[custom] Sekurak

Banalna podatność w systemie zarządzania telefonam...

2 lat temu Zazwyczaj telefony IP nie działają w całkowitej próżni – tzn. mogą z centralnego miejsca pobierać konfigurację, wysyłać tam swoje kopie zapasowe, … Badacze ekipy AssetNote znaleźli prostą możliwość wykonania dowolnego kodu na takim "centralnym miejsc...

Jak scamerzy omijają filtry antyspamowe / próbują ...

2 lat temu Jeden z czytelników podesłał nam taką próbkę: No właśnie, jeżeli kogoś "wspomnimy" w dokumencie Google Docs, otrzyma on stosowne powiadomienie mailowe (przychodzi ono z domeny @docs.google.com) Sam link – ponownie dla niepoznaki prowadzi do domeny sc...

Pokazał jak ominąć dwuczynnikowe uwierzytelnienie ...

2 lat temu Podatność została zlokalizowana w Accounts Center, gdzie można było dodać do swojego konta numer telefonu. Na telefon wysyłany był 6-cyfrowy kod potwierdzający, iż dana osoba jest właścicielem numeru. Ale – i tu dochodzimy do istoty problemu – Facebo...

Podatność w testowym serwerze PHP – można prostym ...

2 lat temu Większy research tematu znajdziecie w tym poście: PHP Development Server <= 7.4.21 – Remote Source Disclosure W formie graficznej, stosowne żądanie które wyświetli źródło pliku PHP wygląda tak: Co tu się wydarzyło? Od strony technicznej mamy tu do...

Deep fake audio jest już w zasięgu ręki każdego. U...

2 lat temu Serwis Elevenlabs ogłasza się następująco: Jak widać potrzebna jest aż (tylko?) minuta głosu – aby go sklonować (tj. wypowiadać nim dowolną frazę, którą wpisujemy z klawiatury): Oczywiście wymagane jest odznaczenie potwierdzenia, iż mamy prawo do uży...

Podsumowanie cyber-wydarzeń stycznia

2 lat temu Poniżej subiektywny wybór newsów / ciekawostek / ostrzeżeń, które publikowaliśmy w styczniu 2023r. na sekuraku. jeżeli podoba się Wam zestawienie – podeślijcie linka znajomym oraz koniecznie dajcie znać w komentarzu. jeżeli Wasz odzew będzie pozytywn...

Przeoczyłeś malutką kropkę w adresie? Możesz wyląd...

2 lat temu Być może pamiętacie scamy które opisywaliśmy w kontekście prób ataków na klientów mBanku: Uważne oko dostrzeże w adresie kropkę lub przecinek (więcej o temacie: punycode). Tymczasem zobaczcie na ten (cały czas aktywny) scam, próbujący nabrać użytkown...

Ciekawy przykład malware infekującego pendrivey. W...

2 lat temu Palo Alto opublikowało właśnie analizę wariantów pewnego malware. Otwierasz pendrive i widzisz coś takiego jak na zrzucie ekranowym poniżej. Kliknąłbyś w ten "folder" czy "dysk"? Błąd – bo zainfekowałbyś swój komputer. Co więcej, malware automatyczni...

Darmowy pentest / audyt bezpieczeństwa od Sekuraka...

2 lat temu Do tej pory nasze publicznie raporty z testów bezpieczeństwa możecie pobrać tutaj, tutaj, tutaj czy tutaj (wszystkie te firmy wyraziły formalną zgodę na publikację raportów). Wszystkich komercyjnych projektów realizujemy całkiem sporo, w 2022 roku by...

Znalazł publicznie dostępną bazę z danymi prawie w...

2 lat temu Celem była baza danych należąca do austriackiej organizacji GIS (zajmującej się zbieraniem opłat abonamentowych za posiadanie telewizora / radia / etc). Baza została stworzona do tego, aby namierzać osoby uchylające się od płacenia abonamentu. No wię...

Uderzyli w Hive – jedną z bardziej aktywnych grup ...

2 lat temu Całość to pokłosie wspólnej operacji Europolu oraz FBI. Grupa Hive działała w dość standardowym modelu: ekipa atakująca / wymuszająca okup (inkasowała ona 80% okupu) oraz deweloperzy głównego "produktu" (20%). Historycznie, czasem udawało się odszyfr...

Zhackowali appkę, która kradła dane kart płatniczy...

2 lat temu Scammerzy przygotowali dość prostą appkę androidową, która pod pozorem super nagrody w postaci punktów lojalnościowych do pewnego programu, zbierała dane kart płatniczych. Hackerzy najpierw zdekompilowali appkę, gdzie widać w którym miejscu znajduje ...

Szalona akcja z kilkoma paletami jajek. Jajka nies...

2 lat temu Cyberzbóje – trzeba przyznać – mają czasem fantazję. Jak czytamy na stronach policji: Do suwalskich policjantów zgłosiła się 35-latka, która została oszukana w sieci. Kobieta znalazła atrakcyjne ogłoszenie na jednym z portali aukcyjnych. Mieszkaniec ...

Zwrot podatku? Fantastycznie! Tylko, iż w tym przy...

2 lat temu Jeden z czytelników poinformował nas o takim e-mailu, który otrzymał. Jak zwykle przestępcom coś się nie dotłumaczyło – patrz prawy dolny róg. Niektórzy rozpoznają scam po dość podejrzanym zwrocie 'Szanowny Obywatelu’. Ale powinniśmy przede wszystkim...

Jak przygotować plik MS word lub PDF z trackerem? ...

2 lat temu W zasadzie żadna to sztuka ;-) Takie dokumenty pozawala nam wygenerować serwis Canarytokens: Idea jest prosta – generujemy odpowiednią "podpuchę" – np. plik wordowy / excelowy / PDFa czy choćby QR kod. Dla podkręcenia atmosfery można taki plik nazwać...

Intrygująca podatność w googlowym telefonie, umożl...

2 lat temu Zobaczcie na tę historię o dość intrygującym tytule: The "not-Google" bug in the "all-Google" phone. Badacz opisuje historię podatności w sterownikach do GPU na Pixelu 6, która umożliwia zdobycie z poziomu appki androidowej uprawnień na poziomie jądr...

Czym jest podatność Server-Side Request Forgery? (...

2 lat temu Server-Side Request Forgery – czyli zmuszenie serwera do zainicjowania pewnej komunikacji sieciowej. Przykład? Umieszczam na Facebooku link do zewnętrznego zasobu – Facebook łączy się do zadanego URL-a, pobiera jego zawartość, a następnie przedstawia...

Jak nie ostrzegać o oszustwach? Zobaczcie tego SMS...

2 lat temu Lekko zaniepokojony czytelnik sekuraka przesłał nam taką wiadomość: Co to za tajemniczy nadawca Alert? Link skracacz, jak to skracacz – prowadzący na pierwszy rzut oka… nie wiadomo dokąd. HTTP (zamiast HTTPS). A w końcu treść wiadomości, która nie wy...