Aktualności

Jakiś czas temu otrzymaliśmy informację o dość ciekawym przypadku: intranet Wojewódzkiego Inspektoratu Ochrony Środowiska we Wrocławiu udostępniony w Internecie. Czy nie było tam logowania? – zapytacie. Było – odpowiemy. Więc w czym problem? – będziecie dociekać. Ano w tym, że pliki – dostępne normalnie po logowaniu – były również możliwe…

Jedną z szybkich i efektywnych technik rekonesansu OSINT-owego jest zdobywanie szczegółowych informacji o osobie i jej zdjęciu profilowym na podstawie adresu e-mail. Jeśli jest to konto Google, można skorzystać z takich narzędzi jak opisywany już przeze mnie w tej serii GHunt. Można też użyć narzędzia, którego nie trzeba instalować, czyli…

Nie ukrywajmy tego: programistą, testerem oprogramowania, specjalistą od administrowania siecią zostaje się z pasji i… dla pieniędzy. Branża IT płaci dobrze, ale wiesz – zawsze może być lepiej. A my znamy co najmniej 10 sposobów na to, jak to zrobić, by faktycznie było „lepiej” 😉 Specjalista w branży IT –…

Mogłoby się wydawać, że błędy w systemach informatycznych związane ze zmianą roku to domena przeszłości (np. znany problem roku 2000). Tymczasem nie do końca, bo użytkownicy Microsoft Exchange, czyli rozwiązania pocztowego stosowanego głównie w firmach, zgłaszają dziś takie błędy: The FIP-FS „Microsoft” Scan Engine failed to load. PID: ХХХХХ, Error…

Dla przypomnienia w Securitum szukamy teraz aż pięciu pentsterów, ale to ogłoszenie dotyczy nieco innego tematu ;) Szukamy osób do stałej lub okazjonalnej współpracy w obszarach: opracowywanie / research newsów (tylko regularna współpraca) i/lub: opracowywanie tekstów / poradników dla osób nietechnicznych (planujemy pewien nowy projekt… :) i/lub: opracowywanie wpisów /…

Historia opisywana jest przez jednego z komentatorów Reddita przy okazji kolejnego znaleziska o śledzeniu AirTagiem samochodu. Jest to jeden z nowych sposobów na typowanie auta do ew. późniejszej kradzieży – pisaliśmy o tym niedawno. Wracając do tytułu, przetłumaczmy większy fragment komentarza zamieszczonego przez jednego z użytkowników: Po wynajęciu lokalu przez…

Dzięki naszym nieocenionym czytelnikom o wpadce dowiedzieliśmy się dość szybko. Po wystąpieniu tego typu incydentu, można się spodziewać co się dzieje na telefonie pana Jacka… więc żeby jeszcze bardziej nie podgrzewać atmosfery (każdemu może zdarzyć się wpadka), nieco wstrzymaliśmy się z publikacją. Obecnie jednak sporo mediów już rozpyliło wieści, mleko…

Jeśli ktoś potrzebuje przykładu większego włamania z wykorzystaniem luki w Log4j – bardzo proszę. Celem była wietnamska giełda kryptowalut Onus (około 1.5-2 milionów użytkowników), która używała podatnego rozwiązania firmy Cyclos: Wprawdzie Cyclos szybko wypuścił łatkę na swoje rozwiązanie, jednak przed jej aplikacją przez giełdę, atakujący zdążyli uzyskać dostęp na stosowny…

O temacie ostrzega CSIRT KNF. Jak widzicie poniżej, jeśli ktoś w ferworze świąt potrzebowałby szybko zalogować się do bankowości, być może nie zauważy niepozornej zmiany widocznej w pasku adresu przeglądarki: Jak też widzicie powyżej, w przeglądarce jest kłódka, co oznacza bezpieczne połączenie https. No ale co najwyżej w bezpieczny sposób…

Opis podatności jest dość enigmatyczny: Apache Log4j2 vulnerable to RCE via JDBC Appender when attacker controls configuration. Z jednej strony jest to RCE (remote code execution), czyli możliwość wykonania kodu po stronie serwera, z drugiej strony powaga podatności (skala CVSS) została oszacowana na 6.6/10. Dlaczego nie 10/10 jak w przypadku…

Po doniesieniach dotyczących infekcji Pegasusem Ewy Wrzosek oraz Romana Giertycha, Associated Press informuje o wielokrotnym uderzeniu w telefon Krzysztofa Brejzy: Polish Sen. Krzysztof Brejza’s mobile phone was hacked with military-grade spyware nearly three dozen times in 2019 when he was running the opposition’s campaign against the right-wing populist government (…)…

Wg różnych doniesień, pierwszym który zgłosił podatność log4shell do twórców biblioteki, był Chen Zhaojun pracujący w Alibaba Cloud. Twórcy przygotowywali łatkę… i wszystko szło by dobrze, gdyby nie fakt, że podatność nie została jednocześnie zgłoszona do chińskiego rządu: Alibaba Cloud did not immediately report vulnerabilities in the popular, open-source logging…

Twórcy malware raczej nie życzą swoim ofiarom wesołych Świąt. Albo raczej życzą trochę w makabrycznej formule. Tutaj krótki opis jednej z kampanii zaczynającej się od dość nieprzyjemnej socjotechniki. Jak widzicie poniżej, e-mail o zwolnieniu zawiera załącznik, który jest zabezpieczony prostym hasłem (próba ukrycia złośliwej zawartości przed systemami antywirusowymi): Załącznik zawiera…

Masz dość słuchania nudnych pogadanek o cyber-bezpieczeństwie, z których niewiele wynika? Chciałbyś spędzić z nami 4 godziny, które upłyną szybko jak 5 minut? Chciałbyś nauczyć chronić się przed najczęstszymi cyberatakami? A może od razu po szkoleniu chciałbyś wdrożyć mechanizmy uodparniające Cię na ewentualne przyszłe ataki? Czytaj dalej :-) Po dwóch…

Dawno nie publikowaliśmy niczego na sekurak.tv, więc czas nadrobić zaległości ;-) Tutaj możecie oglądać blisko ~4h nagranie szkolenia omawiającego najnowszy OWASP Top Ten: W cztery godziny cieżko omówić w sposób kompleksowy cały dokument, więc traktujcie to jako wstęp do tematu :-) Jeśli ktoś jest żądny większej ilości wiedzy, w tym…