вот тут еще публикация со странной историей про JS-скимеры в онлайн-магазинах (то есть где воруют данные карточек) и про то, что Github удалил этот список магазинов. берегите себя https://geektimes.ru/post/281516/

Пишут, что атака на Dyn возобновилась, Twitter, GitHub, reddit и другие тоже могут работать с перебоями

в начале октября (https://telegram.me/alexmakus/721) писал про релиз исходного кода Mirai — кода, который позволял строить ботнеты из IoT-устройств и организовывать DDoS-атаки. так вот сегодняшняя атака на Dyn, вырубившая огромное количество сервисов в интернете, в том числе использует код Miran)

в общем, вот, наверно, лучшая статья про пятничный DDoS на Dyn, вырубавший хорошую половину американского интернета с помощью IoT-устройств. Как и предполагалось, там применялась атака Mirai, которую заопенсорсили. большинство принимавших участие устройств в атаке — это системы наблюдения и IP-видеокамеры китайского производителя XiongMai Technologies. основной вектор атаки на эти устройства — логин-пароль по умолчанию, которые известны злоумышленникам, а юзерам даже не приходит в голову их менять. а когда приходит в голову, то они меняют их в веб-панели, а телнет-ssh логин-пароль остаются захардкожеными (слово-то какое!) в прошивке, и вот вам результат. а, главное, вообще непонятно, как с этим всем бороться. https://krebsonsecurity.com/2016/10/hacked-cameras-dvrs-powered-todays-massive-internet-outage/

и вот в догонку — Hangzhou Xiongmai объявила отзыв камер в свете того, что они используются для организации DDoS-атак http://www.bbc.com/news/technology-37750798

алярма, пользователи iOS-устройств. Вчера, как известно, вышла iOS 10.1 (финальная, официальная, вот это всё). так вот, там исправлена одна важная уязвимость в CoreGraphics (CVE-2016-4673), которая позволяла после просмотра вредоносного JPEG получить возможность исполнения кода на устройстве. Детально о содержимом исправленных ошибок, относящихся к безопасности, можно почитать по ссылке, а вообще если вы еще не обновились, то рекомендуется не откладывать этот процесс https://support.apple.com/en-us/HT207271

интересный твиттер-тред о том, что, похоже, iMessage — единственный мессенджер, который поддерживает end-to-end encryption и при этом работает сразу на многих устройствах. местами криво работает, но вообще работает, в отличие от других мессенджеров https://storify.com/gruber/messaging-systems-that-support-a-e2e-encryption-an#publicize

давайте я вам еще немножко ужасов из мира инфосека расскажу. Милая китайская девушка с простым именем Wanqiao Zhang на конференции Ruxcon рассказала и, самое главное, показала... нет, не то, что вы подумали, а то, как в сетях LTE можно перехватывать и совершать звонки, отправлять текстовые сообщения и даже уводить телефоны в оффлайн. слайды с презентации вот http://www.slideshare.net/slideshow/embed_code/key/Ez63bGDQrP6EPY

Из самого интересного на сегодня у меня для вас есть отчет компании Dyn о той самой DDoS-атаке на их DNS на прошлой неделе. Собственно, самое основное, что вам нужно знать — это что для атаки действительно был использован ботнет Mirai из IoT-устройств. компания вместе с правоохранительными органами ищет виновных. периодически в пике атака достигала 1,2Терабита в секунду. Вот уж правда, убьет человечество скайнет из тостеров, лампочек и термостатов. http://dyn.com/blog/dyn-analysis-summary-of-friday-october-21-attack/

no comment

Вы же все помните "взлом знаменитостей" в 2014 году, который подарил нам обнаженные фотографии Дженнифер Лоуренс и других известных теток? Чувак, который это сделал, получил 18 месяцев тюрьмы. взлома, конечно, как такового не было — методом обычного фишинга он получал доступ к паролям почты, а дальше уже было дело техники: скачать бекап с iCloud и вытащить из него данные (теперь 2FA поможет в защите от таких хитрецов). Забавно, что чувак из Ланкастера, штат Пенсильвания — города, в котором очень много амишей (это такая закрытая религиозная община анабаптистов). они известны тем, что всячески избегают всяких технологических новинок и вообще очень консервативны. http://www.welivesecurity.com/2016/10/28/nude-celebrity-photo-hacker-sentenced-18-months-prison/

и снова здравствуйте. вы ведь соскучились по свежим новостям информационной безопасности, а точнее даже опасносте? Вот, например, читатель Михаил прислал ссылку на эксперимент Атлантик, в рамках которого чуваки создали виртуальный тостер, подключенный к интернету, и уже в течение часа его попытались хакнуть. оригинал истории https://www.theatlantic.com/technology/archive/2016/10/we-built-a-fake-web-toaster-and-it-was-hacked-in-an-hour/505571/, на русском об этом можно почитать тут https://meduza.io/feature/2016/10/31/zhurnalist-sozdal-feykovyy-toster-s-vyhodom-v-internet-ego-vzlomali-cherez-chas

а вот тут не менее увлекательная история о том, как подросток, используя уязвимость в iOS, вырубил колл-центр 911 в Аризоне. чуваки хотели заработать денег на программе выплаты призовых за обнаруженные уязвимости, сделали фейковую страничку и направили туда юзеров. в результате у этих юзеров телефон совершал звонок в колл-центр 911, который пользователи не могли отменить. в итоге они зафлудили колл-центр, полиция нашла автора и арестовала его, а теперь ему еще чего-нибудь впаяют. получит ли он призовые от Apple, тоже неизвестно https://staging.mcso.org/Multimedia/PressRelease/911%20Cyber%20Attack.pdf

и в качестве вечернего бонуса-лонгрида — большая статья о Cellebrite, компании, которую вы, возможно, знаете как взломщика iPhone 5c, принадлежавшего террористу из Сан Бернардино. Статья рассказывает об истории компании, об инструментах, применяемых компанией, и о сервисах, которые она предоставляет по "доставанию" информации со смартфонов iOS и Android. https://theintercept.com/2016/10/31/fbis-go-hackers/

Забавно другое. я тут был недавно в Apple Store и увидел там страшно выглядящий черный дивайс с надписью Cellebrite. Оказывается, это такая хрень, которую используют сервисные чуваки в Apple Store для переноса данных клиентов на iPhone. например, приходит кто-то со старой Nokia или Motorola, покупает iPhone, и хочет перенести туда адресную книгу. Вот Apple и использует дивайс Cellebrite для этих целей. видимо, что-то отсюда http://www.cellebrite.com/Mobile-Lifecycle/Applications/content-transfer-backup-and-restore

тут хакеры Shadow Brokers, выложившие в свое время инструменты NSA, продолжают выкладку материалов https://medium.com/@shadowbrokerss/message-5-trick-or-treat-e43f946f93e6#.m1phqi1vw

не совсем новости тематики канала, но близко. в Израиле в комитете по законодательству сочинили законопроект, по которому все порно-сайты по умолчанию должны быть заблокированы интернет-провайдерами. Для того, чтобы получить доступ к такому сайту, человек должен будет лично связаться со своим интернет-провайдером (по телефону или по почте) и запросить доступ к сайту. такой подход, по мнению законодателей, обеспечит защиту от доступа детей к подобным вебсайтам. Теперь Кнессет должен утвердить этот законопроект, и тогда он станет законом. Так что те, кто живет в Израиле, срочно выкачивайте Порнхаб, пока не заблокировали. а вообще, конечно, это риски для приватности — завтра в интернете всплывет база "кто запросил доступ к какому сайту", и кому-то может быть стыдно.

тут какая-то очень странная история между Google и Microsoft. Если вкрации, то Google обнаружила уязвимость в Windows, и 21 октября сообщила о ней в Microsoft. и всего 10 дней спустя опубликовала информацию об этой уязвимости. мало того, что эта уязвимость на момент публикации уже активно эксплуатировалась, так еще и теперь, с публикацией, риск только повышается. Короче, как-то очень нехорошо себя Google повела http://venturebeat.com/2016/10/31/google-discloses-actively-exploited-windows-vulnerability-just-10-days-after-reporting-it-to-microsoft/

Да, и кстати. если вы мак-юзер, и в октябре искали в Google и скачивали оттуда Chrome (что, Сафари не нравится, да?), то есть риск, что вы могли скачать зловред для Мака. там были какие-то хитрецы, которые маскировались под рекламу Google, и подсовывали хитрые закачки под названием FLVPlayer.dmg, после установки которого вам предлагалось поставить потенциально нежелательную программу под названием Mac Purifier. там, короче, много чего, поэтому вот вам ссылка, изучайте, и берегите себя (и свои Маки. Впрочем, не Маки тоже берегите) https://blog.cylance.com/malvertising-on-google-adwords-targeting-macos-users

Битва двух фандомов — iOS и Android — не закончится никогда. Особенно когда это касается вопросов безопасности. Вообще среди экспертов по информационной безопасности считается, что iPhone более безопасен и более защищен, чем Android. Однако, во вторник на конференции директор по безопасности Android — Адриан Людвиг — заявил, что iOS и Android в плане защищенности практически одинаковые, а скоро Android будет даже лучше. Конечно, конечно, если говорить о телефонах Nexus/Pixel, где вам и шифрование пользовательского раздела, и регулярные апдейты, но 1-2% доли рынка среди устройств с Android. впрочем, ему по работе так надо говорить, чо уж там https://motherboard.vice.com/read/google-security-engineer-claims-android-is-now-as-secure-as-the-iphone