W biegu

Wygląda intrygująco, prawda? Dane dostępowe działają, a środki na koncie wyglądają na nietknięte. Jest jedynie mały problem, żeby wypłacić środki trzeba wpłacić stosunkowo niewielką kwotę w BTC – np. 0.01 BTC. I przechodzimy do (*) cała akcja – jak może się już domyślacie – to dosyć sprytny fraud. –ms

Chodzi o sklep Guitar Center: Jesteśmy największym sklepem wysyłkowym sprzedającym instrumenty muzyczne w Polsce. Miesięcznie realizujemy kilka tysięcy zamówień online dla polskich klientów oraz kupujących z Czech, Słowacji, Węgier, Litwy, ostatnio także z Norwegii, Irlandii, Anglii i Niemiec. Sklep wydał stosowne oświadczenie (informację uzyskaliśmy z dwóch niezależnych źródeł): Informujemy, że…

Tytuł może ciutkę zbyt dramatyczny, ale „skoordynowany atak ransomware, który dotknął 20 agencji rządowych” (niektórzy piszą o 23) to też nie jest fraszka. Do akcji zaprzęgnięto specjalne cyber jednostki armii (Texas Military Department) Currently, DIR, the Texas Military Department, and the Texas A&M University System’s Cyberresponse and Security Operations Center teams…

Idąc od końca – Jailbreak na najnowszy iOS (12.4) dostępny jest tutaj. Apple z niewiadomych przyczyn ’odłatało’ podatność wykrytą we wcześniejszej wersji systemu (12.3) – co oznacza, że obecnie ma ona status 0-day (a może 100+ day? bo jest ona znana od przeszło 100 dni). Jeśli ktoś chciałby mieć roota…

Klasyka: resetujesz hasło i otrzymujesz je mailem w formie jawnej. Oznacza to dwie rzeczy – hasło jest przechowywane po stronie serwerowej w formie odwracalnej (nie w formie np. bezpiecznego hasha), często po prostu w formie jawnej. Samo też hasło przesłane w tej formie należy uznać za wycieknięte. Jaką odpowiedź na…

Eksperymentalny projekt Michała Bentkowskiego z sekuraka. Nie potrzeba instalacji, działajcie i komentujcie :-) TLDR: aplikacja hasło składające się z kilku następujących po sobie słów (w razie potrzeby można je rozdzielić dodatkowo konkretnym znakiem np. – czy usunąć polskie literki): –ms

Chodzi o bezpieczeństwo domowych urządzeń IoT. No dobra, nie każdy ma router czy access point pod biurkiem, ale rozumiecie o co chodzi ;-) Jak było 15 lat temu było niezbezpiecznie, tak jest: Even worse, CITL researchers found no clear progress in any protection category over time, said Zatko. Researchers documented…

Interesujące badanie niemieckiego magazynu c’t. Najpierw okazało się że antywirus od Kasperskiego wstrzykiwał w odwiedzane strony fragment kodu HTML: Samo to w sobie nie jest zabawne, ponieważ JavaScript działający w kontekście naszej przeglądarki mógłby zrobić wszystko (no dobra, jeśli mamy antywirusa to jego właściciele tak czy siak mogą zrobić z…

Biometryka kojarzy się z bezpieczeństwem, bezpieczne też powinny być systemy kontroli dostępu fizycznego. To wszystko prawda chyba że… nie jest kompletnie zabezpieczony jakiś komponent systemu dostępny do tego z Internetu. VPNMentor raportuje o dostępnej publicznie bazie ElasticSearch (dane z systemu Biostar 2), skąd udało się pobrać takie dane jak: Dane…

Wspieramy medialnie tegoroczny Security BSides Warsaw. Zatem kilka informacji bezpośrednio od organizatorów. Scena polskich konferencji poświęconych bezpieczeństwu informatycznemu  ostatnimi czasy tętni życiem. Jak grzyby po deszczu wyrastają nowe, zasilane przez korporacyjne pieniądze wydarzenia, które są nastawione  głównie na prezentowanie produktu czy networking wysoko postawionych  prezesów i managerów. Mało która konferencja dziś…

Kalifornijska tablica rejestracyjna NULL miała uczynić go niewidzialnym, a może być tylko ciekawą, geekową personalizacją? W każdym razie badacz o pseudonimie Droogie najpierw dostał normalny mandat za niepoprawne parkowanie (zdarza się). Co odpaliło całą lawinę, której chyba nikt się nie spodziewał: The next sign was, well, a little more serious: After…

Sypnęło właśnie dużymi podatnościami na system Windows. Tymczasem część antywirusów blokuje oficjalne aktualizacje. Powodem jest sierpniowe przejście Microsoftu na podpis łat z wykorzystaniem algorytmu SHA-2 (zamiast starego SHA-1). Nota bene – oczywiście same algorytmy z rodziny SHA nie służą do podpisu cyfrowego, ale są w nim wykorzystywane. W każdym razie…

Podatności w Remote Desktop Services Microsoft opisuje tutaj:  CVE-2019-1181, CVE-2019-1182, CVE-2019-1222, CVE-2019-1226. Nie owijając zbytnio w bawełnę: W RDP jest podatność klasy RCE, którą można wykorzystać bez uwierzytelnienia przez przesłanie odpowiednio złośliwej komunikacji. Podatność nie wymaga interakcji ofiary, a atakujący może wykonywać dowolne polecenia na docelowym systemie, łącznie z tworzeniem kont z…

Hasła są wprawdzie w czasochłonnym do łamania Bcrypcie, ale o wiele ciekawsze mogą być prywatne wiadomości wymieniane pomiędzy użytkownikami. W przeszło 2-gigabajtowym zrzucie jest prawie 400 000 tego typu wiadomości. Arstechnica wskazuje dość wysoką aktywność członków wyciekłego forum w temacie chęci dostępu do przejętych kont Fortnite: Freshly cracked Fortnite accounts with skins…

Jeśli macie jakieś 5 minut wolnego czasu polecam oglądnąć krótki film poniżej. Pozyskanie numeru telefonu do działu Project Managerów konkretnego produktu, nauka project managerki narzędzi tar oraz gz (jakoś trzeba było spakować te kody źródłowe). Na koniec krok od wpadki…ale nie będziemy spoilerować: –ms