W biegu

Dawid, podesłał nam właśnie opis krótkiej historii, która go spotkała: Gość zadzwonił z numeru 885 886 NNN i przedstawił się jako Adam Dąbrowski i powiedział, że pracuje w Dziale Cyberbezpieczeństwa w banku PKO BP. Poinformował mnie, że rozmowa jest nagrywana i że z mojego konta ktoś próbuje wykonać przelew na…

Chodzi o CVE-2022-26809. Co my tu mamy? Błąd klasy RCE (Remote Code Execution, umożliwiający zdalne wykonanie kodu na atakowanym systemie): Remote Procedure Call Runtime Remote Code Execution Vulnerability To exploit this vulnerability, an attacker would need to send a specially crafted RPC call to an RPC host. This could result…

Jeśli myślicie o zaawansowanym narzędziu służącym do inwigilacji smartfonów – od razu pojawia się hasło: Pegasus. Ale to narzędzie posiada niejedną konkurencję, np. w postaci Predatora. Ten ostatni był np. widziany w akcji, w 2021 roku: Dziennikarz, Thanasis Koukakis, został poinformowany o naruszeniu prywatności jego komunikacji oraz cyberataku na jego…

Pierwszy odcinek naszej serii możecie przeczytać tutaj, drugi – w tym miejscu – kolejne odcinki będą ukazywały się w kolejne czwartki. A żeby nic nie przegapić, zapisz się listę OSINTową w formularzu poniżej (po zapisaniu się i potwierdzeniu zapisu otrzymasz automatem extra materiały OSINT-owe): OSINT, czyli umiejętność wykorzystania narzędzi i…

Ten nieco krzykliwy tytuł to komentarz do tej podatności: cmark-gfm (Github’s markdown parsing library) is vulnerable to an out-of-bounds write when parsing markdown tables with a high number of columns due to an overflow of the 16bit columns count. Poniżej wersja bardziej newsowa: W tłumaczeniu na polski: można by potencjalnie…

Jeśli komuś nie chce się czytać tego krótkiego wpisu, to może zapamiętać jedno: socjotechnika jest królową hackingu ;-) Co się wydarzyło? Za pomocą ataku socjotechnicznego atakującym udało się przejąć konta administratorów w Mailchimp: The incident was propagated by an external actor who conducted a successful social engineering attack on Mailchimp…

17 stycznia 2022 roku, około godziny 17:20 moje Konto Google zostało zhakowane. Ktoś: wyłączył wszystkie zabezpieczenia (w tym dwuetapową weryfikację, którą później ponownie uruchomił na własnych zasadach),  zmienił hasło,  usunął pytanie pomocnicze,  wylogował mnie ze wszystkich urządzeń. Zabrał też mój kanał na YouTube „TheAnteriss”, zmienił jego avatar, logo, nazwę na…

Podatność została opisana tutaj, a w sekurakowym skrócie: Jedna z funkcji API umożliwia upload plików *.tar.gz Po stronie serwerowej używana jest funkcja untar_zxf Teraz istota luki. W pliku sekurak.tar.gz można umieścić link symboliczny. Np.: $ ln -s /srv/tutaj_wielkie_sekrety.cfg niewinny_plik $ tar cvzf sekurak.tar.gz niewinny_plik Po uploadzie pliku sekurak.tar.gz, na serwerze…

Bez zbędnej teorii zobaczcie na ten zrzut: To pod jakim adresem my jesteśmy…? No raczej nie pod passport.i[.]ua, chociaż tak może się wydawać mniej doświadczonemu internaucie… W każdym razie Google ostrzega przed techniką „browser in the browser”, którą zaadoptowała białoruska grupa Ghostwriter (to ta od e-maili Michała Dworczyka). Na czym…

Informacja o podatności (oraz aktualizacji) dostępna jest tutaj: W portalu użytkownika / panelu admina Sophos Firewall wykryto lukę w zabezpieczeniach polegającą na obejściu uwierzytelniania oraz umożliwiającą zdalne wykonanie kodu. Podatność została w sposób odpowiedzialny ujawniona firmie Sophos. Została ona zgłoszona za pośrednictwem programu bug bounty przez zewnętrznego badacza bezpieczeństwa. Luka…

Niektórzy mówią – eeee tam, co z tego że wykradną mi dane logowania do Netflixa, przecież nie mam tam żadnych istotnych danych. Prawda, ale nie do końca ;) Zobaczcie na to oszustwo (info podesłane przez Przemka): Nie udało się (niby) autoryzować płatności: Ten mail prowadzi nas do takiej strony (wykradanie…

W skrócie: Szkolenie przeznaczone jest dla uczniów (klasa 6+ szkoły podstawowe, szkoły średnie, uczelnie wyższe) Szkolenie trwa 60 minut + 15 minut sesja pytań Szkolenie odbywa się w formie pokazów na żywo Szkolenie odbywa się w formule on-line Dostępne będzie nagranie szkolenia (na 2 tygodnie) Termin: pierwsza połowa maja 2022 (dokładny termin…

Dzisiejszym bohaterem jest gra: Axie infinity oraz wykorzystywany przez nią blockchain Ronin. Jak czytamy: Axie Infinity is an non-fungible token-based online video game developed by Vietnamese studio Sky Mavis, known for its in-game economy which uses Ethereum-based cryptocurrencies. Players of Axie Infinity collect and mint NFTs which represent axolotl-inspired digital…

Pierwsza część tytułu opisuje konkluzje po przeczytaniu krótkiej notki od Google (podatność jest załatana w wersji 99.0.4844.84 przeglądarki Chrome). Druga część tytułu jest nieprawdziwa. No bo przecież jeśli producent załatał podatność i udostępnił łatkę, to nie możemy mówić o 0-day :-) 1-day, n-day – już lepiej. Zawiedzeni? Moment – jednak…

Amerykanie na swoich stronach rządowych donoszą: Pod koniec lutego i na początku marca FDACS OALE otrzymała informację o manipulacjach pompami paliwowymi na stacjach benzynowych w Lakeland i Lutz na Florydzie (…) Śledczy obserwowali Yordiana Diaz-Beniteza używającego urządzenia do manipulacji pulsatorem, co posłużyło do kradzieży oleju napędowego w Circle K (…)…