W biegu

W sieci od niedawna krąży lista podatnych adresów IP (wraz z portami). Chodzi o niezaktualizowane urządzenia Fortinetu zapewniające SSL-VPN: CVE-2018-13379 jest dość… starą podatnością, ale jak widać prawie 50 000 urządzeń na świecie jeszcze się nie zaktualizowało. Co więcej, w innym dumpie zebrane są ściągnięte z podatnych VPNów loginy oraz…

Podatność została zgłoszona przez Natalię Sylwanowicz z projektu Google Zero. Jak czytamy na stronie Facebooka: This fall, Natalie Silvanovich of Google’s Project Zero reported a bug that could have allowed a sophisticated attacker logged in on Messenger for Android to simultaneously initiate a call and send an unintended message type…

Brian Krebs donosi o ciekawym ataku: fraudsters redirected email and web traffic destined for several cryptocurrency trading platforms over the past week. Przekładając na ludzki – ktoś był w stanie przekierować użytkowników wielu giełd kryptowalut na inne adresy. Miał też dostęp do maili wysyłanych do adresów giełd. W jaki sposób…

Holenderska minister obrony, dość niefrasobiliwie wrzuciła na Twittera zdjęcie ekranu swojego laptopa. Na zdjęciu widać jak uczestniczy w zamkniętym spotkaniu ministrów obrony krajów EU; widoczny jest również pasek adresu przeglądarki, gdzie z kolei widać było pięć cyfr z sześciocyfrowego PIN-u, umożliwiającego dołączenie do spotkania: Może pani przydałaby się zasłonka na…

Od jednego z czytelników otrzymaliśmy e-mail rozesłany przez wydział Matematyki, Informatyki i Mechaniki Uniwersytetu Warszawskiego: Od: Powiadomienie UODO powiadomienie-uodo@mimuw.edu.plData: 18 listopada 2020 Temat: ***Spam*** Incydent naruszenia danych osobowych w portalu MIMUW (…) Na początek, jak widać po tytule, trochę odbiorców maila może w ogóle nie otrzymać, bo wpadnie on do…

Kolejnych wariantów na oszustwa jest obecnie tak dużo, że ciężko wybrać o czym ciekawym napisać („amerykański lekarz„, „na szczepionkę„, „na kucharza„). Pewnie nie raz, nie dwa dzwonił do Was „legalny” konsultant z banku, na starcie zadając kilka pytań. Przestępcy idą nieco dalej, bo: oszust dzwoni do wybranej osoby i przedstawia…

Niedawno informowaliśmy o wycieku z forum serwisu wakacje.pl. Dobra informacja jest taka, że hasła użytkowników przechowywane były w tym przypadku z wykorzystaniem bezpiecznego algorytmu bcrypt. Można zatem złamać co najwyżej pojedyncze hashe? Otóż niekoniecznie, jeden z serwisów udostępnia aktualne statystyki łamania: 29832 to całkowita liczba zaimportowanych hashy, z czego aż…

Niedawno Rzecznik Finansowy opublikował takie ostrzeżenie: (…) chodzi o przestępstwa związane z podmianą kart SIM tzw. sim-swap-fraud, w wyniku których dwaj klienci Rzecznika stracili łącznie ponad 650 tys. zł. O SIM Swap pisaliśmy już kilka razy: Tutaj (Rolnik Zbigniew Kołodziej spod Świebodzina padł ofiarą oszustów, którzy przejęli dostęp do prowadzonych…

Kilka osób przesłało nam treść informacji rozsyłanej przez serwis upacjenta[.].pl: (…) jesteśmy zobowiązani, by poinformować Państwa o incydencie, który miał miejsce 3 listopada 2020 r. Tego dnia doszło do nieuprawnionego i nielegalnego dostępu do systemu naszego dostawcy usług teleinformatycznych – firmy RIOT Agency. W konsekwencji dostęp do Państwa danych mogła…

Pan Rafał poinformował o problemie za pośrednictwem Twittera: Co w zasadzie niemal wszystko jest tu jasne – podpucha w postaci „rzekomego włamania” – trzeba szybko reagować, tj zmienić hasło! (oczywiście pan Rafał podał hasło nie w Facebooku ale do chińskich amatorów kont o dużym zasięgu). Jakie rady? Przede wszystkim trzeba…

Co tu dużo pisać… możecie poczekać na automatyczną aktualizację, ew. wymusić ja wcześniej ręcznie (polecam). Google doniósł właśnie o załataniu dwóch poważnych luk (zwróćcie uwagę na ekspresowy czas od momentu zgłoszenia, do wydania łaty): High CVE-2020-16013: Inappropriate implementation in V8. Reported by Anonymous on 2020-11-09 High CVE-2020-16017: Use after free…

Lista celów które zostały skutecznie wyeksploitowane w tegorocznycm Tianfu Cup jest imponująca. Wykonanie kodu poprzez Chrome, Firefoksa czy Safari (z wyskoczniem z sandboxa) – bardzo proszę. Wykonanie kodu na iPhone (najnowszy iOS + iPhone 11 Pro) – jak najbardziej (za ten wyczyn przyznano nagrodę $180 000). Coś na Androidzie –…

Nieco przegadany opis problemów można znaleźć na blogu badacza. TCL to chińska firma, która niedawno weszła na podium światowej sprzedaży SmartTV. Co z podatnościami? Na początek, filesystem telewizora dostępny z sieci lokalnej. Otwartych portów widać tutaj dużo (po co aż tyle? po co jakiekolwiek otwarte? :) Na jednym z tym…

OWASP Maryam to ciągle rozwijany framework służący do gromadzenia danych z otwartych źródeł, jak i rekonesansu stron internetowych. Oprogramowanie napisane w Pythonie i oparte o Recon-ng może stanowić ciekawy i co ważne, prosty w obsłudze zestaw narzędzi dla każdego, kto poszukuje w sieci informacji o konkretnej osobie lub firmie. Instalacja…

Z jednej strony wirtualizacja serwerów jest dobra (również ze względu na bezpieczeństwo) – z drugiej strony – co jeśli ktoś przejmie kontrolę nad hypervisorem? Taki właśnie scenariusz wg doniesień stosuje już jedna z ekip ransomware: Szczegóły samych wspomnianych wyżej luk znajdują się tutaj (i tutaj) a dotyczą nie tylko komponentu…