Команда Google Project Zero обновила свои политики раскрытия уязвимостей, продолжая вносить улучшения, которые позволят эффективнее решать новые проблемы, появляющиеся по мере роста сообщества ИБ-специалистов.



https://www.securitylab.ru/news/519007.php

Мы, как компания, отвергаем безосновательные обвинения, выдвинутые в наш адрес министерством финансов США: за почти двадцатилетнюю историю нашей работы нет ни одного факта использования результатов исследовательской деятельности Positive Technologies вне традиций этичного обмена информацией с профессиональным ИБ-сообществом и прозрачного ведения бизнеса.

Наша глобальная цель состоит в создании продуктов и технологий, призванных повышать общую киберзащищенность в масштабах всего мира, а также ― в формировании условий для наиболее эффективного противодействия кибератакам в интересах общества, бизнеса и государства вне привязки к геополитике, с максимальной открытостью и ориентированностью на сотрудничество (в том числе международное).

https://www.securitylab.ru/news/519010.php

В версии популярного мессенджера WhatsApp для Android были обнаружены две опасные уязвимости. Их эксплуатация позволяет удаленно выполнить вредоносный код на устройстве и похитить конфиденциальную информацию. Проблемы затрагивают устройства под управлением всех версий до Android 9 включительно и связаны с тем, как ПО обменивается конфиденциальными данными с внешним хранилищем устройства.
https://www.securitylab.ru/news/518983.php

Как написал ИБ-эксперт Коста Элефтериу в Twitter, если запустить Jungle Runner 2k21 в США, пользователь не увидит ничего кроме наполненной багами и опечатками игры. Но если включить на айфоне VPN и выбрать там сервер, расположенный в Турции, при следующем запуске приложения появится интерфейс казино с собственной платёжной системой (позволяющей платить банковскими картами или криптовалютами Bitcoin, Litecoin и Etherium.
https://www.securitylab.ru/news/519016.php

Специалисты ИБ-компании CENSUS представили подробности об обнаруженной ими уязвимости в WhatsApp для Android, позволяющей осуществить атаку Man-in-the-Disk (MitD). Уязвимость, получившая идентификатор CVE-2021-24027, уже исправлена в последних версиях мессенджера, поэтому исследователи решили рассказать о ней широкой общественности.

По словам специалистов, злоумышленники могут осуществить несложную фишинговую атаку с использованием WhatsApp и похитить данные, хранящихся на карте памяти Android-устройства. Кроме того, уязвимость позволяет удаленно собирать криптографический материал TLS для сеансов TLS 1.3 и TLS 1.2, с помощью которого злоумышленники могут осуществить атаку «человек посередине» (man-in-the-middle, MitM) и скомпрометировать соединение приложения WhatsApp, удаленно выполнить код на устройстве жертвы и извлечь ключи протокола Noise, использующиеся для сквозного шифрования соединения пользователей.

https://www.securitylab.ru/news/519017.php

Администрация WhatsApp предупредила о скором отключении основных функций месcенджера для тех пользователей, которые не примут новую пользовательскую политику. Ранее было объявлено, что пользователи должны согласиться на передачу своих данных головной компании Facebook, иначе они лишатся возможности читать и отправлять сообщения.
https://www.securitylab.ru/news/519018.php

Данные, объявление о продаже которых появилось недавно в интернете, не содержат банковской тайны. Так прокомментировали в Сбербанке сообщение о продаже данных клиентов «СберПремьер».

В интернете 14 апреля появилось объявление о продаже данных клиентов «СберПремьер» — специальной программы Сбербанка для обслуживания постоянных клиентов на привилегированных условиях.

https://www.securitylab.ru/news/519019.php

С появлением криптовалюты Chia майнеры в Китае лихорадочно скупают все доступные жёсткие диски и SSD. В отличие от других криптовалют, добыча Chia производится не при помощи процессора, видеокарты или специализированного чипа ASIC. Вместо этого обработка Chia требует пространства для хранения, и потому майнеры скупают HDD и SSD.
https://www.securitylab.ru/news/519022.php

Несмотря на карантин, 2020 год был удивительно плодовитым с точки зрения развития нормативной базы для информационной безопасности. Часть доработок была ожидаемым обновлением или логическим дополнением опубликованных ранее документов, часть – оперативной реакцией на резко изменившийся ландшафт угроз в связи с вынужденным переходом многих предприятий на удаленную работу.
https://www.securitylab.ru/analytics/519021.php

Китайская телекоммуникационная компания Huawei имела возможность прослушивать абонентов нидерландского оператора связи KPN Mobile благодаря свободному доступу к сети KPN, которым китайский техногигант обладал в прошлом. Об этом сообщило нидерландское издание De Volkskrant со ссылкой на секретный отчет от 2010 года, попавший в распоряжение журналистов.

По данным газеты, в зоне риска могли оказаться телефоны в то время премьер-министра Нидерландов Яна Петера Балкененде, различных министров и китайских диссидентов. Huawei также имела информацию о том, номера каких абонентов прослушиваются полицией и разведслужбами.

https://www.securitylab.ru/news/519023.php

Уважаемые подписчики, команда Секлаб приглашает вас принять участие в коротком опросе на тему инвестиций в IT. Нам очень важно ваше мнение!
https://survey.typeform.com/to/I2YZIr44

Опрос не займёт более 30 секунд вашего времени.

Команда WordPress будет относиться к новой отслеживающей технологии FLoC от компании Google как угрозе безопасности и блокировать ее по умолчанию на сайтах.



https://www.securitylab.ru/news/519032.php

Из-за масштабной утечки маршрутов BGP на прошлых выходных тысячи крупных сайтов и сетей по всему миру оказались недоступными. Хотя инцидент произошел с автономной системой Vodafone (AS55410) в Индии, он затронул крупные компании в США, включая Google.



https://www.securitylab.ru/news/519026.php

Вредоносная кампания против разработчиков ПО, использующих среду разработки Xcode, теперь нацелена на новые чипы Apple M1 и позволяет похищать информацию из криптовалютных приложений.



https://www.securitylab.ru/news/519065.php

Информационная безопасность — обучение таких специалистов дистанционно на курсах будет по качеству отличаться от классического очного формата или нет? На какие вакансии и в каких компаниях может претендовать такой выпускник? А как понять, что курс точно хороший? Читайте в статье.
https://www.securitylab.ru/analytics/519042.php

«Цифровое пространство нередко становится площадкой для недобросовестной конкуренции, недружественных, а порой и откровенно вредительских действий. Диапазон примеров колоссален – от распространения фейковой информации до попыток влияния на внутренние дела государств», – сказала она.
https://www.securitylab.ru/news/519069.php

Security-новости от Александра Антипова

Александр Антипов еженедельно рассказывает о главных новостях из мира IT, актуальных угрозах и событиях, которые оказывают влияние на жизни людей.

Федеральная резервная система США считает кибератаки главной угрозой для мировой финансовой системы, многие «умные» устройства из-за уязвимостей в стеках TCP/IP еще много лет останутся мишенью для хакеров, в Нидерландах из-за уязвимостей в Microsoft Exchange в магазинах исчез сыр, а в США для устранения последствий взлома сотен компьютеров пришлось привлечь даже ФБР. В тринадцатом выпуске «Топа Security-новостей» главред SecurityLab.ru Александр Антипов расскажет о самых заметных инцидентах безопасности и важных событиях в мире технологий за неделю. Среди тем выпуска:

-в Голландии из-за кибератаки закончился сыр;
-кибератаки – угроза номер один мировой финансовой системе;
-ФБР получило доступ к компьютерам в США для удаления последствий взлома Microsoft Exchange;
-уязвимости в стеках TCP/IP затрагивают миллионы промышленных и IoT-устройств.

Смотрите тринадцатый выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru
https://www.youtube.com/watch?v=--_1sJAwEKc

Компания Google активно продвигает новый стандарт, предназначенный для усиления базовой безопасности мобильных приложений. Стандарт Mobile Application Profile разработан консорциумом Internet of Secure Things Alliance (ioXt), насчитывающим более трехсот участников, в том числе Google, Facebook, T-Mobile, Zigbee Alliance, Schneider Electric и пр.



https://www.securitylab.ru/news/519077.php