Weekendowa Lektura: odcinek 294 [2018-12-22]. Bierzcie i czytajcie

Zapraszamy do nowego wydania Weekendowej Lektury. Zgromadziliśmy sporo ciekawych linków zarówno w części fabularnej, jak i technicznej, jest więc szansa, że każdy znajdzie coś dla siebie. Życzymy udanej lektury.

W dzisiejszym odcinku szczególnie polecamy w części fabularnej raport Instytutu Reutersa nt. wzrostu liczby ciasteczek serwowanych przez strony trzecie na portalach informacyjnych (pkt 3), artykuł o likwidacji 15 serwisów oferujących ataki DDoS na zamówienie (pkt 10) oraz doniesienia o tym, że wyłączenie śledzenia geolokalizacji na Facebooku nie działa tak jak trzeba (pkt 18). Z kolei w części technicznej spójrzcie na opis podatności w SQLite, która zagraża wielu aplikacjom, w tym przeglądarkom opartym na Chromium (pkt 9), analizę kampanii z wykorzystaniem złośliwych koparek kryptowaluty (pkt 25) oraz materiał poświęcony nowej mutacji botnetu Mirai, zwanej Miori (pkt 30). Miłego klikania!

Wersja anglojęzyczna

IT Security Weekend Catch Up – December 22, 2018

Część bardziej fabularna

1. [PL] Publikacja Panoptykonu nt. mitów, które narosły wokół RODO (PDF)
2. [PL] Kto i kiedy może instalować monitoring, jakie praktyki są zakazane
3. [PL] Więcej śledzących ciasteczek na polskich portalach (PDF)
4. [PL][AUDIO] Manipulacje w kampaniach wyborczych
5. [PL] Grudniowy „Zawór Bezpieczeństwa” do poczytania
6. [PL][AUDIO] „Cyber, Cyber…” o podsłuchaniu szyfrowanej komunikacji
7. Brytyjska GCHQ też zainteresowana podsłuchiwaniem
8. Rząd Indii zezwolił służbom na przechwytywanie danych obywateli
9. Chińczycy z APT10 oskarżeni o ataki na HP, IBM i inne amerykańskie firmy
10. Zlikwidowano 15 stron oferujących ataki DDoS jako usługę + więcej informacji
11. Korespondencja unijnych dyplomatów w rękach chińskich hakerów
12. Wyciek danych pracowników agencji kosmicznej NASA
13. Twitter zaatakowany przez formularz pomocy technicznej
14. Fani youtubera PewDiePie włamali się na stronę Wall Street Journal
15. Jak Edison Email operuje danymi miliona swoich użytkowników
16. Amazon wysłał nagrania audio z Alexy niewłaściwej osobie
17. Blind nieopatrznie ujawnił prywatne skargi pracowników Doliny Krzemowej
18. Niedziałające wyłączenie śledzenia geolokalizacji w Facebooku
19. Jak GreyNoise wyławia pożyteczne dane z informacyjnego szumu
20. Błędy w zestawieniu pirackich stron sporządzonym przez UE

Część bardziej techniczna

1. [PL] Jak działają wyjątki w C++ pod Linuksem
2. [PL] Jak szybko można złamać hashowanie haseł wykorzystane w Morele.net
3. Trywialnie łatwe generowanie kolizji MD5
4. Zagrożenia związane z wykorzystaniem haseł maskowanych
5. Nowy algorytm do efektywnego łamania CAPTCHA (PDF)
6. Hola VPN na poważne problemy z bezpieczeństwem
7. Pilna poprawka likwidująca lukę 0-day w Internet Explorerze
8. Na Twitterze znów ujawniono lukę 0-day w Windowsie, exploit też już dostępny
9. Luka w SQLite zagraża przeglądarkom opartym na Chromium
10. Tysiące serwerów Jenkins podatnych na atak
11. Podatność umożliwiająca podniesienie poziomu uprawnień w Cisco ASA
12. Luka w Twitterze dawała dostęp do prywatnych wiadomości użytkowników
13. Podatność w ASP.NET warta 17 tys. dolarów
14. Efektywne wykorzystanie 18-letniej luki w Netatalku
15. Zdalny atak na BMC uszkadzający serwery
16. Kabel USB z backdoorem na pokładzie
17. Groźne luki w zabezpieczeniach ładowarek samochodów elektrycznych
18. Systemy ochrony przeciwbalistycznej USA podatne na ataki (PDF)
19. Przegląd złośliwego oprogramowania, które w 2018 r. atakowało macOS
20. Aplikacje z tapetami na Androida wykorzystane w oszustwach reklamowych
21. Analiza złośliwej aplikacji na Androida wykradającej SMS-y
22. Ofiary ransomware’u HiddenTear mogą skorzystać z bezpłatnego dekryptora
23. Rzut oka na Danderspritz – jedno z ciekawszych narzędzi, które wyciekło z NSA
24. Nowy szkodnik sterowany za pomocą memów
25. Wnikliwa analiza kampanii wykorzystujących koparki kryptowaluty
26. Szkodnik w sandboxie mający dostęp nad systemowego schowka
27. Cyfrowe podpisywanie wiadomości phishingowych
28. Kampania phishingowa wymierzona w posiadaczy urządzeń Apple’a
29. Analiza ataków phishingowych na Bliskim Wschodzie i w Afryce Północnej
30. Miori, nowa wersja Mirai, dystrybuowana za pomocą exploita na ThinkPHP
31. Analiza aktywności grupy APT33 i stosowanych przez nią narzędzi
32. Nowa metoda odszyfrowywania kopii zapasowych WhatsAppa
33. Sześć sposobów na odszyfrowanie haseł iPhone’a z pęku kluczy
34. Zabezpieczenia zastosowane w systemie Android 9 Pie
35. Windows 10 doczekał się własnego sandboxa