Całość w szczegółowej izraelsko-kandyjskiej pracy zatytułowanej: „IoT Goes Nuclear: Creating a ZigBee Chain Reaction„. W dużym skrócie akcja wykorzystuje bezprzewodowy protokół komunikacyjny ZigBee, chętnie wykorzystywany przez rozmaite urządzenia IoT. Jako Proof of Concept użyto inteligentnych żarówek (Phillips HUE): Jak można wystartować atak? Wystarczy wkręcić gdzieś jedną zainfekowaną żarówkę…: The attack…
Czytaj dalej »
Tym razem krótko, właśnie wypuszczona wersja 10.3.1 systemu iOS łata następujący błąd dotyczący WiFi: Impact: An attacker within range may be able to execute arbitrary code on the Wi-Fi chip. Jeśli Apple opisuje to w tak drastyczny sposób, bug musi być niezły, prawda? Zapewne też Gal Beniamini z Google Project Zero,…
Czytaj dalej »
To ficzer? To backdoor? Nie, to podatność znaleziona przez Tavisa Ormandy. Dotyczy ona plugina przeglądarkowego LastPass (w Chrome, ale prawdopodobnie jest też coś na FF – i to nie załatane – patrz koniec posta). Używa on javascriptu, który można odpowiednio wykorzystać i przesyłać do samej instancji LastPass wywołania konkretnych, lokalnych metod:…
Czytaj dalej »
Puszka Pandory znana też jako Vault 7 lub wyciek z CIA, zatacza kolejne kręgi. Tym razem Cisco opublikowało podatność oflagowaną jako Critical (9.8/10 w skali CVSS). Problematyczne jest też to, że producent na razie nie udostępnił patcha… A vulnerability in the Cisco Cluster Management Protocol (CMP) processing code in Cisco IOS…
Czytaj dalej »
Właśnie wypuszczona nowa wersja Notepad++ łata pewien problem, wykorzystywany przez narzędzia opisane w wycieku z CIA. Nie chodzi tym razem o podatność w Notepad++ a o plik scilexer.dll, który podmieniany jest po udanej kompromitacji jednym z ofensywnych narzędzi. W ten sposób, Notepad++ zmieniany był w niewinnego szpiega, umożliwiającego komunikację z atakującymi. Od wersji…
Czytaj dalej »
Popularna platforma Mikrotik ma opinie bezpiecznej (patrz swoją drogą nasze tutoriale – firewall, czy obsługa wielu łącz). Jenak i jej nie ominął ostatni wyciek z CIA opublikowany przez załogę Wikileaks. Producent w reakcji na opisy paru ataków z wycieku wypuścił patcha, usuwającego ewentualne złośliwe pliki na ruterach, które mogły zostawić exploity…
Czytaj dalej »
Ktoś włamuje się do Twojego domu podczas Twojej obecności. Nie będziesz się grzecznie uśmiechał i czekał aż dom będzie obrabowany – „bo nie można nic zrobić chronionemu prawnie napastnikowi”. Oczywiście to absurd i na taką sytuację zwraca m.in. propozycja wprowadzenia do prawa USA możliwości aktywnej obrony przed cyberatakami (roboczo: Active Cyber…
Czytaj dalej »
Jeśli ktoś chce szybko mięsa – proszę: mamy tutaj w pełni bojowe exploity (ang. weaponized exploits) zawierające 0-daye na iPhone / Androida (tu będziecie pewnie narzekać że starocie) / Windowsa. Nie brakuje też pakunków zmieniających telewizory Samsunga w ukryte mikrofony. W oryginale: (…) arsenal and dozens of „zero day” weaponized exploits against…
Czytaj dalej »
Akcja na rynku inteligentnych zabawek się rozkręca. Najpierw Barbie, później niemiecka rekomendacja zniszczenia lalki Calya (oskarżenie o ukryte urządzenie szpiegowskie). Teraz przyszła pora na większą „bombę”. Na początek zaczęło się od wycieku, którym zajął się znany nam Troy Hunt. Chodzi o inteligentne misie (CloudPets), które umożliwiają na przesyłanie głosu (przez clouda) do…
Czytaj dalej »
Kierowana na istotne ukraińskie instytucje operacja, wśród innych danych wyciągała również nagrania audio z zainfekowanych laptopów / komputerów: The operation seeks to capture a range of sensitive information from its targets including audio recordings of conversations, screen shots, documents and passwords. Unlike video recordings, which are often blocked by users simply…
Czytaj dalej »
Czy ktoś konkretny ucierpiał finansowo w tym temacie… na razie nie, czy ktoś zgłosił się po odszkodowanie? Chyba też nie… Natomiast bardzo konkretna jest kwota – okrągłe $350 000 000, które zmniejszyło wcześniej wynegocjowaną wartość przejęcia Yahoo przez Verizon. Jako powód zmniejszenia kwoty sprzedaży podaje się wykrycie dwóch wycieków z Yahoo obejmujących w sumie około…
Czytaj dalej »
O sprawie na pewno słyszeliście – temat jako pierwsza opracowała zaufanatrzeciastrona. Obecnie pojawiają się kolejne analizy (zawierające sporo technicznych smaczków) i pokazujące również powiązania z atakiem na polskie organizacje podobnych akcji: na regulatora finansowego w Meksyku i narodowy bank w Urugwaju: The eye-watch[.]in domain appears to have been used in watering-hole attacks on other…
Czytaj dalej »
Motherboard publikuje raport, który ‚wyciekł’ z Google (sam serwis nie precyzuje źródła wycieku) . Dokument jest datowany na 2014 rok i nosi tytuł: Peering Into the Aquarium: Analysis of Sophisticated Multi-Stage Malware Family. Jeśli ktoś zna Wiktora Suworowa, to powinien odczytać aluzję… I zgadza się – raport traktuje o malware, wykorzystywanym…
Czytaj dalej »
Jak może wiecie, niedawno amerykańskie wojsko otworzyło uruchomiło program bug bounty (hack the Pentagon to tylko jeden z nich). Przy okazji warto zastanowić się (czy uświadomić sobie) jedną ciekawostkę ze świata cyber. Jeden z uczestników bug bounty, znalazł kilka błędów, które jego zdaniem umożliwiały sfałszowanie cyberataku, tak aby jego źródło pochodziło…
Czytaj dalej »
Prosta i jak się okazało skuteczna akcja z kategorii spear phishing. Najpierw Palestyńczycy założyli (lub przejęli) konta atrakcyjnych izraelskich dziewczyn w serwisach społecznościowych. Następnie nakłaniali izraelskich żonierzy do ściągnięcia aplikacji, która de facto była trojanem: By impersonating beautiful women on social media, Hamas tricked and enticed IDF combat soldiers, hacked into…
Czytaj dalej »