Новостник Кибербеза
8.01K subscribers
3.16K photos
11 videos
3 files
15.2K links
Новости мира кибербезопасности и информационной безопасности

#ITновости #новости #кибербез #иб

Наши каналы - @LifeHackmedia

По всем вопросам: @adm1nLH

Купить рекламу: https://telega.in/c/Novostnik
Download Telegram
Вектор кросс-кеш атаки SLUBStick затрагивает актуальные версии ядра Linux

#linux #lpe #pentest

SLUBStick — новый вектор кросс-кеш атаки на ядро Linux, позволяющий в 99% случаев конвертировать проблемы памяти в возможность произвольного чтения и записи. Этот метод позволяет злоумышленнику повышать права в системе и выходить за пределы контейнеров.

Специалисты из Грацского технического университета продемонстрировали уязвимость на версиях ядра 5.9 и 6.2, используя девять уязвимостей с CVE-идентификаторами, которые затрагивают 32- и 64-битные системы. SLUBStick обходит современные защиты ядра, такие как SMEP, SMAP и KASLR.

Отчет о механизмах эксплуатации доступен в формате PDF, а технические детали атаки будут представлены на симпозиуме Usenix Security. SLUBStick использует уязвимости типа use-after-free и запись за пределами границ, позволяя злоумышленникам предсказывать и контролировать повторное использование памяти, что значительно повышает эффективность атаки.

LH | Новости | Курсы | Мемы
🤔1
TikTok пренебрегает безопасностью детей и шпионит за ними

#TikTok

Министерство юстиции США и Федеральная торговая комиссия (FTC) подали гражданский иск против TikTok и его материнской компании ByteDance, обвиняя их в нарушении закона COPPA, защищающего конфиденциальность детей в интернете.

По данным иска, компания допустила создание аккаунтов пользователями младше 13 лет без согласия родителей, несмотря на необходимость указывать дату рождения. Это позволяло юным пользователям свободно публиковать контент и взаимодействовать с другими, при этом собиратся их личная информация.

Если виновность будет доказана, TikTok может столкнуться с штрафами до 51 744 долларов за каждое нарушение в день, что в сумме может составить миллиарды долларов. Среди собираемых данных — имена, возраст, электронная почта, телефоны и местоположение детей.

Власти США давно стремятся ограничить влияние TikTok; в апреле президент Байден подписал закон о продаже американских активов компании. Генеральный директор TikTok заявил о намерении оспорить это решение.

Также 26 июля TikTok было выдвинуто обвинение в передаче конфиденциальной информации Китаю. Законодатели утверждают, что TikTok негативно влияет на психическое здоровье подростков. Платформа отвергает все обвинения и уже сталкивалась с штрафами в ЕС и Великобритании.

30 июля Сенат принял законопроект, расширяющий защиту COPPA для подростков до 17 лет, что включает запрет на целевую рекламу для несовершеннолетних и возможность удаления личной информации из соцсетей. По данным правительства, в 2022 году две трети американских подростков пользовались TikTok.

LH | Новости | Курсы | Мемы
🤬2🤡1
Обновление Google Chrome сломало Drag-and-drop из области загрузок

#Chrome

Недавнее обновление Google Chrome нарушило работу функции Drag-and-drop в области «Загрузки», что затруднило перетаскивание скачанных файлов на веб-сайты и в новые вкладки браузера. Ранее эта функция работала корректно, но после обновления версии 127.0.6533.73 пользователи начали сообщать о проблемах с перетаскиванием файлов, хотя Drag-and-drop в другие программы и на рабочий стол работает нормально.

Проблема, связанная с функцией «UIPumpImprovementsWin», возникла после внедрения улучшений производительности и затрагивает версии 127.0.6533.73 и 126.0.6478.185. Google уже отозвала эту функциональность и обещает исправить ошибки в ближайшее время.

LH | Новости | Курсы | Мемы
😁1
400 электродов и безграничные возможности: Neuralink успешно имплантировал второе устройство

#Neuralink #ИлонМаск

Компания Neuralink, основанная Илоном Маском, успешно провела вторую операцию по имплантации своего устройства для парализованных пациентов. Чип позволяет управлять цифровыми устройствами силой мысли и уже помог первому пациенту, Ноланду Арбо, играть в игры, выходить в интернет и управлять курсором.

Второму пациенту, также с травмой спинного мозга, установили 400 электродов, и операция прошла успешно. Маск рассчитывает на возможность имплантировать устройства ещё восьми пациентам в этом году.

Арбо, используя имплант, получил большую независимость, хотя после операции столкнулся с проблемой втягивания проводов, из-за чего уменьшилось количество работающих электродов. Neuralink удалось улучшить функциональность импланта, изменив алгоритм, что позволило Арбо улучшить свой рекорд по скорости управления курсором с помощью мысли даже при ограниченном количестве работающих электродов.

LH | Новости | Курсы | Мемы
😁1
20 000 камер и роутеров Ubiquiti могут раскрыть секреты владельцев

#Ubiquiti #iot

Компания Check Point Research обнаружила серьёзную уязвимость, затрагивающую более 20 000 устройств Ubiquiti, включая популярные Wi-Fi камеры G4 Instant и устройства Cloud Key+. Уязвимость позволяет злоумышленникам получить доступ к личным данным владельцев через защищённые порты, работающие на UDP.

Некоторые устройства уже были взломаны, и на них появились тревожные сообщения. Уязвимые устройства раскрывают разнообразную информацию, включая названия платформ, версии ПО и IP-адреса, что может быть использовано для атак социальной инженерии.

Несмотря на ранее выпущенные патчи, проблема не была полностью решена, и уязвимость использовалась с 2019 года для атак типа DoS. Research показал, что многие устройства по-прежнему доступны и реагируют на поддельные запросы, раскрывая информацию о владельцах, включая их полные имена и адреса.

LH | Новости | Курсы | Мемы
🤔1
CISA протестировала ИИ для защиты госсистем США

#AI #CISA

Министерство внутренней безопасности США (DHS) представило отчет о пилотном проекте, направленном на выявление уязвимостей в критически важных правительственных системах с использованием искусственного интеллекта (ИИ).

В период с конца 2023 года до начала 2024 года агентство CISA провело эксперимент, чтобы оценить, как ИИ может повысить точность и скорость обнаружения уязвимостей по сравнению с традиционными инструментами. В результате тестирования были сделаны следующие выводы:

- ИИ лучше используется для дополнения и улучшения существующих инструментов, чем для их замены.
- Обучение аналитиков новым возможностям ИИ требует значительного времени, а прирост эффективности может быть незначительным.
- Некоторые ИИ-инструменты могут вести себя непредсказуемо, что усложняет устранение неполадок.

CISA продолжит мониторинг и тестирование новых ИИ-инструментов, подтверждая их потенциал для улучшения безопасности критически важных систем.

LH | Новости | Курсы | Мемы
Youtube, Google — В С Ё: интернет-провайдеры уведомляют абонентов о замедлении Youtube до «непозволительных скоростей» и его возможном закрытии.

Так, подмосковный ОНС24, ссылаясь на некое решение правительства, рекомендует искать альтернативные платформы.

LH | Новости | Курсы | Мемы
😁5🤬2👍1
Закон об ИИ вступил в силу: контроль над будущим в руках человечества

#AI

Евросоюз официально ввел в действие первый в мире Закон об ИИ (AI Act), направленный на защиту «фундаментальных прав» граждан 27 стран и поддержку инвестиций в сфере ИИ.

Закон разрабатывался несколько лет и будет применяться не только к крупным американским IT-компаниям, но и к организациям, использующим ИИ. Ограничения разделены на четыре уровня риска:

1. Неприемлемый риск: Полное запрещение приложений, таких как системы социального рейтинга и прогнозирующая полиция.

2. Высокий риск: Требуются адекватные меры минимизации рисков и высокая качество обучающих данных. Примеры: автономные автомобили, медицинские устройства.

3. Ограниченный риск: Требуется прозрачность использования ИИ, например, чат-боты должны уведомлять пользователей. Примеры: чат-боты, системы оценки сотрудников.

4. Минимальный риск: Основные требования безопасности без специальных мер. Примеры: системы рекомендаций, фильтры спама.

Нарушение закона может привести к штрафам до 35 миллионов евро или 7% от мирового дохода компании. Закон вступит в силу не ранее 2026 года, с переходным периодом для существующих систем в 36 месяцев. OpenAI заявила о намерении соблюдать новые правила.

LH | Новости | Курсы | Мемы
👍2🤯2
Российские айтишники участвовали в разработке сети для британских подлодок

Британское Министерство обороны выяснило, что консалтер WM Reply, работающий с Rolls-Royce, использовал программистов из России и Белоруссии для разработки системы, содержащей личные данные экипажей британских атомных подлодок. Информация о разработчиках из Белоруссии появилась в 2020 году, но руководство WM Reply не уведомило заказчика из опасений закрытия проекта.

Бывший министр обороны Бен Уоллес назвал это «подрывом обороноспособности» и отметил, что это не первый случай иностранного вмешательства в цепочки поставок оборонной промышленности Великобритании. Аналитик Марион Мессмер подчеркнула риски передачи данных о местоположении подводных лодок, что может дать стратегическое преимущество потенциальным противникам.

В то же время военный эксперт Дмитрий Корнев считает риски преувеличенными, подчеркивая маловероятность разработки программного обеспечения такого уровня через российские структуры. Он также указал на возможность использования плохо проверенного программного обеспечения в британском флоте, что может представлять угрозу.

LH | Новости | Курсы | Мемы
😎5😱2😁1
Селфи вместо пропуска: как изменится доступ на стадионы НФЛ

#Wicket #НФЛ

Национальная футбольная лига (НФЛ) и все её 32 команды внедряют технологию распознавания лиц Wicket на стадионах для проверки личности сотрудников, представителей СМИ и болельщиков. Эта мера направлена на усиление безопасности доступа к стадионам.

Система Wicket будет использоваться с предсезонного периода 8 августа. Держатели удостоверений делают селфи, которое сканируется и сверяется с базой данных для подтверждения личности.

Программное обеспечение Accredit Solutions проверяет права доступа. Это повышает ответственность, давая НФЛ точное понимание, кто имеет доступ к матчам и их уровням.

Другие лиги, такие как NBA, MLB, MLS и NHL, также используют Wicket. Однако Electronic Frontier Foundation (EFF) предупреждает о рисках, таких как ложные обвинения и расовая дискриминация, подчеркивая необходимость мер предосторожности.

LH | Новости | Курсы | Мемы
3🤬1
Хакер сумел стереть данные с 13 тыс. ученических iPad и Chromebook, взломав Mobile Guardian — образовательного партнера Google — BleepingComputer

#cybersecurity #edtech

LH | Новости | Курсы | Мемы
🤯3
Ваш Android под ударом: CVE-2024-36971 активно используется злоумышленниками

#Android #cve

В августе 2024 года разработчики Android выпустили обновления безопасности, устранившие 46 проблем, включая серьёзную уязвимость CVE-2024-36971. Эта уязвимость представляет собой ошибку использования памяти после её освобождения (Use-After-Free) и использовалась в целенаправленных атаках. Для эксплуатации требуется системные привилегии.

Google заявляет о признаках ограниченной эксплуатации уязвимости, позволяющей выполнять произвольный код без взаимодействия с пользователем на неподдерживаемых устройствах. Исходные коды исправлений будут опубликованы в репозитории AOSP в течение 48 часов. Все партнёры Android получили уведомления о проблемах как минимум за месяц до публикации обновлений.

Августовские обновления безопасности включают два набора патчей: 2024-08-01 и 2024-08-05. Последний также закрывает критическую уязвимость CVE-2024-23350 в компоненте Qualcomm.

LH | Новости | Курсы | Мемы
👍1
Электронное письмо стоило компании $41 миллион

#phishing #Interpol

Интерпол сообщил о конфискации более $41 миллиона, похищенных у сингапурской сырьевой компании в результате мошенничества с корпоративной почтой (BEC). 15 июля 2024 года компания получила поддельное письмо от «поставщика» с просьбой перевести оплату на новый банковский счет. Не подозревая об обмане, 19 июля компания перевела $42,3 миллиона на мошеннический счет. 23 июля после обнаружения мошенничества сингапурская полиция при помощи властей Восточного Тимора заморозила $39 миллионов и арестовала 7 подозреваемых, изъяв ещё $2 миллиона. Взаимодействие стало возможным благодаря механизму I-GRIP, запущенному Интерполом в 2022 году для ускорения международного сотрудничества при финансовом мошенничестве.

LH | Новости | Курсы | Мемы
🔥2
США планируют запретить китайское ПО в беспилотных автомобилях

#запрет #spy

Министерство торговли США планирует предложить запрет на использование китайского программного обеспечения в автономных транспортных средствах с третьим уровнем автоматизации и выше. Закон также ограничит применение китайских систем беспроводной связи и тестирование китайских беспилотников в США.

Третий уровень автоматизации означает, что автомобиль сам управляет системами безопасности в определенных условиях, но водитель должен быть готов вмешаться.

Запрет вызван озабоченностью по поводу национальной безопасности. Китайская сторона отреагировала, призывая к честной конкуренции и рыночным принципам, заявив, что будет защищать свои интересы.

Решение последовало после расследования, начатого в начале года, касающегося безопасности и сбором данных китайскими автомобилями в США.

LH | Новости | Курсы | Мемы
👎2
ВЦИОМ оценил масштабы кибербуллинга

#кибербуллинг #ВЦИОМ

Опрос ВЦИОМ показал, что 25% детей сталкивались с кибербуллингом (запугивание, унижение, шантаж, преследование с использованием цифровых технологий).

- Частота кибербуллинга утроилась с 5% в 2021 г. до 13% в 2024 г.

- ВКонтакте (27%) и Telegram (16%) - наиболее часто упоминаемые платформы кибербуллинга. В 2021 г. Telegram не упоминался.

- YouTube (10%) и Одноклассники (8%) также отмечены как платформы, где можно столкнуться с кибербуллингом.

- 28% участников затруднились назвать самые опасные для ментального здоровья социальные сети и мессенджеры.

- 75% родителей заявили, что их дети не сталкивались с травлей и агрессией в интернете.

- Основные формы кибербуллинга: грубые комментарии и оскорбления (7%), злые насмешки и троллинг (6%).

- 5% родителей знают, что их ребенок стал жертвой кибербуллинга, но не знают деталей.

- Родители предпочитают мягкие методы для защиты детей:
• 24% используют программы родительского контроля.
• 20% ограничивают доступ в интернет.
• 10% просматривают историю поиска.
• 26% проводят профилактические беседы.
• 20% родителей не принимают никаких мер защиты детей от нежелательной информации в интернете.

LH | Новости | Курсы | Мемы
1
Неправильно настроенные Jupyter Notebook используются для DDoS-атак

#DDoS #Jupyter

ИБ-специалисты Aqua Security обнаружили новую DDoS-кампанию под названием Panamorfi, направленную на неправильно настроенные экземпляры Jupyter Notebook. Атака использует инструмент mineping для запуска TCP-флуда. Mineping был изначально разработан для игровых серверов Minecraft.

Атакующие используют команду wget для загрузки ZIP-архива с сайта Filebin. Архив содержит два файла: conn.jar и mineping.jar. Conn.jar устанавливает связь через Discord и инициирует выполнение mineping.jar.

Цель атаки — потребление ресурсов сервера путем массовых TCP-запросов, результаты фиксируются в Discord-канале. Кампанию связывают со злоумышленником под ником yawixooo. В прошлом, Jupyter Notebook также был целью группы Qubitstrike для майнинга криптовалют и компрометации облачных сред.

LH | Новости | Курсы | Мемы
🤔3
Samsung заплатит до 1 млн долларов за RCE-эксплойты для дыр в Galaxy

#Samsung #BugBounty

Samsung запустила новую программу по поиску уязвимостей, предлагая до 1 миллиона долларов за демонстрацию успешной атаки на устройства линейки Galaxy. Цели включают выполнение произвольного кода, разблокирование устройства, извлечение данных, установку софта и обход защитных механизмов.

Особый интерес представляют уязвимости в изолированной безопасной среде Knox Vault, хранящей биометрическую информацию и криптографические ключи. Локальное повышение прав на устройствах может принести 300 тысяч долларов, а удалённое выполнение кода — до 1 миллиона.

Также исследователи могут тестировать TEEGRIS OS и Rich OS. Локальное выполнение кода в TEEGRIS OS оценивается в 200 тысяч долларов, RCE — в 400 тысяч. Для Rich OS локальное выполнение кода принесёт 150 тысяч долларов, а RCE — 300 тысяч.

LH | Новости | Курсы | Мемы
2
Смартфоны Xiaomi смогут обнаруживать скрытые камеры

#Xiaomi #spy #camera

По данным СМИ, Xiaomi планирует внедрить в свои телефоны функцию обнаружения скрытых камер. Это может стать частью новой ОС HyperOS 2.0.

Функция, предположительно, вдохновлена программой Ingram, написанной на Python, для обнаружения уязвимых камер.

LH | Новости | Курсы | Мемы
👍1
Обновление Ronin Bridge привело к краже $12 млн

#crypto #взлом

6 августа сервис Ronin Bridge временно приостановил работу после вывода белыми хакерами токенов на сумму $12 миллионов. Произошла ошибка в обновлении моста, неверно интерпретировавшая порог голосов операторов. Итог: украдено 4 000 ETH и $2 миллиона в USDC. Разработчики ведут переговоры о возврате средств.

Ronin Network ранее пострадала от взлома в 2022 году на $625 миллионов.

Несмотря на текущий инцидент, токены RON от Ronin Network продемонстрировали рост на 6,1% за последние 24 часа на фоне общего подъема на рынке и остались практически без изменений после объявления о взломе.

LH | Новости | Курсы | Мемы
От Википедии до VPN: Венесуэла отрезана от мирового интернета

#блокировка #spy

Президент Венесуэлы Николас Мадуро усиливает репрессии, используя технологии для подавления инакомыслия и ограничения доступа к информации. Более 100 организаций подписали письмо о блокировке 62 СМИ. Ситуация ухудшилась после спорных выборов 28 июля. VEsinFiltro выявила 12 новых блокировок СМИ и VPN, а Access Now сообщает о 86 заблокированных доменах. Интернет-провайдеры и сайты Wikipedia также были отключены.

Ключевые факты:
- Усиление цифрового подавления после выборов 28 июля.
- Блокировка 62 СМИ и 86 доменов интернет-провайдерами.
- Ограничения на доступ к официальным данным о выборах.
- Использование технологий слежки от китайской ZTE и израильской Cellebrite.
- Государственный мессенджер VenApp собирает данные об оппозиционерах.

LH | Новости | Курсы | Мемы
🤔1🤬1
Абоненты Tele2 могут бесплатно проверить себя на утечки данных

#Tele2 #Солар #утечки

Оператор мобильной связи Tele2 совместно с ГК «Солар» представили новый сервис для проверки утечек персональных данных. Абоненты Tele2 могут получить подробный отчет о скомпрометированной информации, включая ФИО, телефон, почту, адрес и пароли, прямо в личном кабинете. Сервис Solar AURA от ГК «Солар» автоматически собирает данные о категориях утечек, указывая дату и цифровые площадки, откуда произошла утечка. Этот отчет поможет предотвратить взлом аккаунтов и обратить внимание на безопасность использующихся сервисов. Заказ осуществляется через сайт или приложение «Мой Tele2», а отчет формируется за несколько секунд и доступен в формате PDF в течение 24 часов. Также пользователям предоставляются рекомендации по защите данных от экспертов Solar AURA.

LH | Новости | Курсы | Мемы
👍3🤡2