👾 Подборка полезных материалов за эту неделю:

— Вводная статья по атакам на Wi-Fi
— Что учитывать про XXS при безопасной разработке
— Что учитываться про CSRF при безопасной разработке
— Вводная статья про OSINT: суть практики, главные инструменты, типовые задачи
— Подборочка книг про OSINT

Половина наших материалов за эту неделю сделана по вашим предложениям. Если хотите, чтобы мы о чем-то написали — обращайтесь к боту!

Начнем неделю по-шпионски: хакеры могут взламывать смартфоны с помощью звука прикосновений к сканеру отпечатков пальцев 🤚

Новый метод PrintListener позволяет красть биометрические данные без всякой разблокировки телефона.

Как это происходит:

1. Вы скачиваете вирус под видом обычной программы.
2. Зловред запрашивает доступ к микрофону и начинает прослушивать все вокруг.
3. Когда прикасаетесь к смартфону, микрофоны начинают улавливать небольшие колебания.
4. На основе этих данных злоумышленник может получить рисунок ваших отпечатков. Самый вкус: жертве не обязательно разблокировать смартфон — вирус может построить шаблон отпечатков, даже если палец владельца случайно коснулся экрана.

Но не всё так просто. Судя по исследованиям, такой взлом имеет шанс успеха в 9,3% случаев и эффективен лишь на 26,5% устройств.

Вот тут подробное описание метода. Чтиво, конечно, интересное 👹

Признавайтесь, мы?

👨🏿‍💻 Безопасная разработка: Open Redirects

В этой статье подробнее про переадресацию и перенаправления. Покажем, как выглядит небезопасный код, как можно смягчить последствия, а также дадим несколько простых правил, которые помогут сделать веб-ресурс надежнее.

Книга дня: Rick Howard — Cybersecurity First Principles: A Reboot of Strategy and Tactics

Рик — директор по безопасности, главный аналитик и старший научный сотрудник The Cyberwire. В этой книге он на одном месте вертит представление о кибербезопасности как о наборе методик, техник и инструментом, а делает упор на «первые принципы» (спойлерить что это не будем).

Внутри реальные кейсы, очень много про майндсет и то, как должна выглядеть кибербезопасность, которая защищает ресурсы, а не крадет человекочасы.

Шикарная книга для управленцев и тех, кто ищет в нашей сфере новые смыслы.

Ссылка на книгу

Кайфовый, конечно, доклад у Интерпола. Кратко передаем настроение: «О БОЖЕ! ПРЕСТУПНИКИ ИСПОЛЬЗУЮТ НОВЫЕ ТЕХНОЛОГИИ!».

Ну, а если серьезно, вот несколько выводов:

1. Кибержулики всё чаще используют блокчейн, ИИ, большие языковые модели в своих атаках.
2. Самые сильные тренды: инвестиционное мошенничество, мошенничество с авансовыми платежами, любовное мошенничество и компрометация деловой электронной почты.
3. В Европе (будем считать, что Россия там) очень страдают от Pig butchering.

🧩 Безопасная разработка: Clickjacking

Этой статьей заканчиваем наш небольшой цикл про безопасную разработку. В этот раз расскажем, что нужно учесть в проекте, чтобы обезопасить себя от Clickjacking.

Книга дня: Christopher Diaz — Database Security: Problems and Solutions

Этот монумент расскажет, как решать проблемы безопасности баз данных на этапах проектирования, внедрения и производства. Все рассказывается на примерах MySQL, Oracle и Microsoft SQL Server и вычислительных платформ (Linux/UNIX, MacOS, Windows). В конце каждой главы есть упражнения, чтобы закрепить теорию.

Не книга, а мёд. Кстати, вот ссылка

P.S. Никогда не задумывались, почему на Западе такие стрёмные обложки на книгах?

Каждый директор по кибербезопасности и политик после сильной атаки be like.

Кстати, вот вам мысль на утро. PR всегда работает сильнее, чем предполагается. С одной стороны весь мир считает, что русские хакеры — это зло и ад.

С другой, эта же мысль открывает пару тайных комнат:

1. Русские хакеры — это элита из элит, кибер-отряды Рэмбо.
2. Весь мир, который создает передовые технологии не может адекватно предотвращать и реагировать на русские атаки.

Вопрос, как говорится, только один: «И кому тут выгода?»

👰‍♀️ Свадьба GPT и ИБ — лишь дело времени

Испанский пентестер «luijait» запустил DarkGPT — OSINT-инструмент на базе GPT-4-200K для анализа данных из утечек.

DarkGPT позволяет получать доступ к данным, точно обрабатывать и анализировать инфу из утечек.

Запуск DarkGPT требует Python 3.8+. Начало работы — клонирование GitHub репозитория и настройка переменных окружения для API и БД. После чего нужно установить некоторые Python-пакеты через автоматизированную команду.

Вот ссылка на DarkGPT

🎳 Shodan

В этой статье про распространенный инструмент OSINT, который помогает искать умные устройства. Расскажем, какие есть особенности у Shodan, в чем его плюсы и минусы.

Спите? Зря.

Новость — мёд. Оказывается, в России хотят (хотели?) сделать аналог GitHub. Узнали мы об этом сейчас, когда прочитали вот такое.

Сроки создания национальной платформы для обмена и разработки открытого кода были отложены из-за финансовых проблем. Это нам сообщают «Ведомости».

Идея, предложенная Минцифры в декабре 2022 года с бюджетом в 1,3 миллиарда рублей, столкнулась с задержкой транша денег. Сейчас рассматриваются новые стратегии проекта, включая активное использование ИИ, участие IT-сообщества.

Инициатива по национальной платформе, предложенная премьером Мишустиным, первоначально запланирована после блокировки российских пользователей GitHub. Несмотря на появление частных платформ, призванных укрепить цифровой суверенитет, отмечается необходимость в едином национальном репозитории для координации усилий разработчиков и обеспечения цифровой безопасности, на что потребуется 300-500 миллионов рублей за три года.

Вот такой вот русский открытый код.

📱 Особенности и подходы к тестированию мобильных приложений

В этой статье выдали теоретическую базу по тестированию мобильных приложений: что здесь важно учитывать и какие методы можно использовать.

Вот, например, Альфа ищет вэб пентестера. Что важно и о чем не написали в вакансии.

1. Банки могут платить много, потому что другие банки тоже не спят.
2. Будьте готовы к ограничениям банковскими нормативами в рамках ПО.
3. И ещё, возможно, готовьтесь к бюрократии.

Сама вакансия.

Вэб пентестер в Альфа банке
Опыт: 1-3 года (1 год подойдет)
Деньги: хз, но меньше чем на 300-350 к можете не договариваться

Что делать:

— white/gray box
— анализировать backend-приложений, решения и технологии с точки зрения ИБ + давать рекомендации по улучшению безопасности и устранению уязвимостей

Требований много (но они базовые), корпоративных плюшек ещё больше (но они базовые для крупных компаний).

Откликайтесь тут.

P.S. Там требуют Agile, так что просите все 500 к (шутка).

Тот момент, когда за пару дней редактор заигрался в метаиронию. Уверены, что рано или поздно кто-то сделает подобие Helldivers II, где вместо десанта и захвата планет будут red и blue тим и гигантские по масштабу CTF-структуры.

Кодзима, если ты читаешь нас, идея твоя.