В рамках соревновнования Tianfu Cup команда экспертов компании Quihoo 360 продемонстрировала метод взлома смартфона iPhone X под управлением операционной системы iOS 12.1. В ходе атаки исследователи проэксплуатировали уязвимость в JIT-компиляторе в браузере Safari, а также проблему использования после освобождения в ядре ОС iOS.
Специалисты взломали iPhone X с помощью уязвимости в Safari

Из-за ошибки в сервисе Instagram для загрузки данных пароли некоторых пользователей оказались видимыми в адресной строке связанной с инструментом страницы. Кроме того, пароли сохранились на серверах Facebook.
Instagram непреднамеренно раскрыла пароли пользователей

Спустя год бездействия кибершпионская группировка APT 29, также известная как Cozy Bear, The Dukes и PowerDuke, снова в строю. В последний раз активность APT 29, связываемой с российским правительством и обвиняемой во взломе Национального комитета Демократической партии США в 2016 году, была зафиксирована в прошлом году, когда группировка атаковала норвежские и нидерландские спецслужбы. Теперь она вернулась с новой, довольно масштабной фишинговой кампанией против государственного и частного сектора США.
Спустя год бездействия APT 29 вернулась с новыми атаками на США

Неизвестные получили доступ к базам данных хостинг-провайдера Daniel's Hosting и удалили аккаунты, в том числе корневую учетную запись администратора на сервере. В результате все 6,5 тыс. сайтов, размещавшихся на хостинг-платформе, оказались удалены. Daniel's Hosting занял место крупнейшего хостинг-провайдера после взлома сервиса Freedom Hosting II активистами Anonymous в феврале 2017 года.
6,5 тыс. сайтов в даркнете вышли из строя из-за взлома хостинг-провайдера

База данных с десятками миллионов текстовых сообщений, в том числе с ссылками на изменение паролей и кодами двухфакторной аутентификации, хранилась в открытом доступе на незащищенном сервере.
Миллионы SMS с проверочными кодами хранились в открытом доступе

В популярном плагине AMP для WordPress исправлена опасная уязвимость, позволяющая пользователям сайтов на WordPress с любым уровнем привилегий вносить изменения, требующие наличия прав администратора.


Уязвимость в плагине для WordPress позволяет загружать на сайты криптомайнеры

Специалисты компании Privacy4Cars, разработчика одноименного приложения для удаления персональных данных с компьютеров современных автомобилей, предупредили об атаке под названием CarsBlues, через Bluetooth эксплуатирующей уязвимость в информационно-развлекательных системах ряда производителей. По оценкам экспертов, под угрозой находятся миллионы транспортных средств.
Атака CarsBlues ставит под угрозу личные данные миллионов владельцев авто

В конце минувшей недели некто, использующий псевдоним AmFearLiathMor, опубликовал на Pastebin обширное сообщение, в котором заявил о взломе защищенного почтового сервиса ProtonMail и краже «значительного объема» данных. AmFearLiathMor также обвинил администрацию сервиса в отправке незашифрованных сообщений на серверы в США и намеренном злоупотреблении отсутствием Subresource Integrity (SRI) для хищения паролей пользователей.
Вымогатели заявили о взломе ProtonMail

В России может появиться новый закон, регулирующий оборот данных, публикуемых пользователями в социальных сетях. Закон в частности возлагает на соцсети ответственность за безопасность данных из закрытых профилей. Как сообщает издание «КоммерсантЪ», концепцию соответствующего закона разработал центр компетенций автономной некоммерческой организации «Цифровая экономика», возглавляющей фонд «Сколково».
В РФ соцсети могут обязать нести ответственность за данные из закрытых профилей

В начале минувшей недели некоторые сервисы Google оказались недоступны в связи с утечкой маршрутов BGP, из-за которой трафик перенаправлялся через Россию, Китай и Нигерию. Инцидент затронул сервисы Google Search, G Suite и Google Cloud. Что послужило причиной инцидента - проблемы с конфигурацией или кибератака - неизвестно.
Обзор инцидентов безопасности за период с 12 по 18 ноября 2018 года

Приглашаем вас на вебинар "Как правильно выбрать сетевые решения для защиты от угроз нулевого дня:от простого к сложному".
https://www.securitylab.ru/news/496572.php

Релиз Windows 10 October 2018 Update (версия 1809) стал для Microsoft настоящим кошмаром. Спустя четыре дня после выхода обновления компания была вынуждена отозвать его обратно из-за «проблем с качеством». В течение месяца версия 1809 дорабатывалась, пока на прошлой неделе не состоялся ее повторный релиз.
Обновление Windows 10 October 2018 Update оказалось несовместимым с iCloud

Исследователи безопасности из Cisco Talos Intelligence раскрыли подробности о четырех уязвимостях в серии гигабитных VPN-маршрутизаторов производства TP-Link. Одна уязвимость позволяет вызвать отказ в обслуживании, еще одна приводит к утечке файлов, а еще две делают возможным удаленное выполнение кода.
В TP-Link TL-R600VPN исправлены четыре уязвимости

В последние несколько дней специалисты компании Imperva фиксируют массовые попытки сканирования на предмет уязвимых сайтов, работающих на базе системы управления контентом (CMS) Drupal. Находя таковые, атакующие используют эксплоиты для уязвимостей Drupalgeddon 2 и Dirty COW с целью компрометации серверов, повышения прав до уровня суперпользователя и установки официального SSH-клиента для дальнейшей авторизации на сервере.
Злоумышленники активно атакуют сайты на Drupal

Отныне пользователи «ВКонтакте» смогут узнавать, какие их данные хранятся на серверах соцсети. Как сообщил управляющий директор «ВКонтакте» Андрей Рогозов, теперь пользователи могут скачивать данные своей страницы одним архивом.
Пользователи «ВКонтакте» теперь могут скачивать данные своего профиля одним файлом

Линус Торвальдс одобрил разработку обновления для Linux, ограничивающего предыдущую защиту от уязвимости Spectre V2. Обновление будет деактивировать включенный по умолчанию механизм защиты от Spectre V2, и на это есть причины. Дело в том, что при включенном механизме защиты на компьютерах с процессорами Intel, использующими технологию гиперпоточности (Hyper-Threading), приложения работают в два раза медленнее.
Патч для Spectre V2 вызывает проблемы с производительностью на Linux-системах

Общая система оценки уязвимости (Common Vulnerability Scoring System, CVSS) широко используется для классификации уязвимостей по шкале критичности, однако в случае с промышленными системами автоматизации оценки нередко не соответствуют реальной степени опасности проблемы, что может повлечь за собой негативные последствия для предприятий, особенно если они определяют приоритетность патчей исключительно на основании баллов CVSS.
CVSS назвали неэффективной для оценки уязвимостей АСУ ТП

Компании Positive Technologies и IPC2U сообщают о выпуске на рынок программно-аппаратного комплекса PT ISIM netView Sensor на платформе iROBO, предназначенного для защиты от киберугроз небольших производственных объектов, предприятий малого и среднего бизнеса. Решение соответствует требованиям в области промышленной надежности, в том числе обладает высоким уровнем отказоустойчивости, может применяться в сложных климатических условиях.


Positive Technologies и IPC2U выпустили совместное решение для защиты промышленных предприятий

Специалисты Центрального банка РФ и Следственного департамента МВД завершили предварительное расследование дела о хищении 21,5 млн рублей у одного из банков в Якутии.
Киберпреступники похитили более 21 млн рублей из якутского банка

В платформе цифровой дистрибуции Electronic Arts Origin обнаружена уязвимость, позволяющая сторонним лицам получить доступ к информации на панели настроек игроков, такой как имена, четыре последние цифры банковских карт, последние цифры номера телефона, история заказов и пр.
Уязвимость в клиенте EA Origin раскрывает данные игроков

Cequence Security объявила о выпуске платформы Cequence ASP, предназначенной для защиты от атак ботов. Решение представляет собой не только распределенную масштабируемую открытую платформу, но и автоматизированный инструмент, использующий аналитический движок (CQAI), сочетающий технологии искусственного интеллекта, машинного обучения и поведенческого анализа.
Новые ИБ-решения недели: 20 ноября 2018 года