Zapraszamy do nowego wydania Weekendowej Lektury. Zgromadziliśmy dla Was trochę ciekawych linków zarówno w części fabularnej, jak i technicznej, jest więc szansa, że każdy znajdzie coś dla siebie. Życzymy udanej lektury.
W dzisiejszym odcinku szczególnie polecamy w części fabularnej opowieść o byłych agentach NSA pracujących na zlecenie władz Arabii Saudyjskiej (pkt 6), informacje o ataku na Bayer, czyli jedną z największych firm farmaceutycznych na świecie (pkt 9) oraz historię aresztowania przywódcy rumuńskiego gangu, który od lat okradał bankomaty (pkt 12). Z kolei w części technicznej spójrzcie na analizę kampanii rozpowszechniającej zarówno trojany bankowe, jak i ransomware (pkt 23), rzućcie okiem na różne przykłady phishingu (pkt 28) i sprawdźcie, kto stoi za atakami na sektor przemysłowy z użyciem ransomware’u LockerGoga (pkt 33). Miłego klikania!
Wersja anglojęzyczna
Część bardziej fabularna
- [PL] Kwietniowy OUCH! o tworzeniu haseł w prostszy sposób (PDF)
- Facebook prosił niektórych użytkowników o hasło do skrzynki pocztowej
- W chmurze Amazona znaleziono dane 540 mln użytkowników Facebooka
- Badacze namierzyli na Facebooku 74 grupy zrzeszające przestępców
- Jak CIA pozyskiwało poufne informacje z Apple’a
- Byli agenci NSA śledzili dziennikarzy Al-Jazeery i BBC na zlecenie Saudyjczyków
- Ukryta kamera w mieszkaniu wynajętym przez Airbnb
- Jak za darmo jeść w restauracjach, będąc programistą
- Atak na Bayer, jedną z największych firm farmaceutycznych na świecie
- Centrum medyczne w Michigan zaatakowane przez ransomware
- Kanadyjska policja wzięła na celownik twórcę trojana Orcus
- Aresztowano domniemanego szefa rumuńskiej grupy okradającej bankomaty
- Były szef giełdy Mt. Gox z wyrokiem w zawieszeniu
- Giełdę krytpowalut Bithumb okradziono trzeci raz w ciągu trzech lat
- Dobre zmiany w programie bug bounty Microsoftu
Część bardziej techniczna
- [PL] Kilka komplikacji związanych z używaniem DNS Prefetchingu
- [PL] Spam i phishing w 2018 r.
- Groźna luka 0-day w Microsoft Edge i Internet Explorerze
- Wykorzystanie podatności w Google Chrome + PoC
- Kilka słów o lukach załatanych przez VMware
- Oprogramowanie przemysłowe Advantech WebAccess podatne na ataki
- O wykorzystaniu wadliwie załatanych luk w routerach Cisco
- Ciekawy exploit na świeżą podatność w serwerze Apache
- Analiza błędu przepełnienia sterty w VBScripcie
- Easter egg w zabezpieczeniach Androida
- Podatność w antywirusie preinstalowanym na urządzeniach Xiaomi
- Backdoor w popularnej bibliotece Ruby Bootstrap-Sass
- Niezabezpieczone wstępne ładowanie w aplikacjach opartych na Electronie
- Kolejna kampania ze zmianą ustawień DNS na routerach D-Linka
- Wielce podejrzana wtyczka do WordPressa
- Wyskakujące okna reklamowe, które nie dają się zamknąć
- Niedawno wydana łatka na lukę w Kubernetes okazała się wadliwa
- Luki w kliencie GOG Galaxy pozwalały przejąć kontrolę nad systemem
- Z powodu błędu Skype samodzielnie odbierał połączenia
- Zagrożenia atakujące sektor przemysłowy
- Komercyjne oprogramowanie szpiegujące pod lupą badaczy
- Jak przestępcy wykorzystują popularne seriale do dystrybucji szkodników
- Emotet, TrickBot i Ryuk w jednej kampanii złośliwego oprogramowania
- Bankowy trojan IcedID został wyposażony w nowe funkcje
- Analiza sposobu dystrybucji bankowego trojana Ursnif
- Ulepszona wersja szkodnika Bashlite atakuje urządzenia IoT
- Rzut oka na ataki homograficzne
- Przykłady różnych ataków phishingowych
- Zdalne skanowanie podsieci za pomocą otwartych resolverów DNS
- Ponad 13 tys. dostępnych publicznie klastrów iSCSI
- Czy to źle, że LastPass przesyła hasła użytkowników na swoje serwery
- Analiza kampanii spamowej zakrojonej na szeroką skalę
- Za atakami z użyciem ransomware’u LockerGoga i Ryuk stoi grupa FIN6
- Warp – darmowy VPN od Cloudflare
- CommandoVM – platforma do testów penetracyjnych od FireEye
- Password Checkup zyskał 650 tys. użytkowników w 20 dni
Jeśli natkniecie się w sieci na ciekawy, aktualny / ponadczasowy artykuł, prześlijcie do niego link na adres anna (at) zaufanatrzeciastrona.pl – są szanse, że trafi do kolejnego wydania Weekendowej Lektury.
Komentarze
Dotyczy broszury „Kwietniowy OUCH! o tworzeniu haseł w prostszy sposób (PDF)”
„Choć często jest to ważny środek bezpieczeństwa, nie jest to panaceum. ” Bruce Schneier o uwierzytelnianiu wieloetapowym
„Dotychczasowe badania bezpieczeństwa menedżerów haseł na okoliczność ujawnienia sekretów użytkownika były głównie prowadzone w stanie gdy sam menedżer nie był uruchomiony.” Tenże, o bezpieczeństwie używania menedżerów haseł.
Jeżeli Bruce Schneier o czymś pisze, to należy go zawsze słuchać. Antywirusy, menedżery haseł, szyfrowanie dwuetapowe „to nie jest panaceum”. Generalnie są ważne w tematyce bezpieczeństwa. Jednak należy znać ich słabe strony i wady. Niektóre implementacje paradoksalnie mogą obniżać bezpieczeństwo systemu. Wszystko zależy od świadomości właściciela i znajomości tematu. Dla jednych będzie to zwiększenie poziomu bezpieczeństwa, dla innych wręcz odwrotnie.
Ogólnie w artykułach o sec. brakuje krytycznego spojrzenia na temat. Pokutuje wiele mitów.
przed podaniem numeru gdziekolwiek trzeba rozważyć kwestię zagrożenia SIM swapem (może to będzie najsłabsze ogniwo?) oraz wykorzystania numeru przez firmę do innych celów (np. marketingowych)