Шестьдесят пятый выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru

Темы нового ролика:

🔸 Расширения Chrome отслеживают пользователя в Интернете
🔸 iOS 16 — Apple решила самую раздражающую проблему в Интернете
🔸 Новая атака NTLM relay позволяет злоумышленникам захватывать Windows-домены
🔸 Кибератака на систему управления сирен привела к воздушной тревоге в Израиле
🔸 Отключение Internet Explorer вызвало панику в Японии
🔸 Специалист выпустил приложение-эксплойт для iPhone
🔸 Windows 11 покажет, какие приложения шпионят за вами
🔸 В работе Cloudflare произошел массовый сбой
🔸 APT ToddyCat атакует Exchange-серверы в Европе и Азии
🔸 В РФ запретят закупки зарубежного ПО для всех объектов КИИ
🔸 В России появится консорциум по кибербезопасности
🔸 Fortinet: более 40% глобальных инцидентов кибербезопасности приводят к сбоям в работе, создавая риск физической безопасности _____________________________________

💰📊👉 Новости об инвестициях в кибербезопасность предоставлены каналом It’s positive investing - https://news.1rj.ru/str/positive_investing

Остановка нефтепродуктопровода

Резонансная кибератака на трубопроводную систему Colonial Pipeline в 2021 году почти парализовала подачу топлива на восточное побережье США на целых пять дней. В результате более половины АЗС закрылись, цены на бензин резко выросли, а компании American Airlines пришлось отменить часть рейсов.

На киберполигоне The Standoff могла произойти подобная катастрофа. Взломав нефтяную компанию Tube, хакеры могли запустить в сеть вирус-шифровальщик.С таким вирусом можно шантажировать руководство ради кругленького выкупа. В результате атаки транспортировка 60% топлива в Государстве F остановится, 90% АЗС закроются, цены на бензин обновят исторический максимум, а жители начнут паниковать.

Тогда уж и до межотраслевых последствий недалеко: тот же нефтепродуктопровод используется для доставки авиационного керосина в аэропорт. Запасы топлива быстро иссякнут, а множество авиарейсов будет отменено.

Как хакеры незаметно крадут данные, используя вредоносное шифрование

Атаки вредоносов все чаще сопровождаются кражей данных, но злоумышленникам приходится преодолевать серьезные препятствия, которые могут активировать систему оповещения и блокировать утечку.

Эрик Филиол, старший консультант по ИБ и разведке в OPS4SEC (Таллин, Эстония), рассказал на #PHDays11 о том, как злоумышленники могут похитить конфиденциальные данные, обойдя такие преграды.

Эти техники разработчики ВПО могут также использовать для усовершенствования работы программ-вымогателей.

Смотрите один из самых интересных докладов #PHDays11

Как прийти в мобильный инфобез в 2022 году

В среду, 6 июля, в 20:00 (МСК) в группе Android Guards пройдет стрим, на котором мы обсудим, как прийти в мобильный инфобез в 2022 году. Уклон беседы будет скорее в offensive security, но думаем, что разработчики тоже смогут узнать что-то интересное.

Обсудим:

▫️ с чего начать молодым специалистам, что изучать, а на что можно забить в начале пути;
▫️ как вкатиться уже матерым хакерам, которые точно знают в какое поле пихать кавычку, а в какое лучше не надо;
▫️ что делать разработчикам, у которых наступил «кризис веры» и есть желание попробовать свои силы во взломе мобилок.

Еще вы узнаете о рабочем процессе в целом и о том, какую пользу познания в мобильном инфобезе могут принести, если решите попробовать себя в другой области.

Стрим будет проходить в формате видеочата в группе Android Guards (если вы еще не там, то самое время присоединиться).

Шестьдесят шестой выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru 💥

Темы нового ролика:
— Ваша криптовалюта не такая уж и децентрализованная?
— Популярные Android-приложения для отслеживания детей несут угрозу безопасности
— В Израиле операторы ботов превратили госуслуги в дойную корову
— Apple остановила распространение шпионского ПО Hermit
— Нейросеть научилась играть в Minecraft
— Российские компании остались без лицензий на оборудование Cisco и IBM
— Воришка Енот возвращается в игру
— Сколько стоят ваши личные данные в дарквебе?
— HP: разрушительные атаки на встроенное ПО создают серьезную угрозу для бизнеса
— Правительство конкретизировало требования к профильным топ-менеджерам по ИБ
— ФСТЭК России раскрыла статистику и планы перехода российских ОС на отечественную ветку ядра Linux
_____________________________________
💰📊👉 Новости об инвестициях в кибербезопасность предоставлены каналом It’s positive investing - https://news.1rj.ru/str/positive_investing

Bug Bounty от Positive Technologies: некоторые вопросы и ответы. Интервью с СРО The Standoff 365 Ярославом Бабиным
https://habr.com/ru/post/675150/?utm_campaign=675150&utm_source=habrahabr&utm_medium=rss

Bug bounty: взгляд разработчиков, пользователей, хакеров 🪲

На PHDays 11 мы обсудили развитие российских платформ bug bounty, в том числе The Standoff 365: проблемы запуска, вознаграждения хакеров, бюджета на поиск и устранение уязвимостей, а также будущее этого рынка.

CPO The Standoff 365 Ярослав Бабин рассказал о переосмыслении подхода к bug bounty: «Мы предлагаем платить хакеру не просто за какие-то уязвимости, а за найденные пути реализации недопустимых для бизнеса событий».

Представитель Минцифры Владимир Бенгин подчеркнул, что ведомство открыто для сотрудничества с экспертами с целью устранить преграды для развития bug bounty-платформ в России, а директор блока экспертных сервисов BI.ZONE Евгений Волошин считает, что bug bounty в стране сегодня — это требование рынка и необходимость: «У больших платформ есть свои проблемы, своя история, а мы не отягощены каким-то наследием и можем сделать все классно с самого начала».

Полная запись дискуссии 👇

Утечка нефти

Что будет, если хакеры получат доступ к АСУ ТП нефтеперекачивающей станции? Например, они могут отключить систему сглаживания волн давления в трубопроводе и обесточить насосы. В результате произойдет разрыв одного из участков нефтепровода, и он остановится.

Что дальше? Дефицит сырой нефти приведет к скачку цен на топливо.

Но и это еще не все. Как насчет межотраслевых последствий? Из-за аварии нефть может попасть в реку, а водоочистные сооружения попросту не справятся с таким загрязнением. И тогда из кранов текла бы липкая жижа, а жителей ждали бы не просто бытовые неудобства, но и опасные болезни… Кстати, подобное случилось в апреле в городке Суворов под Тулой.

А у нас на The Standoff есть сценарий со схожими последствиями, и исследователи безопасности всегда могут попробовать его реализовать на наших мероприятиях

«Белый» хакер рассказал, как зарабатывает десятки тысяч долларов, находя уязвимости в соцсетях и платёжных системах

Глеб Скворцов ищет уязвимости на сайтах и приложениях известных компаний, а затем продаёт их им на bug bounty площадках. За пять лет «пентестер» нашел более сотни брешей в сервисах вроде Slack, GitLab и PornHub. В интервью «Газете.Ru» он рассказал, как стать хакером и за что платят багхантерам:

«В каждой программе bug bounty определён диапазон денежных вознаграждений за найденные уязвимости. Чем опаснее уязвимость и чем больше влияния на продукт, тем больше получит исследователь за обнаружение. Как правило, минимальная выплата — $50, максимальная может доходить до сотен тысяч. Сотни тысяч я не получал, но больше $3000 было точно. Если постараюсь, за месяц могу заработать больше $10 тыс., если поленюсь, может выйти и $100».

При этом хакер работает в одной из ведущих российских компаний в сфере ИБ, для приёма было достаточно его профиля на платформе поиска уязвимостей HackerOne.

@gazetaru

Как зарабатывать больше на поиске уязвимостей

Недавно мы запустили платформу The Standoff 365 Bug Bounty, объединяющую компании и исследователей безопасности для поиска уязвимостей и получения достоверной и независимой оценки защищенности бизнеса. 

Готовим для вас много приятных новостей. А пока представляем подборку из 40 ресурсов, которые помогут прокачать ваши навыки в offensive security, а также позволят оперативно узнавать о новых ресерчах, техниках и эксплойтах.

Ресурсы в этом списке рекомендовали шесть крутых багхантеров: Circuit, Ustinov, Zctym92, Fi5t, Impact и еще один исследователь, пожелавший остаться неизвестным. На их счету сотни обнаруженных уязвимостей в системах известных компаний, в том числе с присвоенными CVE. Они одними из первых присоединились к The Standoff 365 Bug Bounty.

💥 Если хотите найти баги, которые принесут вам солидное вознаграждение, признание и публичную благодарность известных компаний, то эта подборка вам точно пригодится. Enjoy!

👀 Смотреть на Хабре

⏳ Четыре дня до открытия онлайн-киберполигона!

50 счастливчиков тестировали полигон ещё в декабре и представляют, как всё работает. Теперь мы готовы открыть его для всех вас :)

Онлайн-киберполигон — это площадка, где можно ломать копии реальных инфраструктур компаний, оттачивая навыки пентеста или исследуя новые техники атак 24/7.

В декабре участники тестирования получили платформу с двумя сегментами: энергетическим холдингом Big Bro Group и IT-компанией Hello World Systems. Полигон работал по стандартным правилам The Standoff: хакеры искали уязвимости в системах, реализовывали недопустимые события и сдавали отчёты. Что изменилось?

#Changelog:
✔️ Добавили новый сегмент — банк, который проводит финансовые операции между предприятиями и гражданами, а также выполняет межбанковские переводы через интерфейс с центробанком.
✔️ Изменили принцип получения очков: вместо написания отчётов участники будут сдавать флаги. Когда вы достигли цели и реализовали недопустимое событие, вы заберёте с системы строчку определённого формата — флаг. Он доказывает, что вы успешно проникли в систему.
✔️ В веб-интерфейсе можно получить e-mail учётки для фишинга на полигоне и сделать откат машин в случае поломки.

Приходите в понедельник на платформу, чтобы раньше всех грабануть банк 😎

Экспертный центр кибербезопасности Positive Technologies и PT Career HUB запускают стажировку The Young Hats: Infosec A+

Для молодых специалистов это отличная возможность на практике познакомиться с защитой от комплексных атак на цифровую инфраструктуру.

👨‍🏫 Что вас ждет?

Стажировка состоит из двух частей. Сперва вы изучите базовые темы ИБ:

— введение в безопасность операционных систем;
— компьютерные атаки (классификации, жизненный цикл, база знаний MITRE ATT&CK);
— основные возможности MaxPatrol SIEM, PT NAD, PT Application Firewall;
— выявление и отражение атак на различных этапах.

На втором этапе, после экзамена, лучшие студенты получат возможность пройти оплачиваемую стажировку в подразделениях экспертного центра безопасности Positive Technologies.

⏰ Когда?

Старт 15 августа 2022 года
Заявки принимаются до 25 июля

💻 Формат

Занятия будут проходить онлайн, в дистанционном режиме. 20 часов в неделю, 4 месяца. Мало теории, много практики.

Подать заявку можно на сайте