Новая функция Recall в операционной системе Windows 11, предназначенная для ускорения поиска данных, оказалась уязвимой. Исследователь в области информационной безопасности разработал и опубликовал PoC-код, который автоматизирует процесс извлечения конфиденциальных данных из базы Recall.

​Нулевой плавник

Как я и говорил, скоро мы с крутыми ребятами и их телеграм-каналами (подсказка внизу) разыграем для вас тот самый оранжевый тамагочи – Flipper Zero (и не только его). Так вот, настало время узнать, что же это вообще такое и зачем оно вам надо. Да, будет душновато.

Из того, что знает большинство – это вожделенный девайс для всех начинающих анонимусов – вскрыть чей-то Geely, открыть шлагбаум, турникет или дверь в подъезде, взломать чей-то ПК, напугать соседей неожиданным сбоем всей электроники в доме. Но мало кто знает, что это еще и полезный мультитул в хозяйстве (помимо того, что им можно тренировать навыки физического пентеста).

Начнем с того, что флиппер – хорошая основа, на которую можно навесить монитор что-угодно, начиная от модулей с лего и диодами, заканчивая мощными антеннами и платами для взлома дополнительных интерфейсов. Но в этой игрушке есть и много чего "из коробки".

Так, например, в вашем распоряжении буде встроенный ИК-порт (помните такие?), с помощью которого вы можете управлять не самой умной электроникой в вашем доме или офисе – кондиционеры, ТВ и практически всё, у чего есть пульт. Флипперу нужно всего раз дать считать необходимый сигнал, чтобы он смог сохранить его у себя в памяти. Можно теперь смело терять пульт от телевизора. И да, такие трюки можно проделывать не только со своей техникой.

Аналогичная история со всеми сигналами на частотах 300–928 MHz – это как раз те частоты, на которых работают шлагбаумы, сигнализации, дистанционные звонки и прочие вещи, управляемые удалённо. Тут думаю всё и так понятно.

Встроенные модули RFID и NFC помогут уже со считыванием чего-то на близком расстоянии – турникеры, домофоны, другие замки или чипы у животных. Проходите в офис по пропуску-карточке – можно записать ее на Флиппер. Открываете дверь в подъезде бесконтактным брелком – можно записать его сигнал на Флиппер. А если у вас домофоны прошлого поколения, которые открываются металлической таблеткой, то и о вас позаботился разработчик, ведь тут встроена так называемая iButton, на которую можно записать (или подобрать) любой сигнал.

Еще эту штуку можно подключить напрямую по USB. к вашему компьютеру. Это откроет для вас еще больше возможностей этого тамагочи. Например, его можно использовать как аналог Google Auth для двухфакторной аутентификации. Также он умеет выводить виртуальную клавиатуру и эмулировать мышку, но эти особенности в легальном формате достаточно невостребованные.

Ну а еще у этой игрушки есть свое мобильное и десктопное приложения, с помощью которых можно ее обновлять, улучшать и управлять.

Что же тут можно умозаключить – крутая ли это штука? Абсолютно точно – да. С точки зрения идеи и инженерии так точно. Полезная ли она в быту? Точно да. Думаю, что каждый найдет в ней что-то полезное именно для себя. Опасный ли это инструмент? В руках плохих людей опасным будет даже карандаш. Так что да, это умное устройство будет достаточно эффективным орудием в руках злоумышленников. Благо мы с вами не такие.

Белый Хакер X Пакет Безопасности X OSINT Форензика X Похек

Telegram прилёг

В работе мессенджера произошёл масштабный сбой. Пользователи жалуются на проблемы с подключением к серверу, отправкой сообщений и обновлением информации в каналах.

Приложение и web-версия ресурса перестали работать примерно в 21:30 по московскому времени. С багом столкнулись жители России, Украины, Узбекистана, Казахстана, Румынии, Молдовы, Германии, Сербии, США и других стран.

В блоге сервиса пока новостей не наблюдается, судя по всему, причины сбоя пока неизвестны.

Восстановился мессенджер, кстати, не у всех. Отмечайтест, как у вас? 👍🏼👎🏼

НеКасперский

Меня иногда просят посоветовать self-hosted лабы по различным доменам знаний деятельности пентестеров для наработки и совершенствования навыков на практике, поэтому ловите небольшую подборку:

☑️ Kubernetes Goat - Vulnerable by design Kubernetes cluster
☑️ DVWA - Damn Vulnerable Web Application
☑️ DVWS - Damn Vulnerable Web Sockets
☑️ DVHMA - Damn Vulnerable Hybrid Mobile App (Android)
☑️ DVIA - Damn Vulnerable iOS App
☑️ DVIA2 - Damn Vulnerable iOS App v2
☑️ CI/CD Goat - Vulnerable CI/CD environment
☑️ DVGA - Damn Vulnerable GraphQL Application
☑️ VAmPI - Vulnerable REST API
☑️ DVSA - Damn Vulnerable Serverless Application
☑️ DVFaaS - Damn Vulnerable Functions as a Service (AWS Lambda)
☑️ AWS Goat - Damn Vulnerable AWS Infrastructure
☑️ DVCA - Damn Vulnerable Cloud Application (AWS privesc)
☑️ Azure Goat - Damn Vulnerable Azure Infrastructure
☑️ GCP Goat - Damn Vulnerable GCP Infrastructure
☑️ DVTA - Damn Vulnerable Thick Client App
☑️ DVJA - Damn Vulnerable Java (EE) Application
☑️ DVID - Damn Vulnerable IoT Device
☑️ DVAS - Damn Vulnerable Application Scanner
☑️ DVB - Damn Vulnerable Bank
☑️ DVWPS - Damn Vulnerable WordPress Site
☑️ DVNA - Damn Vulnerable NodeJS Application
☑️ DVGM - Damn Vulnerable Grade Management
☑️ Tiredful API - REST API intentionally designed broken App
☑️ DVCSharp - Damn Vulnerable C# Application (API)
☑️ DVRF - Damn Vulnerable Router Firmware
☑️ DVLLMP - Damn Vulnerable LLM Project
☑️ DVLLMA - Damn Vulnerable LLM Agent

Безусловно некоторые из них уже устарели и содержат не самые актуальные баги, а с некоторыми придется повозиться чтобы установить и развернуть, но все же это хорошая отправная точка для погружения в интересующую тематику😎