Очередное подтверждение, что если к телефону или компьютеру и подключать какие-то кабели, то только свои! Компания OMG Cables, как они себя называют, разработали новый вариант своего кабеля со встроенным кейлоггером, теперь с Lightning на USB-C - чудеса миниатюризации! Например, с помощью этого кабеля можно подключить к Маку клавиатуру, и встроенный кейлоггер будет собирать весь набранный текст и по беспроводу передавать его злоумышленнику, который в этот момент может находиться за полтора километра от жертвы.

https://www.vice.com/en/article/k789me/omg-cables-keylogger-usbc-lightning

Apple сказала, что на основании обратной связи по поводу функции сканирования контента на телефоне на предмет фотографий, содержащих сцены насилия над детьми, она откладывает внедрение этой функциональности

Как известно, ProtonMail - безопасный почтовый сервис, до тех пор, пока не становится опасным. Сервис оперирует в Швейцарии и утверждал, что никому* IP адреса пользователей не передаёт.

* кроме швейцарской полиции

Поэтому французская полиция запросила данные у швейцарской полиции через Европол, та пришла к ProtonMail - получила запрошенные данные.

Уточнение: «они не хранят адреса по умолчанию, но если придёт запрос по всей форме, то они начинают с этого момента хранить историю IP, с которых входили в конкретную учётку»

https://techcrunch.com/2021/09/06/protonmail-logged-ip-address-of-french-activist-after-order-by-swiss-authorities/

PS вроде как в случае с ProtonVPN данные IP-адресов полиция не имеет права запрашивать, но кто теперь уже там знает.

Популярный сервис для дейтинга Bumble содержал уязвимость, которая позволяла выяснить точное положение пользователя. По умолчанию геолокация «округляется», разумеется, но метод трилатерации - измерение расстояния от трёх разных точек никто не отменял. Так что хакер придумал метод со скриптом, который создавал фейковый профиль и изменял ему расстояние от жертвы. Детали по ссылке

https://robertheaton.com/bumble-vulnerability/

Очень лонгрид, суть которого сводится к тому, что якобы сообщения в WhatsApp не защищены сквозным шифрованием, и якобы сотрудники Facebook имеют доступ к содержимому переписки:

WhatsApp has more than 1,000 contract workers filling floors of office buildings in Austin, Texas, Dublin and Singapore, where they examine millions of pieces of users’ content. Seated at computers in pods organized by work assignments, these hourly workers use special Facebook software to sift through streams of private messages, images and videos that have been reported by WhatsApp users as improper and then screened by the company’s artificial intelligence systems. These contractors pass judgment on whatever flashes on their screen — claims of everything from fraud or spam to child porn and potential terrorist plotting — typically in less than a minute.

Там дальше идёт речь о том, что когда кто-то жалуется на какие-то сообщения, то они расшифровываются для анализа:

WhatsApp reviewers gain access to private content when users hit the “report” button on the app, identifying a message as allegedly violating the platform’s terms of service. This forwards five messages — the allegedly offending one along with the four previous ones in the exchange, including any images or videos — to WhatsApp in unscrambled form, according to former WhatsApp engineers and moderators. Automated systems then feed these tickets into “reactive” queues for contract workers to assess.

Выглядит это все очень странно и совсем не похоже на то, как должно работать настоящее сквозное шифрование. Ответ Фейсбука как-то не внушает доверия тоже:

“We build WhatsApp in a manner that limits the data we collect while providing us tools to prevent spam, investigate threats, and ban those engaged in abuse, including based on user reports we receive. This work takes extraordinary effort from security experts and a valued trust and safety team that works tirelessly to help provide the world with private communication.”

Напрямую тут как бы и нет опровержения, что весьма странно. Всё-таки если окажется, что ФБ врали о шифровании в WhatsApp, то это как-то совсем за гранью.

ДОПОЛНЕНИЕ: алярма, как и предполагалось, отменяется. там ФБ дополнительно разъяснил, что все это недоразумение, и речь идёт именно о, по сути, форвардинге сообщений модераторам. В этом случае сообщение в расшифрованном виде пересылается с устройства пользователя, никакой дополнительной расшифровки другого контента не происходит. Как обычно, «учёные изнасиловали журналиста».

https://www.propublica.org/article/how-facebook-undermines-privacy-protections-for-its-2-billion-whatsapp-users

хороший тред от бывшего директора по безопасности Facebook о статье ProPublic, где они обвинили WhatsApp в обмане по поводу сквозного шифрования
https://twitter.com/alexstamos/status/1435285445336715265

Астрологи объявили день блютуса!

1. https://www.bleepingcomputer.com/news/security/bluetooth-braktooth-bugs-could-affect-billions-of-devices/

Какая-то очередная смертельная уявзимость на чипсетах кучи производителей — BrakTooth, потенциально затрагивающая миллиарды устройств, включая смартфоны, наушники, клавиатуры и тд. Потенциальный ущерб — от DoS атак и отрубания BT, до исполнения кода. Некоторые вендоры уже пропатчили свои платформы, но далеко не все, как это обычно бывает.

2. https://nrkbeta.no/2021/09/02/someone-could-be-tracking-you-through-your-headphones/
чувак тут ездит по городу со сканером BT-устройств и показывает, как легко можно трекать местоположение и перемещение устройств. а все потому, что далеко не все производители в своих устройствах применяют рандомизаторы MAC-адресов. Умник какой, вы посмотрите на него.

Пользователи крупных игровых и стриминговых сервисов, включая World of Tanks, Twitch, FlashScore и BitTorrent, начали испытывать сложности с доступом. Компании и операторы связи связывают проблемы с блокировками VPN-сервисов, которые Роскомнадзор начал 3 сентября, хотя в самом ведомстве так не считают. Сбои будут происходить по мере расширения списка ресурсов, угрожающих устойчивости рунета, полагают эксперты.

https://www.kommersant.ru/doc/4977444

Статья о багбаунти программе в Apple. В двух словах: информацию компания получать любит. А вот платить за неё не любит, несмотря на обещания высоких выплат

https://www.washingtonpost.com/technology/2021/09/09/apple-bug-bounty/

Но ладно про Apple, новая уязвимость в Windows 10 и различных версиях Windows Server. Уязвимость в MSHTL компоненте Internet Explorer, который постепенно выпиливают, но этот компонент также используется в приложениях Microsoft Office для отрисовки веб-контента. Злоумышленник может создать вредоносный элемент ActiveX, и встроить его в документ Office, затем остаётся только убедить пользователя открыть файл (что обычно не сложно). После этого, если юзер с админскими правами, то «заходи, кто хочет». Патча для уязвимости пока не , но можно отключить установку всех компонентов ActiveX в настройках Internet Explorer.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444

https://us-cert.cisa.gov/ncas/current-activity/2021/09/07/microsoft-releases-mitigations-and-workarounds-cve-2021-40444

=== РЕКЛАМА ===


У компании Positive Technologies к вам есть несколько вопросов 🕵🏻‍♂️

🎯Расскажите, как ваши компании защищаются от таргетированных атак, и сталкивались ли вы со сложными киберугрозами.

Пожалуйста, ответьте на несколько вопросов.
Опрос, как всегда, анонимный: https://ru.surveymonkey.com/r/YJZ9P59

айайай, как же так

Xiaomi начали блокировать активацию смартфонов в различных «санкционных» регионах — в Иране, Кубе, и в том числе в Крыму

https://www.xda-developers.com/xiaomi-blocking-devices-export-regulations/

Интересно, Твиттер говорит, что у них только 2,3% пользователей защищают учетки с помощью 2FA. В принципе, это объяснимо тем, что люди, возможно, не видят ценности в твиттере. Интересно было бы посмотреть статистику по чему-то типа Gmail, правда, там непонятно, как спамеров и всякий другой мусор отделить

https://www.bleepingcomputer.com/news/security/twitter-reveals-surprisingly-low-two-factor-auth-2fa-adoption-rate/

вышли апдейты безопасности:
iOS 14.8
iPadOS 14.8
watchOS 7.6.2
macOS Big Sur 11.6

исправлены две уязвимости:
CVE-2021-30860
CVE-2021-30858

как это часто бывает в последнее время, «Apple is aware of a report that this issue may have been actively exploited.»

поскольку одну из уязвимостей отрепортили Citizen Lab, то, похоже, это наконец-то полноценный фикс дыры, которую эксплуатировала NSO, и которая обходила Blastdoor защиту в Messages