В продуктах Fortinet был захардкожен ключ для шифровки сообщений использумых в коммуникационном протоколе FortuGuard Services. Несколько продуктов Форти использовали слабый ключ шифрования для связи с облаком FortiGuard (антиспам, антивирус, феб-фильтр), злоумышленнику сопосбному перехватить этот трафики (между продуктами Форти) не составило бы особого труда расшифровать и изменить перехваченный трафик.

Пару дней назад информация об этом была опубликована на сайте Форти с описанием + возможностью загрузки фикса:

https://fortiguard.com/psirt/FG-IR-18-100

up

Собственно PoC - https://sec-consult.com/en/blog/advisories/weak-encryption-cipher-and-hardcoded-cryptographic-keys-in-fortinet-products/
За ссылку спасибо @ldviolet

Знаю многие пользуются, поэтому выкладываю сюда. В Splunk могут быть проблемы с датами начиная с 1 января 2020 года, тем кто юзает сабж, думаю стоит заглянуть сюда:

https://docs.splunk.com/Documentation/Splunk/8.0.0/ReleaseNotes/FixDatetimexml2020

Ginp, не путать с Gimp'ом) Android троян ворующий данные платежных карт. Что может и как работает зловред:

https://www.threatfabric.com/blogs/ginp_a_malware_patchwork_borrowing_from_anubis.html

Система с открытым исходным кодом для наблюдения за сетью, нагрузкой, безопасностью, тесно может eBPF. По описанию все очень круто...

Немного из офф описания:

Hubble - распределенная платформа наблюдения за сетью и безопасностью, созданное на основе Cilium и eBPF, которое обеспечивает полную прозрачность коммуникации и поведения сервисов, а также сетевой инфраструктуры.

Встречаем Habble:

https://cilium.io/blog/2019/11/19/announcing-hubble/

За ссылку спасибо @ldviolet

В новом Kali, новый xfce по дефолту, gtk3, powershell, выбор btrfs во время установки...

В общем новый релиз дистрибутива для пентестинга:

https://www.kali.org/news/kali-linux-2019-4-release/

Спасибо @novitoll за notify)

KB4517245 в Windows 10 1909 вешает проводник (одна из новых возможностей, которая направлена на облегчение поиска файлов), в общем если проводник начинает "падать", то возможно это оно. Проблема решается удалением данного kb.

Собственно о данном обновлении на офф сайте:

https://support.microsoft.com/en-us/help/4517245/feature-update-via-windows-10-version-1909-enablement-package

Некоторые жалобы на багу:

https://answers.microsoft.com/en-us/windows/forum/all/bug-in-feature-update-to-windows-10-version-1909/b2fb01f6-910b-4669-b31a-33c3e2633ca6

https://answers.microsoft.com/en-us/windows/forum/all/windows-10-1909-file-explorer-search-issue/d8263e43-e34a-495c-8e70-a82d48597bf8

Отсутствие изоляции между мобильным SDK и ресурсами Twitter приводит к раскрытию персональной информации пользователей. Проблема существует в Twitter клиенте под Android, под iOS пока непонятно... И во всем конечно же виноваты разработчики данного SDK, которые не имеют прямого отношения к соц сети...

Официальное уведомление от Twitter:
https://help.twitter.com/en/sdk-issue

Новый поисковый dark web движок Kilos, с кучей фич, включая просмотр популярных поисковых запросов… Сам еще не добрался, но наткнулся на вот эту вот статейку, с картинками и описанием:

https://intsights.com/blog/kilos-the-dark-webs-newest-and-most-extensive-search-engine

Windows Terminal испытывает значительные изменения, теперь в нем есть даже тайлинг:

https://devblogs.microsoft.com/commandline/windows-terminal-preview-v0-7-release/

На днях еще хотел рассказать. Гугл обещает защиту пользователей от поддерживаемого правительством взлома и дезинформации.

С одной стороны клево - забота о себе и пользователях, с другой стороны странно - разве Google не сотрудничает плотно со службами и правительством...

Как бы то ни было, собственно блог-пост об этом от первоисточника:

https://blog.google/technology/safety-security/threat-analysis-group/protecting-users-government-backed-hacking-and-disinformation/

Kali Undercover - включает тему один в один похожую на Windows.

Достаточно в терминале набрать kali-undercover и наслаждаться windows-стайл десктопным окружением.

Замена SMS на RCS (rich communication service) подвергает множество людей опасности, благодаря небезопасным способам внедрения данной технологии в массы, например тем же Vodafone:

https://www.vice.com/en_us/article/j5ywxb/rcs-rich-communications-services-text-call-interception

P.S. интересно когда эта технология дойдет до нас (и дойдёт ли)? И вообще при наличии интернета, будет ли актуально ее использовать? Кстати говоря инициатором внедрения этой технологии является не кто иной, как Google :)

https://www.blog.google/products/rcs

Европол лютует... На сегодня конфисковали более чем 33к доменных имён связанных с пиратским / контрафактным контентом, как например - видео, музыка, пиратское программное обеспечение... О достижениях сабжа, на официальном сайте:

https://www.europol.europa.eu/newsroom/news/operation-takes-down-over-33-600-internet-domains-selling-counterfeits-goods

Kaspersky Secure Connection (vpn клиент, разворачивать можно через KIS и ряд других одноименных продуктов) найдена уязвимость предварительной загрузки dll позволяющая повысить привилегии до уровня SYSTEM:

https://safebreach.com/Post/Kaspersky-Secure-Connection-DLL-Preloading-and-Potential-Abuses-CVE-2019-15689

о365 теперь может EOP профайлы (exchange online protection), расписано здесь:

https://docs.microsoft.com/en-us/microsoft-365/security/office-365-security/recommended-settings-for-eop-and-office365-atp

Применять профили для нескольких теннантов из PS можно так:

https://docs.microsoft.com/en-us/microsoft-365/security/office-365-security/sample-noscript-for-applying-eop-settings-to-multiple-tenants

Mozilla удалила расширения Avast и AVG с сайта дополнений Firefox из-за опасений, что они отслеживали действия пользователя во время просмотра веб-страниц...

Не без причины, один из исследователей обнародовал сей факт (факт слежки этими аддонами за пользователями) в своем блоге, собственно PoC:

https://palant.de/2019/10/28/avast-online-security-and-avast-secure-browser-are-spying-on-you/

Отлично. Все говорят про Machine Learning (хотя мало кто смыслит как практически это применять), какая это польза бизесу, продуктивности, прогнозируемости и тп...

С другой стороны все чаще и чаще видно, что атакам подвергается гос сектор, бизнес и даже некоторые индивидуумы персонально...

И никто еще не говорил (я не слышал по крайней мере, что бы это прям популярно обсуждалось) как ML может быть на руку злоумышленникам. Как это может помогать быстрее проводить атаки, производить фишинг при помощи ML, реагировать на различные состояния систем, обучаться в конце-концов... Это целый, большущий пласт для изучения на сам деле, этот ваш ML...

Собственно на тему добра и зла в этом отношении:

https://www.todayslegalcyberrisk.co.uk/guest-writers/ai-in-cyber-security-technology-for-good-and-evil/

Accusoft ImageGear уязвимость выполнения кода, сам не юзал, но видел проекты с использованием этой библиотеки (либа для работы с изображениями), собственно суть:

https://blog.talosintelligence.com/2019/12/vulnerability-spotlight-accusoft-PNG-dec-19.html

В рамках DTP проекта, FB выпустил тулзу, которая может синкать фоточки в Google Photos:

https://about.fb.com/news/2019/12/data-portability-photo-transfer-tool/

DTP - инициатива от нескольких супер-крупных корпораций владеющих большими деньгами и большими данными касающихся жителей планеты, альянс составляют - Apple, Microsoft, Google, Twitter, Facebook

Что такое Data Transfer Project, как ДТП должен помогать сливать / коммуницировать / мержить данные эндпоинтов альянса:

https://datatransferproject.dev/

Xtractor, девайс для извлечения данных с устройств, с открытым исходным кодом. Многие занимаются железом, возможно такой девайс будем не плохим добавлением в копилку инструментария:

https://sec-consult.com/en/blog/2019/12/winning-the-interface-war-extracting-information-from-electronic-devices-with-the-sec-xtractor/

Гугл полностью переходит во владение Печаю, как CEO, теперь он будет паралельно главой компании Alphabet - головной компании Google.

Ларри Пейдж и Сергей Брин уходят с постов CEO компании Alphabet. Печай идёт к успеху 🙂 Собственно всю историческую он сам и изложил гугл-блоге:

https://www.blog.google/inside-google/alphabet/letter-from-larry-and-sergey/

Кому интересно, собственно фактически одностраничный сайт холдинга Alphabet:

https://abc.xyz/