W biegu

Lampa uliczna? Nie – narzędzie do masowego monitoringu. Nagrywa obraz, prowadzone rozmowy, ciśnienie, temperaturę, pole magnetyczne… wszystko dostępne w chmurze.

11 sierpnia 2019, 16:55 | W biegu | komentarzy 10

San Diego – inaczej zwane przez niektórych „najmądrzejszym miastem Ameryki„. To m.in. za sprawą wdrożonego około 2 lat temu programu paru tysięcy lamp ulicznych, które oszczędzają energię a także w razie potrzebny zapewniają odczyt nagranego video (z dźwiękiem) dla odpowiednich służb. Początkowo nieco eksperymentalny i klasyczny projekt ostatnio za sprawą…

Czytaj dalej »

Nmap 7.80 został wydany. Najważniejsze pozytywne zmiany są dla użytkowników Windows

11 sierpnia 2019, 12:34 | W biegu | 0 komentarzy

Po niemal 1.5 roku wydana została nowa wersja nmapa. Największe usprawnienie to kompletnie przepisany windowsowy sterownik do wysyłania, odbierania pakietów (poprzedni był dość stary i nierozwijany co powodowało np. spore problemy na Windows 10). Co więcej w tej wersji? Trochę nowych skryptów NSE i masa poprawek oraz usprawnień. Osoby zainteresowane nmap-em…

Czytaj dalej »

Kolejna podpucha na Facebooku dotycząca gorącego newsa i „płatności Blik”. Ofiary kompletnie nie wiedziały co się stało

10 sierpnia 2019, 11:57 | W biegu | komentarze 2

Od poniedziałku (29.07.2019) obserwuję wśród moich znajomych na Facebooku posty, które można streścić “Nie klikajcie linków do Blika, to wirus”. W tym przypadku przyczyną nie jest złośliwe oprogramowanie. To znany przynajmniej od stycznia phishing na “dopłatę BLIK”. Schemat ataku niezależnie od fałszywego adresu zawsze jest podobny. Zobaczmy, jak wygląda w…

Czytaj dalej »

Groźna podatność w kliencie Steam. Zgłosił błąd, który został odrzucony. Opublikował więc exploit.

10 sierpnia 2019, 11:19 | W biegu | komentarze 3

Ciekawa historia podatności w kliencie Steam. Można dzięki niej mając uprawnienia zwykłego użytkownika, eskalować je do administratora (dokładniej LOCALSYSTEM). Badacz zgłosił problem do Valve w ramach programu bug bounty, ale problem został odrzucony z adnotacją: „not applicable„, jednocześnie Valve nie chciało aby opublikować szczegóły problemu. Badacz się tym nie przejął…

Czytaj dalej »

Jedna z największych giełd kryptowalut – Binance, oferuje 1 000 000 PLN nagrody „za głowę” szantażysty

09 sierpnia 2019, 20:53 | W biegu | 1 komentarz

Kolega lub koleżanka chce 300 BTC od Biance za nieopublikowanie około 10 000 zdjęć klientów giełdy. Poza „zwykłymi zdjęciami” są tam też uwiecznione np. paszporty czy inne dokumenty identyfikacyjne. Giełda pisze tak: If you are able to provide any information to help identify this person and allow us to pursue…

Czytaj dalej »

Apple czuje oddech hackerów na plecach. Obecnie największa pojedyncza nagroda w programie bug bounty to aż ~6 000 000 PLN

09 sierpnia 2019, 11:30 | W biegu | komentarze 2

Oczywiście na celowniku są przede wszystkim iPhone-y. Apple wprowadza do niego z jednej strony nowe funkcje bezpieczeństwa (omawiano je na BlackHacie), z drugiej znacznie zwiększa wypłaty za zgłaszane błędy bezpieczeństwa. A tych ostatnich bywa naprawdę sporo… W każdym razie pojedyncza największa wypłata wynosi obecnie $1 000 000. Można też otrzymać…

Czytaj dalej »

Jak przejąć iPhone bez żadnej interakcji użytkownika? Prezentacja i filmik odpalający zdalnie kalkulator na telefonie

09 sierpnia 2019, 09:56 | W biegu | komentarze 3

O temacie z iMessage pisaliśmy niedawno. Po tegorocznym BlackHacie USA mamy już filmik pokazujący na żywo przejmowanie iPhone: Dla bardziej dociekliwych jest też blackhatowa prezentacja (wraz np. z linkiem do narzędzi ułatwiających tego typu research). Warto podkreślić jeszcze raz że cały atak nie wymaga interakcji od strony ofiary (wystarczy jej…

Czytaj dalej »

Polki gotują zupę i … słuchają niemieckich nagrań z Alexa. Afera w Niemczech

09 sierpnia 2019, 09:41 | W biegu | 1 komentarz

Ostatnio okazało się, że duże korporacje posiadające znane rozwiązania do komunikacji głosowej (Microsoft – Skype, Apple – Siri ) – przekazują część nagrań swoich użytkowników do zewnętrznych firm. Kolejna afera wybuchła w Niemczech, gdzie okazało się, że polscy pracownicy słuchają nagrań zrealizowanych przez amazonową Alexę. Niby mieli pracować w specjalnie zabezpieczonych biurach,…

Czytaj dalej »

Siergiej ruszaj dupę!!! Kliknęli w linka, wbijaj się bistro na tę drukarkę i jedziemy dalej!

06 sierpnia 2019, 16:20 | W biegu | komentarzy 5

Zapowiadał się kolejny spokojny wieczór. Mały pokój w jednym z moskiewskich biur, z porozwalanymi pudełkami po pizzy i rozrzuconymi niemal wszędzie butelkami po wyśmienitym napoju Bajkał. – Te Wowa, widziałeś te nowe dumpy 0-dayów na IoT z chińskich forów? Centrala podrzuciła dzisiaj na to namiary. – No… widziałem. TP-Linki,  routerki ASUS-a,…

Czytaj dalej »

Korea Północna uczestniczy w globalnym „bug bounty”. Wypłacili sobie w kryptowalutach i walutach równowartość około 8 miliardów PLN.

06 sierpnia 2019, 12:42 | W biegu | komentarze 3

W co można zainwestować niewiele jako kraj i wyciągnąć z tego miliardy? Tak, tak – to ofensywne zdolności cyber. Reuters donosi właśnie o hackerskich operacjach Korei Północnej, które przyniosły temu krajowi około 2 miliardów USD, zainwestowanych następnie prace nad bronią masowego rażenia. The experts said they are investigating “at least…

Czytaj dalej »

Absolutny dostęp do wszystkiego na Androidzie (root) przez WiFi. Chiński Tencent w akcji (Qualpwn)

06 sierpnia 2019, 11:08 | W biegu | 0 komentarzy

QualPwn to seria podatności umożliwiających dostęp na chip WiFi w telefonie oraz w pewnych przypadkach również na telefon (dostęp na poziomie Kernela Linux). Kto jest podatny? Właściciele urządzeń z wybranymi chipami Qualcomma, żeby nie było niedomówień – atakujący wskazują jako podatne flagowce Google Pixel 2 oraz 3. We didn’t test…

Czytaj dalej »

Dostęp do miliona danych księgowych Starbucks dzięki SQL injection (bug bounty)

06 sierpnia 2019, 09:58 | W biegu | 1 komentarz

Jeśli ktoś uważa, że SQL injection ciężko jest znaleźć w obecnych czasach, myli się. W opisywanym przypadku zaczęło się od enumeracji ciekawych poddomen (mamy o tym osobny rozdział w naszej książce) – udało się znaleźć niezbyt skomplikowane miejsce z możliwością anonimowego uploadu pliku XML. Po niewyłączonych komunikatach błędów było jasne,…

Czytaj dalej »

Kto klika w sexsimulator.apk dostanie „syfa” na telefonie. Ransomware szyfrujący androidy -> dalsza infekcja to SMSy do listy kontaktów ofiary.

03 sierpnia 2019, 10:34 | W biegu | 1 komentarz

Ransomware na Androida nie jest częstą sprawą, ale oto mamy nową kampanię rozpowszechniającą się poprzez SMSy oraz linki – często do stron czy appek o charakterze pornograficznym. (…) spreads further via SMS with malicious links, which are sent to all contacts in the victim’s contact list. After the ransomware sends out…

Czytaj dalej »