Trochę niezręcznie tłumaczyć od deski do deski całe, opasłe opracowanie przygotowane przez jednego z kluczowych pracowników Maersk – tutaj zatem tylko zajawka. notPetya to rok 2017, a wcześniej (jeśli chodzi o historię zaatakowanej firmy) nasz badacz opisuje grzechy, które można wskazać chyba w większości dużych organizacji – braki z kontrolą uprawnień…
Czytaj dalej »
Niemal skompletowaliśmy agendę całego wydarzenia (kolejność prezentacji na razie losowa). Każda prezentacja będzie skondensowanym lightning talkiem, a wszystko zaprezentujemy na Youtube (będzie też nagranie). Termin: 26.06.2020, 20:00. Całe lightning sekurak hacking party jest bezpłatne, ewentualnie – zupełnie opcjonalnie możecie dokupić sobie elektroniczny certyfikat uczestnictwa lub pakiet gadgetów. Zapisy: Agenda Gynvael…
Czytaj dalej »
Ciekawe znalezisko w kontekście bezpieczeństwa API. Nieco zniecierpliwiony brakiem znalezisk w innym programie bug bounty, badacz postanowił sobie zrobić przerwę, a że były urodziny jego przyjaciela postanowił zakupić mu praktyczny prezent – kartę prezentową Starbucksa. Zakup zakupem, ale można trochę pogrzebać w żądaniach do API. Np. taki endpoint zwraca szczegóły…
Czytaj dalej »
Obiecaliśmy, że remote Sekurak Hacking Party będzie się odbywało dwa razy w miesiącu i tak to wygląda :-) Zachęcamy też do zakupu abonamentu – wtedy macie dostęp do wszystkich archiwalnych oraz przyszłych rSHP (do konkretnej daty do której obowiązuje abonament). Przechodząc do najbliższego wydarzenia w trakcie ~dwóch godzin planujemy dwie…
Czytaj dalej »
Przypomnijmy nieco wyświechtane powiedzenie: The s in IoT stands for security Chcecie tego konkretny przykład? Proszę. Badacz najpierw zlokalizował podatność klasy buffer overflow (w webserwerze urządzenia), która nie wymaga uwierzytelnienia. Zatem jeśli port zarządzania urządzeniem mamy wystawiony do Internetu – game over. Jeśli mamy go zamkniętego w sieci lokalnej –…
Czytaj dalej »
Chodzi o implementację TCP/IP używaną przez rozmaite urządzenia sieciowe: smart home devices, power grid equipment, healthcare systems, industrial gear, transportation systems, printers, routers, mobile/satellite communications equipment, data center devices, commercial aircraft devices Sam podatny software jest autorstwa mało znanej firmy Treck i ma on przeszło 20 lat. Był i jest…
Czytaj dalej »
Po naprawdę długim oczekiwaniu wydano kolejną „dużą” wersję znanego odzyskiwacza haseł. Mamy tu obsługę łamania aż 51 nowych algorytmów w tym nowe, bardzo szybkie sposoby na łamanie zip-ów. Z innych ciekawostek, pojawiło się wsparcie dla Bitlockera czy Android Backup. Dzięki optymalizacjom uzyskano też całkiem niezłe przyrosty wydajności, np. dla MD5 mamy…
Czytaj dalej »
Jeśli ktoś jeszcze nie zna naszej książki polecamy zerknąć tutaj. Przykładowe, darmowe rozdziały: tutaj i tutaj. Garść świeżych wrażeń czytelników o naszej książce: bezpieczeństwie aplikacji WWW: „Znakomicie napisana, perfekcyjnie wydana” „Gruba, tłusta i dobra jak kebab z budy :D” „Jak pożyczyłem książkę swojemu szefowi, to nie mogę się doprosić o zwrot….
Czytaj dalej »
Na wydarzenie możecie jeszcze zakupić bilet (zachęcamy również do zerknięcia na abonamenty dostępowe – z nimi jest również dostęp do wszystkich archiwalnych rSHP, które rozpisane są też pod tym linkiem). Agenda dzisiejszego wydarzenia (zaczynamy o 20:00, kto nie zdąży będzie mógł oglądnąć później – będzie nagranie): 1. Grzegorz Tworek – Opowieści hackera Windows: zajrzyj…
Czytaj dalej »
Pewnie kojarzycie tzw. nigeryski szwidel. TLDR: mam tutaj spadek 10 milionów USD, ale najpierw trzeba przelać 100k USD, bla bla bla. Nikt się na to przecież nie nabiera. Oh wait, Głos24.pl donosi o udanym dla przestępców (nieudanym dla ofiary) scenariuszu: rzekomy prawnik przekonywał, że sądeczanin jest jedynym spadkobiercą funduszu inwestycyjnego…
Czytaj dalej »
O sprawie donoszą lokalne (RPA) media: The breach resulted from the printing of the bank’s encrypted master key in plain, unencrypted digital language at the Postbank’s old data centre in the Pretoria city centre. (…)The master key is a 36-digit code (encryption key) that allows its holder to decrypt the…
Czytaj dalej »
O sprawie piszą lokalne, słowackie media. W sprawie zadziałała Národná kriminálna agentúra i zatrzymano czterech podejrzanych (w tym wysoko postawiona osoba – generał Peter Ď.) Nie ma dostępnych wielu szczegółów (dobro śledztwa), ale jest mowa o wyizolowanych z sieci rządowej urządzeniach: The devices will now be examined by experts who…
Czytaj dalej »
Kto się jeszcze nie zapisał może zrobić poniżej (wystarczy tylko e-mail; wydarzenie jest bezpłatne). Planujemy w sumie około 15 skondensowanych prezentacji (maksymalnie treściwa formuła ligtning talk 5-10 minut), w trakcie ~trzygodzinnego eventu (26.06.2020, 20:00). Jeśli ktoś nie będzie mógł uczestniczyć – będzie nagranie :-) Obecna agenda (w trakcie tworzenia) wygląda…
Czytaj dalej »
O temacie donosi Brian Krebs, a chodzi o niewielkie (40 000 mieszkańców) miasto Florence (Alabama). Najpierw oficjele dementowali, że w akcji był ransomware, jednak później przyznali że dotknięty został m.in. system poczty elektronicznej miasta a w akcji jest grupa ransomware o kryptonimie DoppelPaymer. Co ciekawe, grupa ta zazwyczaj żąda dość wysokich kwot…
Czytaj dalej »
Raport w PDF można pobrać tutaj, a uzyskaliśmy formalną zgodę na jego publikację. Jeśli chcecie zobaczyć inne tego typu raporty – tutaj przykład z systemu Eventory, a tutaj raport z testów bezpieczeństwa Yeti Force. W nowym raporcie największym problemem okazał się brak dobrze zaimplementowanego modelu autoryzacji do danych. W ten…
Czytaj dalej »