Баги в чипах MediaTek позволяют следить за пользователями 37% смартфонов в мире
https://xakep.ru/2021/11/25/mediatek-eavesdropping-bugs/

У Великобританії заборонили паролі за замовчуванням

Британські парламентарі мають намір кардинально вирішити проблему слабких і неунікальних паролів. Цього тижня у місцевому парламенті представили проєкт закону, який забороняє виробникам призначати універсальні паролі за замовчуванням для електроніки.

У законі йдеться про використання унікальних паролів для пристроїв, що підключаються до інтернету. Крім того, компанії будуть зобов'язані висвітлювати випадки, коли їх електроніці знадобляться оновлення системи безпеки — за статистикою, такої політики дотримуються лише 20% виробників.

55% атакованих пристроїв використовували пароль 123456, ще 3% — admin. Подібна електроніка взагалі досить небезпечна: 98% трафіку таких пристроїв передається через незахищені з'єднання.

Деталі: https://bit.ly/310670P

Выпуск Libreboot 20211122, полностью свободного дистрибутива Coreboot https://opennet.ru/56231/

В Китае происходит что-то непонятное, там как минимум 9 государственных компаний, включая China Mobile ограничили для сотрудников использование WeChat. Основная причина - потенциальная угроза для безопасности.

Если вы не знаете, в Китае WeChat это для многих и есть интернет. Там блоги, сообщения, видео, новости, доставка еды, такси, оплата и т.д. Думаю сотрудники China Mobile будут просто заводить себе по два телефона, другого варианта у них нет. https://www.wsj.com/articles/chinas-state-run-firms-limit-use-of-tencents-messaging-app-11637837474?mod=djemalertNEWS

Apple попередить користувачів про «державні» кібератаки

Apple заявила, що продовжить практику повідомлення користувачів, які стали жертвами кібератак, організованих державними відомствами. Компанія докладно описала механізми, за допомогою яких вона повідомлятиме власників своїх пристроїв про подібні інциденти.

Користувач, який став мішенню, отримуватиме відповідні повідомлення електронною поштою, а також повідомлення в iMessage. Користувач також отримає повідомлення про загрозу з подробицями того, що і коли сталося.

Компанія підкреслила, що в цих повідомленнях ніколи не буде рекомендацій натиснути на посилання, завантажити контент або поділитися даними для входу в обліковий запис, включаючи паролі та коди підтвердження, — всі подробиці будуть вказані тільки на сторінці Apple ID.

Деталі: https://engt.co/3r6kefN

А тем временем в штатах Pinterest обьявил, что урегулировал иск от своих акционеров и обещает потратить 50 миллионов долларов на перестроение корпоративной культуры и поощрение разнообразия. Для тех кто не следил - акционеры компании требовали, чтобы в компании перестали дискриминировать женщин и цветных. Обвинения появились, когда две чернокожие женщины из группы по общественной политике Pinterest, Ифеома Озома и Аэрика Симидзу Бэнкс, публично раскритиковали обращение компании с дискриминируемыми сотрудниками, согласно судебным документам.

Если вы меня читаете давно - вы знаете, я всегда за разнообразие и отсутствие дискриминации. Но иногда мне кажется, что в части американских компаний появился новый спорт: “докажи что ты никого не дискриминировал”. В этой ситуации закон и суд всегда излишне на стороне войнов социальной справедливости https://www.nytimes.com/2021/11/24/technology/pinterest-discrimination-settlement.html

Qualcomm упростит названия чипов Snapdragon и представит следующую флагманскую платформу 30 ноября

Компания Qualcomm решила выделить название своих мобильных процессоров Snapdragon в отдельный бренд. Производитель также откажется от трёхзначной нумерации моделей своих однокристальных систем (SoC), которую он использовал долгие годы. Тем самым компания хочет упростить узнаваемость нового бренда.

Отныне Snapdragon — это не просто название отдельной серии мобильных процессоров, а целый независимый бренд. Имя Qualcomm больше не будет использоваться в названии чипов. В этом направлении производитель начал двигаться с момента выпуска модели Snapdragon 888 Plus, на котором отсутствовал шильдик Qualcomm.

Самое важное изменение связано с названиями SoC. В течение многих лет Qualcomm использовала для обозначения моделей трёхзначную систему нумерации, например, Snapdragon 480, Snapdragon 765 или Snapdragon 888. Первое число указывало на серию. Например, 8-серия или 800-я, как принято называть в народе, является флагманской, а 4-я или 400-я — начальной. Второе число в названии модели чипа обычно указывало на поколение в рамках серии: например, Snapdragon 855 и Snapdragon 865. Третье число в свою очередь указывало на менее значительные изменения. Например, Snapdragon 768G являются слегка обновлённой версией Snapdragon 765G. По мнению Qualcomm, такая трёхзначная нумерация была слегка запутанной для покупателя. Кроме того, для продолжения трёхзначной схемы нумерации у производителя закончились числа. В прошлом году на рынке появился процессор 8-й (800-й) серии Snapdragon 888, в рамках седьмой (700-й) серии есть модель Snapdragon 780, а у шестой (600-й) — Snapdragon 695.

Нумерацию моделей решено было сменить на одночисловую. Первый процессор в рамках новой схемы нумерации моделей будет представлен 30 ноября. Речь идёт о флагманском чипе, который должен был называться Snapdragon 898, если следовать старой схеме нумерации. Следует добавить, что компания уже использует новую нумерацию процессоров в чипах для ПК. Примером служат те же модели Snapdragon 8cx Gen2 и Snapdragon 7c Gen2.

К сожалению, Qualcomm не сообщила, как именно будет выглядеть новая схема названий платформ. Об этом компания расскажет на грядущем мероприятии Snapdragon Tech Summit, которое будет проходить на следующей неделе.

Муниципалитет Пекина выдал разрешение для проекта Apollo Go, теперь этим роботакси можно взимать плату за проезд, для начала только в одной части города. Другие крупные города, такие как Шанхай, скорее всего, последуют этому примеру к началу следующего года. Компания-разработчик уже заявила, что будет взимать плату за проезд на уровне премиум-класса за роботакси, не раскрывая точную цену.

Мне вдвойне интересно за этим наблюдать потому, что это проект компании Baidu, поисковой компании в последние годы растерявшей свою аудиторию. В штатах автоматические такси уже полнофукнциональны в небольшой части Финикса, Аризона и их тоже делает поисковая компания, Waymo, т.е. Гугл https://www.cnbc.com/2021/11/25/baidu-kicks-off-robotaxi-business-after-beijing-citys-fare-approval.html

29 — 30 January — Secure Foundation365 Course

Сonsists of six modules that are an annual safety and maturity evaluation of the company, with tailored recommendations to management, protection against attacks via e-mail, an e-learning program and regular safety tips for all employees.

👉 https://dou.ua/calendar/41503/?from=tgke

Абу-Дабі запускає пілотний проєкт безпілотних таксі на острові Яс

Транспортний центр Департаменту муніципалітетів і транспорту в Абу-Дабі у співпраці з Bayanat for Mapping and Survey Services повідомили, що перший етап включатиме п'ять розумних транспортних засобів, які надаватимуть транспортні послуги на маршрутах, що з'єднують готелі, ресторани, торгові центри, офіси та громадські об'єкти на острові Яс.

Послуга буде доступна з 8 ранку до 20 вечора через новий застосунок TXAI, який буде доступний у всіх магазинах застосунків.

Голова Департаменту муніципалітетів і транспорту (DMT) вважає цей проєкт сміливим кроком у використанні точних методів штучного інтелекту на основі даних у транспортній мережі.

Незважаючи на те, що транспортні засоби будуть автономними, офіцер з безпеки займатиме місце водія під час першої та другої операційної фази, щоб втрутитися у разі будь-якої надзвичайної ситуації.

Деталі: https://bit.ly/3xllmND

Уязвимость в Microsoft MSHTML используется для кражи учетных данных Google и Instagram

ИБ-эксперты из компании SafeBreach Labs предупредили, что иранские хакеры используют уязвимость CVE-2021-40444 для кражи учетных данных от аккаунтов Google и Instagram. Злоумышленники в основном атакуют пользователей, говорящих на фарси.

https://xakep.ru/2021/11/25/cve-2021-40444-powershortshell/

Check Point обнаружили серьезные уязвимости системы безопасности в процессорах MediaTek, которые могли позволить злоумышленникам прослушивать телефонные звонки пользователей Android, выполнять команды или повышать свои привилегии до более высокого уровня.

MediaTek - один из крупнейших поставщиков полупроводниковых чипов в мире с объемом рынка в 43% от всех реализуемых смартфонов по состоянию на 2021 год. Современные процессоры MediaTek используют специальный блок обработки звука - процессор цифровых сигналов (DSP), чтобы снизить нагрузку на ЦП и улучшить качество и производительность воспроизведения звука.

Это устройство получает запросы на обработку звука от приложений в пользовательском пространстве Android через драйвер и систему IPC. Теоретически непривилегированное приложение может использовать недостатки для управления обработчиками запросов и запуска кода на аудиочипе. Аудиодрайвер не обменивается данными с DSP напрямую, а с сообщениями IPI, пересылаемыми на процессор управления системой (SCP).

Путем реверс-инжиниринга Android API, отвечающего за аудиосвязь, Check Point смогли провести более глубокую оценку работы системы и выявить баги (VE-2021-0661, CVE-2021-0662, CVE-2021-0663, CVE-2021-0673). Объединив их в цепочку, злоумышленник потенциально может выполнять атаки с локальным повышением привилегий, отправлять сообщения в прошивку DSP, а затем скрывать или запускать код на самом чипе DSP.

MediaTek удалил возможность использования командной строки с параметрами через AudioManager, которая позволяла эксплуатировать CVE-2021-0673, что существенно сократило риск атак.

В целом, к настоящему времени 3 ошибки (CVE-2021-0661, CVE-2021-0662, CVE-2021-0663) исправлены в рамках обновлений безопасности Android, вышедших в октябре 2021 года, а четвертая (CVE-2021-0673) будет закрыта следующим обновлением безопасности. Подробности ошибки также будут раскрыты лишь в декабре 2021 года.

Таким образом, оснащенные чипами MediaTek девайсы Android уязвимы для атак с перехватом или заражения ВПО, не требующими взаимодействия с пользователем (конечно в том случае, если соответствующие обновления не применялись). При том, что значительное число устаревших устройств так и останутся непропатченными, поскольку их техническая поддержка уже прекращена.

Теперь всегда знаешь, что ответить на интересующий многих вопрос, связанный с возможностью прослушки переговоров.

Уязвимость в Microsoft MSHTML используется для кражи учетных данных Google и Instagram
https://xakep.ru/2021/11/25/cve-2021-40444-powershortshell/

Актуальщина по теме работы, зарплатам, собесам, тех вопросам. поиску пути в ИТ

Как пройти техническое собеседование на системного аналитика в любой компании
https://bit.ly/3DTkySG

10+ сертификаций Coursera, которые помогут улучшить резюме и повысить зарплату
https://bit.ly/3xjtle8

Мой тернистый путь в IT: за 10 лет я перепробовал несколько направлений и в итоге нашел свое
https://bit.ly/3nQR7Lu

Российские IT-компании рассказали планируют ли они отказаться от удалёнки и как она повлияла на их работу
https://bit.ly/3FQOUWx

Познакомьтесь с людьми, которые разочаровались в работе в ИТ
https://bit.ly/3CTnugy

Системообразующая ИТ-компания России выходит на рынок ИБ, составив конкуренцию Infowatch и «Ростелеком-Солар»
https://bit.ly/3p0tz67

Мы как Nascar — избавляемся от всего, что тормозит»: в США фирмы всё реже просят диплом и нанимают без собеседований
https://bit.ly/3DR6cSE

Картинки с смешными надписями и собеседование в регионах
https://bit.ly/30U3RI6

#job #analytics

Теперь тех инфы о нашумевшем эксплойте под окна!

В знак протеста против сокращения выплат bug bounty исследователь выложил эксплойт
https://bit.ly/3DRCblD
https://bit.ly/32lKA2T

Разработчики зловредов начали использовать эксплойт на уязвимость нулевого дня Windows
https://bit.ly/3xqmoYS

Exploit CVE-2021-41379 GitHub
https://bit.ly/3xn6w9d

Windows 10 Zero-Click Security Exploit Wanted. Reward: $3 Million
https://bit.ly/3oYpyPI

Криминал повысил ставки. За ПО взлома Windows и Linux предлагаются обескураживающие суммы. Расценки
https://bit.ly/3ladDwZ

Баги и уязвимости бывают не только в софте, тому примеры проблемы Intel и AMD в 2018 году. Но это не все, встречаем еще примочки!

New secret-spilling hole in Intel CPUs sends company patching
https://bit.ly/3cL5WZp

Serious security vulnerabilities in DRAM memory devices
https://bit.ly/3p0uyDl

Самоучитель системного администратора, Кенин А. М., релиз 2021, язык русский

Книга не о безопасности, но будет весьма полезна новичкам и тем, кто осваивает азы ИТ что бы перейти в безопасность. Материал изложен последовательно и систематизировано, одна из лучших книг по этой теме на русском языке

Описание от издателя:
Изложены основные задачи системного администрирования, описаны базовые протоколы, даны рекомендации по выбору оборудования и проведению ежедневных рутинных операций. Подробно раскрыты технологии, используемые при построении информационных систем, описаны средства мониторинга и обслуживания как малых, так и распределенных сетей. Рассмотрены методы централизованного управления, основы создания безопасной среды. Даны рекомендации по поиску неисправностей, обеспечению защиты данных.

#book #newbie

Британець став першою людиною у світі з 3D надрукованим очним яблуком

Стів Верзе втратив ліве око у 20 років і з тих пір користується протезами, які потрібно змінювати кожні п’ять років.

Інженер зазначив, що пластикові акрилові протези не були достатньо зручними для Стіва. Тепер він збирається вийти з лікарні Мурфілдс з першим в історії надрукованим оком, яке практично не відрізняється від справжнього.

Хоча 3D-надрукована версія не відновить зір його лівого ока, Стів сподівається, що це поверне частину його впевненості.

Лікарі пропонують пацієнтам 3D-надруковані очі в рамках клінічних випробувань, які можуть скоротити час очікування на протезування вдвічі. Зараз пацієнту потрібно близько шести тижнів, щоб встановити протез.

Для ока, надрукованого на 3D-принтері, потрібно всього дві з половиною години. Близько 60 000 людей у Великобританії потребують протезування очей.

Деталі: https://bit.ly/3xAiNYl