Operadora TIM é investigada por suposto vazamento de dados de clientes.

Empresa pode ter sido alvo de um ataque hacker que usou uma brecha na plataforma TIM Negocia para coletar dados dos clientes

A Secretaria Nacional do Consumidor (Senacon), do Ministério da Justiça e Segurança Pública (MJSP), instaurou processo administrativo para uma apurar aparente irregularidade cometida pela operadora de telefonia TIM. A acusação se refere a supostos vazamentos de dados e valores de dívidas dos consumidores por meio do serviço TIM Negocia.

Segundo o Departamento de Proteção e Defesa do Consumidor (DPDC), existem indícios de ofensa aos princípios da vulnerabilidade, transparência, confiança, educação, informação, harmonização de interesse e da boa-fé, além dos direitos de liberdade de escolha, informação adequada, proteção contra práticas abusivas e efetiva prevenção e reparação de danos. A possível situação pode ter sido em decorrência de brecha na plataforma TIM Negocia, que permite cibercriminosos de acompanhar dados pessoais.

O DPDC informou que teve conhecimento por meio da mídia, de suposto vazamento de dados sensíveis. De acordo com a notícia que embasou a instauração, “não se sabe por quanto tempo os hackers tiveram acesso ao sistema e nem dados de quantos clientes eles realmente conseguiram visualizar ao longo desse tempo”.

Em resposta, a operadora afirmou que a plataforma TIM Negocia permite que consumidores consultem e quitem eventuais pendências. Com conhecimento da possível brecha, a empresa retirou a plataforma e o site do ar por prevenção e como medida de proteção de dados dos clientes.

Após a instauração dos processos, a empresa vai ser intimada para se manifestar em sede de Defesa Administrativa e requerer a produção de provas. A TIM pode ser multada em aproximadamente R$ 10 milhões caso os indícios se confirmem.

Procurada pelo R7, a operadora enviou o seguinte posicionamento:

“A TIM foi vítima de um ataque criminoso de hackers e ainda não foi notificada da autuação da Senacon, quando apresentará defesa no procedimento administrativo. A empresa reitera seu compromisso com os mais altos padrões de segurança da informação e afirma que os dados dos seus clientes estão protegidos.”

🌎@RubyOfSec

Fonte: https://guaiba.com.br/2019/09/16/operadora-tim-e-investigada-por-suposto-vazamento-de-dados-de-clientes/

New SIM Card Flaw Lets Hackers Hijack Any Phone Just By Sending SMS

Cybersecurity researchers today revealed the existence of a new and previously undetected critical vulnerability in SIM cards that could allow remote attackers to compromise targeted mobile phones and spy on victims just by sending an SMS.

Dubbed "SimJacker," the vulnerability resides in a particular piece of software, called the S@T Browser (a dynamic SIM toolkit), embedded on most SIM cards that is widely being used by mobile operators in at least 30 countries and can be exploited regardless of which handsets victims are using.

What's worrisome? A specific private company that works with governments is actively exploiting the SimJacker vulnerability from at least the last two years to conduct targeted surveillance on mobile phone users across several countries.

S@T Browser, short for SIMalliance Toolbox Browser, is an application that comes installed on a variety of SIM cards, including eSIM, as part of SIM Tool Kit (STK) and has been designed to let mobile carriers provide some basic services, subnoscriptions, and value-added services over-the-air to their customers.

Since S@T Browser contains a series of STK instructions—such as send short message, setup call, launch browser, provide local data, run at command, and send data—that can be triggered just by sending an SMS to a device, the software offers an execution environment to run malicious commands on mobile phones as well...

Read More At... https://thehackernews.com/2019/09/simjacker-mobile-hacking.html

🌎@RubyOfSec

Confirmado Nova geração core da intel fara voce trocar sua placa-mae

Próxima geração dos processadores da Intel chegando e uma noticia nada animadora afetou os PC gamers
Chamada 10 geração dos cores denominada Comet-Lake abandonará a soquete LGA 1151 para adotar o LGA 1200, com isso virão novas placas-mae e uma nova série de chipsets denominada serie 400 com isso mata qualquer tipo de retro-compatibilidade.
A fabricante gigabyte ja tem pacas preparadas para essa nova serie com chipsets H410, B460, H470 e a top de linha Z490, ainda nao se tem noticias quais serao os processadores e suas especificações compatíveis.
Enfim essa noticia nao agradou em nada pc gamers que agora se quiserem atualizar seu PC terão que desembolsar para comprar novas placas e por consequência novo processador.

🌎@RubyOfSec

Fonte : https://www.gamevicio.com/noticias/2019/09/confirmado-nova-geracao-core-da-intel-fara-voce-trocar-sua-placa-mae/

Assista a "COPYWRITING: Aprenda na Prática" no YouTube
https://youtu.be/p2NcYShoSEY

Um smartphone incrível vendido 10 vezes mais barato para celebrar o 10º aniversário do Android!

O que você diria se tivesse o SmartPhone mais potente do mundo comprado por um preço muito baixo com a vantagem adicional de baixar aplicativos gratuitamente pelo resto da vida?

Este smartphone também tem uma conexão 3G/4G ilimitada graças ao duplo nano SIM oferecido.

Não precisar pagar nunca é uma bênção, mas muito poucos terão essa chance.

XPhone 

Um preço de venda muito baixo: apenas 5000 exemplares!

Esta é uma edição limitada de 5000 exemplares em todo o mundo para celebrar o 10º aniversário do primeiro smartphone Android!

Nosso jornalista especializado em testes experimentou este Smartphone durante sua apresentação e descobriu que ele é incrível!

O Xone Phone, tem todas as funções de um smartphone topo de linha com a potência quase equivalente à de um PlayStation 4!

Seu custo de produção é alto (quase R$12000) mas seu preço de venda será muito menor. Na verdade, ele será vendido com prejuízo porque o objetivo aqui é apenas fazer um grande movimento de marketing para comemorar os 10 anos do Android...

🌎@RubyOfSec

Fonte: https://agorayeah.co/agora-rtg/xphone-gy5f/?xid1=xid478931568915989&aref=https%3A%2F%2Fwww.vipsmartix.co%2Fsite%2Fredirectpage%3Fsid%3D171542%26hv%3Dpyvzt5d83c2155655c781462712%26hid%3D2321825

App de pirataria de filmes encerra atividades e diz que vai expor usuários

Pressões legais e ameaças de processos por parte dos estúdios de cinema e televisão levaram ao encerramento das atividades do CotoMovies, app para iOS que disponibilizava filmes e séries de forma irregular. Nada de novo no front, não fosse o fato de os responsáveis pela aplicação, ao pedirem desculpas pelo encerramento abrupto, também informarem que os dados de seus usuários serão compartilhadas com os responsáveis por direitos autorais.

A informação veio no último final de semana após a TweakBox, uma loja de aplicativos não-oficial que usa jailbreak para funcionar no iOS, ter iniciado uma retirada em massa de softwares de pirataria disponíveis em seu marketplace. De todos, o CotoMovies era um dos mais populares, o que fez com que ele também se tornasse alvo direto dos detentores de direitos autorais devido ao acesso facilitado às produções.

Mais especificamente, a pressão veio da Lionsgate devido à disponibilização rápida e irregular de longas como Hellboy e Invasão ao Serviço Secreto. Uma notificação chegou primeiro à TweakBox e depois ao CotoMovies, que rapidamente anunciou o fim de suas atividades como parte de um acordo para evitar um processo judicial. Uma segunda perna dessa concordância, entretanto, é a entrega de dados de acesso dos usuários da plataforma. O comunicado oficial não deixa margem para dúvidas: ao anunciar o fechamento do CotoMovies, os responsáveis afirmam que estão transferindo os dados para que os responsáveis pelos direitos autorais possam “proteger suas propriedades intelectuais”. A ideia, agora, é que os mais ativos podem ser processados pelos mesmos estúdios que pressionaram a plataforma e a levaram ao fechamento.

A Lionsgate já abriu processos contra usuários finais antes pela pirataria de seus filmes, e o advogado do estúdio, Kerry Culpepper, acredita que o mesmo deve acontecer agora. Em entrevista ao TorrentFreak, entretanto, ele não indicou quais dados foram repassados à produtora e de que maneira eles podem ser utilizados em ações contra os usuários.

Também como aparente parte do acordo com a Lionsgate, os responsáveis pelo CotoMovies pediram desculpas às produtoras de Hollywood e se comprometeram a não criarem ou promoverem soluções que permitam a quebra de copyright. Eles afirmam ter passado por uma “experiência legal estressante”, mas não existem informações quanto a ações em andamento ou cobrança de multas e compensações pela Lionsgate. Quanto aos outros aplicativos tirados do ar pelo TweakBox, não há informações semelhantes. Uma lista não foi fornecida pelo serviço, enquanto nenhum deles se pronunciou publicamente sobre o fechamento nem muito menos sobre um possível compartilhamento de informações de seus usuários com a Lionsgate e outros estúdios de cinema.

🌎@RubyOfSec

Fonte : https://canaltech.com.br/pirataria/app-de-pirataria-de-filmes-encerra-atividades-e-diz-que-vai-expor-usuarios-149943/

Botnet Emotet começa disparar e-mails maliciosos, e já faz milhares de vítimas!
https://sempreupdate.com.br/botnet-emotet-comeca-disparar-e-mails-maliciosos-e-ja-faz-milhares-de-vitimas/

BTS PenTesting Lab

BTS PenTesting Lab - um aplicativo da Web vulnerável para aprender vulnerabilidades comuns

A pergunta mais comum dos alunos que estão aprendendo técnicas de hackers de sites é "como testar minhas habilidades legalmente sem ter problemas?". Então, eu sempre sugiro que eles usem aplicativos vulneráveis, como o DVWA.

No entanto, senti que o dvwa não é adequado para técnicas novas e avançadas. Mutillidae é um dos melhores aplicativos vulneráveis ​​de aplicativos da web até o momento. No entanto, eu perdi algumas técnicas / recursos em Mutillidae. então pensei que seria melhor desenvolver nosso próprio aplicativo para ensinar os aplicativos da web a pentesting para meus leitores e alunos.

O BTS PenTesting Lab é um aplicativo da Web vulnerável que permite que você aprenda das técnicas de vulnerabilidade básica à avançada.

Atualmente, o aplicativo contém os seguintes tipos de vulnerabilidade:

SQL Injection
Cross Site noscripting(XSS)
Cross Site request Forgery(CSRF)
Clickjacking
Server Side Request Forgery(SSRF))
File Inclusion(RFI and LFI)
Command Execution

Você pode baixar nosso aplicativo aqui:
https://sourceforge.net/p/btslab/
ou
https://github.com/breakthesec/btslab

Como executar o BTS PenTesting Lab?
1. Instale o XAMPP ou o WAMPP na sua máquina.
2. Extraia o arquivo zip bts_lab na pasta htdocs.
3. Abra o URL "http: //localhost/bts_lab/setup.php" no seu navegador.
4. Clique no botão Setup.

Isso é tudo Agora você pode começar a usar o aplicativo em "http: // localhost / bts_lab"

🌍@RubyOfSec

Edward Snowden - Eterna Vigilância: Como montei e desvendei o maior sistema de espionagem do mundo

🌎@AcervoRubyOfSec

https://vimeo.com/362007696

A Engenharia Social

" Uma corrente é tão forte quanto seu elo mais fraco" - henry ford

Eu particularmente acho essa frase de grande sabedoria, quando falamos sobre o elo mais fraco na área de Segurança da informação, estamos falando do usuário final.

Uma empresa pode ter as melhores tecnologias de proteção (Firewall, WAF, DAM e tudo mais) mas se ela não se preocupar com o treinamento e conscientização dos seus colaboradores este sempre será o elo mais fraco.

Neste vídeo é possível ver com detalhes como é a anatomia de um ataque ( phishing + ransomware + vazamento de dados ), este vídeo que é de grande valia que foi disponibilizado pela CISCO.

PS: Este vídeo pode ser usado para conscientização de usuário

De : #CrowSec

Eis que uma nova competição para desenvolvedores está começando hoje!

A tarefa é criar contratos inteligentes para a vindoura plataforma blockchain do Telegram (a Telegram Open Network).

Tarefas que os competidores deverão desempenhar:
1. Criar um ou mais contratos inteligentes, conforme descrito aqui.
2. Sugerir melhorias para o FunC/TON VM (opcional).
3. Encontrar problemas e sugerir correções para o TON Testnet (opcional).

A premiação para os vencedores é bem considerável. 🤑

O concurso termina em 15 de outubro.

Então, mãos à obra e boa sorte aos competidores!

Assine @DicasTelegram!

Facebook compra startup que faz pulseira para “ler” sua mente

Em meio a iniciativas que defendem a divisão de suas propriedades, o Facebook comprou mais uma empresa. O acordo da vez envolve a CTRL-Labs, uma startup que desenvolve uma pulseira capaz de reconhecer comandos a partir da sua mente.
A CTRL-Labs tem apenas quatro anos de existência e já recebeu investimentos de US$ 67 milhões. O valor da aquisição não foi revelado pelo Facebook, mas, segundo a Bloomberg, ficou entre US$ 500 milhões e US$ 1 bilhão.

O negócio contribuirá com projetos de realidade virtual e aumentada da empresa de Mark Zuckerberg. Isso porque a pulseira criada pela startup permite que os usuários controlem outros dispositivos por meio de sua atividade neuronal.

A pulseira analisa sinais elétricos gerados por neurônios quando há intenção de executar movimentos como mover um mouse ou apertar um botão. Em seguida, ela os transforma em sinais digitais que podem ser reconhecidos por outros dispositivos.

“Ela captura sua intenção para que você possa compartilhar uma foto com um amigo usando um movimento imperceptível ou apenas pretendendo fazê-lo”, afirmou o chefe de realidade virtual e aumentada do Facebook, Andrew Bosworth. “Suas mãos poderiam estar em seu bolso ou atrás de você”, explicou o CEO da CTRL-Labs, Thomas Reardon em uma conferência realizada em dezembro de 2018. De acordo com o executivo, “é a inteção [de se mover], não o movimento” que controla a pulseira.

Devido ao acordo, a equipe com dezenas de funcionários da startup será integrada ao Facebook Reality Labs, setor que desenvolve projetos de realidade aumentada e virtual. A área também mantém o projeto de uma interface cérebro-computador que busca transformar pensamentos em texto.
Em julho, o Facebook afirmou que sua precisão chegou a 76%. O objetivo da empresa é oferecer um sistema com comandos rápidos como “selecionar” e “excluir”, além do reconhecimento de mais de 100 palavras por minuto.

🌍@RubyOfSec

Fonte : https://tecnoblog.net/308432/facebook-compra-startup-ctrl-labs-pulseira-ler-sua-mente/

Nego quer tudo. Todo o controle...

Google Play Store and Malware: A Recent History

Recently, Google Play Store has been in the spotlight quite often for hosting malware-laced apps.Some of these apps have millions of downloads, posing a massive threat to a considerable chunk of Android users.

Context

Although Google lets in an app on the Play Store only after it satisfies a list of requirements, certain malicious apps seem to have discovered cracks to slip through. Sometimes, such apps record millions of downloads before they’re discovered containing malware.
Google has been regularly weeding out malware-infected apps from the Play Store, but the openness of the platform is a roadblock in this battle.

Prominent Incidents

Android users are told only to download apps from the official Play Store. Let’s take a look at the recent instances of Google-approved apps sneaking in malware.

🌍@RubyOfSec

Fonte : https://cyware.com/news/google-play-store-and-malware-a-recent-history-0e7546a9

CISA Introduces Four New Insights Products

The Cybersecurity and Infrastructure Security Agency (CISA) has released four new insights products.
    These products reflect insights from U.S. cyber intelligence and real-world incidents.

The four products — Mitigate DNS Infrastructure Tampering, Remediate Vulnerabilities for Internet-Accessible Systems, Secure High Value Assets, and Enhance Email and Web Security — provide threat denoscriptions, lessons learned, recommendations, and relevant resources.

Mitigate DNS Infrastructure Tampering

A DNS attack begins by the hacker compromising an account that can change DNS records.

    Altering DNS records implies not just traffic redirection, but also decryption of the redirected traffic.
    CISA recommends reviewing DNS records, changing DNS passwords, adding multi-factor authentication to DNS accounts, and monitoring certificate transparency logs.

Remediate Vulnerabilities for Internet-Accessible Systems

Vulnerabilities in internet-accessible systems are being exploited by threat actors more than ever now. This insights product focuses on the vulnerabilities in systems that are accessible over the public internet.

    Basic prevention methods include having at least a weekly vulnerability scan that covers all internet-accessible systems.
    It is recommended that critical vulnerabilities must be patched within 15 days, and high vulnerabilities within 30 days. If it is not possible to roll out a patch within these timelines, an organization-wide plan for action and coordination must be in place.

Secure High Value Assets

According to CISA, “A High Value Asset (HVA) is information or an information system that is so critical to an organization that the loss or corruption of this information or loss of access to the system would have serious impact to the organization’s ability to perform its mission or conduct business.”

    Recommended actions include identifying and prioritizing HVA, establishing an organization-wide HVA governance program, and developing an assessment approach based on HVA prioritization among others.
    Identified risks or vulnerabilities must be patched within 30 days. If not, a remediation plan must be developed.

Enhance Email and Web Security

“Phishing emails and the use of unencrypted Hypertext Transfer Protocol (HTTP) remain persistent channels through which malicious actors can exploit vulnerabilities in an organization’s cybersecurity posture,” says CISA.

    Phishing email attacks can be prevented by setting a DMARC policy of ‘reject’ or implementing SPF/DKIM rules.
    It is recommended that organizations consider the deployment of HTTPS and HSTS to improve web security.

🌍@RubyOfSec

Fonte : https://cyware.com/news/cisa-introduces-four-new-insights-products-edb66f4b