я знаю, что сегодня не пятница, и вообще тема не совсем про информационную безопасность, но это невероятно интересный лонгрид про компьютеризированные автоматы мороженого в Макдональдсах и других фастфудах, и борьбе с производителем этих машин. (там суть такая, что есть «хакеры», которые научились считывать информацию в этих автоматах и продают устройства, которые умеют диагностировать автоматы до их поломки. Я лично с удовольствием почитал, и если ваш английский (или автоматический переводчик) позволяет, то рекомендую

https://www.wired.com/story/they-hacked-mcdonalds-ice-cream-makers-started-cold-war/

ДОПОЛНЕНИЕ от читателя
«Я сделал пересказ лонгрида, вот: https://t.me/notboring_tech/1729»

Вот это будет интересно. Хакеры взломали сеть компании Quanta - производителя ноутбуков для разных компаний, включая Apple. И якобы получили схемы нового ноутбука, а теперь требуют выкуп 50млн доллларов за то, чтобы не публиковать украденную информацию

https://www.bloomberg.com/news/articles/2021-04-21/apple-targeted-in-50-million-ransomware-hack-of-supplier-quanta

блииииииииииин, ну это же невозможно просто. Cellebrite, компания, которая занимается добыванием данных с телефонов, недавно объявила, что теперь «поддерживает данные Signal». Ребята в Signal не обиделись, а случайно нашли упавший с грузовика гаджет Cellebrite, изучили его и нашли в нем уязвимости, о которых радостно опубликовали пост. (например, библиотека FFmpeg, которая не обновлялась с 2012 года, к которой просто мегатонна исправлений безопасности была). Поэтому теперь, например, если разместить на смартфоне невинный файл, и подключить устройство к Cellebrite, на нем можно начать исполнять код. Сама тема исполнения кода путем размещения файла на изучаемом устройстве — не новость, но Signal нашли новые способы. Молодцы.

А еще они нашли чужие библиотеки в коде Cellebrite, на использование которых компания вряд ли получала разрешение (например, DLL от iTunes).

какая прелесть всетаки. Хорошо представляю себе панику в Cellebrite, которая там царит.

https://signal.org/blog/cellebrite-vulnerabilities/

Берегите свои QNAP-ы!

https://therecord.media/new-qlocker-ransomware-is-hitting-hundreds-of-qnap-nas-devices-per-day/

Просто хороший тред в твиттере https://twitter.com/christogrozev/status/1384885575073902592

У второй по размерам страховой в США что-то там взломали и что-то там украли, возможно, номера водительских удостоверений. А непонятно потому что они толком рассказать не могут пока что

https://www.theverge.com/2021/4/19/22392566/geico-data-breach-exposed-customer-drivers-license-numbers-security

Сегодня у Apple день апдейтов (не так, конечно, как у MSFT patch tuesday, но все равно). Функциональность функциональностью, а список фиксов безопасности в iOS/macOS еще предстоит разобрать, но! Если у вас Мак, рекомендуется установить вышедший апдейт 11.3 как можно скорее. Апдейт для macOS содержит в себе исправление уязвимости, которая позволяла обходить многие защитные механизмы macOS. Баг тривиально эксплуатировать двойным кликом по файлу, и, что даже важнее, уязвимость вроде как действительно эксплуатировалась в 2021 году. Некоторые исследователи уже назвали эту уязвимость одной из худших в macOS за последние годы. Большой пост с разбором уязвимости и механизма её эксплуатации тут:

https://objective-see.com/blog/blog_0x64.html

Новость об этом
https://techcrunch.com/2021/04/26/shlayer-mac-malware-macos-security/

Так, и пока у редакции этого великолепного издания выходной, хочу вас просто оставить с напоминанием о том, что в iOS 14.5, которая вышла вчера, появилась новая функция для улучшения конфиденциальности данных пользователей. App Tracking Transparency (ATT) — та самая опция, от которой сильно печет у Фейсбука. Суть её в том, что теперь приложения, которые хотят получить доступ к advertising identifier на устройстве, (чтобы потом следить за пользователем на сайтах и в других приложениях) должны спросить разрешения у пользователя. Но спрашивать — это плохо, считает ФБ, что ж… Ну и тут видео сама Эпол подогнала о том, как работает эта функциональность

https://www.youtube.com/watch?v=Ihw_Al4RNno

Берегите свои данные! И не сломайте тут интернет.

История со Стравой и возможностью посмотреть перемещения солдат вокруг военных баз, пока они бегают, были первыми звоночками, что неконтролируемый сбор информации о геолокации до добра не доведёт

https://www.wsj.com/articles/the-ease-of-tracking-mobile-phones-of-u-s-soldiers-in-hot-spots-11619429402

Cellebrite выдал на-гора обновление, которое исправляет недавно упоминаемую и обнаруженную разработчиками Signal уязвимость. Но что даже более интересно, одно из устройств компании больше не работает с iPhone после обновления:

This message is to inform you that we have new product updates available for the following solutions:
Cellebrite UFED v7.44.0.205
Cellebrite Physical Analyzer v7.44.2
Cellebrite UFED Cloud v7.44.2
Cellebrite UFED 7.44.0.205 and Cellebrite Physical Analyzer 7.44.2 have been released to address a recently identified security vulnerability. This security patch strengthens the protection of the solutions.
As part of the update, the Advanced Logical iOS extraction flow is now available in Cellebrite UFED only.

Забавно, что, возможно, мы не до конца осознаем потенциальные последствия этой истории. Оно вроде бы и смешно: Cellebrite похвастался, что они могут добывать чаты Signal с устройства, Signal нашел уязвимость в устройстве, все посмеялись. А уже начались жалобы юристов в делах, где обвинения основываются на доказательствах, добытых с помощью Cellebrite, и аргументам, что им не стоит доверять. Может быть интересно.

https://www.vice.com/en/article/qj8pjm/cellebrite-pushes-update-after-signal-owner-hacks-device

как мне напомнили читатели, я пропустил историю про взлом Passwordstate — менеджера паролей компании Clickstudios. Речь идет о корпоративном менеджере паролей, а взлом произошел через систему обновлений продукта: злоумышленники подложили туда вредоносный файл, и если клиенты компании в процессе обновления скачали этот файл, то информация, хранящаяся в Passwordstate, утекала к взломщикам. Рекомендация, разумеется, поменять все пароли. Очень удобно.

https://www.clickstudios.com.au/advisories/Incident_Management_Advisory-01-20210424.pdf

https://gizmodo.com/enterprise-password-manager-passwordstate-hacked-expos-1846756832

и на русском https://www.kommersant.ru/doc/4792041

Если у вас есть учётка на DigitalOcean, то есть риск, что информация по её оплате могла утечь после несанкционированного доступа к системам компании

https://www.bleepingcomputer.com/news/security/digitalocean-data-breach-exposes-customer-billing-information/

Важный комментарий сотрудника ЛК по поводу якобы обнаружения вредоносного ПО ЦРУ https://twitter.com/JusticeRage/status/1387778868291964934

И только неделю назад тут был в новостях Qnap с софтом-вымогателем Qlocker, а тут вот опять Qnap и там уже AgeLocker. За ними не уследить!

https://therecord.media/qnap-warns-of-agelocker-ransomware-attacks-against-nas-devices/

С утра получил уведомление об утечке с моими данными. Никогда такого не было, и вот опять…

Там вышли iOS/iPadOS 14.5.1, ну и watchOS 7.4.1, macOS 11.3.1. В них исправлены две важные уязвимости в WebKit, которые уже эксплуатируются, и, я думаю, вы знаете, что делать! https://support.apple.com/en-us/HT212336

Функция App Tracking Transparency на iOS уже привела к тому, что Фейсбук и Инстаграм просят пользователей разрешить им их мониторить на устройстве и в других приложениях и сайтах, иначе ФБ и ИГ станут платными

Если у вас компьютер Dell, там вышли важные апдейты безопасности для драйверов в этих компьютерах. Баги с 2009 года, эксплуатация уязвимостей до уровня ядра, так что лучше обновиться

https://labs.sentinelone.com/cve-2021-21551-hundreds-of-millions-of-dell-computers-at-risk-due-to-multiple-bios-driver-privilege-escalation-flaws/

Signal продолжает огненно троллить, в этот раз Facebook. Ниже пост Signal, в котором они рассказывают о таргетированной рекламе, которую они хотели заказать в ФБ, но ФБ им отказал. Фишка в том, что в рекламе предполагался сразу текст с деталями таргетирования - чтобы подчеркнуть, сколько всего ФБ знает о пользователях. От отказа, конечно, эффект ещё лучше

https://signal.org/blog/the-instagram-ads-you-will-never-see/