тут еще подогнал читатель тему про уязвимость в Linux — в компоненте polkit, которая позволяет "бесправному" залогиненному пользователю получить полный рутовый доступ к системе с настройками по умолчанию. Polkit — это инструмент, который определяет политики, по которому процессы без соответствущих прав взаимодействуют с процессами, у которых есть повышенные права.

https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034

https://access.redhat.com/security/cve/CVE-2021-4034

В список организаторов распространения информации (ОРИ) добавлены «Яндекс.Лавка», «Яндекс.Микромобильность», «Яндекс.Такси» и «Яндекс.Еда» — согласно российскому законодательству, они обязаны хранить и по первому требованию передавать властям данные пользователей.

потому что информации много не бывает!

https://roskomsvoboda.org/post/servicy-yandexa-v-reestre-slezhki/

несколько забавная история про то, как в Техасе на паркоматах появляются коды QR-коды для оплаты парковки. Правда, ведут они на левые сайты, которые принимают платежи картами, а легитимные организации, которые занимаются парковками, сами QR-коды для оплаты не используют как раз по той причине, что так легко обмануть пользователей QR-кодами.

https://www.fox7austin.com/news/fraudulent-qr-code-stickers-found-on-29-austin-public-parking-meters

https://www.kxan.com/news/crime/apd-fraudulent-qr-codes-found-on-austin-public-parking-meters/

https://twitter.com/SATXPolice/status/1473025923951775755

"а что, так можно было?". интересно, в каких еще местах можно такие фокусы провернуть?

Рассказ от исследователя (как-то так получается, что как хороший чувак, так сразу исследователь, а как плохой - хакер и злоумышленник), который обнаружил цепочку уязвимостей нулевого дня в Сафари и в том, как браузер работает с камерой, сообщил о них в Apple и получил от компании более 100 тыс долларов премии. А мог бы продать в NSO за пару миллионов, наверно!

https://www.ryanpickren.com/safari-uxss

Тут есть виральный тред в твиттере о том, что приложение для участников зимних олимпийских игр в Пекине содержит встроенное шпионское ПО для сохранения аудиозаписей (там есть функция перевода аудио между английским и китайским). Функция якобы реализована через СДК запрещенной в США компании iFlytek.

https://twitter.com/jonathandata1/status/1486458526767661060

С другой стороны, вроде как есть подтверждение от CitizenLab, что никакого постоянного прослушивания микрофона и записи аудио нет
https://twitter.com/jgriffiths/status/1486897362174083073

Поди разберись. От китайцев такого, в принципе, ожидаешь

кстате! сегодня День защиты данных — практически профессиональный праздник этого канала. С чем вас всех и поздравляю, и желаю, чтобы ваши данные оставались безопасносте!

Ок, это слишком хорошо, чтобы не запостить его сюда. Тем более, кажется, что видео с гитлером здесь ещё не было ни в каком виде

https://www.youtube.com/watch?v=ASsJKc6HCf8

По наводке читателя история про Qubit Finance, платформу кредитования «с блокчейном», у которой по совместительству был некий мост между валютами ETH и BSC. Этот мост взломали, получили доступ к средствам и конвертировали их в примерно 80 млн долларов в разных криптовалютах. По ссылке разбор того, что случилось:

https://certik.medium.com/qubit-bridge-collapse-exploited-to-the-tune-of-80-million-a7ab9068e1a0

А по этой ссылке твит от компании, в котором она умоляет взломщиков вернуть деньги

https://twitter.com/QubitFin/status/1486984216072318977

Причём, как я понимаю, это не первый раз, когда с ними случается подобный взлом. Очевидно, там так принято и это нормально.

WhatsApp, то есть Facebook, то есть Meta, решил рассказать в рекламе, что шифрованная переписка — это важно, и у них она есть. Дело, конечно, хорошее, но что ж так кринжово-то это все выглядит и оставляет странное послевкусие?

https://twitter.com/wcathcart/status/1487891632074608642

Внимание, ФБР предупреждает! Что во время зимних олимпийский игр возможна деятельность злоумышленников с целью внесения элемента бардака в проведение игр. DDoS атаки, вредоносное ПО, ПО-вымогатели, фишинговые кампании и тд. Я не понял, это кого они таким образом предупреждают, Китай, что ли? От чьей деятельности? :)

https://www.cisa.gov/uscert/ncas/current-activity/2022/02/01/fbi-releases-pin-potential-cyber-activities-during-2022-beijing

Багу в Самбе вам! Критическая! RCE с правами рута, если не поставить апдейт, учтите.

https://www.bleepingcomputer.com/news/security/samba-bug-can-let-remote-attackers-execute-code-as-root/

Прекрасная история про хакера, который обиделся на хакеров Северной Кореи, которые взломали его год назад… поэтому он нашёл уязвимости в немногочисленных роутерах и серверах Серверной Кореи и завалил их. Детали он не раскрывает, да и сам осознаёт, что это скорее баловство (интранет СК отключён от большой сети, а внешние сайты в основном занимаются пропагандой), но прикольно

https://www.wired.com/story/north-korea-hacker-internet-outage/

Этот тред о краже 80 тыс ETH невероятно эпичен

https://twitter.com/kelvinfichter/status/1489041221947375616

Там есть ссылка на отчёт о группировке REvil - о взлете и, так сказать, падении этого известного бренда. Большой ПДФ на 60+ страниц с кучей собранной информации.

https://analyst1.com/whitepaper/history-of-revil

Кстати, в открытых вкладках у меня была ещё одна статья с рассказом про другую российскую хакерскую группировку - Trickbot, оператора ботнетов, зарабатывающего атаками с требованиями выкупов

https://www.wired.com/story/trickbot-malware-group-internal-messages/

баг баунти? деньги? ага, уже бежим! Законопроект на Ямайке предполагает штраф в 20 тыс долларов и до 3 лет в тюрьме за обнаружение уязвимостей в государственных и корпоративных сайтах. Нормально у них там.

https://jamaica-gleaner.com/article/lead-stories/20220204/ethical-hackers-face-tough-sanction

Тред с анализом фотографии королевы Англии, на которой виднеются, возможно, важные документы - что могут скрывать такие фотографии

https://twitter.com/amateuradam/status/1490394034900197388

В Штатах у законодателей опять чешутся руки принять закон, чтобы был доступ ко всей переписке - в рамках которого компании должны были бы сканировать сообщения пользователей и сообщать о нарушениях в правоохранительные органы. Надеюсь, провалится, как и в прошлый раз

https://www.eff.org/deeplinks/2022/02/its-back-senators-want-earn-it-bill-scan-all-online-messages

В США налоговая вздумала ввести аутентификацию пользователей по видеоизображению и распознаванию визуального образа. Причём предполагалось использовать сторонний сервис для этого, куда надо было загружать персональную информацию для верификации. Вот пост о том, как это должно было работать, с комментариями, почему это не очень хорошая идея:

https://krebsonsecurity.com/2022/01/irs-will-soon-require-selfies-for-online-access/

Месяц спустя, после вопросов о том, не охренели ли они, налоговая пообещала пока не охреневать, и отменила эти планы

https://www.irs.gov/newsroom/irs-announces-transition-away-from-use-of-third-party-verification-involving-facial-recognition

И ещё хорошие новости, которые в этом канале бывают не так часто. Microsoft вчера опубликовала пост, в котором обещает внедрить одно полезное и долгожданное изменение. Как известно, макросы в офисе - один из популярных механизмов атаки, когда пользователи, несмотря на все предупреждения, все равно эти вредоносные макросы открывают. Теперь же макросы на Windows в приложениях MS Office, в тех документах, которые были загружены из интернета, будут по умолчанию заблокированы.

https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805