Information Security дайджест #15: DC8044 Blackout, мега-витік в СБРФ, інтерв'ю Мухи

00h > Інтро

Привіт! Здорово б почати цей дайджест з добірки тематичного музла, як ми починали минулий . Під музичку адже кльово заходить? Тому пропонуємо вам, друзі, отличнейшую добірку з гучного заходу Blackout, яке днями провів київський чаптер Defcon. Плейлист івенту доступний в Возі , на Ютубі , Санудклауд і навіть Дизер . Респекти Паші за підбір треків, а Легіону за реалізацію на популярних платформах. Ключ на старт, поїхали.

01h > Гаряче

DC8044 провели великий контентний івент в Києві. Ком'юніті розрослося майже під тисячу осіб і формат митапов став трохи затісний. Коротше. Програма була такою , фотки з заходу можна подивитися тут , а видосов не буде, бо київський Дефкон принципово їх не записує і не стрім. Доповіді були вогненні: спеціально виділити якийсь один досить важко.

Розповідали про атаки на віндовс системи з оркестрацией через CobaltStrike. Відламували ліцензію від популярного текстового редактора (саблайм) з лікнепом про те, як писати кейгены, і подальшим пулянием власне кейгена в паблік . Було кілька топових багхантеров з годнейшими доповідями по своїм темами. Запам'ятався також неймовірно якісний спіч з бойового OSINT з живими прикладами і лулзами. Яскраво зайшли теми оффенсив використання .NET, Android апсек, ретельний і «по поличках» доповідь по сек'юріті код рев'ю.

На вулиці розмістилася арт-зона, де один з кращих графіті-художників Європи показував майстер-клас і круто забомбив площину під стиль івенту: результати його роботи є в інсте . Душевно пройшли два квесту, від chM00D Team і від хлопців з компанії Hacken . Порадував LockF#ck віладж, де можна було курочіть сейфи і попячить різного роду замки, в т. ч. сувальдні. На демозоне від Integrity Vision кожному пропонувалося потикати CheckPoint фаєрволл і подивитися, як він детектит малварь.

Був реально фановий андерграунд движ, великий натовп народу з різних міст і країн, прикладної і корисний контент, атмосферне нетворкінг, смачна піца, і все це — безкоштовно. Організатори анонсували щорічний Blackout і хочуть зібрати близько семисот осіб на аналогічному івенті в наступному році, залишаючись поза комерції і зберігаючи концепцію безкоштовних івентів для всіх відвідувачів.

Не відстають хлопці зі Львова-сіті, і просто коли ви читаєте ці рядки, відбувається щорічна конференція з апсеку, OWASP Ukraine .

Жесть який гарячою новиною виявилася історія про витік клієнтських даних з Ощадбанку РФ, який, як відомо, вкладає десятки мільйонів доларів у свою кібербезпеку. Дослідники аналізували інформацію про продаж клієнтської бази Ощад в 60 мільйонів записів, вброшенную на одному з форумів, і чекали у продавців інші дані з цієї бази на валід (до речі, успішно). У той же час в самому Ощад поки що підтвердили лише масив з двохсот банківських карт з клієнтськими даними (який додається селлерами як пруфа) і нарікають на інсайдера. Як би там не було витрачено.

Почекайте, трохи не забув. Щорічна київська general-конф з кібербезпеки, UISGCON, оголосила CFP . Сама конф анонсована на шосте грудня, так що є привід зібратися знову. Може навіть заспикать? Про що це я.

Тут ще новий формат підвезли: антикон . Безпека з людським обличчям, — такий слоган я б запив. Атмосфера обіцяє бути лампової, приблизно півтора проміле.

Той самий випадок, коли народжується якісний контент: у квітні вийшов перший (після пілотного) випуск Academic Security подкасту. А за вересень і жовтень вийшло ще чотири епізоди. Рекомендуємо підписуватися, внизу є кнопы, щоб перемикатися між випусками.

02h > Близько сек'юріті

Ви ще не читаєте Кробера? Цей яскравий представник цифрового андерграунду пиляє досить чадний контент. Окремої уваги заслуговує нещодавно опубліковане інтерв'ю з Мухою, який відсидів термін за кардинг. Сам Муха (в миру — Серьога) є досить відомим персонажем, навіть Кребс про . Загалом, enjoy cybercrime.

Киберкопы у справі, а непохеки їх Харкова мабуть сядуть на пляшку . Це вам якийсь контраст кардерського романтиці з попереднього поста з інтерв'ю.

ProZorro до речі похекали, не в курсі? Да ладно, мова про їхній гучний вихід на багбаунти. Движ був результативним і азартним, є фотографії , презентації і видос .

Рекомендуємо до перегляду документальний серіал «Холівар» авторства Андрія Лошака, про становлення Інету на пострадянському просторі. Дуже здорово вийшло, вийшло вже п'ять епізодів. Перший тут , другий там , решта мабуть, і самі знайдете.

Амбасадор DC8044 спиратили для вас гучну книгу Данила Туровського «Вторгнення. Коротка історія російських хакерів» і виклали її в прийнятному для читання якості (pdf). Скачати можна тут . Ой, з цього приводу ржака вийшла, вимагає окремої розповіді: подробиці і лулзы у Кробера .

Не так давно, до речі, трошки поторкали Оранту. Що з цього вийшло і яким буває IDOR (insecure direct object references), дослідник розповів в цій статті .

Чули про СОРМ? А про Nokia? Витік і ... Pen Pineapple Apple Pen .

Коти пустелі і Служба держбезпеки Узбекистану. Здавалося б, у чому зв'язок? Але вона є. Просто регай домени на свої військові бази і лей самописную малварь на Виртотал: рецепт успіху від узбецьких хекеров, від плову до АРТ.

03h > Цікаве

Отсниффать блютуз вам допоможе ось ця програмка.

Непогана для початківців стаття з аналізу загроз, що реалізуються через PowerShell.

Пентестишь хардварь? Тобі цілком може зайти такий ось гайд . Поки вийшла тільки перша частина і є надія побачити другу.

Матеріал від дослідника, відомого під ніком prsecurity, про власний досвід створення red team команди.

Читшит на тему MitM може навіть виявитися комусь корисним .

Кажуть, накрили KV Solutions і КиберБункер . Булетпруф хостингів таким чином різко поменшало.

А ви вже дивилися доповіді з BlackHat USA? Видосы лежать тут .

Від CheckPoint вийшов об'ємний рисорч та меппінг по екосистемі російських АРТ угруповань і використовуваного ними інструментарію. Хороше, якісне дослідження.

04h > Уразливості && Експлоїти

Від скули до RCE: короткий, але цікавий howto від Efren Diaz.

Зиродей від команди Project Zero: під загрозою багато девайси на платформі Android. Перший і другий Пікселі теж в зоні ризику і чекають апдейтів. Подробиці .

RCE уразливість в популярній платформі для створення форумів, vBulletin активно експлуатується і наробила багато шуму. До речі, ось корисна програмка для пошуку вразливих до CVE-2019-16759 ресурсів.

Анонім Telegram? Ти не поставив юзернейм, не пишеш своє справжнє ім'я. Щоправда, номер твого телефону легко дізнатися, чи варто тобі щось написати. А хлопці з однієї політичної організації поставили деанон буквально на потік.

Непогана стаття на Хабре по МакОсь і сусідський вайфай.

Незалежний ресерчер з ніком Awakened повідомив про виявлення в месенджері WhatsApp уразливості, яка дозволяє повністю скомпрометувати листування на віддаленому пристрої. Для реалізації RCE жертві пересилається заряджений .gif файл, уразливі версії програми, що працюють на Android 8.1 і Android 9. Розбір польотів туточки .

Перевірена колекція сплойтов під Linux kernel.

05h > Фан

Історія однієї атаки.

У Стиме ігруха релизнулась , типу протистояння ред тім і блу тім. Грали, хтось хвалить.

Заліпуха на тему Fallout 3 дозволяє відчути себе у ролі зломщика терміналів.

Підписуйтесь на канал DC8044 у возі, закидайте годноту в предложку .

06h > Аутро

До нових зустрічей, славний ктобытынибыл. І будь здоровий!

P. S.: плейлист все-таки кльовий, ага?)

? Попередній випуск: Information Security дайджест #14 .

Опубліковано: 05/10/19 @ 12:00
Розділ Безпека Інтерв'ю

SEO Блог