Piotr Rzeszut opisuje jak w prosty sposób można obezwładnić system kontroli dostępu bazujący na kartach MIFARE. Badacze znaleźli backdoor – zaszyty klucz w kartach pochodzących od jednego z producentów tańszych zamienników tych urządzeń.
Czytaj dalej »
Organizacja CISA ostrzega przed aktywną eksploitacją systemów należących do instytucji związanych z dostawą / oczyszczaniem wody. W szczególności wskazany jest jeden z zakładów, który po wykryciu ataku wyłączył swój system i przeszedł na „ręczne sterowanie”: CISA is responding to active exploitation of Unitronics programmable logic controllers (PLCs) used in the Water and Wastewater…
Czytaj dalej »
Żeby nie przedłużać, przejdźmy od razu do rzeczy. Ciekawą historię włamania do swojej infrastruktury IT opisuje firma Retool. Zaczęło się od kampanii celowanych SMSów, w których atakujący podszywali się pod pracowników IT – „ten tego, coś jest nie tak z Twoim kontem, co może wpłynąć na dostępność Twojego ubezpieczenia zdrowotnego”:…
Czytaj dalej »
Szczegóły dostępne są w opisie elementów bezpieczeństwa, które zostały naprawione w iOS 16.5. Mamy tutaj takie niespodzianki jak: Impact: Processing an image may lead to arbitrary code execution czy sporo podatności polegających na możliwości podniesienia uprawnień do uprawnień Kernela (czyli praktycznie najwyższe uprawnienia). W szczególności załatane są trzy podatności wykorzystywane…
Czytaj dalej »
Cały czas nie cichną echa afery związanej ze zhackowaniem infrastruktury managera haseł LastPass (więcej o temacie pisaliśmy w tym miejscu). W ostatniej aktualizacji LastPass zaznacza, że jednym z kluczowych elementów całego dużego hacku infrastruktury było otrzymanie dostępu do komputera jednego z kluczowych pracowników: hacker zaatakował jednego z czterech inżynierów DevOps,…
Czytaj dalej »
Materiałów o bezpieczeństwie Windows – czy w szczególności Active Directory mamy tyle co węgla w polskich składach węglowych ;-) Warto więc zapewne zapoznać się z tym rozbudowanym poradnikiem. Mamy tutaj: Wstęp co to w ogóle jest AD / w tym podstawowe definicje Przydatne narzędzia, w tym przykłady ich użyć: Modele…
Czytaj dalej »
O temacie donosi CERT Orange. Niby klasyczna gadka prowadząca do tego aby ofiara kliknęła linka i podała swoje dane logowania (do banku / do Allegro / dane karty płatniczej / inne wrażliwe dane – scenariusze się zmieniają), ale uwagę przykuwa nieco dziwna litera e: Jeśli ktoś uważnie czyta sekuraka, pewnie…
Czytaj dalej »
FBI donosi o wzmożonej aktywności grupy FIN7. Swego czasu wysyłała ona (i nadal wysyła) pocztą / kurierem „karty prezentowe” np. na kwotę $50. Co można za to (rzekomo) kupić? Tego dowiesz się podłączając do komputera załączonego pendrive-a: Ale przecież z pendrive-a nic samodzielnie się nie uruchomi bez kliknięcia na plik!…
Czytaj dalej »
We wpisie prezentujemy wybrane ataki na polskich internautów. Wpadła Wam w oko złośliwa kampania? Komentujcie lub piszcie na sekurak@sekurak.pl. Poprzednie przeglądy: 6–19.09.2021 r. 20–26.09.2021 r. 27.09–3.10.2021 r. 4–10.10.2021 r. 11–17.10.2021 r. 18–24.10.2021 r. 25.10–7.11.2021 r. Wyłudzenia zdjęć dowodów i selfie. Ten sposób ataku ma miejsce w serwisach służących do sprzedaży….
Czytaj dalej »
We wpisie prezentujemy wybrane ataki na polskich internautów. Jeśli pomysł się Wam podoba, będziemy takie podsumowanie przygotowywać raz na tydzień. Macie sugestie? Chcecie takiej serii wpisów? A może wpadła Wam w oko złośliwa kampania? Komentujcie lub piszcie na sekurak@sekurak.pl Phishing podszywający się pod PKN ORLEN. Zawsze należy weryfikować domenę (tutaj…
Czytaj dalej »
Według najnowszego raportu firmy CheckPoint błędna konfiguracja (np. brak uwierzytelniania w bazie danych czasu rzeczywistego czy wystawione klucze prywatne) w 23 aplikacjach mobilnych na Androida naraziła ponad 100 milionów użytkowników na wyciek danych. Badacze stworzyli również prostą tabelkę przedstawiającą liczbę pobrań, rodzaj zagrożonych danych i rodzaj podatności badanych aplikacji: CheckPoint…
Czytaj dalej »
Nowe luki wyglądają z jednej strony dość groźnie – w szczególności że dotykają standardów: WEP, WPA, WPA2 oraz WPA3; część bugów jest w samej implementacji (nie w standardzie). Z drugiej strony podatności te często wymagają pewnej interakcji ofiary czy niestandardowej konfiguracji. Badacz pisze tak: Moje eksperymenty wskazują, że każdy produkt…
Czytaj dalej »
Pamiętacie nasz artykuł “Zaskakująca metoda infekcji wielkich (i mniejszych) firm” ? Jeśli nie, to w skrócie: badacze uploadowali swoje pakiety o odpowiednich nazwach do popularnych repozytoriów (typu npm). W środku rzeczywiście zawarli własny kod, który wykonał się w infrastrukturach firm z tytułu. Nie chodzi tutaj o uploadowanie pakietów, które mają…
Czytaj dalej »
Ciekawy projekt pod patronatem EATM CERT, obrazujący dość szerokie spektrum „ataków hackerskich” na rozmaite firmy związane z przemysłem lotniczym: wycieki danych osobowych, ransomware, phishing, kradzież istotnych danych, … Jest też i polski motyw: In 14 June 2019, Polish private channel Polsat, via their news program “Wydarzenia” (“Events”), published an incredible story, which…
Czytaj dalej »
Najpierw dobra informacja, jeśli nie używasz 2FA, nikt nie może więc przełamać tego mechanizmu ;-)) To oczywiście żart, bo korzystanie z dwu-czy wieloczynnikowego uwierzytelnienia jest zdecydowanie zalecane. Najczęstszym przykładem tego typu zabezpieczenia jest znana wszystkim z banków konieczność wprowadzenia dodatkowego kodu (najczęściej przesyłanego SMS-em) przy autoryzacji przelewów (jak więc widać…
Czytaj dalej »