Mr.Robot:
11 серия 4 сезона уже вышла, и доступна в озвучке LostFilm.
https://mister-robot.tv/4-sezon/202-4-sezon-11-serija.html

Языки программирования, которые изучаю и узнаю что-то новое для себя. Это JavaScript, C, Python.

Преступники похитили более 23 млн рублей из банкоматов

Новокуйбышевский городской суд Самарской области вынес приговор в отношении двух участников преступной группировки, похитившей более 23 млн рублей из банкоматов.

Согласно материалам дела, участники группировки ездили по разным регионам России на арендованных машинах, изучали расположение банкоматов, установленных в офисах банков, торговых центрах и прочих общественных местах, а затем с помощью компьютерного оборудования подключались к устройствам и выводили деньги. Далее преступники переводили похищенные средства организатору группировки. В общей сложности сообщникам удалось украсть 23 107 млн рублей.

Как сообщили в прокуратуре Самарской области, участников группировки было трое, личность последнего устанавливается.

Двоим участникам группировки предъявлены обвинения в совершении 17 преступлений предусмотренных пп. «а,б» ч. 4 ст. 158 УК РФ (кража, совершенная в крупном и особо крупном размере, организованной группой). Суд назначил им наказание в виде 5 лет и 10 месяцев и 4 лет 10 месяцев лишения свободы в колонии строго режима.

Источник: https://www.securitylab.ru/news/503549.php

Обзор инцидентов безопасности за период с 16 по 22 декабря 2019 года

На прошедшей неделе в Сети была опубликована база данных, содержащая более 267 млн уникальных идентификаторов учетных записей пользователей социальной сети Facebook. Утечка произошла 4 декабря нынешнего года. Предположительно, она могла быть вызвана действиями некой вьетнамской киберпреступной группировки, получившей доступ к API Facebook.

Еще одна утечка данных коснулась компании Lime, предоставляющей пользователям возможность арендовать скутеры в крупных городах с помощью специального приложения. Как стало известно, в даркенете выставлена на продажу база действительных учетных записей Lime. Получив доступ к одной из таких учетных записей, пользователю не нужно будет платить компании за использование транспортного средства. Стоимость одной учетной записи составляет 13 евро.

Украинская киберполиция обезвредила мошенническую группировку, занимавшуюся взломом компьютерных сетей супермаркетов. Участники преступной группы использовали уязвимости в системе программы лояльности всеукраинской сети супермаркетов для вывода денежных средств со счетов пользователей. Злоумышленникам удалось похитить более 2 млн грн (примерно 5,3 млн рублей).

На прошлой неделе исследователи сообщили о ряде крупных кампаний по кибершпионажу. В рамках одной из них китайские хакеры в течение двух лет без лишнего шума атаковали компании и правительственные учреждения, похищая пароли и обходя двухфакторную аутентификацию для сбора данных. Жертвами преступников стали компании в 10 странах, включая США, Великобританию, Францию, Германию и Италию.

Еще одна кампания была направлена на промышленные и инженерные предприятия. От атак пострадало более двух сотен компаний, преимущественно расположенных в Южной Корее, в том числе «многомиллиардный корейский конгломерат, который производит критически важное инфраструктурное оборудование». В рамках кампании применялась новая версия инфостилера Separ.

Источник: https://www.securitylab.ru/news/503658.php

Вышла 12 серия Mr.Robot в озвучке от LostFilm:
https://mister-robot.tv/4-sezon/206-4-sezon-12-serija.html

Киберпреступники похитили $480 тыс. у разработчиков криптовалюты NULS

Неизвестные киберпреступники «обчистили» аккаунты, принадлежащие разработчикам криптовалюты NULS, похитив 2 млн токенов (порядка $480 тыс.). Более полумиллиона из них уже выведены на рынок, поэтому отследить их невозможно.

Для того чтобы «заморозить» оставшуюся часть криптовалюты, разработчики NULS планируют осуществить хардфорк (изменение криптовалютного протокола, несовместимое с его предыдущими версиями). В связи с этим участникам сети необходимо как можно скорее обновить свои узлы до последней версии ПО.

Как сообщают разработчики, атакующие проэксплуатировали теперь уже исправленную уязвимость в версии NULS 2.2.

Решение команды NULS осуществить хардфорк аналогично решению, принятому разработчиками Ethereum после взлома децентрализованной автономной организации DAO в 2016 году.

После того, как злоумышленники похитили у DAO $40 млн в «эфирах», разработчики Ethereum разделили блокчейн на две версии. Первая версия (Ethereum) позволяла всем затронутым атакой пользователям вернуть свои сбережения, а вторая (Ethereum Classic) продолжала поддерживать оригинальный блокчейн. Этот хардфорк и по сей день остается довольно спорным – противники считают его доказательством централизации управления Ethereum. Правда, криптовалюта NULS намного менее популярна, чем Ethereum, и ее хардфорк вряд ли вызовет много шума.

Источник: https://www.securitylab.ru/news/503702.php

#mr_robot@hacker_timcore

Вышла 13 серия Mr.Robot в озвучке от LostFilm:
https://mister-robot.tv/4-sezon/207-4-sezon-13-serija.html

Сделал себе презентик на НГ. Книга по языку программирования Python. Довольно свежая.

Не забывайте, что книги по программированию нужно не только читать, весьма желательно выполнять все имещющиеся в них примеры, а также экспериметировать, что-нибудь в этих примерах изменяя. Поэтому если Вы удобно устроились на диване и настроились просто читать, у Вас практически нет шансов изучить язык. Чем больше Вы будете делать самостоятельно, тем большему научитесь.

Смартфоны Samsung заподозрили в скрытой отправке данных в Китай

Смартфоны и планшеты производства компании Samsung предположительно поставляются с предустановленным “шпионским” ПО, которое регулярно обращается к расположенным в Китае серверам. Речь идет о функции под названием Device Care, реализованной на всех смартфонах и планшетах южнокорейского производителя.

На проблемму обратил внимание один из пользователей форума Reddit, заметивший, что данная функция имеет отношение к китайской компании Qihoo 360, ранее неоднократно фигурировавшей в скандалах, связанных со скрытым сбором данных. В то время как Samsung сама подтвердила, что модуль Storage функции Device Care работает на ПО Qihoo, компания не предоставила никакой информации относительно того, почему он отправляет данные в Китай.

“Сканнер Storage на вашем телефоне имеет полный доступ ко всем персональным данным (так как он является частью системы) и по китайским законам будет отправлять данные при сответсвующих запросах”, - поясняет пользователь.

Как оказалось, при запуске функция коммуницирует с несколькими китайскими серверами, хотя в настоящее время неизвестно, какие данные передаются.

“К сожалению, мне не удалось выяснить, что именно передается на серверы, поскольку для этого мне пришлось бы осуществить атаку человек посередине на мой телефон, что требует прав суперпользователя”, - пишет пользователь.

В компании Samsung пока не прокомментировали ситуацию. Тем временем, ряд пользователей ее устройств уже запустили петицию с просьбой удалить программное обеспечение Qihoo 360 со смартфонов.

Источник: https://www.securitylab.ru/news/503845.php

В приложении TikTok исправлены серьезные уязвимости

Специалисты компании Check Point опубликовали отчет о серьезных уязвимостях в популярном приложении TikTok. С их помощью злоумышленники могли не только похищать данные пользователей, но и манипулировать их статусами в профиле и видео.

В частности, уязвимости позволяли получать доступ к чужим учетным записям и манипулировать их контентом, удалять и загружать видео, делать скрытые видеоролики видимыми для всех и раскрывать сохраненную в аккаунте персональную информацию (например, электронный адрес).

В ходе исследования безопасности приложения эксперты обнаружили, что сайт TikTok позволяет от своего имени отправлять SMS-сообщения на любые номера телефонов. Злоумышленник может осуществить спуфинг сообщения, изменив параметр download_url в перехваченном HTTP-запросе, вставить любую, в том числе вредоносную, ссылку и отправить ее пользователю от имени команды TikTok.

Злоумышленник может осуществить реинжиниринг поддельной ссылки и отправить TikTok запросы вместе с cookie-файлами жертвы. Здесь могут быть проэксплуатированы другие обнаруженные исследователями уязвимости. Даже без межсайтовой подделки запросов злоумышленник может выполнить JavaScript-код и совершать действия от лица пользователя. С помощью комбинации POST- и GET-запросов атакующий может менять настройки приватности скрытых видео, создавать новые ролики и публиковать их в учетной записи жертвы.

Выполнение JavaScript-кода также позволяет получать персональную информацию жертвы через существующие вызовы API, однако для этого атакующему сначала придется обойти механизмы безопасности SOP (правило ограничения домена) и CORS (совместное использование ресурсов между разными источниками).

Разработчик приложения исправил уязвимости до публикации отчета исследователей.

Ссылка: https://www.securitylab.ru/news/503899.php