Уязвимость в Safari, релиз ядра Linux, выход из беты Dataset Search и другие новости ИТ за неделю

• Из-за низкого спроса Google закроет конструктор приложений без навыков программирования App Maker в январе 2021 года. Сервис будут отключать постепенно — создавать приложения нельзя будет уже с 15 апреля 2020 года.
• Разработчики проекта Heptapod объявили о введении в строй публичного хостинга для open-source-проектов, использующих Mercurial. Запущенный сервис допускает бесплатное размещение любых свободных и открытых проектов с лицензиями, одобренными в OSI.
• Google подвела итоги программы выплаты вознаграждений за выявление уязвимостей в своих продуктах, Android-приложениях и открытом ПО. Общая сумма выплат в 2019 году составила $6,5 млн.
• Разработчик антивируса Avast продолжает продавать данные об интернет-активности пользователей. Речь идет о поисковых запросах в Google, местоположении в Google Maps, действиях на LinkedIn, YouTube и на порносайтах, говорится в исследовании Motherboard и PCMag.
• Вышел из беты сервис Dataset Search от Google для удобного поиска наборов данных. Он позволяет находить нужную информацию среди примерно 25 млн репозиториев, свободно доступных в интернете.
• Google разрабатывает бизнес-приложение для конкуренции с Microsoft Teams и Slack. Компания планирует объединить в нём Gmail, приложение для видеоконференций и другие облачные сервисы.
• Линус Торвальдс представил первый стабильный релиз ядра Linux 5.5. Новая версия имеет поддержку нового оборудования, улучшения сетевой и дисковой подсистем, обновления функций безопасности, механизма применения патчей без перезагрузки системы.
• Лаборатория AV-TEST опубликовала свежий рейтинг антивирусных программ для Windows 10. Их тестировали по трём параметрам: защита от зловредного ПО, производительность и юзабельность. Максимальный балл по итогам трёх тестов — 18 из 18 — набрали программы BullGuard Internet Security, Kaspersky Internet Security и NortonLifeLock Norton Security.
• Google обнаружила уязвимость в Safari, которая допускала слежку за пользователями. Злоумышленники могли получить доступ к истории посещений и поисковых запросов. Также уязвимость могла позволить сайтам отслеживать пользовательские действия в сети.
• Консалтинговая компания Capgemini опубликовала основные тренды в розничном банкинге на 2020 год. По мнению экспертов, банки будут конкурировать c Google в борьбе за таланты, много работать с финтех-стартапами и разрабатывать собственные технологии.
#новости revolt

Привет, это снова Дима!

Пока я прохожу практическое задание в интернет-лаборатории Pentestit, о котором обещал вам рассказать, хочу немного поделиться впечатлениями о том, кому будет полезен этот курс по пентесту и информационной безопасности Pentestit.

Как я упоминал ранее, для прохождения базового курса не потребуется никаких особых навыков в безопасности или понимания принципов проникновения. В курсе расскажут про основные утилиты, которыми вы будете пользоваться для обучения, а принципы работы некоторых программ даже разберут на видеоуроках. В то же время, никто не запретит вам использовать уже знакомый софт или искать свои, нестандартные пути получения токенов.

Если вы уже не новичок в этом деле, скучать вам тоже не придется. Курс идет по нарастанию сложности и вполне возможно, что в какой-то момент поломать голову над заданиями придется и вам. Курс не зацикливается только на технической части проникновений. Так, например, вы сможете почерпнуть что-то новое из введения в социальную инжинерию или обезопасить себя знаниями о законодательстве в сфере информационной безопасности.

А я пошел дорешивать задания, времени осталось не так много!
#pentest

Руководство параноика для защиты MacOS от вредоносов и «злых уборщиц»

В этом руководстве речь пойдет о защите от атак, прозванных «evil maid» («злая уборщица»), когда злоумышленник получает доступ к компьютеру, оставленному без присмотра, например, в отеле.

Почему электронные письма легко подделать

Иногда для того чтобы понять, что перед вами фишинговое письмо, достаточно проверить поле «От кого». Но мошенники способны сфабриковать сообщение, которое невозможно отличить от подлинного. Преступник, владеющий такой техникой, может создать организации серьезные проблемы: большинство людей без раздумий перейдет по ссылке (которая оказывается вредоносной) и откроет вложенный файл в письме, которое, казалось бы, пришло от начальника или важного клиента. Их трудно упрекнуть в невнимательности, ведь нет никаких признаков того, что письмо фальшивое. Как мошенникам удается создавать «идеальные» подделки?

🔥 Подборка самых интересных каналов про IT, хакинг и безопасность

Инкогнито - Самый крупный канал о даркнете. Рассказываем про анонимность в сети, хакинг и противодействуем мошенничеству в интерннете.

@Haccking - Тот самый, первый телеграм канал по ИБ. Ребята стабильно пишут о хакинге, програмировании и безопасности в сети более 2-х лет. Понятно и интересно даже новичкам. Подписывайся!

@dataleak - Канал, публикующий информацию об утечках данных по всему миру. Это один из базовых каналов, на который должен быть подписан специалист в сфере IT-безопасности.

CyberYozh - Бесплатный курс по анонимности и безопасности в сети. Истории ошибок и арестов известных киберпреступников, тайные технологии защиты информации, ловушки для хакеров и многое другое.

@webware - Официальный канал Codeby.net. Хакинг от новичка до профи. Только свежая и эксклюзивная информация. Offensive, Defensive, Penetration test, CTF…

@SecLabNews - Канал  русскоязычного новостного портала SecurityLab.ru, оперативно публикующего информацию о последних новостях IT-безопасности в России и мире.

Эксплойт - Информационная безопасность и хакерство. Секреты анонимности в интернете, баги социальных сетей, тайные возможности смартфона, уроки по взлому и многое другое.

Топ 10 браузерных расширений для хакеров и исследователей на основе открытых источников

Хотя современные браузеры достаточно стабильны и с большим количеством возможностей, но они не могут удовлетворить все возможные потребности пользователей. С целью добавления особо специфических функций используются так называемые расширения. Например, хакерам и исследователям, пользующимся открытыми источниками, требуются дополнительные инструменты для анонимного серфинга, авторизации через SSH и сбора доказательств в интернете. Далее будет приведен список избранных расширений.

Недалекое будущее: россияне посещают российские сайты с помощью российских браузеров. Эти соединения защищены российским шифрованием, разработанным в ФСБ.

https://mdza.io/3Q18fMywafs

Telegram опубликовал на сайте своей блокчейн-платформы инструкцию по созданию сайтов в децентрализованной сети TON

Технически они будут похожи на обычные сайты, но доступ к ним будет осуществляться через сеть TON.
Telegram опубликовал на сайте бета-тестирования своей блокчейн-платформы Telegram Open Network инструкцию по созданию сайтов в децентрализованной сети TON — TON Sites. Сайт test.ton.org упоминается в одном из официальных сообщений мессенджера.
Согласно документу, сайты TON могут использоваться как точка входа для других сервисов платформы. Например, html-страницы, загруженные с TON Sites, могут содержать ссылки вида ton:// — перейдя по такой ссылке пользователь с установленным кошельком TON Wallet сможет выполнить платёж.
Технически сайты TON похожи на обычные веб-сайты, но доступ к ним осуществляется через сеть TON, а не через интернет, говорится в документах.
У каждого такого сайта есть абстрактный ADNL-адрес вместо более распространённых IPv4- или IPv6-адреса, они принимают запросы HTTP через разработанный Telegram протокол RLDP вместо обычного TCP или IP. Шифрование обрабатывается ADNL, поэтому разработчикам не нужно использовать HTTPS.

Для доступа к существующим и создания новых сайтов нужны специальные шлюзы между «обычным» интернетом и сетью TON. Доступ к сайтам TON осуществляется с помощью HTTP-> RLDP-прокси, работающего локально на клиентском компьютере, и они создаются с помощью обратного RLDP-> HTTP-прокси, работающего на удалённом веб-сервере.
#новость #telegram #ton vc ru

Как фишеры используют тему коронавируса

Интернет-мошенники создают письма, которые выглядят как рассылка Центров по контролю и профилактике заболеваний (Centers for Disease Control and Prevention, CDC). Это реально существующая организация в США, которая действительно распространяет информацию о коронавирусе и рекомендации о том, как избежать заражения. Но, конечно, данная рассылка не имеет никакого отношения к CDC.

⚡️⚡️⚡️ The Bell и «Медуза» пишут о том, что летом ФСБ рассылала официальные требования ОРИ (организаторам распространения информации) предоставления круглосуточного доступа к переписке, ключи шифрования и вот это вот всё. Есть треки почты:
https://meduza.io/feature/2020/02/11/fsb-potrebovala-klyuchi-dlya-deshifrovki-perepiski-u-avito-rutube-habrahabra-i-esche-desyatka-saytov-eto-proizoshlo-v-razgar-moskovskih-protestov
https://thebell.io/fsb-potrebovala-ot-internet-servisov-onlajn-dostup-k-dannym-i-perepiske-polzovatelej/
Отследили письма Mail.ru, Хабру, хостеру виртуалок vdsina…
«Интернету, который мы знали, пришел конец», — именно так оценил происходящие один из владельцев сервиса-организатора распространения информации (ОРИ), который прошлым летом получил от ФСБ письмо с требованием дать онлайн-доступ к серверам компании и сессионным ключам пользователей

‼️ Давайте расширю интигу: https://www.pochta.ru/tracking#11512736100078
Это Кех-коммерс. Листать вверх и вниз на примерно 50 итераций. Последний разряд контрольный. Реальный итеративный предпоследний

👉 А вот и само письмо, давно опубликованное в канале Зателеком:
https://t.me/zatelecom/12870

👆 Законно ли это? Да, к моему ужасу. Закон об ОРИ — самый безумный закон регулирования интернет-сервисов. Именно с ним связана блокировка телеграм и последствия. Его положения несовместимо противоречат фундаментальным основам информационной безопасности. Это делает его практически неисполнимым с точки зрения безопасности и приватности. Обратите внимание, я не употребил слова «анонимность», «вседозволенность» и прочее

⚠️ Процедуры закона дают силовикам ускоренный и расширенный доступ к данным пользователей. Однако, и ранее им редко отказывали. Неизвестно, использовали ли данные переписки для оперативной разработки реальных преступлений. Зато на поток поставлена ловля сболтнувших лишнего. Владение ключами и сессионными ключами делает доступ к информации бесконтрольным, с возможностью вмешиваться

Скрытый кейлоггинг

За последние годы было много попыток создания устройств для сбора нажатых клавиш. Самоделки изготавливаются в основном на базе устройств Raspberry Pi или плат Arduino. С другой стороны, крошечные девайсы KeyLogger PRO от компании Maltronics удивляют богатством возможностей, доступных для пользователей.
Далеко не каждый сможет сразу же обнаружить такое крошечное устройство, подключенное к компьютеру.

Кто, как и зачем нападает на сайты: самые значимые политические DDoS-атаки в истории интернета. Ч5

2008. Война в Грузии: DDoS как оружие
В ходе конфликта на территории Южной Осетии пророссийские хакеры вновь поддержали позицию официальной Москвы. Их грузинские коллеги не оставались в долгу — стороны пытались заглушать новости друг друга с помощью DDoS-атак. Пострадали и сайты властей — как грузинских, так и осетинских.
2011. Anonymous против всех: DDoS как новый мировой порядок и DDoS как удержание статус-кво
До начала Арабской весны акции анонимных хакеров, выходцев с легендарной имиджборды 4chan, были в меньшей степени политическими, а в большей — троллингом и хулиганством. Однако в 2011 году они стали представлять собой реальную политическую силу.
#DDoS

Как происходит рендеринг кадра в GTA V

Серия игр Grand Theft Auto прошла долгий путь с момента своего первого релиза в 1997 году. Примерно 2 года назад Rockstar выпустила GTA V. Просто невероятный успех: за 24 часа игру купило 11 миллионов пользователей, побито 7 мировых рекордов подряд. Опробовав новинку на PS3, я был весьма впечатлен как общей картинкой, так и, собственно, техническими характеристиками игры.

В этой статье я расскажу о проведенном анализе кадра в версии для ПК в среде DirectX 11, которая съедает пару гигов как оперативки, так и графического процессора. Несмотря на то, что мой обзор идет со ссылкой на ПК, я уверен, что большинство пунктов применимо к PS4 и в определенной степени к PS3.

Новые требования ФСБ к интернет-сервисам

Онлайн-сервисы начали погружаться в новую реальность «закона Яровой», в которой уже давно живут операторы связи и интернет-провайдеры. Летом 2019 года ФСБ разослала российским сервисам, включенным в реестр операторов распространения информации (ОРИ), письма с требованием дать сотрудникам спецслужб круглосуточный доступ к их информационным системам и ключи для дешифровки переписки пользователей, выяснил The Bell. Объясняем, чем это грозит тем и другим.
 #новости

Привет!
Дима на связи, сегодня я расскажу о том, как проходил одно из заданий курса по информационной безопасности Pentestit.

Суть задания в том, чтобы изучить работу веб-приложения (сайта) и найти файл с токеном, который находится где-то на сервере сайта.

Я заметил, что при переходе по ссылкам сайт использует необычный параметр – название файла, в котором лежит код отображаемой страницы. Чаще всего это означает то, что веб-сервер настроен неправильно и возможно можно прочитать содержимое и других файлов. Я проверил passwd файл и оказался прав. Когда я подставил его адрес в параметр, содержимое файла отобразилось у меня на экране!

Затем я попробовал получить доступ к логам веб сервера. Там хранится информация обо всех посещениях сайта: IP адрес, информация о браузере и т.п. Информацию о браузере очень легко подменить и подставив туда payload вместо реальных данных, мне удалось получить доступ к файлам сервера.

Как я уже говорил ранее, прохождение заданий – интересный и увлекательный квест, а в случае затруднений у вас будет возможность попросить совет у наставника, который наведет на правильный путь, а не слепо выдаст ответ.

В следующем посте я подведу итоги обучения и расскажу о том, стало ли оно полезным для меня. До скорого!
#pentest

Топ-4 самых опасных типа вложенных файлов

Спамеры ежедневно рассылают многие миллионы писем. Львиную долю составляет банальная реклама — назойливая, но в основном безвредная. Но иногда к письмам прикрепляют вредоносные файлы.
Чтобы заинтересовать получателя и заставить его открыть опасный файл, его обычно маскируют подо что-нибудь интересное, полезное или важное — рабочий документ, какое-нибудь невероятно выгодное предложение, поздравительную открытку с подарком от имени известной компании и так далее.
Рассказываем, в каких файлах злоумышленники чаще всего прячут вирусы — и как себя правильно вести, чтобы не заразиться.

Не рано ли тебе, сынок, в такие игры играть?

Все дети играют, в том числе — на компьютере и телефоне. Само по себе это нормально, но игры бывают разные. Не зря же на коробках с дисками и в онлайн-магазинах указывают возрастные ограничения для некоторых из них. Нужно ли бить тревогу, например, если ваш десятилетний ребенок увлекся Fortnite с рейтингом 12+? Давайте разберемся, кто и как определяет, с какого возраста можно играть в ту или иную игру, и насколько строги эти требования.

Можно ли прочитать зашифрованный PDF-файл?

Формат файлов PDF, согласно спецификациям, поддерживает шифрование. В нем используется алгоритм AES с режимом Cipher Block Chaining. Так что в теории человек или компания, защитившие файл, могут быть уверены, что содержимое документа станет известно кому-либо только в том случае, если он знает пароль.

Исследователь Фабиан Айзинг на Chaos Communications Congress показал, насколько надежно шифрование в  PDF-файлах.

Вымирание компьютерных файлов

Я люблю файлы. Мне нравится переименовывать их, перемещать, сортировать, изменять способ отображения в папке, создавать резервные копии, выгружать их в интернет, восстанавливать, копировать и даже дефрагментировать их. Как метафора способа хранения информационного блока, я думаю, они великолепны. Мне нравится файл как единое целое. Если мне нужно написать статью, она окажется в файле. Если мне нужно выдать в свет изображение, оно будет в файле. Новомодные технологические сервисы меняют наши интернет-привычки.

Сбербанк идет в киберспорт

Mail.Ru Group ищет покупателя на киберспортивный холдинг ESforce. Долю в нем может купить Сбербанк. Пять лет назад, когда Алишер Усманов вложил в ESforce $100 млн, казалось, что он угадал с новой перспективной нишей — как до этого с соцсетями.

Интересны такие новости?
#новости