Появилась информация про новую атаку на цепочку зависимостей, которая зацепила Microsoft.

Напомним, что эта атака использует недостатки в работе менеджеров пакетов, которые отдают предпочтение загрузке пакета из открытого репозитория перед аналогичной загрузкой частной сборки. Таким образом, если пакет с определенным именем отсутствует в открытом репозитории, то хакер может залить туда поддельный, являющийся на самом деле вредоносом. А тот в свою очередь будет подтянут как вполне легальный.

В феврале этот трюк позволил Алексу Бирсану условно скомпрометировать сети более 35 крупных технологических компаний, включая Microsoft, Apple, PayPal и др.

В этот раз исследователь Рикардо Ирамар дос Сантос изучал опенсорсный пакет SymphonyElectron и наткнулся на зависимость в виде подгружаемого пакета swift-search, который отсутствовал в npmjs .com. Дос Сантос зарегистрировал собственный пакет с тем же именем, который скидывал на его PoC-сервер параметры системы, подтянувшей пакет.

Через несколько часов после публикации исследователь обнаружил, что ̶е̶г̶о̶ ̶в̶ы̶з̶ы̶в̶а̶е̶т̶ ̶Т̶а̶й̶м̶ы̶р̶ ему отвечает игровой сервер Microsoft Halo. Эксперт сообщил данную информацию в Microsoft, а дальше начались обычные ритуальные танцы "я не я, баг а не фича" (сам дос Сантос называет решение сообщить об ошибке в MSRC "ужасной ошибкой").

Сначала они ответили, что это не их дело вообще, а вопрос к поддержке SymphonyElectron. Через час они попросили дос Сантоса воспроизвести компрометацию. А потом затянули стандартную бесконечную бессмысленную переписку, после чего исследователь опубликовал таки информацию об уязвимости в своем блоге.

Остается заметить, что дырку Microsoft таки оперативно прикрыли.

​​Новый профессиональный курс по кибербезопасности. Какие он даёт возможности?

Новый курс по кибербезопасности от HackerU позволит успешно пройти путь от начинающего до полностью "упакованного" под требования рынка специалиста по информационной безопасности.

По окончанию курса вы получите:
— Навыки управления требованиями ИБ в проектах, а также проведения внешних и внутренних пентестов
— Диплом о профессиональной переподготовке установленного образца
— Карьерные консультации с ИБ-экспертами и HR-специалистами
— Возможность найти новую работу ещё в процессе обучения

Перед стартом программы есть возможность пообщаться с практикующими экспертами курса и порешать первые задачи в формате CTF!

Записывайтесь на консультацию сейчас и получите 30% скидку на курс.

​​Встречаемся на Master Talk: «PHDays The Standoff 2021 — Опыт HackerU»

В этом году победителями The Standoff стала команда True0xA3, обойдя таких противников, как Сodeby, Invuls и других. В составе команды победителей — преподаватели нашей школы HackerU!

Во вторник, 6 июля, в 19:30 приглашаем вас на онлайн Master Talk: «PHDays The Standoff 2021 — Опыт HackerU» — познакомим вас с участниками команды победителей True0xA3🔥

Вы узнаете, какими знаниями они обладают, какие хакерские техники используют, и как можно тренироваться и улучшать свои навыки, чтобы быть эффективным не только на киберполигонах, но и в реальных проектах.

Что будет?

— Разберем, что такое The Standoff, почему это интересно «белым шляпам», и как изменился киберполигон с момента запуска в 2018 году
— Расскажем, как проходит такой турнир, и почему это не похоже на классические соревнования CTF
— Обозначим правила для «атакующих» и «защищающихся» и рассмотрим главный объект взлома — инфраструктуру города
— Разберем «победные» техники хакеров, а также способы ими овладеть

Старт трансляции: 6 июля, вторник, 19:30

Регистрируйтесь на мастер-класс и узнайте больше об устройстве профессиональных хакерских сообществ напрямую от их активных участников!