📟 Война с пейджерами.
• А вы знали, что три десятилетия назад в США вступил закон, где прописаны правила против использования пейджеров? В Нью-Джерси полностью запретили их использование гражданам младше 18 лет, а нарушителям грозил 6-месячный тюремный срок. Кстати, закон так и не отменили. Он продолжает действовать по сей день...
• Дело в том, в 80-х годах пейджеры активно набирали популярность среди подростков, а также… драг-дилеров. В те годы США переживали общественную панику, связанную с активным употреблением наркотиков молодёжью, и этот факт значительно её усилил, поскольку пейджеры начали считать одним из главных подспорьев наркобизнеса.
• Вот тогда и были приняты меры против использования пейджеров. Как уже было отмечено выше, в Нью-Джерси полностью запретили использовать пейджеры лицам младше 18 лет, а тем кто нарушал закон грозил 6-месячный тюремный срок. Этот закон был предложен сенатором Рональдом Л. Райсом, который до этого служил в полиции. Жертвами этих жёстких запретов стали тысячи молодых людей, некоторые из которых даже попали на новостные полосы газет (на фото).
• Некоторые школы регулярно сдавали полиции пойманных с пейджерами учащихся. Например, в одном случае 16-летняя девушка получила обвинение в нарушении общественного порядка, в другом 13-летний подросток был закован в наручники. Особенно агрессивно эти меры применялись в Чикаго: в ходе одного полицейского рейда за «использование пейджеров» в школе было арестовано и отстранено от занятий более 30 учащихся.
• В 1996 году в Нью-Джерси был случай, когда от занятий отстранили 5-летнего ребёнка за то, что он взял с собой пейджер на школьную экскурсию. Этот инцидент вызвал широкое возмущение и привлёк внимание радиоведущего Говарда Стерна. В конечном итоге всё это привело к призывам доработать или отменить столь жёсткие законы.
• Эти нападки на пейджеры стали большой проблемой для компании Motorola, которая тогда владела 80% их рынка. В распоряжении компании был хит, с которым она знакомила целое новое поколение, поэтому в 1994 году её владельцы решили дать отпор, отчасти путём объединения молодёжи.
• Motorola привлекла детей своих сотрудников к разработке кампаний в поддержку пейджеров, подчёркивая важность этих устройств для юного поколения в качестве средства коммуникации. В одном из отчётов проекта говорилось: «Кто лучше всех поможет спланировать битву, как ни сами подростки?». Во время самого события, которое разворачивалось в течение недели, один из участников придумал слоган: «Pages for All Ages».
• Объединив свои усилия с PepsiCo, Motorola запустила по телевидению рекламу пейджеров как инструмента для общения детей и взрослых. В рамках объявленной акции компания в 1996 году продала подросткам 500 000 девайсов.
• Эта политика продвижения разозлила некоторых законодателей. Другие представители власти называли их устаревшими, и примерно в то же время возникли движения за отмену запретов на эти устройства. Отчасти этому поспособствовал ранее упомянутый случай с 5-летним мальчиком. В 1996 году власти Нью-Джерси доработали закон, но не отменили.
• Изначальный инициатор этого постановления в 2017 году предложил его отменить со словами:
• Но нет никаких объективных свидетельств тому, что это вообще было проблемой. В действительности последующее распространение смартфонов среди школьников совпало с повсеместным снижением уровня потребления наркотиков молодёжью. Вопреки тому, что некоторые видели между пейджерами и наркоторговлей причинно-следственную связь, данный факт ясно указывает на несостоятельность этой идеи.
• Кстати, Сенатор Рональд Райс, инициатор постановления, умер в 2023 году, но запрет на пейджеры в Нью-Джерси до сих пор продолжает действовать... такие вот дела.
S.E. ▪️ infosec.work ▪️ VT
• А вы знали, что три десятилетия назад в США вступил закон, где прописаны правила против использования пейджеров? В Нью-Джерси полностью запретили их использование гражданам младше 18 лет, а нарушителям грозил 6-месячный тюремный срок. Кстати, закон так и не отменили. Он продолжает действовать по сей день...
• Дело в том, в 80-х годах пейджеры активно набирали популярность среди подростков, а также… драг-дилеров. В те годы США переживали общественную панику, связанную с активным употреблением наркотиков молодёжью, и этот факт значительно её усилил, поскольку пейджеры начали считать одним из главных подспорьев наркобизнеса.
• Вот тогда и были приняты меры против использования пейджеров. Как уже было отмечено выше, в Нью-Джерси полностью запретили использовать пейджеры лицам младше 18 лет, а тем кто нарушал закон грозил 6-месячный тюремный срок. Этот закон был предложен сенатором Рональдом Л. Райсом, который до этого служил в полиции. Жертвами этих жёстких запретов стали тысячи молодых людей, некоторые из которых даже попали на новостные полосы газет (на фото).
• Некоторые школы регулярно сдавали полиции пойманных с пейджерами учащихся. Например, в одном случае 16-летняя девушка получила обвинение в нарушении общественного порядка, в другом 13-летний подросток был закован в наручники. Особенно агрессивно эти меры применялись в Чикаго: в ходе одного полицейского рейда за «использование пейджеров» в школе было арестовано и отстранено от занятий более 30 учащихся.
• В 1996 году в Нью-Джерси был случай, когда от занятий отстранили 5-летнего ребёнка за то, что он взял с собой пейджер на школьную экскурсию. Этот инцидент вызвал широкое возмущение и привлёк внимание радиоведущего Говарда Стерна. В конечном итоге всё это привело к призывам доработать или отменить столь жёсткие законы.
• Эти нападки на пейджеры стали большой проблемой для компании Motorola, которая тогда владела 80% их рынка. В распоряжении компании был хит, с которым она знакомила целое новое поколение, поэтому в 1994 году её владельцы решили дать отпор, отчасти путём объединения молодёжи.
• Motorola привлекла детей своих сотрудников к разработке кампаний в поддержку пейджеров, подчёркивая важность этих устройств для юного поколения в качестве средства коммуникации. В одном из отчётов проекта говорилось: «Кто лучше всех поможет спланировать битву, как ни сами подростки?». Во время самого события, которое разворачивалось в течение недели, один из участников придумал слоган: «Pages for All Ages».
• Объединив свои усилия с PepsiCo, Motorola запустила по телевидению рекламу пейджеров как инструмента для общения детей и взрослых. В рамках объявленной акции компания в 1996 году продала подросткам 500 000 девайсов.
• Эта политика продвижения разозлила некоторых законодателей. Другие представители власти называли их устаревшими, и примерно в то же время возникли движения за отмену запретов на эти устройства. Отчасти этому поспособствовал ранее упомянутый случай с 5-летним мальчиком. В 1996 году власти Нью-Джерси доработали закон, но не отменили.
• Изначальный инициатор этого постановления в 2017 году предложил его отменить со словами:
«Прошло уже почти тридцать лет, и это больше не является проблемой».
• Но нет никаких объективных свидетельств тому, что это вообще было проблемой. В действительности последующее распространение смартфонов среди школьников совпало с повсеместным снижением уровня потребления наркотиков молодёжью. Вопреки тому, что некоторые видели между пейджерами и наркоторговлей причинно-следственную связь, данный факт ясно указывает на несостоятельность этой идеи.
• Кстати, Сенатор Рональд Райс, инициатор постановления, умер в 2023 году, но запрет на пейджеры в Нью-Джерси до сих пор продолжает действовать... такие вот дела.
S.E. ▪️ infosec.work ▪️ VT
• Если честно, то я никогда не замечал тот факт, что у сервиса VirusTotal есть свой CLI инструмент. Можно и ссылочку проверить, и файл отсканировать, и информацию по хэш значению получить. Всё что вам необходимо для использования - это API ключик (он доступен абсолютно всем при регистрации). Вот тут более подробно:
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• Весьма интересная книга, автором которой является бывший специальный агент ФБР, профессор психологии и консультант — Джек Шафер. Более пятнадцати лет занимался контртеррористическими исследованиями и анализом, обучал специальных агентов техникам влияния и убеждения.
• Эта литература — практическое пособие по обучению тому, как общаться с людьми и влиять на них. Материал будет полезен всем, кто интересуется профайлингом и социальной инженерией.
☁️ Руководство можно скачать бесплатно в нашем облаке.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
50
• Нашел очень полезный сервис, благодаря которому можно создать зашифрованные HTML странички, расшифровка которых происходит с помощью ввода пароля в браузере на стороне клиента.
• Обычно парольная защита производится через веб-сервер, который проверяет пароль и выдаёт контент. Но что делать, если нужно выложить зашифрованную веб-страницу и файлы на публичном хостинге, где у нас нет контроля над сервером? Эту проблему решает тулза StatiCrypt.
• StatiCrypt генерирует статическую страницу, которую можно безопасно заливать на любой хостинг. Страница будет расшифрована в браузере пользователя, когда тот введёт известный ему пароль. В принципе, эту систему можно использовать для шифрования личных заметок, если вы хотите выложить их на общедоступный сервер, чтобы всегда иметь к ним доступ, но при этом надёжно защитить от посторонних глаз.
• Расшифровка происходит на обычном JavaScript, то есть со стороны клиента не требуется скачивание и установка дополнительных инструментов, кроме стандартного браузера. Ни хостинг-провайдер, ни интернет-провайдер не получают доступ к этой информации в процессе расшифровки её расшировки в браузере.
• Консольная утилита StatiCrypt доступна для скачивания на Github и в виде пакета NPM. А еще существует готовый шаблон для создания и хостинга одностраничного зашифрованного сайта на GitHub Pages.
• Страница шифруется с помощью AES-256 в режиме CBC, который в контексте StatiCrypt лишён характерных для него уязвимостей. Пароль хешируется с помощью функции PBKDF2: 599 тыс. операций хеширования SHA-256 и 1000 операций SHA-1 (для легаси). По сути, генерируется новая веб-страница (зашифрованная), которая вмещает содержимое старой.
• Утилита также умеет генерировать ссылку, которая уже содержит хешированный пароль, для доступа к странице без ввода пароля непосредственно в веб-форме браузера. Такую ссылку можно передавать доверенным лицам или использовать самому, а контент при этом хранится на сервере в зашифрованном виде, недоступном для просмотра ни хостером, ни третьим лицам.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
12
• В сентябре прошлого года Андрей Созыкин завершил основной раздел своего курса по компьютерным сетям и приступил к следующей части, которая будет посвящена теме защищенных сетевых протоколов. В новом разделе будут рассмотрены следующие протоколы:
• Отмечу, что лично я считаю данный курс одним из лучших и понятных в части изучения сетей. А еще курс полностью бесплатный и опубликован на YouTube, что делает его доступным для всех желающих! Напомню, что Андрей начал актуализировать свой курс еще год назад и сейчас можно посмотреть более 38 уроков:
• Когда будет завершен раздел с описанием защищенных сетевых протоколов, то я обязательно опубликую эту информацию в канале. Либо можете самостоятельно отслеживать выход нового материала в этом плейлисте: https://www.youtube.com/playlist/seti
• P.S. Не забывайте про мой репозиторий, в котором собрана подборка материала для изучения сетей (от курсов и книг, до шпаргалок и сообществ): https://github.com/SE-adm/Awesome-network
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• Нашел очень крутой ресурс, который содержит огромное кол-во инструментов для ИТ специалистов, начиная от калькулятора ip адресов и оценки надежности паролей, заканчивая конвертерами и линтерами для JSON, YAML, XML и т.д. Так сказать, универсальный набор тулз, который пригодится для выполнения повседневных задач.
• А еще вы можете развернуть всё локально, если потребуется. Инструкция есть на github. Пользуйтесь:
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
1
• В ранние годы интернет-эры миллионы файлов хранились на тысячах анонимных FTP-сайтов. В этом многообразии пользователям было достаточно сложно обнаружить программу, подходящую для решения их задачи. Поэтому приходилось вручную просматривать FTP-хранилища, структура которых значительно отличалась. Именно эта проблема и привела к появлению одного из ключевых аспектов современного мира — интернет-поиска.
• Считается, что создателем первого поискового движка выступил Алан Эмтейдж. В 1989 году он работал в университете Макгилла в Монреале. Одной из его задач как администратора университетского факультета информационных технологий было нахождение программ для студентов и преподавателей. Чтобы облегчить себе работу и сэкономить время, Алан написал код, который выполнял поиск за него.
• Эмтейдж написал простой сценарий, автоматизирующий задачу внедрения в листинги на FTP-серверах, которые затем копировались в локальные файлы. В этих файлах осуществлялся быстрый поиск необходимой информации с помощью стандартной grep-команды Unix. Таким образом, Алан создал первую в мире поисковую систему, которая получила название Archie — это сокращение от слова Archive (Архив).
• Archie оказался способен производить поиск среди 2,1 миллиона файлов более чем на тысяче сайтов по всему миру в течение нескольких минут. От пользователя требовалось ввести тему, а система предоставляла отчет о местонахождении файлов, названия которых совпадали с ключевыми словами.
• Решение оказалось настолько удачным, что в 1990 году Эмтейдж и его партнер Питер Дойч основали компанию Bunyip, намереваясь вывести на рынок более мощную коммерческую версию Archie. Можно сказать, что это был первый интернет-стартап в истории, поскольку Bunyip продавали интернет-сервис.
• Команда решила привести листинги к более эффективному представлению. Данные были разбиты на отдельные базы: в одной из них хранились текстовые названия файлов, в другой — записи со ссылками на иерархические директории хостов. Была и третья база, соединяющая две другие между собой. Поиск при этом производился поэлементно по именам файлов.
• Со временем были реализованы и другие доработки. Например, база данных вновь была изменена — её заменила база данных, основанная на теории сжатых деревьев. Новая версия формировала текстовую базу данных вместо списка имен файлов и работала значительно быстрее предыдущих. Также произведенные второстепенные улучшения позволили Archie проводить индексацию веб-страниц.
• К сожалению, работа над Archie была прекращена, а революция в области поисковых систем — отложена. Эмтейдж со своими партнерами разошлись во взглядах касательно будущих инвестиций, и в 1996 году он принял решение об уходе. После этого клиент Bunyip проработал еще год, а затем стал частью Mediapolis, Нью-Йоркской фирмы веб-дизайна. При этом патенты на все наработанные технологии так и не были получены.
• Archie породил такие поисковые системы, как Google, потому в какой-то мере его можно считать прапрадедушкой поисковых движков. Что касается Алана Эмтейджа, то когда его спрашивают об упущенной возможности разбогатеть, он отвечает с долей скромности:
«Разумеется, я бы хотел разбогатеть, — говорит он. — Однако даже с оформленными патентами я мог бы и не стать миллиардером. Слишком легко допустить неточности в описании. Иногда выигрывает не тот, кто был первым, а тот, кто стал лучшим».
• Google и другие компании не были первыми, но они превзошли своих конкурентов, что позволило основать многомиллиардную индустрию.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
Cron и Systemd в Linux.•
Cron - классический планировщик задач в Unix-подобных операционных системах, позволяющий автоматизировать выполнение команд и скриптов по расписанию. Позволяет запускать команды/скрипты в определенное время или с определенной периодичностью, но при не самом аккуратном использовании может "подкинуть" проблем: от падения сервера из-за перегрузки до "тихих" ошибок, о которых можно долго не знать. • В этом руководстве описаны не только основы работы с
cron, но и типичные подводные камни, альтернативы для сложных сценариев, а также продвинутые форматы расписания. Информация будет полезна всем, кто хочет более подробно разобраться в автоматизации задач в Linux.•
Systemd - комплексная, глубоко интегрированная система инициализации и управления, которая стала неотъемлемым скелетом современных дистрибутивов Linux. Её архитектура, построенная вокруг концепции юнитов, cgroups и централизованного журналирования, кардинально меняет подход к администрированию системы.• В данном руководстве автор рассказал про все основные и ключевые технические аспекты: архитектура, юниты, cgroups, работа с журналами. Только команды и конфиги. Данная статья является продолжением статьи по
cron, так как systemd был затронут, но не раскрыт.S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• Существует отличная книга "Quick Start Guide to Penetration Testing", которая распространяется только на английском языке. Наш читатель проделал огромную работу, перевел эту книгу на русский язык и предоставил ее нам на безвозмездной основе.
• В книге описаны варианты использования #NMAP, OpenVAS и #Metasploit, подробное описание этих инструментов, создание собственной лаборатории для практических занятий и подробное описание различных этапов пентеста.
☁️ Руководство можно скачать бесплатно в нашем облаке.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
1
• На хабре опубликовали хороший чек-лист, включающий десять базовых правил по безопасности VDS.
• Все перечисленные в статье правила - это не набор «фишек для параноиков», а ваша уверенность в сохранности ваших данных. SSH-ключи, запрет root-доступа, закрытые порты, свежие пакеты, резервные копии и мониторинг логов не требуют сверхусилий, но именно они определяют, будет ли ваш сервер тихо работать годами или превратится в лёгкую цель для злоумышленников. Однозначно к прочтению:
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• Нашел еще один очень крутой инструмент для работы с логами, который называется lnav. Я уже упоминал эту тулзу несколько месяцев назад в одном из постов, но я не описывал ее возможности.
• Вероятно, что данный инструмент окажется полезным для многих из вас, так как lnav является универсальным решением, которое значительно упрощает процесс анализа логов. Совокупность возможностей делает его незаменимым помощником для всех, кому приходится иметь дело с логами.
• Вот основные возможности lnav:
• Больше информации можно получить в официальной документации.
• Сам проект имеет открытый исходный код и доступен на github.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• Подробное руководство по тестированию на проникновение одной из самых приоритетных целей в корпоративной сети — Outlook Web Access (OWA). Автор разобрал все основные атаки и уязвимости OWA, собрал и структурировал самое полезное в одном месте:
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
1
• Расскажу вам историю, которая произошла в 2008 году. Тогда интернет заполнила информация о кибератаке на Министерство обороны США.
• Началось все с обычной флешки, которая была заражена червем agent.btz и была вставлена в ноутбук на военной базе США в Среднем Востоке. Этот ноутбук был подключен к центральному командованию вооружённых сил США, из-за чего червь смог распространится по всем системам, включая секретные. Он делал это путем создания файла
AUTORUN.INF в руте каждого из дисков. Также вирус мог сканировать компьютер на наличие бэкдоров, которые использовал для дальнейшего распространения.• Еще в зараженной системе червь создавал файл с именем
thumb.dd на всех подключаемых флешках. И в виде CAB-файла он сохранял там следующие файлы: winview.ocx, wmcache.nld и mswmpdat.tlb. В них содержалась информация о зараженной системе и логи активности червя. Если разобраться, то thumb.dd представляла собой контейнер с данными, которые сохранялись на флешку при отсутствии возможности прямой передачи через интернет на командный сервер.• Кроме того Agent.btz постоянно мутировал. Таким образом он менял «подпись», избегая обнаружения. И пока удалялись старые версии, в сети появлялись новые, более сложные.
• В общем и целом, Пентагон потратил около 14 месяцев на то, чтобы очистить свои системы от червя. Они даже запретили использовать флешки или другие переносные носители информации. А еще им пришлось переформатировать сотни машин и конфисковать тысячи зараженных флешек. Такие вот дела...
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
1
• Основной объём трафика в вебе возникает из-за ботов. По большей части, эти боты используются для обнаружения нового контента. Это читалки RSS-фидов, поисковые движки, выполняющие краулинг вашего контента, а сегодня и боты ИИ, собирающие контент, чтобы скармливать его LLM. По информации аналитического отчёта Fastly, краулеры, скраперы и фетчеры иногда создают нагрузку на сайт до 39 тыс. запросов в минуту.
• Традиционно против ботов используется комбинация нескольких методов, включая ограничение на количество запросов и капчи — задачи, сложные для компьютеров, но тривиальные для людей, фильтрация по user-agent и т.д. но есть и более креативные решения...
• Автор этого материала описывает актуальный метод защиты от агрессивных ИИ-краулеров с помощью zip-бомб, которые истощают оперативную память в дата-центре краулера. Это может быть стандартный архив размером 10 МБ, который распаковывается в 10 ГБ... Пример такой реализации можно найти по ссылке ниже:
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
1
• В данном руководстве описаны различные методы и инструменты для сбора и анализа данных о трафике. Рассматриваются процессы сбора и организации данных, инструменты для их анализа, а также различные аналитические сценарии и методики, описывается активный контроль и управление трафиком.
• Руководство распространяется только на английском языке, но наши читатели проделали огромную работу и перевели книгу на русский язык. Материал будет полезен начинающим и опытным ИБ специалистам.
☁️ Руководство можно скачать бесплатно в нашем облаке.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• С ростом популярности Kubernetes все больше компаний стремятся использовать его для облегчения управления контейнеризованными приложениями. Вместе с этой тенденцией наблюдается рост числа неправильно сконфигурированных кластеров, что создает большие риски в части обеспечения безопасности.
• В этом руководстве вы найдете информацию по безопасной настройке кластера k8s. Материал вышел очень объемным и включает в себя практические примеры. Содержание следующее:
• Prerequisites;
• Test Environment – your own cluster in minutes using a ready-made noscript;
• Kubernetes Architecture;
• STRIDE for Kubernetes;
• Node Security – Start with the Basics:
• Cluster Components Security:
• Security of Images, Containers, and Pods:
• Debugging - Essentials for Troubleshooting;
• Additional Resources.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• 20 лет назад компания Sony BMG, занимающаяся распространением звукозаписывающих лейблов, оказалась в центре огромного скандала мирового масштаба. Компания решила снабдить свои диски не только музыкой, но и парочкой программ защиты от несанкционированного копирования. Но всё пошло по одному месту... это ПО, в последствии, принесло немало проблем как простым пользователям ПК, так и самой компании Sony BMG.
• Более 22 миллионов дисков, выпущенных в продажу Sony BMG, содержали в себе две программы: Extended Copy Protection (XCP) и MediaMax CD-3. А теперь подробнее о каждой:
• XCP: 31 октября 2005 года Марк Руссинович, сотрудник компании Microsoft, написал в своем блоге о необычном открытии, которое он сделал, вставив купленным им диск от Sony BMG в компьютер. Этим открытием был XCP. Марк, как и многих других, возмутил тот факт, что в лицензионном соглашении о данном ПО не было ни слова. Ну т.е. программа устанавливалась без ведома пользователя и всячески скрывала свое существование, что характеризует ее как руткит.
• С точки зрения правообладателей данное ПО было сделано с благими намерениями, но в то же время XCP создавал очень много проблем и уязвимостей:
• После заявления Руссиновича, многие злоумышленники воспользовались дырами в безопасности, созданными XCP, для распространения вирусов и червей.
• MediaMax CD-3: скандальной особенностью этого ПО была установка несмотря на лицензионное соглашение. То есть, перед фактическим использованием диска пользователь должен был согласится с пунктами лицензионного соглашения. Если отказаться, закрыть окно или даже «убить» процесс, то MediaMax все равно устанавливался на компьютер.
• Новость о вредоносном ПО на дисках от Sony BMG распространилась со скоростью звука. В итоге, компания была вынуждена объявить о возврате копий, которые неуспели продать. Однако несмотря на данное заявления, во многих городах продажа зараженных дисков велась и дальше.
• 21 ноября 2005 года генеральный прокурор штата Техас подал иск на компанию Sony BMG. Техас стал первым (но не последним) штатом, который решил засудить Sony BMG. Основной мыслью обвинения было то, что компания тайно установила на ПК пользователей вредное ПО, которое нарушало работу системы и бело к возникновению проблем с безопасностью. Естественно Sony BMG проиграла в суде и должна была выплаты 750 000 долларов судебных издержек, по 150 долларов за каждый поврежденный ПК, разместить подробное описание вредоносного ОП на своем сайте и указать о его существовании в своей рекламе в Google, Yahoo! и MSN.
• Далее последовало множество исков от пострадавших. Столь сильный общественный резонанс, финансовые потери и судебные разбирательства все же подтолкнули Sony BMG принять решение — более не использовать подобное ПО на своих дисках. Такая вот история...
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• На хабре есть хорошая статья, автор которой продемонстрировал самый простой способ взлома подарочных сертификатов одного магазина одежды. С помощью скрипта, который был написал на Python, можно было просканировать все выпущенные и не активированные подарочные карты. По итогу, за 10 минут времени, автору удалось получить купонов на 177 тыс. рублей.
• Данная информация была направлена магазину для дальнейшего устранения уязвимости, за что автор получил
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• Это очередная история от одного разработчика - Дэвида Додда, которого чуть не взломали на фейковом собеседовании по программированию. А началось все с приглашения на работу от «блокчейн-компании» в соцсетях. После договоренности о собеседовании Дэвиду был направлен документ с информацией о проекте и кодом для поиска и исправления ошибок.
• Дэвид отмечает, что в случаях, когда ему предлагают участие в фриланс-проектах с предоставлением уже готового кода, он сначала загружает этот код в Docker-контейнер и запускает в песочнице. Но в этот раз ему было лень, а до собеседования оставалось всего несколько часов, поэтому он не стал заморачиваться.
• Перед тем, как запустить код, Дэвид попросил нейросеть проверить, нет ли в нём чего-нибудь подозрительного - например, кода для чтения файлов, которые не следует читать, доступа к криптокошелькам и т.д. И, о чудо, агент обнаружил обфусцированный код (скриншот №2). Если его декодировать, то получится URL-адрес, который содержит малварь с функционалом предоставления доступа к данным жертвы (полные привилегии Node.js, доступ к переменным окружения, подключениям к базам данных, файловым системам, криптокошелькам и т.д.).
• Вот таким образом фактор срочности играет на руку злоумышленникам. Если добавить сюда лень и невнимательность, то можно прощаться с данными. Так что всегда сканируйте файлы через VT, проверяйте ссылки, используйте различные инструменты и песочницы.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
• На хабре есть очень полезный FAQ про Wi-Fi, который содержит ответы по всевозможным направлениям:
• Автор уже 20 лет занимается беспроводными технологиями и начал вести данный список еще в самом начале своей карьеры. Так что добавляйте в избранное и изучайте, материал крайне полезный:
• Дополнительно:
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM