W biegu

RCE w macOS przez otwarcie pliku ZIP — aktualizacja jest dostępna

01 lipca 2019, 14:51 | W biegu | 0 komentarzy

Mechanizm bezpieczeństwa GateKeeper w systemach Apple jest podatny na zdalne wykonanie kodu zwykłym plikiem ZIP. Funkcjonalność GateKeeper została wprowadzona już w 2012 roku i chroni przed nieautoryzowanym uruchomieniem programu bez podpisu cyfrowego. Domyślnie aplikacje pochodzące z AppStore są identyfikowane jako „bezpieczne” (co oszczędza konieczność reakcji użytkownika). Tak samo jest z…

Czytaj dalej »

Masz świetnie umiejętności. Pomożesz? Tak się robi spear phishing z wykorzystaniem podatności 0-days

27 czerwca 2019, 18:26 | W biegu | komentarze 3

Realny scenariusz spear phishingu – z wykorzystaniem podatności 0-day w Firefoksie. W skrócie poszczególne etapy wyglądały tak: Mail z prośbą o pomoc w recenzji prac, które mogły być nagrodzone w prestiżowej nagrodzie (równie dobrze można napisać – hej, widziałem że masz świetne osiągnięcia w bug bountingu – mamy dla Ciebie…

Czytaj dalej »

Literówki w domenach – na procederze „zarobili” przeszło 100 000 000 PLN

26 czerwca 2019, 15:17 | W biegu | komentarze 4

Na stronach Europolu można przeczytać o aresztowaniu 6 osób oskarżonych o ataki na giełdy kryptowalut (czy raczej ich klientów). Chodzi o tzw. typosquatting czyli rejestrację domen wyglądających podobnie do oryginalnej (np. securak.pl ;) lub sekural.pl czy sekuark.pl – proste literówki). Poszkodowanych jest ponad 4000 osób z 12 krajów. Całe straty…

Czytaj dalej »

Upload całkiem (nie)zwyczajnego logo i nagroda $10 000 (RCE)

26 czerwca 2019, 12:28 | W biegu | 1 komentarz

Ciekawa podatność zgłoszona w ramach programu bug bounty. Upload pliku o rozszerzeniu .jpg (bezpieczne, prawda?) W pliku taka zawartość (jak widać jest to całkiem (nie)zwyczajny plik Postscript, który można powiedzieć jest przodkiem pdf-a):

Podatny Imagemagick w backendzie i na porcie 8080 słuchał już zdalnie dostępny shell W podobnym klimacie opisywaliśmy…

Czytaj dalej »

Zhackowali kilka firm telekomunikacyjnych na świecie. „Mogli namierzać lokalizację wszystkich abonentów”. W akcji Chiny?

25 czerwca 2019, 23:33 | W biegu | komentarze 4

Tytuł dość sensacyjny, ale takie informacje przekazuje izraelska firma Cybereason. Opisane są konkretne wykorzystane narzędzia czy sposoby infekcji (tym razem wskazuje się jako pierwszy krok atak na serwery webowe, a dokładniej aplikacje webowe dostępne z Internetu). Przykładowy efekt uzyskany przez napastników jest dość ciekawy: They were able to compromise critical…

Czytaj dalej »

Chcesz poćwiczyć bezpieczeństwo AWS? Darmowe środowisko Cloudgoat2

25 czerwca 2019, 12:38 | W biegu | 0 komentarzy

Dla tych, którzy od razu chcą przejść do akcji polecam ten zasób. Jeśli ktoś chce postawić całą podatną (treningową) infrastrukturę na AWS – warto zerknąć tutaj. Projekt Cloudgoat2 (nawiązujący nazwą do Webgoat), poza masą podatności zawiera też kilka, wieloetapowych scenariuszy: Np.: zlokalizuj ukryty endpoint API i wykorzystaj podatność remote code…

Czytaj dalej »

Groźna podatność w Outlooku na Androida – możliwy dostęp do wiadomości ofiary poprzez spreparowany e-mail

25 czerwca 2019, 12:25 | W biegu | 0 komentarzy

Mobilny klient poczty od Microsoft posiadał lukę (CVE-2019-1105, bardzo skromny opis na stronie firmy) umożliwiającą zdalne wykonanie kodu na Androidzie. Sprawa zaczęła się, kiedy Bryan Appleby z F5 Networks otrzymał od znajomego bezpieczny kod JavaScript w wiadomości. Ekspert zauważył, że e-mail został dziwnie sformatowany. Wyglądał następująco:   Natomiast po otwarciu…

Czytaj dalej »

Korzystasz z VLC playera? Złośliwym filmem można przejąć Twój komputer

23 czerwca 2019, 16:41 | W biegu | 0 komentarzy

Może wydawać się, że przejęcie kontroli nad systemem dzięki otwarciu pliku AVI lub MKV jest niemożliwe. Tymczasem właśnie odkryto podatności (CVE-2019-12874 i CVE-2019-5439) w bardzo znanym odtwarzaczu VLC, a dokładniej w jego funkcjach ReadFrame i zlib_decompress_extra(). Schemat ataku jest prosty – wystarczy, że użytkownik uruchomi odpowiednio spreparowany plik w jednym…

Czytaj dalej »

Kilka znaków i zgarnął $3500 – banalny sposób na przejmowanie dowolnego konta

23 czerwca 2019, 12:15 | W biegu | 0 komentarzy

W tym newsie bardziej liczy się sposób wykorzystania podatności niż sama ofiara (upserve.com). Wydaje się Wam, że w 2019r. mechanizmy resetu hasła są na tyle bezpieczne, sprawdzone, napisane już miliony razy, że ciężko jest znaleźć w nich coś krytycznego? Błąd. Żeby otrzymać token umożliwiający reset hasła dowolnego użytkownika w serwisie…

Czytaj dalej »

Konkurencja do Chrome. Przeglądarka `chrome4hackerz; /bin/busybox telnetd -l /bin/sh -p 4444;` rootuje bez uwierzytelnienia extendery TP-Linka

21 czerwca 2019, 10:19 | W biegu | komentarzy 8

Interesująca podatność w extenderach TP-Linka znaleziona przez Grzegorza Wypycha. W żądaniu HTTP do urządzenia wystarczy ustawić nagłówek User-Agent na `chrome4hackerz; /bin/busybox telnetd -l /bin/sh -p 4444;` (część po ` a przed pierwszym średnikiem – dowolna :) i mamy wykonanie kodu w OS jako root (w tym przypadku na porcie 4444 czeka na nas rootshell): Podatne modele…

Czytaj dalej »

Miasto na Florydzie zapłaci okup 65 BTC (2 200 000 PLN) – ransomware.

20 czerwca 2019, 22:20 | W biegu | komentarze 22

Chodzi o niewielkie miasto Riviera Beach. Spore są za to problemy wywołane atakiem ransomware – nie działają miejskie e-maile, są problemy z obsługą zgłoszeń telefonicznych pod numerem alarmowym 911, problematyczna jest również realizacja wypłat dla pracowników. Akcja szyfrowania rozpoczęła się 29 maja, kiedy jeden z pracowników policji otworzył załącznik z…

Czytaj dalej »

Dowody kolekcjonerskie cały czas w grze, znowu ktoś w banalny sposób stracił mieszkanie

19 czerwca 2019, 20:09 | W biegu | komentarzy 15

Kolejna iteracja znanego problemu: Właściciel mówi, że kawalerki nie sprzedawał. Kupiec potwierdza: u notariusza spisał umowę z kimś innym. Nazwisko się zgadzało, PESEL też. Tylko że dowód osobisty był fałszywy. Po oszuście ani pieniądzach nie ma śladu. Spór o mieszkanie rozstrzygnie sąd. Temat zdecydowanie nie jest nowy. Czy to fikcyjne…

Czytaj dalej »