смешное
https://github.com/danielmiessler/SecLists/pull/155

АПД По наводке читателя — комментарий автора про этот троллинг
http://blog.assafnativ.com/2018/02/dolphins.html?m=1

Хранить медицинские данные клиентов открыто в интернете — это скоро традицией станет
https://techcrunch.com/2020/12/01/ntreatment-lab-results-medical-records-exposed/

У Project Zero — интереснейший (и огромный) материал об очень крутой уязвимости в iOS, исправленной в апдейте iOS 13.5. О ней достаточно знать два таких факта:

1. эксплуатация этой единственной уязвимости позволяла перезагружать все iPhone в радиусе действия устройства, которое собрал исследователь

2. Этой единственной уязвимости хватало, чтобы запускать код на этих устройствах и копировать пользовательские данные

https://googleprojectzero.blogspot.com/2020/12/an-ios-zero-click-radio-proximity.html

само видео - просто конфетка
https://www.youtube.com/watch?v=ikZTNSmbh00

Вчера в кругах экспертов по информационной безопасности видел много обсуджений компании Circles, которая продает свои услуги в 25 стран по всему миру. Это родственная компания другой организации, часто упоминающейся в этом канале — NSO Group, разработчика шпионского ПО для iPhone и Android. Суть услуг Circles заключается в эксплуатации уязвимостей в SS7 — Signaling System 7, протоколе обмена данными сетей мобильных операторов, который используется для биллинга в роуминге и тд. Используя эти уязвимости, Cirlces может определять местоположение жертв с точностью ближайшей базовой станции. Большой отчет по этому поводу — у CitizenLab

https://citizenlab.ca/2020/12/running-in-circles-uncovering-the-clients-of-cyberespionage-firm-circles/

дополнение про тему использования Microsoft Office 365 как инструмента для слежки за действиями сотрудников. Microsoft опубликовала пост, в котором пообещала убрать все риски для использования Office 365 для мониторинга сотрудников. Компания убирает имена сотрудников, и модифицирует интерфейс, который подчеркивает то, что Productivity Score — это инструмент для оценки использования технологий, а не поведения пользователей. Ну хоть так.

https://t.me/alexmakus/3746

Вот сама ссылка про обновления Microsoft
https://www.microsoft.com/en-us/microsoft-365/blog/2020/12/01/our-commitment-to-privacy-in-microsoft-productivity-score/

=== РЕКЛАМА ===
⚡️Positive Technologies подвела итоги опроса 230 ИБшников об уровне прозрачности корпоративных сетей

В отчете:
- Где прозрачность трафика выше — в России или за рубежом.
- Какие угрозы российские ИБшники чаще всего выявляют в сети.
- Прозрачность сети или шифрование внутреннего трафика — что выбирает ИБшник.

Смотреть

=== РЕКЛАМА ===

Новое вредоносное ПО для Mac, с бэкдором для последующего удаленного доступа. выглядит как документ Word, хотя это приложение в архиве, и пока что мало кто его детектит как вирус. интересное исследование его функциональности.

https://www.trendmicro.com/en_us/research/20/k/new-macos-backdoor-connected-to-oceanlotus-surfaces.html

как различные правоохранительные органы в США покупают информацию о геолокации, собранной в самых обычных приложениях для смартфонов

https://www.vice.com/en/article/epdpdm/ice-dhs-fbi-location-data-venntel-apps

И еще одна родственная статья на эту же тему — как автор проследил, куда уходит информация с его телефона и приложений, которые на нем установлены

https://nrkbeta.no/2020/12/03/my-phone-was-spying-on-me-so-i-tracked-down-the-surveillants/

Интересная штука от ЛК — инструмент для перехвата трафика с телефона или другого устройства для анализа содержимого трафика. Предназначается для проверки наличия подозрительного или вредоносного трафика, исходящего с устройства. Для создания самого гаджета требуется компьютер (лучше всего Raspberry Pi), и код, опубликованный на Гитхабе

https://github.com/KasperskyLab/TinyCheck

Админам с VMware рекомендуется накатить вот этот патч ASAP, исправляющий опасную уязвимость.
https://www.vmware.com/security/advisories/VMSA-2020-0027.html

Тут вот даже NSA предупреждает, что эта уязвимость уже эксплуатируется
https://www.nsa.gov/News-Features/Feature-Stories/Article-View/Article/2434988/russian-state-sponsored-malicious-cyber-actors-exploit-known-vulnerability-in-v/

Накопилось пару ссылок об интересных уязвимостях в известных продуктах.

Например, Microsoft Teams
https://github.com/oskarsve/ms-teams-rce/blob/main/README.md

Или PlayStation Now
https://hackerone.com/reports/873614

Самая крупная новость прошедшей ночи — взлом компании Fireeye, крупного исследователя безопасности. В результате взлома злоумышленники в том числе украли хакерские инструменты red team компании (которые использовались компанией для тестирования их клиентов). Подозреваются хакеры на государственном уровне, и, конечно же, первым подозреваемым называют Россию. По крайней мере, хакеров очень хвалят:

«The attackers tailored their world-class capabilities specifically to target and attack FireEye. They are highly trained in operational security and executed with discipline and focus. They operated clandestinely, using methods that counter security tools and forensic examination. They used a novel combination of techniques not witnessed by us or our partners in the past.»

https://www.fireeye.com/blog/products-and-services/2020/12/fireeye-shares-details-of-recent-cyber-attack-actions-to-protect-community.html

как результат этой атаки, компания опубликовала на гитхабе итнструменты противодействия своим инструментам (раз уж они теперь попали в руки неизвестно кому)
https://github.com/fireeye/red_team_tool_countermeasures

=== РЕКЛАМА ===
Как научиться применять реверс-инжиниринг в своей разработке?

Начните с демо-урока «Анализ шелкода» 16 декабря. Вместе с Артуром Пакуловым вы разберете образец вредоноса, который из себя представляет сдампленный кусок шелкода.
Демо-занятие — возможность попробовать онлайн-курс «Reverse-Engineering. Basic» и познакомиться с преподавателем. Базовый уровень программы познакомит вас с ключевыми возможностями реверс-инжиниринга.

Для регистрации на занятие пройдите вступительный тест: https://otus.pw/oP4a/

список инструментов Fireeye
https://docs.google.com/spreadsheets/d/1uRAT-khTdp7fp15XwkiDXo8bD0FzbdkevJ2CeyXeORs/edit#gid=36102663

пару недель назад я писал про СДК X-Mode для мобильных приложений, которое засветилось в передаче данных о геолокации пользователей министерству обороны США (вкуснота была в том, что парочкой приложений активно пользовались мусульмане). Теперь Google и Apple выпиливают из своих аппсторов приложения с этими СДК

https://www.wsj.com/articles/apple-and-google-to-stop-x-mode-from-collecting-location-data-from-users-phones-11607549061

Не очень представляю себе, как кто-то в здравом уме себе это вообще купит

https://www.washingtonpost.com/technology/2020/12/10/amazon-halo-band-review/

АПД. Устройство Amazon Halo Band должно следить за здоровьем и настроением пользователя. Для этого надо сделать 3Д-модель тела, сфотографировавшись в раздетом виде, а также носить браслет с микрофоном, который постоянно анализирует тональность голоса. Как указано в статье, «этот гаджет гораздо лучше справляется со сбором Амазона информации о вас, чем со своей функциональностью, чтобы делать вас здоровым и счастливым».