в принципе, трех минут достаточно должно быть

https://www.smh.com.au/national/queensland/hackers-show-porn-on-brisbane-billboard-for-three-minutes-20221121-p5bzyc.html

“We assessed the vulnerable component to be the Boa web server, which is often used to access settings and management consoles and sign-in screens in devices. Despite being discontinued in 2005, the Boa web server continues to be implemented by different vendors across a variety of IoT devices and popular software development kits (SDKs). Without developers managing the Boa web server, its known vulnerabilities could allow attackers to silently gain access to networks by collecting information from files. Moreover, those affected may be unaware that their devices run services using the discontinued Boa web server, and that firmware updates and downstream patches do not address its known vulnerabilities.”

https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/

интересно, что “взлом whatsapp”, о котором успели написать некоторые издания (“500 миллионов украли!!!”), и не взлом вовсе

https://www.linkedin.com/posts/alon-gal-utb_whatsapp-notabreach-stopscrapingyoulittleshits-activity-7001821915610800128-nSR_/

(вот пример такой статьи о взломе https://cybernews.com/news/whatsapp-data-leak/)

Хоть что-то хорошее от прихода Маска в Твиттер - говорят, что на базе протокола Signal сделают сквозное шифрование для direct messages в сервисе. Посмотрим, как они это объединят между вебом и разными клиентами, включая сторонние.

https://www.tesmanian.com/blogs/tesmanian-blog/twitter-will-adopt-the-signal-protocol-for-encrypted-dms-says-security-researcher

Ирландия продолжает штрафовать Фейсбук за утечку данных 500 млн пользователей, теперь еще на 275 млн долларов. Всего сумма штрафа приближается уже к 1млрд долларов. Тогда, напомню, у многих юзеров утекли имейлы, номера телефонов и у некоторых — геолокационные данные.

https://www.thestreet.com/social-media/meta-fined-275-million-in-irish-data-leak-case

29 уязвимостей в драйверах Nvidia, включая пару весьма критичныэ. к счастью, исправлены последним апдейтом

https://www.bleepingcomputer.com/news/security/nvidia-releases-gpu-driver-update-to-fix-29-security-flaws/

какаято мутная история про то, что камеры Eufy якобы закидывают в свое облако картинки с камеры, даже если облачная функциональность у камеры отключена — пока что это касается превьюшек с видео. Там дальше начинается еще более странное что-то, про то, что стримы с камер можно смотреть с помощью VLC, а данные при этом передаются без шфирования (хотя, конечно же, компания на сайте рассказывает про military grade encryption. я обычно как вижу такое обещание, сразу думаю “пиздят”). там есть и ответ компании про то, что такие превьюшки нужны для уведомлений через пуши об обнаружении объектов на видео, и потом они удаляются. и компания сожалеет, что толком этого не объяснила. ну не знаю, “без облака” должно значить “без облака”, и нефиг тут.

https://www.macrumors.com/2022/11/29/eufy-camera-cloud-uploads-no-user-consent/

В августе была новость про взлом сервиса LastPass (https://t.me/alexmakus/4788). К сожалению, у истории есть продолжение — используя информацию, похищенную в августовском взломе, злоумышленники получили новый доступ к системам компании. В этот раз, похоже, и доступ к некоторой пользовательской информации — какой именно, не уточняется. Пароли, утверждается, “не задеты”.

https://blog.lastpass.com/2022/11/notice-of-recent-security-incident/

а вот еще хороший тред в твиттере, как уязвимость в сервисе спутникового радио для автомобилей SiriusXM — который, как оказалось, также предлагает услуги “подключенных автомобилей”, привела к проблемам у автопроизводителей. В частгости, можно было удаленно разблокировать, включать аварийку, запускать двигатель, получить информацию о местоположении автомобиля — зная лишь его VIN. Касалось это автомобилей Honda, Acura, Nissan, Infiniti. Исследователи сообщили об уязвимости в SiriusXM и те исправили её.

https://twitter.com/samwcyo/status/1597792097175674880

прекрасное, если правда

https://twitter.com/MsMelChen/status/1597807914395500545

Данные почти всех сотрудников «Билайна», включая адреса корпоративной электронной почты, номера мобильных и домашних телефонов, закодированные ФИО и др., оказались в открытом доступе. Первым об этом сообщил Telegram-канал «Утечки информации». Представитель «Билайна» подтвердил факт утечки. 

https://www.vedomosti.ru/technology/articles/2022/12/01/953164-informatsiya-bilaina-utekla

Новые изменения безопасности систем Apple

Apple сегодня анонсировала целый набор существенных изменений в различных системах, обеспечивающих безопасность своих операционных систем и облачного сервиса iCloud. Я, увлекаясь темой информационной безопасности как хобби, могу только поприветствовать такие изменения.
Основных изменений три:
– Проверка ключей контактов в iMessage
– Поддержка физических ключей безопасности для акаунтов Apple ID
– Дополнительные разделы iCloud, которые теперь будут зашифрованы сквозным шифрованием.

Проверка ключей контактов при обмене сообщений в iMessage важна для тех людей, кто может испытывать на себе чрезмерный интерес различных органов — от разведывательных до государственных, например, журналисты. В этом случае те пользователи, которые активировали iMessage Contact Key Verification, получат сообщения, если в переписке будет замечено неавторизованное устройство (например, злоумышленники взломали учетку одного из участников переписки и вошли в нее со своего устройства, что позволяет получать на это устройство сообщения из переписки).

https://alexmak.net/2022/12/07/apple-security-enhancements/

Тред, подчеркивающий, что в интернете нельзя публиковать никаких фотографий вообще - вычисление расположения нового бомбардировщика США

https://twitter.com/johnmcelhone8/status/1600683623250030593

што вообще как

https://twitter.com/0xVeera/status/1601918063989108736

у Apple день апдейтов сегодня, и там в каждом апдейте по пачке фиксов различных уязвимостей

macOS 13.1 https://support.apple.com/kb/HT213532
iOS/iPadOS 16.2 https://support.apple.com/kb/HT213530

и прочие tvOS/watchOS. Если вдруг вы не хотите апдейтиться на последние macOS/iOS, то для macOS 12.6 и 11.7 тоже вышли апдейты с фиксами
https://support.apple.com/kb/HT213533
https://support.apple.com/kb/HT213534

для последней версии iOS/iPad OS 15.7 тоже вышли апдейты
https://support.apple.com/kb/HT213531

в принципе, ужасов-ужасов в логах я не вижу, но вот, например, есть интересное
Available for: macOS Ventura
Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.1.
Description: A type confusion issue was addressed with improved state handling.
WebKit Bugzilla: 247562
CVE-2022-42856: Clément Lecigne of Google's Threat Analysis Group

Впрочем, чуть не пропустил, что у Microsoft тоже Patch Tuesday сегодня!

https://msrc.microsoft.com/update-guide/en-us

48 уязвимостей, включая 6 критических

Okta, a leading provider of authentication services and Identity and Access Management (IAM) solutions, says that its private GitHub repositories were hacked this month.

According to a 'confidential' email notification sent by Okta and seen by BleepingComputer, the security incident involves threat actors stealing Okta's source code.

https://www.bleepingcomputer.com/news/security/oktas-source-code-stolen-after-github-repositories-hacked/

Ok, LastPass опять с апдейтом о взломе. В лучших традициях пиара, апдейт опубликовали незаметно под самое Рождество. Но суть такая, что после взлома украли не только кучу информации о пользователях, но и сами сейфы с паролями:

To date, we have determined that once the cloud storage access key and dual storage container decryption keys were obtained, the threat actor copied information from backup that contained basic customer account information and related metadata including company names, end-user names, billing addresses, email addresses, telephone numbers, and the IP addresses from which customers were accessing the LastPass service.  
The threat actor was also able to copy a backup of customer vault data from the encrypted storage container which is stored in a proprietary binary format that contains both unencrypted data, such as website URLs, as well as fully-encrypted sensitive fields such as website usernames and passwords, secure notes, and form-filled data. These encrypted fields remain secured with 256-bit AES encryption and can only be decrypted with a unique encryption key derived from each user’s master password using our Zero Knowledge architecture. As a reminder, the master password is never known to LastPass and is not stored or maintained by LastPass. The encryption and decryption of data is performed only on the local LastPass client. For more information about our Zero Knowledge architecture and encryption algorithms, please see here. 

Утверждается, что все шифровано и перешифровано, но параноиков это не убедит, я думаю

https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/