W biegu

Microsoft opublikował względnie rozbudowaną analizę ostatniej fali ataków na systemy Windows. Wykorzystana została tutaj załatana już podatność BlueKeep (bez uwierzytelnienia można przejąć niezałatane systemy, wysyłając odpowiednio złośliwą komunikację RDP). Microsoft również dodaje, że obecnie obserwowano falę instalacji koparek kryptowalut, ale prawdopodobnie pojawią się o wiele groźniejsze warianty: In addition, while…

Aż trudno zgadywać gdzie tutaj mógł być przekręt. Zatrzymany w Katowicach mężczyzna miał przy sobie 9 podrobionych dowodów osobistych, a wyłudził kredyt na 47 000 złotych korzystając z telefonu, który wziął od znajomej „w celu naprawy”. Można teraz się zastanawiać: OK, koleżka mógł odczytać SMS-y ale co z uwierzytelnieniem w…

Kara w wysokości ~200 000 zł za m.in. „utrudnianie realizacji prawa do wycofania zgody na przetwarzanie danych osobowych.” została nałożona na spółkę ClickQuickNow przez UODO. Najciekawszy chyba jest ten fragment: spółka w procesie wycofania zgody nie uwzględniła zasady zgodnie, z którą wycofanie zgody powinno być równie łatwe jak jej wyrażenie – wręcz odwrotnie…

Podatność zaprezentowano w ramach tegorocznego konkursu Pwn2Own. Błąd jest klasy buffer overflow i występuje w komponencie baseband telefonu (czyli komunikującym się bezprzewodowo z siecią GSM). Wystarczy więc odpowiednia stacja bazowa i wysyłamy złośliwą komunikację do telefonu. Poniżej wprawdzie widać, że badacze utworzyli zdalnie swój plik na telefonie, ale informacja że…

O temacie doniósł CERT Polska: Uwaga! Ostrzegamy przed #phishing kierowanym do użytkowników @Allegro_Group. W scenariuszu kampanii ofiara jest informowana o niedopłacie do salda konta z krótkim terminem płatności. Domena wykradająca hasła użytkowników to 2-login.alleqro-pl.choljai[.]info. Mail wygląda w ten sposób i „na szczęście”, przynajmniej jeśli oprzeć się na relacji CERT-u, nie…

Google assistant, Siri czy Amazon Alexa – wszystkie da się zmylić w ten zaskakujący sposób. Badacze pokazali laser, którym „strzelają” w docelowe urządzenie (w pokazach demo widać, że może być to zrealizowane nawet przez szybę!). Wiązka lasera przekazuje wcześniej nagrany (dowolny) głos, który nie jest słyszalny dla ofiary (jest za…

Wg kolegów z X-LAB (Tencent) podatne jest w zasadzie wszystko (głównie rozmaite telefony oparte o Androida) + iPhone-y do 8 włącznie (Apple przeszedł później na inny sposób uwierzytelnienia biometrycznego: FaceID). W ramach LIVE demo na konferencji Geekpwn poprosili kogoś z publiczności o zostawienie odcisku palca na kieliszku oraz podanie swojego telefonu….

Informacja zaczęła wypływać chyba od tego dość alarmującego Twitta: So, it’s public now. Domain controller-level access at Kudankulam Nuclear Power Plant. The government was notified way back. Extremely mission-critical targets were hit. Rząd w Indiach najpierw zdementował informację, niewiele później jednak ją potwierdził (choć bez podania szczegółów ataku). Co ciekawe,…

Książka o bezpieczeństwie aplikacji webowych do kupienia jest tutaj. Spis treści tutaj, przykładowy rozdział – tutaj. Jak zdobyć za darmo naszą książkę? Gdzieś tutaj macie dostępny kod (pierwsze dwie osoby, które go wyślą na adres sklep@securitum.pl dostaną darmową książkę z przesyłką!). Uwaga to już nasz drugi konkurs, więc w kodzie będzie…

Podatność o której pisaliśmy parę miesięcy temu dotyka wprawdzie Windowsa 7 (i niższych), ale umożliwia bez żadnej interakcji ofiary na otrzymanie pełnego dostępu administracyjnego na atakowanej maszynie. Sytuację pogarsza fakt, że w Metasploicie od jakiegoś czasu gotowy jest exploit na lukę. Tymczasem ktoś rzeczywiście zaczął atakować systemy dostępne z Internetu…

Podejrzewam, że 99.9% czytelników sekuraka klika na 'Nie pozwalaj’ w takim przypadku: W Firefoksie od stycznia 2020 nie trzeba będzie klikać, bo… takie popupy w ogóle się nie pokażą. ZDNET donosi się że o ew. możliwości zapisania się na spamik ;) będzie nas informowała mała ikonka na pasku URL. Brawo…

Niedawno pisaliśmy o ciekawym przekręcie wykorzystującym automatyczne generowanie głosu na podstawie próbek od ofiary – w tym przypadku „na prezesa” oszukano firmę na ok 1 mln PLN. Na „lewą fakturę” oszukano też nasz rodzimy LOT (ok 2.5 mln PLN – część udało się odzyskać). Tym razem mamy grubszą sprawę, bo…

O operacji / malware nazwanej QSNATCH doniosła jako pierwsza fińska agencja związana z cyberbezpieczeństwem. Później dołączyły się Niemcy pisząc o 7000 infekcjach dysków sieciowych firmy QNAP tylko w tym kraju: Dokładna metoda infekcji nie jest znana, choć wiadomo że malware ma możliwość wykonywania dowolnego kodu na urządzeniach, wyłącza aktualizacje, kradnie…

Pismo jest dość niemal idealna kopią oryginalnego dokumentu (nie zgadza się numer konta na który trzeba wpłacać pieniądze: Skąd wiadomo do jakiej firmy przesłać taki dokument. Otóż okazuje się że: Urząd jest przez prawo zmuszony do publikowania podstawowych informacji o zgłaszanym znaku towarowy. Znajdują się tam również dane zgłaszającego. Zostaje tylko znaleźć…

Miało być pięknie, od strony atakujących wszystko legalnie – za obietnicę wykasowania 57 milionów rekordów danych o użytkownikach Ubera mieli otrzymać nagrodę w ramach programu Bug Bounty. Pieniądze te zresztą dostali za pośrednictwem serwisu HackerOne (2016 r.). Nie ma danych – nie ma problemu, wtedy Uber nie poinformował o temacie…