ну и чтобы два раза не вставать — вот еще информация о цепочке эксплойтов для iOS под названием LightSpy. Ссылки на сайт, “предназначеный” для пользователей из ГонгКонга, нападающие размещали на различных форумах. При открытии страницы сайт открывал невидимый iframe, который исполнял вредоносный код. Используя уязвимости, присутствующие в iOS 12.1 и 12.2, на телефон загружался вирус для iOS, который мог исполнять команды и манипулировать файлами на устройствах. Модули могли получать данные о подключениях к базам WiFi, адресной книге, геолокации, связке ключей (коллекция логинов и паролей), истории звонков, истории браузеров, переписке SMS, а также к данным приложений Telegram, QQ, WeChat. Похожая кампания под названием dmsSpy проводилась в 2019 году против пользователей с устройствами Android. В общем, не зря Apple призывает всех ставить апдейты и перестает подписывать старые версии iOS, чтобы их нельзя было устанавливать.

Спасибо читателю, который прислал эту информацию.

рассказ
https://securelist.com/ios-exploit-chain-deploys-lightspy-malware/96407/
отчеты
https://blog.trendmicro.com/trendlabs-security-intelligence/operation-poisoned-news-hong-kong-users-targeted-with-mobile-malware-via-local-news-links/
https://blog.trendmicro.com/trendlabs-security-intelligence/operation-poisoned-news-hong-kong-users-targeted-with-mobile-malware-via-local-news-links/

Zoom исправился, убрав из приложения код, отправлявший данные в Фейсбук

https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook

Берегитесь левых QR-кодов
https://www.zdnet.com/article/network-of-fake-qr-code-generators-will-steal-your-bitcoin/

Но есть и хорошие новости. международная группа экспертов по информационной безопасности объединилась с целью противостояния различным атакам, связанным с новым коронавирусом. так победим!
https://www.reuters.com/article/us-coronavirus-cyber/cybersecurity-experts-come-together-to-fight-coronavirus-related-hacking-idUSKBN21D049

42 млн аккаунтов (ID и номер телефона) пользователей Телеграм из Ирана утекли в интернет. Это произошло благодаря стороннему клиенту к сервису, который оставил базу данных в онлайне без защиты пароля. Также утекли хеши и секретные ключи, но они в целом бесполезны.
https://www.comparitech.com/blog/information-security/iranian-telegram-accounts-leaked/

так, в интернете в последнее время любят Zoom (аудитория сервиса увеличилась многократно в последнее время, и на него стали поглядывать внимательно). То они оставили в Маках дыру такого размера, что Apple пришлось срочно удаленно убирать её из компьютеров (Zoom даже после удаления оставлял открытым свой веб-сервер на Маке, и можно было подключаться к камерам юзеров), то в FB случайно отправляли данные. Вот добрались до их транспорта и оказалось, что коммуникации у сервиса не такие e2e зашифрованные, как утверждает маркетинг компании
https://theintercept.com/2020/03/31/zoom-meeting-encryption/

Уже выпилили, но все равно забавно. Раньше про китайских школьников и приложение для уроков такое писали, а тут вот оно как

Смотрите, мэрия выкатила приложение для отслеживания перемещения людей.
Поставьте ему единичку и его выпилят из Google Play https://play.google.com/store/apps/details?id=com.askgps.personaltrackerround

Промежуточные итоги изучения приложения для слежки за жителями Москвы:

— Приложение получает доступ ко всей информации на телефоне: GPS, камера, местоположение, возможность звонить, просмотр любых данных, доступ к любым настройкам.

— Приложение передаёт собранную информацию на серверы мэрии в открытом виде без какого-либо шифрования. Это провал.

— Для распознавания лиц, приложение использует эстонский сервис identix.one — то есть, передаёт фотографии в эстонскую юрисдикцию и на серверы, расположенные в Германии. Обе страны входят в НАТО.

— Разработкой приложения занимается компания «Гаскар», подрядчик «Инфогорода».

— В QR-кодах зашифрованы MAC и IMEI (индивидуальные идентификаторы) устройства.

— На приложение было потрачено 180 млн рублей. Судя по его качеству, украдено было 99% бюджета.

Это полнейший провал и позорище. ДИТ Москвы должен быть разогнан палками за такое.

Короче, все как обычно.

Ладно, к не менее насущным вещам. Ни дня без новостей про конференции Zoom. Там любители хулиганить придумали как делать zoombombing. Перебирая 10-значные коды конференций, хулиганы вламываются в чужие звонки и делают то, что хулиганы обычно делают - хулиганят. Постят картинки, ругаются, и тд. Такой современный ChatRoulette. Пара советов о настройках, как этого избежать:
- задать пароль для звонка (он по умолчанию не задается)
- трансляция экрана только для ведущего звонок
- отключение передачи файлов
- отключение опции «подключения до ведущего»
- отключение опции «разрешить отключённым подключаться снова».

надеюсь, что вам новости про Zoom надоели так же сильно, как и мне. НО БЛИН. Две свежих zero day уязвимости в клиентах сервиса под Мак, включая инъекцию кода в доступ к микрофону и камере Мака.

https://objective-see.com/blog/blog_0x56.html

Так, если такими темпами пойдет, то нужно будет делать ежедневный Zoom дайджест!
https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/

Pull, пока не убрали

https://twitter.com/evacide/status/1245470967788269568

ОК, надеюсь, последняя новость про Zoom на какое-то время, но эту правда надо запостить. компания объявила, что останавливает разработку новых фич на 90 дней и фокусируется на вопросах безопасности и конфиденциальности пользовательских данных
https://blog.zoom.us/wordpress/2020/04/01/a-message-to-our-users/

ЗЫ как вариант — коллекция теоретически более безопасных альтернатив (спасибо читателю за ссылку)
https://vivaldi.com/blog/private-apps-remote-work/

Несколько хороших постов про приложение для мониторинга жителей Москвы. из серии “я просто оставлю это здесь”. Кстати, интересный момент, что фигурирует только приложение для Android. Шансы на то, чтобы протолкнуть такое приложение в App Store, минимальны (хотя можно, конечно, применить метод “отключим газ одной фруктовой компании”, но в эти тяжелые времена она может и дверью хлопнуть). так что владельцам айфонов придется сидеть дома.
https://t.me/MarshalC/544
https://t.me/MarshalC/546
https://t.me/MarshalC/547
https://t.me/MarshalC/549

а помните, было такое хорошее время, когда не надо было писать про новые уязвимости в Zoom каждый день? (интересно, сколько из этих уязвимостей обнаружены конкурентами, которые страдают от того, что Zoom вырос с 10 млн активных пользователей в феврале до 200 млн в марте?)

инструменты о поиске открытых митингов в Зуме для зумбомбинга
https://krebsonsecurity.com/2020/04/war-dialing-tool-exposes-zooms-password-problems/

вопросы к шифрованию в Zoom со сгенеренными в Китае ключами
https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/