Information Security дайджест #13: Лллакинамбур
Дайджест создан в соавторстве с Егором Папышевым.
00h > Интро
Закончились новогодние праздники. Салаты и прошлогодний хлеб наконец-то съедены, ёлки вынесены, а на календаре — конец. Конец февраля.
01h > Горячее
Статья с аналитикой на тему шестнадцати взломанных сайтов, 620M украденных учетных записей и дарквеба. А вы часто меняете пароли к используемым сервисам? А может, используете дырявые парольные менеджеры? Есть чуть больше деталей.
Новый рансомварь — нагибатор NAS-ов и прочих облачных хранилищ уже весь февраль активно спредится среди англоязычных юзеров, а как скоро он доберется до нас — вопрос времени. Звать Cr1ptT0r-ом.
Открыт CFP на весеннюю конференцию по кибербезопасности Security BSIDES Kyiv 2019! Спикеры могут подавать свои заявки тут.
В последнее время не утихают скандалы на почве «прайваси vs корпорации», на этот раз отличилось сразу два гиганта: Facebook и Google. Парни из первой компании додумались запилить паленный VPN, клиент которого собирал всю информацию пользователя с девайса. Другие же «забыли» упомянуть, что в их охранной системе Nest таки есть микрофон. Под подозрения также попал и Amazon c Eero.
02h > Около секьюрити
Все, что вы хотели знать о TOR и прайваси в материале ребят из ProtonVPN
Вдруг вы пользуетесь OSX и вам надоело, что коллеги постоянно меняют обои на вашем рабочем столе? Возможно, этот исчерпывающий материал о харденинге OSX сможет вам помочь!
Интересным исследованием порадовал украинский рисорчер, охотник за уязвимостями Gorodnya: на Хабре опубликована статья о получении сенситив-информации по карте крупного банка и обход 2FA.
ICANN кстати форсит миграцию на DNSSEC, иначе говорит тырнету гайки.
Facebook, если не трекает, то иногда потрекивает юзеров. Например, на Android.
03h > Интересное
Если вы давно хотели заняться реверс-инжинирингом, но не знали с чего начать, рекомендуем обратить внимание на squallygame — забавный 2D платформер поможет разобраться в основах x86 и таки узнать, чем отличается stack от heap :)
В одном из прошлых выпусков мы писали об «unpatchable» эксплоите для Nintendo Switch, позволяющем выполнить произвольный код. Теперь же другие ребята активно развивают проект с кастомной фирмварью под эту консоль: интересно, стоит ли ожидать в ближайшее время на рынках хакнутый и перепрошитый Switch, с кучей игр на борту?
Крутой врайтап к багу, который Facebook оценил в $25K.
Ну вот совершенно замечательная утилита для взлома WiFi, с реализацией client-less PMKID атак. Попробуйте и забудьте про airmon, airodump и вот это всё. Да оно даже на macOS работает, из коробки, нативно, и с дефолтным железом — виртуалка Кали на маке больше не нужна.
Ханипоты для всех, и пусть никто не уйдет без вкусного, майского мёда. Интересные, на наш взгляд, реализации: раз и два, не оставят равнодушными даже заядлых сладкоежек.
А тут неплохая статья, как искать открытые базюльки Шоданом и светляком.
Все писали и мы напишем. YARA 3.9.0 вышла в релиз, с кучей багфиксов и улучшенным перформенсом.
Попробуйте свои силы? Открыт прием заявок на студенческие тревел гранты: речь идет о поездке на топовую (одну из) конференций по кибербезопасности IEEE S&P, это превосходный шанс, за который можно и рубиться.
04h > Уязвимости && Эксплоиты
Интересная тулза для генерации кастомного XSS-пейлоада.
Доступен эксплоит для уязвимости CVE-2019-5736 в runc, позволяющей получить права root на хосте. Больше деталей найдете по ссылке. Безопасная версия тут. И это, если внезапно начал крешиться Docker, рекомендуем посмотреть сей материал.
Ах да — грязный носок. Эксплоит Privilege Escalation в Ubuntu (via snapd), цвеха
Ну что, хеккеры, не ожидали? RCE в Microsoft Edge.
Серьезная RCE в WordPress, с оговорочкой — для эксплуатации нужны права автора. Вот тут прямо по полочкам, но... на китайском.
Замечательный врайтап на баг в LibreOffice, который неизбежно ведет к RCE.
Самое время обновить WinRAR, особенно если вы не любите делиться вычислительной мощностью своих компьютеров с малознакомыми людьми, PoC.
05h > Фан
Когда ты юзер TOR и заметил камеру наблюдения.
Military grade
Старый, но заигравший новыми красками в свете последних событий мем.
06h > Аутро
В преддверии весны и в качестве аутро, хотим поделиться с вами интересным ресерчем. Если кратко, то хватит тратить время на социальные сети! Всем добра :)
P. S. На тот случай, если вы хотите быть в курсе последних интересностей в мире секьюрити, инсайдов, сплойтов и годноты, подписывайтесь на f33d канал киевского Defcon, DC8044 :)
← Предыдущий выпуск: Information Security дайджест #12.
