Кстати, в открытых вкладках у меня была ещё одна статья с рассказом про другую российскую хакерскую группировку - Trickbot, оператора ботнетов, зарабатывающего атаками с требованиями выкупов

https://www.wired.com/story/trickbot-malware-group-internal-messages/

баг баунти? деньги? ага, уже бежим! Законопроект на Ямайке предполагает штраф в 20 тыс долларов и до 3 лет в тюрьме за обнаружение уязвимостей в государственных и корпоративных сайтах. Нормально у них там.

https://jamaica-gleaner.com/article/lead-stories/20220204/ethical-hackers-face-tough-sanction

Тред с анализом фотографии королевы Англии, на которой виднеются, возможно, важные документы - что могут скрывать такие фотографии

https://twitter.com/amateuradam/status/1490394034900197388

В Штатах у законодателей опять чешутся руки принять закон, чтобы был доступ ко всей переписке - в рамках которого компании должны были бы сканировать сообщения пользователей и сообщать о нарушениях в правоохранительные органы. Надеюсь, провалится, как и в прошлый раз

https://www.eff.org/deeplinks/2022/02/its-back-senators-want-earn-it-bill-scan-all-online-messages

В США налоговая вздумала ввести аутентификацию пользователей по видеоизображению и распознаванию визуального образа. Причём предполагалось использовать сторонний сервис для этого, куда надо было загружать персональную информацию для верификации. Вот пост о том, как это должно было работать, с комментариями, почему это не очень хорошая идея:

https://krebsonsecurity.com/2022/01/irs-will-soon-require-selfies-for-online-access/

Месяц спустя, после вопросов о том, не охренели ли они, налоговая пообещала пока не охреневать, и отменила эти планы

https://www.irs.gov/newsroom/irs-announces-transition-away-from-use-of-third-party-verification-involving-facial-recognition

И ещё хорошие новости, которые в этом канале бывают не так часто. Microsoft вчера опубликовала пост, в котором обещает внедрить одно полезное и долгожданное изменение. Как известно, макросы в офисе - один из популярных механизмов атаки, когда пользователи, несмотря на все предупреждения, все равно эти вредоносные макросы открывают. Теперь же макросы на Windows в приложениях MS Office, в тех документах, которые были загружены из интернета, будут по умолчанию заблокированы.

https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805

=== РЕКЛАМА ====
В поисках надёжного корпоративного файрвола следующего поколения?
Регистрируйтесь на вебинар «Всё о FortiGate 2022 опыт известных компаний, реальные кейсы», который пройдет 10 февраля в 12:00.

Узнайте обо всех преимуществах межсетевого экрана FortiGate. Практический опыт и реальные кейсы за 45 минут

На этом вебинаре:
🔹 узнаете как работает контроль приложений и сайтов
🔹 научитесь контролировать файлообменники с привязкой пользователей по AD
🔹 покажем как при помощи FortiGate настроить VPN
🔹 расскажем как быстро и безопасно соединить несколько офисов при помощи SD-WAN
🔹 объясним как обеспечить безопасность удаленных пользователей с помощью FortiClient
🔹 разберемся как внедрить многофакторную аутентификацию при помощи FortiToken и FortiAuthenticator
🔹 покажем как при помощи FortiAnalyzer легко настроить сбор и анализ логов для отчетности
✅ услышите ответы на ваши вопросы

Регистрируйтесь на вебинар: «Всё о FortiGate 2022 опыт известных компаний, реальные кейсы» ⏩ https://clck.ru/aocUk

В 2016 году взломали биржу bitfinex и украли 120 тысяч биткойнов. Сегодня министерство юстиции США объявило о том, что двое подозреваемых во взломе задержаны в США, а у них изъято криптовалюты на 3,6 МИЛЛИАРДА долларов. МИЛЛИАРДА. М И Л Л И А Р Д А !!!

https://www.wsj.com/articles/justice-department-says-it-seized-3-6-billion-in-stolen-cryptocurrency-exchange-hack-11644339381

ладно, в качестве бонуса вот вам рэп-видео второй задержанной по обвинению в отмывании денег (криптовалюты), предположительно похищенной с Bitfinex — Heather Morgan, она же
Razzlekhan

заранее запаситесь жидкостью для промывания глаз и ушей

https://www.youtube.com/watch?v=_DIuPPmY9mw

Перезалитая версия
https://youtu.be/7jlSHGAem6g

Кстати, официальное обвинение у них — сговор с целью отмывания денег, и сговор с целью обмануть правительство США. Но именно в кошельке Ильи "Голландец" Лихтенштейна, мужа Хезер Морган, оказались похищенные с bitfinex деньги

АПД:
вебсайт https://razzlekhan.com

твиттер https://twitter.com/HeatherReyhan

тикток https://www.tiktok.com/@realrazzlekhan

линкдин https://www.linkedin.com/in/untraveling/

статьи в Forbes! https://www.forbes.com/sites/heathermorgan/?sh=5d5568757f7d
(включая статью о защите бизнеса от киберпреступников! https://www.forbes.com/sites/heathermorgan/2020/06/18/protect-your-business-from-cybercriminals/?sh=578745d82f27)

и бонус — линкдин её мужа https://www.linkedin.com/in/unrealdutch/

Февральский патч безопасности для Android, помимо других уязвимостей, исправляет CVE-2021-39675 — критическую уязвимость, которая позволяет эскалировать права без какого-либо взаимодействия с пользователем, стеснительно поясняет Google в своем посте:

https://source.android.com/security/bulletin/2022-02-01

технических деталей мало, потому что, видимо, нужно дать время производителям выкатить апдейт для своих телефонов. Интересно, что изменения в коде затрагивают работу NFC, так что, возможно, что проблема была где-то в этом месте.
https://android.googlesource.com/platform/system/nfc/+/fef77a189022aa7ac53136e582a1444b1d2ef5f0%5E%21/#F0

Кстати, если у вас Pixel 3/3XL, то это последний апдейт, в том числе и безопасности, который получат эти устройства.

кстати, раз уж про апдейты. у Microsoft тоже февральский патч! 51 фикс, при этом ни одного критического CVE! Можно расслабиться и не ставить апдейт. Стоп. Нет, всетаки апдейт лучше поставить, чтобы разработчики Microsoft чувствовали себя нужными и восстребованными!

https://msrc.microsoft.com/update-guide/vulnerability

Какая-то странная история про швейцарскую компанию Mitto AG, которая предоставляла Твиттеру услугу по обеспечению двухфакторной аутентификации, когда пользователю требовалось текстовое сообщение с кодом. По совместительству эта контора также предоставляла услуги правительствам по слежке и мониторингу мобильных телефонов, включая информацию о местоположении телефона. Предполагается, что компания использовала уязвимости в протоколе SS7, который используется мобильными операторами для передачи информации между их сетями. Твиттер, кстати, не единственный её клиент, но, похоже, самый массовый.

https://www.bloomberg.com/news/articles/2022-02-08/twitter-tells-senator-it-is-cutting-ties-to-swiss-tech-firm

АЛЯРМА

iOS и iPadOS 15.3.1, macOS Monterey 12.2.1, исправляют уязвимость в WebKit, которая "may have been actively exploited." (Значит, что 100% точно эксплуатировалась)

Так что ставьте апдейты, пока не началось!

https://support.apple.com/en-us/HT213093

Первый раз слышу о таком: Фейсбук для верификации человека требует залить видео, где будет видно лицо с разных сторон. Обещают потом обязательно видео удалить. Хочется услышать комментарий от ФБ, чтобы понять, не охренели ли они там окончательно

https://reddit.com/r/assholedesign/comments/sq81r0/facebook_asking_me_to_send_them_a_full_video_of/

В тему

Симпатичный сайт, который можно показывать тем, кто не представляет себе масштабов возможного мониторинга в интернете - страница показывает различные данные, которые можно получить через браузер пользователя. Может быть, сможет кого-то из культа «мне нечего скрывать» убедить.

https://www.deviceinfo.me/

Похожий вариант
https://coveryourtracks.eff.org/

=== РЕКЛАМА ====

​Использование контейнеров в продуктивных системах растет с каждым днём.

Давайте разберемся, как же их защищать!

Для этого нам может помочь Gartner и его новая концепция - CNAPP - Cloud Native Application Protection Platform. Фактически она описывает концепцию защиты контейнеров как набор функций безопасности (SAST/DAST/IaCSec/KSPM и пр.), которые обеспечивают безопасность приложений на всех этапах их жизненного цикла - от разработки до продуктива.
 
Ещё есть набор полезных стандартов от CIS. Например CIS kubernetes/Docker/Linux benchmark. Это набор лучших практик по безопасной настройке и минимизации вероятности атаки на инфраструктуру. Показателен тут кейс с Tesla.

Но что делать, если что-то происходит уже внутри контейнеров?
Использовать защиту на уровне runtime! Блокировать вредоносные действия внутри запущенного контейнера и применять к ним политики ИБ.

Об этом и других аспектах защиты контейнеризации, расскажут на серии вебинаров от Aqua Security.
Ближайший вебинар уже в эту среду (16 февраля, 11:00 МСК)

присоединяйтесь -
info.aquasec.com/jump-start-russia

История про губернатора Миссури не отпускает, и вроде бы даже на прошлой неделе у неё было завершение, но нет. Напомню, журналист, просматривая код сайта какого-то образовательного подразделения, обнаружил там номера социального страхования сотрудников этого подразделения (и многих других). О чем он сообщил администраторам сайта, те закрыли уязвимость, издание написало об этом новость. Говноедный губернатор обвинил журналиста в хакерстве, и даже несмотря на то, что ФБР сказали ему, что никакого взлома не было, натравил на журналистов прокуроров штата. Те, порасследовав дело, на прошлой неделе его закрыли - за отсутствием состава преступления. Но губернатор штата в своём заявлении продолжает настаивать, что это был факт взлома:

The hacking of Missouri teachers' personally identifiable information is a clear violation of Section 56.095, RSMo, which the state takes seriously. The state did its part by investigating and presenting its findings to the Cole County Prosecutor, who has elected not to press charges, as is his prerogative.
The Prosecutor believes the matter has been properly address and resolved through non-legal means.
The state will continue to work to ensure safeguards are in place to protect state data and prevent unauthorized hacks.

Говноед года, вот уж на самом деле.

https://www.techdirt.com/articles/20220212/19454448457/missouris-governor-still-insists-reporter-is-hacker-even-as-prosecutors-decline-to-press-charges.shtml

Google вся такая в белом рассказывает, как она собирается обеспечить блокировку слежки за пользователям на смартфонах между приложениями. Все говорят, как это похоже на то, что сделала Apple (и что привело к потере 200 млрд долларов капитализации Facebook), но, как обычно, дьявол в деталях: не совсем то, не совсем так, и в анонсе только разговор о том, что они разработают план для разработки плана. Молодцы!

https://blog.google/products/android/introducing-privacy-sandbox-android/