Najpierw wybucha afera z hackiem British Airways. Zarówno klasyczny jak i mobilny serwis umożliwiający płatności był zhackowany przez dwa tygodnie. Prawdopodobnie została wykorzystana tutaj w pewien sposób zmodyfikowana biblioteka JavaScriptowa Modernizr. Obecnie liczba dotycząca wykradzionych danych została zaktualizowana. Są to dane kart kredytowych (często pełne – łącznie z datami ważności…
Czytaj dalej »
TLDR: appka mobilna umożliwiająca płatność NFC przechowywała liczbę kredytów w lokalnej bazie SQLite. Baza oczywiście była zaszyfrowana (:P), ale po krótkiej analizie okazało się że jest to numer IMEI telefonu. Po zdeszyfrowaniu była już pełna kontrola nad kontem: Firma tworząca system została poinformowana o problemie. A wnioski mamy tu cztery:…
Czytaj dalej »
Zarzuty stawiane przez Bloomberga są piorunujące – chiński mikrochip instalowany w płytach głównych, w procesie ich produkcji. W infekcji brał udział największy dostawca serwerowych płyt głównych na świecie (Supermicro): Na celowniku był Amazon, Apple, … w sumie około 30 amerykańskich firm. Co umożliwiał chip? Wg Bloomberga w zasadzie wszystko: During…
Czytaj dalej »
JPay to system dostępny w amerykańskich więzieniach od około 2002 roku. Dzięki niemu osadzeni mogą kupować rozmaite usługi elektroniczne – od muzyki, przez gry aż do możliwości wysyłania elektronicznych wiadomości (zubożona wersja e-maila). Przykładowo za tą ostatnią usługę płaci się 47 centów od sztuki. Rodzina może też za pośrednictwem J-Pay…
Czytaj dalej »
Właśnie wykryto backdoora w jednym z pakietów dostępnych w npm (ESLint-scope – 2 500 000 pobrań w ostatnim tygodniu). Atak odbył się najprawdopodobniej przez wykradzenie danych dostępowych dewelopera i upload złośliwego kodu. Co nas może obchodzić backdoor w jakimś „niszowym” pakiecie? Odpowiedź: zależności npm. Pakiet włącza choćby ESLint (~3 300 00…
Czytaj dalej »
Było już o atakowaniu inteligentnych kłódek, było o zasadach działania zwykłych zamków i ich wytrychowaniu, wspominaliśmy też o hackowaniu hotelowych systemów zamkowych. Teraz coś zupełnie zaskakującego, czyli hackowanie chińskiej kłódki chińską zapalniczką: –ms
Czytaj dalej »
Według relacji, wyglądało to mniej więcej tak: w środku dnia podjeżdża na stację konwoj 10 dużych samochodów, tankują do oporu. Dla obsługi jest to trochę podejrzane, prawda?
Czytaj dalej »
Załoga Gentoo wydała wczoraj dość lakoniczne oświadczenie: Today 28 June at approximately 20:20 UTC unknown individuals have gained control of the Github Gentoo organization, and modified the content of repositories as well as pages there. We are still working to determine the exact extent and to regain control of the…
Czytaj dalej »
Zaczęło się od ciekawego badania opisanego tutaj. Otóż wielu producentów urządzeń IoT (choćby kamer) daje opcję, która umożliwia bezpośrednie połączenie z Internetu (z serwera backend producenta) bezpośrednio do LAN-u klienta. Nie pomoże firewall blokujący nawiązanie połączenia z zewnątrz, bo odpowiednie pakiety przychodzą komunikacją zwrotną.
Czytaj dalej »
Temat prezentowałem już trochę razy, ale na sekuraku do tej pory nie było o tym informacji. Chodzi o kosztującą około 5000 zł kamerę ZN-DNT352XE-MIR firmy Ganzsecurity.
Czytaj dalej »
Chodzi o możliwość wykonania kodu na komputerze ofiary. Wymagania to fizyczny dostęp do (zablokowanego) komputera. Technicznie hack wygląda w ten sposób.
Czytaj dalej »
Opis problemów z kłódką Taplock. W największym skrócie – mając MAC address interfejsu Bluetooth kłódki (rozgłaszany broadcastem) – można ją otworzyć. Bo właśnie „kluczem” który otwiera kłódkę jest adres MAC i wartości, które z niego zostały wyliczone: Yes. The only thing we need to unlock the lock is to know…
Czytaj dalej »
W telegraficznym skrócie: Ostrzeżenie o możliwości kradzieży środków przez API działające na porcie 8545 (niedomyślna konfiguracja; „This is not a bug, but a misuse of JSON-RPC.”) Pierwsze próby. Po paru miesiącach: Remember this old twitter we posted? Guess how much these guys have in their wallets? Check out this wallet address https://www.etherchain.org/account/0x957cd4ff9b3894fc78b5134a8dc72b032ffbc464#transactions……
Czytaj dalej »
Smutna historia bociana Kajtka. Najpierw polscy miłośnicy przyrody zamontowali na bocianie nadajnik, aby móc śledzić jego trasy przelotu: Jednak w kwietniu tego roku okazało się, że sygnał z nadajnika nagle się urwał. Może awaria? Nie, okazało się, że ktoś w Sudanie wyciągnął z urządzenia kartę SIM i wydzwonił z niej…
Czytaj dalej »
Podatność Fusée Gelée – została ujawniona w nieco przyspieszonym trybie – okazało się że inna załoga (niż cytowani badacze) zaczęła sprzedawać exploita: This is *the* solution for opening up CFW (Custom FirmWare) on the Nintendo Switch. We want to move the community forward and provide a persistent, stable and fast method…
Czytaj dalej »
