Weekendowa Lektura: odcinek 278 [2018-09-01]. Bierzcie i czytajcie

Zapraszamy Was do nowego wydania Weekendowej Lektury, zawierającego najciekawsze informacje na temat ataków, wycieków, podatności i szkodników, które eksperci zaobserwowali w ostatnim tygodniu sierpnia. Życzymy udanej lektury.

W dzisiejszym odcinku szczególnie polecamy w części fabularnej opowieść o poczynaniach bywalców pewnej pracowni komputerowej na Uniwersytecie Politechnicznym w Bukareszcie (pkt 4), artykuł o zhakowaniu firmy TheTruthSpy, która sprzedaje szpiegujące oprogramowanie na Androida i iOS (pkt 12) oraz śledztwo Briana Krebsa dotyczące sprawcy wymuszeń na tle seksualnym (pkt 15). Z kolei w części technicznej spójrzcie na techniki inżynierii społecznej, które pomagają przestępcom omijać zabezpieczenia pakietu MS Office (pkt 4), badania dotyczące możliwości wykradania danych za pomocą inteligentnego oświetlenia (pkt 11) oraz analizę nietypowego złośliwego oprogramowania przy użyciu inżynierii wstecznej (pkt 17). Miłego klikania!

Wersja anglojęzyczna

IT Security Weekend Catch Up – August 31, 2018

Część bardziej fabularna

1. [PL] Wywiad z Katarzyną Szymielewicz z Panoptykonu nt. podsłuchiwania
2. [PL] Ustawa o krajowym systemie cyberbezpieczeństwa weszła w życie
3. [PL] Jak polskie serwisy szerzą prorosyjską propagandę
4. Historia pentesterów z pracowni ED011 na rumuńskim uniwersytecie
5. ABBYY nieopatrznie udostępniła w sieci 200 tys. poufnych dokumentów
6. Australijscy urzędnicy używają banalnie prostych haseł typu Password123
7. Z T-Mobile wykradziono dane 2 mln użytkowników + więcej informacji
8. Wyciek danych 20 tys. klientów linii lotniczej Air Canada
9. Z chińskiej sieci hotelowej wyciekły dane 130 mln klientów
10. Ponad 85% użytkowników aplikacji mobilnych w Chinach doświadczyło wycieku
11. Family Orbit umieściła 281 GB dziecięcych zdjęć na niezabezpieczonym serwerze
12. Producent szpiegującego oprogramowania padł ofiarą hakerów
13. Chińczycy prowadzą intensywną rekrutację w serwisie LinkedIn
14. Bank centralny Hiszpanii uległ atakowi DDoS
15. Kto stoi za serią wymuszeń na tle seksualnym
16. Przestępcy żądają okupu w zamian za nierozpowszechnianie fałszywych opinii
17. Oszust, do którego rzekomo należy 50% Facebooka, zatrzymany w Ekwadorze
18. Ryzyko związane z aplikacjami, które mogą przechwytywać zrzuty ekranu
19. Zawirowania wokół gry Fortnite na Androida + więcej informacji
20. Czym jest grawitacja danych i jaki ma związek z bezpieczeństwem
21. Instagram wchodzi w erę dwuskładnikowego uwierzytelniania

Część bardziej techniczna

1. Analiza nowo odkrytej luki w windowsowym Harmonogramie zadań
2. Chakra, silnik JavaScriptu od Microsoftu, z poważną luką
3. Omijanie zabezpieczeń i zdalne wykonanie kodu w SharePoincie
4. Techniki inżynierii społecznej służące do omijania zabezpieczeń MS Office
5. Uzyskiwanie dostępu do macOS-a za pomocą niestandardowych adresów URL
6. Przegląd najważniejszych aktualizacji i ostrzeżeń wydanych przez Oracle
7. Podatności w urządzeniach przemysłowych firmy Schneider Electric
8. Krytyczna luka w repozytorium pakietów PHP packagist.org
9. Ujawnienie wrażliwych danych za pośrednictwem transmisji Wi-Fi na Androidzie
10. Telefony z Androidem podatne na ataki z użyciem modemowych komend (PDF)
11. Inteligentne oświetlenie można użyć do kradzieży danych (PDF)
12. Ucieczka z maszyny wirtualnej Oracle VM VirtualBox
13. Uzyskiwanie dostępu do prywatnych zdjęć na Instagramie
14. Podatność w Fiserv ujawniła dane klientów wielu małych i średnich banków
15. Atak MITM za pośrednictwem źle skonfigurowanej aplikacji Gmail na Androida
16. Rocket.Chat podatny na zdalne wykonanie kodu
17. Inżynieria wsteczna złośliwego oprogramowania w niestandardowym formacie
18. Loki Bot poluje na hasła pracowników korporacji
19. AcridRain – nowy szkodnik wykradający hasła
20. Zabezpieczone hasłem dokumenty Worda użyte do dystrybucji ransomware’u
21. Łączone kampanie złośliwego oprogramowania z Urpage na czele
22. Analiza wielomodułowego mobilnego szkodnika BusyGasper
23. Aktualny krajobraz zagrożeń mobilnych
24. Ewolucja mobilnego trojana bankowego Asacub
25. Carbanak/Cobalt/FIN7 atakuje klientów rosyjskich i rumuńskich banków
26. Analiza techniczna ataku na indyjski Cosmos Bank
27. Rocke – chiński gracz na rynku złośliwych koparek Monero
28. APT29 stosuje technikę domain fronting
29. Ujarzmianie botnetu atakującego USA, Kanadę i Włochy
30. Jak zbudować swój własny fałszywy BTS
31. Analiza transakcji Apple Pay
32. Machine learning a bezpieczeństwo
33. W co drugim projekcie opartym na JavaScripcie występują podatności
34. Kiedy dwuskładnikowe uwierzytelnianie da się ominąć
35. Tink – wielojęzyczna, wieloplatformowa biblioteka kryptograficzna
36. Nowa wersja LKRG (Linux Kernel Runtime Guard)
37. Niemieckie ataki kryptoanalityczne na brytyjską maszynę TYPEX