В Беларуси выложили данные тысячи офицеров полиции, участвующих в подавлении протестов. Доксинг тема неоднозначная, вроде бы и на хорошее дело, но доксинг же..

https://www.theguardian.com/world/2020/sep/20/hackers-leak-data-on-1000-belarusian-police-officers

Моя любимая рубрика «никогда такого не было, и вот опять» — в чипах Huawei обнаружены уязвимости и бэкдоры

https://www.theregister.com/2020/09/17/huawei_iptv_video_encoder_security/

2) Пункт 2 статьи 10 дополнить абзацами следующего содержания:
«Запрещается использование на территории Российской Федерации протоколов шифрования, позволяющих скрыть имя (идентификатор)
‎Интернет-страницы или сайта в сети «Интернет», за исключением случаев, установленных законодательством Российской Федерации.

действительно, а то чо они тут скрывать чтото решили. есть что скрывать? так-так-так, гражданин, пройдемте

ну и в пояснительной записке сразу указано, что нужно запретить:
“По экспертным оценкам возрастает число случаев использования маскирующих протоколов, позволяющих скрыть фактические сетевые адреса устройств от внешних систем и протоколов шифрования. Все большее распространение получают протоколы с применением криптографических алгоритмов и методов шифрования TLS 1.3, ESNI, DoH (DNS поверх HTTPS),
DoT (DNS поверх TLS)”

https://regulation.gov.ru/projects#npa=108513

если у вас в браузере нет какого-нибудь блокировщика трекеров на сайтах, то, как минимум, можно воспользоваться таким вот интересным и бесплатным проектом, который показывает, что и как мониторит ваше поведение на сайтах

https://themarkup.org/blacklight/?url=lenta.ru

6,5 терабайт пользовательских данных, включая запросы, координаты геолокации, идентификационные номера устройств и частичную информацию адресов в сети. Все это раскрывал поисковик Microsoft Bing, Elasticsearch сервер которого внезапно в сентябре перестал быть запароленным. Из забавного: аутентификация пропала 12 числа, о проблеме в Microsoft сообщили 13 сентября, компания убрала сервер 16 сентября. За это время базу успел переписать два раза бот Meow, который заполняет незащищенные базы данных словом meow. Lol.

https://www.wizcase.com/blog/bing-leak-research/

Отличная познавательная статья о том, что такое «отпечаток браузера» (browser fingerprinting), какую информацию используют для него, как это работает и как от него можно защититься

https://www.technadu.com/browser-fingerprinting/102454/

Говорят, в интернет утекли исходники Windows XP

https://twitter.com/RoninDey/status/1309275918943301636

Текст Checkpoint про уязвимость в Инстаграмме, которую компания обнаружила в этом году (ФБ её исправил). Отправляешь жертве специальную картинку и...

https://research.checkpoint.com/2020/instagram_rce-code-execution-vulnerability-in-instagram-app-for-android-and-ios/

Не все информационные угрозы внешние. Вот у Shopify два сотрудника украли информацию о клиентах примерно 200 торговцев (платформа Shopify предоставляет услуги по созданию онлайн магазинов мелким бизнесам). Имена, адреса, заказы, во многих случаях ещё и 4 последние цифры банковских карт. Shopify не называет количество именно затронутых пользователей, но потенциально речь может идти о миллионах юзеров

https://community.shopify.com/c/Shopify-Discussion/Incident-Update/td-p/888971

Кофе-машина, познакомься с ransomware (комбинация слов, которая ещё 3-4 года назад казалась безумной фантастикой)

https://decoded.avast.io/martinhron/the-fresh-smell-of-ransomed-coffee/

Кстати, о вымогателях. В США одна из крупнейших сете больниц - United Healthcare - стала жертвой ransomware, вредоносного ПО, шифрующего файлы и блокирующего работу компьютеров и ИТ-систем. Многие больницы перешли на работу без компьютеров в результате атаки.

https://www.zdnet.com/article/uhs-hospital-network-hit-by-ransomware-attack/

Полезно-образовательная статья об улучшениях безопасности в Android 11

https://www.wired.com/story/android-11-privacy-and-security-features/

======РЕКЛАМА========

Управление уязвимостями. Кто кого?

Задумывались ли вы, насколько эффективно выявляете и устраняете уязвимости? Positive Technologies решили выяснить, как ИБ-специалисты оценивают качество управления уязвимостями в своих компаниях. Приглашаем принять участие в опросе. Результаты будут опубликованы в виде аналитической статьи на сайте Positive Technologies. Опрос анонимный https://ru.research.net/r/JN9T5Q6

======РЕКЛАМА========

периодически встречающаяся в этом канале рубрика “преступление и наказание”. Российский хакер Евгений Никулин был осужден на 88 месяцев судом в Калифорнии за взлом LinkedIn в 2012 году, а также за взлом Formspring и Dropbox.

https://therecord.media/russian-hacker-nikulin-sentenced-to-over-7-years-in-prison-for-tech-industry-breaches/

Полезный совет с Реддита: при регистрации на сайтах в поле имени (или отчества, если есть), указывать название сайта. Тогда при получении спама можно вычислить, кто слил инфу. Фокус с + в адресе почты тоже можно применять, но он работает не везде
https://reddit.com/r/LifeProTips/comments/j2mm1b/lpt_when_you_sign_up_for_anything_online_put_the/

Прикольно, что слухи об утечке исходников Windows XP подтвердились — чувак смог скомпилировать исходники в продукт (Win XP, а из другого пакета утечки — даже Windows Server 2003). Там не хватает winlogon.exe и всяких драйверов, но принципиально все работает. Похоже, что также утекли исходники для Windows 2000, Embedded (CE 3, CE 4, CE 5, CE, 7), Windows NT (3.5 и 4) и MS-DOS (3.30 и 6.0). Интересно узнать, откуда это все

АПД. NT/CE — старые утечки, а вот XP - новая.

https://www.zdnet.com/article/windows-xp-leak-confirmed-after-user-compiles-the-leaked-code-into-a-working-os/

В тему канала

https://twitter.com/martinshovel/status/1312328072839000066?s=21

История о том, как в приложении Grinder, которое популярно в LGBTQ-сообществе для поиска партнеров, была обнаружена уязвимость, позволявшая получить контроль над чужим аккаунтом, зная адрес электронной почты пользователя. А все было просто — страница сброса пароля содержала в себе токен для этого самого сброса. То есть тот, кто знал имейл пользователя, мог затриггерить сброс пароля, выцепить токен из страницы, и войти в аккаунт. Упс.
https://techcrunch.com/2020/10/02/grindr-account-hijack-flaw/
https://www.troyhunt.com/hacking-grindr-accounts-with-copy-and-paste/

===== РЕКЛАМА ======
7 октября в 16.00 пройдет ток-шоу ANTI-APT ONLINE 2.0, посвященное всегда актуальной теме защиты от целенаправленных атак и атак нулевого дня. На онлайн-мероприятии соберутся представители 4 вендоров, чтобы ответить на «острые» вопросы модератора:

⁉️Электронная почта: сито или решето?
⁉️Анализ веба онлайн. Профанация или это действительно работает?
⁉️ANTI-APT и файловые хранилища, а это действительно нужно?
⁉️У меня уже есть антивирус, зачем мне еще и EDR?

На эти вопросы и не только вы узнаете ответы на нашем ток-шоу ANTI-APT ONLINE 2.0. У каждого участника онлайн-мероприятия будет возможность высказаться, поспорить и рассказать, где он обходит конкурентов. 

Регистрируйтесь на мероприятие и готовьте порцию своих «острых» вопросов для участников: https://events.webinar.ru/jet/antiapt2

===== РЕКЛАМА ======