Что угрожает вашему сайту после установки онлайн-консультанта и как мы с этим боремся
Разрабатываемые нами сервисы — онлайн-консультант RedHelper и обратный звонок RedConnect работают с личными данными посетителей, и потому требуют очень тщательного подхода к безопасности как клиентской части виджета, так и к серверной. В этой статье мы немного расскажем о том, какие типы угроз...
Security Week 23: украли все пароли, невзлом TeamViewer, Lenovo просит удалить уязвимую утилиту
Тема паролей не отпускает. К недавним утечкам из LinkedIn добавились новые сливы из Вконтакта, Twitter, Tumblr и MySpace. У Марка Цукерберга взломали Твиттер и Пинтерест, выяснилось что пароль был «dadada», и это конечно эпик фейл. Действительно, "астрологи объявили месяц утечек". Отчасти это может...
[Из песочницы] Расследование: куда ваш сайт редиректит пользователей, а вы об этом даже не подозреваете
Добрый день! Меня зовут Максим и я директор по продуктам. Эта история началась с того, что однажды я зашел с мобильного телефона на наш сайт и, к своему большому удивлению, был перенаправлен на сайт какой-то интернет-рулетки. Попробовал зайти еще раз – проблема не повторяется, подумал что глюк....
[Из песочницы] Где взять логины или VoIP в помощь
Тестирование на проникновение всегда начинается со сбора информации об инфраструктуре. Доступные узлы с открытыми портами и уязвимыми сервисами, валидные учетные данные и другая информация, позволяющая «продвинуться» и скомпрометировать инфраструктуру интересна в первую очередь. При проведении...
[Перевод] Опасайтесь онлайн-счетов с шифровальщиком: недавно обнаруженная угроза уже проявилась в разных странах
Всего несколько дней назад мы получили уведомление от испанской электроэнергетической компании Endesa, в котором нас предупредили о новом онлайн-мошенничестве, поражающем жертвы с помощью поддельных электронных писем. Кибер-преступники отправляли ложные счета испанским пользователям якобы от имени...
Хакер продает базу данных с 32 миллионами учетных записей Twitter
По сообщению издания The Hacker News, неизвестный хакер продает учетные записи более чем 32 миллионов пользователей Twitter — цена архива составляет 10 биткоинов (больше $5800 по текущему курсу). Читать дальше →...
[Из песочницы] Уязвимость в FindFace позволяющая получить id пользователя без оплаты
Уже всем достаточно хорошо известен сервис FindFace для поиска пользователя контактика по фотографии. С недавнего времени в системе было введено условие, при котором получить ссылку на профиль можно было только заплатив денежку. Под катом небольшой хак для снятия этого ограничения и немного о том,...
Лаборатория тестирования на проникновение v.9: нет ничего невозможного
20 мая 2016 г. была запущена очередная, девятая по счету лаборатория тестирования на проникновение «Test lab v.9», которая представляет собой виртуальную компанию «CyBear 32C», занимающуюся разработкой различных систем и приложений, в том числе систем обеспечения ИБ. 11 дней потребовалось...
Facebook Messenger был уязвим к атаке, требующей базовые знания HTML
Команда специалистов Check Point security обнаружила в стандартном функционале Facebook, а так же в Facebook Messenger, уязвимость, которая позволяла получить доступ к любым отправленным через социальную сеть сообщениям пользователей. Конкретно эксплоит позволял кому угодно получить доступ к...
Создаем безопасный IP мессенджер с помощью Virgil и Twilio за 30 минут
Привет! Мы уже показывали вам код, с помощью которого можно легко и просто реализовать end-to-end шифрование. Давайте пойдем дальше и, используя сервисы Virgil Security, разработаем безопасный IP мессенджер. Реализация безопасного IP мессенджера со встроенной функцией шифрования – задача далеко не...
1С: Битрикс, защита произвольных форм от спама
Модуль Антиспам без CAPTCHA от CleanTalk для 1С: Битрикс позволяет, кроме защиты описанных форм, легко сделать защиту любой формы. Методы модуля были написаны специально с учётом возможного расширения функционала. Здесь я приведу пример, как это сделать. Читать дальше →...
Lazarus: Кто стоит за атаками на систему банковских переводов SWIFT
Межбанковская система SWIFT испытывает не лучшие времена. В феврале 2016 года, из-за несовершенства SWIFT, хакерам удалось вывести из Центробанка Бангладеш $81 млн — мы писали об этой истории. Впоследствии выяснилось, что это не единственный случай взлома SWIFT. Жертвой злоумышленников еще в январе...
Asus автоматически обновляет BIOS/UEFI по HTTP без верификации
Asus снова взялся за старое. Вы можете отправить любой исполняемый файл или даже прошивку BIOS на компьютер Asus под видом обновления — этот файл будет автоматически запущен на исполнение с максимальными привилегиями, а прошивка установлена, без каких-либо проверок. Ничего не нужно предпринимать —...
Взлом вконтакте: украдены данные 171 миллиона пользователей
Издание Motherboard сообщило, что хакер по прозвищу Peace осуществил взлом популярной российской социальной сети, после чего разместил украденные данные на продажу. По сообщению представителей соцсети — взлома не было, речь идет о старой базе, которую хакеры собирали в 2011–2012 годах. Читать...
[Перевод] Как настроить двухфакторную аутентификацию для логина и sudo
Безопасность в моде, как это и должно быть. Мы живем в мире, где данные — невероятно ценная валюта, которую вы всегда рискуете потерять. Поэтому вы должны сделать все, чтобы убедиться, что то, что вы держите на серверах и десктопах — в безопасности. Для этого администраторы и пользователи создают...
Security Week 22: Microsoft против паролей, судебные неувязки с Tor, криптолокер атакует клиентов Amazon
Google хоронит пароли, а Microsoft — нет. Напомню, в предыдущем выпуске я рассказал про светлое будущее в виде проекта Google Abacus — спорную, но весьма прогрессивную систему идентификации пользователя по его поведению (aka я помню все твои трещинки). Почти одновременно к беседе о паролях...
[Перевод] Укол на миллиард долларов: худшие кошмары банков
Многие годы кибер-преступники фокусируют свое внимание на деньгах, в первую очередь, направляя свои усилия на финансовые системы. Более десяти лет они были главным образом ориентированы на самое слабое звено в этой цепочке – конечного потребителя, который использует онлайновые банковские сервисы....
PHD VI: как у нас угнали дрона
В этом году на PHDays был представлен новый конкурс, где любой желающий мог перехватить управление квадрокоптером Syma X5C. Производители часто полагают, что если они используют не IP-технологии, а какой-нибудь другой беспроводной стандарт, то можно не думать о защищенности. Как будто хакеры махнут...