RODO okiem hackera! Praktyczne szkolenie od sekuraka z ochrony danych osobowych. Zapisz się tutaj.

Aktualności

log4shell (podatność w bibliotece log4j) – zapisz się na pokaz na żywo. Jak się załatać? Jak działają exploity? Co nie chroni przed atakiem?

14 grudnia 2021, 11:53 | W biegu | komentarze 4

Prawdopodobnie słyszeliście już o krytycznej podatności log4shell. O co chodzi z podatnością? Jakie są możliwe skutki wykorzystania? Jak wyglądają różne warianty ataków na tę lukę [pokazy na żywo] Czy nowa wersja Javy chroni przed atakami? Właśnie wyszła kolejna aktualizacja log4j – 2.16.0 – czy poprzednia nie łatała wszystkich problemów? Czy…

Czytaj dalej »

Każdy zalogowany użytkownik może być adminem domeny w Windows. Sprawdźcie czy macie łatkę.

14 grudnia 2021, 10:44 | W biegu | komentarzy 10

Ostatnio log4shell przyćmiewa inne problemy bezpieczeństwa. Tymczasem w listopadzie Microsoft załatał dwie interesujące podatności: CVE-2021-42278 / CVE-2021-42287 (Active Directory Domain Services Elevation of Privilege Vulnerability) Jak można zobaczyć na ~animacji tutaj, każdy zalogowany do domeny użytkownik może zostać w prosty sposób …administratorem domeny: Wprawdzie w opisie błędu Microsoft napisał Exploitation…

Czytaj dalej »

Nowy iOS 15.2 – nalot nowych funkcji bezpieczeństwa… oraz łatek podatności

14 grudnia 2021, 10:18 | W biegu | komentarze 2
Nowy iOS 15.2 – nalot nowych funkcji bezpieczeństwa… oraz łatek podatności

Apple właśnie wypuścił wersję 15.2 swojego mobilnego systemu. Mam wrażenie, że znalazły się w nich funkcje, które nie do końca zostały przetestowane na premierę iOS 15.0; ale teraz nadszedł już dobry czas. Najbardziej chyba cieszy tzw. raport prywatności aplikacji (Ustawienia -> prywatność -> na-samym-dole- ;) Widzimy tutaj np. z jakich…

Czytaj dalej »

Wspominają Twoją stronę na Facebooku? Zobacz na to oszustwo, które próbuje wykraść Twój login/hasło do FB

13 grudnia 2021, 12:10 | W biegu | komentarze 2
Wspominają Twoją stronę na Facebooku? Zobacz na to oszustwo, które próbuje wykraść Twój login/hasło do FB

W reklamy nikt nie chce klikać (również te facebookowe ;), więc przestępcy cały czas próbują nowych metod. Może bardziej skuteczne okaże się wspomnienie stron, które chcemy zaatakować? Jeden z czytelników podesłał nam opis takiej akcji. 1. Niewinne wspomnienie o stronie (może to ktoś ważny? może dostałem jakiś bonus?) 2. Dalej…

Czytaj dalej »

Ransomware i wyciek w gminie Nowiny

13 grudnia 2021, 10:49 | W biegu | komentarze 3
Ransomware i wyciek w gminie Nowiny

Informacja o incydencie pojawiła się w oficjalnym serwisie gminy (cynk przekazał nam Krzysiek). Czytamy tutaj: Administrator (…) zawiadamia o zaszyfrowaniu bazy programu kadrowo-finansowego. Co się wydarzyło? Opis jest dość enigmatyczny: pracownik Urzędu Gminy Nowiny otworzył zainfekowany link co skutkowało uruchomieniem oprogramowania złośliwego, który zainfekował serwer Z naszego doświadczenia ścieżka jest…

Czytaj dalej »

Popularna biblioteka Struts2 podatna na podatność log4shell. Najnowsza Java, atak w logach nie zostawia śladu…

13 grudnia 2021, 08:50 | W biegu | 0 komentarzy
Popularna biblioteka Struts2 podatna na podatność log4shell. Najnowsza Java, atak w logach nie zostawia śladu…

Badacze zaprezentowali Proof of Concept exploit na Struts2 Showcase (2.5.27) z nową Javą: root@c9b80b027e02:~# java -version openjdk version „11.0.13” 2021-10-19 OpenJDK Runtime Environment 18.9 (build 11.0.13+8) OpenJDK 64-Bit Server VM 18.9 (build 11.0.13+8, mixed mode, sharing) Atak (uważni dostrzegą, że nie ma tutaj użycia ciągu ldap, jak w klasycznych atakach…

Czytaj dalej »

Widowiskowy wstęp do technicznego bezpieczeństwa IT od sekuraka. SMS spoofing, przejmowanie kamery w Windows, kabel USB, który nagle staje się klawiaturą…

11 grudnia 2021, 22:25 | W biegu | 0 komentarzy
Widowiskowy wstęp do technicznego bezpieczeństwa IT od sekuraka. SMS spoofing, przejmowanie kamery w Windows, kabel USB, który nagle staje się klawiaturą…

Tematy z tytułu to tylko dodatkowe dema na żywo, które planujemy zamieścić w naszym flagowym, dwudniowym szkoleniu: wprowadzenie do bezpieczeństwa IT. Samo szkolenie to przede wszystkim liczne pokazy ataków na żywo (jest ich przeszło 20, nie ma szans na nudę :-) – wszystko oczywiście z odpowiednim tłumaczeniem i omówieniem ochrony….

Czytaj dalej »

Masa produktów od VMware z krytyczną podatnością log4shell. Część ma już łaty, część za moment.

11 grudnia 2021, 21:12 | W biegu | 1 komentarz
Masa produktów od VMware z krytyczną podatnością log4shell. Część ma już łaty, część za moment.

Listę podatnych produktów możecie zobaczyć tutaj. Jak widzicie część produktów otrzymała łaty, choć dla większości są one w trakcie tworzenia. Ciężko powiedzieć czy VMware przydzielił od góry do dołu łatkę: Critical 10/10, ale nie wygląda to dobrze. Wszystko „oczywiście” za sprawą podatności w bibliotece Apache Log4j: VMWare dodaje jednocześnie: Exploitation…

Czytaj dalej »

Ghidra 10.1 – nowa wersja świetnego narzędzia od NSA (+film tutorial od Sekuraka)

11 grudnia 2021, 17:21 | W biegu | 0 komentarzy
Ghidra 10.1 – nowa wersja świetnego narzędzia od NSA (+film tutorial od Sekuraka)

Czym jest Ghidra? Otwartoźrodłowym narzędziem do analizy plików binarnych. Posiada dekompilator, wsparcie dla x86/MIPS/ARM/… Właśnie wydano wersję 10.1, która zawiera m.in. poprawkę słynnego już buga log4shell. No dobra, dobra, ale jak w praktyce działa ta Ghidra? Zobaczcie więc, jak w prosty sposób można dzięki niej zlokalizować podatność klasy RCE w…

Czytaj dalej »

Krytyczna podatność w Apache Log4j. Co wiemy, jak wyglądają ataki? Jak się chronić? CVE-2021-44228 RCE

11 grudnia 2021, 13:51 | Aktualności | komentarzy 28
Krytyczna podatność w Apache Log4j. Co wiemy, jak wyglądają ataki? Jak się chronić? CVE-2021-44228 RCE

Apache Log4j to bardzo popularna biblioteka javowa służąca do… logowania rozmaitych zdarzeń. Podatność, możliwe skutki wykorzystania. Luka CVE-2021-44228 (inna nazwa: log4shell) to tzw. RCE (Remote Code Execution) – czyli wykonanie dowolnego (wrogiego) kodu po stronie serwerowej. Napastnik może uzyskać dostęp do wykonywania dowolnych poleceń na serwerze (z uprawnieniami, z którymi…

Czytaj dalej »

Dziadek nagrał/ograł próbujących oszukać go „na wnuczka”

11 grudnia 2021, 11:56 | W biegu | komentarzy 9
Dziadek nagrał/ograł próbujących oszukać go „na wnuczka”

News krótki, ale temat wart odnotowania. Jeden z czytelników Życia Kalisza, nagrał rozmowę z oszustami. TLDR (przygotowanie skróconego ~stenogramu by sekurak): Uderzyłam kobietę na pasach! [chlip chlip] Ale to jak, nie uważaliście!? [;p] Wyskoczyła no na zielonym Ojejka… Jesteśmy na komendzie… to on prowadził [szloch, chlip, bęc] A był trzeźwy?…

Czytaj dalej »

Wykpił bota próbującego oszukiwać na „OLX”. A bot… jak to bot – dalej idzie w zaparte i próbuje bruteforce-a

11 grudnia 2021, 10:57 | W biegu | komentarzy 5
Wykpił bota próbującego oszukiwać na „OLX”. A bot… jak to bot – dalej idzie w zaparte i próbuje bruteforce-a

Jeden z użytkowników Wykopu, zmęczony najpewniej ciągłym bombardowaniem przez boty-kupujące-oszukujące, postanowił trochę pośmieszkować: Urocze, prawda? ;-) Zresztą inni, w cytowanym wątku powyżej, nie chcą pozostawać w tyle i proponują swoje frazy konwersacyjne z panią Klarą Sobieraj, ekhem… znaczy z OLX scam-botem: Przypominamy, że kradzież „na OLX” uderza w sprzedających przedmioty….

Czytaj dalej »

Podatność w serwerach Minecraft – wpisujesz exploita na chacie i przejmujesz serwer oraz innych graczy [log4j, CVE-2021-44228]

10 grudnia 2021, 15:29 | W biegu | 1 komentarz
Podatność w serwerach Minecraft – wpisujesz exploita na chacie i przejmujesz serwer oraz innych graczy [log4j, CVE-2021-44228]

Jest spora szansa, że historia tej podatności w log4j właśnie zaczyna się od exploitów na Minecrafta (i co więcej dotyczy to zarówno serwerów jak i klientów): Jeśli wierzyć tej relacji – gorzej już być nie mogło: Ten exploit jest bardzo poważny w Minecraft Java Edition. Każdy może wysłać wiadomość na…

Czytaj dalej »