давайте сделаем сегодня днем интересных технических ссылок. вот, например, еще интересный разбор библиотеки iOS.GuiInject, которую можно обнаружить во взломанных iOS-приложениях, которые часто распространяют для джейлбрейкнутых телефонов https://sentinelone.com/blogs/analysis-ios-guiinject-adware-library/

и в качестве бонуса — анализ безопасности протокола обмена сообщениями Signal, который используется в WhatsApp, Google Allo и Facebook Messenger. Если в крации, то "всё хорошо, пока что серьезных изъянов в протоколе не обнаружено" https://eprint.iacr.org/2016/1013.pdf

ну и традиционный привет пользователям Android. Компания Kryptowire обнаружила, что в некоторых моделях китайских смартфонов в прошивке присутствует ПО компании Adups (полное название — Shanghai Adups Technology Company), которое пересылает информацию, позволяющую идентифицировать пользователей, на сервера в Китае. Передаваемая информация включает в себя содержимое текстовых сообщений, адресную книгу, историю звонков, информацию о перемещениях и тд. Adups утверждает, что "их ПО предустановлено на 700 млн устройств, включая телефоны, автомобили и другие устройства", а вообще компания якобы сотрудничает с производителями ZTE и Huawei. Короче, чем дальше, тем страшнее. Отчет Kryptowire по ссылке http://www.kryptowire.com/adups_security_analysis.html, дополнительную информацию можно почитать, например, еще тут http://www.nytimes.com/2016/11/16/us/politics/china-phones-software-security.html

Простые, но полезные советы по настройке безопасных параметров вашего WiFi-роутера. относится к большинству популярных моделей https://decentsecurity.com/#/routerwifi-configuration/

И снова здравствуйте. Сегодня у нас в программе — привет от ребят из Элкомсофта, которые в очередной раз накопали какую-то лажу в iCloud. В частности, они выяснили, что в iCloud сливаются данные с телефонов по звонкам (что не новость), и хранятся там до 4 месяцев (что новость), причем на сайте Apple говорится, что информация о Facetime звонках хранится не более 30 дней. А с выходом iOS 10 и появлением CallKit, который теперь поддерживают приложения вроде Whatsapp и Skype, в этот бекап попадают звонки и от этих приложений. Более того, что даже хуже, информация о звонках хранится в iCloid даже если бекап в iCloud отключен (достаточно, чтобы был включен iCloud Drive). И никак эту синхронизацию не отключить. туда попадает информация о длительности звонка и участниках звонка. Информация из бекапов iCloud, как известно, может быть расшифрована Apple и по запросу правоохранительных органов им предоставлена (не то, чтобы вам есть что скрывать, я уверен, но мало ли). Apple в ответ сказали "блаблабла, мы это делаем, чтобы вам удобно было, а вообще мы за приватность, и поэтому делайте себе безопасные пароли и не парьте нам мозг". Короче, все плохо, как обычно. http://www.forbes.com/sites/thomasbrewster/2016/11/17/iphone-call-logs-in-icloud-warns-elcomsoft-hackers/

вы знаете, как я "люблю" все эти IoT штуки и связанные с ними вопросы безопасности. вот тут есть чувак, который купил себе камеру наблюдения, и описывает процесс в твиттере. https://twitter.com/ErrataRob/status/799556482719162368 Камеру он изолировал от домашней сети, и в течение 5 минут она была скомпрометирована сетью Mirai https://twitter.com/ErrataRob/status/799556897993068544 (потом он поправился, что на самом деле до первого заражения прошло 98 секунд! https://twitter.com/ErrataRob/status/799563461277745152) Вначале заражения ботнет выясняет процессор камеры https://twitter.com/ErrataRob/status/799557471459229696 и https://twitter.com/ErrataRob/status/799557836967735296, потом загружает бинарь https://twitter.com/ErrataRob/status/799558402024284160, потом исполняет бинарь https://twitter.com/ErrataRob/status/799558864962199552 и вуаля, устройство инфицировано. потом оно скачивает полный пакет (https://twitter.com/ErrataRob/status/799569771939262464) и начинает искать другие жертвы вокруг (https://twitter.com/ErrataRob/status/799570655565860864). весь тред в твиттере интересный, почитайте

Вам, возможно, будет интересно узнать, что у прокурора графства Нью-Йорк скопилось 409 залоченных iOS-устройств, которые могли бы помочь в расследовании различных преступлений, и опять начали поступать призывы к тому, чтобы заставить Apple помочь в разблокировке таких устройств. с учетом, кстати, смены власти в США вполне возможно, что таки и заставят.

И снова здравствуйте. Надеюсь, вы не сильно расстраиваетесь тем фактом, что в выходные редакция канала (то есть я) стараюсь не спамить вас ужасами информационной опасности, и приберегаю полезный контент для будней. потому что пугаться по выходным — оно лишнее, да. А вообще сегодня я вам хотел рассказать о том, что обнаружилось, кто же организовал атаку на Dyn с помощью китайских камер наблюдения (помните, в октябре была история, когда ботнет Mirai положил сервера DNS-сервиса Dyn, и не работала половина американского интернета?). Короче, некий чувак, обиделся на Playstation Network, и заплатил 7,5 тыс долларов за то, чтобы сделать так, чтобы PSN перестал работать. В итоге атаку направили на Dyn, получилась атака в 1Тбит/сек, и вместе с PSN пострадали Твиттер, Netflix, HBO и еще куча сервисов (всего около 1200 сайтов). Что-то мне подсказывает, что дальше с такими атаками будет только хуже https://hacked.com/biggest-ddos-attack-2016-caused-angry-gamer/

ну и в кои-то веки не ссылка, а просто личный комментарий. те, кто давно читают этот канал, знают, что reuse паролей (использование одного и того же пароля) в разных сервисах — зло. что особенно ярко проявляется в последних ситуациях с многомиллионными утечками данных пользователей и последующими взломами учеток этих пользователей в других сервисах, потому что там использовался все тот же логин и пароль. вот я решил навести порядок с этим делом у себя и исправить такую порочную практику в тех местах, где она используется (да, я тоже местами такое делаю, честно признаюсь). Поскольку я использую для хранения паролей 1Password, то аудит повторяющихся паролей провести довольно удобно — там приложение сразу умеет показывать, какой пароль в каких сервисах повторяется. И вот что я подумал в процессе замены — а какого хрена почти никто из сервисов не предлагает опции "удалить учетку"? вот я вижу какую-нибудь хрень, где я давно регистрировался, и сейчас она мне нахрен не нужна, и я бы даже удалил оттуда аккаунт, чтобы не было даже теоретической возможности оттуда какую-то информацию украсть в случае взлома, но такой опции просто нет. Да, я в таких случаях делаю абсолютно уникальный пароль, но гораздо проще было бы сделать кнопку "удалить меня отсюда навсегда", а ее нет :( Короче, это могло бы быть хорошим улучшением информационной безопасности, но нет :(

сегодня день коротких ссылок. например, про бэкдор в Android-устройствах (прислал читатель Андрей, за что ему спасибо). никогда такого не было и вот опять! https://cdn.ampproject.org/c/arstechnica.co.uk/security/2016/11/android-backdoor-rootkit-bitsight-3-million-phones/?amp=1

или вот, например, появилась очередная ссылка, которая крешит iPhone. там некий mp4 файл в Сафари, при воспроизведении которого система крешится. вот видео ОБ ЭТОМ (но без ссылки на сам файл, который крешит устройство). Эта история, кстати, тоже из серии "никогда такого не было, и вот опять" — уже несколько раз появлялись то ссылки в Сафари, то текстовые сообщения, которые крешили iOS. в этом случае, скорей всего, речь идет о каком-то сломанном файле, который вызывает memory corruption и падение iOS. Короче, осторожней там кликайте по ссылкам, которые вам присылают (на мои можно, я хороший) https://www.youtube.com/watch?v=B15nBZ7pjLs

вот, кстати, ссылка на то самое видео, которое крешит айфон, если хотите изучить, что там внутри. я, конечно, вам не указ, так что на ваше усмотрение, что с этим файлом делать. http://goo.gl/9AUh8A

скромный полицейский на форуме у Apple просит добавить фичу в iOS, чтобы была опция по запросу пароля при выключении устройства, чтобы проще было через Find My Phone ловить преступников , укравших телефон

Читатель Ислам прислал ссылочку о том, как в Madison Square Garden воровали данные карт покупателей. Затронутыми оказались все покупатели в целой куче организаций — в самом MSG и в театрах, которые ей принадлежат. кулхацкеры взломали платежную систему и собирали данные с магнитной полосы карточек. молодцы, красиво у них это получилось http://abc7ny.com/finance/massive-nearly-year-long-credit-card-breach-reported-at-madison-square-garden/1621034/

тут вот чувак из Google, специалист по безопасности, сказал все, что он думает об антивирусах https://geektimes.ru/post/282760/

продолжая, кстати, тему бесполезности антивирусов, вот вам две картинки, реклама продуктов Лаборатории Касперского, где на первой картинке говорится "хочу быть невзламываемой", а на второй уточнение — "ничего вам не гарантирует защиты".