Привет. Поскольку пятница, и вот это всё, то я сегодня быстро! Вчера я много писал про кошки-мышки Apple и Grayshift, компании, которая научилась взламывать айфоны с простыми паролями с помощью своей магической коробочки. Apple вроде как защитилась в бета-версиях iOS, но вчера на Motherboard вышел материал, что Grayshift утверждает, что они уже новый механизм обошли и все у них будет хорошо

https://motherboard.vice.com/en_us/article/pavwzv/cops-are-confident-iphone-hackers-have-found-a-workaround-to-apples-new-security-feature

После общения с экспертами есть подозрение, что это хорошая мина при плохой игре, и на самом деле это скорее маркетинговый блеф, чтобы продать побольше коробочек уже прямо сейчас, пока беты не вышли в релиз. Короче, время покажет

Интересная заметка от Элкомсофт о том, как защищены облачные сообщения iMessage у Apple. Инструмент Элкомсофт - Phone Breaker - умеет такие сообщения «доставать», но для этого нужно иметь логин и пароль к учётке Apple ID, доступ к устройству для двухфакторной авторизации, и доступ к паролю хотя бы одного из устройств, участвовавших в переписке. Короче, и для злоумышленников, и даже для представителей правоохранительных органов добыть все эти составляющие успешного доступа к сообщениям в облаке будет очень и очень непросто. В целом, все, что вам нужно знать - сообщения в облаке шифруются, и даже Apple не имеет к ним доступа (потому что они шифруются с применением пароля к устройству).

https://blog.elcomsoft.com/2018/06/how-to-obtain-imessages-from-icloud/

Многие из вас пришли в этот канал на волне истории про Spectre и Meltdown - уязвимости в процессорах Intel. про них как-то уже почти забыли, но теперь о них напоминает новая уязвимость - Lazy FP. С её помощью вредоносная программа может получать доступ к данным, используемым другими процессами. Уязвимость затрагивает все операционные системы, поскольку она в процессоре.

https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00145.html

Вот об этом на русском, ссылку прислал читатель
https://xakep.ru/2018/06/14/lazy-fp-state-restore/

Ну и в качестве вишенки на торте - твит чувака, который получил на обзор замок со сканером отпечатка пальца. Оказалось, что если раскрутить три видимых и доступных снаружи винта, то замок распадается на части и его можно открыть. Он написал об этом производителю замка, на что тот ответил «но зато замок полностью неуязвим для человека без отвертки!». Вот это, я понимаю, Безопасность!

https://twitter.com/LockPickingLwyr/status/1007613178249965569

Сумасшедшая история какая-то, которая на первый взгляд как бы не имеет отношения к информационной безопасности, но на самом деле имеет. Парень, очень хорошо играющий на кларнете, подавался на обучение к мегапреподавателю, но получил отказ. Несколько лет спустя оказалось, что отказ был сфабрикован его подружкой на тот момент. Поскольку они жили вместе и парень доверял своей подружке, то она имела доступ к его компьютеру и знала все его пароли. Когда она увидела в электронной почте письмо о том, что он принят на двухлетнее обучение с полным пансионом, она поняла, что он от неё уедет. Поэтому она удалила письмо о принятии на учебу, написала за него ответ, что он отказывается от этой учебы, а также сфабриковала письмо ему о том, что на самом деле ему отказали в принятии на эту учебу. Несколько лет спустя это всё-таки выяснилось и кларнетист подал на неё в суд, и выиграл иск в 350 тыс долларов. Так что вы там осторожней с общим доступом к компьютерам друзьям и подругам, а то сюрпризы разные бывают.

http://montrealgazette.com/news/local-news/mcgill-music-student-awarded-350000-after-girlfriend-stalls-career

Переписка из дела Пола Манафорта (даже если вы не знаете, кто это, то это не так важно). Обратите внимание на колонку method. Это, скорей всего, из бекапов, но все равно интересно

Полезная ссылка для максимальной защиты своей учетки Gmail
https://landing.google.com/advancedprotection/

Читатель пишет, что получил уведомление от FlightRadar24 о взломе и утечке пользовательских данных

В последние несколько дней вижу прям волну новостей и обсуждений среди определенного узкого круга товарищей о джейлбрейке для iOS 11.3-11.3.1. Да, это старая система, уже есть 11.4, и именно поэтому хочется напомнить, что апдейты Эпол выпускает не просто так, поэтому не забывайте их устанавливать. Потому что для кого-то джейлбрейк - это возможность поиграться с внутренностями системы, а для кого-то - возможность взломать чей-то телефон и украсть с него данные. iOS, конечно, в целом относительно безопасная система, но только в случае, если вы устанавливаете выходящие апдейты.

Кстати, еще про Apple. Тут читатель прислал ссылку на статью о том, что iPhone в iOS 12 (которая выйдет осенью) при звонке 911 будет автоматически передавать местоположение пользователя «куда надо» - в смысле в колл-центр 911, для того, чтобы облегчить поиск звонящего службам спасения (раньше-то определяли местоположение по номеру наземной линии, а сейчас 80% звонков в 911 происходит с мобильных устройств). Читатель предположил, что эта информация вписывается в тематику канала про «опасносте», мол, тут вам и информация о местоположении, и передаётся непонятно кому в коллцентр. Apple утверждает, что подобная информация будет передаваться только при звонках по номеру 911, и будет интегрирована с программным обеспечением, уже используемым в коллцентрах, и вообще они о сохранении частной информации при реализации такой функциональности думали в первую очередь.
В принципе, о сохранности информации надо беспокоиться всегда, и беспокойство пользователей тоже можно понять. Но судя по описанию проекта, там вполне должно получиться реализовать все безопасно без ущерба для пользователей
https://www.apple.com/newsroom/2018/06/apple-ios-12-securely-and-automatically-shares-emergency-location-with-911/

Наверно, сегодня уже будет «день Эпол». Подключаешь зашифрованный диск к Маку, вводишь пароль. Что-то там своё делаешь, потом отключаешь диск.... а осадочек-то остался. Если точнее, то не «осадочек», и скриншоты предварительного просмотра файлов с этого диска, который система QuickLook проиндексировала и наштамповала превьюшек файлов, из которых можно добыть информацию. Конечно, это требует физического доступа к Маку, но все равно как-то не очень приятно

https://objective-see.com/blog/blog_0x30.html

Сразу несколько читателей прислали мне ссылку с продолжением на рассказ о супербезопасном «умном» замке Tapplock, о котором я писал на прошлой неделе

https://t.me/alexmakus/2145

Так вот, там с этим замком оказалось все гораздо хуже. Выяснилось, что если зарегистрировать учетную запись в сервисе этой компании и залогиниться в неё, то можно вычислить и ID других аккаунтов (потому что они выдаются подряд), и можно стать авторизованным пользователем замков других пользователей, а также получить доступ к их персональной информации (включая адрес, по которому замок используется). ОЧЕНЬ УДОБНО

Компания, конечно, в спешке правит самые явные лажи, но помните об этом в следующий раз, когда решите, что настало время умных домов.

https://nakedsecurity.sophos.com/2018/06/18/the-worlds-worst-smart-padlock-its-even-worse-than-we-thought/

Хехехе. домашние гаджеты, познакомьтесь с DNS Rebinding
https://medium.com/@brannondorsey/attacking-private-networks-from-the-internet-with-dns-rebinding-ea7098a2d325

К предыдущей новости proof of concept и исходный код
https://github.com/brannondorsey/dns-rebind-toolkit

Готовый темплейт: «Криптовалютную биржу Х взломали, похитили Y денег»
http://bithumb.cafe/archives/33189

https://twitter.com/bithumbofficial/status/1009236771287150592?s=21

Немножко накопившихся за последнее время ссылок:

- коллекция всяких экспериментов по взлому айфонов
https://ramtin-amin.fr/#nvmedma

- ещё небольшая коллекция описанных уязвимостей iOS и Android
https://github.com/externalist/exploit_playground

- интересная статья про группировку Olympic Destroyer (считается, что это хакеры из Серверной Кореи)
https://securelist.com/olympic-destroyer-is-still-alive/86169/

- Google пообещала исправить утечку данных о местоположении из Google Home и Chromecast
https://krebsonsecurity.com/2018/06/google-to-fix-location-data-leak-in-google-home-chromecast/

В июне исполнилось 18 лет с появления, как говорят, первого мобильного вируса - Cabir. Распространялся по Bluetooth, заражал телефоны с Symbian (если кто помнит ещё такую ОС). Безвредный :)

Самые популярные четырехзначные пин-коды (по частоте использования в утечках, опубликованных на HIBP):
1234
1111
1342
0000
1212
1986
4444
7777
6969
1989
2222
5555
2004
1984
1987
1985
1313
5678
8888
9999

еще в тему — научное исследование по поводу вероятности использования пин-кода в виде даты рождения человека
http://www.jbonneau.com/doc/BPA12-FC-banking_pin_security.pdf

Забыл дополнить, что использование 4-значных пинов для телефонов и карточек (если банк поддерживает) сильно не рекомендуется

как чувак путем поиска и перебора данных подключался в случайные конференции Skype for Business
https://twitter.com/redeemedHacker/status/1009592415659941889

Ведя этот канал, постоянно ощущаю чувство дежавю. Вот опять, детский монитор Fredi легким движением руки превращается в камеру слежения…

https://www.sec-consult.com/en/blog/2018/06/true-story-the-case-of-a-hacked-baby-monitor-gwelltimes-p2p-cloud/