В августе была новость про взлом сервиса LastPass (https://t.me/alexmakus/4788). К сожалению, у истории есть продолжение — используя информацию, похищенную в августовском взломе, злоумышленники получили новый доступ к системам компании. В этот раз, похоже, и доступ к некоторой пользовательской информации — какой именно, не уточняется. Пароли, утверждается, “не задеты”.

https://blog.lastpass.com/2022/11/notice-of-recent-security-incident/

а вот еще хороший тред в твиттере, как уязвимость в сервисе спутникового радио для автомобилей SiriusXM — который, как оказалось, также предлагает услуги “подключенных автомобилей”, привела к проблемам у автопроизводителей. В частгости, можно было удаленно разблокировать, включать аварийку, запускать двигатель, получить информацию о местоположении автомобиля — зная лишь его VIN. Касалось это автомобилей Honda, Acura, Nissan, Infiniti. Исследователи сообщили об уязвимости в SiriusXM и те исправили её.

https://twitter.com/samwcyo/status/1597792097175674880

прекрасное, если правда

https://twitter.com/MsMelChen/status/1597807914395500545

Данные почти всех сотрудников «Билайна», включая адреса корпоративной электронной почты, номера мобильных и домашних телефонов, закодированные ФИО и др., оказались в открытом доступе. Первым об этом сообщил Telegram-канал «Утечки информации». Представитель «Билайна» подтвердил факт утечки. 

https://www.vedomosti.ru/technology/articles/2022/12/01/953164-informatsiya-bilaina-utekla

Новые изменения безопасности систем Apple

Apple сегодня анонсировала целый набор существенных изменений в различных системах, обеспечивающих безопасность своих операционных систем и облачного сервиса iCloud. Я, увлекаясь темой информационной безопасности как хобби, могу только поприветствовать такие изменения.
Основных изменений три:
– Проверка ключей контактов в iMessage
– Поддержка физических ключей безопасности для акаунтов Apple ID
– Дополнительные разделы iCloud, которые теперь будут зашифрованы сквозным шифрованием.

Проверка ключей контактов при обмене сообщений в iMessage важна для тех людей, кто может испытывать на себе чрезмерный интерес различных органов — от разведывательных до государственных, например, журналисты. В этом случае те пользователи, которые активировали iMessage Contact Key Verification, получат сообщения, если в переписке будет замечено неавторизованное устройство (например, злоумышленники взломали учетку одного из участников переписки и вошли в нее со своего устройства, что позволяет получать на это устройство сообщения из переписки).

https://alexmak.net/2022/12/07/apple-security-enhancements/

Тред, подчеркивающий, что в интернете нельзя публиковать никаких фотографий вообще - вычисление расположения нового бомбардировщика США

https://twitter.com/johnmcelhone8/status/1600683623250030593

што вообще как

https://twitter.com/0xVeera/status/1601918063989108736

у Apple день апдейтов сегодня, и там в каждом апдейте по пачке фиксов различных уязвимостей

macOS 13.1 https://support.apple.com/kb/HT213532
iOS/iPadOS 16.2 https://support.apple.com/kb/HT213530

и прочие tvOS/watchOS. Если вдруг вы не хотите апдейтиться на последние macOS/iOS, то для macOS 12.6 и 11.7 тоже вышли апдейты с фиксами
https://support.apple.com/kb/HT213533
https://support.apple.com/kb/HT213534

для последней версии iOS/iPad OS 15.7 тоже вышли апдейты
https://support.apple.com/kb/HT213531

в принципе, ужасов-ужасов в логах я не вижу, но вот, например, есть интересное
Available for: macOS Ventura
Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.1.
Description: A type confusion issue was addressed with improved state handling.
WebKit Bugzilla: 247562
CVE-2022-42856: Clément Lecigne of Google's Threat Analysis Group

Впрочем, чуть не пропустил, что у Microsoft тоже Patch Tuesday сегодня!

https://msrc.microsoft.com/update-guide/en-us

48 уязвимостей, включая 6 критических

Okta, a leading provider of authentication services and Identity and Access Management (IAM) solutions, says that its private GitHub repositories were hacked this month.

According to a 'confidential' email notification sent by Okta and seen by BleepingComputer, the security incident involves threat actors stealing Okta's source code.

https://www.bleepingcomputer.com/news/security/oktas-source-code-stolen-after-github-repositories-hacked/

Ok, LastPass опять с апдейтом о взломе. В лучших традициях пиара, апдейт опубликовали незаметно под самое Рождество. Но суть такая, что после взлома украли не только кучу информации о пользователях, но и сами сейфы с паролями:

To date, we have determined that once the cloud storage access key and dual storage container decryption keys were obtained, the threat actor copied information from backup that contained basic customer account information and related metadata including company names, end-user names, billing addresses, email addresses, telephone numbers, and the IP addresses from which customers were accessing the LastPass service.  
The threat actor was also able to copy a backup of customer vault data from the encrypted storage container which is stored in a proprietary binary format that contains both unencrypted data, such as website URLs, as well as fully-encrypted sensitive fields such as website usernames and passwords, secure notes, and form-filled data. These encrypted fields remain secured with 256-bit AES encryption and can only be decrypted with a unique encryption key derived from each user’s master password using our Zero Knowledge architecture. As a reminder, the master password is never known to LastPass and is not stored or maintained by LastPass. The encryption and decryption of data is performed only on the local LastPass client. For more information about our Zero Knowledge architecture and encryption algorithms, please see here. 

Утверждается, что все шифровано и перешифровано, но параноиков это не убедит, я думаю

https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/

👀 Закон о сборе и хранении биометрии россиян – это ловушка. И вот почему

В России в ближайшее время заработает закон о сборе и хранении биометрических данных россиян. В Госдуме его принимали в спешке, со скандалом и только голосами «Единой России». Скоро документ подпишет Путин.

Хотя новый закон отчасти повторяет то, что уже написано в других действующих законах, его все равно можно назвать эпохальным. Вся биометрия россиян будет храниться только в государственной базе. Уже сданные образцы голоса и изображений лиц банки (прежде всего, Сбер) обязаны до 30 сентября 2023 года передать государству.

Формально власти продвигают сдачу биометрии как возможность для граждан быстрее получать государственные и банковские услуги. Однако главным бенефициаром закона следует признать полицию и спецслужбы. База биометрических данных россиян и стремительное внедрение камер в российских городах дают им фактически неограниченные возможности для слежки. Прежде всего, за теми, кто выступает против власти.

Но даже если вы «вне политики», то спешить со сдачей биометрии не нужно. Хотя государство уверяет, что данные будут надежно защищены, опрошенные нами эксперты (например, автор канала «ЗаТелеком» Михаил Климарев) в этом сильно сомневаются.

Подробный разбор нового закона в новом выпуске «Пояснительной записки».

The alleged data dump is being sold by a threat actor named 'Ryushi' on the Breached hacking forum, a site commonly used to sell user data stolen in data breaches.
The threat actor claimed to have collected the data of 400+ million unique Twitter users using a vulnerability. They warned Elon Musk and Twitter that they should purchase the data before it leads to a large fine under Europe's GDPR privacy law.
"Twitter or Elon Musk if you are reading this you are already risking a GDPR fine over 5.4m breach imaging the fine of 400m users breach source," wrote Ryushi in a forum post.

https://www.bleepingcomputer.com/news/security/hacker-claims-to-be-selling-twitter-data-of-400-million-users/

Кстати, пишут, что катится волна взломов аккаунтов у романтиков долбоебов, которые не настроили 2fa в твиттере, и похоже, что это как раз следствие этой утечки

Смотрю, на статью про биометрию подъехали боты с «а вот у них, а вот там». Раз зарядили их на эту тему, значит, неспроста это

Предположения о том, насколько плохо все со взломом LastPass

“Despite having her master password set to an astonishing 19 characters, our source claims to have experienced a wave of successful attacks against her through the sites and services she uses. These have included messing with her home thermostat to change the temperature to a sweltering 87F (About 30C for those who use sensible measurements).

As fun a prank as that sounds, our contact also reports the attackers used her Apple ID and ATT credentials to change the PIN on her phone, successfully simjacked her, and added a whole bunch of authorized devices to her LastPass account to bypass MFA.”

https://thecrow.uk/lastpass-data-breach-is-starting-to-look-truly-horrendous/

Мессенджер Wickr, который не требовал никакой личной информации при регистрации, закрывается для обычных пользователей. Амазон, который владеет сервисом, видимо, не смог пережить тот факт, что сервис активно использовался хакерами, торговцами наркотиками и журналистами. Кроме того, сервис был популярен и среди любителей детской порнографии.

https://wickr.com/our-focus-on-end-to-end-encrypted-enterprise-communications/