⚡️ Тридцать девятый выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru

Темы нового ролика:

✔️ США заплатят $10 млн за информацию о лидерах REvil
✔️ Турецкие стримеры отмыли через Twitch $10 млн
✔️ Эксперт предупредил о целом поколении «взломанных людей»
✔️ Вымогатель Hive атаковал крупнейшего в Европе продавца электроники
✔️ Мошенник заблокировал аккаунт главы Instagram, заявив о его смерти
✔️ Мошенники похитили данные пользователей трейдинговой платформы Robinhood
✔️ Фейковое резюме разработчицы привлекло 90% работодателей
✔️ Microsoft теперь будет еще больше следить за работниками
✔️ Contrast Security получила финансирование в размере $150 млн.
✔️ Компания Kyndryl завершила выделение из IBM
✔️ McAfee станет частной компанией под руководством Advent в рамках сделки на $14 млрд
_____________________________________

💰📊👉 Новости об инвестициях в кибербезопасность предоставлены каналом It’s positive investing - https://news.1rj.ru/str/positive_investing

Ежегодный отчет от этичных хакеров

📝 Пока подробные разборы с The Standoff еще готовятся, давайте взглянем на свежий ежегодный отчет Inside the Mind of a Hacker от специалистов из Bugcrowd. Новые данные указывают на поразительные сдвиги в ландшафте угроз:

🔹 80% этичных хакеров обнаружили уязвимости, с которыми они не сталкивались до пандемии
🔹 74% этичных хакеров отметили увеличение количества уязвимостей с начала пандемии коронавирусной инфекции (COVID-19)
🔹 Как полагают 45% этичных хакеров, ограниченная сфера охвата усложняет поиск уязвимостей
🔹 Этичные хакеры с платформы Bugcrowd предотвратили киберпреступлений на сумму в $27 млрд
🔹 По словам 91% этичных хакеров, тестирование на определенный момент времени не может обеспечивать компании защиту круглый год

👀 Читайте краткие итоги прошедшего The Standoff

Следите за нашими социальными сетями, чтобы в числе первых увидеть подробные разборы атак с киберполигона и быть в курсе свежих новостей из мира кибербезопасности 🌐

Хакерская группировка fail0verflow взломала Playstation 5 и получила доступ к корневым ключам консоли 🎮

Несмотря на то, что получение ключей — это еще не полный взлом, представители группировки считают, что разработчикам PS 5 будет непросто закрыть эту уязвимость.

Если очередное обновление не прикроет дыру в защите, хакеры вскоре добьются полного взлома консоли и смогут устанавливать на приставку игры в обход системы — проще говоря, откроется возможность для бесплатного сохранения в память девайса пиратских тайтлов ☠️

Эта новость стала еще одним доказательством того, что сегодня можно взломать любое электронное устройство, а свежие знания в сфере киберзащиты нужны даже огромным корпорациям 🌐

⚔️ Безопасность можно проверить только на практике, на киберучениях. Смотрите как прошел недавний The Standoff на сайте

🖼 На The Standoff мы провели конкурс по взлому NFT-арта.

Владельцем каждой из 6 NFT в коллекции был специально подготовленный уязвимый смарт-контракт. При успешной эксплуатации каждого из них атакующий получал во владение NFT.

Спасибо художникам, которые предоставили свои работы для конкурса:

👾 Артем Ткач
👾 Desinfo
👾 Meta Rite
👾 volv_victory
👾 Anomalit Kate
👾 Loit

Разбор заданий для хакеров читайте на Хабре

Стартовало бета-тестирование The Standoff 365. Полноценный запуск запланирован на май 2022 года. Платформа будет 24/7 и 365 дней в году доступна этичным хакерами и специалистам по информационной безопасности со всего мира.

Современное предприятие — это среда, где все процессы взаимосвязаны и непрозрачны, а события ИБ могут нанести бизнесу непоправимый ущерб. Проверить защищённость компании можно только на практике. Благодаря The Standoff 365 любая компания сможет провести учения на модели своей инфраструктуры и познакомиться со всеми сценариями реализации недопустимых событий: https://online.standoff365.com

По нашим данным, каждая третья компания когда-либо подвергалась целевой атаке. Причём в 78% случаев злоумышленники пытались украсть ценную информацию — коммерческую тайну, персональные или платёжные данные.

В сфере образования 53% опрошенных считают, что целью злоумышленников был удар по репутации компании. Интересно, что кражу финансовых средств отмечают только 37% респондентов, политические мотивы — 30%.

Самые частые последствия целевой атаки — простой инфраструктуры, нарушение бизнес-процессов, уничтожение или изменение данных. 16% компаний платили злоумышленникам выкуп, но мы не рекомендуем этого делать.

К сожалению, только четверть компаний используют комплексные решения ИБ, а у некоторых даже не установлены антивирусы. Тогда как обезопасить себя можно только последовательно расширяя арсенал средств защиты и проверяя свою готовность отражать атаки на киберучениях: https://standoff365.com

Сорок первый выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru

Темы нового ролика:

🏴‍☠️ Канадская полиция арестовала подростка за кражу $36,5 млн в биткойнах
🏴‍☠️ ИИ способен предсказывать появление новых синтетических наркотиков
🏴‍☠️ Обойти защиту отпечатком пальца можно с помощью клея и принтера
🏴‍☠️ Conti стала жертвой позорной утечки данных
🏴‍☠️ Oriflame заплатит 30 тысяч рублей за утечку данных 1.3 млн клиентов
🏴‍☠️ Сбер: 70% мошеннических звонков поступают из-за рубежа
🏴‍☠️ Apple подала в суд на NSO Group за заражение ее устройств шпионским ПО Pegasus
🏴‍☠️ Исследователи: вы слишком доверяете своим принтерам
🏴‍☠️ Microsoft: хакеры даже не пытаются брутфорсить длинные пароли
🏴‍☠️ SenseTime одобрена для потенциального IPO
🏴‍☠️ Минэкономразвития разработало план поддержки ИТ-стартапов
🏴‍☠️ Lacework привлекает $1,3 млрд при оценке в $8,3 млрд
_____________________________________

💰📊👉 Новости об инвестициях в кибербезопасность предоставлены каналом It’s positive investing - https://news.1rj.ru/str/positive_investing

🪟 Сотрудник Microsoft, которому компания недоплатила за обнаружение уязвимости, опубликовал на GitHub способ, позволяющий обойти патч для уязвимости CVE-2021-41379. Эксплойт работает на Windows 10, Windows 11, Windows Server 2022 и других актуальных версиях операционной системы от Microsoft.

🖥 Уязвимость позволяет повысить привилегии на локальном компьютере до администратора. Причём запрет на работу с установщиком Windows на уровне групповой политики не решает проблему. Обнаружить угрозу и узнать, какие узлы сети подвержены уязвимости, помогут системы управления MaxPatrol VM и MaxPatrol 8 от Positive Technologies.

🛡 Эксперты по кибербезопасности должны быть готовы к развитию непредвиденных событий. Лучший способ оставаться во всеоружии — регулярно проходить практику на киберполигоне The Standoff 365: https://standoff365.com

🕵️ Positive Technologies планирует запустить собственную платформу Bug Bounty. С ее помощью «этичные хакеры» смогут получать вознаграждения от компаний за найденные уязвимости в IT-сетях, системах и приложениях. Мы хотим создать инструмент по отбору людей: у каждого «белого хакера» на платформе будет своя страница. Таким образом компании, желающие проверить себя на прочность, смогут отслеживать, кто будет их взламывать, а у «этичных хакеров» будет пополняться портфолио.

⚡️ Представители Positive Technologies отмечают, что Bug Bounty на платформе будут проходить не только в традиционном, но и в новом формате. Для каждой бизнес-системы сформируют реестр недопустимых событий, и вознаграждение в этом формате будет выплачиваться не за обнаруженную уязвимость, а за реализацию неприемлемого ущерба.

🦾 Запуск платформы запланирован на май 2022 года. А пока желающие отточить свои навыки в области информационной безопасности могут попробовать силы на киберполигоне The Standoff 365

Итоги The Standoff Moscow 2021

🗓6 декабря в 14:00 проведем совместный с ГК Innostage онлайн-митап. Поговорим об устройстве киберполигона The Standoff, подходе к практической киберзащите, ходе киберучений, а также подробно разберем два примера реализованных атак: на транспортную компанию и предприятие нефтехимии.

Митап будет полезен специалистам и руководителям ИБ-служб. У каждого участника будет возможность задать вопрос голосом или в чате. Это можно сделать уже сейчас по почте soc@cyberart.ru.

Программа

✅ The Standoff: что это, для чего нужен и как проходил
✅ Чем этот The Standoff отличается от предыдущих
✅ Инфраструктура государства F: риски и отрасли
✅ Как проходила подготовка SOC CyberART
✅ Цепочка реализации недопустимых событий в транспортной и нефтехимической компаниях

Спикеры:
• Ярослав Бабин, руководитель отдела анализа защищенности веб-приложений Positive Technologies
• Антон Калинин, руководитель группы аналитиков Центра предотвращения киберугроз CyberART, ГК Innostage

Регистрация ⚡️

#podcast

Подкаст!

Спешу порадовать записью нового выпуска подкаста MasterTalk;)

По прошествии TheStandoff мне оч. захотелось познакомить публику с капитаном нашей команды True0xA3, а также обсудить ряд тем:

1. Чуть конкретнее рассказать о произошедшем на турнире.
2. Поговорить о “внутренностях” нашей команды.
3. Поговорить об особенностях работы капита в подобных хакерских турнирах.
4. И в конце обсудить подобные подходы к корпоративному обучению и его целесообразоности.

Приятного прослушивания: https://podcast.ru/1589311841

Кибератака — одна из потенциальных причин, по которым темпы развития бизнеса могут снизиться. Причём 71% недопустимых для компании событий может быть реализовано атакующими в течение одного месяца. А в 100% компаний внутренний злоумышленник может получить полный контроль над инфраструктурой.

🏭 На The Standoff команды этичных хакеров находят уязвимости в корпоративных и промышленных IT-инфраструктурах, а специалисты по киберзащите нарабатывают опыт предотвращения недопустимых событий.

Здесь в боевых условиях можно прокачать навыки выявления и противодействия хакерам, узнать о самых актуальных тактиках и техниках атак, чтобы потом предотвращать и останавливать их на реальной инфраструктуре.

💥 На последних учениях команды хакеров и защитников боролись за целый город-государство F. В итоге команды смогли реализовать 6 уникальных недопустимых событий и выявили 173 инцидента информационной безопасности.

Вы когда-нибудь задумывались, почему в паролях до сих пор не используют эмодзи? А ведь это выглядит как привлекательная идея.

Сейчас для паролей используют 95 символов: 26 букв латиницы (верхний и нижний регистр), 10 цифр и 33 специальных символа. При минимальном пароле из 8 символов они дают 95^8, или больше 6 квадриллионов вариантов.

А ведь есть еще 1809 эмодзи, причем с каждым обновлением Unicode их становится все больше. И если начать использовать их для паролей, уже 5-символьный ключ даст 19 квадриллионов вариантов. При этом запоминать эмодзи проще, чем буквы, цифры и символы. Не говоря уже о том, что 5 символов запомнить легче, чем 8.

Так почему же все платформы не перешли на пароли из эмодзи? На это есть свои причины:

🔺 Далеко не все приложения поддерживают Unicode.
🔺 Смесь эмодзи с обычными символами выглядит сомнительно.
🔺 Если нет специальной клавиатуры, придется набирать эмодзи с помощью кода, а это существенно усложняет запоминание и набор пароля.
🔺 В разных приложениях эмодзи сгруппированы по-разному, в результате найти нужный бывает не так-то просто.
🔺 Существуют эмодзи, которые непросто отличить друг от друга. Например, 💿 и 📀. Или ⬛️, ◼️, ◾️ и ▪️.
🔺 А самое главное, пароль из эмодзи не решает фундаментальную проблему человеческой лени. При всем обилии доступных вариантов люди все равно выбирают password, qwerty или 12345. То же самое наверняка произойдет и с эмодзи. Теоретически более устойчивый формат по факту слабо повлияет на общую ситуацию.

Так что пароль из эмодзи остается интересной и перспективной идеей, но с ее реализацией возникают технические трудности, а профит не очевиден. Вот поэтому до сих пор у нас и нет паролей из эмодзи ¯\_(ツ)_/¯

А какой пароль из эмодзи сделали бы вы? Пишите в комментариях!

💥 На The Standoff 365 реализовано первое недопустимое событие! Атаке подвергся киберполигон Big Bro Group. В программные пакеты разрабатываемого ПО PackageScanner внедрено средство для кражи паролей. Теперь злоумышленники могут похищать данные пользователей PackageScanner и объединять их рабочие станции в ботнет.

Наши поздравления hummelchen, который реализовал первый риск на платформе 👍

🎯 Хорошо, что все это прозошло на киберполигоне, а не в реальности! Ведь на самом деле такое уже случалось. Так, в марте 2019-го хакеры использовали утилиту Asus Live Update для проведения целевой атаки на конкретных лиц.

🔓 А год спустя злоумышленники взломали Git-репозиторий разработчиков языка PHP и от их имени опубликовали два вредоносных коммита.

Мы продолжаем бета-тестирование платформы The Standoff 365. Следите за новостями здесь и на сайте https://online.standoff365.com

Сорок второй выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru

Темы нового ролика:

🚩 Positive Technologies представит новое решение PT XDR 14 декабря. Регистрация и трансляция на сайте
🚩 Слежка приносит производителям Smart TV больше денег, чем телевизоры
🚩 Цифровой мир существенно усложнил жизнь шпионам старой школы
🚩 ФБР может получать данные пользователей WhatsApp в режиме реального времени
🚩 Более тысячи киберпреступников арестованы в рамках масштабной операции Интерпола
🚩 Хакеры рассылают поддельные приглашения на работу в Samsung
🚩 Киберпреступники используют взломанные облачные аккаунты для майнинга криптовалют
🚩 Искусственный интеллект поможет оценить личности россиян по аккаунтам в соцсетях
🚩 Мошенники предлагают россиянам «дечипизацию» после прививки
🚩 Иностранное ПО может в любой момент стать недоступным для госкомпаний
🚩 Израиль ограничил число стран, которым киберкомпании страны могут продавать свою продукцию
🚩 Мировой лидер в сфере автомобильных технологий и электроники внедрит продукты Darktrace
🚩 ИТ-компании просят правительство РФ продлить налоговую льготу для держателей их акций
_____________________________________

💰📊👉 Новости об инвестициях в кибербезопасность предоставлены каналом It’s positive investing - https://news.1rj.ru/str/positive_investing

💣 Сейчас так много информации о самых изощренных схемах хакерских атак. Но старые добрые правила безопасности в интернете по-прежнему остаются актуальными — может быть, даже более актуальными, чем раньше.

📩 Какие имейлы должны автоматически вызывать у вас желание нажать на кнопку «спам», не читая? Нужны ли регулярные обновления ПО, или можно отложить это дело в долгий ящик? Можно ли использовать один и тот же пароль во всех приложениях? Обо всём этом в нашем новом ролике.

Переходите по ссылке, смотрите ролик и подписывайтесь на наш канал в YouTube: https://youtu.be/YKuyCV9Pb7s

Тема кибербезопасности привлекает все больше внимания мировых брендов. Вот и Panasonic занялись разработкой ПО для защиты автомобилей, подключенных к интернету. Таких, по данным агентства Kyodo, к 2030 году будет 80%.

🚙 Если подумать, в этом нет ничего удивительного. Еще в 2015-м хакеры взломали Jeep Cherokee журналиста Wired Энди Гринберга. Им удалось удаленно поворачивать руль, отключать тормоза и нажимать на газ. К счастью, это было лишь дружеской шуткой

🚁 Не лишена уязвимостей даже Tesla — в мае этого года немецкие безопасники взломали электрокар с помощью квадрокоптера

🎮 А в октябре британские полицейские задержали угонщиков с прибором для взлома автомобилей, замаскированным под Nintendo Game Boy. С его помощью можно за несколько секунд завести двигатель

За стремительным развитием технологий не угнаться. Многие уверены, что умные устройства заменят нам большинство профессий. Но, как выясняется, получить доступ к автомобилю легче, чем кажется. А значит, живой таксист остается надежнее 🚖

⚡️С 14 по 16 ноября прошел The Standoff – очередное противостояние между командами атакующих и защитников. Наш бдительный отдел обнаружения вредоносного ПО тщательно следил за происходящим в городе-государстве F с помощью PT Sandbox.

Из новой статьи на Хабре вы узнаете:
○ какие семейства вредоносных программ были популярны у атакующих;
○ что интересного наши эксперты отметили среди полученных образцов (техники уклонения от песочниц? Дайте две!).

💡И, конечно, никуда без ответа на самый острый вопрос: какие технологии обнаружения отработали лучше всего?

Читать статью
#ptsandbox