Нам частенько пишут, мол, чуваки, вы, бесспорно, скидываете крутые материалы, но дайте что-то для старта. Что-то, чтобы можно было подтянуть базу, чтобы постепенно следовать плану и качать свои навыки инженера ИБ.

Просили - получайте. Курс молодого бойца, созданный чуваками из UFO CTF School, для подготовки к CTF.

Но главное помните - главный ваш враг, не уязвимость нулевого дня, а ваша лень! Удачи!

http://kmb.ufoctf.ru/

Мнимые инновации

Любопытная статья на Wired о том, что новая технология разблокировки телефона с помощью лица FaceID, представленная на презентации новых iPhone X, может стать причиной еще более массового контроля за гражданами.

Если Apple тем или иным способом начнет "торговать" собранной базой лиц, это может привести к не самым приятным последствиям. Автор указывает только некоторые из них:

а) Полиция сможет без проблем разблокировать чужие устройства без участия пользователя.
б) Правительство при помощи камер наружного наблюдения сможет массово идентифицировать людей на улицах на базе лицевых профилей.
в) Магазины/рестораны/рекламные агенства тоже с удовольствием воспользуются такой возможностью.

Все это может сделать Apple влиятельным игроком за престолы :)

Единственным выходом из ситуации автор видит локальное хранение лиц пользователей на устройстве в зашифрованном виде, но кто знает, что там будет на самом деле. Такие дела.

https://www.wired.com/story/apples-faceid-could-be-a-powerful-tool-for-mass-spying/

"Нас слепо гонят на убой" #FYI

В догонку к паранойе с лицами предлагаем посмотреть вот это видео.

На нем израильская компания BriefCam демонстрирует возможности своего продукта, который позволяет в режиме реального времени формировать видео-картинку по необходимым фильтрам.

Например, вам нужны люди в красном, добавим туда сумку, а теперь все тоже самое, но люди должны идти быстрее остальных - и перед вами все тот же участок улицы, но только с нужными результатами.

Аналогичные чудеса можно проделывать и с автомобилями. А теперь добавьте сюда возможность идентифицировать людей с помощью профилей лиц из предыдущего поста. Фантастика! Пугает? То ли еще будет!

https://www.youtube.com/watch?v=oezU4SkQFkU

#ПравилаИгры

Соскучились за выходные? Давайте начнем разминать наши мозги опостылевшими законадательными инициативами. На прошлой неделе "Хакер" опубликовал заметку, напоминающую о скором вступлении в силу поправок к нашему любимому 149ФЗ: https://xakep.ru/2017/09/12/tor-vs-rkn/ . Спекулировать на этой теме можно долго и сочно, но на практике достоверно прогнозировать будущее свободы в сети интернет нельзя. Слишком много действующих факторов: от пресловутого русского распиздяйства, до особенностей практической реализации инициативы, с учетом: технических возможностей, интересов бизнеса и реальных, а не формально декларируемых задач органов исполнительной власти. Поэтому самое мудрое, что можно делать в нашей ситуации - это использовать волну хайпа и истерии для мотивации себя любимых. Например, освежить знания в области провайдерских сетей, VPN-технологий, технологий анонимизации в сети интернет и т.п. Холивары и диванные прогнозы - это всегда хорошо и увлекательно, но только вот работает плохо и ценности на рынке труда не прибавляет. В реальном мире угроза со стороны "внутреннего нарушителя" в лице распиздяйства, халатности и общей неорганизованности куда выше угрозы со стороны пресловутого Большого Брата.

#FYI
В CISCO начали снимать короткие художественные ролики под названием "Анатомия атаки". Первый выпуск посвящен дыркам в IoT устройствах. Красиво.

https://www.youtube.com/watch?v=GvLnb4YQHh0

Горяченькое #Событие, которое сегодня точно станет гвоздем всех ИБ топ чартов.

Компания Piriform, купленная в июле этого года Avast'ом, сообщила о взломе своего самого популярного приложения CCleaner, которым пользуются миллионы пользователей по всему миру.

Атаке подверглись 32-битные Windows версии приложений CCleaner v5.33.6162 и CCleaner Cloud v1.07.3191.

Несмотря на то, что разработчики оперативно отреагировали на событие и выпустили патч, взлом мог стать причиной отправки ряда служебных данных пользователей (имя компьютера, IP адрес, список установленных приложений и пр.) на сторонний сервер в США.

Если верить блогу Cisco Talos (это интеллектуальная платформа анализа угроз ИБ от Cisco, способная находит угрозы нулевого дня, распознавать вредоносное ПО и пр.), то впервые аномальную активность в CCleaner обнаружили именно они, и своевременно сообщили разработчикам.

Вся ситуация лишний раз демонстрирует, что в мире, где даже ПО, скаченное с официального сайта и подписанное валидным сертификатом, может потенциально нанести вред. Киберпиздец повсюду :)

Источники:
Блог Talos, Обращение Piriform, Vulners.com

"Поменяли ориентацию"

С сегодняшнего дня Wikileaks анонсировала запуск серии материалов об интернет-слежке в России под названием "Spy Files Russia".

Первая публикация содержит информацию о компании АО «Петер-Сервис», которая занимается разработкой и внедрением биллинговых систем для операторов мобильной и фиксированной связи.

Из документов следует, что именно АО «Петер-Сервис» сейчас активно лоббирует свои интересы и пытается завернусь на себя все субподряды на продажу и внедрение систем контроля за сетями передачи данных по всей России.

АО «Петер-Сервис» публикацию пока никак не комментирует.

Источники: Wikileaks, Роскомсвобода

#Инциденты
Вчера на хабре запостили любопытную статью. Хоть в ней недостаточно пруфов, но сама ситуация - такая жиза, что мы просто не можем пройти мимо. Если в кратце: речь идет об уязвимостях, обнаруженных на сайтах хостинг-провайдеров независимым исследователем. Данные уязвимости позволяют злоумышленникам получать доступ к чужим аккаунтам и управлять привязанными к этим аккаунтам сайтами, размещенными на хостинге. Здесь интересна не технология, а поведение владельцев-хостеров. Мало того, что эти ребята абсолютно не думали обо всех этих OWASP и веб-безопасности, которые активно существуют уже лет 15, так ещё и реагировали на сообщение об уязвимостях неадекватно. Например, игнорировали их или закрывали уязвимость, но временно (повторяя ошибки в новых версиях веб-приложения, например). Т.е. даже перед лицом потенциальной угрозы для бизнеса (потеря лояльности клиентов в следствии компрометации их сайтов), многие компании предпочитают сохранять статус-кво, не внося никаких изменений в свою инфраструктуру/веб-приложение. А зачем это делать, если все и так работает? А потом случается очередной Equifax-breach, все кричат о преступной халатности и важности ИБ, авторитетные эксперты говорят о наступлении новой эпохи, проходит некоторое время и.... вуаля - очередной киберпиздец. Невольно начинаешь сомневаться в выживаемости человечества как вида без тотальной перепрошивки мозгов каждого индивида
Первоисточник: https://habrahabr.ru/post/337906/

#Событие
Kali Linux 2017.2 вышел, например.

https://www.kali.org/news/kali-linux-2017-2-release/

#Инциденты
А вот и кейс из жизни последних 3 дней. Мой аккаунт в личном кабинете МТС (далее - ЛК) пытаются взломать guessing password. Каждые N минут на телефон приходит очередной смс о временной блокировке ЛК из-за неправильно введенного пароля. И это происходит уже ТРИ, мать его, дня! Но МТС не замечает непрерывную череду блокировок УЗ и попытки входа в один аккаунт с разных концов России.

Дозвониться до горячей линии невозможно, а сам интерфейс ЛК продолжает глючить и тормозить как и 5 лет назад. В результате я даже не могу заявить об этой атаке. А что было бы, если бы меня взломали, изменили пароль, и, скажем, попытались бы поиграть с моими счетами или подключили мне какую-нибудь внешнюю платную услугу?

Примеры гипотетические (не факт, что они применимы в данной ситуации!), но суть в том, что компания, которая внедрила SIEM в 2015 году (http://www.dialognauka.ru/press-center/news/14859/), хвастает об успешной реализацией SOC (https://soc-forum.ib-bank.ru/materials_astana2017) и даже собирается продавать его услуги сторонним организациям (http://www.rbc.ru/newspaper/2017/05/19/591da4639a7947725c0eb34b), неспособна оперативно реагировать на типовую атаку на один из своих ключевых внешних ресурсов - ЛК. И это оператор связи масшатаба Российской Федерации с многомиллиардными бюджетами.

Как к этому относится? Вопрос риторический.

#Ликбез
Мир корпоративной коммуникации меняется с каждым днем, и если раньше были популярны мессенджеры вроде ICQ и QIP, то сейчас миром правят всякие Slack, Yammer, Workplace от Facebook и прочая милота.

22 летний чувак из Бельгии рассказывает, как он с помощью служб поддержки, которые генерируют автоматические ответы по email в рамках созданных тикетов, смог получить доступ к Slack аккаунтам крупных компаний.

Вектор атак очень необычный, поэтому к прочтению рекомендуем. Автор также рассуждает о том, как защититься от подобной уязвимости и о том, как это уже делают в других компаниях.

Если кратко, то:
1. Разделять служебный почтовый домен (например для технической поддержки клиентов) от корпоративного, которым пользуются сотрудники компании.

2. Запретить присоединяться к корпоративным мессенджерам всем, у кого имеется адрес корпоративной почты, а функцию приглашения оставить для HR.

3. Менять общедоступные адреса рассылки (вроде feedback@domain.com) на что-то случайно генерируемое.

Источник: https://medium.freecodecamp.org/how-i-hacked-hundreds-of-companies-through-their-helpdesk-b7680ddc2d4c

#Ликбез #FYI
Для тех, кто сомневается, что вскоре безопасность IoT устройств войдет в топ3 основных трендов по ИБ, предлагаем ознакомиться с отчетом PwC за 2017 год.

Причем в отчете речь идет далеко не о домашних "игрушках", вроде датчиков света или температуры, а о "цифровизации" электроэнергетики, здравоохранения, логистики и сельского хозяйства.

По данным аудиторов из PwC, экономический эффект от внедрения IoT к 2025 году суммарно составит 2,8 трлн рублей.

В отчете также фигурируют российские компании, кто уже успешно использует IoT для автоматизации в отрасли.

Из угроз ничего нового отмечено не было - кибербезопасность, необходимость регулирования отрасли со стороны государства, юридические аспекты и отсутствие действующих стандартов.

Скептики могут начинать кричать, что киберпиздец близко, а мы продолжим.
С началом рабочей/учебной недели вас!

#Событие
Не успела Apple выпустить свою новую операционную систему macOS High Sierra, как тут же появились новости об уязвимости нулевого дня.

Дырка позволяет получить доступ к связке ключей mac (keychain в английской версии) и достать любой необходимый пароль без дополнительной аутентификации на всех последних ОС от Apple, включая High Sierra.

Как оказалось, об уязвимости было известно и ранее, бывший сотрудник NSA Патрик Уордл (Patrick Wardle), сейчас занимающийся безопасностью в ‎Synack, отправил информацию в Apple еще в начале сентября, но к сожалению не получил никакого фидбека и терпеливо ждал выхода новой ОС в надежде, что нужный патч безопасности там все же появится. Увы.

Любопытно, что это не единственная уязвимость, обнаруженная Патриком. В начале этого месяца он в своем блоге разбирал обход нового механизм безопасности Secure Kernel Extension Loading (SKEL), появившегося в macOS High Sierra и позволяющего загрузить вредоносное расширение ядра.

Кто-то очень хочет работать в Apple 😏

Источники: ZDNet, Твит Патрика, Блог Патрика, Securitylab

На HumbleBundle распродажа англоязычной литературы по хакингу и безопасности. За книжки просят всего $1/$8/$15. Enjoy!

https://www.humblebundle.com/books/hacking-reloaded-books

#Полезное
Дрожат руки при виде RSA и DSA? Невольно отводишь взгляд, когда видите AES, CTR и XOR? Хватит это терпеть!

Чуваки из NCC Group сделали бесплатный курс по криптухе с заданиями из их реальной практики.

Не забудьте захватить с собой хотя бы базовые знания математики и языков программирования, иначе какой смысл туда суваться?

http://cryptopals.com/

#Событие
Расслабились? Думали, что новостей сегодня не будет? Не на тех напали! У нас голова кружится от этих ваших блокчейнов, ICO, токенов и смарт-контрактов. Судя по всему на наших глазах возникает новая перспективная ниша, и профильные компании стремятся её заполнить. Так, Group IB начинает предоставлять услуги по защите ICO от хакеров и мошенников  (https://rb.ru/news/group-ico/); директор Digital Security Илья Медведовский грозится обнородовать "громбагу" обнаруженную в самом Ethereum на Zero Nights  
(https://twitter.com/imedv/status/911220970349789185); а тут ещё любопытная страница команды, полностью занятой блокчейном: http://ledgers.world/contacts (интересно, кто скрывается за нею и почему ссылки-партнеры ведут на QIWI?).

Чуете куда дует ветер, друзья? По мере развития перспективной технологии и возникновения к ней массового интереса со стороны корпораций, государств и отдельных лиц, растет потребность в информационной безопасности этих систем, а значит мы снова оказываемся в игре. Остается один единственный вопрос: как выбрать нишу, которой следует заниматься, и как все, сука, успевать? Нет ответа на этот вопрос, товарищи(((

#Ликбез
Смотрели 1 серию 3 сезона Чёрного Зеркала? Там в мире правят цифры, лайки и социальные сети, а общество знатно причмокивает, гоняясь за очередной одной десятой к их персональному рейтингу. Но так ли далеко такое будущее?

На эту тему и попыталась порассуждать Джудит Дюпордейл в авторской заметке для TheGuardian.

Джудит рассказывает, что по закону о персональных данных в Европе можно получить от любой компании все, что у нее есть на заявителя. Именно так она и поступила, перед тем, как Tinder прислал ей 800 страниц её личной жизни.

Персональные фотографии, переписки, матчи и куча другой информации, которую наша героиня явно не ожидала увидеть.

Еще она рассуждает на случай того, что перед отправкой с её информацией мог ознакомиться кто-то из сотрудников, о том, что в таких местах очень много интимной информации, что все это в буквальном смысле деанимизирует любого пользователя приложения знакомств и на тему того, что Тиндер можно в конце концов просто взломать и украсть все эти сокровища.

Потом мысли Джудит добираются до того момента, что её случай с Tinder лишь верхушка айсберга, а есть еще Facebook, LinkedIn и пр. сервисы с их алгоритмами анализа и подбора, и вот тут ужас берет над бедной Джу верх.

Один клик и перед вами вся ваша жизнь - заработок, профессиональные интересы, контакты, семья, личная жизнь, половые связи - всё, что уже давно есть в интернете. Еще бы тут не стать параноиком. Киберпиздец, дорогие наши подписчики, совсем близко :)

p.s А, ну и Черное Зеркало все таки посмотрите, если не смотрели.

Источник: https://www.theguardian.com/technology/2017/sep/26/tinder-personal-data-dating-app-messages-hacked-sold

#Событие
Что-то мы увлеклись новостями о слежке и им подобных, но это единственное, что сейчас более менее интересно, поэтому терпите.

В Москве к камерам наружного наблюдения подключили систему распознавания лиц - об этом глава департамента информационных технологий Москвы Артем Ермолаев рассказал изданию Bloomberg.

В качестве системы распознавания была выбрана разработка молодой московской компании NTechLab. Многие может даже знают о их приложении FindFace для vk. Ребята сперва "потренировались на кошечках", потом ушли в B2B сегмент, а теперь вот и до B2G добрались.

Всего в Москве установлено около 170 тыс. камер наружного наблюдения и все они могут быть подключены к системе. Пока же со слов Ермолаева к системе подключают только те районы, где это требуется. Он также сообщил, что за 2 первых месяца работы системы удалось задержать 6 преступников, находящихся в федеральном розыске.

Из того, что вам еще следует знать это - камеры пока работают только с базами МВД, к системе имеют доступ только спецслужбы и самое интересное - москвичи смогут подключать свои камеры наблюдения к общей городской сети уже к концу года. Горячо?  

Источники: Bloomberg,  Сайт Мэра Москвы, vc.ru, О FindFace

А как вам такое? ЦРУ в своем официальном твиттере ищет русскоговорящих американцев в лингвистический отдел.

https://twitter.com/CIA/status/913799567388405762