W biegu

Może znacie samochody, które automatycznie wykrywają znaki drogowe? Tego typu auta wcale nie muszą być autonomiczne – ot oferują dodatkową pomoc dla kierowcy. Ta funkcja jest o wiele bardziej istotna w pojazdach autonomicznych – w końcu jakoś muszą orientować się na drodze. Pamiętajmy też, że znaki muszą być rozpoznawalne pod…

Mamy nową funkcję w znanym serwisie Troy Hunta – haveibeenpwned. Tym razem Troy udostępnia nam możliwość sprawdzenia online czy dane hasło znajduje się na liście tych skompromitowanych (obecnie mamy w bazie około 320 milionów unikalnych rekordów). Czy jest to rozsądne? Mamy mieszane uczucia (wymaga to podania hasła do sprawdzenia, które…

To niezwykle popularne rozszerzenie do Chrome (1 000 000+ użytkowników), zostało ostatnio podmienione na zainfekowaną wersję 0.4.9. Prawdopodobnie było to tylko adware, choć w przypadku działania na podatnej wersji, zaleca się oczywiście zmianę haseł do odwiedzanych ostatnio serwisów. Jak doszło do infekcji? Konto oficjalnego developera zostało przejęte i użyte do zuploadowania…

Przypominamy WannaCry to głośny ransomware, który szarżował dość skutecznie w tym roku. Wiele serwisów donosi, że Marcus Hutchins – człowiek, który zlokalizował i wykupił domenę będącą kill switchem, blokującym ten malware – został aresztowany zaraz po konferencji Defcon (tuż przed odlotem do rodzimego Londynu). Zarzuca mu się stworzenie malware bankowego Kronos, choć pojawiają…

Próbujemy właśnie zrealizować w pełni społecznościowy projekt :) – czyli na naszym facebookowym profilu zapytaliśmy czy ktoś nie chciałby przygotować serii tekstów o Zabbix. Do publikacji na sekuraku. Wprawdzie jeden tekst już mamy… ale jest on raczej wprowadzający i na pewno wymaga odświeżenia. Na marginesie dodam, że sekuraka w ostatnim…

Gizmodo donosi o analizowanej na Defconie starej maszynie używanej w trakcie głosowania w USA, na której znaleziono sporą liczbę rekordów z danymi osobowymi głosujących (ponad 650 000). Inkryminowana maszyna wygląda tak: i jest określana jako check-in machine. Prawdopodobnie chodzi więc o urządzenie gdzie zgłaszamy się na głosowanie i jesteśmy weryfikowani…

Niedawno organizowaliśmy konkurs na rozwal.to z paroma nagrodami pieniężnymi 3×300 pln. W dość szybkim tempie otrzymaliśmy odpowiedzi, a zgodnie z obietnicą publikujemy też rozwiązania :) Zadania rozwiązało dość sporo osób, ale na podium stoją: REV, Nazywam oraz quaker (rozwiązanie przesłane o 23:03 – czyli około 2 godziny po ogłoszeniu zadań) – którzy…

Kiedyś były maszyny z LEGO do łamania pinów na telefonach, a na tegorocznym Defconie pokazano z kolei robota otwierającego sejf. Tym razem celem była maszyna firmy SentrySafe, posiadająca 3 gałki z liczbami od 00 do 99 –  w najgorszym przypadku sejf wymagał podania miliona kombinacji, ale na tak długie sprawdzanie nie…

Nagroda w wysokości $10 800 została przyznana niedawno w ramach bug bounty Twittera.  Jeden z serwerów, a dokładnie jedno z API, było podatne na opisywaną przez nas już dwukrotnie podatność XXE. XML wyglądał jak poniżej, a autor badania do oryginalnego XML-a dołożył tylko oznaczone linijki: POST /api/sxmp/1.0 HTTP/1.1 Host: sms-be-vip.twitter.com…

Jeszcze tylko dzisiaj do pobrania ze strony wydawcy książka: „Advanced Penetration Testing for Highly-Secured Environments: The Ultimate Security Guide„. Wbrew tytułowi przyda się ona raczej początkującym pentesterom. Książka ma już parę lat, ale wiadomo: darowanemu koniowi… Dzięki dla Mariusza i Damiana za przesłanie linku. –ms

Organom ścigania udało się ostatnio przejąć dwa bazary narkotykowe, działające w przyciemnionym Internecie, przy czym jeden z nich – Hansa Market – mimo przejęcia był pozostawiony przez miesiąc jako podpucha. Klienci nie wiedzieli, że coś jest nie tak… W między czasie policja umieściła do pobrania logi transakcji, które okresowo są ściągane i analizowane…

Hack został pokazany przez słynny chiński Keen Security Lab. Poza wykorzystaniem kilku błędów typu 0-day, ominięty został mechanizm code signing, sprawdzający integralność działającego w samochodzie firmware (mechanizm ten swoją drogą wprowadzono po zaprezentowaniu przez ten sam team, ataku na Teslę model S – w 2016 roku).  Finalnie uzyskano dostęp do…

Ostatnio użytkownicy Wykopu marudzili, że coś im psuje sekurak: I to mimo, że sam test trwał kilka sekund… Przyczyna była dość prosta – persistent XSS (czyli możliwość wstrzykiwania dowolnego JavaScriptu innym użytkownikom Wykopu) w mikroblogach. A dokładnie w mechanizmie ankiet: Który skutkował u innych mikroblogowiczów takim komunikatem: Oczywiście potencjalni złośliwcy mogliby…

TL;DR: na szczęście Polski to nie dotyczy – nie mamy elektrowni jądrowych ;-) Jak wygląda bezpieczeństwo systemów monitorujących promieniowanie w elektrowniach atomowych? Firma IO Active opublikowała raport zawierający informacje o kilku podatnościach. Jedna z nich jest w bramce monitorującej skażenie pracowników: Tutaj wykryto zahardcodowane (backdoor?) hasło w panelu sterowania dające…

Jak zaprezentować firmę? Chyba najlepiej oddać głos ludziom, którzy w niej pracują. Tak właśnie zrobiliśmy, a wybrane głosy poniżej. Jakie więc są plusy pracy w Securitum? Takie: Ekipa. Atmosfera. Ludzie z ogromną wiedzą i chęcią dzielenia się nią   Niekomplikowanie prostych spraw, bardzo daleko od korporacyjnych klimatów.   Brak rutyny…