The top 10 best pentesting tools and extensions in Burp Suite
https://portswigger.net/testers/penetration-testing-tools

Reversing a real-world 249 bytes backdoor! https://anee.me/reversing-a-real-world-249-bytes-backdoor-aadd876c0a32 #reverse #malware #radare2 #dukeBarman

Сегодня в учениях по изоляции рунета примут участие Минкомсвязи, МВД,
Минобороны, Минэнерго, Федеральная служба безопасности, Росгвардия,
«Ростелеком», «Вымпелком» (бренд «Билайн»), МТС, «Мегафон»,
«Лаборатория Касперского», Positive Technologies и Group-IB

Начались учения по изоляции рунета. Будем мониторить?
https://habr.com/ru/post/481588/?utm_campaign=481588&utm_source=habrahabr&utm_medium=rss

Осужден хакер, который шантажировал Apple и угрожал  обнулить сотни миллионов аккаунтов
https://xakep.ru/2019/12/23/turkish-crime-family/

Интересная история у, опять же, NYT о приложении ToTok — популярном приложении-мессенджере для мобильных платформ, разработанном, судя по всему, по заданию разведки Объединенных Арабских Эмиратов. Обещания были красивые — безопасный мессенджер и видеозвонки, конечно же. И, по информации источников издания, все сообщения, вся информация о местоперемещении пользователей, все аудио-видео записи — всё это было доступно правительству ОАЭ для мониторинга и слежки. Удобно!
На момент публикации приложения уже были удалены из соответствующих магазинов App Store и Google Play. (Правда, в магазинах Samsung, Huawei, Xiaomi и Oppo оно было  доступно.) Интересно, что VirusTotal считал приложение безопасным, значит, вся обработка данных, если таковая была, происходила на стороне бэкэнда.


https://www.nytimes.com/2019/12/22/us/politics/totok-app-uae.html

компания, разумеется, все отрицает, а приложения недоступны в магазинах, потому что "Технические сложности".
https://totok.ai/news

Возвращаюсь мыслями к скандалу о данных и слежке за пользователями, о которых писала New York Times на прошлой неделе. Пытаюсь понять, что организаторы платформ и/или мы как пользователи можем по этому поводу сделать. С одной стороны, Apple и Google и так задалбывают на своих устройствах всевозможными подтверждениями доступа к тем или иным данным. Но в итоге вся ответственность падает на пользователя, который разрешает или запрещает приложению доступ к данным. А когда разработчик получает разрешение от пользователя и начинает собирать данные, как могут создатели платформ контролировать, что разработчики делают с этими данными, и не продают ли они их на сторону.

С другой стороны, есть масса приложений, которым информация о местоположении действительно нужна. Приложение для показа погоды, например, или навигационное приложение, или приложение для спорта. Если с погодой еще можно ограничить информацию о местоположении городом, например, то с другими категориями уже сложнее. И как должен пользователь разбираться, что вот это бесплатное приложение действительно достойно получать геолокацию с телефона, а другое сливает его в базу разведки ОАЭ или чего-то такого?

Законодательное регулирование — это, конечно, вариант, но всякие GDPR, CCPA и прочее что-то пока привели только к увеличению дурацких писем и уведомлений, а так, чтобы почувствовать себя в информационной безопасности — такого нет. Так и живем.

Powershell for exploitation and post exploitation
https://www.peerlyst.com/posts/powershell-for-exploitation-and-post-exploitation-david-dunmore

The Disobey 2020 puzzle writeup with https://vldha.blogspot.com/2019/12/r2.html #radare2 #reverse #ctf #dukeBarman

Here Be Dragons: Reverse Engineering with #Ghidra - Part 1 [Data, Functions & Scripts] https://www.shogunlab.com/blog/2019/12/22/here-be-dragons-ghidra-1.html #reverse #dukeBarman

Reverse Engineering Go, Part II https://blog.osiris.cyber.nyu.edu/2019/12/19/ugo-ghidra-plugin/ #reverse #ghidra #dukeBarman

5 Ways to patch binaries with Cutter https://www.megabeets.net/5-ways-to-patch-binaries-with-cutter/ #reverse #radare2 #dukeBarman

Данные 267 млн пользователей Facebook утекли в Сеть
https://threatpost.ru/researchers-find-267m-facebook-user-database-exposed-online/35087/

Watch "Hacking My Instagram Account" on YouTube
https://youtu.be/zXIR-23e91M

Watch "Advanced PHP Deserialization - Phar Files" on YouTube
https://youtu.be/fHZKSCMWqF4

Ассоциация по защите авторских прав в интернете (АЗАПИ) предупредила о возможной блокировке YouTube и Яндекс.Видео на территории России из-за нарушения авторских прав на книги.

В начале декабря Московский городской суд удовлетворил требование издательства «Эксмо» о принятии обеспечительных мер в отношении нелегальной версии аудиокниги «Задача трёх тел» Лю Цысиня, опубликованной на YouTube и Яндекс.Видео.

Если сервисы дважды проиграют в суде спор по заявлению правообладателей, то будут навсегда заблокированы на территории России согласно соответствующему закону о пиратских сайтах.  

🔗 http://bit.ly/35QIogV

Windows 0-day exploit used in Operation WizardOpium (Score: 100+ in 10 hours)

Link: https://readhacker.news/s/4ewe6
Comments: https://readhacker.news/c/4ewe6

Короче, сделал столетний блокбастер цветным
https://habr.com/ru/post/481710/

В Twitter для Android исправили баг, позволявший перехватить управление учетной записью
https://xakep.ru/2019/12/24/twitter-for-android-bug/

Охота на жучка. Какими бывают шпионские устройства и как их искать