Телеграм канал Новости кибербезопасности
Новости из мира Кибербезопасности на русском
Наш чат: https://telegram.im/joinchat/AzYFAwy1FzE2LTPCkxNftw
Поделиться с друзьями:
статистика поднять канал
О чём пишут в канале @CyberSecurityNewsRUS
Прикольное дело. Именно прикольное. Особенно прикольно, что именно вторая инстанция приняла решение в пользу ВКонтакте. Если решение не будет отменено, то это решение создает запретительную судебную практику для проектов в области Big Data.
В Москве Девятый арбитражный апелляционный суд удовлетворил требования социальной сети «ВКонтакте» касательно запрета на использование данных ее пользователей. Ответчиком по делу выступила компания ООО «Дабл» (работает под брендом Double Data). «ВКонтакте» п...
http://ift.tt/2E1ePhM
2018-01-30 21:13:19
ИБ-специалисты британской компании Netcraft обнаружили более 400 фишинговых сайтов в папках /.well—known/ на веб-серверах по всему миру. Этот каталог — часть унифицированного идентификатора ресурса (URI), при помощи которого пользователи или приложения получают информацию о сайте. Директория с таким названием создается набором программ ACME (Automatic Certificate Management Environment), который предназначен для автоматической генерации и установки SSL-сертификатов.Проще говоря, мошеннические ресурсы размещаются в служебных папках «безопасных» сайтов, которые используют защищенное HTTPS-соединение. Фишинговые страницы обнаружены в подкаталогах /.well-known/acme-challenge/ и /.well-known/pki-validation/, предназначенных для хранения идентификационных ключей ACME.Такие папки существуют на миллионах сайтов, однако многие веб-администраторы даже не подозревают об их наличии, так как директории создаются автоматически в момент выдачи SSL-сертификата.Папка /.well-known/ по умолчанию скрыта и не отображается при помощи команды ls, применяемой в Unix-системах для вывода списка каталогов. Это создает дополнительные трудности в поиске нелегально размещенных страниц.ACME используют многие популярные сертификационные центры, такие как cPanel и Let’s Encrypt. Фишинговые страницы, размещенные на скомпрометированных ресурсах, представляют серьезную опасность, так как прикрываются надежным SSL-сертификатом. Этот способ маскировки мошенники применяют нечасто. Не менее четверти фишинговых сайтов размещаются на HTTPS-доменах, однако обычно злоумышленники используют поддельные сертификаты.Публичные хостинг-платформы особенно уязвимы для таких атак, так как автоматически предоставляют широкие права доступа к папке /.well-known/. Сторонние веб-сервисы могут создавать в ней новые файлы, что позволяет массово размещать там нелегальные ресурсы. Подтверждением этой гипотезы служит тот факт, что на некоторых серверах фишинговые сайты обнаружены в папках разных доменов.Несмотря на то что /.well-known/ содержит несколько подкаталогов, нелегальные страницы обнаружены только в acme-challenge/ и pki-validation/. Каким образом злоумышленники размещают свое содержимое на скомпрометированные сайты, пока неизвестно.
http://ift.tt/2DNa8Jb
2018-01-30 19:42:09
Lenovo пропатчила уязвимость с зашитым в код паролем в ноутбуках серий ThinkPad, ThinkCentre и ThinkStation. Брешь присутствует в более чем 20 моделях ноутбуков компании с установленными ОС Microsoft Windows 7, 8 и 8.1.Lenovo раскрыла подробности бага в четверг и попутно представила к нему патч.«Конфиденциальные данные, хранимые приложением Lenovo Fingerprint Manager Pro версии 8.01.86 и более ранних, включающие учетные данные для входа в Windows и сведения об отпечатках пальцев, зашифрованы с применением ненадежного алгоритма и заданного в коде пароля. Доступ к данным могут получить любые локальные пользователи без прав администратора с доступом к системе, где установлено приложение», — гласит описание уязвимости, получившей идентификатор CVE-2017-3762.Как сообщают в Lenovo, брешь обнаружил старший консультант по вопросам безопасности в Security Compass Джексон Тюрайсами (Jackson Thuraisamy).Проблема устранена в Lenovo Fingerprint Manager Pro версии 8.01.87 и более поздних. Ноутбуки Lenovo с Windows 10 не пострадали от уязвимости, поскольку в этой версии операционной системы есть встроенная поддержка технологии считывания отпечатков пальцев.Производитель призывает владельцев следующих моделей ноутбуков обновить Lenovo Fingerprint Manager Pro до версии 8.01.87 или более поздней:ThinkPad L560ThinkPad P40 Yoga, P50sThinkPad T440, T440p, T440s, T450, T450s, T460, T540p, T550, T560ThinkPad W540, W541, W550sThinkPad X1 Carbon (Type 20A7, 20A8), X1 Carbon (Type 20BS, 20BT)ThinkPad X240, X240s, X250, X260ThinkPad Yoga 14 (20FY), Yoga 460ThinkCentre M73, M73z, M78, M79, M83, M93, M93p, M93zThinkStation E32, P300, P500, P700, P900.
http://ift.tt/2DQ3D8J
2018-01-30 19:32:58
Пользователь Habrahabr взломал базу Федеральной службы по надзору в сфере образования и науки (Рособрнадзор) и получил доступ к персональным данным 14 миллионов россиян.Хотя уязвимость устранили в течение часов после публикации, многие комментаторы осудили автора статьи, который обнародовал информацию, не сообщив ведомству об уязвимости.Взломать сайт Рособрнадзора удалось с помощью SQL-инъекции. В распоряжении автора оказался огромный массив данных объемом 5 ГБайт:Список 14 миллионов граждан РФ с высшим образованием.Таблица дипломов, где помимо их серий и номеров были СНИЛС, ИНН и паспортные данные держателей.Реестр пользователей системы, включавший более 1300 логинов и хэшей паролей.Информация о почти 3400 учебных заведениях — их руководителях, e-mail, телефонах, номерах лицензий.Автор отметил, что, несмотря на продолжительную загрузку, администраторы ведомства не смогли помешать процессу.Вскоре после того как пользователь опубликовал свой пост, сайт Рособрнадзора ушел в оффлайн на несколько часов. Когда ресурс возобновил работу, уязвимость уже устранили.Под постом развернулась обширная дискуссия, где автора не раз обвинили в недобросовестных действиях. Традиционная практика этичных хакеров состоит в том, чтобы заранее сообщать разработчикам об уязвимости, а в открытый доступ информацию выкладывать не раньше чем через три месяца.Текст статьи включает множество технических данных, включая наименование базы данных, которую удалось взломать. Этот же продукт с открытым кодом используют многие другие государственные ведомства, а следовательно, злоумышленники могут использовать описанный метод для их взлома.В свое оправдание автор статьи вспомнил историю Дениса Казьмина, Юрия Путина и Павла Андрюшина, которые в 2016 году научились подделывать билеты на подмосковные электрички. «Центральная пригородная пассажирская компания», ГУП «Мосгортранс» и производитель билетов «Микротех» обвинили их в мошенничестве и заявили об ущербе в 2 миллиона рублей. Следственные органы предъявили хакерам обвинение в причинении имущественного ущерба (ст. 165 УК РФ), неправомерном доступе к компьютерной информации (ст. 272 УК РФ), создании и использовании вредоносных компьютерных программ (ст. 273 УК РФ).В январе этого года в защиту Казьмина, Путина и Андрюшина анонимно выступила группа специалистов по ИБ Che Burashka. Они опубликовали на Habrahabr описание уязвимости и заявили, что в действиях хакеров не было корыстного умысла. В сентябре 2017 года Останкинский районный суд нашел в деле «неустранимые нарушения», и обвиняемые избежали наказания.В 2016 году началось другое разбирательство с этичным хакингом в транспортной сфере. Разработчик Игорь Шевцов обнаружил уязвимость карты «Тройка», которая позволяла бесплатно пользоваться общественным транспортом. Представители Московского метрополитена связались с автором исследования и устранили ошибку, не предъявляя ему претензий. Тем не менее, Ишимский городской суд Тюменской области посчитал общественно опасной публикацию информации о способах подделки билетов и постановил закрыть доступ к статье Шевцова.
http://ift.tt/2npJuLu
2018-01-30 19:13:28
В распоряжении Devumi находится порядка 3,5 млн учетных записей в различных соцсетях.
http://ift.tt/2GubBBQ
2018-01-30 18:08:12
image
Родительница Гугла, Alphabet объявила о выпуске новой службы Cybersecurity Chronicle, которая разрабатывает платформу для разведки и аналитики, чтобы помочь компаниям лучше управлять и анализировать данные кибербезопасности. Мать Google обьявила об этом в среду и уточнила, что новая платформа будет независимой в сфере сайберсекьюрити. Имя ей,- «Хроника». «Хроника», разработанная в 2016 году на фабрике веб-гиганта X moonshot, «призвана помогать компаниям фиксировать и блокировать кибератаки, прежде чем они нанесут вред», — пишет в своем блоге генеральный директор компании Стивен Гиллетт, бывший исполнительный директор Symantec. Читать дальше →Media
http://ift.tt/2DN21wq
2018-01-30 17:54:20
image
Да, я сейчас опубликую способ угона любого сайта с помощью Яндекса за 5 минут без никаких знаний. Да, к сожалению, от этого могут пострадать очень многие владельцы сайтов, но я просто не вижу другого выхода. На данный момент техподдержка Яндекса просто закрывает глаза на проблему. Я не уверен, что о проблеме вообще известно менеджменту и идет ли информация дальше «Платонов» и потому я вынужден опубликовать эту уязвимость чтоб привлечь к ней внимание Яндекса как можно скорее и спасти как можно больше сайтов.
Читать дальше →Media
http://ift.tt/2nqtJ7a
2018-01-30 17:54:19
Пользователи Telegram хотят подать в суд на ФСББолее семи тысяч пользователей популярного мессенджера Telegram согласились судиться с ФСБ в рамках инициативы РосКомСвободы. Причиной иска является требование спецслужбы предоставить информацию для расшифровки переписок пользователей.Media
http://ift.tt/2BDkrK4
2018-01-30 17:52:13
MediaВ мае 2018 года в Европе вступают в силу обновлённые правила обработки персональных данных, установленные Общим регламентом по защите данных (Регламент ЕС 2016/679 от 27 апреля 2016 г. или GDPR — General Data Protection Regulation).
Все компании, которые обрабатывают (как внутри, так и за пределами ЕС) персональные данные граждан европейских стран, обязаны соблюдать требования этого документа. Сфера действия новых правил GDPR распространяется на все 28 стран ЕС. Этот документ заменит существующие законы о защите персональных данных в европейских странах. С учетом того, что новые правила GDPR будут применяться экстерриториально, их соблюдение будет обязательным для российских компаний, имеющих присутствие в ЕС. То есть для любого российского бизнеса, собирающему и обрабатывающему персональные данные хотя бы одного гражданина страны-члена ЕС. Читать дальше →Media
http://ift.tt/2DNvMct
2018-01-30 17:24:35