W biegu

A jedynie zmniejsza trochę jej skuteczność. Przekonała się o tym pani Aleksandra: Aleksandra Korolova has turned off Facebook’s access to her location in every way that she can. She has turned off location history in the Facebook app and told her iPhone that she “Never” wants the app to get her location….

Co konkretnego znajdziesz w certyfikatach? Do czego wykorzystywane są konkretne wartości? Obiły ci się o uszy terminy: X.509, ASN.1, OIDs, DER, PEM, PKCS, ale nie pamiętasz już szczegółów? Potrzebujesz narzędzia które w prosty sposób przeanalizuje twoje certyfikaty czy klucze? Odpowiedzi na te pytania znajdziesz w tym poradniku – uwaga, do przeczytania…

Raport tutaj. Wybrano 5 lokalizacji spośród 104 baz. Jeśli ktoś chciałby scenariusz na nowego Jamesa Bonda, proszę bardzo: Niełatane latami podatności w systemach (jedna jest wskazana jako wykryta w 1990 roku i do tej pory niezałatana): Although the vulnerability was initially identified in 1990, the had not mitigated the [censored]…

Sam malware nie jest jakoś specjalnie wyrafinowany – może realizować zrzuty ekranowe, listować działające u ofiary procesy, pliki, wykradać zawartość schowka, czy pobierać login użytkownika. Na uwagę jednak zwraca dość innowacyjny sposób sterowania tym malware. Łączy się on z odpowiednim profilem na Twitterze i z obrazków pobiera odpowiednie polecenia: Przykładowy…

Zobaczcie na grudniową paczkę łat w Androidzie. Mamy tutaj 5 podatności RCE (remote code execution) oznaczonych jako Critical. W tym kolejne podatności w submodule Media framework. Najczęściej oznacza to możliwość wykonania kodu w systemie operacyjnym poprzez otworzenie odpowiednio spreparowanego pliku multimedialnego. Martwi też ta podatność w obsłudze Bluetooth. Z jednej strony mamy informację:…

Popatrzcie na projekt USBninja. To kabelki USB w różnych odmianach (ze „zwykłym” USB, micro-USB, USB-C, lightning).  Wyglądają porządnie i takoż działają (wspierany jest transfer danych i ładowanie). Co wyróżnia taki kabel? Wbudowany niewidoczny na zewnątrz układ, który może być aktywowany zdalnie (Bluetooth) i powodujący, że kabel nagle staje się… klawiaturą…

Ciekawostka weekendowa. Czy w rzeczywistości istnieją osoby na zdjęciach poniżej? W sumie zabawa zepsuta… odpowiedź macie w tytule. Jeśli chcecie z kolei zapoznać się ogólnie ze sposobem podejścia do tworzenia „sztucznych twarzy” – odsyłam do filmu, gdzie aplikowanie rozmaitych efektów można obserwować na żywo: –ms

Zanim zaczniecie czytać – zaktualizujcie Chrome do wersji 71. A teraz konkrety. Opis problemu jest tutaj. Na początek ekipa przygotowała exploita umożliwiającego wykonanie dowolnego kodu w Chrome poprzez Web SQL API. Czyli w skrócie – odpowiednio przygotowana strona może zapisać swoje dane w lokalnej bazie SQL (w Chrome). Ta baza…

Chyba największą zaletą pracy u nas jest duża różnorodność – możesz rzeczywiście uczestniczyć w projektach z tytułu, ale i w takich, o których jawnie nie możemy pisać. Jak to ktoś od nas napisał: ciężko przejść się większą ulicą w Polsce żeby nie dostrzec marki, dla której realizowaliśmy ofensywne testy bezpieczeństwa….

Tutaj stosowna informacja od Microsoftu – tak, to dobrze znany nam „zwykły” OpenSSH w wersji serwerowej. Niedawno czytaliśmy, że nowa wersja Edge ma bazować na Chromium, co wydawało się absolutnie nigdy nie możliwe. Wcześniej widzieliśmy Kali Linuksa w App Store Windows, może następnym krokiem będzie zaadoptowanie Linux Kernela? ;-) –ms

Ciekawostka. Najpierw zeskanował i wydrukował swoją głowę w 3D. Później włączył odblokowanie telefonów za pomocą rozpoznawania twarzy w sprzętach: LG G7 Linq, Samsung S9, Samsung Note 8, OnePlus 6 oraz iPhoneX. Wynik?  For all four Android phones, the spoof face was able to open the phone, though with differing degrees of…

Wygląda na to, że podatność trzeba traktować jako 0-day. Logitech otrzymał informację o błędach w swoim oprogramowaniu (Logitech Option, umożliwiający m.in. przemapowanie klawiszy), ale w aktualizacji niewiele z tym zrobił. Istotą problemu jest usługa (websocket), która wstaje na localhost i startuje razem z systemem operacyjnym. Nie ma w niej w…

Wydawałoby się, że w tak standardowych usługach, u tak popularnego producenta oprogramowania jak Microsoft, krytyczne, zdalnie wykorzystywalne bez uwierzytelnienia podatności dające uprawnienia admina nie powinny się zdarzać (no dobra, to żart – jak widać zdarzają się). Popatrzcie na podatność w microsoftowym serwerze DNS. Błąd ze statusem Critical, nie pozostawia wiele…

Krótki research Checkpointa zakończył się zaraportowaniem 50 podatności w Adobe Readerze. Mamy dostępną łatę. W zasadzie tutaj news mógłby się zakończyć, ale powiem to bardziej dobitnie: Podatności dające potencjalnie możliwość wykonania kodu na komputerze ofiary (najprawdopodobniej po prostu po otworzeniu odpowiednio spreparowanego pliku pdf): CVE-2018-15998 CVE-2018-15987 CVE-2018-16004 CVE-2018-19720 CVE-2018-19715 CVE-2018-19713 CVE-2018-19708…

Raczej nikt nie chwali się wynikami analizy powłamaniowej, szczególnie gdy jest ona druzgocąca. Ale inaczej jest w przypadku Equifax. Przypomnijmy – w wyniku naruszeń bezpieczeństwa wyciekło niemal 150 milionów rekordów danych osobowych. Dodatkowo – około 200 000 numerów kart kredytowych. Obecnie mamy dostępny rządowy raport opisujący szczegóły incydentu. Polecam zerknąć przynajmniej…