Архив метки: smartphone

Сентябрьский выпуск "В тренде VM": 7 трендовых уязвимостей, фальшивая рекапча, ливанские пейджеры, годовые премии IT-шников

Добавить комментарий

Сентябрьский выпуск "В тренде VM": 7 трендовых уязвимостей, фальшивая рекапча, ливанские пейджеры, годовые премии IT-шников. Начиная с этого месяца, мы решили несколько расширить тематику и увеличить длительность роликов. Я рассказываю не только про трендовые уязвимости сентября, но и про примеры использования социальной инженерии, эксплуатацию уязвимостей реального мира и практики процесса Управления Уязвимостями. В конце объявляем конкурс вопросов по Управлению Уязвимостями с подарками. 🎁

📹 Ролик "В тренде VM" на VK Видео, RUTUBE, YouTube
🗞 Пост на Хабре на основе сценария ролика "В тренде VM"
🗒 Компактный дайджест с техническими деталями на официальном сайте PT

Содержание:

🔻 00:58 Elevation of Privilege - Windows Installer (CVE-2024-38014) и уточнения по этой уязвимости
🔻 02:49 Security Feature Bypass - Windows Mark of the Web "LNK Stomping" (CVE-2024-38217)
🔻 03:57 Spoofing - Windows MSHTML Platform (CVE-2024-43461)
🔻 05:14 Remote Code Execution - VMware vCenter (CVE-2024-38812)
🔻 06:27 Remote Code Execution - Veeam Backup & Replication (CVE-2024-40711), пока монтировали ролик появились данные об эксплуатации вживую
🔻 08:40 Cross Site Scripting - Roundcube Webmail (CVE-2024-37383)
🔻 09:38 SQL Injection - The Events Calendar plugin for WordPress (CVE-2024-8275)
🔻 10:40 Человеческие уязвимости: фальшивая reCAPTCHA
🔻 11:57 Уязвимости реального мира: взрывы пейджеров и других электронных устройств в Ливане, последствия для всего мира
🔻 14:53 Практики процесса управления уязвимостями: привязать годовые премии IT-специалистов к выполнению SLA по устранению уязвимостей
🔻 16:10 Финал и объявление конкурса
🔻 16:31 Бэкстейдж

А твой смартфон точно без "сюрпризов"?

Добавить комментарий

А твой смартфон точно без сюрпризов?

А твой смартфон точно без "сюрпризов"? Основной вопрос, на которой необходимо получить ответ в ходе расследования кейса с пейджерами: эти НДВ не обнаружили из-за халатности или потому, что существующие методы не позволяют их эффективно обнаруживать? 🤔

Хорошо, если первое. Весьма скверно, если второе. Как тогда покупать электронные устройства и гарантировать их физическую безопасность (не говоря уже об информационной)?

Вы уверены, что в устройство, с которого вы читаете этот текст не заложено ничего подобного? Вы внутрь заглядывали? И внутрь аккумулятора? 😏 (Disclamer: не делайте этого, это опасно!)

Это же по сути на доверии всё. И вот некоторые вполне очевидные акторы это доверие сознательно уничтожили. Открыли ящик Пандоры в общемировом масштабе ради каких-то своих сиюминутных военно-политических целей. 🤷‍♂️

Если в результате в самолётах запретят перевозить электронные устройства, знаете кому за это нужно сказать "спасибо".

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком

Добавить комментарий

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком.

🔹 Bloomberg сообщает, что у него была новая модель Samsung, работающая под Android.

🔹 Для разблокировки использовалось ПО компании Cellebrite. Это израильская компания разрабатывает инструменты для сбора, проверки, анализа и управления цифровыми данными. Компания довольно известная. Несколько лет назад наделала много шума их пикировка с разработчиками мессенджера Signal (обе компании обвиняли друг друга в небезопасности продуктов). 🍿😏

🔹 Эксплуатировалась ли 0day уязвимость для получения доступа к устройству? Непонятно. Но есть признаки, что, возможно, и да. Bloomberg пишет, что ПО Cellebrite для разблокировки смартфонов, которое было в распоряжении ФБР, с задачей не справилось. Но эксперты Cellebrite оказали расширенную поддержку и предоставили некоторое новое ПО, которое всё ещё находится в разработке. 🤔

В итоге разблокировка заняла всего 40 минут. 🤷‍♂️

В WIRED вышла довольно занимательная статья о слежке за первым лицом России через рекламные идентификаторы смартфонов

Добавить комментарий

В WIRED вышла довольно занимательная статья о слежке за первым лицом России через рекламные идентификаторы смартфонов

В WIRED вышла довольно занимательная статья о слежке за первым лицом России через рекламные идентификаторы смартфонов.

🔻 Каждому владельцу телефона iPhone или Android компания Apple или Google назначает «анонимный» рекламный идентификатор (AAID для Google, IDFA для Apple). Он используется для отслеживания реальных перемещений, поведения в Интернете, установки приложений и прочего. По этой информации можно таргетировать рекламу.
🔻 Идентификатор хоть и анонимный, но нужного человека (или группу людей) легко отследить на биржах цифровой рекламы, т.к. привычки, распорядок дня, изменение координат очень специфичны для каждого человека. Например, там где телефон проводит большую часть вечеров, там его владелец и живёт.
🔻 Американцы отслеживали телефоны, принадлежавшие "водителям, сотрудникам службы безопасности, политическим помощникам и другому вспомогательному персоналу" первого лица России и узнавали о его перемещениях. Так что даже если сам ничем не пользуешься - не поможет, т.к. будет демаскировать окружение.

В условиях доминирования западных мобильных экосистем сделать с этим что-то сложно. Но навскидку можно предложить следующее:

🔹 Исходить из того, что информация о перемещениях персонала отслеживается, намеренно формировать ложные следы.
🔹 Пересаживать сотрудников, которые могут светить руководство, на защищенные устройства, отслеживать которые сложнее.
🔹 Теми же методами самостоятельно отслеживать сотрудников, которые нарушают запрет и используют личные устройства с иностранными ОС, и проводить с ними мероприятия.
🔹 Отслеживать и блочить иностранные сервера, отвечающие за таргетированную рекламу.
🔹 Жёстко регулировать рынок таргетированной рекламы внутри страны, чтобы с помощью механизмов таргетированной рекламы определенные группы устройств отслеживать было нельзя.

Прожектор по ИБ, выпуск №17 (23.12.2023): Слово пацана или стих от Mr

Добавить комментарий

Прожектор по ИБ, выпуск №17 (23.12.2023): Слово пацана или стих от Mr. X

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Global Digital Space"

Перебрались для записи эпизода с ТГ на платформу VK Звонки. По-моему вполне удачно. В первый раз выходим в 1080p! 🙂 Это последний эпизод в этом году, следующий выпуск планируем записать уже в январе.

00:00 Здороваемся и смотрим статистику по предыдущему эпизоду
02:20 Злоумышленники получили доступ к корпоративным системам компании MongoDB
05:35 Декабрьский Linux Patch Wednesday
10:04 ФСТЭК России 50 лет
12:32 CISA BOD 23-01 и аналогичные инициативы отечественных регуляторов
20:41 Презентация POCA Мобайл и Р-ФОН
26:29 Ежегодная предновогодняя Поибешечка
32:12 Хакер, который участвовал во взломе Rockstar Games, останется в закрытой клинике до конца жизни
37:32 Сериал "Слово пацана"
40:27 Производитель косметики EOS выпустил кодовый замок для своего лосьона, чтобы мужчины не могли пользоваться им
44:56 Правительство займётся безопасностью видеоигр
48:22 Запрет на использование телeфонов в школе
51:22 В Санкт-Петербурге проведены аресты по делу о телефонном мошенничестве
53:20 Так совпало - Гарвард и ГРЧЦ Роскомнадзора поделились своими взглядами на развитие ИИ в 2024-м году
59:24 DevSecOps Maturity Model 2023
1:01:25 Прощание в стихах от Mr. X

Результаты довольно неожиданные

Добавить комментарий

Результаты довольно неожиданные.

1. Больше трети с iPhone. Успешные обеспеченные люди читают, можно рекламу продавать задорого. 😏
2. Людей, которые не заходят со смартфона в Интренет-банки тоже несколько больше, чем ожидалось. 🙂

Про отказ от использования смартфонов для доступа к Интернет-банкам. Есть дискуссионный вопрос что безопаснее:
доступ с доверенного десктопа через web-интерфейс + второй фактор из смс (возможность перехвата, перевыпуска симкарты и т.п.)
или
доступ через мобильное приложение + второй фактор из пуша ("второй", т.к. прилетает на то же возможно скомпрометированное устройство 🙃).
Подискутировать, при желании, можно в VK-шечке.

Имхо, лучше всего доступ с доверенного десктопа через web-интерфейс + одноразовый код из приложения-аутентификатора на смартфоне (а если из хардварного токена - просто идеально). Но в реальной жизни чаще приходится выбирать из предыдущих двух опций и тут уже пусть каждый сам для себя риски оценивает. 😉

Про блокировку смартфонов OPPO OnePlus 11

Добавить комментарий

Про блокировку смартфонов OPPO OnePlus 11

Про блокировку смартфонов OPPO OnePlus 11. Телефоны были произведены для китайского рынка, официально в России не продавались. Соответственно все устройства OnePlus 11 в России серые. Вендор принял решение частично заблокировать функциональность таких устройств, потому что мог. А неудобства конечных пользователей никого особо не волнуют. Нечего серые устройства покупать. 🤷‍♂️

Это к вопросу о параллельном импорте. Спасет он нас? Частично да. Но для любых smart-устройств такие приколы с блокировками вполне возможны и даже ожидаемы.

Блокировки могут коснуться только серых устройств? Да нет конечно, заблокировать могут все что угодно и по любым причинам.

То, что такой фокус продемонстрировал не Apple, Google, Microsoft, Samsung, а братушки-китайцы, конечно, иронично. Зато ещё одно напоминание, что импортозамещение это не про пересаживание на китайское, а на российское. Даже если оно пока хуже/дороже. 🙄