Aktualności

Różnorodne cele do hackowania, mini sekurak hacking party, dzielenie się wiedzą i super zarobki. Potrzeba czegoś więcej? :-)

Troy Hunt udostępnia do pobrania bazę przeszło 500 milionów unikalnych haseł, zebranych aż z przeszło 3 miliardów rekordów(!). Troy udostępnia zbiór głównie w celu jego zintegrowania go z funkcją ustawiania haseł w systemach / aplikacjach. Teraz łatwo będzie nie pozwolić użytkownikowi ustalić hasło, które kiedyś publicznie wyciekło. A żeby atakującym…

Być może część z Was została dzisiaj mocno zaniepokojona takim komunikatem: Wygląda to dość mocno Jedna ze standardowych bibliotek systemowych zakażona koparką kryptowalut?! Avast na szczęście potwierdził że jest to false positive i łata problem. Oczywiście „blokada” normalnej biblioteki systemowej to nie jest najlepsza rzecz która nas może spotkać, ale pytanie…

Podatności nie są jeszcze do końca załatane. Problemy sprowadzają się do dostępnych na localhost usług, startowanych przez uTorrent, które de facto dostępne są bez uwierzytelnienia. Tzn. pardon, niby są: http://127.0.0.1:19575/gui/index.html?localauth=localapic3cfe21229a80938: Widzicie ten localauth? … ale można go odzyskać (przez DNS rebinding, podobna historia była niedawno w grach Blizzarda) korzystając z nieuwierzytelnionego…

O fakcie donosi firma RedLock  – w tym przypadku udało się najpierw dostać do należącego do Tesli serwera Kubernetes (dostęp był bez hasła): Tam jak widzicie były dostępne klucze do instancji Amazon S3. Załoga z RedLock twierdzi, że były tam składowane dane telemetryczne (dotyczące samochodów). Sami przedstawiciele Tesli napisali z kolei, że S3…

Elementy hackowania GSM, podsłuch VoIP na żywo, proste generowanie dowolnej komunikacji sieciowej, łamiące programistów Javy demo złowrogiego wykorzystania The Spring Expression Language czy hackowanie kamer –  to tylko kilka wybranych tematów, które będziemy poruszać na naszych hacking party w Krakowie oraz w Poznaniu (zobacz szczegóły agend poniżej). Agendę + zapisy na Kraków zobacz tutaj (26.02.2018) –…

Lepiej zróbcie kopię zapasową swoich iPhoneów/iPadów – poprzez odczytanie na telefonie odpowiedniego ciągu znaków można doprowadzić a) do crashu konkretnej aplikacji – np. WhatsApp, Twitter oraz b) niekończącej się pętli rebootów urządzenia. Oto winowajca (podany w formie zrzutu graficznego – tak żeby nie uszkodzić Waszych telefonów): Całość działa na najnowszym…

RODO/GDPR to jeden z gorących tematów w 2018 roku. W skrócie, poniżej możecie oglądnąć ~30 minutową prezentację Maćka Pokornieckiego, który już kilka razy publikował na sekuraku: –ms

Sekurak Hacking Party Poznań, 28.02.2018r., 14:30, czas trwania, 2,5-3h – zapisy ruszyły :-) Prawie 3 godziny hackowania na żywo!

ICO (Information Commissioner’s Office – ico.org.uk) to brytyjski odpowiednik polskiego GIODO, a coś niepokojącego stało się z ich stroną 11 lutego (obecnie jest ona przełączona w tryb maintenance). W skrócie, okazało się że zaatakowano inną firmę (hxxps://www.texthelp.com/), z której to ICO załączało JavaScrypt. W skrypcie umieszczono koparkę kryptowaluty i od tej pory…

Trochę sensacyjny tytuł, ale popatrzcie tylko na ten film… pomieszanie nowoczesnej technologii (ułożone w rządki GPU) z tradycją (pozbijane z deszczółek stelaże) z domieszką chaosu – to palętające się kable i urządzenia niewiadomego przeznaczenia: Akcja likwidacji „tego miejsca” została zorganizowana przez Ukraińską cyberpolicję. Zarzutem jest tutaj wykorzystanie środków uniwersytetu (m.in. prądu)…

Właśnie załatano podatność, wykorzystującą prostą funkcję =WEBSERVICE() LibreOffice Calc supports a WEBSERVICE function to obtain data by URL. Vulnerable versions of LibreOffice allow WEBSERVICE to take a local file URL (e.g file://) which can be used to inject local files into the spreadsheet without warning the user. W pakiecie MS…

W Rosji każdy orze jak może – jedni ogrzewają koparkami kryptowalut mieszkania, inni próbują kopać bitcoiny na superkomputerze służącym do badań nad bronią jądrową – tak przynajmniej donosi BBC i inne media. Rosyjska agencja Interfax potwierdza incydent, choć nie podaje wielu szczegółów (niespodzianka). Cała operacja miała mieć miejsce w mieście…

Ekipa fail0verflow, znana choć z exploita na PS4, pokazała właśnie Debiana, którego udało im się uruchomić na Nintendo Switch:   Wykorzystany bug jest w Boot ROM-ie i nie da się go załatać w obecnej edycji Switchów… –ms

albo wykona dowolne inne polecenie umieszczone w $() – a wszystko w KDE, czy dokładniej: w środowisku KDE Plasma: When a vfat thumbdrive which contains „ or $() in its volume label is plugged and mounted trough the device notifier, it’s interpreted as a shell command, leaving a possibility of…