Архив метки: pager

Сентябрьский выпуск "В тренде VM": 7 трендовых уязвимостей, фальшивая рекапча, ливанские пейджеры, годовые премии IT-шников

Сентябрьский выпуск "В тренде VM": 7 трендовых уязвимостей, фальшивая рекапча, ливанские пейджеры, годовые премии IT-шников. Начиная с этого месяца, мы решили несколько расширить тематику и увеличить длительность роликов. Я рассказываю не только про трендовые уязвимости сентября, но и про примеры использования социальной инженерии, эксплуатацию уязвимостей реального мира и практики процесса Управления Уязвимостями. В конце объявляем конкурс вопросов по Управлению Уязвимостями с подарками. 🎁

📹 Ролик "В тренде VM" на VK Видео, RUTUBE, YouTube
🗞 Пост на Хабре на основе сценария ролика "В тренде VM"
🗒 Компактный дайджест с техническими деталями на официальном сайте PT

Содержание:

🔻 00:58 Elevation of Privilege - Windows Installer (CVE-2024-38014) и уточнения по этой уязвимости
🔻 02:49 Security Feature Bypass - Windows Mark of the Web "LNK Stomping" (CVE-2024-38217)
🔻 03:57 Spoofing - Windows MSHTML Platform (CVE-2024-43461)
🔻 05:14 Remote Code Execution - VMware vCenter (CVE-2024-38812)
🔻 06:27 Remote Code Execution - Veeam Backup & Replication (CVE-2024-40711), пока монтировали ролик появились данные об эксплуатации вживую
🔻 08:40 Cross Site Scripting - Roundcube Webmail (CVE-2024-37383)
🔻 09:38 SQL Injection - The Events Calendar plugin for WordPress (CVE-2024-8275)
🔻 10:40 Человеческие уязвимости: фальшивая reCAPTCHA
🔻 11:57 Уязвимости реального мира: взрывы пейджеров и других электронных устройств в Ливане, последствия для всего мира
🔻 14:53 Практики процесса управления уязвимостями: привязать годовые премии IT-специалистов к выполнению SLA по устранению уязвимостей
🔻 16:10 Финал и объявление конкурса
🔻 16:31 Бэкстейдж

А твой смартфон точно без "сюрпризов"?

Добавить комментарий

А твой смартфон точно без "сюрпризов"? Основной вопрос, на которой необходимо получить ответ в ходе расследования кейса с пейджерами: эти НДВ не обнаружили из-за халатности или потому, что существующие методы не позволяют их эффективно обнаруживать? 🤔

Хорошо, если первое. Весьма скверно, если второе. Как тогда покупать электронные устройства и гарантировать их физическую безопасность (не говоря уже об информационной)?

Вы уверены, что в устройство, с которого вы читаете этот текст не заложено ничего подобного? Вы внутрь заглядывали? И внутрь аккумулятора? 😏 (Disclamer: не делайте этого, это опасно!)

Это же по сути на доверии всё. И вот некоторые вполне очевидные акторы это доверие сознательно уничтожили. Открыли ящик Пандоры в общемировом масштабе ради каких-то своих сиюминутных военно-политических целей. 🤷‍♂️

Если в результате в самолётах запретят перевозить электронные устройства, знаете кому за это нужно сказать "спасибо".

Так чего там с пейджерами?

Добавить комментарий

Так чего там с пейджерами? Честно говоря, всё также непонятно. Судя по всему, никакой штатной функции ликвидации устройств там действительно не было (восток дело тонкое, но всё-таки не настолько), а были "сюрпризы" заложенные злоумышленниками внутри некоторых устройств на этапе их производства или доставки. Но как именно эти "сюрпризы" были устроены и как осуществлялась их активация достоверных сведений пока нет. Ждём результаты экспертиз, а не домыслы говорящих голов.

Номенклатура хлопающих устройств точно включает пейджеры Gold Apollo AR924 и, скорее всего, рации ICOM IC-V82. К новостям, что хлопают вообще все электронные устройства (ноутбуки, телефоны, скутеры, бытовая техника и т.п.) отношусь скептически. Это уже не атака на цепочку поставок, а какой-то тотальный контроль поставок или мистическое вундерваффе. Вспоминается реклама из 90х про "выпил фанты и тормознул поезд". Пока в этой части больше похоже на слухи и дезинформацию.

Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.