BLASTPASS – czyli aktywny exploit wykorzystywany przez Pegasusa. Do infekcji nie potrzebna jest interakcja ofiary.

Citizen Lab dostarcza właśnie kilka szczegółów dotyczących działania exploitu, którego udało się namierzyć w wyniku przechwycenia realnych ataków na iPhone-y. Okazuje się że do ofiary wystarczy wysłać za pośrednictwem iMessage załączniki, zawierające odpowiednio spreparowane obrazki. Dalej już wszystko dzieje się automatycznie – telefon procesuje obrazki, a samo procesowanie powoduje wykonanie...

#WBiegu #0Day #Iphone #Pegasus

https://sekurak.pl/blastpass-czyli-aktywny-exploit-wykorzystywany-przez-pegasusa-do-infekcji-nie-potrzebna-jest-interakcja-ofiary/

Apple łata dwa 0daye wykorzystywane w atakach na iPhone-y. Złośliwym obrazkiem można przejąć telefon

Nowa wersja iOS 16.6.1 przynosi łatki zaledwie dwóch błędów, z czego jeden wygląda dość groźnie – odpowiednio spreparowanym obrazkiem można wykonać dowolny kod na telefonie ofiary: Impact: Processing a maliciously crafted image may lead to arbitrary code execution. Apple is aware of a report that this issue may have been...

#WBiegu #0Day #Iphone #Rce

https://sekurak.pl/apple-lata-dwa-0daye-wykorzystywane-w-atakach-na-iphone-y-zlosliwym-obrazkiem-mozna-przejac-telefon/

Nie daj się cyberzbójom v4 – zapraszamy na zupełnie nową, bezpłatną edycję o cyberzagrożeniach w sieci (całkowicie nowy materiał)

Do tej pory odbyły się dwie edycje tego szkolenia. Czas na kolejną, z zupełnie nowym materiałem. Agenda: Kiedy? Gdzie? Kto prowadzi szkolenie? Michał Sajdak, założyciel sekuraka. Certyfikowany Etyczny Hacker :) Wysoko oceniany prelegent na licznych konferencjach branżowych.  Wybrane opinie o poprzedniej edycji szkolenia: nie daj się cyberzbójom!

#WBiegu

https://sekurak.pl/nie-daj-sie-cyberzbojom-v4-zapraszamy-na-zupelnie-nowa-bezplatna-edycje-o-cyberzagrozeniach-w-sieci-calkowicie-nowy-material/

Rekrutujemy w Sekuraku/Securitum. Tym razem na stanowisko wsparcie helpdesk + możliwość wyszkolenia się na pentestera

Na tym stanowisku posiadamy już jedną osobę, ale cały czas mocno się rozwijamy i potrzebujemy dodatkowego wsparcia. Charakterystyka stanowiska / wymagania– umiejętność rozwiązywania podstawowych problemów technicznych – helpdesk– konfiguracja i rozwiązywanie problemów w desktopowych systemach Windows, MacOS, Linux– podstawy znajomości zagadnień sieciowych– praca stacjonarna w biurze w Krakowie / full...

#WBiegu #Praca

https://sekurak.pl/rekrutujemy-w-sekuraku-securitum-tym-razem-na-stanowisko-wsparcie-helpdesk-mozliwosc-wyszkolenia-sie-na-pentestera/

MSHP Express #3 – Krzysztof Wosiński i OSINT

Krzysztof Wosiński, wraz z… ciekawym gościem, zapraszają Was na październikowe Mega Sekurak Hacking Party. Będzie o OSINT i będzie ciekawie :-) Przypominamy, że bilety można zamawiać pod tym adresem: https://sklep.securitum.pl/mshp-krakow-onsite Dostajemy też sporo pytań o możliwość kupienia nowej książki sekuraka – Wprowadzenie do Bezpieczeństwa IT – wraz z odbiorem osobistym...

#WBiegu #Hackingparty #Mshp #OSINT #Seint

https://sekurak.pl/mshp-express-3-krzysztof-wosinski-i-osint/

CERT Polska spacyfikował ogromną kampanię phishingową. A dokładniej – przeszło 200 kampanii. Prawie 70 000 wykradzionych loginów/haseł do skrzynek pocztowych.

O akcji pochwalił się na Twitterze Iksie CERT Polska: Jak widzicie, w pewien sposób udało się ekhem… pozyskać dane 68 tys. danych uwierzytelniających do skrzynek pocztowych. Baza jest już zaimportowana do serwisu https://haveibeenpwned.com/ więc warto zrobić rutynowe sprawdzenie na swoim mailu… Nieco więcej detali podaje Troy Hunt. Kampanie zaczynały się...

#WBiegu #Awareness #Phishing

https://sekurak.pl/cert-polska-spacyfikowal-ogromna-kampanie-phishingowa-a-dokladniej-przeszlo-200-kampanii-prawie-70-000-wykradzionych-loginow-hasel-do-skrzynek-pocztowych/

Krytyczna podatność w 7zip – spreparowanym archiwum można wykonać kod na komputerze ofiary.

Warto spojrzeć na opis tutaj: This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of SQFS...

#WBiegu #7Zip #Exploit #Podatnosć

https://sekurak.pl/krytyczna-podatnosc-w-7zip-spreparowanym-archiwum-mozna-wykonac-kod-na-komputerze-ofiary/

0day w WinRAR był exploitowany od kilku miesięcy – m.in. za pomocą odpowiednio spreparowanego pliku zip

Informacja o podatności CVE-2023-38831 gruchnęła już dobrych kilka dni temu. Luka (luki) jest obecnie załatana, ale pokazały się informację o aktywnej tej eksploitacji podatności jako 0day – i to od kwietnia 2023. Na celowniku były m.in. komputery / konta osób handlujących kryptowalutami. Cały trick polegał na stworzeniu archiwum (np. zip),...

#WBiegu #0Day #Exploit #Winrar

https://sekurak.pl/0day-w-winrar-byl-exploitowany-od-kilku-miesiecy-m-in-za-pomoca-odpowiednio-spreparowanego-pliku-zip/

MSHP Express #2 – Gynvael Coldwind i Wojska Obrony Cyberprzestrzeni!

Zapraszamy Was na kolejną porcję nowinek dotyczących zbliżającego się szybki krokami – Mega Sekurak Hacking Party. Tym razem posłuchajcie co ciekawego zaprezentuje na imprezie Gynvael Coldwind :-) Dodatkowo chcemy się pochwalić, że w Krakowie (19.10.2023) będą z nami również ludzie z Wojsk Obrony Cyberprzestrzeni. Możecie się spodziewać wielu niespodzianek, konkursów...

#WBiegu #Gynvael #Hackingparty #Mshp

https://sekurak.pl/mshp-express-2-gynvael-coldwind-i-wojska-obrony-cyberprzestrzeni/

MSHP Express – Twoje cotygodniowe wiadomości o Mega Sekurak Hacking Party

Zapraszamy Was na pierwszy odcinek MSHP Express. Spodziewajcie się nowych treści w każdą środę 😊 W formie krótkich materiałów video będziemy prezentować naszych prelegentów oraz opowiadać o tym czego możecie się spodziewać na październikowym (19.10.2023) Mega Sekurak Hacking Party! Na pierwszy ogień idzie znany i lubiany Tomek Turba, który opowie...

#WBiegu #Docker #Hakcingparty #Konferencja #Mshp

https://sekurak.pl/mshp-express-twoje-cotygodniowe-wiadomosci-o-mega-sekurak-hacking-party/

Nowa ksiażka sekuraka – Wprowadzenie do bezpieczeństwa IT – już dostępna w przedsprzedaży.

Więcej informacji o książce (w tym dostępne do zakupu pakiety) znajdziecie tutaj: https://ksiazka.sekurak.pl/. Całość to wspólne dzieło 18 autorów-praktyków, znanych w środowisku bezpieczeństwa IT w Polsce. Bonus: do trzech osób, które jako pierwsze napiszą do nas na ca@securitum.pl – wysyłamy (do Polski) po jednym egzemplarzu książki z podpisami (kilku) autorów...

#WBiegu #Książka

https://sekurak.pl/nowa-ksiazka-sekuraka-wprowadzenie-do-bezpieczenstwa-it-juz-dostepna-w-przedsprzedazy/

Mega Sekurak Hacking Party w Krakowie – agenda, hacking depot i… inne niespodzianki 😉

Po kilku latach przerwy wracamy do spotkań on-site! 19 października 2023 zapraszamy wszystkich zainteresowanych tematyką cyberbezpieczeństwa do Centrum Kongresowego ICE w Krakowie. Szykuje się cały dzień MEGA atrakcji nad Wisłą z widokiem na Wawel! 😉 Podczas całego dnia będzie czekała na Was dawka konkretnej, aktualnej wiedzy, większość w formie praktycznych...

#WBiegu #MegaSekurakHackingParty #Mshp
https://sekurak.pl/mega-sekurak-hacking-party-w-krakowie-agenda-hacking-depot-i-inne-niespodzianki-%f0%9f%98%89/

OSINT-owa prognoza pogody – garść narzędzi [OSINT toolbox]

Lato w pełni ;), dużo osób korzysta z jego uroków, żeby wypocząć, więc i ten artykuł będzie w letnim klimacie. Podczas wypoczynku jedną z kluczowych spraw jest pogoda, więc warto zaopatrzyć się w zestaw narzędzi OSINT-owych pomagających przewidzieć jej kaprysy, aby odpowiednio cieszyć się wolnym czasem. Poniżej znajdziecie kilka propozycji...

#WBiegu #OSINT
https://sekurak.pl/osint-owa-prognoza-pogody-osint-toolbox/

Od początku sierpnia 2023 CERT Polska może nadawać numery CVE.

Każdy kto miał do czynienia z technicznym bezpieczeństwem IT na pewno spotkał się z pojęciem CVE. Popularnie rzecz ujmując, jest to baza zawierająca publicznie znane podatności, które można wyszukiwać np. tutaj. Tymczasem CERT Polska ogłosił na swoich stronach: Od początku sierpnia CERT Polska jako jedyna instytucja w kraju i jeden...

#WBiegu #Cert #Cve
https://sekurak.pl/od-poczatku-sierpnia-2023-cert-polska-moze-nadawac-numery-cve/

Malware na stronie NBP? Nie, to false positive…

Jeden z czytelników zapytał nas o taki temat. Sam adres poniżej wygląda dość podejrzanie, kod JS z kolei jest mocno obfuskowany. Pierwsza myśl, która przychodzi to: malware. Kod uruchamiany jest np. tutaj: Co więcej, na obecną chwilę ESET flaguje niepoprawnie tę stronę jako malware: Wszystko na to jednak wskazuje, że...

#WBiegu #Ciekawoski #Js #Nbp
https://sekurak.pl/malware-na-stronie-nbp-nie-to-false-positive/

Hackerskie sztuczki z Gynvaelem! Czyli jak wygrywać zawody CTF? Zapraszamy na bezpłatne szkolenie.

TLDR: zapisy / szczegóły dostępne są tutaj. Na majowym Mega Sekurak Hacking Party, odbyła się prelekcja „Jak wygrywać CTFy” przygotowana przez Gynvaela Coldwinda. Wykład otrzymał maksymalną ocenę 5.0 za poziom merytoryczny od głosujących! Za jedyny minus wszyscy zgodnie uznali, że było… za krótko! 😊 Zgodnie z Waszymi sugestiami, z przyjemnością...

#WBiegu #Ctf #Gynvael #Szkolenia
https://sekurak.pl/hackerskie-sztuczki-z-gynvaelem-czyli-jak-wygrywac-zawody-ctf-zapraszamy-na-bezplatne-szkolenie/

Klonowali dowody osobiste i brali pożyczki na dane ofiar (w sumie > 100 000 zł)

Jak donosi stołeczna policja: Ich wspólne działania doprowadziły do niekorzystnego rozporządzenia mieniem przez banki i firmy pożyczkowe, które na podstawie złożonych przez małżeństwo za pośrednictwem Internetu rachunków i wniosków udzielały im pożyczek, a także umożliwiały ratalny zakup różnego rodzaju sprzętu. Podejrzani w swojej przestępczej działalności wykorzystywali dane różnych osób. Nie...

#WBiegu #Awareness #Oszustwo
https://sekurak.pl/klonowali-dowody-osobiste-i-brali-pozyczki-na-dane-ofiar-w-sumie-100-000-zl/

Ciekawa podatność w pluginie do płatności WooCommerce – można jednym nagłówkiem utworzyć nowego admina w WordPress

Podatność w pluginie WooCommerce payments (obecnie ~600k instalacji) została parę miesięcy temu, ale teraz pokazała się ciekawa analiza luki, ponoć podatność też jest obecnie aktywnie wykorzystywana. Dobra informacja jest taka, że producent wydał łatkę z wymuszeniem jej instalacji. Warto sprawdzić czy jesteśmy załatani, bo exploit jest naprawdę prosty i wygląda...

#WBiegu #Websec #Wordpress
https://sekurak.pl/ciekawa-podatnosc-w-pluginie-do-platnosci-woocommerce-mozna-jednym-naglowkiem-utworzyc-nowego-admina-w-wordpress/

Złam sekurakowe hasła, wygraj klucz Yubikey 5 NFC

Krótki wakacyjny konkurs :-) PS10 złamanych hashy to już bardzo dobry wynik :-) Osoby, które złamią 6 lub więcej hashy dostaną od nas małą nagrodę pocieszenia. ~ms

#WBiegu
https://sekurak.pl/zlam-sekurakowe-hasla-wygraj-klucz-yubikey-5-nfc/

Nowa krytyczna podatność w Fortigate (precyzyjniej: FortiOS/FortiProxy). Łatajcie się.

Tym razem mamy podatność klasy buffer overflow, która może być wykorzystana bez uwierzytelnienia / zdalnie: FortiOS/FortiProxy – Proxy mode with deep inspection – Stack-based buffer overflow Po tym krótkim opisie mniej więcej widać gdzie jest problem. Atakujący wysyła odpowiednią (złośliwą) komunikację, jest ona analizowana przez urządzenie, co powoduje… wykonanie kodu...

#WBiegu #BufferOverflow
https://sekurak.pl/nowa-krytyczna-podatnosc-w-fortigate-precyzyjniej-fortios-fortiproxy-latajcie-sie/