Mega Sekurak Hacking Party w Krakowie! 20.10.2025 r. Bilety -30%

W biegu

Można bez uwierzytelnienia przejmować pewne routery / urządzenia WiFi. Zobacz podatność CVE-2024-20017

06 września 2024, 10:35 | W biegu | komentarze 3
Można bez uwierzytelnienia przejmować pewne routery / urządzenia WiFi. Zobacz podatność CVE-2024-20017

Pokazał się detaliczny opis podatności oraz exploit. Luka występuje w chipsecie MediaTek MT6890, MT7915, MT7916, MT7981, MT7986 (a dokładniej w oprogramowaniu, które jest do niego dołączane przez producenta , a jeszcze dokładniej w linuksowym wappd). Przykładowy exploit został pokazany dla Netgear WAX206. Producent w opisie łatki podaje taką informację: In…

Czytaj dalej »

Hackerzy uzyskali dostęp do obrazów z 150000 kamer / nagrań audio z kamer czy danych logowania WiFi. Kara ~3mln

03 września 2024, 12:15 | W biegu | 1 komentarz
Hackerzy uzyskali dostęp do obrazów z 150000 kamer / nagrań audio z kamer czy danych logowania WiFi. Kara ~3mln

Całość w wyniku dwóch hacków systemów firmy Verkada, o jednym z nich pisaliśmy już dłuższy czas temu. Jeszcze raz zwracam uwagę na fakt, że atakujący otrzymali również dostęp do nagrań audio z kamer (często nawet nie wiemy, że kamery mają wbudowane mikrofony) Nota amerykańskiej agencji FTC mówi, że w szczególności…

Czytaj dalej »

Serią podatności mógł kontrolować nawet kilkanaście gigawatów mocy generowanej przez panele solarne (*) na całym świecie. To moc porównywalna z wytwarzaną przez kilka elektrowni atomowych.

03 września 2024, 08:32 | W biegu | 0 komentarzy
Serią podatności mógł kontrolować nawet kilkanaście gigawatów mocy generowanej przez panele solarne (*) na całym świecie. To moc porównywalna z wytwarzaną przez kilka elektrowni atomowych.

Podatne było oprogramowanie służące zarządzaniu swoją instalacją solarną (od firmy Enphase systems). Sama firma chwali się że obsługuje 4 miliony instalacji solarnych w 150 krajach. Badacz testowo zakupił dwa inwertery i… pokazał jak mając dostęp do administratora jednego z nich, może wykonywać operacje na zupełnie innym koncie. Zakładam, że mogło…

Czytaj dalej »

Infografika o scamach internetowych / oszustwach – do bezpłatnego użycia w Twojej firmie :-)

02 września 2024, 09:32 | W biegu | 0 komentarzy
Infografika o scamach internetowych / oszustwach – do bezpłatnego użycia w Twojej firmie :-)

Przygotowaliśmy dla Was aktualizację materiału (uzupełnienie o wersję EN), który udostępniliśmy jakiś czas temu – tj. skondensowaną grafikę o wybranych, aktualnych scamach / oszustwach internetowych. Całość możesz pobrać: Grafikę możesz zupełnie bezpłatnie przesłać do znajomych / w firmie / wydrukować (też w firmie) i powiesić np. nad biurkiem :-) Jedyny…

Czytaj dalej »

Prawdopodobny phishing na adminów Mastodona za pośrednictwem Fediwersum

02 września 2024, 02:04 | W biegu | komentarzy 10
Prawdopodobny phishing na adminów Mastodona za pośrednictwem Fediwersum

Mastodon to oprogramowanie, które w Fediwersum miało zastąpić Twittera (obecnie X). Instancje Mastodona tworzą zdecentralizowaną federację składającą się z niezależnych instancji. Każda z instancji posiada swojego administratora, serwer, domenę i… politykę wymiany danych z innymi instancjami. W ramach pojedynczej instancji nie ma ograniczeń widoczności, jednak w Fediversum powstał specyficzny podział pomiędzy instancjami, który w uproszczeniu…

Czytaj dalej »

Korea Północna zrobiła z cyberbezpieczeństwa niezły „biznes”. Kupują exploity i kradną kryptowalutę

31 sierpnia 2024, 09:36 | W biegu | 0 komentarzy
Korea Północna zrobiła z cyberbezpieczeństwa niezły „biznes”. Kupują exploity i kradną kryptowalutę

W kampanii grupy Citrine Sleet wykorzystywane są podatności 0day. Chrome załatał CVE-2024-7971 parę dni temu. Microsoft błąd CVE-2024-38106 – dwa tygodnie temu. Obie podatności umożliwiają atakującemu na pełną infekcję Windowsa, zaledwie po wejściu na odpowiednio spreparowaną stronę. Są to podatności 0day, więc działają nawet na załatanym w pełni Windows/Chrome. Napastnicy…

Czytaj dalej »

Błąd OPSEC przestępców z powodu źle skonfigurowanego serwera do scamów

31 sierpnia 2024, 00:40 | W biegu | komentarze 2
Błąd OPSEC przestępców z powodu źle skonfigurowanego serwera do scamów

Na samym początku pragnę zaznaczyć, że niestety nie mogę powiedzieć jakiego klienta dotyczy poniższy artykuł, gdyż wynika to z odpowiednich zastrzeżeń w umowach z nim zawartych. Pracując w branży finansowej często można natrafić na scamerów próbujących podszywać się pod prawdziwe instytucje lub strony świadczące jakieś usługi związane z tą branżą. Bardziej zaawansowani…

Czytaj dalej »

Jak poznać lokalizację wykonania zdjęcia na podstawie pomiarów cienia? #osint

30 sierpnia 2024, 10:40 | W biegu | komentarzy 7
Jak poznać lokalizację wykonania zdjęcia na podstawie pomiarów cienia? #osint

Bellingcat udostępnił narzędzie online: Shadow Finder Tool (wymagane darmowe konto Google), w którym: W wyniku otrzymujemy obszar na mapie, w którym zdjęcie zostało wykonane: Jeśli posiadamy np. 2 lub więcej zdjęć tego samego miejsca (z różnych godzin) – to można jeszcze bardziej zawęzić obszar, w którym zdjęcie zostało wykonane (wspólny…

Czytaj dalej »

Walidacja wejścia od użytkownika (hackera) tylko po stronie frontendu (tj. w tylko w JavaScript)? Takie rzeczy się cały czas zdarzają i to w polskich systemach rządowych.

28 sierpnia 2024, 10:35 | W biegu | 1 komentarz
Walidacja wejścia od użytkownika (hackera) tylko po stronie frontendu (tj. w tylko w JavaScript)? Takie rzeczy się cały czas zdarzają i to w polskich systemach rządowych.

Tytułowa ciekawostka z raportu „o stanie bezpieczeństwa cyberprzestrzeni RP” opublikowanego przez ABW: W aplikacji WWW podlegającej ocenie bezpieczeństwa, w jednym z jej formularzy, istniała możliwość wgrywania plików przez użytkownika. Funkcjonalność weryfikacji rozszerzenia wgrywanych plików zaimplementowana była wyłącznie po stronie frontend-u , tj. przeglądarki. Przechwycenie pliku JavaScript odpowiedzialnego za ten mechanizm…

Czytaj dalej »

Jak przejąć sieć operatora telekomunikacyjnego oraz dane jego klientów poprzez upload favicona?

28 sierpnia 2024, 10:01 | W biegu | 0 komentarzy
Jak przejąć sieć operatora telekomunikacyjnego oraz dane jego klientów poprzez upload favicona?

Niedawno wykryto kampanię hackerską celującą w amerykańskich dostawców sieci (zainfekowano w ten sposób minimum czterech ISP). W tym celu wykorzystano podatność w rozwiązaniu SD-WAN firmy Versa Networks. Podatność występuje w mechanizmie uploadu favicona w aplikacji webowej. Ale zamiast favicona można zuploadować webshella w Javie… Upload favicona wymaga jednak posiadania dostępu…

Czytaj dalej »

Sfałszował swoją śmierć, ~hackując amerykański system rejestracji zgonów.

27 sierpnia 2024, 16:21 | W biegu | komentarzy 9

Jak czytamy w informacji prasowej opublikowanej przez departament sprawiedliwości USA – Jesse Kipf został skazany na 81 miesięcy więzienia. Na początek pozyskał on dane logowania jednego z lekarzy – do rejestru śmierci na Hawajach. W kolejnym kroku zalogował się do tego systemu, a następnie utworzył „zdarzenie śmierci”. Finalnie certyfikował to…

Czytaj dalej »

Podatność w jednym z API dużej korporacji (Honeywell). Można było zdobyć superadmina w trzech prostych krokach

26 sierpnia 2024, 22:07 | W biegu | komentarze 2
Podatność w jednym z API dużej korporacji (Honeywell). Można było zdobyć superadmina w trzech prostych krokach

Jak opisali badacze: 1. Endpoint /api/users był dostępny bez uwierzytelnienia – można było wylistować wszystkich użytkowników w systemie (w szczególności poznać ich flagi, np. czy user jest adminem – o czym za chwilę). 2. W API była możliwość zarejestrowania nowego (niskouprawnionego) użytkownika. 3. Niskouprawniony użytkownik miał możliwość edycji dowolnego użytkownika…

Czytaj dalej »

Zapraszamy na cyberpaździernik z sekurakiem – szkolenia PL/EN, konferencja MSHP, drugi tom książki

26 sierpnia 2024, 00:52 | Aktualności, W biegu | 1 komentarz
Zapraszamy na cyberpaździernik z sekurakiem – szkolenia PL/EN, konferencja MSHP, drugi tom książki

W październiku rusza coroczna akcja ECSM (Europejski Miesiąc Cyberbezpieczeństwa) czyli, ogólnoeuropejska kampania poświęcona cyberbezpieczeństwu. W ramach akcji sekurak/Securitum przygotowało sporo inicjatyw skierowanych zarówno do osób technicznych (IT) jak i wszystkich pracowników firm.  Część wydarzeń dostępna jest w formie otwartej, a wszystkie także w formie zamkniętej (realizacja dla zamkniętych grup w…

Czytaj dalej »

SolarWinds łata krytyczną lukę w Web Help Desk

26 sierpnia 2024, 00:21 | W biegu | komentarze 2
SolarWinds łata krytyczną lukę w Web Help Desk

Niecałe 4 lata temu, pod koniec 2020 roku, w mediach na całym świecie głośno było o ataku na firmę SolarWinds – popularnego dostawcę oprogramowania do monitorowania i zarządzania infrastrukturą IT. Napastnikom udało się podmienić na oficjalnej stronie producenta pliki oprogramowania SolarWinds Orion na zainfekowane, co pozwoliło im dostać się do…

Czytaj dalej »

Możliwość wstrzyknięcia złośliwego promptu w Slack AI

23 sierpnia 2024, 15:03 | W biegu | 0 komentarzy
Możliwość wstrzyknięcia złośliwego promptu w Slack AI

Na łamach sekuraka nieraz opisywaliśmy wpadki związane z szeroko pojętym AI, które szturmem zdobywa kolejne rynki. Zachwyt technologią oraz jej powszechne wdrażanie, sprowadza na użytkowników końcowych produktów nowe zagrożenia. Tak też stało się tym razem – badacze odkryli sposób na doprowadzenie do wycieku informacji z prywatnych kanałów popularnego rozwiązania do…

Czytaj dalej »