W biegu

Programista przyznał się do winy. Na stronach departamentu sprawiedliwości USA czytamy: (…) hack into about 6,000 Yahoo accounts.   Ruiz cracked user passwords, and accessed internal Yahoo systems to compromise the Yahoo accounts.  Ruiz admitted to targeting accounts belonging to younger women, including his personal friends and work colleagues. Ciężko wiele…

Szczegóły zostały opisane w tym miejscu. „Pewne sytuacje” dotyczą scenariusza gdy użytkownik może uruchamiać (przez sudo) polecenia z uprawnieniami innych użytkowników, ale z wyłączenie roota, np. w /etc/sudoers mamy wpis: czyli bob może odpalać vi z uprawnieniami dowolnego użytkownika, ale nie roota. Jednak korzystając z podatności może być i rootem…

Zerknijcie na ten wpis. Jako preludium zacytuję wymóg obowiązujący już od grudnia 2019 r. dotyczący konieczności zeskanowania swojej twarzy w momencie zakupu nowego numeru GSM (lub zmiany starego). Brzmi opresyjnie? To tylko początek. Jak donosi China Law Blog, ogłoszony jakiś czas temu plan cyberbezpieczeństwa mówi o wymogu zapewnienia rządowi dostępu do…

Ciekawy projekt pod patronatem EATM CERT, obrazujący dość szerokie spektrum „ataków hackerskich” na rozmaite firmy związane z przemysłem lotniczym: wycieki danych osobowych, ransomware, phishing, kradzież istotnych danych, … Jest też i polski motyw: In 14 June 2019, Polish private channel Polsat, via their news program “Wydarzenia” (“Events”), published an incredible story, which…

Więcej o incydencie można poczytać w tym miejscu. (..) intruzi mogli uzyskać również dostęp do kilku stacji roboczych pracowników. Wykorzystali ten dostęp do pobrania treści niektórych wiadomości e-mail dostępnych w korespondencji przychodzącej, w celu dalszego uwiarygodnienia swoich ataków na inne osoby. Intruzi nie pobrali na swoje dyski kopii baz danych Pfeifer…

O temacie pisaliśmy niedawno, obecnie pojawił się dość dokładny techniczny raport opisujący sposób działania Simjackera. Przypominamy – cała operacja polega na wysłaniu odpowiedniego binarnego SMS-a do ofiary, dzięki czemu możliwe są takie czynności jak: poznanie lokalizacji ofiary, zmuszenie jej do otworzenia określonego adresu URL w przeglądarce (malware!), czy wykonanie telefonu na…

Rekonesans pasywny / aktywny. Poszukiwanie domen, adresów IP. Narzędzia, ciekawe serwisy, triki używane przez bug bounterów… tego typu rzeczy znajdziecie zaprezentowane w formie graficznej tutaj. Jeśli chcesz więcej wiedzieć o rekonesansie sieciowym odsyłam również do naszego trzyczęściowego poradnika: google hacking, zoomeye, shodan, censys oraz inne ciekawe narzędzia. –ms

Zobaczcie tutaj. Autor uBlock Origin-a relacjonuje, że jego ostatni build deweloperski, który został zuploadowany do Google Web Store został odrzucony. Powód? Złamanie regulaminu: Your item did not comply with the following section of our policy: An extension should have a single purpose that is clear to users. Do not create…

Esencja tego badania jest taka: Można się uśmiechnąć pod nosem –  tego typu podatność (w pingu) to chyba najstarsza, łatwa do znalezienia i wykorzystania podatność znajdowana w urządzeniach IoT (wielokrotnie również przez nas :) Czy wymagane jest uwierzytelnienie? Powyższe żądanie HTTP zwraca stronę do logowania. Wymagane jest więc podanie loginu…

Wydaje się to wręcz nieprawdopodobne, ale sytuacja mająca niedawno miejsce w Japonii wyglądała tak: dziewczyna opublikowała zdjęcie (prawdopodobnie na Twitterze?). Metadanych tutaj nie było, ale była odpowiednio wysoka jakość. Na podstawie zdjęcia stalker był w stanie rozpoznać lokalizację, w której było zrobione zdjęcie (okolice konkretnej stacji kolejowej, którą zlokalizował z…

Wygrałeś iPhone, tysiąc złotych, czy inne złote garnki. Z daleka wygląda podejrzanie – i takie jest, często ofiara kończy infekcją swojego komputera, co jest dalej monetyzowane na różne sposoby. Jest w tym (nielegalny) biznes, są też zatem środki na poszukiwanie specyficznych błędów klasy 0-day w przeglądarkach. Kampania eGobbler użyła aż…

Historia z Singapuru. Oskarżony miał otwierać konta na infrastrukturze cloudowej Amazona (która udostępnia zarówno instancje CPU jak i GPU), korzystając m.in. z wykradzionych danych kart kredytowych: used victims’ personal and stolen credit card information, along with phony email addresses, which he created, designed to spoof the authentic email account of identity-theft victims,…

Zapewne wielu z Was zna tę popularną opcję na Twitterze czy Facebooku (i w wielu innych serwisach): aby zalogować się, należy poza loginem i hasłem podać również unikalny kod wysyłany SMS-em do użytkownika. Operacja wymaga wcześniejszego podania serwisowi numeru telefonu, który ma być wykorzystywany tylko w celach zwiększenia bezpieczeństwa. Tymczasem…

Dzięki projektowi wspieranemu przez Mozillę wykryto krytyczny błąd w narzędziu iTerm2 – bardzo popularnym w środowiskach wielbicieli komputerów Apple. O co chodzi? Jeśli używasz iTerma2 np. do odczytania plików, których zawartość dostarczy atakujący, możliwe jest wykonanie kodu w OS z Twoimi uprawnieniami: Ciekawy przykład podany jest tutaj. Atakujący wchodzi na…

Zobaczcie na ten wątek, który pozwoliliśmy sobie przetłumaczyć: Halo tu twój bank. Wykryliśmy podejrzaną transakcję kartą kredytową w Miami. Czy pan ją wykonywał? Nie OK, w celu weryfikacji że rozmawiam z Piotrem proszę o podanie swojego ID logowania do banku. Dziękujemy. Zaraz otrzyma Pan, z banku kod PIN, który proszę…