Aktualności

Jak wyciekać dane to w setkach milionów. Zupełnie niezabezpieczone API dostępne przez kilka lat…

17 kwietnia 2019, 10:24 | W biegu | 1 komentarz

Lepiej uczyć się na cudzych błędach… tym razem Hacker News donosi o wycieku danych przeszło 100 milionów użytkowników z największej (natywnie) indyjskiej wyszukiwarki Justdial: Dlaczego piszemy o takim dość egzotycznym przypadku? Otóż jest tutaj jedna lekcja do zapamiętania – dostępny od 2015 roku endpoint API był starym, obecnie nieużywanym mechanizmem. Jednak…

Czytaj dalej »

Smartwatch dla dzieci – każdy mógł je lokalizować, zmieniać lokalizację, słuchać z dowolnego zakątka na świecie

16 kwietnia 2019, 14:59 | W biegu | komentarze 4

Wygląda to na klasyczny przykład wdrażania ciekawego produktu, z nieciekawym podejściem do bezpieczeństwa (czyli żadnym). Podatny sprzęt to australijski Tic Toc Track (w cenie $150 dolarów australijskich). W skrócie, urządzenie łączy się z w zasadzie niezabezpieczonym API. Mając dowolne konto, mieliśmy jednocześnie dostęp do każdej metody API. Np. takiej pobierającej wszystkie…

Czytaj dalej »

Google Sensorvault – wewnętrzna baza lokalizacji telefonów częściowo dostępna dla służb

15 kwietnia 2019, 15:39 | W biegu | komentarzy 8

Dla nikogo chyba dziwnym nie jest fakt, że Google zbiera informacje o lokalizacji telefonów (np. poprzez Google Maps). Może nieco bardziej zastanawiające jest to, że gigant przechowuje te dane w bazie Sensorvault, która częściowo może być (i jest) udostępniana różnym służbom. New York Times pisze o tzw. „geofence warrants”. Czyli np….

Czytaj dalej »

Tomcat – zdalne wykonanie kodu. Ale nie panikuj, pewnie nie jesteś podatny

15 kwietnia 2019, 15:20 | W biegu | 0 komentarzy

Właśnie wydano nową wersję Tomcata (w kilku liniach). Oficjalny opis potrafi postawić włosy na głowie: Important: Remote Code Execution on Windows CVE-2019-0232 Jeśli poczytamy dalej, dowiemy się że podatny jest moduł CGI (który jest domyślnie wyłączony). Konfiguracji Tomcat+CGI+Windows raczej nie będzie zbyt wiele, stąd ograniczona liczba ofiar… Jeśli z kolei…

Czytaj dalej »

Francja wysłała via @europol.europa.eu żądanie natychmiastowego usunięcia m.in. 550 „linków z treścią terrorystyczną”. Okazało się, że to całkiem normalne treści – w tym materiały tworzone przez rząd USA

12 kwietnia 2019, 13:08 | W biegu | komentarzy 11

Francuski oddział jednostki zajmującej się zwalczaniem terroryzmu w Internecie wysłał do serwisu archive.org nakaz zablokowania sporej liczby „contentu terrorystycznego”.  Mail wysłany był z domeny @europol.europa.eu, a czas na usunięcie linków dość liberalny (24h). Wg właśnie procesowanego prawa EU ma to być 1h i maksymalna kara aż 4% globalnego obrotu firmy. Problem…

Czytaj dalej »

x33fcon – zapraszamy na wydarzenie w Trójmieście

12 kwietnia 2019, 10:33 | W biegu | 1 komentarz

Doczekaliśmy się kolejnej, już trzeciej, edycji konferencji x33fcon. I jak co roku w Gdyni na początku maja (6-7) zjadą się zespoły Red i Blue z całego świata. x33fcon to impreza międzynarodowa, w całości w języku angielskim, a my kolejny raz jesteśmy ich partnerami. Dla chętnych mamy kod zniżkowy (sekurak.Bohfu6nu), uprawniający…

Czytaj dalej »

Potężny wyciek danych osobowych z 67% hoteli na świecie, czy nic nie znacząca drobnostka?

11 kwietnia 2019, 19:25 | W biegu | 0 komentarzy

Świat obiegła mrożąca krew w żyłach wiadomość: w próbce 1500 hoteli (z 54 krajów), około 67% „wycieka” m.in. dane osobowe do zewnętrznych domen: Symantec found that 67% of hotel websites are leaking guests’ booking and personal details Tekst mimo, że napisany momentami średnio (niezaszyfrowane linki („Unencrypted links”) to np. linki…

Czytaj dalej »

Wikileaks: Julian Assange aresztowany w Londynie

11 kwietnia 2019, 16:00 | W biegu | 0 komentarzy

Na razie niewiele wiemy, poza tym że: 1) ambasada anulowała azyl 2) Julian został aresztowany w Londynie – jako podstawę wymieniono prośbę o ekstradycję do USA: Julian Assange has been further arrested in relation to an extradition warrant on behalf of the United States authorities. He remains in custody at…

Czytaj dalej »

W Polsce również bezprzewodowo kradną auta. Całość trwa ~1 minutę. Audi A5 & film z akcji.

11 kwietnia 2019, 11:09 | Aktualności | komentarzy 36
W Polsce również bezprzewodowo kradną auta. Całość trwa ~1 minutę. Audi A5 & film z akcji.

Jakiś czas temu pisaliśmy o takiej technice w kontekście Tesli. Kradzież wykorzystuje fakt, że w nowoczesnych autach często wystarczy w pobliżu samochodu sygnał z kluczyka – wtedy samochód można otworzyć i uruchomić. Ale przecież kluczyk jest w kieszeni spodni właściciela! To nic, można wzmocnić sygnał odpowiednim urządzeniem i przesłać go…

Czytaj dalej »

Crackowanie 8-literowego hasła do WPA3 w cenie $125 + kilka nowych ataków na WPA3

10 kwietnia 2019, 21:50 | W biegu | komentarze 4

WPA3 miało być super bezpieczne, a tymczasem przeżywa choroby wieku dziecięcego. Wśród kilku różnych, nowych ataków mamy dość sprawną metodę łamania hasła dostępowego: The resulting attacks are efficient and low cost. For example, to brute-force all 8-character lowercase passwords, we require less than 40 handshakes and 125$ worth of Amazon…

Czytaj dalej »

Jak wdrożyć bezpieczeństwo w małej / średniej firmie? Kompleksowy dokument

09 kwietnia 2019, 16:33 | W biegu | 1 komentarz

Niedawno wydano wersję 7.1 CIS Controls. Sama nazwa niewiele mówi, ale jest to zbiór zaleceń / dobrych praktyk dotyczących bezpieczeństwa IT w firmach. Całość to raczej nie temat na jeden wieczór, ale z drugiej strony łatwo przytłoczyć małą, 10-osobową firmę natłokiem informacji czy elementami koniecznymi do zaimplementowania. CIS proponuje zatem…

Czytaj dalej »

1 dniowe szkolenie z SDR (Software Defined Radio) od sekuraka – kto chętny? [agenda]

09 kwietnia 2019, 13:48 | W biegu | komentarzy 5

Temat uruchamiamy hobbystycznie (choć w pracy pentestera czasem może przydać się komunikowanie radiowe z tzw. dziwnymi urządzeniami – czy np. otwieranie drzwi „zabezpieczonych” tragicznie niebezpieczną komunikacją radiową). TLDR: Wstępną, niezobowiązującą chęć uczestnictwa zgłoś na: szkolenia@securitum.pl Miejsce / czas szkolenia: maj, Kraków, 1 dzień. Forma szkolenia: wprowadzenie teoretyczne + warsztaty. Koszt:…

Czytaj dalej »

Jak po kliknięciu w wiadomość stracić 20 000 PLN? Prosto. Przekonała się o tym pani z Gliwic

09 kwietnia 2019, 13:22 | W biegu | komentarzy 5

Sprawę (nieco chaotycznie) opisuje serwis infogliwice. Pokrzywdzona gliwiczanka, obecnie przebywająca poza granicą naszego kraju, kliknęła w swoim smartfonie w przesłaną jej przez kogoś, podszywającego się pod operatora telefonii komórkowej, „fakturę z zaległością” na kwotę 2,40 zł. W efekcie przestępcy przejęli kontrolę nad jej internetowym kontem bankowym i telefonem, skąd błyskawicznie…

Czytaj dalej »