Information Security дайджест #13: Лллакинамбур

Дайджест создан в соавторстве с Егором Папышевым.

00h > Интро

Закончились новогодние праздники. Салаты и прошлогодний хлеб наконец-то съедены, ёлки вынесены, а на календаре — конец. Конец февраля.

01h > Горячее

Статьяс аналитикой на тему шестнадцати взломанных сайтов, 620M украденных учетных записей и дарквеба. А вы часто меняете пароли к используемым сервисам? А может, используете дырявые парольные менеджеры? Есть чуть большедеталей.

Новый рансомварь — нагибатор NAS-ов и прочих облачных хранилищ уже весь февраль активно спредится среди англоязычных юзеров, а как скоро он доберется до нас — вопрос времени. Звать Cr1ptT0r-ом.

Открыт CFPна весеннюю конференцию по кибербезопасности Security BSIDES Kyiv 2019! Спикеры могут подавать свои заявки тут.

В последнее время не утихают скандалы на почве «прайваси vs корпорации», на этот раз отличилось сразу два гиганта: Facebook и Google. Парни из первой компании додумались запилить паленный VPN, клиент которого собирал всю информацию пользователя с девайса. Другие же «забыли» упомянуть, что в их охранной системе Nest таки естьмикрофон. Под подозрения также попали Amazon c Eero.

02h > Около секьюрити

Все, что вы хотели знать о TOR и прайваси в материалеребят из ProtonVPN

Вдруг вы пользуетесь OSX и вам надоело, что коллеги постоянно меняют обои на вашем рабочем столе? Возможно, этотисчерпывающий материал о харденинге OSX сможет вам помочь!

Интересным исследованием порадовал украинский рисорчер, охотник за уязвимостями Gorodnya: на Хабре опубликована статьяо получении сенситив-информации по карте крупного банка и обход 2FA.

ICANN кстати форситмиграцию на DNSSEC, иначе говорит тырнету гайки.

Facebook, если не трекает, то иногда потрекивает юзеров. Например, на Android.

03h > Интересное

Если вы давно хотели заняться реверс-инжинирингом, но не знали с чего начать, рекомендуем обратить внимание на squallygame — забавный 2D платформер поможет разобраться в основах x86 и таки узнать, чем отличается stack от heap :)

В одном из прошлых выпусков мы писали об «unpatchable» эксплоитедля Nintendo Switch, позволяющем выполнить произвольный код. Теперь же другие ребята активно развивают проект с кастомной фирмварью под эту консоль: интересно, стоит ли ожидать в ближайшее время на рынках хакнутый и перепрошитый Switch, с кучей игр на борту?

Крутой врайтап к багу, который Facebook оценил в $25K.

Ну вот совершенно замечательная утилитадля взлома WiFi, с реализацией client-less PMKID атак. Попробуйте и забудьте про airmon, airodump и вот это всё. Да оно даже на macOS работает, из коробки, нативно, и с дефолтным железом — виртуалка Кали на маке больше не нужна.

Ханипоты для всех, и пусть никто не уйдет без вкусного, майского мёда. Интересные, на наш взгляд, реализации: рази два, не оставят равнодушными даже заядлых сладкоежек.

А тут неплохая статья, как искать открытые базюльки Шоданом и светляком.

Все писали и мы напишем. YARA 3.9.0 вышла в релиз, с кучей багфиксов и улучшенным перформенсом.

Попробуйте свои силы? Открыт прием заявокна студенческие тревел гранты: речь идет о поездке на топовую (одну из) конференций по кибербезопасности IEEE S&P, это превосходный шанс, за который можно и рубиться.

04h > Уязвимости && Эксплоиты

Интересная тулзадля генерации кастомного XSS-пейлоада.

Доступен эксплоитдля уязвимости CVE-2019-5736 в runc, позволяющей получить права root на хосте. Больше деталей найдете по ссылке. Безопасная версия тут. И это, если внезапно начал крешиться Docker, рекомендуем посмотреть сейматериал.

Ах да — грязный носок. Эксплоит Privilege Escalation в Ubuntu (via snapd), цвеха 2019-7304.

Ну что, хеккеры, не ожидали? RCEв Microsoft Edge.

Серьезная RCEв WordPress, с оговорочкой — для эксплуатации нужны права автора. Вот тут прямо по полочкам, но... на китайском.

Замечательный врайтап на багв LibreOffice, который неизбежно ведет к RCE.

Самое время обновить WinRAR, особенно если вы не любите делиться вычислительной мощностью своих компьютеров с малознакомыми людьми, PoC.

05h > Фан

Когда ты юзер TOR и заметилкамеру наблюдения.

Military grade 2048-bit RC4 key?

Старый, но заигравший новыми красками в свете последних событий мем.

06h > Аутро

В преддверии весны и в качестве аутро, хотим поделиться с вами интересным ресерчем. Если кратко, то хватит тратить время на социальные сети! Всем добра :)

P. S. На тот случай, если вы хотите быть в курсе последних интересностей в мире секьюрити, инсайдов, сплойтов и годноты, подписывайтесь на f33d канал киевского Defcon, DC8044 :)

← Предыдущий выпуск: Information Security дайджест #12.