​Хакеры: атакующие маскируют похититель паролей под карту коронавируса

Эксперты в области кибербезопасности уже не раз предупреждали, что киберпреступники успешно используют тему нового коронавируса COVID-19 для привлечения внимания пользователей. В этот раз злоумышленники разработали «Карту распространения коронавируса».

Соответствующий тематический веб-сайт обнаружили специалисты компании Reason Labs. На ресурсе якобы размещена карта распространения коронавируса. На деле же попавшиеся на эту уловку пользователи рискуют заразить свои устройства вредоносной программой, которая выкрадет пароли, данные платёжных карт и другую важную информацию.

Конкретно в этой кампании злоумышленники используют вредонос, известный под именем AZORult. Помимо обычных учётных данных, эта программа способна красть средства из криптовалютных кошельков, а также переписки в различных мессенджерах. Более того, если потребуется, AZORult установит в систему дополнительный бэкдор.

Судя по всему, кража учётных данных является основным мотивом вредоносной программы AZORult. В дальнейшем вся полученная информация используется киберпреступниками для развития своих атак. В процессе заражения пользователей злоумышленники пытаются замаскировать зловред под реальную карту распространения коронавируса, созданную Джоном Хопкинсом.

#хакеры

Открыть без ключа. Как взломать пароль Windows

Не каждый пользователь использует пароль на Windows — особенно редко пользователи устанавливают пароль на домашнем компьютере, за которым работает один человек. Но в условиях корпоративной сети или при использовании Windows в качестве сервера, пароль является обязательным. Ещё одно интересное свойство пароля пользователя Windows: если пользователь завёл онлайн учётную запись Microsoft, то хеш пароля всё равно хранится на локальном компьютере, но расшифрованный пароль подойдёт и для локального компьютера, и для онлайн сервисов Microsoft.

В этой статье мы узнаем, где в Windows хранится пароль пользователя, как извлечь данные для взлома пароля Windows, как раскрыть пароль пользователя и как их использовать даже без брутфорса. 

❗️Разумеется, весь материал предоставлен исключительно для ознакомления и не призывает к действиям.

📖Открыть без ключа. Как взломать пароль Windows

​Как по IP узнать торренты, которые скачивал пользователь

Переходя на данный ресурс, вы увидите страницу со списком торрентов, которые были загружены с вашего текущего IP-адреса. Если у вас фиксированный IP, вы увидите историю загрузок. Красная полоса указывает на контент из категории для взрослых. Кроме того, будут отображаться похожие IP-адреса, и среди них вы можете найти адреса своих друзей.

Если вам надо узнать, что скачивает определенный человек, то вы можете создать ссылку, с помощью которой вы получите список скачанных им торрентов. Нужно только добиться перехода по ней.

На сайте вы также можете проверить размер и количество скачиваний в стране данного торрента. Таким образом, каждый может увидеть, что вы скачали, просто зная ваш IP-адрес.

📌https://iknowwhatyoudownload.com/

#хитрости

​Ваш аккаунт Uber может быть под угрозой

Знаете ли вы, что ваша учетная запись Uber примерно в 17 раз ценнее для хакеров, чем данные вашей кредитной карты? Такие выводы можно сделать после анализа отчета охранной компании Trend Micro, подготовленного для канала CNBC. Украденные данные, содержащие логины и пароли пользователей Uber на черном рынке, продаются в среднем по 5 долларов за доступ к одной учетной записи.

Украденный аккаунт Uber может быть использован для того, чтобы получить лучшее представление о вашей платежеспособности, а также для отмыва средств. Злоумышленники также пользуются системой отката платежа в Uber, переводя
деньги жертвы на подставные счета. Масштаб данной проблемы можно увидеть, если ввести в Twitter хэштег #UberAccountHacked или #uberhacked.

#безопасность

Покоряем веб. Как применять OWASP Testing Guide v4 - пентест для начинающих

Безопасность веба — очень широкое понятие. В него входят и недостатки старых протоколов, и использование каких-то опасных вещей, и просто человеческие ошибки, допущенные в процессе разработки софта. Очень непросто тестировать продукты в такой широкой области: для этого нужно придерживаться какого-то плана. И организация OWASP облегчила жизнь специалистам в области ИБ, создав OWASP Testing Guide.

📖Покоряем веб. Как применять OWASP Testing Guide v4

​Как безопасно хранить пароли

LastPass представляет собой комбинацию приложения, работающего на компьютере, с безопасным онлайн-хранилищем паролей и службой синхронизации. Во время установки вы должны создать новую учетную запись в сервисе, указав адрес электронной почты. Программа добавляет в выбранные веб-браузеры расширение, заменяющее стандартные механизмы хранения паролей. Важно защитить свою учетную запись LastPass надежным мастер-паролем, поскольку этот пароль защищает доступ ко всей базе зашифрованных паролей, хранящихся в службе.

Использование LastPass очень удобно, а дополнительным преимуществом приложения является доступ к онлайн-базе паролей с любого компьютера. Программа поддерживает все популярные браузеры.

Конечно, такой метод хранения паролей может вызвать сомнения, но, поверьте, если у вас стоит мощное ПО и надежный антивирус, то эта связка будет работать безупречно.

📌https://www.lastpass.com/

#хитрости #безопасность

Чемоданчик хакера 2020. Выбираем инструменты, которые хорошо иметь под рукой

Принято считать, что настоящему хакеру достаточно одного ноутбука. Как бы не так! В этой статье мы рассмотрим пятнадцать девайсов, с которыми можно пентестить все что угодно: от физических устройств до бесконтактных карт. Сюда не вошли более обыкновенные инструменты вроде отверток и паяльников — их проще выбирать на свой вкус. Надеюсь, ты присмотришь что-нибудь интересное в этом списке.

📖Чемоданчик хакера 2020. Выбираем инструменты, которые хорошо иметь под рукой

❗️Кстати, не забывай, что у меня есть отдельный канал с хакерскими девайсами, их настройкой и применением - Оружейная хакера. Подписывайся и будь в курсе😉

​ЦРУ защищало свои сверхсекретные хакерские инструменты паролем 123ABCdef

Многие слышали о Джошуа Шульте — этого человека обвиняют в сливе «сверхсекретных» хакерских инструментов, принадлежащих ЦРУ. В настоящее время Шульт находится под арестом, а его делом занимается суд. В ходе недавнего заседания выяснилось несколько интересных подробностей относительно практик американской спецслужбы.

По словам стороны обвинения, Джошуа Шульт выкрал крайне ценные и конфиденциальные материалы непосредственно из рук ЦРУ, после чего передал их WikiLeaks для распространения. Федеральные прокуроры США добиваются одного — посадить Шульта на пожизненный срок. Однако с такой позицией категорически не согласна адвокат обвиняемого Сабрина Шрофф, которая не раз обращала внимание суда на крайне блеклые доказательства против её клиента.

Согласно материалам дела (PDF), Шульт работал под псевдонимами «King Josh» и «KingJosh3000», он их использовал и в тот период, когда занимал должность системного администратора в ЦРУ. Вся эта ситуация с доступом к секретным инструментам такой серьёзной спецслужбы породила определённые вопросы, один из которых звучал вполне оправдано: а насколько плохо ЦРУ защищает подобную информацию и файлы.

И теперь самое интересное — пароль от виртуальной машины, на которой хранились вышеупомянутые инструменты, представлял собой просто классику слабых учётных данных — «123ABCdef». И root-логин от главного DevLAN-сервера был не лучше — «mysweetsummer».

#хакеры

​Как узнать, подвергалась ли ваша почта атакам злоумышленников

Ресурс Have I been pwned был основан 7 лет назад и с тех пор не раз «спасал» многих пользователей сети. После ввода адреса электронной почты в поисковик вы можете получить список сайтов, на которые была совершена атака, и вследствие этого данные утекли в сеть.

Большинство пользователей даже не подозревают, что их логины и пароли уже несколько лет гуляют по сети. Какой бы надежный не был ваш пароль, никогда нельзя быть уверенным в защищенности сайтов, на которых вы регистрируетесь. Поэтому рекомендую по возможности чаще проверять свою почту на данном сервисе и вовремя реагировать на утечку информации.

📌https://haveibeenpwned.com/

#хитрости #безопасность

На абордаж! Можно ли взломать корабль?

Вы когда-нибудь задумывались над вопросом компьютерной безопасности огромного круизного лайнера, неспешно пересекающего бескрайние морские просторы? Насколько эта махина защищена от взлома киберпреступниками? И сможет ли команда судна отразить атаку или мягко нейтрализовать последствия взлома? Насколько реальна угроза взлома кораблей, в сегодняшней статье:

📖На абордаж! Можно ли взломать корабль?

❗️Кстати, похожая статья про вероятность взлома самолета уже выходила на канале.

​Как проверить свои хакерские навыки?

Hackthbox.com - это сервис, который позволяет проводить виртуальные взломы. Если ты - начинающий пентестер или хочешь испытать себя в роли хакера, не причинив никому вреда, то это по адресу.

Данный сайт дает различные задания по взлому, которые позволяют вам оттачивать свои существующие навыки или же получать новые. Задачи даются совершенно разнообразные и включают такие категории, как Web, RE, Crypto, Stego, Mobile и некоторые другие.

На фоне аналогичных ресурсов, которые предлагают подобные возможности, этот отличается тем, что все задания максимально приближены к реальным ситуациям в данной сфере. Что интересно, чтобы получить инвайт на данный сайт, необходимо обладать минимальными знаниями, дабы найти код приглашения.

📌https://www.hackthebox.eu/

#хитрости #пентест

​Shodan: самый «страшный» поисковик интернета

Shodan - это своего рода «черный» Google, позволяющий искать серверы, веб-камеры, принтеры, роутеры и самую разную технику, которая подключена к Интернету и составляет его часть.

С его помощью можно найти бесчисленные светофоры, камеры безопасности, домашние системы автоматизации, системы отопления – все это подключено к Интернету и легко обнаруживается. Так, пользователи Shodan нашли системы управления аквапарка, газовой станцией, охладителя вина в отеле и крематория.

Специалисты по кибербезопасности с помощью Shodan даже обнаружили командно-контрольные системы ядерных электростанций и ускорителя атомных частиц. И отдельного внимания в Shodan с его пугающими возможностями заслуживает тот факт, что очень немногие из упомянутых систем имеют хоть какую-то систему безопасности.

Особенно легко находит роутеры с дефолтными паролями—достаточно вбить в поиск admin admin. И это, пожалуй, самое безобидное, что там можно обнаружить. Если копнуть глубже, то найдутся и уязвимые устройства посерьезнее.

📌https://www.shodan.io/

#хитрости

«За нами следят»: что может происходить в неприметном минивэне прямо у вас под окном

Образ белых минивэнов с оборудованием для прослушки давно стал неотъемлемой частью нашей поп-культуры. Эти ничем не примечательные автомобили превратились в отражение коллективных страхов и паранойи — стали символами прозаичного зла, безличной машины «большого брата», под колеса которой может попасть каждый. Но что действительно находится внутри таких машин? Кто может их использовать и в каких целях? Давайте разбираться:

📖«За нами следят»: что может происходить в неприметном минивэне прямо у вас под окном

​Хакеры: как через взлом Tor поймали босса из Dark Web

Семь лет назад ФБР смогла найти Эрика Маркеса при помощи взлома анонимной сети Tor. Только в этом году Эрик Маркес признал себя виновным в американском суде, ему грозит 30 лет тюремного заключения за сервис Freedom Hosting, который какое-то время работал вне зоны досягаемости закона.

Полиции предстоит ответить ещё на один вопрос: как они смогли поймать его? Каким-то образом удалось взломать многочисленные созданные Маркесом уровни анонимности, благодаря чему удалось обнаружить важный сервер во Франции. Это открытие привело к самому Маркесу, который был арестован ещё в 2013 году.

Маркес стал первым в группе известных киберпреступников, которых поймали несмотря на применение конфиденциальной сети Tor. До того казалось, что эта сеть обеспечивает полную анонимность и неуязвимость. Данный случай показывает, что правительственные организации могут отследить подозреваемых через казавшиеся непроницаемыми сети. Маркес винит в этом хакеров мирового уровня из АНБ в США, но и ФБР работает в этом направлении с 2002 года. Как говорят некоторые обозреватели, они утаивают ключевые детали своего расследования от обвиняемых и судей.

Государственные органы США регулярно находят программные уязвимости в рамках работы над безопасностью. Иногда они рассказывают о них разработчикам программного обеспечения, иногда сохраняют в тайне, чтобы применять как оружие в своих расследованиях.

Существует система, на основе которой принимаются решения о том, делиться этой информацией или нет. Она называется Vulnerabilities Equities Process. В этой системе по умолчанию склоняются к тому, чтобы обнародовать информацию. Хотя уязвимости способны помочь найти плохих парней, они могут использоваться и против интересов США. Учреждение, которое хочет использовать крупный баг для расследования, должно получить разрешение, в противном случае информация будет обнародована. Большинство таких сведений стали достоянием общественности, чтобы уязвимости могли закрыть и повысить безопасность интернета для всех.

#хакеры #анонимность

​Проверяем свою сеть на уязвимость

Чтобы провести «краш-тест» вашего антивируса, вовсе не обязательно заказывать дорогостоящие тесты на проникновение или устанавливать дополнительно ПО.

Данный ресурс проводит симуляции в сети, благодаря которым выявляет, насколько тестируемая сеть поддается взлому и атакам. Преимущественно идет проверка на вредоносное ПО, фишинговые атаки и сайты ''фальшивки'', которые собирают ваши личные данные.

📌http://www.cpcheckme.com/checkme/

#хитрости #безопасность

​Узнаем, как сайт выглядел в прошлом

Причин заинтересоваться предыдущими версиями сайта может быть множество: от банальной ностальгии до профессиональных задач. К примеру, если нужно узнать, как изменилась политика конфиденциальности какого-нибудь сервиса или посмотреть, какие правки вносились на сайте ранее.

Wayback Machine - это специальный архив, который собирает копии веб-страниц. Начиная с 1996 года, сервис собрал более 366 миллиардов копий интернет-ресурсов. Причем речь идет не о скриншотах, а о полноценных страницах с изображениями, рабочими ссылками и стилевым оформлением.

Чтобы «заглянуть в прошлое», на сайте web.archive.org нужно ввести ссылку на необходимую страницу, а затем выбрать дату, чтобы увидеть предыдущую версию сайта. Помимо прочего, можно также узнать, когда был создан сайт, сколько ''слепков" он имеет, а при желании есть возможность восстановить сайт из веб-архива.

К примеру, на скиншоте сайт YouTube от 31 августа 2007 года.

📌http://web.archive.org

#хитрости

Арсенал пентестера. Собираем утилиты для удаленного определения операционки

Первая стадия пентеста — это, как известно, разведка. Только установив, какая система работает на удаленном хосте, можно начинать искать в ней лазейки. Из этой статьи ты узнаешь про семь средств, которые помогают на этом этапе, и заодно увидишь, как именно они вычисляют операционку:

📖Арсенал пентестера. Собираем утилиты для удаленного определения операционки

​Как создать временный почтовый ящик?

Наверняка многие сталкивались с ситуацией, когда нужно зарегистрироваться на сайте, к примеру, для разового скачивания, и вы не хотите получать различный спам или попросту ''светить'' свою почту. Решить данную проблему вам поможет 10minutesmail.

С помощью этого ресурса можно моментально сгенерировать временный почтовый ящик, который позволит принять письмо-подтверждение и завершить регистрацию. Созданный ящик будет активен в течение 10 минут, однако, его «срок жизни» может быть продлен. Еще один важный момент: после того, как ваш ящик будет удален, больше никто не сможет получить к нему доступ.

📌https://10minutemail.net/

#хитрости #безопасность

По следам. Насколько легко следить за человеком при помощи умных часов - проводим эксперимент

Можно ли использовать умные часы для того, чтобы шпионить за их владельцем? О да, и существует немало способов. Но, как оказывается, есть еще один. Если на часы установлено зловредное приложение, которое отправляет данные с встроенных в устройство датчиков движения — акселерометра и гироскопа — на удаленный сервер, то по этим данным можно восстановить активность человека, на котором эти самые часы надеты.

То есть понять, что он делал: ходил, сидел, набирал текст на клавиатуре и так далее. Давайте проверим, насколько страшна эта угроза на практике, и узнать, какие данные реально можно собрать:

📖По следам. Насколько легко следить за человеком при помощи умных часов - проводим эксперимент

​Геоданные Google сделали невиновного подозреваемым в уголовном деле

Закари Маккой, самый обычный житель штата Флорида, стал подозреваемым в ограблении дома, после того как во время поездки велосипеде он воспользовался приложением RunKeeper для отслеживания своей активности. При этом, Закари включил сервисы определения местоположения Google, что позволило как приложению, так и Google отслеживать его местонахождение в любое время.

О том, что его подозревают в преступлении, Маккой узнал после того, как с ним связалась команда Google и сообщила, что полиция запрашивала информацию с его аккаунта. Американец сначала не понял, в чем дело, но собрав весь пазл воедино, пришел к выводу, что в письме говорилось про ограбление того дома, мимо которого он проезжал практически каждый день по несколько раз. Именно это и привлекло внимание полиции. Компания должна была предоставить правоохранителям информацию со всех устройств, которые были замечены на месте преступления в определённое время и дату.

После многих разбирательств, юноша все-таки смог добиться снятия всех обвинений. Ответный иск Маккоя и его адвоката вынудил правоохранительные органы пересмотреть свой ордер. Они отозвали запрос на данные Google аккаунта Маккоя и исключили ее из списка подозреваемых.

#безопасность #приватность