Przeprowadzanie testów penetracyjnych wymaga użycia istniejących rozwiązań, które w sposób znaczący mogą ułatwić pracę audytora. W przypadku aplikacji internetowej cenne jest rozpoznanie struktury katalogów lub odnalezienie plików, które mogą wzbudzić zainteresowanie testera. W tym celu stosuje się takie narzędzia jak: • ffuf,• dirbuster,• gobuster. Podczas omawianego pentestu, użyłem narzędzia ffuf…
Czytaj dalej »
Podejrzane o scam SMSy (oraz inne oszustwa internetowe) można (od dawana) zgłaszać tutaj: https://incydent.cert.pl/ Przy czym właśnie uruchomiono łatwy do zapamiętania numer telefoniczny – 8080 pod który można wysłać wiadomość SMSową, która wydaje się nam podejrzana. Np. taka wiadomość: Krótki filmik reklamowy całej akcji – poniżej: Co takie zgłoszenie daje?…
Czytaj dalej »
Dużo czytelników informuje nas o takim SMSie: Dociekliwi mogą zaznaczyć, że nazwę nadawcy takiego SMSa można sfałszować, lecz raczej wierzymy że wiadomość jest autentyczna. W komunikacie jest (przynajmniej na tę chwilę) informacja o wycieku samego „numeru telefonu”, co też nie jest jakąś ogromną tragedią. Podejrzewamy, że większość Polaków otrzymała kiedyś…
Czytaj dalej »
Szczegóły można zobaczyć tutaj: Chociaż historycznie popularne, 2FA oparte na SMSach, było niekiedy omijane. Dlatego od dziś nie będziemy już zezwalać konfigurację 2FA opartego o SMSy, chyba że konto jest subskrybentem Twitter Blue. Dostępność SMS 2FA dla Twitter Blue może się różnić w zależności od kraju i operatora (w Polsce…
Czytaj dalej »
Oszustwa „na OLX” to nic nowego, przy czym od pewnego czasu odgrywany jest wariant wykorzystujący sfałszowane SMSy: Oszukiwany jest sprzedawca, a zaznaczony w komunikacji powyżej SMS wygląda tak: Jak widzicie nadawca to OLX, ale to można łatwo podrobić (być może niedługo nie będzie tak łatwo). Dalej, potencjalna ofiara ląduje na…
Czytaj dalej »
Scam na odcięcie prądu, czy dopłatę do paczki już wszystkim się powoli nudzi. Dlatego przestępcy próbują nowych pomysłów. Tym razem CERT Orange donosi o takim SMSie: W dniu 2.01.2023 twoj mandat zostanie przekazany do komornika z tytulu zaleglosci 5.00 PLN.Oplac teraz: hxxps://tinyurl[.]com/4fb66pfj Po kliknięciu ofiary były kierowane na taką stronę:…
Czytaj dalej »
Ostatnio otrzymujemy bardzo dużo zgłoszeń z pytaniami o następującego SMSa: Niektórzy nawet nie pytają, tylko od razu zgłaszają do nas temat jako 'nowy scam’. Rzeczywiście, mamy tutaj dziwny link skracacz, który prowadzi do: https://bonturystyczny.polska[.]travel/aktualnosci/bon-turystyczny-pobierz-i-wykorzystaj (jest to rzeczywiście „dobra” strona, chociaż niektórych może dziwić domena .travel). To ostanie jeszcze o niczym…
Czytaj dalej »
O tym, że bardzo łatwo można podrobić nadawcę SMSa informowaliśmy wiele razy. Tym razem ktoś wziął na celownik mBank: Oczywiście nic nie zostało zablokowane, a nadawca „MBANK” ma uwiarygodnić, że SMS pochodzi od banku (oczywiście pochodzi od przestępców). Uważajcie, bo podobne akcje będą jeszcze nie jeden raz odgrywane. ~Michał Sajdak
Czytaj dalej »
Schemat był przez nas opisywany już wiele razy: Tego typu strona prowadzi do „lewej” bramki płatności, gdzie nieco zaniepokojona możliwością odłączenia prądu ofiara podaje dane logowania do swojego banku oraz autoryzuje wskazaną w SMSie dopłatę. Najczęściej jednak niezbyt dokładnie czyta SMSa przychodzącego od banku, więc autoryzacja dotyczy większej kwoty czy…
Czytaj dalej »
O nowym oszustwie wspominaliśmy już 23. kwietnia: Dzisiaj od Dominika dostaliśmy kolejny przykład tego oszustwa: Klasycznie, można się tutaj spodziewać czyszczenia kont delikwentów, którzy zechcą uregulować należność… Jak takie „czyszczenie” jest realizowane? Jak się uchronić? Jak wyglądają inne podobne ataki (albo i mniej podobne ale prowadzące do tego samego) –…
Czytaj dalej »
O temacie pisaliśmy niedawno, ale cały czas pojawiają się nowe warianty, a kolejne osoby informują nas że dostają tego typu SMSy: Jak widzicie sfałszowany jest nadawca SMS-a (SprawyKarne), jeśli z kolei klikniecie (czy tapniecie) w link traficie na stronę, która spróbuje wyłudzić od Was dane logowania do waszego banku. Nie…
Czytaj dalej »
Jedna kampania, a masa najróżniejszych domen. Tutaj np. dostajecie SMS-a od nadawcy Mandaty24 + domena mandat9582[.]net. Chodzi o rzekomo niezapłacony mandat karny. Raptem 10 zł: Po kliknięciu na linka trafiamy na stronę z wyborem banku: Później pozbywamy się (na rzecz przestępców) danych dostępowych do banku: Dalej po uzyskaniu loginu/hasła/SMS-a –…
Czytaj dalej »
Dostaliśmy od czytelników alerty o możliwym phishingu. Całość to SMS wyglądający w ten sposób: Nadawca SMSa to mi-home[.]pl Po kliknięciu (czy tapnięciu) w linka lądujemy na takiej stronie: Czym jest ROLV Group Sp. z o.o. widnieje na zakładce „O nas” na sklepie https://mi-home[.]pl/ Dalej – czym jest domena wyp[.]is? Rozwiązuje…
Czytaj dalej »
Chodzi o firmę Xplora, a dość rozbudowaną analizę bezpieczeństwa tych produktów znajdziecie tutaj. W największym skrócie, firma była ostatnio brana pod lupę i inna ekipa nie wykryła żadnych istotnych podatności. Z drugiej strony cytowani na początek newsa badacze pokazali, że do urządzenia wystarczy wysłać SMS (zaszyfrowany symetrycznym RC4) aby zupełnie…
Czytaj dalej »
Jeśli ktoś był na na jednym z naszych hacking party widział na żywo działanie binarnych SMS-ów (można np. podmienić SMS-a, którego już się wysłało… to cały czas działa!). Tymczasem warte wzmianki jest badanie od Checkpointa, które pokazuje innego rodzaju SMS, wysyłany rzekomo od operatora GSM: Niektóre telefony wymagają przy odbiorze…
Czytaj dalej »
