​Кажется, началось

Всё, наше население начали запугивать угрозами VPN. Делают это максимально кринжово, абстрактно и со вкусом. Вот тут можете посмотреть на эти шедевры кинематографа.

Кажется, что это связано введением отечественного сервиса, о котором мы говорили ранее. Думаю, что скоро начнутся разговоры о том, что лучше доверять свои личные данные только национальным сервисам, а не "западным".

#НовостьДня

Твой Пакет Безопасности

Позитивные тактики и техники

Наткнулся тут на приятно свёрстанный файлик от всем известных Positive Technologies. Документ переведен на русский язык и основан на базе знаний MITRE ATT&CK. Судя по всему, файл прошлогодний, но он всё равно может принести достаточно пользы как ребятам из Blue, так и Red Team.

Кстати, Позитивы вообще часто переводят на русский язык труды и материалы той самой MITRE, за что им большой респект. Ну а вы ловите тот самый файлик – кибербезопасникам точно пригодится.

#Полезное

Твой Пакет Безопасности

​За сколько можно взломать твой пароль?

Есть такой дуэт нейросетей под названием PassGAN. Он был давно разработан с целью эффективного подбора пользовательских паролей. Еще лет 6 назад исследователи, при помощи PassGAN, взламывали миллионы аккаунтов социальной сети LinkedIn.

Так вот, его решили воскресить под шумок нейросетевого хайпа. А сделала это компания Home Security Heroes, выкатив отчет о том, насколько эффективен ИИ при подборе паролей в 2023 году. Если коротко, то эффективен, но всё зависит от сложности пароля (вот это сюрприз).

На самом деле, ребята сделали достаточно красивый и подробный отчет, в котором есть даже интерактивный валидатор паролей, с которым можно поиграться, проверив свой пароль на криптостойкость (но лучше, всё-таки, свой пароль никуда не вводить). Ах да, про двухфакторную аутентификацию тоже не забывайте.

#Мнение

Твой Пакет Безопасности

​Настало время проникновений

Тут вышла новость о том, что в России теперь запускают обучение белых/этичных хакеров. Звучит немного странно, с учетом того, что такие образовательные программы были и до этого. Рекламировать, думаю, никого не будем, всё и так прекрасно гуглится по ключевым словам.

Видимо ребятам из Минцифры надо было напомнить о существовании этого направления, с учетом текущей обстановки. Если коротко, то белый или этичный хакер – это тот самый пентестер, котором мы уже не раз заводили разговор в прошлых постах. Эти ребята работают либо в найме внутри продуктовой компании (если она себе это может позволить), либо в найме у компании, которая предоставляет услуги по аудиту безопасности, либо вообще на фрилансе.

Цвет и статус этичности этих хакеров говорит о том, что все найденные ими уязвимости безопасности будут отдаваться сразу заказчику для их устранения, а не выкладываться в дарквеб для заработка на стороне (хотя бывали и такие случаи). В общем, профессия крайне полезная, а что самое главное – востребованная и с постоянным кадровым голодом (не только в СНГ), так что вэлкам.

#НовостьДня

Твой Пакет Безопасности

​Настало время поговорить о зарплатах

Наткнулся тут на исследование рынка труда и зарплат от ребят из Get Express (скачать полную версию можно тут). Думаю, что многим будет интересно почитать.

Там даже есть отдельный слайд про сегмент кибербезопасности со всеми основными ролями и зарплатами по Питеру и Москве. К слову, этот отчет вполне себе бьется с аналитикой, которую я собираю на собесах, как своих, так и моих менти.

Кибербез продолжает расцветать и набирать обороты, догоняя скоростной рынок IT, что не может не радовать.

#Полезное

Твой Пакет Безопасности

​Немного про национальные киберсилы

Не так давно вышла новость о том, что ЕС собираются накрыться своим киберкуполом. Эта некая сущность, которая будет призвана защищать ИТ-инфраструктуру стран ЕС от кибератак. Почти вовремя, с учетом последней атаки на Killnet на сервисы НАТО. Согласно веяниям трендов, работать купол будет на ИИ под капотом, что позволит ему обнаруживать сигналы киберугроз и вовремя к ним подготовиться.

Также Великобритания вновь заявила о своих собственных "National Cyber Forces", целью которых являются наступательными операциями против недружественны режимов и террористических организаций. В списке недружественных стран, само собой, есть и Россия.

К слову, у нашей страны есть свои киберсилы – Войска информационных операций, которые даже официально входят в состав ВС РФ. Суть их примерно такая же, как и у британских NCF. Плюс есть некие надежды на Окулус, о котором мы говорили ранее, так что от трендов не отстаем.

#НовостьДня

Твой Пакет Безопасности

​Время проникновения

Кажется, у нас тут среди подписчиков есть какое-то количество пентестеров, которым могут пригодиться следующие инструменты. Ну а если нет, то скорее пересылайте своим друзьям из кибербеза.

Начнём с базового альманаха, который может упростить жизнь многим любителям проникновений – вот ссылка. Тут можно найти целый чек-лист с руководством по тестированию многих популярных сервисов.

А вот тут лежит опенсорсная тулза для автоматизации пентеста, чтобы не тратить своё драгоценное время.

Здесь вы можете найти тулзу для исследования на безопасность мобилок прямо в рантайме.

Ну а если вы увлекаетесь реверс-инжинирингом, то вэлкам сюда. Это целый мультиплатформенный сервис на питоновских библиотеках для исследования бинарников.

Сам я не пентестер и топлю за блю-тим, так что за находки спасибо большое моим друзьям и подписчикам.

#Полезное

Твой Пакет Безопасности

​Яблочный спас

Сегодня внеочередной пост из-за новостей о достаточно опасных уязвимостях в яблочных устройствах. Речь сразу и про macOS (макбуки, мак мини и прочие), и про iOS (айфоны и старые айпэды). Более того, уязвимости тоже сразу две.

Если коротко, то просто поскорее зайдите в настройки ваших устройств и проверьте наличие обновлений операционной системы для них (и установите их, если они есть).

Если чуть подробнее, то была опубликована информация о двух свежих уязвимостях – CVE-2023-28205 и CVE-2023-28206. Обе с высоким уровнем опасности и обе дают возможность выполнить на вашем устройстве вредоносный код без вашего ведома.

Опасно ли это? – Да. Заражать вас будут через браузер, так что до обновления будьте аккуратнее с подозрительными ссылками. Рассылайте всем неравнодушным к яблочной технике, ну и берегите себя там.

#Полезное

Твой Пакет Безопасности

​Интимный угон аккаунта

Настало время поговорить о свежих схемах мошенничества в нашем любимом мессенджере – Телеграме. Ничего сверхъестественного никто не придумал, и, как и всегда, вся новинка заключается только в оболочке самого обмана. Тем не менее, знать об этом нужно, чтобы ни вы, ни ваши родные, на подобные уловки не попались. Ну поехали.

Начнем с забавной схемы, которую недавно опубликовали ребята из Касперского. Мошенники заманивают своих жертв интимными фотографиями знакомых им людей. Для того, чтобы получить слитые интимные фото своих знакомых, жертве нужно авторизоваться в специальном боте (ну а как иначе он узнает, кто ваш знакомый...). Далее схема стандартная – вы теряете доступ к своему аккаунту.

Также я начал натыкаться на случаи, когда аккаунт угоняют через фейковые зеркала глаза бога (по той же самой логике, только без интима), так что будьте бдительны и проверяйте тех ботов, которыми пользуетесь. А еще помните, что сбор информа­ции о час­тной жиз­ни других людей без их сог­ласия незако­нен.

Под угрозой теперь еще и подростки, так как их мошенники начали заманивать в различные сервисы и боты под предлогом получения внутренней игровой валюты для популярных мобильных игр. Итог всё тот же – утеря аккаунта в мессенджере.

#Кибергигиена

Твой Пакет Безопасности

​Децентрализация безопасна, говорили они

В криптомире многие пользователи выбирают для хранения своих денег кошелек MetaMask. Делают они это осознанно, аргументируя свой выбор тем, что это безопасное решение, так как сам сервис децентрализованный.

В общем, на днях один из серверов Метамаска был взломан, и с него были слиты персональные данные 7 000 владельцев криптокошельков. Интересно то, что в рунете Метамаск очень чутко следит за своей репутацией, поэтому данную новость сложно найти на просторах наших интернетов.

Думаю, что все вы прекрасно понимаете, что нет чего-то абсолютно безопасного, и важно самим прикладывать усилия для того, чтобы уберечь свои деньги, данные и прочие ценности от злоумышленников. Также и с кошельками. Да, теперь надо соблюдать еще и правила КриптоКиберГигиены (подробнее можно почитать тут или тут)

#Кибергигиена

Твой Пакет Безопасности

Не одним топом едины

Вдохните, сейчас будет ИБшный, но короткий пост (поэтому с вас лайк и репост кибер-друзьям). Вы наверняка не раз слышали об OWASP TOP-10. Максимально заезженная тема практически на всех собеседованиях в кибербезе. Лично я уже считаю это моветоном, и, если слышу подобный вопрос на собесе, то понимаю, что у интервьюера закончилась фантазия.

Но суть поста не в этом, а в том, что многие могли не знать о том, что это далеко не единственный проект от знаменитых OWASP. У этих ребят есть подобные топы под разные специфики, например, под мобилку (можно глянуть вот по этой ссылке) или CI/CD (положил прямо в пост). И это далеко не всё, так что вам будет что почитать на ночь.

Ну всё, выдыхайте, пост закончен.

#Полезное

Твой Пакет Безопасности

​Тотальное расширение

Ура, мой любимый сервис по проверке вредоносных ссылок и файлов выпустил официальное расширение для браузера (пока в арсенале есть Хром и Фаерфокс).

Теперь не нужно держать сайт в закладках. Более того, все файлы буду сканироваться автоматически после их скачивания.

Такое мы устанавливаем.

#Полезное

Твой Пакет Безопасности

​Даёшь децентрализацию во все технологии

Opera тут на днях решила вернуть в свой браузер встроенный плагин с бесплатным VPN. Когда-то такая изюминка была у них на всех платформах, что делало жизнь чуть проще, так как иногда нужно быстро зайти на какой-то ресурс, не доступный без VPN (иногда можно). Сейчас эта фича есть только на платформе iOS, но это хоть что-то. Посмотрим, будет ли РКН блокировать и этот VPN.

С подводкой закончили, а теперь к сути. В комментариях под одним из прошлых постов мы с вами обсуждали, что далеко не все готовы разбираться с поднятием своего сервера для VPN, поиском сервиса с открытым исходным кодом и т.д. И это совершенно нормально.

Но базовые потребности (в анонимности и доступе к закрытым сервисам) нужно решать, поэтому, возможно, вам стоит посмотреть в сторону коробочных dVPN. Если коротко, то это децентрализованный VPN (да, это модно), а если не коротко, то можете почитать, например, тут.

Я когда-то пользовался только одним подобным сервисом – MysteriumVPN. Немного поискав, я наткнулся еще на Sentinel и Orchid (и это всё не реклама). Полной безопасности и уверенности в анонимности они вам обеспечить не смогут (как и арендованный у кого-то сервер), но это всяко лучше обычных VPN-сервисов.

#Полезное

Твой Пакет Безопасности

​Крипто хомяки

В одном из прошлых постов мы с вами говорили о том, что не существует безопасных криптокошельков и важно то, как мы ими пользуемся. Сегодня предлагаю затронуть тему угроз в мире крипты. Думаю, что многие из вас уже хоть раз, да пользовались ей. Ну а если нет – то рекомендую начинать изучать эту тему, так как, возможно, за этим будущее. Разбирать все криптоугрозы в одном (или даже не в одном) посте – просто нереально, поэтому пройдемся по верхам, само собой, с полезными ссылками.

Во-первых, злоумышленники снова начали воровать крипту обычных пользователей через браузер Tor. Само собой, это не обычный Тор, а замаскированный под него троян-клиппер, который будет подменять адреса ваших криптокошельков, забирая себе ваши биткоины. Поэтому, будьте аккуратнее, браузер Tor может приносить не только пользу, но и вред.

Во-вторых, ребята из Каспера тут выкатили большой отчет обо всех финансовых киберугрозах за прошлый год, который всем будет полезно почитать. Да, там есть информация и про крипту. Судя по отчету, криптофишинг во всю процветает.

Ну и в-третьих, не совсем про угрозы, но, в целом, про криптовалюты – наша Федеральная Налоговая Служба продолжает потихоньку пытаться урегулировать эту сферу. Теперь ФНС может зайти к вам в гости за данными о владении вашими крипто-активами. Так что, если вы получаете зарплату в биткоинах, то можете начинать заваривать чаёк.

#НовостьДня

Твой Пакет Безопасности

Безопасные шпаргалки

Ловите очередную красивую схемку, которой со мной поделился один крутой кибербезопасник и старый товарищ. Здесь крупными мазками указаны основные элементы ДевСекОпса и, в частности, безопасного конвейера CI/CD. Удобно то, что здесь уместились даже названия некоторых инструментов.

Можете использовать схему как шпаргалку на работе или на тех же собеседованиях.

P.S. Если Телеграм вдруг зашакалил качество картинки, то заходите в лс или комментарии за оригиналом

#Полезное

Твой Пакет Безопасности

​Децентрализованный рецидив

Не так давно мы с вами уже говорили о взломе инфраструктуры одного популярного криптокошелька – Metamask. На днях подпортилась репутация еще одного крипто-сервиса – Trust Wallet. Тут уже случилось не единичное проникновение с утечкой данных пользователей, а полноценный взлом кошельков через браузерное расширение с выводом денежных средств.

Инцидент затронул далеко не всех пользователей (а только тех, кто зарегистрировался в определенный период и создал кошелек определенным способом), но похищено было порядка 170 000 долларов. Разработчики уже закрыли уязвимость в обновленных версиях плагинов для браузеров.

Радует тут сразу две вещи. Во-первых, ребята из Trust Wallet сами рассказали об этом инциденте и подробно разобрали все его детали. Во-вторых, они заявили о том, что возместят все украденные денежные средства пострадавшим пользователям. Ну а мы и дальше продолжаем записывать секретные фразы от наших криптокошельков в блокноты...

#НовостьДня

Твой Пакет Безопасности