Медвежьи сервисы. Проверяем 7 популярных провайдеров VPN на предмет приватности

Добрый вечер, господа! В наше время без VPN никуда: анонимность, безопасность и возможность обойти региональные ограничения и блокировки приводят к этой технологии не только технически подкованную публику, но и людей попроще. А они, конечно же, не будут ставить и настраивать OpenVPN на своем сервере и предпочтут услуги провайдера.

Какой выбор нас ждет в таком случае и можно ли доверять провайдерам VPN? Давайте пройдемся по наиболее известным из них и проверим. Об этом в новом посте.

Читать без  VPN

«Карта злостных неплательщиков» — в Китае клеймят должников при помощи WeChat

«Карта злостных неплательщиков» показывает, не находится ли в радиусе 500 м человек, задолжавший деньги.

В Китае появилось приложение, позволяющее узнавать, не находится ли поблизости человек, задолжавший деньги. Как сообщает китайская государственная газета China Daily, приложение под названием «Карта злостных неплательщиков» уже доступно жителям провинции Хэбэй.

«Карта злостных неплательщиков» является частью жесткой системы социального рейтинга, предназначенной для определения уровня благонадежности граждан. Система является расширением кредитного рейтинга и станет обязательной уже к 2020 году.

Получить «Карту злостных неплательщиков» можно через популярнейший в Китае мессенджер WeChat. С ее помощью можно узнать, есть ли в радиусе 500 м кто-то, кто должен деньги. Более того, приложение показывает точное местоположение должника. Предоставляет ли оно фотографии, имена или какие-либо другие данные должников, неизвестно. Также непонятно, какую сумму и кому нужно задолжать, для того чтобы попасть на «Карту злостных неплательщиков».

Как пишет China Daily, приложение позволит пристыдить должников, способных выплатить долг, но не делающих этого. Правда, на каких основаниях будет определяться платежеспособность, газета не уточняет.

Крупнейший дамп в истории: 2,7 млрд аккаунтов, из них 773 млн уникальных

Добрый вечер, господа! Сегодня мы поведаем вам историю о том, как известный специалист по безопасности Трой Хант уже несколько лет поддерживает сайт Have I Been Pwned (HIBP) с миллионами записей об украденных аккаунтов.

Каждый может проверить там свой email на предмет утечки. Трой Хант следит за хакерскими форумами, покупает базы данных, которые выставляют на продажу, иногда эти базы присылают ему бесплатно. Но он никогда не видел, чтобы на продажу выставляли такую огромную базу, как нынешняя Коллекция № 1 (Collection #1). Об это материале в новой статье!

Читать без VPN

Правообладатели проиграли в суде США российским пиратам

Суд в Вирджинии отклонил иск группы музыкальных правообладателей, включая Universal, Warner и Sony, против владельца российских сервисов по скачиванию аудио из роликов в YouTube, сославшись на нехватку юрисдикции в отношении иностранных организаций.

Группа музыкальных правообладателей, включая Universal Music Group, Warner Music Group и Sony Music Entertainment, проиграла суд против владельца сайтов Flvto.biz и 2conv.com, с помощью которых можно скачивать аудиодорожки из видео на YouTube и других видеосервисах. Интересы правообладателей в суде представляла Американская ассоциация звукозаписывающих компаний (RIAA). Она обвиняла Flvto.biz и 2conv.com в пиратстве и требовала закрыть сайты. Но после нескольких месяцев разбирательств Федеральный окружной суд Восточного округа Вирджинии отклонил иск, сославшись на нехватку юрисдикции в отношении иностранных организаций: операционная компания Flvto.biz и 2conv.com зарегистрирована в России.

Скорее всего, правообладатели не ожидали, что владелец Flvto.biz и 2conv.com, житель Ростова-на-Дону Тофиг Курбанов, решится нанять адвокатов в США и попытается «отбиться» в суде. Оба его стрим-риппинговых сервиса помогают скачивать аудио в формате mp3 из видеопотока. Например, с таких сайтов, как YouTube, Vimeo, SoundCloud и т.п.

Звукозаписывающие компании активно борются с такими сервисами, называя их одной из главных пиратских угроз для современной музыкальной индустрии.

RIAA обратилась в Федеральный окружной суд Восточного округа Вирджинии в августе 2018 года. Ассоциация обвиняла Курбанова в музыкальном пиратстве и нарушении авторских прав. Истец утверждал, что ответчик получает рекламный доход от нелегального распространения музыки, намеренно настраивая таргетинг рекламы на пользователей из США и Вирджинии в частности.

Ассоциация направила свои претензии Курбанову по электронной почте и, вероятно, рассчитывала, что он оставит иск без ответа. Такой расклад обеспечил бы лёгкую победу — в подобных случаях суд занимает сторону истца и удовлетворяет все его требования. RIAA не впервые прибегает к подобной тактике.

«Владельцы таких сайтов чаще всего управляют ими из-за рубежа и не утруждают себя полётами на судебные слушания в США — лейблы об этом прекрасно знают. В таких случаях суды, как правило, удовлетворяют все требования истцов. Судьи в большинстве случаев удовлетворяют эти требования, не вникая в их суть», — отмечает юрист организации по защите прав в интернете Electronic Frontier Foundation Митч Штольц.

Однако Тофиг Курбанов ответил на иск RIAA. У него нет американской визы, поэтому он не смог явиться на судебные слушания в США. Для защиты своих интересов Курбанов нанял три крупные юридические фирмы: Boston Law Group, Sands Anderson и Ciampa Fray-Witzer.

Подробнее о судебном разбирательстве и прочих юридических нюансках можете прочитать на Roskomsvoboda.org.

Отдельно стоит отметить, что представляющий интересы Курбанова адвокат из Boston Law Group Вэл Гурвиц назвал решение суда знаковым — по его мнению, оно пресекает злоупотребление правом владельцами авторских прав, которые долгое время использовали судебную систему для угнетения владельцев иностранных сайтов, зачастую не готовых защищаться в американском суде.

Если говорить совсем коротко, то это еще одна небольшая, но очень важная победа свободного интернета над ненастыной копирайт машиной. Информация должна быть свободной.

Какими будут киберугрозы в ближайшие 5 лет

На 26-й крупнейшей в мире конференции хакеров DefCon сотрудник компании Endgame, занимающейся системами безопасности, показал программу, которую можно было настроить так, чтобы она самостоятельно создавала вредоносное ПО.

Изучив среду OpenAl Gym — платформу для тренировки ИИ, — программа научилась прятать вирус от систем защиты. Система вносила изменения в корректный код, «проводила» его мимо антивируса, собирала данные и выпускала новую вредоносную версию. Обнаружить вирус не удалось.

А если вредоносная программа, используя ИИ, сможет автономно определять, как имитировать нормальное поведение или движение (например, с помощью локальных учетных данных), злоумышленникам не потребуется специальный сервер, а вредоносное ПО будет в разы труднее идентифицировать. Именно об этом мы поговорим в новом материале.

Читать без VPN

Злая утка с дистанционным управлением. Собираем и программируем BadUSB с Wi-Fi

Добрый вечер, господа! Часто на слуху истории о том, как хакеры используют для атак устройства, похожие на флешку. Достаточно подобраться к серверу и подключить такой девайс, чтобы заполучить удаленный контроль.

Согласитесь, очень похоже на прототип Rubber Ducky. Однако «злая утка» — это всегда разовая акция: один скетч и заранее известные действия. Сегодня мы приготовим гораздо более универсальную модификацию.

Читать без VPN

ВКонтакте автоматически удаляет экстремистские картинки

ВКонтакте автоматически удаляет изображения, внесённые в федеральный список экстремистских материалов, который составляет Минюст на основе решений российских судов.

«Медуза» сообщает, что читатель Владимир в конце декабря 2018 года с другом обнаружили, что не могут опубликовать на своих страницах картинку с надписью «Граждане России будьте бдительны! Падает рейтинг — Ждите террактов!».

ВКонтакте при запросе СМИ сообщили, что соответствующее изображение было внесено в список экстремистских материалов. В декабре 2017 года в него пункт 4316: Октябрьский районный суд Санкт-Петербурга запретил «текстовую часть графического материала». Речь о надписи про теракты на картинке с глазами человека, похожего на президента Российской Федерации Владимира Путина.

Телеграм канал «Код Дурова» проверил информацию, опубликовав ряд картинок, аналогичных с вышеописанными — соцсеть действительно в автоматическом режиме удаляет изображение, оставляя публикацию. При этом страница не подвергается блокировке и не получает соответствующие уведомления о том, что опубликованное изображение подлежит удалению согласно действующим правилам сайта.

Изображения не удаляются в случае отправки их в личные переписки. В пресс-службе ВКонтакте отмечают, что данный контент «мониторится в режиме реального времени специальной автоматизированной средой модерации».

Ссылки на сайты, признанные экстремистскими, ВКонтакте не удаляет. Руководитель международной правозащитной группы «Агора» Павел Чиков заявил, что система удаления соответствующих публикаций может защитить пользователей только от наказания по статье 20.29 КоАП, в которой идёт речь о распространении материалов из списка Минюста. Дела по статье 282 УК РФ заводят за контент, которого нет в списке Минюста.

via kod.ru

Фундаментальные основы хакерства. Продолжаем осваивать отладчик

Добрый вечер, господа! В предыдущих статьях мы познакомились с двумя основными типами хакерского инструментария: дизассемблером и отладчиком. Первый служит для статического изучения программного обеспечения, тогда как второй — для динамического.

То есть дизассемблер открывает образ файла, хранящегося на носителе, в то время как отладчик раскрывает картину приложения во время выполнения, показывает образ в памяти. В очередной статье цикла мы продолжим изучать глубинное бурение чужого кода.

Читать без VPN

Android можно взломать, заставив жертву открыть картинку

Пользователям Android-устройств следует соблюдать большую осторожность при открытии графических файлов, загруженных из интернета или полученных в сообщении. Открыв безобидную на первый взгляд картинку, пользователь рискует подвергнуть свой смартфон угрозе взлома.

Причиной угрозы являются три обнаруженные недавно уязвимости, затрагивающие версии Android от 7.0 Nougat до 9.0 Pie. Google пока не раскрывает никаких технических подробностей о них, однако в обновлениях упоминается исправление переполнения буфера, ошибок в SkPngCodec и ряда проблем с компонентами для рендеринга PNG-изображений.

«Наиболее опасной является критическая уязвимость в Framework, позволяющая удаленному атакующему с помощью особым образом сконфигурированного файла PNG выполнить произвольный код в контексте привилегированного процесса», - сообщается в уведомлении безопасности.

Для эксплуатации уязвимости злоумышленнику достаточно заставить жертву открыть вредоносное PNG-изображение, которое невооруженным взглядом невозможно отличить от безобидного. Изображение может быть отправлено жертве в мессенджере или по электронной почте.

Опасность была исправлена с выходом плановых февральских обновлений безопасности, но далеко не все производители Android-устройств выпускают обновления каждый месяц и неизвестно, когда патчи дойдут до конечных пользователей.

А какой ОС пользуетесь вы?

Тренды кибербезопасности

По самым скромным оценкам в 2017 году общемировой ущерб от кибератак составил триллион долларов, говорится в годовом исследовании BI.ZONE за 2017-2018 год. Оценить реальный ущерб почти невозможно, поскольку 80% компаний скрывают случаи взломов и утечек. Эксперты прогнозируют, что, если ничего не предпринять, через несколько лет размер ущерба вырастет до $8 трлн.

Мы составили краткий пересказ исследования BI.ZONE, посвященного новым вызовам цифрового мира. Выбрали основные тренды в сфере киберпреступности и интересные факты из исследования, которые привлекли наше внимание: как быстро киберпреступный мир узнает об уязвимостях в MS Office, в чем проблема интернета вещей и почему выстраивание защиты своей инфраструктуры еще не гарантирует полную безопасность компании.

Читать без VPN

​​От ВКонтакте с любовью: в соцсети произошел массовый взлом сообществ

Сегодня примерно в 19:40 по МСК более 3500 сообществ «ВКонтакте» практически одновременно выложили один и тот же пост с ссылкой на статью c ресурса Liveinternet. Статья была посвящена новости о запуске рекламы в личных сообщениях в ВК.

Как стало известно позже, это была не рекламная кампания и не розыгрыш от разработчиков приуроченный к 14 февраля, а самый настоящий взлом. Жертвами хака стали официальные сообщества «ВКонтакте», крупные паблики, а также группы крупных брендов, таких как «Сбербанк», пиццерия «ДоДо», TJournal, Яндекс и другие.

Как выяснилось позднее, взлом был произведен через XSS-уязвимость. Вредоносный скрипт разместили на одной из страниц сети, при посещении которой на страницах, администрируемых жертвой, автоматически размещалась публикация как на скриншоте ниже. Также прямой переход по ссылке из такого поста автоматически опубликует новость в сообществах, где пользователь обладает правами администратора. Уязвимость до сих пор не исправлена.

Вскоре после взлома, статью на сайте Liveinternet закрыли. На данный момент все посты уже удалены, а разработчики ВК решают проблему.

Ссылка на скрипт, при помощи которого был произведен взлом: https://github.com/rzhaka/prikol/blob/master/yrap.js

Путешествие по даркнету. Что интересного можно найти в анонимной сети I2P

Добрый вечер, господа! I2P, или Invisible Internet Project — это на сегодняшний день самая анонимная сеть. Здесь ты можешь ходить по сайтам и пользоваться сервисами, не раскрывая сторонним лицам ни байта своей информации. И хоть появился I2P в 2003 году, сеть продолжает расти и шириться. Давайте посмотрим, что интересного есть в I2P сегодня.

Читать без VPN

​​Подборка №75

Статья №1: Немцы ограничили Facebook в сборе данных о пользователях.

Статья №2: Москва становится первым городом тотальной слежки.

Статья №3: Роскомнадзор доволен содействием Google в вопросах фильтрации контента.

Статья №4: Пираты распространяли взломанные версии Spotify, Pokemon Go для iOS.

Статья №5: Google запретит сайтам отслеживать активный режим инкогнито в Chrome.

Статья №6: Разработчик SearchFace о возможностях алгоритма.

Статья №7: Полицейские использовали взломанные данные Facebook против адвоката в суде.

Статья №8: Кому и зачем нужен закон об изоляции Рунета — мнения экспертов.

Статья №9: WhatsApp станет отслеживать контакты и интересы пользователей.

Статья №10: Задержаны «телефонные» мошенники, грабившие пенсионеров от имени «прокурора Москвы».

Статья №11: Роскомнадзор протестирует закон об автономном Рунете.

Dark AliExpress — хакерские и шпионские девайсы, средства самообороны и тайники. Средства для взлома автомобилей, отмычки, кодграбберы, кастеты, ножи, бронежилеты, USB киллеры, кейлоггеры, Wi-Fi декодры и многое другое.

В отдел по работе с VIP-клиентами одного из российских банков обратился мужчина средних лет, назовем его Салех. Он представлял интересы клиента с Ближнего Востока, которому требовалось немедленно перевести $140 млн со счета в Катаре в Россию. Менеджер банка сделал одно из лучших предложений на рынке, и Салех пообещал устроить встречу с клиентом. Она состоялась через пару дней.

Клиентом оказался гражданин Ливии, назовем его Амир, брат бывшего главы генерального штаба, убитого вместе с Муаммаром Каддафи. Амир узнал, что его миллионы вскоре будут конфискованы банком Катара по требованию правительства США. «Единственная страна в мире, куда руки американцев не дотянутся, — это Россия». Амир был бы счастлив стать клиентом российского банка, а банк, в свою очередь, — разместить у себя $140 млн.

Единственное, что могло помешать успешному заключению сделки, — процедура KYC (know your client, «знай своего клиента». — Esquire), которую был обязан пройти Амир. Ему следовало указать происхождение средств. Информацию проверяет служба безопасности банка, которая находится в рабочем контакте с МВД и ФСБ. Амир и Салех утверждали, что миллионы получены с продаж нефти, и в доказательство потрясали перед менеджером банка документами с арабской вязью, сургучными печатями и позолоченными вензелями. Ливиец говорил, что медлить нельзя — американцы могут конфисковать деньги в любой момент. Чтобы не упустить выгоду, менеджер банка решил провести процессы параллельно — и открыл счет на перевод денег, не дожидаясь решения службы безопасности.

Операция по переводу началась. Деньги были списаны со счета в Катаре и вскоре должны были прий­ти в Россию. Менеджеры отдела по работе с VIP-клиентами открывали шампанское, празднуя выполнение годового плана по привлечению средств клиентов, как вдруг раздался звонок. Звонили из Швейцарского банка: деньги Амира «застряли» на их корреспондентском счету. Дело в том, что швейцарцы требовали комиссию — смешные 0,002% от суммы перевода, что в данном случае составляло чуть больше $22 000. Но источник уплаты комиссии при переводе был указан неверно: корреспондентский сбор не прошел, и Швейцария вынуждена вернуть деньги в Катар. Менеджеры российского банка звонят Салеху. Салех с клиентом прибегают в офис банка. Амир хватается за голову: «Деньги возвращать в Катар нельзя, это уловка проклятых американцев». Пусть комиссию вычтут из общей суммы, а оставшиеся средства отправят в Россию. Но швейцарцы ничего вычесть не могут — это не их деньги.

Ситуация патовая. Амиру плохо с сердцем, и его увозят на скорой, менеджеры банка вне себя от упущенных бонусов, а из Швейцарии названивают, угрожая вернуть деньги в Катар. И тут Салех предлагает решение проблемы: пусть банк оформит кредитный лимит на карту, выпущенную Амиру. Бизнесмен оплатит им комиссию, а деньги вернет сразу после перевода средств. Посовещавшись с начальством, глава VIP-отдела соглашается: Амиру устанавливают кредитный лимит, «на всякий случай, с запасом» — в $30 000. Менеджеры российского банка возвращаются к шампанскому. Салех отлучается в туалет.

Стоит ли говорить, что миллионы долларов гражданина Ливии так никогда и не дошли до российского банка, и ни Амира, ни Салеха менеджеры по работе с VIP-клиентами больше не видели. $30 000, скорее всего, были переведены в офшоры, а затем обналичены.

via: esquire.ru

Twitter хранит личные сообщения удаленных аккаунтов дольше заявленного времени

Исследователи выяснили, что социальная сеть Twitter хранит личные сообщения дольше заявленного времени. В частности, были обнаружены сообщения давно деактивированных аккаунтов. Оказалось, что удалить свою информацию с серверов Twitter довольно сложно, хотя в правилах соцсети прописано, что деактивированные аккаунты будут удалены вместе со всеми данными.

Чтобы оказать содействие силовым структурам, Twitter какое-то время сохраняет твиты и личные сообщения пользователей, которые решили деактивировать свои учетные записи.

Однако исследователи обнаружили личные сообщения, которые принадлежат уже давно деактивированным аккаунтам. Таким образом, соцсеть действительно сохраняет переписку пользователей дольше положенного времени.

Пресс-служба Twitter данную ситуацию никак не прокомментировала.

Как в Советском Союзе изобрели интернет и почему он не заработал

Добрый вечер, господа! Утром 1 октября 1970 года ученый-компьютерщик Виктор Глушков вошел в Кремль, чтобы встретиться с Политбюро. Он был настороженным человеком с пронзительными глазами в черных очках, с таким типом ума, который, решая одну проблему, мог найти параллельно метод решения всех аналогичных проблем. В тот момент у Советского Союза возникла серьезная проблема. Годом раньше Соединенные Штаты запустили ARPANET, первую распределенную компьютерную сеть с коммутацией пакетов, которая со временем породит интернет, каким мы его знаем сегодня.

Распределенная сеть изначально была разработана с целью опередить СССР, позволяя компьютерам ученых и правительственных лидеров США обмениваться информацией даже в случае ядерной атаки. Это была высшая точка технологической гонки, и Советы должны были чем-то ответить.

Читать без VPN

#цифрадня

«Русские хакеры» оказались самыми быстрыми в мире

ИБ специалисты подсчитали, сколько времени требуется на взлом самым профессиональным киберпреступникам из разных стран и в топе списка как ни странно оказалась Россия.

Ранее различные эксперты в области кибербезопасности неоднократно отмечали, что «русские хакеры» являются одними из самых передовых в мире. Теперь специалисты CrowdStrike подтвердили это, подсчитав с точностью до секунды, сколько времени требуется на взлом киберпреступникам из разных стран. Как сообщается в отчете CrowdStrike, по скорости взлома русские превосходят иранцев, северокорейцев и китайцев, которые также попали в список самых высококвалифицированных хакеров.

Под скоростью взлома подразумеваются время между проникновением хакеров в сеть и началом похищения данных. Скорость взлома имеет огромное значение для успеха атаки, поскольку современные технологи позволяют обнаруживать и отражать кибератаки быстрее, чем когда-либо раньше. Чем быстрее злоумышленник проникнет в сеть, тем больше времени будет у него на похищение данных до обнаружения атаки.

Для определения скорости взлома исследователи проанализировали 30 тыс. кибератак, осуществленных в 2018 году. По подсчетам исследователей, от получения доступа к атакуемой сети и до распространения по ней российским киберпреступникам требуется всего 18 минут и 49 секунд — почти в восемь раз меньше, чем северокорейцам, занимающим второе место по скорости взлома. На третьем месте оказались китайцы, которым на взлом требуется 4-5 часов – в два раза больше времени, чем северокорейцам.

Биометрическую аутентификацию через Face ID и Touch ID в WhatsApp можно обойти

Пользователь Reddit под ником «u/deXter» рассказал о проблеме с функцией разблокировки WhatsApp на IOS с помощью Face ID или Touch ID. По словам «u/deXter», экран блокировки можно обойти благодаря багу, который был обнаружен в интеграции с Face ID и Touch ID.

«Баг может быть воспроизведен, если в настройках WhatsApp “Настройки -> Учетная запись -> Конфиденциальность -> Блокировка экрана“ установлено любое значение кроме “Немедленно“», — пишет пользователь.

Для эксплуатации бага нужно выполнить следующие действия:
1. Открыть Share Sheet в iOS.
2. Кликнуть там на иконку WhatsApp.
3. При переходе на другой экран вы обнаружите, что никакого запроса верификации с помощью FaceID или TouchID не происходит.
4. Далее просто выйдите на домашний экран iOS.
5. Попробуйте открыть WhatsApp.

По словам пользователя, в этом случае никаких запросов выводится не будет, и вы сможете спокойно войти и пользоваться приложением. Сам «u/deXter» воспроизводил этот баг с настройкой «По прошествии 1 минуты».

Напомним, что поддержка биометрической аутентификации с возможностью разблокировки через Face ID и Touch ID появилась в WhatsApp лишь начале этого месяца!

А теперь вспомните насколько давно подобный функционал был реализован в telegram. Это очередное доказательство того, какой мессенджер является лучшим на рынке.

Большие данные: как предсказывают решения судов

Добрый вечер, господа! Все более популярными становятся компании, занимающиеся анализом больших данных в области права, — спрос на их услуги растет. Станет ли Big Data эффективным инструментом, который позволит юристам получить преимущество в судебном разбирательстве и предвидеть то, какое решение вынесет суд? Об этом поговорим в новой статье.

Читать без VPN