Aktualności

Dziwna akcja socjotechniczna: Biedronka, konkurs, kredyt i „Zaufana trzecia strona”

20 listopada 2019, 12:40 | W biegu | komentarzy 6
Dziwna akcja socjotechniczna: Biedronka, konkurs, kredyt i „Zaufana trzecia strona”

Spotkaliśmy się właśnie z pewnym przykładem socjotechniki pod postacią reklamy. Zaczyna się “konkursem” (ce[.]winfreetoday[.]com/wingames/supermarket-763/PL/step1), w którym możemy wygrać karty podarunkowe do Biedronki, po kilku kliknięciach zostajemy przekierowani na dwie strony z ofertami atrakcyjnych kredytów, po czym widzimy reklamę Citroena i automatycznie (bez naszej aktywności w tym zakresie) otrzymujemy wiadomość e-mail…

Czytaj dalej »

Na oficjalnej stronie Monero była „lewa” binarka… kradnąca kryptowalutę. „Komuś wyczyściło portfel z ~28 000 PLN.”

19 listopada 2019, 19:11 | W biegu | komentarzy 5
Na oficjalnej stronie Monero była „lewa” binarka… kradnąca kryptowalutę. „Komuś wyczyściło portfel z ~28 000 PLN.”

Niektórzy użytkownicy zauważyli, że coś się nie zgadza hash udostępnianej przez nas binarki Tak się zaczyna niedawno otwarty wątek na Reddicie. I rzeczywiście wygląda na to, że ktoś podmienił kolportowaną przez projekt Monero binarkę na fałszywą, która dodatkowo kradnie kryptowalutę…: I can confirm that the malicious binary is stealing coins. Roughly…

Czytaj dalej »

Książka sekuraka – sprzedanych ~4800 sztuk i ostatnie chwile przedsprzedaży w niższej cenie

19 listopada 2019, 12:21 | Aktualności | komentarzy 17
Książka sekuraka – sprzedanych ~4800 sztuk i ostatnie chwile przedsprzedaży w niższej cenie

Mały status update odnośnie naszej książki o bezpieczeństwie aplikacji webowych (tak, jest ona mocno przydatna również dla programistów / testerów chcących „wdrożyć się” w tematykę bezpieczeństwa). Spis treści tutaj, przykładowy rozdział – tutaj. Garść aktualnych informacji: Przez około 1.5 miesiąca sprzedanych mamy blisko 4800 sztuk Książkę wysłaliśmy już do drukarni, która…

Czytaj dalej »

Są też Bug Bounty dla cyberprzestępców. Właśnie ktoś płaci równowartość 400 000 PLN za hackowanie banków, kompani paliwowych, …

18 listopada 2019, 22:54 | W biegu | komentarze 3
Są też Bug Bounty dla cyberprzestępców. Właśnie ktoś płaci równowartość 400 000  PLN za hackowanie banków, kompani paliwowych, …

Tutaj krótka relacja w temacie ogłoszenia oferującego ~100 000 USD za hackowanie stosownych celów. A cele te są polityczne: The idea is to pay other hackers who carry out politically motivated hacks against companies that could lead to the disclosure of documents in the public interest. I’m not trying to…

Czytaj dalej »

Rekonesans DNSSEC-a z wykorzystaniem… hashcata

18 listopada 2019, 13:37 | Aktualności | komentarze 3
Rekonesans DNSSEC-a z wykorzystaniem… hashcata

DNSSEC wielu osobom kojarzy się większym bezpieczeństwem usługi DNS. Tymczasem… różnie z tym bywa. Mało osób ma świadomość, że w przypadku korzystania z tej usługi dosyć łatwo można wykonać enumerację skonfigurowanych w DNS-ie nazw domen. Temat ten poruszamy w naszej książce jako jeden z wielu dotyczących możliwości realizacji rekonesansu poddomen:…

Czytaj dalej »

Krytyczna podatność w dwóch urządzeniach medycznych używanych również w polskich szpitalach

17 listopada 2019, 11:22 | W biegu | 0 komentarzy
Krytyczna podatność w dwóch urządzeniach medycznych używanych również w polskich szpitalach

Informację podał amerykański CERT, a chodzi o sprzęt Valleylab FT10 oraz Valleylab FX8. Jak widać – są one popularne również w Polsce. Jedno z nich służy do diatermii, drugie to „Platforma elektrochirurgiczna z systemem zamykania naczyń LigaSure oraz resekcją bipolarną”. W czym problem? Podatności mamy trzy, a finalnie można przez sieć,…

Czytaj dalej »

Zhackowali ich 20 razy. Dowiedzieli się o akcji dopiero jak skończyło się miejsce na dysku (atakujący przesadzili z dumpowaniem danych) [US]

15 listopada 2019, 15:40 | W biegu | komentarze 4
Zhackowali ich 20 razy. Dowiedzieli się o akcji dopiero jak skończyło się miejsce na dysku (atakujący przesadzili z dumpowaniem danych) [US]

Ciekawy przypadek wielokrotnego incydentu bezpieczeństwa opisuje Arstechnica. Firma była atakowana 20 razy w przeciągu 22 miesięcy. Atakujący uzyskał dostęp do danych około miliona klientów. Wśród zdobyczy były „zwykłe” dane osobowe, ale też trochę haseł w plaintext czy danych kart kredytowych. W końcu atakujący wzięli się za konkretne dumpowanie. Tak konkretne,…

Czytaj dalej »

Czy należy wymuszać okresową zmianę haseł? Mamy chyba ostateczne rozwiazanie problemu.

15 listopada 2019, 14:42 | Aktualności | komentarzy 40
Czy należy wymuszać okresową zmianę haseł? Mamy chyba ostateczne rozwiazanie problemu.

Temat powraca dość często, więc postanowiliśmy podsumować aktualny stan wiedzy. Otóż obecne branżowe rekomendacje nie zalecają regularnych (np. co 30 czy 180 dni) zmian haseł. Microsoft (Security baseline (FINAL) for Windows 10 v1903 and Windows Server v1903): Usuwamy polisy dotyczące wygasania haseł, które wymagają okresowych jego zmian. Kiedy użytkownicy są…

Czytaj dalej »

Wyciekły dane rekrutacyjne na studia [SGGW]. Imię/nazwisko, nazwisko rodowe, PESEL, nr dowodu osobistego, telefon i inne wrażliwe dane

15 listopada 2019, 13:54 | W biegu | komentarzy 25
Wyciekły dane rekrutacyjne na studia [SGGW]. Imię/nazwisko, nazwisko rodowe, PESEL, nr dowodu osobistego, telefon i inne wrażliwe dane

Informację o incydencie można przeczytać tutaj. Co się wydarzyło? Ukradziono jeden z komputerów pracownika SGGW, na którym były przechowywane dane z rekrutacji na studia za ostatnich kilka lat. Sam laptop nie miał skonfigurowanego szyfrowania dysku (co jest już kolejnym tego typu incydentem zgłoszonym w Polsce ostatnim czasie!). Dane, które dostały się w…

Czytaj dalej »

AI zsyntetyzuje dowolne zdanie „wypowiedziane” przez Ciebie. Wystarczy 5 sekund nagrania Twojego głosu. Zobacz demo.

14 listopada 2019, 20:32 | W biegu | komentarzy 6
AI zsyntetyzuje dowolne zdanie „wypowiedziane” przez Ciebie. Wystarczy 5 sekund nagrania Twojego głosu. Zobacz demo.

Zerknijcie tutaj (dostępne są nagrane 5-sekudnowe próbki + kilka zsyntetyzowanych fragmentów). Na początek została zrobiona gigantyczna praca polegająca na treningu systemu tysiącami realnych głosów. Po wykonaniu tego etapu wystarczy raptem 5 sekund nagrania głosu ofiary, aby zsyntetyzować wypowiedziane przez nią fejkowe zdania: Do czego może być to wykorzystane? Np. do scamów…

Czytaj dalej »

Wg NIK w polskich szpitalach ochrona wrażliwych danych nie jest słaba. Jest dramatyczna.

14 listopada 2019, 19:27 | W biegu | komentarzy 6
Wg NIK w polskich szpitalach ochrona wrażliwych danych nie jest słaba. Jest dramatyczna.

Pełna wersja raportu dostępna jest tutaj. Synteza tu. Nas siłą rzeczy interesują przede wszystkich problemy związane ze zbiorami elektronicznymi. Tutaj panuje cały czas przekonanie, będzie opublikowana procedurka kupiona za 50 zł w sklepie z procedurkami RODO i wszystko gra :-) To nie te czasy, a walczyć za pomocą jedynie procedur…

Czytaj dalej »