49 расширений Chrome, которые Google убрала из web store, притворявшиеся криптокошельками, а на самом деле пытались воровать приватные ключи от них
https://www.zdnet.com/article/exclusive-google-removes-49-chrome-extensions-caught-stealing-crypto-wallet-keys/

======РЕКЛАМА======
21 апреля в 16.00 пройдет круглый стол ANTI-APT ONLINE. Представители «Инфосистемы Джет», Group-IB, Positive Technologies, «АВ Софт» и «Лаборатории Касперского» обсудят тенденции на российском рынке решений для защиты от целенаправленных атак, поделятся видением эффективного построения защиты от сложных атак, расскажут, как продукты работают в режиме удаленной работы, и разберут актуальные кейсы использования Anti-APT для решения конкретных задач.
Регистрируйтесь и приходите: https://events.webinar.ru/jet/antiapt
======РЕКЛАМА======

А помните компанию Clearview AI, про которую я тут неоднократно писал пару месяцев назад? Которая насобирала картинок с фотографиями людей по социальным сетям и другим сервисам, прогнала их через алгоритмы и научила нейросеть распознавать людей на фото и видео. После этого компания начала продавать сервис по распознаванию, по их словам, только правоохранительным органам, а, как оказалось, кому попало (потому что их сервер с базой клиентов взломали). Так вот, теперь им взломали ещё репозиторий - точнее, не взломали, он был неправильно настроен: хоть он и был защищён паролем, но позволял создавать новых пользователей, что и сделал один исследователь безопасности. В репозитории обнаружились код и собранные версии приложений компании, а также токены к Slack, с помощью которых можно было читать переписку сотрудников компании. Короче, молодцы там они

https://techcrunch.com/2020/04/16/clearview-source-code-lapse/

В рамках пятницы

Потенциально интересная игрушка
https://flipperzero.one/zero

Также напоминаю, что https://t.me/alexmakus/3410

я только не пони, почему сейчас только пришло время рассказать о событиях июля прошлого года
https://auth0.com/blog/insomnia-security-disclosure/
https://insomniasec.com/blog/auth0-jwt-validation-bypass

Я уже как-то давал ссылку на этот каталог, но не грех и повторить - каталог различных околокомпьютерных гаджетов и их рейтинг от Мозиллы в плане безопасности и сбора пользовательских данных

https://foundation.mozilla.org/en/privacynotincluded/

между тем, хакеры Серверной Кореи по прежнему представляют собой опасность для США и глобальной финансовой системы
https://www.reuters.com/article/us-usa-northkorea-cyber-advisory/north-korea-hacking-threatens-us-and-global-financial-system-us-officials-idUSKCN21X1Z0

(да, я знаю про опечатку, но так даже лучше)

Интересная ссылка от читателя про исследование, которое позволяет использовать вентиляторы(!) компьютеров для создания контролируемых вибраций, что позволило бы передавать информацию с изолированных систем. Эксперты университета имени Давида Бен-Гуриона в Негеве давно известны обнаружением необычных векторов атаки для получения данных с таких систем, рекомендую прочитать список в статье. Вот несколько примеров:
- получение данных через диод активности жесткого диска
- создание звуковых волн для передачи данных через управляемые операции чтения-записи жесткого диска
- передача данных через диоды клавиатуры
и тд.
https://www.zdnet.com/article/academics-steal-data-from-air-gapped-systems-using-pc-fan-vibrations/

И снова здравствуйте! Я просто оставлю этот тред в твиттере тут. Он длинный, но он того стоит: чувак решил разобраться, почему его «умный» пульт Logitech Harmony из 2009 года требует заряжённую батарейку, и обнаружил такое!!! Кликай, чтобы узнать!!! (QNX, Flash, отправку данных по http, и много всего другого интересного, но я рекомендую этот путь в кроличью нору проделать самостоятельно)

https://twitter.com/foone/status/1251395931351609347?s=21

совместное заявление более 300 ученых касательно различных методов по отслеживанию контактов и рисков для конфиденциальных персональных данных. В двух словах: ничего не получится, если не уважать приватность https://drive.google.com/file/d/1OQg2dxPu-x-RZzETlpV3lFa259Nrpk1J/view

иногда опасносте не информация, а криптовалюта
https://www.zdnet.com/article/hackers-steal-25-million-worth-of-cryptocurrency-from-uniswap-and-lendf-me/

Это очень красиво
https://googleprojectzero.blogspot.com/2020/04/you-wont-believe-what-this-one-line.html

Новость, которая заставила меня проверить, не дежавю ли это, или просто глюк в матрице. Опять новости про уязвимость в iOS, которую использует Китай для заражения айфонов уйгуров
https://www.volexity.com/blog/2020/04/21/evil-eye-threat-actor-resurfaces-with-ios-exploit-and-updated-implant/

О подобном я писал в прошлом году
https://t.me/alexmakus/3021

Там тоже шла речь об уязвимостях в iOS 12, которые были исправлены. Так и в этом случае, уязвимости присутствуют в версиях iOS 12.3, 12.3.1 и 12.3.2, но были исправлены в 12.4. Эксплойт под названием Insomnia, заражал телефон пользователя при посещении сайта путем загрузки вредоносных файлов JavaScript, и применялся затем для выгрузки нешифрованной переписки в браузерах, фотографий, адресной книги и информации о геолокации. Дополнение по сравнению с прошлогодними уязвимостями — попытки получить доступ к почте Proton, а также к изображениям в Signal. Загруженные вредоносные фафлы удаляются после рестарта устройства. Группа, ответственная за этот эксплойт — та же, что и с цепочкой уязвимостей из новостей прошлого года.

Продолжая тему с уязвимостями для iPhone. Компания Zecops опубликовала отчет о том, что они обнаружили уязвимости в iOS, которые к тому же уже эксплуатируются для получения доступа к данным пользователей, по утверждениям компани, их обнаруживших. Одна из них вообще не требует кликов, а вектор — получение писем в почте, которые выжирают большое количество памяти, причем полная загрузка письма с сервера не требуется (в iOS 13). в iOS 12 требуется клик на письмо. Визуально для пользователя это выглядит как падение почтового клиента после получения нового письма.
Уязвимости присутствуют как минимум с iOS 6, по утверждениям компании. Apple говорит о том, что уязвимости исправлены в последних бетах iOS 13 и войдут в ближайший релиз. Сама уязвимость, обнаруженная компанией, не приводит к утечкам данных на устройстве, атакующим нужны другие уязвимости для доступа через ядро, например, чтобы получить данные к пользователям. Но при наличии high-value цели определенные силы могут найти и такие уязвимости — массовым пользователям особо волноваться по поводу подобных уязвимостей не стоит.

https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/

Раз уж речь о Zero-click RCE. Вот уязвимость CVE-2020-0022 в Android 8 и 9, которая при её эксплуатации позволяет установить удаленное соединение со смартфоном. Уязвимость была исправлена в патче 1.2.2020 in A-143894715
https://insinuator.net/2020/04/cve-2020-0022-an-android-8-0-9-0-bluetooth-zero-click-rce-bluefrag/

​​===== РЕКЛАМА ======
Positive Technologies приглашает на онлайн-запуск новой версии PT Application Firewall 4.0  – межсетевого экрана уровня приложений.
В программе презентация решения, а также интервью с ведущими экспертами компании.
Регистрация по ссылке
===== РЕКЛАМА ======

Утек исходный код Team Fortress 2 и Counter-Strike: Global Offensive. Циркулируют рекомендации играть только на официальных серверах, чтобы избежать потенциально какого нибудь вредоносного ПО с RCE, написанного по результатам утечки. Компания утверждает, что причин для паники нет

https://www.bleepingcomputer.com/news/security/valve-reassures-gamers-after-cs-go-and-team-fortress-2-leaks/