Злодей захватывает репозитории с кодом в заложники и требует выкуп, угрожая удалением данных. Атаки происходят на сервисы GitHub, Bitbucket и GitLab, и механизм атак пока что не до конца понятен. Злоумышленник скачивает код, удаляет его на сервере и требует заплатить 0,1 биткойна за возврат кода.
https://www.zdnet.com/article/a-hacker-is-wiping-git-repositories-and-asking-for-a-ransom/

На Хабре заметка о том, что делают бесплатные VPN-провайдеры с пользовательскими данными. Я неоднократно говорил о том, что подписываясь на сервис VPN, вы должны хорошо понимать, какие именно услуги предоставляет провайдер и что происходит с данными, которые проходят через этого провайдера. Для ультра-гиков есть варианты разворачивания своих VPN-серверов, что ОК, если вам не нужны разные локации (можно поискать тут же в канале, или просто в интернете).
https://habr.com/ru/company/hidemy_name/blog/450416/

Уязвимость в утилите компьютеров Dell (DellSupportAssist), которая позволяла исполнять на компьютере код с админскими правами, и получить контроль над компьютером. Апдейт вышел еще 23 апреля, но не факт, что все пользователи установили апдейт. Утилита по умолчанию встроена во все компьютеры Dell с Windows, и пользовательского взаимодействия не требуется, но дополнительный уровень защиты обеспечивает тот факт, что злоумышленник должен быть уже в сети жертвы.
https://www.zdnet.com/article/dell-laptops-and-computers-vulnerable-to-remote-hijacks/

Вот так вот

Очень много английским по белому от сооснователя Facebook о проблемах конфиденциальности пользовательских данных, конкуренции в сфере социальных сетей и почему компанию Facebook надо разделить, и вообще ввести регулирование цифровой отрасли в плане защиты конфиденциальной пользовательской информации
https://www.nytimes.com/2019/05/09/opinion/sunday/chris-hughes-facebook-zuckerberg.html

Привет! Вы же соскучились после длинных выходных по новостям в этом канале? 🙂

Популярный китайский GPS-трекер, используемый другими компаниями под своими брендами для, например, мониторинга детей, пожилых людей, автомобилей, оказался с уязвимостями, позволяющими управлять им удаленно, получать данные о текущем местоположении и даже активировать встроенный микрофон для прослушивания происходящего вокруг трекера. НИКОГДА ТАКОГО НЕ БЫЛО, И ВОТ ОПЯТЬ!

https://fidusinfosec.com/exploiting-10000-devices-used-by-britains-most-vulnerable/

Я понимаю, что пользователей Амазона тут не так много, но все же вам может быть интересно почитать о том, что компания Amazon собирает о своих пользователях в разных сервисах компании, которых великое множество. Как ни странно при таком количестве собираемой информации, многое из этого даже нельзя отключить
https://www.axios.com/what-amazon-knows-about-you-2df28404-b975-4bc8-b2da-ac702e601cf8.html

Вообще считается, что называть устройство термином “невзламываемое” — плохая примета, но некоторые продолжают наступать на эти грабли. Вот создатели невзламываемой USB-флешки собрали денег на Кикстартере, а потом оказалось, что резервный пароль устройства легко можно перехватить, сканируя USB-трафик с устройства. МОЛОДЦЫ
https://www.pentestpartners.com/security-blog/eyedisk-hacking-the-unhackable-again/

дыра во всех смартфонах Samsung, позволяющая превратить их в неработающие устройства при запуске приложения, эксплуатирующего эту ошибку. Самсунг считает, что проблема не требует исправления.
https://medium.com/@fs0c131y/how-to-brick-all-samsung-phones-6aae4389bea

во-первых, это красиво. обман систем распознавания объектов с помощью специальных (adversarial — антагонистических?) изображений

бага в приложении Twitter позволяла сервису случайно собирать информацию о местоположении пользователя (которая впоследствии передавалась партнеру компании). Затрагивает пользователей, у которых больше одного аккаунта в приложении Twitter для iOS. Пишут, что партнер данные не использовал и удалял их.
https://help.twitter.com/en/location-data-collection

А) плохие новости: обнаружена серьезная уязвимость в WhatsApp, позволявшая злоумышленникам установить шпионское ПО на смартфоны iOS и Android
https://m.facebook.com/security/advisories/cve-2019-3568

Б) Хорошие новости в том, что уязвимость исправлена, поэтому всем рекомендуется обновиться на последнюю версию приложения (если она не установилась автоматически).

В) шпионское ПО, по всей видимости, было от израильской компании NSO Group, и применялось для таргетирования совершенно конкретных людей (в частности, юриста, который участвует в иске против NSO).

Г) примечательно, что для заражения телефона достаточно было позвонить на номер телефоны жертвы. На звонок было даже необязательно отвечать.

Первоисточник (пейволл) https://on.ft.com/2VAo02o

Немного дополнений про историю с WhatsApp. Говорят, что последние попытки эксплуатации этой уязвимости были зарегистрированы еще даже вчера, так что эксплуатация была весьма активной. Правда, 99.9% пользователей переживать не стоит, потому что все было очень таргетировано против определенных целех.

В разговорах с экспертами они пока что озадачены, в частности, отсутствием технических деталей, поэтому не понятно, что именно и как эксплуатировалось, и где устанавливалось вредоносное ПО. В любом случае, эта история подчеркивает, что желательно обновлять приложения и операционные системы как можно скорее. Вон там, например, список фиксов из iOS 12.3, вышедшей вчера (https://support.apple.com/en-us/HT210118) — тоже хватает интересных вещей. Например, ходят слухи, что исправили некоторые вещи, позволявшие устройствам GrayShift выгружать данные с айфонов. It never ends 🙂

В этом вашем интернете вообще нельзя ни шагу сделать, чтобы какие-то очередные мудаки не стали использовать данные не так, как предполагалось. Есть такой стартап Ever, обещающий пользователям няшные альбомчики из фотографий, которые пользователь в этот сервис закачает. И что? Конечно же, оказалось, что эти прекрачные люди использовали данные для тренировки своих систем распознавания лиц. А затем эти алгоритмы распознавания собирались продавать частным компаниями, правоохранительным органам и военным ведомствам. Речь не идет, к счастью, о продаже прям данных конкретных людей, но c учетом того, как завуалированно это было описано в EULA, осадочек остается еще огого какой. Пользователи, в общем, ни сном, ни духом не ведали, что их приложения собирались использовать для обучения алгоритмов, которые потом могут быть использованы в военных или полицейских целях. Когда продукт бесплатен, то в продукт превращается пользователь. https://www.nbcnews.com/tech/security/millions-people-uploaded-photos-ever-app-then-company-used-them-n1003371

===== РЕКЛАМА ======
Курс по анонимности и безопасности в сети

Канал с топовым курсом по анонимности и безопасности в сети. Ловушки для хакеров, маскировка данных, экстренное уничтожение информации, искусство анонимности, обход любой цензуры - все это для вас абсолютно бесплатно.

ВИДЕО+ТЕКСТ
Язык русский (+English)
2019 год

👉🏿 Ссылка
https://t.me/joinchat/AAAAAEbakFlT976E_5B7IQ
===== РЕКЛАМА ======

Алярма, котаны! Тут в Windows обнаружилась весьма неприятная уязвимость (https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708), потребовавшая срочных апдейтов для старых версий Windows, включая XP! Уязвимость в Remote Desktop Services, не требует никаких действий от пользователя. Специально подготовленный запрос через RDP приводит к удаленному исполнению кода, в результате чего злоумышленники могут просматривать и удалять данные, и создавать учетные записи с полными правами.При этом, как предупреждает Microsoft, вредоносный код, эксплуатирующий уязвимость, может распространяться примерно как это делал WannaCry, от компьютера к компьютеру. Так что дырка серьезная, и Microsoft призывает патчиться как можно скорее.

Дополнительная инфа и ссылки на апдейты тут
https://blogs.technet.microsoft.com/msrc/2019/05/14/prevent-a-worm-by-updating-remote-desktop-services-cve-2019-0708/

АНАРХИЯ, ВСЕМ ДАННЫЕ, КОТАНЫ!

Роскомнадзор проверил информацию об обнаружении в информационных системах госорганов 360 тысяч записей с личными данными россиян. Об этом сообщается на сайте ведомства. Среди записей в том числе были данные бывших вице-премьеров Анатолия Чубайса и Аркадия Дворковича.
Согласно ответу ведомства, такое опубликование персональных данных «попадает под правовые основания, предусмотренные статьёй 6 Федерального закона „О персональных данных“».

https://tjournal.ru/tech/97259-roskomnadzor-ne-uvidel-narusheniya-zakona-v-publikacii-dannyh-360-tysyach-polzovateley-na-gossaytah

Сегодня прям какой-то день АЛЯРМОВ. Обнаружен новый набор уязвимостей в процессорах Intel (выпущенных, начиная с 2011 года), похожих на Meltdown/Spectre, эксплуатирующих “слабость” предположительных вычислений в современных процессорах. Новая атака называется ZombieLoad и состоит из 4 отдельных багов. Суть, как я понял, заключается в том, что специально подготовленный код позволяет заставить процессор выдать данные из других приложений. Проблема затрагивает как персональные компьютеры, так и виртуальные машины в облаке, где в результате атаки можно получить доступ к данным из других виртуальных машин. На данный момент следов реальных атак не было зафиксировано, но это не значит, что их не было. Для обычных пользователей это означает, что какое-то вредоносное ПО, установленное на компьютер, может запустить такую атаку и перехватить из процессора конфиденциальную информацию. Intel выпустила апдейт микрокода процессора, который, по словам представителя компании, может привести к снижению производительности персональных компьютеров до 3%, а компьютеров в облачных датацентрах — до 9%.

Ссылки по теме:
Информация об атаке https://zombieloadattack.com

Производители компьютеров выпускают апдейты:
Apple выпустила 10.14.5, что предотвращает атаку через Safari. Для желающих защититься полностью от подобных угроз, в этом апдейте добавили также возможность полного отключения Hyper-Threading в процессоре, но это приведет к снижению производительности компьютеров на 40%
https://support.apple.com/en-gb/HT210108

Google выпустила обновление для устройств Android на процессорах Intel
https://support.google.com/faqs/answer/9330250
Обновление для датацентров Google
https://support.google.com/faqs/answer/9330250

Обновление для компьютеров с Windows
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/adv190013
https://support.microsoft.com/en-us/help/4093836/summary-of-intel-microcode-updates
https://support.microsoft.com/en-us/help/4073119/protect-against-speculative-execution-side-channel-vulnerabilities-in

Amazon обновила AWS
https://aws.amazon.com/security/security-bulletins/AWS-2019-004/

#КАКСТРАШНОЖИТЬ

список уязвимостей в различных приложениях и операционных системах, которые были обнаружены "в естественной среде", так сказать, и использовались в реальных атаках. Список собирает Google в рамках Project Zero.
https://docs.google.com/spreadsheets/d/1lkNJ0uQwbeC1ZTRrxdtuPLCIl7mlUreoKfSIgajnSyY/htmlview?sle=true#

не все ключи безопасности одинаково полезны. некоторые ключи, которые раздавала Google — Titan Security Keys, используемые для двухфакторной аутентификации, оказались с уязвимым соединием Bluetooth. Теперь Google их бесплатно поменяет
https://security.googleblog.com/2019/05/titan-keys-update.html