читатель прислал ссылку с хорошей компиляцией информации по log4j
https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592
а тут просто хорошее описание проблемы
https://www.lunasec.io/docs/blog/log4j-zero-day/
https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592
а тут просто хорошее описание проблемы
https://www.lunasec.io/docs/blog/log4j-zero-day/
Gist
BlueTeam CheatSheet * Log4Shell* | Last updated: 2021-12-20 2238 UTC
BlueTeam CheatSheet * Log4Shell* | Last updated: 2021-12-20 2238 UTC - 20211210-TLP-WHITE_LOG4J.md
=== РЕКЛАМА ====
14 декабря в 14:00 Positive Technologies презентует PT XDR — новое решение для обнаружения киберугроз и реагирования на них
В честь этого Positive Technologies приглашает всех, кто интересуется рынком ИБ, на презентацию решения в онлайн-формате.
Эксперты расскажут и продемонстрируют, что такое XDR и как они позволяют ловить хакеров, каков «правильный» рецепт XDR, нацеленного на результативную для бизнеса безопасность. Также компания анонсирует финальный элемент XDR-решения — продукт для защиты конечных точек.
Кстати, узнать о том, что такое XDR можно из YouTube-ролика: https://www.youtube.com/watch?v=kdBwKcGhVNA
Участники Positive Launch Day 2021 смогут самостоятельно влиять на ход трансляции, а также получить ценные призы.
Программа мероприятия, а также «позитивная» версия любимой аналоговой игры по ссылке
14 декабря в 14:00 Positive Technologies презентует PT XDR — новое решение для обнаружения киберугроз и реагирования на них
В честь этого Positive Technologies приглашает всех, кто интересуется рынком ИБ, на презентацию решения в онлайн-формате.
Эксперты расскажут и продемонстрируют, что такое XDR и как они позволяют ловить хакеров, каков «правильный» рецепт XDR, нацеленного на результативную для бизнеса безопасность. Также компания анонсирует финальный элемент XDR-решения — продукт для защиты конечных точек.
Кстати, узнать о том, что такое XDR можно из YouTube-ролика: https://www.youtube.com/watch?v=kdBwKcGhVNA
Участники Positive Launch Day 2021 смогут самостоятельно влиять на ход трансляции, а также получить ценные призы.
Программа мероприятия, а также «позитивная» версия любимой аналоговой игры по ссылке
YouTube
Погружение в XDR
Объем инвестиций компаний в информационную безопасность постоянно увеличивается, но также растет число взломов и их сложность. Поэтому на рынке кибербезопасности возникают новые классы решений. В этом ролике рассказываем про такой класс решений, как XDR,…
Когда Apple запустила свои трекеры AirTag, то у пользователей Android не было нормальной возможности узнать о том, что за ними могут следить с помощью такого трекера. Теперь Apple выпустила приложение для пользователей Android, которое делает именно это:
https://play.google.com/store/apps/details?id=com.apple.trackerdetect
https://www.cnet.com/tech/mobile/apple-launches-airtags-and-find-my-detector-app-for-android-in-effort-to-boost-privacy/
(Ну, за исключением того, что теперь всем пользователям Андроид надо это приложение поставить, а что делать тем, у кого нет смартфона - вообще непонятно
https://play.google.com/store/apps/details?id=com.apple.trackerdetect
https://www.cnet.com/tech/mobile/apple-launches-airtags-and-find-my-detector-app-for-android-in-effort-to-boost-privacy/
(Ну, за исключением того, что теперь всем пользователям Андроид надо это приложение поставить, а что делать тем, у кого нет смартфона - вообще непонятно
Google Play
Tracker Detect - Apps on Google Play
Tracker Detect looks for Find My compatible item trackers that may be with you.
Кстати про Apple. Вчера вышли апдейты для операционных систем компании, и в документе о фиксах безопасности в iOS /iPadOS 15.2 я насчитал 42 CVE, и упоминание термина kernel 14 раз. Так что вы знаете, что делать :)
https://support.apple.com/en-us/HT212976
С одной стороны, хорошо, что исправляют, а с другой стороны, может, стоит меньше таких вещей допускать?
https://support.apple.com/en-us/HT212976
С одной стороны, хорошо, что исправляют, а с другой стороны, может, стоит меньше таких вещей допускать?
Apple Support
About the security content of iOS 15.2 and iPadOS 15.2
This document describes the security content of iOS 15.2 and iPadOS 15.2.
чтобы вам не казалось, что log4j — это какая-то ерунда, вот вам цитата от директора Агентства по безопасности инфраструктуры и кибербезопасности США (Cybersecurity and Infrastructure Security Agency — CISA) по поводу того, что она думает об этой уязвимости:
“is one of the most serious I’ve seen in my entire career, if not the most serious.”
https://www.cyberscoop.com/log4j-cisa-easterly-most-serious/
“is one of the most serious I’ve seen in my entire career, if not the most serious.”
https://www.cyberscoop.com/log4j-cisa-easterly-most-serious/
CyberScoop
CISA warns 'most serious' Log4j vulnerability likely to affect hundreds of millions of devices
Cybersecurity and Infrastructure Security Agency Director Jen Easterly told industry leaders in a phone briefing Monday that a vulnerability in a widely-used logging library “is one of the most serious I’ve seen in my entire career, if not the most serious.”…
ладно, баги багами, фиксы фиксами, но в iOS 15.2 завезли и полезную тему — отчет конфиденциальности приложений.
вот официальный документ по поводу этой фичи (локализацию на русский еще, похоже, не завезли)
https://support.apple.com/en-us/HT212958
но смысл такой, что эта функция позволяет узнать, какие приложения ходят за вашей инфой о геолокации, кто в контакты, кто в фото, кто ходит в сеть и на какие домены обращается, и так далее. Эти отчеты доступны за последние 7 дней. Короче, полезная штука, которая позволяет пользователям узнать, кто на устройстве любит последить, а кто не любит. конфиденциальность, информация безопасносте, и тд. Хотя, уверен, любители теорий заговоров и тут придумают, как эта фича приносит выгоду Эпол.
вот хороший блогпост об этой функции
https://www.intego.com/mac-security-blog/understanding-ios-and-ipados-app-privacy-report/
вот официальный документ по поводу этой фичи (локализацию на русский еще, похоже, не завезли)
https://support.apple.com/en-us/HT212958
но смысл такой, что эта функция позволяет узнать, какие приложения ходят за вашей инфой о геолокации, кто в контакты, кто в фото, кто ходит в сеть и на какие домены обращается, и так далее. Эти отчеты доступны за последние 7 дней. Короче, полезная штука, которая позволяет пользователям узнать, кто на устройстве любит последить, а кто не любит. конфиденциальность, информация безопасносте, и тд. Хотя, уверен, любители теорий заговоров и тут придумают, как эта фича приносит выгоду Эпол.
вот хороший блогпост об этой функции
https://www.intego.com/mac-security-blog/understanding-ios-and-ipados-app-privacy-report/
Apple Support
About App Privacy Report
Learn how App Privacy Report helps give you visibility into the ways apps use the privacy permissions you've granted them, as well as their network activity.
А вот было очень интересно прочитать новость про NSO Group, которая, судя по всему, как это говорят в мире, "исследует стратегические опции". Собственно, в статье Bloomberg идет речь о том, что компания рассматривает возможность закрытия подразделения Pegasus и продажи всей компании.
Речь идет о том, что потенциальные инвестиционные фонды могли бы приобрести NSO Group, закрыть Pegasus, и влить деньги в превращение компании в приличного "киберзащитника".
https://www.bloomberg.com/news/articles/2021-12-13/spyware-firm-nso-mulls-shutdown-of-pegasus-unit-sale-of-company
Речь идет о том, что потенциальные инвестиционные фонды могли бы приобрести NSO Group, закрыть Pegasus, и влить деньги в превращение компании в приличного "киберзащитника".
https://www.bloomberg.com/news/articles/2021-12-13/spyware-firm-nso-mulls-shutdown-of-pegasus-unit-sale-of-company
Bloomberg.com
Spyware Firm NSO Mulls Shutdown of Pegasus, Sale of Company
NSO Group Ltd., the scandal-plagued spyware company that’s in danger of defaulting on its debts, is exploring options that include shutting its controversial Pegasus unit and selling the entire company, according to people familiar with the matter.
Больше уязвимостей в log4j богу уязвимостей!
https://www.lunasec.io/docs/blog/log4j-zero-day-update-on-cve-2021-45046/
https://www.lunasec.io/docs/blog/log4j-zero-day-update-on-cve-2021-45046/
Пандемия log4j - красивые графики роста количества атак, вариантов и тд
https://blog.checkpoint.com/2021/12/13/the-numbers-behind-a-cyber-pandemic-detailed-dive/
https://blog.checkpoint.com/2021/12/13/the-numbers-behind-a-cyber-pandemic-detailed-dive/
Check Point Software
The Numbers Behind Log4j CVE-2021-44228 - Check Point Software
Get A detailed dive for the numbers Behind the Apache Log4j Vulnerability CVE-2021-44228 and how Check Point can help
так вот откуда новые читатели! Ну велкам, велкам! Баклажанов не обещаю, но скучно тоже не будет — потому что интернет в огне, и мы в огне, и всё в огне... this is fine.jpg
https://xakep.ru/2021/12/08/telegram-for-hackers/
https://xakep.ru/2021/12/08/telegram-for-hackers/
xakep.ru
Хакерская телега. Обзор Telegram-каналов об информационной безопасности
Все-таки Telegram — уникальное приложение. Оно сочетает в себе удобный мессенджер, социальную сеть и блоги, в которых многоопытные гуру обещают превратить любого говорящего попугая в DevOps-инженера. Давай посмотрим, что есть в «Телеграме» по теме информационной…
Чтоб вам не казалось, что тут сплошные хихоньки и хахоньки, вот вам лонгрид про FORCEDENTRY - уязвимость, с помощью которой NSO Group ломала iphone еще вот буквально в 2021 году. Сама уязвимость была исправлена в сентябре этого года. Отчёт об её исследовании опубликовали Project Zero при содействии Citizen Lab и специалистов Apple Security Engineering and Architecture (SEAR).
https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html
Эксплуатация уязвимости предполагала отправку сообщения жертве, но ей даже не надо было ничего делать - клик по ссылке не требовался. Там интересный момент в том, что при получении гиф-файла, еще до того, как картинка показывалась пользователю в приложении Messages, системой вызывался метод, который копировал гифку для дальнейшего показа. Только вот в файле формата gif может быть совсем не гифка. В итоге специально подготовленный файл вызывал библиотеку ImageIO, который пытался угадать формат файла, и тут уже участниками процесса становились более 20 кодеков изображений. А дальше там уже PDF внутри гифки, который начинает разбирать парсер CoreGraphics, а внутри ПДФ можно засунуть JavaScript…
но на самом деле там идёт речь о формате JBIG2, компрессии символов глифов в этом формате, переполнении буфера памяти и ещё каких-то страшных вещах, которые я в какой-то момент перестал понимать:
JBIG2 doesn't have scripting capabilities, but when combined with a vulnerability, it does have the ability to emulate circuits of arbitrary logic gates operating on arbitrary memory. So why not just use that to build your own computer architecture and script that!? That's exactly what this exploit does. Using over 70,000 segment commands defining logical bit operations, they define a small computer architecture with features such as registers and a full 64-bit adder and comparator which they use to search memory and perform arithmetic operations. It's not as fast as Javascript, but it's fundamentally computationally equivalent.
Дальше авторы поста обещают продолжение с рассказом, как происходил «побег из песочницы», так что ждём
https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html
Эксплуатация уязвимости предполагала отправку сообщения жертве, но ей даже не надо было ничего делать - клик по ссылке не требовался. Там интересный момент в том, что при получении гиф-файла, еще до того, как картинка показывалась пользователю в приложении Messages, системой вызывался метод, который копировал гифку для дальнейшего показа. Только вот в файле формата gif может быть совсем не гифка. В итоге специально подготовленный файл вызывал библиотеку ImageIO, который пытался угадать формат файла, и тут уже участниками процесса становились более 20 кодеков изображений. А дальше там уже PDF внутри гифки, который начинает разбирать парсер CoreGraphics, а внутри ПДФ можно засунуть JavaScript…
но на самом деле там идёт речь о формате JBIG2, компрессии символов глифов в этом формате, переполнении буфера памяти и ещё каких-то страшных вещах, которые я в какой-то момент перестал понимать:
JBIG2 doesn't have scripting capabilities, but when combined with a vulnerability, it does have the ability to emulate circuits of arbitrary logic gates operating on arbitrary memory. So why not just use that to build your own computer architecture and script that!? That's exactly what this exploit does. Using over 70,000 segment commands defining logical bit operations, they define a small computer architecture with features such as registers and a full 64-bit adder and comparator which they use to search memory and perform arithmetic operations. It's not as fast as Javascript, but it's fundamentally computationally equivalent.
Дальше авторы поста обещают продолжение с рассказом, как происходил «побег из песочницы», так что ждём
Blogspot
A deep dive into an NSO zero-click iMessage exploit: Remote Code Execution
Posted by Ian Beer & Samuel Groß of Google Project Zero We want to thank Citizen Lab for sharing a sample of the FORCEDENTRY exploit w...
Как передают из интернетов, патчи не только исправляют уязвимости, но и добавляют новые. И где? В log4j
https://arstechnica.com/information-technology/2021/12/patch-fixing-critical-log4j-0-day-has-its-own-vulnerability-thats-under-exploit/
https://arstechnica.com/information-technology/2021/12/patch-fixing-critical-log4j-0-day-has-its-own-vulnerability-thats-under-exploit/
Ars Technica
Patch fixing critical Log4J 0-day has its own vulnerability that’s under exploit
If you've patched using Log4J 2.15.0, it's time to consider updating again. Stat.
Ок, наконец-то полезный сайт в этом вашем интернете
https://log4jmemes.com
https://log4jmemes.com
Хорошие новости: Facebook расширяет свою программу компенсаций за обнаружение проблем безопасности на случаи сбора — "scraping" — данных). Плохие новости заключаются в том, что, кажется, все, кто хотел, уже оттуда данные собрали.
https://engineering.fb.com/2021/12/15/security/bug-bounty-scraping/
https://engineering.fb.com/2021/12/15/security/bug-bounty-scraping/
Engineering at Meta
Charting the future of our bug bounty program
We’re tackling the industry-wide issue of scraping by expanding our bug bounty program to reward valid reports of scraping bugs and unprotected data sets. To the best of our knowledge, this is an i…
Как когда-то с уязвимостями в процессорах, в случае с log4j пора, кажется, переходить просто на ежедневные дайджесты новостей, иначе поток будет состоять только из апдейтов на тему log4j. Ну, посмотрим. Пока что тут вот интересное: Microsoft уже показывает пальцами на определенные страны оси добра, которые активно эксплуатируют уязвимость CVE-2021-44228 наверняка с какой-нибудь полезной (для себя целью)
https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
Интересно, что американская CISA в приказном порядке заставляет все государственные федеральные организации до 24 декабря устранить уязвимости. Приказы, конечно, ускорят процесс.
https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance
https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
Интересно, что американская CISA в приказном порядке заставляет все государственные федеральные организации до 24 декабря устранить уязвимости. Приказы, конечно, ускорят процесс.
https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance
Microsoft News
Guidance for preventing, detecting, and hunting for exploitation of the Log4j 2 vulnerability
Microsoft is tracking threats taking advantage of the remote code execution (RCE) vulnerability in Apache Log4j 2. Get technical info and guidance for using Microsoft security solutions to protect against attacks.
=== РЕКЛАМА ====
Как общаться анонимно в интернете?
Таких площадок всё меньше и меньше: браузер Тор под запретом и там можно вычислить пользователя,а ещё и скоро будет введена обязательная идентификация пользователей мессенджеров по телефонному номеру.
Чтобы общение было безопасным воспользуйтесь новой анонимной сетью «Utopia P2P — Web 3.0» Она построена без использования централизованного сервера для хранения данных — каждый пользователь имеет личный крипто контейнер.
1. Анонимная регистрация. Ваш IP-адрес и личность не будут раскрыты. Мгновенное шифрование текста, голосовой связи и почты.
2. Обширный функционал: мессенджер, емейл, браузер, электронный кошелёк, игры и многое другое
3. Безопасные хранение и передача. Utopia использует скоростное шифрование 256-bit AES и curve25519.
Большое сообщество фанатов экосистемы по всему миру уже оценили преимущества Утопии перед Тором. Присоединяйтесь и вы!
Скачивайте и регистрируйтесь по ссылке — https://u.is/ru
Как общаться анонимно в интернете?
Таких площадок всё меньше и меньше: браузер Тор под запретом и там можно вычислить пользователя,а ещё и скоро будет введена обязательная идентификация пользователей мессенджеров по телефонному номеру.
Чтобы общение было безопасным воспользуйтесь новой анонимной сетью «Utopia P2P — Web 3.0» Она построена без использования централизованного сервера для хранения данных — каждый пользователь имеет личный крипто контейнер.
1. Анонимная регистрация. Ваш IP-адрес и личность не будут раскрыты. Мгновенное шифрование текста, голосовой связи и почты.
2. Обширный функционал: мессенджер, емейл, браузер, электронный кошелёк, игры и многое другое
3. Безопасные хранение и передача. Utopia использует скоростное шифрование 256-bit AES и curve25519.
Большое сообщество фанатов экосистемы по всему миру уже оценили преимущества Утопии перед Тором. Присоединяйтесь и вы!
Скачивайте и регистрируйтесь по ссылке — https://u.is/ru