W skrócie – jedna z japońskich giełd kryptowalutowych posiadała błąd, umożliwiający kupienie bitcoinów za darmo. Mimo że problem istniał tylko 18 minut, ktoś spróbował go wykorzystać. Swoją drogą prawdopodobnie podatność usunięto właśnie dzięki osobie, która chciała wykorzystać owego „exploita życia”, czyli sprzedać za darmo nabyte bitcoiny…: As at least one…
Czytaj dalej »
Różnorodne cele do hackowania, mini sekurak hacking party, dzielenie się wiedzą i super zarobki. Potrzeba czegoś więcej? :-)
Czytaj dalej »
Troy Hunt udostępnia do pobrania bazę przeszło 500 milionów unikalnych haseł, zebranych aż z przeszło 3 miliardów rekordów(!). Troy udostępnia zbiór głównie w celu jego zintegrowania go z funkcją ustawiania haseł w systemach / aplikacjach. Teraz łatwo będzie nie pozwolić użytkownikowi ustalić hasło, które kiedyś publicznie wyciekło. A żeby atakującym…
Czytaj dalej »
Być może część z Was została dzisiaj mocno zaniepokojona takim komunikatem: Wygląda to dość mocno Jedna ze standardowych bibliotek systemowych zakażona koparką kryptowalut?! Avast na szczęście potwierdził że jest to false positive i łata problem. Oczywiście „blokada” normalnej biblioteki systemowej to nie jest najlepsza rzecz która nas może spotkać, ale pytanie…
Czytaj dalej »
Podatności nie są jeszcze do końca załatane. Problemy sprowadzają się do dostępnych na localhost usług, startowanych przez uTorrent, które de facto dostępne są bez uwierzytelnienia. Tzn. pardon, niby są: http://127.0.0.1:19575/gui/index.html?localauth=localapic3cfe21229a80938: Widzicie ten localauth? … ale można go odzyskać (przez DNS rebinding, podobna historia była niedawno w grach Blizzarda) korzystając z nieuwierzytelnionego…
Czytaj dalej »
O fakcie donosi firma RedLock – w tym przypadku udało się najpierw dostać do należącego do Tesli serwera Kubernetes (dostęp był bez hasła): Tam jak widzicie były dostępne klucze do instancji Amazon S3. Załoga z RedLock twierdzi, że były tam składowane dane telemetryczne (dotyczące samochodów). Sami przedstawiciele Tesli napisali z kolei, że S3…
Czytaj dalej »
Elementy hackowania GSM, podsłuch VoIP na żywo, proste generowanie dowolnej komunikacji sieciowej, łamiące programistów Javy demo złowrogiego wykorzystania The Spring Expression Language czy hackowanie kamer – to tylko kilka wybranych tematów, które będziemy poruszać na naszych hacking party w Krakowie oraz w Poznaniu (zobacz szczegóły agend poniżej). Agendę + zapisy na Kraków zobacz tutaj (26.02.2018) –…
Czytaj dalej »
Lepiej zróbcie kopię zapasową swoich iPhoneów/iPadów – poprzez odczytanie na telefonie odpowiedniego ciągu znaków można doprowadzić a) do crashu konkretnej aplikacji – np. WhatsApp, Twitter oraz b) niekończącej się pętli rebootów urządzenia. Oto winowajca (podany w formie zrzutu graficznego – tak żeby nie uszkodzić Waszych telefonów): Całość działa na najnowszym…
Czytaj dalej »
RODO/GDPR to jeden z gorących tematów w 2018 roku. W skrócie, poniżej możecie oglądnąć ~30 minutową prezentację Maćka Pokornieckiego, który już kilka razy publikował na sekuraku: –ms
Czytaj dalej »
Sekurak Hacking Party Poznań, 28.02.2018r., 14:30, czas trwania, 2,5-3h – zapisy ruszyły :-) Prawie 3 godziny hackowania na żywo!
Czytaj dalej »
ICO (Information Commissioner’s Office – ico.org.uk) to brytyjski odpowiednik polskiego GIODO, a coś niepokojącego stało się z ich stroną 11 lutego (obecnie jest ona przełączona w tryb maintenance). W skrócie, okazało się że zaatakowano inną firmę (hxxps://www.texthelp.com/), z której to ICO załączało JavaScrypt. W skrypcie umieszczono koparkę kryptowaluty i od tej pory…
Czytaj dalej »
Trochę sensacyjny tytuł, ale popatrzcie tylko na ten film… pomieszanie nowoczesnej technologii (ułożone w rządki GPU) z tradycją (pozbijane z deszczółek stelaże) z domieszką chaosu – to palętające się kable i urządzenia niewiadomego przeznaczenia: Akcja likwidacji „tego miejsca” została zorganizowana przez Ukraińską cyberpolicję. Zarzutem jest tutaj wykorzystanie środków uniwersytetu (m.in. prądu)…
Czytaj dalej »
Właśnie załatano podatność, wykorzystującą prostą funkcję =WEBSERVICE() LibreOffice Calc supports a WEBSERVICE function to obtain data by URL. Vulnerable versions of LibreOffice allow WEBSERVICE to take a local file URL (e.g file://) which can be used to inject local files into the spreadsheet without warning the user. W pakiecie MS…
Czytaj dalej »
W Rosji każdy orze jak może – jedni ogrzewają koparkami kryptowalut mieszkania, inni próbują kopać bitcoiny na superkomputerze służącym do badań nad bronią jądrową – tak przynajmniej donosi BBC i inne media. Rosyjska agencja Interfax potwierdza incydent, choć nie podaje wielu szczegółów (niespodzianka). Cała operacja miała mieć miejsce w mieście…
Czytaj dalej »
Ekipa fail0verflow, znana choć z exploita na PS4, pokazała właśnie Debiana, którego udało im się uruchomić na Nintendo Switch: Wykorzystany bug jest w Boot ROM-ie i nie da się go załatać w obecnej edycji Switchów… –ms
Czytaj dalej »
