Что случилось с Рунетом?

Пользователи массово начали сообщать о сбое в работе сайтов в доменной зоне .ru.

«Нас отключили от глобальной всемирной сети? Кто-то в Роскомнадзоре опять нажал не на ту кнопку? Это тестирование работы суверенного чебурнета?».

Нет.

В доменной зоне .ru сломался DNSSEC. Если кто-то не знает что это, объясняем.

DNSSEC — это набор расширений протокола DNS, который гарантирует достоверность и целостность данных.

Солдаты НАТО и рукожопы внутри страны не причем.

А вот статья на Хабре об этом.

@cybersachok

Кто знаком с Linux знает про разнообразное семейство top-утилит (htop, iftop, iotop, mytop) в динамике показывающей изменение чего то (процессы, сеть, диск и тд).
Хотел поделиться гениальной тулзой всего за 70 строк кода превращающей вывод любой утилиты в подобие top (https://github.com/cloudflare/cloudflare-blog/blob/master/2017-06-29-ssdp/mmwatch).
Например mmwatch 'ls -l' и можно увидеть как меняется размер файлов. Или mmwatch 'iptables -vnL' и превращаем сетевой экран в top.

После 2 месяцев работы и ожидания, мой инструмент Above всё-таки оказался в Kali Linux.

Доступность инструмента на зеркалах Kali через несколько часов.

Cursed - Kali Ashes

Genre: Offensive
Subgenre: Hardening, Penetration Testing, Evasion, Sniffing
Label: xakep.ru
Release Date: 2 February 2024

Link: xakep.ru/2024/02/02/kali-hardening

A recently disclosed SSRF vulnerability (CVE-2024-21893) in Ivanti Connect Secure and Policy Secure products is now under mass exploitation.

Learn more: https://thehackernews.com/2024/02/recently-disclosed-ssrf-flaw-in-ivanti.html

Patch now to protect your organization from system takeover.

https://github.com/akto-api-security/akto

1. Ставим расширение для Burp, чтобы собрать все запросы в Akto, ходим по сайту.
2. Выбираем нужные проверки на поиск IDOR, Parameter Pollution, SQLi и других багов.
3. Выгружаем готовые отчеты c находками. Сдаем на H1, получаем профит.

Интересный опенсорсный сканер, который вместо вас вставляет кавычки в запросы к API и ищет многие уязвимости, включая OWASP Top 10 и HackerOne Top 10.

Можно описывать свои тесты в YAML, есть уже готовые модули для эксплуатации. Например, просканить все порты с помощью SSRF, как в демке https://www.youtube.com/watch?v=WjNNh6asAD0

​⚡️Я твой рот ломал: 3 млн. зубных щеток использовались в DDoS-атаке

💬 В последнее время реальность всё чаще напоминает сюжеты научной фантастики. Недавний инцидент с хакерской атакой, использовавшей в качестве инструмента умные зубные щётки, это подтверждает. Швейцарская газета Aargauer Zeitung сообщает о том, что около 3 миллионов щеток были взломаны и использованы для осуществления DDoS-атаки, в результате которой системы неназванной швейцарской компании были выведены из строя на 4 часа. Ущерб оценивается в миллионы евро.

На первый взглад безобидные предметы личной гигиены превратились в «солдат» киберармии, успешно атаковав целевой сайт путём перегрузки его ложными запросами. Отмечается, что зубные щётки были заражены через программное обеспечение на Java — популярном языке для IoT-устройств.

Случай подчёркивает растущую угрозу кибербезопасности в связи с увеличением количества подключаемых к интернету устройств в нашем повседневном использовании. Устройства, которые ранее казались безопасными и не подключенными к цифровому миру, теперь могут стать потенциальными точками входа для киберпреступников.

В условиях роста количества IoT-устройств в быту, важно обращать внимание на их безопасность. Многие из них не обладают достаточной защитой из-за отсутствия возможности настройки или обновления безопасности. Эксперты советуют регулярно обновлять ПО всех подключенных устройств, избегать использования публичных USB-портов для зарядки, быть осторожными с публичными Wi-Fi сетями и устанавливать файервол на домашнее интернет-соединение.

Также поднимается вопрос о необходимости приобретения IoT-устройств. Рекомендуется придерживаться правила: не покупать умное устройство без насущной потребности в нём. Такая тактика поможет не только обезопасить личные данные, но и снизить риски кибератак. В эпоху, когда технологии всё теснее входят в нашу жизнь, важно уделять внимание не только личной гигиене, но и цифровой безопасности.

В 2023 году группа исследователей из Бристольского университета обнаружила уязвимости в ошейниках со встроенными датчиками, которые ставят под угрозу не только эффективность доильных залов, но даже здоровье и жизнь животных. В результате ошибки могут привести к неверной диагностике со стороны ветеринаров и ошибочным действиям фермеров при выращивании, разведении и лечении скота, что грозит финансовыми потерями и даже гибелью животных.

Напомним, что недавно компания Cado Security обнаружила в киберпространстве новую вариацию ботнета P2PInfect, которая разработана специально для архитектуры MIPS, что даёт ей возможность атаковать роутеры и IoT-устройства, такие как умные чайники, кофеварки, IP-камеры и т.п. Это резко расширяет возможности и сферу воздействия ботнета.

🔔 ITsec NEWS

было подобное про вацап недавно

Новая атака на цепочку поставок: Java и Android под ударом!

Буквально на днях компания Oversecured выпустила потрясающую статью про новую атаку на цепочку поставок. В этот раз под ударом оказались Java-пакеты и, конечно, под раздачу попал и Android...

Способ атаки крайне прост и изящен. Для того, чтобы загрузить новую версию или измененную старую в репозиторий, например, MavenCentral необходимо подтвердить, что ты это ты. Как это сделать? Перевернуть имя пакета и на указанном домене разместить dns-запись.

К примеру, пакет com.stingray.mobile превращается в домен mobile.stingray.com. И, добавив несколько полей в TXT-запись мы получаем верифицированный аккаунт, который может загружать новые и обновлять существующие версии.

Но как правило, при смене имени пакета случается так, что про старый домен забывают.. Или вообще домен уже давно разделегирован.

Суть атаки в покупке домена, регистрации себя, как собственника библиотеки и заливанию новой/обновленной версии с зловредной нагрузкой в репозиторий. Вуаля, и все проекты использующие эту зависимость или выкачивающие ее как транзитивную получают к себе бомбу замедленного действия...

Идеальный план и более того, ребята провели исследование всех библиотек в нескольких репозиториях и получили крайне интересные цифры по уязвимым либам:
1. По доменам: 3,710 or 14.18%
2. На основании приватных github-репо: 291 or 3.86%

Крайне интересные цифры.

Снимаю шляпу перед исследователями такого уровня :)

Я думаю, что скоро нас ждет интересное продолжение :)

#oversecured #supplychain #android

Топ CVE за январь 2024

https://habr.com/ru/companies/tomhunter/articles/789306/

#exploit
1. CVE-2024-20328:
ClamAV Command Injection Bug
https://amitschendel.github.io/vulnerabilites/CVE-2024-20328

2. CVE-2024-24816:
CKEditor XSS vulnerability
https://github.com/afine-com/CVE-2024-24816

3. CVE-2023-35080:
Ivanti/Pulse VPN Client Exploit
https://github.com/HopHouse/Ivanti-Pulse_VPN-Client_Exploit-CVE-2023-35080_Privilege-escalation

#exploit
1. Docker Remote API Scanner and Exploit
https://github.com/justakazh/DockerExploit

2. PoC of BITB w/out the use of iframes
https://github.com/waelmas/frameless-bitb

3. CVE-2023-44313:
Apache ServiceComb <2.1 - SSRF
https://xz.aliyun.com/t/13548

Канада запрещает Flipper Zero ради борьбы с автоугонами
https://xakep.ru/2024/02/12/flipper-canada/

UNIX Co-Founder Ken Thompson's BSD Password Has Finally Been Cracked

A 40-year-old password of Ken Thompson, the co-creator of the UNIX operating system among, has finally been cracked that belongs to a BSD-based system, one of the original versions of UNIX, which was back then used by various computer science pioneers.

Thompson's password has been revealed as "p/q2-q4!a" — a notation in chess to describe the move "pawn from Queen's 2 to Queen's 4."

Source: THN + ICD + Reddit + YouTube + LB
Источники: Хабр + AM + Dzen

#fun #linux