💨 Aircrack-ng

В этой статье про популярный инструмент тестирования беспроводных сетей. Расскажем, что умеет, в чем его особенности, какие есть плюсы и минусы.

Девушки, с 8 марта!

Кто-то думает, что кибербезопасность — это чистая мужская айтишная тусовка, но это не так. Мы лично знаем многих девушек крутейших киберследователей, OSINT и пентест специалистов.

Любые стереотипы — отстой. А вы — прекрасны! С праздником ❤️

Настолько затянулись выходные, что забыли дать подборку полезных материалов. Исправляемся 🫡

— Вводная статья о стандарте Content Security Policy (CSP)
— Статья про особенности применения и примеры эксплуатация Crunch — инструмента для атак на пароли
— Статья про особенности кликджекинга и первых мер защиты веб-ресурса
— Материал про Aircrack-ng — инструмент тестирования беспроводных сетей

Бот предложки работает! Написали вводную статью по атаке на Wi-Fi: как выглядит процесс взлома без всяких частных деталей.

Что важно:

1. Взламывать чью-то сеть без разрешения → преступление.
2. Прочитай ещё раз пункт один.

💀Безопасная разработка: XSS

Мы начинаем серию постов про безопасную разработку. Начнем с Cross-Site Scripting. Разберем, какие символы нужно исключить из HTML, как можно реализовать CSP и другие способы защиты от XXS-атак.

🐢 Безопасная разработка: CSRF

В этой статье разберем способы защиты от Cross-Site Request Forgery: от архитектурного уровня до использования промежуточного ПО.

🥸 Начало в OSINT

Снова в деле наша предложка! В этой статье мы расскажем про OSINT: суть, методы и основные инструменты. А ещё дадим 6 типовых задач, с которых можно начать тренировки.

👾 Подборка полезных материалов за эту неделю:

— Вводная статья по атакам на Wi-Fi
— Что учитывать про XXS при безопасной разработке
— Что учитываться про CSRF при безопасной разработке
— Вводная статья про OSINT: суть практики, главные инструменты, типовые задачи
— Подборочка книг про OSINT

Половина наших материалов за эту неделю сделана по вашим предложениям. Если хотите, чтобы мы о чем-то написали — обращайтесь к боту!

Начнем неделю по-шпионски: хакеры могут взламывать смартфоны с помощью звука прикосновений к сканеру отпечатков пальцев 🤚

Новый метод PrintListener позволяет красть биометрические данные без всякой разблокировки телефона.

Как это происходит:

1. Вы скачиваете вирус под видом обычной программы.
2. Зловред запрашивает доступ к микрофону и начинает прослушивать все вокруг.
3. Когда прикасаетесь к смартфону, микрофоны начинают улавливать небольшие колебания.
4. На основе этих данных злоумышленник может получить рисунок ваших отпечатков. Самый вкус: жертве не обязательно разблокировать смартфон — вирус может построить шаблон отпечатков, даже если палец владельца случайно коснулся экрана.

Но не всё так просто. Судя по исследованиям, такой взлом имеет шанс успеха в 9,3% случаев и эффективен лишь на 26,5% устройств.

Вот тут подробное описание метода. Чтиво, конечно, интересное 👹

Признавайтесь, мы?

👨🏿‍💻 Безопасная разработка: Open Redirects

В этой статье подробнее про переадресацию и перенаправления. Покажем, как выглядит небезопасный код, как можно смягчить последствия, а также дадим несколько простых правил, которые помогут сделать веб-ресурс надежнее.

Книга дня: Rick Howard — Cybersecurity First Principles: A Reboot of Strategy and Tactics

Рик — директор по безопасности, главный аналитик и старший научный сотрудник The Cyberwire. В этой книге он на одном месте вертит представление о кибербезопасности как о наборе методик, техник и инструментом, а делает упор на «первые принципы» (спойлерить что это не будем).

Внутри реальные кейсы, очень много про майндсет и то, как должна выглядеть кибербезопасность, которая защищает ресурсы, а не крадет человекочасы.

Шикарная книга для управленцев и тех, кто ищет в нашей сфере новые смыслы.

Ссылка на книгу

Кайфовый, конечно, доклад у Интерпола. Кратко передаем настроение: «О БОЖЕ! ПРЕСТУПНИКИ ИСПОЛЬЗУЮТ НОВЫЕ ТЕХНОЛОГИИ!».

Ну, а если серьезно, вот несколько выводов:

1. Кибержулики всё чаще используют блокчейн, ИИ, большие языковые модели в своих атаках.
2. Самые сильные тренды: инвестиционное мошенничество, мошенничество с авансовыми платежами, любовное мошенничество и компрометация деловой электронной почты.
3. В Европе (будем считать, что Россия там) очень страдают от Pig butchering.

🧩 Безопасная разработка: Clickjacking

Этой статьей заканчиваем наш небольшой цикл про безопасную разработку. В этот раз расскажем, что нужно учесть в проекте, чтобы обезопасить себя от Clickjacking.

Книга дня: Christopher Diaz — Database Security: Problems and Solutions

Этот монумент расскажет, как решать проблемы безопасности баз данных на этапах проектирования, внедрения и производства. Все рассказывается на примерах MySQL, Oracle и Microsoft SQL Server и вычислительных платформ (Linux/UNIX, MacOS, Windows). В конце каждой главы есть упражнения, чтобы закрепить теорию.

Не книга, а мёд. Кстати, вот ссылка

P.S. Никогда не задумывались, почему на Западе такие стрёмные обложки на книгах?

Каждый директор по кибербезопасности и политик после сильной атаки be like.

Кстати, вот вам мысль на утро. PR всегда работает сильнее, чем предполагается. С одной стороны весь мир считает, что русские хакеры — это зло и ад.

С другой, эта же мысль открывает пару тайных комнат:

1. Русские хакеры — это элита из элит, кибер-отряды Рэмбо.
2. Весь мир, который создает передовые технологии не может адекватно предотвращать и реагировать на русские атаки.

Вопрос, как говорится, только один: «И кому тут выгода?»

👰‍♀️ Свадьба GPT и ИБ — лишь дело времени

Испанский пентестер «luijait» запустил DarkGPT — OSINT-инструмент на базе GPT-4-200K для анализа данных из утечек.

DarkGPT позволяет получать доступ к данным, точно обрабатывать и анализировать инфу из утечек.

Запуск DarkGPT требует Python 3.8+. Начало работы — клонирование GitHub репозитория и настройка переменных окружения для API и БД. После чего нужно установить некоторые Python-пакеты через автоматизированную команду.

Вот ссылка на DarkGPT