórcę curla (bo z niego korzysta :P). Odpowiedz nam w 24h!

31 stycznia 2022, 11:21 | Aktualności | komentarze 33
Giga korporacja bierze na spytki twórcę curla (bo z niego korzysta :P). Odpowiedz nam w 24h!

Nietypową wiadomość od pewnej korporacji otrzymał Daniel Stenberg, twórca m.in. narzędzia curl, czyli klienta HTTP działającego w terminalu. Firma o dochodach 500 miliardów dolarów „poprosiła” go o odpowiedź na osiem pytań dotyczących możliwego wpływu podatności Log4j na jeden z jego programów na licencji open source, który jest używany w tej…

Czytaj dalej »

Intensywna kampania podszywająca się pod Blika. Wykorzystują spoofing SMSów i kradną dostępy do kont bankowych.

29 stycznia 2022, 19:58 | Aktualności | komentarzy 20
Intensywna kampania podszywająca się pod Blika. Wykorzystują spoofing SMSów i kradną dostępy do kont bankowych.

Nowa kampania (o której donoszą nam czytelnicy – dzięki!) ma kilka różnych wariantów. Przy okazji zobaczcie od kogo niby przychodzi ten SMS…: Co się dzieje dalej? Ofiara wybiera bank: Po wyborze banku, zbierane są różne dane (w zależności od banku): login/hasło/SMS wysłany podczas logowania/PESEL/PIN do appki mobilnej: Dla pewności –…

Czytaj dalej »

Nastolatek uzyskał zdalny dostęp do ponad 25 Tesli na całym świecie. Lokalizowanie samochodów, otwieranie drzwi, wystartowanie auta…

27 stycznia 2022, 19:01 | Aktualności | komentarzy 9
Nastolatek uzyskał zdalny dostęp do ponad 25 Tesli na całym świecie. Lokalizowanie samochodów, otwieranie drzwi, wystartowanie auta…

19-sto latek z Niemiec opisuje swoją przygodę z dostępem do samochodów tutaj. Krok po kroku cała akcja wyglądała tak: Zlokalizowanie w internecie instancji oprogramowania TeslaMate (Google, Shodan, Zoomeye …) Po podłączeniu się przeglądarką, widoczna jest tutaj lokalizacja „losowego” samochodu (tj. skonfigurowanego w instancji TeslaMate): Dalej (czyli np. zakładka Dashboards) nie…

Czytaj dalej »

„Zainfekowany Pegasusem telefon Michała Kołodziejczaka był… wyprodukowany później niż data infekcji określona w raporcie Citizen Lab”. Czy aby na pewno?

26 stycznia 2022, 15:43 | Aktualności | komentarze 63
„Zainfekowany Pegasusem telefon Michała Kołodziejczaka był… wyprodukowany później niż data infekcji określona w raporcie Citizen Lab”. Czy aby na pewno?

Zobaczcie na to obecnie dość popularne doniesienie: Mamy tutaj zdjęcie z raportu Citizen Lab, którego fragmenty były publikowane np. w czasie konferencji prasowej Michała Kołodziejczaka. Jest tam numer seryjny „badanego telefonu”. Jak łatwo można sprawdzić, telefon to iPhone 11 Pro, który został wypuszczony na rynek we wrześniu 2019 roku, podczas…

Czytaj dalej »

Programisto PHP, mamy dla Ciebie niespodziankę. Wytłumaczymy na przykładzie podatności RCE w CentOS Web Panel (luka nie wymaga uwierzytelnienia)

22 stycznia 2022, 16:54 | Aktualności | komentarzy 20
Programisto PHP, mamy dla Ciebie niespodziankę. Wytłumaczymy na przykładzie podatności RCE w CentOS Web Panel (luka nie wymaga uwierzytelnienia)

Tutaj inspirujący odpis podatności – CVE-2021-45467: CWP (CentOS Web Panel) – preauth RCE. Zobaczcie ten fragment kodu: Może dałoby się podać wartość zmiennej scripts jako ../../../ i tym samym zaincludować jakiś inny plik z serwera? Nie da się! Bo wredny system od razu wykrywa „hacking attempt”. Wykrycie to znajduje się…

Czytaj dalej »

Wykryli system zainfekowany malwarem, który przeżywa formatowanie dysku / reinstalację systemu operacyjnego czy nawet całkowitą wymianę dysku.

20 stycznia 2022, 20:33 | Aktualności | komentarzy 41
Wykryli system zainfekowany malwarem, który przeżywa formatowanie dysku / reinstalację systemu operacyjnego czy nawet całkowitą wymianę dysku.

Jak to możliwe? W skrócie – wykryty malware (nazwa kodowa MoonBounce) wykorzystuje pamięć flash na płycie głównej i wpływa na proces bootowania całego systemu, infekując go. Wymieniłeś nawet cały dysk? Ale przecież nie wymieniłeś płyty głównej…: Due to its emplacement on SPI flash which is located on the motherboard instead…

Czytaj dalej »

Czym tak naprawdę był „gigantyczny wyciek” z wojska – analiza

19 stycznia 2022, 19:49 | Teksty | komentarzy 10
Czym tak naprawdę był „gigantyczny wyciek” z wojska – analiza

9 stycznia wyciekły dane z polskiego wojska, zrobiła się afera, pojawiły się memy, a potem wszyscy „odpowiedzialni za” uspokajali, że jednak nic się nie stało. Także na sekuraku dość szybko pojawiło się wyjaśnienie sytuacji. Przyjrzyjmy się zatem temu, co zawierał „System Informatyczny Jednolitego Indeksu Materiałowego” i czy na pewno był…

Czytaj dalej »

Poszukują do pracy człowieka od Magento [a my dajemy Wam trochę gadgetów sekuraka!]

18 stycznia 2022, 22:39 | Aktualności | komentarzy 8
Poszukują do pracy człowieka od Magento [a my dajemy Wam trochę gadgetów sekuraka!]

Jeśli chcecie dowiedzieć się trochę o firmie – polecamy przeczytać sekurakowy wywiad z Jakubem Nadolnym – CEO Fast White Cat: „Skoro działa, to po co ruszać”, czyli o niebezpiecznych decyzjach klientów i codzienności software house. Jeśli chcecie zobaczyć wymagania do obecnej rekrutacji w Fast White Cat – czytajcie dalej [uwaga…

Czytaj dalej »

Zhackowali jej konto na Facebooku. Chciała resetować hasło, ale… okazało się że Onet automatycznie skasował konto pocztowe i przypisał je innej osobie

18 stycznia 2022, 15:39 | Aktualności | komentarzy 45
Zhackowali jej konto na Facebooku. Chciała resetować hasło, ale… okazało się że Onet automatycznie skasował konto pocztowe i przypisał je innej osobie

Historię konta swojej mamy przesłał nam jeden z czytelników. Co się wydarzyło? Mama nie mogła zalogować się do Facebooka od poniedziałku (10.01.2022). Sprawdziłem i zostało zmienione hasło na Facebooku na koncie mamy [konto zostało zhackowane – przyp. sekurak]. Goniąc myślami chciałem odzyskać hasło i próbowałem dokonać tego poprzez adres e-mail,…

Czytaj dalej »

Ktoś podszył się pod numer telefonu posłanki Pauliny Matysiak i zadzwonił z obelgami do innego posła…

17 stycznia 2022, 20:23 | Aktualności | komentarzy 13
Ktoś podszył się pod numer telefonu posłanki Pauliny Matysiak i zadzwonił z obelgami do innego posła…

Sprawę opisuje w telegraficznym (twitterowym) skrócie Paweł Szramka: Paulina Matysiak ma już świadomość, że ktoś podszył pod jej numer: Czy telefon / telefony zostały zhackowane? Nie – najprawdopodobniej doszło tutaj do spoofingu numeru telefonu. W bardziej przystępnej formie: chodzi o użycie specjalnego oprogramowania (często, chociaż nie zawsze jest to po…

Czytaj dalej »

Microsoft: niszczące cyberataki na Ukrainę. Podszywają się pod ransomware, ale na celu jest całkowite niszczenie…

16 stycznia 2022, 10:09 | Aktualności | komentarzy 10
Microsoft: niszczące cyberataki na Ukrainę. Podszywają się pod ransomware, ale na celu jest całkowite niszczenie…

Niedawno wspominaliśmy historię z podmianą ukraińskich stron rządowych takim komunikatem (poniżej widać ewidentnie sfałszowany tekst w języku polskim, w środku były również wstawione sztucznie koordynaty GPS z Warszawy): Tymczasem Microsoft właśnie ostrzega w ten sposób: Dzisiaj dzielimy się informacją, że zaobserwowaliśmy destrukcyjne złośliwe oprogramowanie w systemach należących do wielu ukraińskich…

Czytaj dalej »

Zhackował bezprzewodowo telewizor, który nawet nie był podłączony do internetu [film]

15 stycznia 2022, 11:02 | Aktualności | komentarzy 20
Zhackował bezprzewodowo telewizor, który nawet nie był podłączony do internetu [film]

Temat użycia HbbTV do hackowania telewizorów jest znany od dłuższego czasu. W telegraficznym skrócie HbbTV działa w taki sposób: telewizor dostaje tradycyjnym sygnałem telewizyjnym (podobnie jak w telegazecie) prośbę o doczytanie zawartości multimedialnej z danego URL-a. Łączy się w tle do niego i potrafi np. na jednym ekranie (z programem TV) zaprezentować…

Czytaj dalej »