Sekurak - piszemy o bezpieczeństwie

9 stycznia wyciekły dane z polskiego wojska, zrobiła się afera, pojawiły się memy, a potem wszyscy „odpowiedzialni za” uspokajali, że jednak nic się nie stało. Także na sekuraku dość szybko pojawiło się wyjaśnienie sytuacji. Przyjrzyjmy się zatem temu, co zawierał „System Informatyczny Jednolitego Indeksu Materiałowego” i czy na pewno był…

Jeśli chcecie dowiedzieć się trochę o firmie – polecamy przeczytać sekurakowy wywiad z Jakubem Nadolnym – CEO Fast White Cat: „Skoro działa, to po co ruszać”, czyli o niebezpiecznych decyzjach klientów i codzienności software house. Jeśli chcecie zobaczyć wymagania do obecnej rekrutacji w Fast White Cat – czytajcie dalej [uwaga…

Historię konta swojej mamy przesłał nam jeden z czytelników. Co się wydarzyło? Mama nie mogła zalogować się do Facebooka od poniedziałku (10.01.2022). Sprawdziłem i zostało zmienione hasło na Facebooku na koncie mamy [konto zostało zhackowane – przyp. sekurak]. Goniąc myślami chciałem odzyskać hasło i próbowałem dokonać tego poprzez adres e-mail,…

Sprawę opisuje w telegraficznym (twitterowym) skrócie Paweł Szramka: Paulina Matysiak ma już świadomość, że ktoś podszył pod jej numer: Czy telefon / telefony zostały zhackowane? Nie – najprawdopodobniej doszło tutaj do spoofingu numeru telefonu. W bardziej przystępnej formie: chodzi o użycie specjalnego oprogramowania (często, chociaż nie zawsze jest to po…

Niedawno wspominaliśmy historię z podmianą ukraińskich stron rządowych takim komunikatem (poniżej widać ewidentnie sfałszowany tekst w języku polskim, w środku były również wstawione sztucznie koordynaty GPS z Warszawy): Tymczasem Microsoft właśnie ostrzega w ten sposób: Dzisiaj dzielimy się informacją, że zaobserwowaliśmy destrukcyjne złośliwe oprogramowanie w systemach należących do wielu ukraińskich…

Temat użycia HbbTV do hackowania telewizorów jest znany od dłuższego czasu. W telegraficznym skrócie HbbTV działa w taki sposób: telewizor dostaje tradycyjnym sygnałem telewizyjnym (podobnie jak w telegazecie) prośbę o doczytanie zawartości multimedialnej z danego URL-a. Łączy się w tle do niego i potrafi np. na jednym ekranie (z programem TV) zaprezentować…

Różne media wspominają dzisiaj o „gigantycznym wycieku z wojska”. Przyjrzyjmy się mu nieco bliżej. Sam wyciek (tj. link do archiwum „System Informatyczny Jednolitego Indeksu Materiałowego”) pojawił się na jednym z forów dnia 9. stycznia 2022r. A że lubimy od czasu do czasu analizować różne fora, plik namierzyliśmy 11.01.2022 (trzy dni…

Firma Google stoi za wieloma projektami i produktami. Niektóre są powszechnie znane, a inne nie. Jednymi z takich mniej znanych produktów jest język programowania dart i framework flutter. Krótko po zrobieniu dość długiego tutoriala darta i fluttera wpadłem na kilka pomysłów, jak można by zaatakować komponenty ekosystemu darta. Dla zabawy…

Dla przypomnienia w Securitum szukamy teraz aż pięciu pentsterów, ale to ogłoszenie dotyczy nieco innego tematu ;) Szukamy osób do stałej lub okazjonalnej współpracy w obszarach: opracowywanie / research newsów (tylko regularna współpraca) i/lub: opracowywanie tekstów / poradników dla osób nietechnicznych (planujemy pewien nowy projekt… :) i/lub: opracowywanie wpisów /…

Naszym dzisiejszym bohaterem jest to urządzenie: Cloud Key Gen2 Plus. Nazwa trochę dziwna, ale jest to znany wszystkim użytkownikom rozwiązań firmy Ubiquiti kontroler WiFi (ma również funkcję zapisu feedów z kamer). Całość w eleganckiej formule sprzętowej, z 1TB dyskiem oraz podtrzymywaniem bateryjnym (tj. „na czysto” się wyłącza w momencie ewentualnego…

Masz dość słuchania nudnych pogadanek o cyber-bezpieczeństwie, z których niewiele wynika? Chciałbyś spędzić z nami 4 godziny, które upłyną szybko jak 5 minut? Chciałbyś nauczyć chronić się przed najczęstszymi cyberatakami? A może od razu po szkoleniu chciałbyś wdrożyć mechanizmy uodparniające Cię na ewentualne przyszłe ataki? Czytaj dalej :-) Po dwóch…

Rok 2021 jest przełomowy dla nas, przyjęliśmy ponad 10 osób, zrobiliśmy ponad 550 komercyjnych testów penetracyjnych. Między innymi wykonaliśmy testy bezpieczeństwa Protonmaila (tutaj zobacz raport, który za zgodą zamawiających te pentesty – został upubliczniony). Jeśli chciałbyś uczestniczyć w tego typu ofensywnych projektach? czytaj dalej :-) TLDR: w pierwszym kwartale 2022…

Apache Log4j to bardzo popularna biblioteka javowa służąca do… logowania rozmaitych zdarzeń. Podatność, możliwe skutki wykorzystania. Luka CVE-2021-44228 (inna nazwa: log4shell) to tzw. RCE (Remote Code Execution) – czyli wykonanie dowolnego (wrogiego) kodu po stronie serwerowej. Napastnik może uzyskać dostęp do wykonywania dowolnych poleceń na serwerze (z uprawnieniami, z którymi…

Taką ankietę na Twitterze uruchomiła Runa Sandvik, która wynajęła pokój w jednym z hoteli należących do sieci Nordic Choice Hotels (zatrudniającej przeszło 16000 pracowników). Jak widzicie na plakacie poniżej – komunikat nie jest zbyt optymistyczny „All our systems are temporarily down”. Runa dodaje, że nie działa jej karta do pokoju,…

Jeden z czytelników (dzięki!) doniósł nam o takiej akcji: Wystawiłem laptopa gamingowego na kilku portalach i na jednym z nich otrzymałem taką oto wiadomość: Otóż rzeczywiście istnieje takie oprogramowanie jak OCCT – tutaj: https://ocbase.com/ Ale zaraz, niedoszły kupujący (aka przestępca) kieruje na stronę occt[.]pro która wygląda podobnie do tej oryginalnej:…