В августе 2020 парламент Норвегии оказался под атакой неизвестных хакеров. Целью атаки была внутренняя электронная почта организации, и хакеры успешно взломали немало избранных представителей парламента. Более того, под раздачу попали сотрудники самой организации, и из почтовых ящиков ушло много данных.
Некоторые наверное знают историю задержания основателя Silk Road Росса Ульбрихта.
Вкратце расскажу: его задержали в публичной библиотеке Сан Франциско, когда он зашёл со своего ноутбука в админскую учётку Silk Road. Задача агентов ФБР заключалась в том, чтобы успеть выхватить у него ноутбук и при этом, чтобы он не успел захлопнуть крышку и ноут не выключился, иначе, вся информация оказалась бы недоступной. И это им удалось. Итог как вы знаете оказался весьма печален для Ульбрихта.
Один пользователь, поглядев на прокол Ульбрихта, опубликовал на GitHub исходники проекта usbkill, написанного на Python.
Ссылка на исходники USBkill и ее описание — внутри поста.
Возможно, у вас бывали такие ситуации, когда нужно было позвонить человеку и при этом всём остаться полностью анонимным. Использование SIM карты идентифицирует вас c ближайшей к вам сотовой вышкой.
Левые симки и непроверенные сервисы не шифруют звонки.
Сайты для звонков на телефоны, которые не палят номер, да еще и не позволяют отследить местонахождение звонившего — мечта телефонного хулигана.
В связи с этим, хочу с вами поделиться сервисами для звонков. у которых весь трафик проходит через сеть TOR или хорошо зашифрован..
Китайские хакеры из команды Pangu нашли уязвимость, которая позволяет взломать iPhone и iPad. Она связана с чипом безопасности SEP. Уязвимость нельзя устранить так как ее корни лежат во вшитом ПО чипа.
Дело в том, что Apple использует особый чип SEP (Secure Enclave Processor) для существенной доли киберзащиты своих устройств. Шифрование и расшифровка ключей, а также безопасное хранение данных производятся с помощью именно этого чипа. Уязвимость SEP ставит под угрозу данные Apple pay, биометрию, личную информацию и пароли.
Суть в том, что чип по сути является вторичным процессором. Главное устройство и SEP изолированы друг от друга, но если использовать эксплоит Checkm8, появляется доступ к SEP. Checkm8 вскрывает Apple BootROM — первый код, который исполняется айфоном во время загрузки.
Самое главное — с этой уязвимостью у злоумышленника появляется бесконечное количество попыток ввести пароль.
ВИДЕО ДАЛЕЕ
Художник Саймон Векерт катал по городу смартфоны в тележке. У каждого из 99 смартфонов имелась своя симка, и каждая из них использовала GoogleMaps для навигации. В результате Векерт создавал виртуальные пробки — в реальности их не было, но карты отображали страшнейшие транспортные заторы. Решение с тележкой пришло к нему после того, как он увидел, что если просто положить кучу смартфонов куда-то в ящике, на GoogleMaps не появляется пробка. То есть для хака ему потребовалось постоянно двигать тележку с 99 смартфонами.
Кроме того, если транспортное средство проезжало мимо художника с нормальной скоростью, сервис понимал, что все в порядке и пробки нет. Только когда куча смартфонов была в медленном движении, а сама улица была пуста, Google Maps видела там пробку.
В конце декабря 2019 года исследователи из Университета науки и технологий им. Короля Абдаллы (Саудовская Аравия) и Университета Сент-Эндрюса (Шотландия) представили новую невзламываемую систему безопасности. Они создали оптический микрочип, который позволяет пересылать информацию от пользователя к пользователю через единовременный канал связи. По словам создателей, такую криптографию неспособны взломать даже квантовые компьютеры.
Современные криптографические методы позволяют быстро обмениваться данными, но квантовые алгоритмы однажды позволят с легкостью их взломать. Создатели микрочипа утверждают, что их способ криптографии взломать невозможно, причем он занимает меньше места в сети, чем традиционные коммуникации. Предлагаемая система использует ключи, созданные оптическим чипом, которые не хранятся и не передаются вместе с сообщением. В результате их невозможно воссоздать или перехватить.
По сообщению в телеграмм-канале айтишницы из России (koteeq на Хабре), она случайно смогла взломать все автоматические кормушки Xiaomi Furrytail Pet Smart Feeder. Вот, что писала хакерша: «Мда. Вот эти автоматические кормушки продаются по пять тысяч рублей минимум. Добротный девайс, надо сказать. Работает хорошо. Сейчас я продолжала изучать их API и случайно получила доступ ко всем кормушкам этой модели в мире. У меня на экране бегают логи со всех существующих кормушек, я вижу данные о вайфай-сетях бедных китайцев, которые купили себе эти устройства. Могу парой кликов неожиданно накормить всех котиков и собачек, а могу наоборот лишить их еды, удалив расписания с устройств. Вижу, сколько у кого в миске корма сейчас лежит».
Furrytail Pet Smart Feeder — это автоматическая кормушка для домашних кошек и собак. С помощью мобильного приложения в устройстве контролируется время подачи и количество еды в миске любимца. Внутри гаджета имеется специально закрываемый подающей системой контейнер на четыре литра, в котором помещается два килограмма сухого корма. Часть корма дозированно, время от времени, согласно расписанию или по управлению с приложения, высыпается в миску. Благодаря этому гаджету животные могут на несколько дней оставаться в пустой квартире. Также Furrytail выпускает аналогичные автоматические устройства для подачи животным питьевой воды.
Технологии распознавания лиц используются всё чаще. Скоро они научатся безошибочно определять, кто идёт по улице. Есть ли способы не светить лицом в угоду Большому Брату?
В Гонконге с начала июня проходят массовые протесты. На каждой акции, на которую выходят сотни тысяч гонконгцев, почти у каждого есть зонт. Зачем?
Новое исследование, опубликованное комитету по педагогике Великобритании, указывает, что больше половины детей старше 12 лет имело аккаунт в Инстаграме. Комиссия провела многочисленные интервью, и ни один из детей не понимал, что написано в пользовательском соглашении Инстаграма. И это неудивительно: соглашение содержит 5000 слов и требует высшее образование, чтобы полностью его понимать.
Но давайте будем честны: большинство из нас вообще не читает пользовательские соглашения: они длинные, унылые и вряд ли большая компания решилась бы выставлять неадекватные счета своим пользователям. Да и для большинства из нас, живущих на территории постсоветских стран. Между тем, все меньше и меньше приложений требуют с вас денег при установке. Задумайтесь над следующим: если оно не берет с вас денег и не показывает огромные количества рекламы, как оно окупается? Чаще всего эти приложения собирают вашу информацию, сортируют ее, а потом продают другим людям. Этими людьми может быть кто угодно, начиная с честных ученых, социологов и психологов, и заканчивая людьми, работающими в политике и рекламе.
Что делать?
Анализировать отношение компании к своему клиенту. Вот несколько инструментов, которые помогут:
https://tosdr.org — социальный проект, созданный веб-активистами. Содержит в себе укороченные версии Пользовательских Соглашений в трех-пяти предложениях. Классифицирует сервисы и компании по градации вида "A-B-C-D-E", где А — самый безопасный уровень, а E — самый небезопасный.
Guard — Как раз тот самый ИИ, который учится у людей читать Пользовательские Соглашения, анализировать их и выставлять им оценки. Также считает количество скандалов и потенциально опасных положений в Пользовательском Соглашении. Пока что не умеет составлять досье компании по запросу, потому что учится, но уже имеет составленные досье на все большие ресурсы. Нейросеть буквально разбирает Пользовательское Соглашение по кускам и работает в двух режимах:
В первом она вычленяет наиболее важные постановления, помечает их, чтобы вы могли прочитать их самостоятельно.
Во втором она самостоятельно оценивает насколько пользовательское соглашение дружелюбно к потребителям и выставляет свою оценку в процентах. Также она показывает наиболее опасные части такого соглашения, упаковывая их в две таблички:
Наибольшая опасность: "Мы также можем использовать различные технологии, чтобы определить ваше местоположение, включая сенсоры вашего прибора" /youtube.
Не знаю, бывали ли у вас такие ситуации, когда хочется узнать, где живёт кидок.
У меня для тебя на готове хороший софт, и нет, мы не будем узнавать геолокацию человека с помощью айпи.
Здесь не будет этой херни, тут все серьезно.
Хочу представить тебе воистину выносящий софт, а именно скрипт под названием Seeker. Погнали.
Хакер взломал тысячи учётных записей, принадлежащих пользователям двух приложений для слежения по GPS, что дало ему возможность отслеживать местонахождение десятков тысяч машин и даже глушить моторы некоторых из них прямо на ходу.
Хакер по кличке L&M рассказал изданию Motherboard, что взломал более 7000 учётных записей iTrack и более 20 000 записей ProTrack – приложений, которые компании используют для отслеживания и управления парками автомобилей с помощью GPS. Хакер смог отслеживать автомобили в нескольких странах мира, включая Южную Африку, Марокко, Индию и Филиппины. У некоторых автомобилей ПО позволяет удалённо глушить моторы, при этом машина должна стоять или двигаться не быстрее 20 км/ч, в зависимости от производителя определённых GPS-устройств для отслеживания.
Как можно обезопасить себя от слива личной информации? Установив Linux, он в отличии от Винды не шлет на сервера каждые 15 секнуд скриншоты вашего рабочего стола и не ведет записей для «маркетинга». Если среди вас есть те кому не безразлична тема анонимности в интернете, мы сделали для вас пост о том, как поставить эту операционку.
Любая социально-инженерная атака имеет следующую методологию:
1. Сбор информации - Конкурентная разведка (RECON/OSINT)
2. Фрейминг (Framing)
3. Использование предлогов (Pretexting)
4. Манипулирование
Думаю здесь можно много не писать, ведь навыками конкурентной разведки должен обладать любой пентестер. Как можно проводить пентест, не имея никакой информации о цели?
Для себя я определил ряд навыков и утилит, которые позволять собрать максимально количество информации о цели.
