Sekurak - piszemy o bezpieczeństwie

Nieskobudżetowy i pomysłowy projekt za $5. Całość jest zbudowanym w oparciu o RPi zero kombajnem podszywającym się za kartę sieciową USB, która (nawet na zablokowanych komputerach – Windows/Linux/OS X) jest automatycznie instalowana.

Wybrane modele telefonów wysyłają do Chin cały pakiet informacji: pełne SMSy, kontakty, historię rozmów (pełne numery), numer IMSI oraz IMEI. A to tylko początek – backdoor ma możliwość wykonywania poleceń w OS (system privileges) i omija system uprawnień na Andoridzie.

23 listopada zaczynamy w Warszawie szkolenie „Wprowadzenie do bezpieczeństwa IT”. Idealna metoda żeby w praktyczny i barwny sposób poznać wiele obszarów związanych z technicznym bezpieczeństwem IT.

TL;DR – okazuje się że używanie ekranu dotykowego w telefonie zaburza w pewien sposób sygnał WiFi, a odpowiednio wykorzystując ten fakt można poznać to co użytkownik wpisuje na klawiaturze.

Rozbudowany poradnik o samym mod_security mamy na sekuraku. Przypominam – to bezpłatny web application firewall – do instalacji na Apache/IIS/Nginx.

Kampanie tego typu niestety są coraz częstsze – pisaliśmy o tym niedawno. Google blokuje w miarę szybko malware, ale…powstają jego kolejne mutacje, które infekują użytkowników i… tak w kółko. Zobaczcie na wykres infekcji bankowego malware: Trojan-Banker.AndroidOS.Svpeng

Ustawienie dowolnego numeru dla połączenia wychodzącego GSM nie jest czymś specjalnie nowym. Jest wielu operatorów VoIP którzy „standardowo” pozwalają na dowolne ustawienie numery wychodzącego (można nawet skonfigurować własnego Asteriska + Softphone).

Zarażenie samych urządzeń IoT szkodliwym oprogramowaniem, to tylko połowa sukcesu – poddane kontroli przez oprogramowanie botnetu, rządzą się też innymi prawami. Większość z nich, nie zawsze jest dostępna 24h/d; część z nich jest albo odłączana na noc w celu oszczędności energii, restartowana w przypadku zawieszenia lub chwilowego braku zasilania, czy wreszcie…

Pozostańmy jeszcze przy shodanie. Tym razem po to, aby przyjrzeć mu się z punktu widzenia pewnych mechanizmów, środowiska rozproszonego i – bardziej niebezpiecznego. Kilka dni temu, pojawiła się wiadomość, że DC/OS stał się dostępny w chmurze obliczeniowej Azure…

W wersji podstawowej, jest to program pośredniczący w ruchu HTTP i HTTPS, pozwalający zatrzymywać, edytować i odrzucać wysyłane żądania z przeglądarki internetowej. Niezwykle przydatny do sprawdzania zachowania web aplikacji, po wysłaniu danych innych, niż pozwala użytkownikowi jej frontend. Można to robić w czasie rzeczywistym (czyli zatrzymać żądanie, zmodyfikować i przesłać…

Na sekuraku staramy się utrzymywać wysoki poziom merytoryczny i w podobny sposób staramy się prowadzić nasze warsztaty z bezpieczeństwa.

TL;DR: prawie 6 tysięcy sklepów skimmowanych przez wiele miesięcy. Załatanych obecnie mniej niż 1000. Są domeny z Polski.

Kto śledzi treści publikowane na sekuraku, ten wie, że Internet of Things (IoT) jest tak skromnie zabezpieczony, iż większość tych urządzeń, może posłużyć jako węzły w botnetach wykonujących ataki DDoS. Niestety, to nie pełny zasób możliwości, jaki niosą ze sobą te urządzenia…

SHP nawiedziło ~200 osób, rozdaliśmy ok 10 różnych TP-Linków, 20 koszulek i masę gadgetów sekuraka. Część osób była zdziwiona, że gadgety można brać za darmo, a hacking party jest bezpłatne :]

Trzecia i ostatnia część z serii o deserializacji w Javie i problemów za tym idących. Tym razem dowiemy się jakie mamy strategie zabezpieczenia się przed atakami.