Informacje tutaj zebrane pochodzą z kanałów RSS wielu stron o tematyce IT security. Dzięki tej metodzie możliwe jest sprawdzanie na bieżąco w jednym miejscu, czy na interesujących nas stronach pojawiły się nowe artykuły. Kanał Really Simple Syndication (RSS) jest automatycznie aktualizowany, w chwili  gdy na obserwowanej stronie pojawi się nowy artykuł.

sekurak.pl

CouchDB – podniesienie uprawnień i zdalne wykonanie kodu

Systemy informatyczne gromadzą i przetwarzają coraz więcej danych. Utrzymujący się tej w dziedzinie trend powoduje, że z czasem w złożoności struktur danych oraz możliwości wiązania danych relacjami w bazach SQL, zaczęto upatrywać niepotrzebny narzut wydajnościowy. Wprost przełożyło się to na...

17.Lis.2017


Github automatycznie powiadamia o podatnościach w użytych bibliotekach

Brzmi jak zautomatyzowany OWASP Dependency Check? Bo założenia są podobne – automatycznie informować o podatnościach w bibliotekach, których używamy w naszej aplikacji. Repozytoria publiczne mają automatyczne włączone powiadomienia, w repozytoriach prywatnych trzeba je samodzielnie włączyć. Na...

16.Lis.2017


Pakiet darmowych koszulek sekuraka dla edukacji

Od czasu do czasu rozdajemy trochę czarnych, darmowych koszulek sekuraka, które jak nam donosicie są wyjątkowo dobrej jakości. Można je prać ze 100 razy i nic się nie dzieje – a haftowane logo pozostaje jak nowe. Ostatnio dostaliśmy info, że nauczyciele akademiccy polecają nasze różne teksty...

16.Lis.2017


Zrootowane Androidy oraz iOS-y, łatwe omijanie pinningu certyfikatów, ataki na backend, …

… najczęstsze problemy bezpieczeństwa występujące w aplikacjach mobilnych; do tego narzędzia umożliwiające zmiany aplikacji „w locie”, dostęp do wrażliwych danych na telefonach i wiele, wiele więcej. Takie rzeczy prezentuje Michał Bentkowski na naszym szkoleniu warsztatowym z bezpieczeństwa...

15.Lis.2017


OVH z deszczu pod rynnę

Większość z Was kojarzy zapewne ostatnią rozległą awarię w OVH – nie działało kompletnie bardzo dużo serwisów z Polski, nie działał Sekurak ani status.ovh.com. Problem na szczęście został rozwiązany w przeciągu paru godzin, a niedawno klienci OVH dostali maila z informacją o możliwym przyznaniu...

15.Lis.2017


Kupili Boeinga 757 i go zdalnie zhackowali

USA robią pentesty z rozmachem – amerykański Homeland Security zakupił samolot Boeing 757, po czym wykonał na nim testy penetracyjne, które okazały się skuteczne: I didn’t have anybody touching the airplane, I didn’t have an insider threat. I stood off using typical stuff that could get through...

13.Lis.2017


CERT Polska

Konkurs Capture The Flag w ramach ECSM 2017

Na koniec października, czyli wybranego przez Komisję Europejską oraz ENISA miesiąca poświęconego bezpieczeństwu teleinformatycznemu, chcielibyśmy zaprosić Państwa do wzięcia udziału w naszym małym konkursie typu Capture The Flag. Rozwiązanie zadań konkursowych będzie wymagać od jego uczestników...

27.Paź.2017

Głębsze spojrzenie na moduły Tofsee

Tofsee jest złośliwym oprogramowaniem z wieloma funkcjami – może kopać bitcoiny, wysyłać emaile, kraść dane dostępowe, wykonywać ataki DDoS i wiele więcej. Pisaliśmy już o Tofsee/Ghegu kilka miesięcy temu – nasza analiza znajduje się pod adresem https://www.cert.pl/news/single/tofsee. Znajomość...

19.Paź.2017

Podatność w protokole WPA2 – „Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2”

Niektóre implementacje protokołów WPA i WPA2 używanych do uwierzytelniania i szyfrowania komunikacji w sieciach WiFi pozwalają atakującym na jej podsłuchanie oraz wstrzyknięcie spreparowanych pakietów. Podatne na atak są m.in. urządzenia z niektórymi wersjami systemów operacyjnych Android (od...

17.Paź.2017

Ramnit – dogłębna analiza

Ramnit rozpoczął swoją działalność w 2010 roku. Rozprzestrzeniał się wtedy głównie infekując pliki wykonywalne i dołączając się do plików HTML. Rok później ukazała się jego groźniejsza wersja – autor wykorzystał kod złośliwego oprogramowania Zeus, który wyciekł w 2011 r. Wykorzystanie elementów...

29.Wrz.2017

CVE-2017-9805 – Zdalne wykonanie kodu w Apache Struts 2 REST Plugin XStream

Parę dni temu została opublikowana łatka oraz exploit na podatność CVE-2017-9805. Luka ta obecna od ośmiu lat w kodzie pluginu REST, pozwala na zdalne wykonanie kodu na serwerze hostującym aplikację we frameworku Apache Struts 2. Według szacunków firmy analitycznej RedMonk aplikacje bazujące na...

13.Wrz.2017

Atak Petya & Mischa

Duet Petya & Mischa jest na rynku ransomware od końcówki 2015 roku. Po sukcesie ataku WannaCry, ostatni wariant został wzbogacony o funkcje propagacji wewnątrz sieci za pomocą exploita EternalBlue, PsExec oraz Windows Management Instrumentation Command-line (WMIC). Wczorajsza kampania uderzyła...

28.Cze.2017

Timber by EMSIEN-3 LTD

niebezpiecznik.pl

* Film dokumentalny o inwigilacji

Godzinka z hackiem. Miłego oglądania! Dziękujemy Patrykowi za podesłanie namiaru Przeczytaj także: * Spycraft – film o kulisach pracy szpiegów Hackowanie Excelem (film Unthinkable) ipconfig /displaydns

14.Lis.2017


* Uwaga na wyłudzenia przez bramkę SMS Plusa

Do naszych czytelników spływają SMS-y mniej-więcej takiej treści: Wiadomosc z internetowej bramki sms od XXX: potwierdzamy uruchomienie usługi MOJEGRY Online na numerze XXX. Opłata za usługę wynosi 25zł (30.75 zł brutto) odnawiana automatycznie co 7 dni. Bezplatna rezygnacja mozliwa pod...

15.Lis.2017


* Po co mBank prosi o włączenie kamerki?

Czytelnicy pytają nas, czy udostępnienie kamerki mBankowi jest bezpieczne. Chodzi o akcję promocyjną prowadzoną na stronie www.razem-najlepiej.pl. Strona zachęca do uruchomienia kamerki i obiecuje, że zobaczysz tym więcej im więcej osób zbierzesz przed kamerą. Na stronie jest regulamin, ale jest...

16.Lis.2017


* OVH padło

Hekatomba w OVH. Nawet strona ze statusem nie działa. Prąd padł, ale generatory nie wstały: Jeśli jakaś strona Wam teraz nie działa, to już wiecie, gdzie się hostuje. Możę będzie z tego coś dobrego i kilka usług Tor zostanie “namierzonych”? :) Oficjalny komentarz OVH: Z uwagi na awarię części...

09.Lis.2017


* Antyphishingowa osłonka na telefon

Prezentujemy antyphishingową, antyvishingową i antymalware’ową osłonkę na telefon autorstwa jednego z naszych Czytelników, Anatola: Przeczytaj także: Prima Aprilis na Niebezpieczniku Niebezpiecznikowi stuknął miesiąc! :-) * Przykładowa dziurawa aplikacja na Androida

03.Lis.2017


* Wypowiedź dot. deanonimizacji i inwigilacji przez media społecznościowe

Z racji liczby udzielanych mediom wypowiedzi, doszliśmy do wniosku, że ze względu na ich szczegółowość i edukacyjny charakter, będziemy je także udostępniali na łamach Niebezpiecznika. Nie chcemy aby zniknęły w otchłani czyjegoś serwera za kilka lat, albo żeby schowano je za paywallem danej...

03.Lis.2017


zaufanatrzeciastrona.pl

Zapraszamy na szkolenie przygotowujące do egzaminu CISSP

Serdecznie zapraszamy na kolejną edycję szkolenia przygotowującego do egzaminu CISSP (Certified Information Systems Security Professional), organizowanego już za niedługo w Warszawie przez firmę Prevenity. Prevenity możecie kojarzyć z pojawiających się od czasu do czasu w Weekendowej Lekturze... 

17.Lis.2017


Zapraszamy na Advanced Threat Summit – konferencję inną niż wszystkie

W rosnącej co roku liczbie imprez związanych z bezpieczeństwem informacji odbywających się w Polsce nie jest łatwo odróżnić się od konkurencji. Na tym tle od dawna wybija się konferencja Advanced Threat Summit. Tworząc konferencję poświęconą bezpieczeństwu nie jest łatwo zerwać ze schematem... 

16.Lis.2017


Jak sprawdzić czy mój serwer jest bezpieczny – zapraszamy na ostatni webinar w 2017

Za nami już pięć edycji webinarów dla administratorów serwerów zainteresowanych podniesieniem poziomu bezpieczeństwa swoich maszyn. Czas zatem na podsumowanie i szósty odcinek cyklu realizowanego wspólnie z Aruba Cloud. Uruchomione w tym roku webinary z Aruba Cloud cieszyły się sporym... 

15.Lis.2017


Weź udział w Badaniu Stanu Bezpieczeństwa Informacji w Polsce A.D. 2017

Zajmujesz się w firmie bezpieczeństwem informacji? Unikasz badań ankietowych na ten temat? Proponujemy zmianę zwyczaju, bo jest ku temu dobra okazja – możesz pomóc w określeniu tego, jak sytuację w branży postrzegają polscy specjaliści. Firma PwC od kilkunastu lat na całym świecie (a od kilku... 

14.Lis.2017


Nie śmiej się dziadku z cudzego wypadku. CashBill się śmiał i sam tak miał

Życie jest najlepszym nauczycielem, a nauczki pojawiają się znienacka jak rozpędzony TIR na Twoim pasie wyskakujący zza zakrętu. Takiej nauki doświadcza własnie firma CashBill, która wczoraj śmiała się z Przelewy24. Kilka dni temu opisaliśmy problemy z bezpieczeństwem wtyczek sklepowych,... 

12.Lis.2017


Jak serwis DanePersonalne.pl łamie prawo i oszukuje swoich klientów

Stworzenie serwisu informującego o wyciekach danych osobowych z wielu powodów, głównie prawnych, nie jest proste. Jak się jednak okazuje można jednak nie tylko ignorować obowiązujące przepisy, ale także oszukiwać swoich klientów. Na świecie funkcjonuje kilka serwisów udostępniających informacje... 

11.Lis.2017


locos.pl

Krytyczne luki we wtyczkach dla sklepów obsługujących Przelewy24

Sprawę dokładnie opisała Zaufana Trzecia Strona , a dotyczy luk we wtyczkach do wielu różnych rodzajów platform handlowych, przygotowanych przez serwis Przelewy24.pl. Sprawa dla niektórych klientów jest poważna a Przelewy24 opublikowały w tym zakresie alert na swojej stronie. Więcej... 

05.Lis.2017


Projekt ustawy o krajowym systemie cyberbezpieczeństwa

Zapewnienie wysokiego poziomu cyberbezpieczeństwa – to jeden z priorytetów Ministerstwa Cyfryzacji, określony już w listopadzie 2015 roku. Zarówno na poziomie krajowym, jak i w Unii Europejskiej. Prezentowany projekt ustawy o krajowym systemie cyberbezpieczeństwa to wynik prac ekspertów zarówno... 

03.Lis.2017


Interwencje GIODO w sprawie zabezpieczania danych osobowych przez uczelnie

Warszawska szkoła wyższa AlmaMer zabezpieczyła już dokumenty z danymi osobowymi studentów i pracowników. Z kolei po kontroli trzech uczelni w Katowicach GIODO składa zawiadomienia do prokuratury. Więcej... 

17.Paź.2017


Wi-Fi KRACK - bardzo poważna luka w Wi-Fi

Grupa badaczy prowadzonych przez Mathy Vanhoefa, naukowca z Uniwersytetu w Louvain w Belgii wiosną tego roku natrafiła na fundamentalny problem w protokole 802.11, na którym opiera się cała komunikacja w sieciach Wi-Fi. Więcej... 

17.Paź.2017


Zmasowany cyberatak sparaliżował stronę popularnej loterii

Na kilka godzin miliony Brytyjczyków straciło szansę zakupu losów, a co za tym idzie także szansy na zrealizowanie marzeń o potencjalnej wygranej w tamtejszej loterii. Powód? Zmasowany atak cyberprzestępczy na stronę internetową Brytyjskiej Loterii Narodowej, w wyniku którego witryna oraz... 

15.Paź.2017


hack.pl

Atak oprogramowania ransomware WannaCry

W ubiegły piątek doszło do zmasowanego, ogólnoświatowego ataku oprogramowania ransomware o nazwie WannaCry. Zadaniem szkodliwego programu było zaszyfrowanie danych ofiar i żądanie zapłacenia okupu. Szkodliwe oprogramowanie zastosowane w ataku wykorzystuje lukę w systemach Windows, która... 

13.Maj.2017


Ile zarabiają cyberprzestępcy?

5 dolarów - nawet za tak niedużą kwotę cyberprzestępcy są skłonni zaatakować wybraną stronę i przeprowadzić atak trwający 5 minut.400 dolarów, jeśli dany serwis online ma być „bombardowany” przez 24 godziny. Atakowany w tym czasie może stracić tysiące, a nawet miliony dolarów. Średnia cena ataku... 

29.Mar.2017


Szkodliwe narzędzie Adwind RAT atakuje firmy w 100 państwach i terytoriach

Wykryto nowy masowy atak przeprowadzony przy użyciu narzędzia zdalnego dostępu (RAT) o nazwie Adwind. Ten wielofunkcyjny szkodliwy program został wykorzystany w atakach na ponad 1 500 firm w ponad 100 państwach i terytoriach. Ataki objęły różne branże, w tym handel detaliczny i... 

23.Lut.2017


Jak bezpiecznie kupować online przed świętami?

Według badań „Raport: Zakupy świąteczne 2016” przeprowadzonych przez firmę Deloitte, prawie 40% funduszy na prezenty świąteczne polscy konsumenci wydadzą w sklepach internetowych. Ta wartość nie umknie uwadze cyberoszustów. Aby poszukiwanie świątecznych podarunków nie skończyło się przykrą... 

07.Gru.2016


Ataki DDoS za pośrednictwem platformy WordPress — teraz z szyfrowaniem

Na podstawie danych z systemu DDoS Intelligence dla III kwartału 2016 r. eksperci od bezpieczeństwa zauważyli wyłaniający się trend - wzrost liczby ataków wykorzystujących szyfrowanie. Ataki te są niezwykle skuteczne z uwagi na fakt, że trudno je zidentyfikować w ogólnej fali... 

07.Gru.2016