W biegu

Vice donosi o dwóch 0-dayach na Zooma: jeden z nich to „przyjemny i czysty RCE” (Remote Code Execution) w zoomowej aplikacji na Windowsy. Druga podatność dotyczy klienta na MacOS (choć nie jest to RCE). Istnienie tych podatności, dziennikarz Vice potwierdził w trzech niezależnych źródłach, choć sceptycy powiedzą – pokażcie exploita…

Co dopiero pisaliśmy na gorąco o niedawnym wycieku danych z KSSiP. Obecnie mamy nieco więcej informacji. Sama Szkoła pisze: Prawdopodobne jest, że do wycieku danych osobowych doszło na skutek zaniedbania jednej (…) firm [zewnętrznych, obsługujących KSSiP – przyp. sekurak] To rzeczywiście dość częsty przypadek, kiedy atakowany jest dostawca. Cały czas mocno…

Co dokładnie zaatakował ransomware? Infrastrukturę IT jednego z dostawców tytułowych firm: Visser Precision. Tym razem FBI odradziło płacenia okupu: FBI has alerted all companies in this regard stating that paying the ransom is like encouraging cybercrime further. And moreover, it doesn’t guarantee a decryption key from hackers when the ransom is…

„Czysty” i bardzo często używany program, dostępny jest tutaj: https://www.e-pity.pl/ CERT Polska ostrzega jedna przed wariantem dostępnym pod taką domeną: epity2020[.]p[l]. Uwaga, CERT ostrzega, że samo wejście na tę stronę z systemu Android skutkuje próbą instalacji malware. Z kolei po pobraniu i uruchomieniu fałszywej aplikacji możemy spodziewać się na komputerze malware…

Ruszamy z kolejną edycją naszego remote Sekurak Hacking Party :) Zacznijmy od końca – jeśli ktoś nie brał udziału w poprzednich wydarzeniach (omawialiśmy tematy: najciekawsze błędy aplikacyjne z 2019 roku, Bezpieczeństwo API REST, XSS w Google, obejście CSP, błąd w Chrome, Podatność Race Condition, magiczne XSS-owe sztuczki) – to kupując bilet…

Taką luźną sugestię czy raczej pytanie zapodał dzisiaj na Twitterze @prywatnik. Na stronach rządowych w sekcji „Anti-Covid Offer by Polish Business” pojawił się interesujący produkt pod nazwą: Quarantine Warden by Comarch. W broszurze (lub w bardziej rozbudowanej prezentacji) czytamy: Gwarantuje ciągły monitoring użytkownika (!) „Guarantees continuous monitoring of the user” Posiada zabezpieczenie…

Osoby oglądające nasze webinary pewnie kojarzą już linka: https://sekurak.pl/tv/ gdzie zaplanowane mamy najbliższe spotkania. Już niedługo Piotr Rzeszut wprowadzi nas w tematykę SDR (Software Defined Radio) – na konkretnym przykładzie. Za ~tydzień będzie też praktycznie o łamaniu haseł (jak łatwo można złamać Twoje hasło). Tradycyjnie też zapraszamy na kolejne remote Sekurak Hacking…

Ciekawy projekt awaryjnego respiratora przedstawił Marco Mascorro – zbudowany z łatwo dostępnych części, sterowany za pomocą RPi/Arduino, z (bardzo prostym) kodem dostępnym tutaj. BBC wspomina, że maszyna będzie przechodziła testy na sztucznych płucach, później na zwierzętach, finalnie (ma to być już – w maju) plany mówią o użyciu na chorych pacjentach….

O wycieku poinformował poszkodowanych Dyrektor Krajowej Szkoły Sądownictwa i Prokuratury. Z platformy szkoleniowej KSSiP wyciekły rekordy zawierające przynajmniej takie dane jak: Imię/Nazwisko, numer telefonu, adres e-mail, jednostka (miejsce) pracy, miejsce zamieszkania, hasło (w formie zahashowanej). Jakie osoby zarejestrowane są w tym systemie? Zawody należą raczej do wrażliwych, a wyciekło najprawdopodobniej około 50…

Jeśli konfigurował ktoś IPseca czy nawet OpenVPN, to wie że parametrów konfiguracyjnych jest cała masa. Które ustawienia są bezpieczne, a które nie? A może dodatkowo chciałbyś w prosty sposób zwiększyć wydajność Twojego VPNa? I właśnie tutaj z pomocą przychodzi mocno już wygrzany Wireguard: WireGuard® is an extremely simple yet fast and…

Ciekawostka. Chodzi o świetnie ocenianą serię dronów Potensic D85. Co mają w sobie ciekawego? Wystawiają otwartą sieć WiFi oraz telnet, którym można zalogować się na roota (hasło: cat1029) na kamerę (!). Bez problemu można też oglądać strumień video z kamery: rstp://192.168.1.99:554/11 Co jeszcze? Ktoś się trochę pobawił i zdekodował protokół, którym łączą się…

Chodzi o firmę Travelex – która zajmuje się wymianą walut. 40 milionów klientów rocznie, 1000 walutomatów na całym świecie, obecność w 170 krajach. Nie jest to na pewno maluch. W każdym razie „oberwali” parę miesięcy temu ransomwarem, a wg świeżej relacji WSJ zapłacili stosowny okup (285 BTC): Travelex, known for…

Zapraszam na webinar, który w praktycznej formie odpowie o „zielonych kłódkach” w przeglądarce. Trochę uprzedzając fakty, pokażę na żywo (językiem zrozumiałym dla każdego:) realne ataki, które bez żadnego problemu można przeprowadzić pomimo poprawnie wyglądającej kłódki w przeglądarce. Phishing? Bardzo proszę. Wyciek danych? Bardzo proszę. Zobaczymy też przykłady kiedy połączenie wygląda…

Z kronikarskiego obowiązku zaznaczamy ten temat. Dostaliśmy od kilku czytelników stosowną informację, a stosowny wątek pojawił się też na Wykopie. Sam mail o którym mowa nie zawierał żadnych poufnych informacji – ot, powiązane z tarczą antykryzysową formularze, choć problematyczne było dołączenie na kopii (a nie na ukrytej kopii – jak…

Michał Bentkowski zaprezentuje temat dzisiaj (9.04.2020) o 19:00. Możecie od razu zapisać sobie linka. Jeśli chcecie mieć automatyczne notyfikacje – wystarczy zasubskrybować nasz kanał na YouTube (i później kliknąć dzwonek obok przycisku subskrybuj). W pierwszej edycji z serii Bug Of The Week, Michał Bentkowski opowie o niedawno załatanym błędzie w Safari,…