Сегодня я а) узнал, что есть устройства для контроля мужского целомудрия, и б) что они подключены к интернету, и могут управляться с мобильного приложения. Оставим за кадром вопрос «ЗАЧЕМ», но в рамках нашего канала я просто поделюсь ссылкой на исследование по безопасности такого устройства. Оказалось, что дырявое API у разработчика устройства позволяет злоумышленникам (кстати, автокоррект исправил на «злоумышленницам» почему-то) удаленно заблокировать эти «замки целомудрия» пользователям. После чего их бы пришлось спиливать с понятно какой части организма. Как это бывает часто с интернет-гаджетами, уместной будет фраза из Парка Юрского периода:

«Ваши ученые были настолько заняты вопросом, смогут они это сделать или нет, что никто из них не задумался о том, а надо ли это вообще делать»

https://www.pentestpartners.com/security-blog/smart-male-chastity-lock-cock-up/

✋ Сбербанк активно собирает биометрию не только у взрослых, но и у детей. С 2015 года в российских школах запущен его проект «Ладошки» — и хотя законом сбор биометрических данных у несовершеннолетних не предусмотрен, ладошки собраны уже у сотен тысяч школьников по всей стране. The Bell нашел недовольных родителей и разобрался в юридической стороне вопроса.

Окей, эта история просто заслуживает войти в the best этого канала!

Короче, некто сжёг автомобиль у дома свидетеля, который проходит по делу певца R. Kelly. Федеральные органы запросили у Гугл информацию о всех пользователях, которые искали в Гугле адрес, по которому проживает этот свидетель, в рамках времени, когда произошёл поджог. Этот запрос с ордером привёл к запросу с определённого IP-адреса в соседнем штате за пару дней до поджога. IP адрес принадлежал телефону, который был записан на некоего гражданина. Который оказался родственником издателя певца R. Kelly. Затем представители правоохранительных органов проанализировали логи с базовых станций вокруг дома, где был подожжен автомобиль. Сюрприз-сюрприз, в логах БС оказался тот же телефон, принадлежащий уже установленному гражданину, и по логам он там фигурировал прямо во время поджога. Агенты арестовали его, и в телефоне обнаружилась информация о поездке в день поджога, с остановкой возле места, где произошёл поджог. Такой вот цифровой след. Детали расследования по ссылке в документе

https://www.documentcloud.org/documents/7222789-Another-R-Kelly-Search-Warrant.html

Интересный отчет группы экспертов по информационной безопасности, которые в период с июля по октябрь занимались взломами информационных систем Apple в рамках программы по получению вознаграждений при обнаружении проблем. Были найдены 55 уязвимостей различной степени опасности, большинство из которых уже исправлены Apple. Очень интересный материал, включая описание гигантской инфраструктуры Apple.

https://samcurry.net/hacking-apple/

Включая, например, доступ к репозиторию с исходными кодами iOS
https://samcurry.net/hacking-apple/#vuln5

Дополнение к предыдущему посту про поиск уязвимостей в системах Apple. Общая сумма выплат за обнаруженные проблемы составила 288 тысяч долларов.

Кроме этого, Apple официально прокомментировала результаты этого исследования:

“As soon as the researchers alerted us to the issues they detail in their report, we immediately fixed the vulnerabilities and took steps to prevent future issues of this kind. Based on our logs, the researchers were the first to discover the vulnerabilities so we feel confident no user data was misused. We value our collaboration with security researchers to help keep our users safe and have credited the team for their assistance and will reward them from the Apple Security Bounty program.”
(как только мы получили информацию, мы все исправили. поскольку они были первыми, кто это обнаружил, мы считаем, что пользовательские данные не пострадали. Мы за все хорошее и будем впредь вознаграждать за участие в нашей программе)

Продолжение к теме с уязвимостями в процессоре Т2 в Маках. Если вкратце, то, как пишет Wired, все не так плохо: надо помнить, что а) у самого джейлбрейка есть ограничения, б) к устройству нужен физический доступ, в) джейбрейк не сохраняется после рестарта

https://www.wired.com/story/apple-t2-chip-unfixable-flaw-jailbreak-mac/

Тут интересный тред из твиттера, который прислал читатель. В нем есть рассказ из мира виртуальных минетов, json, XSS уязвимость, а, впрочем, этого достаточно

https://twitter.com/sarahjamielewis/status/933150566347284481?s=21

случай успешной кооперации между компаниями — Microsoft, FS-ISAC, ESET, Black Lotus Labs, NTT и Symantec поучаствовали в закрытии ботнета TrickBot, распространявшего, кроме ботов, и ПО-вымогатели

https://blogs.microsoft.com/on-the-issues/2020/10/12/trickbot-ransomware-cyberthreat-us-elections/

Давненько у нас не было новостей о моем любимом типе устройств — детские смартчасы. Вот и тут все как я люблю — смартчасы на Андроиде, и бэкдор в часах, который может по команде отправлять на сервер информацию о геолоакции. А еще может снимать регулярно скриншоты и тоже отправлять их на сервер. И даже это еще все — можно удаленно заставить часы включить звонок, который будет отправлять на сервер звуки, которые происходят в радиусе чувствительности микрофона часов. Там еще и приложения на часах разработаны компанией Qihoo 360, которая находится в бан-листе правительства США, как несущая угрозу национальной безопасности. Хорошие часы доступны в США и Европе под брендом Xplora, если что

https://www.mnemonic.no/blog/exposing-backdoor-consumer-products

Если ввести в стране повсеместное видеонаблюдение с распознаванием лиц, то вполне закономерно, что вскоре можно будет данные об этом самом распознавании купить где угодно кому угодно. Речь о Китае, а вы о чем подумали?
https://www.scmp.com/abacus/tech/article/3104512/facial-recognition-data-leaks-rampant-across-china-covid-19-pushes

Тем временем государства группы “5 Глаз” (США, Великобритания, Австралия, Канада, Новая Зеландия), а также Индия и Япония, продолжают призывать технологические компании к созданию бэкдоров в своих продуктах, которые используют сквозное шифрование. Конечно, что может пойти не так? Они же, блин, не учатся вообще нихрена.
https://www.justice.gov/opa/pr/international-statement-end-end-encryption-and-public-safety

Software AG, одна из крупнейших компаний по разработке ПО, таки действительно стала жертвой ПО-вымогателя от группировки Clot. Группировка взломала внутреннюю сеть компании, зашифровала данные, и требует выкуп 20 млн долларов за расшифровку.

https://www.zdnet.com/article/german-tech-giant-software-ag-down-after-ransomware-attack/

Пару дней назад я писал о джейлбрейке процессоров Т2 в современных Маках, и о потенциальных последствиях для безопасности Маков, которые могут появиться вследствие этого джейлбрейка. Вот уже появились видео с демонстрацией того, как можно, воткнув кабель в компьютер, провести джейл на старте
https://www.youtube.com/watch?v=LRoTr0HQP1U

или же модифицировать загрузочный логотип
https://www.youtube.com/watch?v=uDSPlpEP-T0

Говорят, разработчики уже работают над созданием кейлоггера, который мог бы позволить собрать пароль для последствующей расшифровки данных. Напоминаю, что уязвимость аппаратная и для существующих Маков не будет патча с исправлением. Теоретически сама Apple могла бы встроить в систему проверку целостности кода для подобных случаев, и, кто знает, может, так и будет. Но пока что лучше чужие кабели в свои Маки не втыкать.

https://blog.t8012.dev/plug-n-pwn/

=== РЕКЛАМА ===
В Телеграме есть только один канал, который делает обзоры на работающие на спецслужбы хакерские группы (APT), разбирает их атаки и шпионские трояны.

А еще изучает активность ransomware, постоянно вангует киберапокалипсис и постит инфосек юмор.

Ну и, естественно, не забывает про новости из отрасли информационной безопасности.

Это канал SecAtor.

На канале можно найти обзоры на американскую APT Equation, северокорейскую Lazarus, вьетнамскую Ocean Lotus, индийскую Patchwork, тайваньскую PoisonVine и многие другие.

Подписывайтесь на канал SecAtor и вы узнаете, что такое теледильдоника!
=== РЕКЛАМА ===

Прикольная штука, кажется. Инструмент, который разработан American Express для анализа репозиториев с исходным кодом на предмет обнаружения всяких лаж с паролями, персональной информацией, устаревшей криптографией и тд

https://github.com/americanexpress/earlybird

Не, ну ты посмотри, фишеры уже на святое замахиваются, удалением учетки ФБ угрожают

Министерство юстиции США вчера опубликовало обвинения против 6 граждан Российской Федерации. Утверждается, что все они являются офицерами ГРУ (часть 74455), и совершили несколько различных кибератак по приказу правительства РФ, с целью дестабилизации стран, вмешательства во внутреннюю политику этих стран, и с целью причинения финансовых потерь.

Речь идет о следующих атаках:
1. Против правительства Украины и различной инфраструктуры страны, в период с декабря 2015 года по декабрь 2016 года, включая атаки против электросетей, министерства финансов, используя вредоносное ПО BlackEnergy, Industroyer и KillDisk
2. Против избирательной кампании президента Франции Макрона, включая спирфишинг и последующие утечки информации
3. Против международных компаний и критический инфраструктуры. Тут хорошо знакомое имя NotPetya, про который можно почитать много в этом канале. Жертвами там оказались FedEx, сеть больниц в западной Пенсильвании, и другие компании, потери которых составили почти 1 млрд долларов в результате этих атак.
4. Против организаторов Олимпиады в Южной Корее, участников, зрителей и тд.
5. Против ИТ-систем организаторов Олимпиады в Южной Корее (вредоносное ПО-вымогатель Olympic Destroyer)
6. Против расследований отравлением препаратом “Новичок” — жертвами были Организация по запрету химического оружия, и лаборатория в Великобритании
7. Против компаний и правительственных организаций грузии в 2018-2019 годах, включая попытки взлома парламента страны.

В списке фигурируют
Yuriy Sergeyevich Andrienko
Sergey Vladimirovich Detistov
Pavel Valeryevich Frolov
Anatoliy Sergeyevich Kovalev
Artem Valeryevich Ochichenko
Petr Nikolayevich Pliskin

Вся информация содержится в документе по ссылке
https://assets.documentcloud.org/documents/7245147/2020-10-19-Unsealed-Indictment.pdf

одной фотографии женщины достаточно, чтобы некий бот в Телеграме "надипфейкил" из нее обнаженную фотографию. за это еще ктото даже деньги платит, оказывается. Отвратительно.
сам отчет тут https://sensity.ai/reports/
статья об этом тут https://www.buzzfeednews.com/article/janelytvynenko/telegram-deepfake-nude-women-images-bot