Програмне забезпечення, яке використовують сили прикордонної безпеки ЄС для запобігання пересуванню нелегальних іммігрантів та підозрюваних злочинців у регіоні, нібито рясніє дірами та є вразливим до кібератак.

Шенгенська інформаційна система другого покоління (SIS II) — це ІТ-система та база даних, якою спільно користуються більшість держав ЄС для правоохоронних цілей та забезпечення громадської безпеки. Згідно з новим спільним звітом Bloomberg та неприбуткової організації розслідувальної журналістики Lighthouse Reports, SIS II — яка використовується з 2013 року — страждає від “тисяч” проблем кібербезпеки, настільки серйозних, що аудитор ЄС позначив їх як “високої” важливості у звіті, поданому минулого року.

У звіті зазначається, що немає доказів крадіжки даних, але “надмірна кількість” облікових записів, які безпідставно мають доступ до бази даних, означає, що її можна досить легко використати зловмисно. Під час первинного впровадження основними доповненнями SIS II стали технологія відбитків пальців та фотографії в оповіщеннях, а в 2023 році програмне забезпечення було оновлено з покращеними даними та розширеннями до існуючого функціоналу, включаючи можливість сигналізувати, коли когось депортували з країни. Журналісти Bloomberg розмовляли з Роменом Ланно, юридичним дослідником із наглядової організації ЄС під назвою Statewatch, який попередив, що атака була б “катастрофічною, потенційно зачіпаючи мільйони людей”.

Зараз SIS II функціонує в ізольованій мережі, але незабаром буде інтегрована в систему в’їзду/виїзду ЄС (EES), яка зробить реєстрацію біометричних даних обов’язковою для осіб, що подорожують до районів, пов’язаних із Шенгеном, коли вона набуде чинності, імовірно пізніше цього року. Оскільки EES буде підключена до інтернету, злом бази даних SIS II стане значно легшим.

Bloomberg і Lighthouse зазначають, що хоча більшість із приблизно 93 мільйонів записів системи SIS II стосуються об’єктів, таких як викрадені транспортні засоби, близько 1,7 мільйона пов’язані з людьми. Додається, що люди зазвичай не знають, що їхні дані записані в базі даних, поки не втрутяться правоохоронці, тому якщо інформація витече, розшукуваним особам може стати легше ухилятися від влади.

Розробкою та обслуговуванням SIS II керує паризький підрядник під назвою Sopra Steria. Згідно зі звітом, коли повідомлялося про вразливості, їх усунення займало від восьми місяців до понад п’яти років. Це незважаючи на контрактне зобов’язання виправляти проблеми, які вважаються критично важливими, протягом двох місяців після випуску патчу.

Представник Sopra Steria не відповів Bloomberg щодо детального списку звинувачень стосовно дір безпеки SIS II, але заявив у відповіді, надрукованій у звіті, що протоколи ЄС дотримувалися. “Як ключовий компонент інфраструктури безпеки ЄС, SIS II керується суворими правовими, регуляторними та контрактними рамками”, — зазначалося в заяві. “Роль Sopra Steria виконувалася відповідно до цих рамок”.

EU-Lisa, агентство ЄС, яке наглядає за великомасштабними ІТ-системами, такими як SIS II, регулярно передає обов’язки зовнішнім консалтинговим фірмам замість розробки власних внутрішніх технологій, згідно з розслідуванням. Аудит звинуватив агентство в тому, що воно не інформувало своє керівництво про ризики безпеки, які були позначені, на що воно відповіло, заявивши, що всі системи під його управлінням “проходять безперервну оцінку ризиків, регулярне сканування вразливостей та тестування безпеки”.

Ця стаття Програмне забезпечення прикордонної безпеки ЄС повне вразливостей раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Прагнучи підвищити обізнаність як приватних компаній, так і урядових установ, агентства з кібербезпеки з США, Великобританії та Австралії опублікували нову спільну рекомендацію, яка містить інформацію про найбільш поширені та актуальні недоліки безпеки минулого та поточного року. Про це повідомляє Techradar.

Американське агентство з кібербезпеки та безпеки інфраструктури (CISA) та ФБР, а також Національний центр кібербезпеки Великобританії (NCSC) та Австралійський центр кібербезпеки (ACSC) опублікували спільні рекомендації щодо основних вразливих місць, що використовуються кіберзлочинцями. .

Ці уразливості існують у широкому асортименті продуктів, таких як пристрої VPN, сервери електронної пошти, шлюзи доступу до мережі, веб-програми, настільне програмне забезпечення тощо.

Згідно зі спільною консультативною інформацією агентств з кібербезпеки, це були найбільш використовувані недоліки безпеки у 2020 році за постачальниками та типами разом з їх номерами відстеження CVE:

• Citrix – довільне виконання коду, відстежується як CVE-2019-19781;
• Імпульс – довільне читання файлу, відстежується як CVE 2019-11510;
• Fortinet-обхід шляху, відстежується як CVE 2018-13379;
• F5- Велика IP- віддалене виконання коду (RCE), що відстежується як CVE 2020-5902;
• MobileIron-RCE, відстежується як CVE 2020-15505;
• Microsoft-RCE, відстежується як CVE-2017-11882;
• Microsoft-RCE, відстежується як CVE-2019-0604;
• Microsoft-підвищення привілеїв, відстежується як CVE-2020-0787;
• Atlassian-RCE, відстежується як CVE-2019-11580;
• Drupal-RCE, відстежується як CVE-2018-7600;
• Telerik – RCE, відстежується як CVE 2019-18935;
• Netlogon-підвищення привілеїв, відстежується як CVE-2020-1472.

Спільний звіт також містить другий перелік вразливих місць, які кіберзлочинці активно використовували у своїх атаках цього року. Однак цей список розділений за постачальниками:

• Microsoft Exchange: CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 та CVE-2021-27065;
• Pulse Secure: CVE-2021-22893, CVE-2021-22894, CVE-2021-22899 та CVE-2021-22900;
• Accellion: CVE-2021-27101, CVE-2021-27102, CVE-2021-27103, CVE-2021-27104;
• VMware: CVE-2021-21985;
• Фортінет: CVE-2018-13379, CVE-2020-12812 та CVE-2019-5591.

Оприлюднивши ці два списки найважливіших недоліків безпеки в минулому та поточному роках, агенції з кібербезпеки з США, Великобританії та Австралії сподіваються заохотити бізнес, а також урядові установи ще раз поглянути на свої продукти та послуги, щоб вони можуть виправити будь -які вразливі місця, які їм ще належить виправити.

Операційний директор  NCSC  Пол Чичестер надав додаткову інформацію щодо спільної консультації, опублікованої агентствами з кібербезпеки трьох країн у прес -релізі, заявивши:

“Ми прагнемо співпрацювати з союзниками для підвищення обізнаності про глобальні кібер -слабкості – і пропонуємо легко втілювані рішення для їх подолання. Опублікована сьогодні доповідь надає повноваження в руки кожної організації щодо усунення найпоширеніших вразливих місць, таких як пристрої шлюзу VPN, які не були виправлені. Співпрацюючи з нашими міжнародними партнерами, ми продовжуватимемо підвищувати обізнаність про загрози з боку тих, хто прагне завдати шкоди”

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

В Україні користувачів Android та iOS атакує небезпечне шкідливе ПЗ

Як перевірити шкідливий чи безпечний сайт? – ПОРАДИ

Як змусити AirPods повідомляти про дзвінки та сповіщення на iPhone? – ІНСТРУКЦІЯ

Як перевірити, які програми на iPhone Ви використовуєте найчастіше? – ІНСТРУКЦІЯ

До речі, користувачі ніколи не зможуть встановити Windows 11 на несумісні пристрої. Групова політика не дозволить Вам обійти обмеження апаратного забезпечення для установки Windows 11.

Apple має намір додати підтримку системи розпізнавання осіб Face ID на комп’ютери Mac протягом наступних двох років. Про це повідомив оглядач Bloomberg.

Зловмисники все частіше використовують безкоштовний месенджер Discord як канал для поширення шкідливих програм.

Окрім цього, стало відомо про великий витік даних учасників Clubhouse. Провідний експерт з кібербезпеки Джіт Джайн повідомив, що повна база телефонних номерів Clubhouse виставлена ​​на продаж в Darknet.

Також стало відомо, що операційна система Windows 11, яка ще офіційно не вийшла, але вже доступна для скачування і попереднього знайомства, використовується зловмисниками, які намагаються підсунути користувачеві шкідливе ПЗ під виглядом нової ОС.

Ця стаття Експертне співтовариство назвало найактуальніші уразливості 2020-2021 років раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Понад 60% програм для Android містять вразливі місця в системі, середня кількість помилок у додатку складає приблизно 39 вразливостей. Ці цифри базуються на даних, представлених Atlas VPN, та даних на основі звіту CyRC, які проаналізували безпеку 3335 програмних компонентів з відкритим кодом, серед яких безкоштовніта платні мобільні додатки у магазині Google Play. Даний звіт висвітлює величезні проблеми, з якими стикаються користувачі Android, коли йдеться про захист їх смартфонів. Про це повідомляє ZDNet.

Варто зауважити, що проблеми з безпекою мають не тільки безкоштовні програми та ігри. Уразливості є загальними і стосуються таких додатків, як банківські та платіжні програми. Як і можна було передбачити, найнебезпечнішою стала категорія безкоштовних ігор, де було встановлено, що 96% містять вразливі компоненти. Слідом за нею слідують платні ігри з найвищим рівнем оплати.

“Загалом у першому кварталі 2021 року було виявлено 3137 унікальних вразливостей, які з’являлися понад 82 000 разів у програмах Android. 73% з них було вперше виявлено більше двох років тому. Однак вони все ще містилися в додатках Android у першому кварталі цього року “, – йдеться у звіті.

Незважаючи на те, що безкоштовні та платні ігри – це легка і найпопулярніша ціль, освітні, банківські та продуктивні додатки – також знаходяться у зоні ризику. Гірше те, що більшість цих помилок можна виправити, якщо б розробники зацікавились провести аудит, але станом на сьогодні цього не сталося.

“Додатки для навчання мали найбільшу кількість вразливостей Android, які можна було виправити станом на перший квартал 2021 – 43 відсотки. Тим часом додатки для продуктивності та банківські додатки займали друге і третє місця в списку. Вони містили 41 відсоток та 39 відсотків таких вразливостей, відповідно “, – повідомляють дослідники.

Чи бачать спеціалісти в цьому проблему? Так, стверджує Atlas VPN. Команда наголошує, що так як додатки магазину Google Play завантажувались мільйони разів, можна впевнено сказати, що вони створюють значні ризики для користувачів Android.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

FaceTime для Windows: як користуватися – ІНСТРУКЦІЯ

Чому перевірка готовності Вашого ПК до Windows 11 видає неможливість встановлення?

Як безпечно користування соціальними мережами? ПОРАДИ

В Україні поширюється онлайн-грумінг: як захистити Ваших дітей? ПОРАДИ

Що можуть Google та Apple віддалено зробити з Вашим смартфоном?

Як “скинути” рекламний ідентифікатор на Android? ІНСТРУКЦІЯ

До речі, Google видалила з Play Store дев’ять Android-додатків, в цілому завантажених 5,8 млн разів, що, як виявилося, викрадали облікові дані користувачів для авторизації в Facebook.

Щоб виявити, які пристрої “розумного” будинку атакують найбільше, експерти налаштували і підключили до Інтернету уявний “розумний” будинок, що містив різні пристрої – від смарт-телевізорів і термостатів до камер відеоспостереження, принтерів і “розумних” чайників.

Винахідник інтернету сер Тім Бернерс-Лі продав на аукціоні Sotheby’s оригінальний код, за допомогою якого він колись створив Інтернет.

Окрім цього, компанія Apple 30 червня відкрила офіційний офіс в Україні – компанія планує самостійно ввозити техніку в Україну та контролювати магазини офіційних дилерів, які надають послуги компанії в Україні.

Ця стаття Кожна програма Android на Вашому телефоні має в середньому 39 вразливих місць безпеки раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Після восьмимісячного аудиту коду в останній версії інформаційно-розважальної системи автомобілів Mercedes-Benz дослідники безпеки з Tencent Security Keen Lab виявили п’ять вразливих місць, чотири з яких могли бути використані для віддаленого виконання коду.

Уразливості були знайдені в Mercedes-Benz User Experience (MBUX) – інформаційно-розважальній системі, яку спочатку запровадили на автомобілях А-класу в 2018 році, але з тих пір її застосування розширили на всю лінійку моделей цього виробника автомобілів, повідомляє SecurityWeek.

Уразливості, що позначені як CVE-2021-23906, CVE-2021-23907, CVE-2021-23908, CVE-2021-23909 та CVE-2021-23910, забезпечують хакерам дистанційне керування деякими функціями автомобіля, але без доступу до механізмів автомобіля – таких як рульове управління або гальмівна система.

Окрім націлювання на головний інформаційно-розважальний блок, дослідники безпеки також проаналізували T-Box Mercedes-Benz, успішно використали деякі з ідентифікованих сценаріїв атак і навіть поєднали деякі з них, щоб скомпрометувати головний блок навіть у реальних автомобілях.

Дослідники Keen Team виявили використання застарілого ядра Linux, яке було вразливим до конкретних атак – впливу через включений механізм JavaScript браузера та потенційного впливу на недоліки чипу Wi-Fi, стека Bluetooth, функцій USB або сторонніх виробників програми, які взаємодіють із віддаленими серверами.

Аналіз головного блоку виявив низку уразливих місць переповнення стека, включаючи дві уразливості, які можуть призвести до:

• витоків пам’яті та віддаленого виконання коду;
• віддаленого налаштування оболонки за допомогою вразливості у наданому браузері;
• відсутності захисту SELinux або AppArmor, що дозволило зловживати помилкою ядра Linux для ескалації привілеїв тощо.

Після початкового компромісу, який передбачав налаштування стійкої веб-оболонки з правами root, дослідники змогли розблокувати певні функції управління та захисту від крадіжки автомобіля, ввести стійкий бекдор і навіть виконати деякі дії управління автомобілем.

Відправляючи конкретні команди CAN, дослідники змогли контролювати освітлення фарами, керувати освітленням в салоні, відкривати кришку люка салону і керувати пасажирськими вогнями на задніх сидіннях, але не змогли повністю взяти під контроль автомобіль.

Сценарії атак за участю T-Box використовували чип Wi-Fi, мікросхему STA8090, яка працює як приймач інфрачервоного сигналу, шину CAN або LTE-з’єднання (через базову смугу зв’язку Huawei).

Однак засоби безпеки, які впровадив Mercedes-Benz, запобігали атакам з базової смуги або зниженню сигналу LTE до діапазону GSM  (це могло утруднити викрадення команд управління транспортним засобом).

Під час аналізу дослідники виявили дві проблеми в T-Box, якими можна було зловживати під час атак. Їх можна було використовувати для виконання коду на мікросхемі, яка отримує повідомлення від центрального процесора, перетворює їх і відправляє на шину CAN.

Таким чином вони змогли відправити довільні повідомлення CAN на шину CAN. Вони також змогли перепрошити мікропрограму на мікросхемі з виправленою версією прошивки для стабільної можливості здійснювати атаки.

У своєму звіті дослідники описують як успішні, так і невдалі спроби атак, а також надають великий обсяг технічної інформації про апаратне та програмне забезпечення, яке вони тестували.

Про виявлені уразливості було повідомлено продавцю (Daimler AG, який є власником Mercedes-Benz) у листопаді 2020 року. Патчі почали випускатись наприкінці січня 2021 року.

“Ми високо цінуємо досвід Tencent Security Keen Lab. На додаток до їх глибокого ноу-хау, я хотів би подякувати команді Keen Lab за продуктивну співпрацю, яку ми хотіли б продовжувати і надалі”, – сказав Аді Офек, генеральний директор Mercedes-Benz Тель-Авів, який одночасно є одним з відповідальним за сектор ІТ-безпеки автомобілів в Mercedes-Benz.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як завантажити дані Google Maps? ІНСТРУКЦІЯ

Психічне здоров’я у дітей від соцмереж і смартфонів не страждає – ДОСЛІДЖЕННЯ

Як створити надійний пароль? ПОРАДИ

Як вберегти свої банківські рахунки від кіберзлочинців? ПОРАДИ

Що таке FLoC Google і як він буде відстежувати Вас в Інтернеті?

До речі, пандемія спричинила нову хвилю цифрової трансформації у всьому світі. І державні установи не залишилися осторонь цього процесу. Завдяки розширенню цифрової інфраструктури, зокрема створенню нових додатків та сервісів, віддалених робочих місць та переходу в хмарне середовище, кількість потенційних векторів атак збільшилася.

Також повністю модульний ноутбук з ОС Windows від Framework тепер готовий до попереднього замовлення за базовою ціною у $999. Клієнти можуть розміщувати замовлення на веб-сайті Framework. 13,5-дюймовий ноутбук складається повністю з модульних деталей, включаючи материнську плату, яку ви можете легко поміняти та замінити.

Кілька редакцій Windows 10 версій 1803, 1809 та 1909 досягли кінця обслуговування (EOS), починаючи з травня , про що Microsoft нагадала нещодавно. Пристрої з випусками Windows 10, які досягли EoS, більше не отримуватимуть технічну підтримку, а також щомісячні виправлення помилок та безпеки, щоб захистити їх від останніх виявлених загроз безпеки.

Окрім цього, після вступу в силу нової політики Google в описі додатків з’явиться додатковий розділ з інформацією про те, до яких даними має доступ продукт. У розробників буде можливість розповісти користувачам про те, для чого додаткам потрібен доступ до тих або інших даних і як їх обробка впливає на загальну функціональність.

Ця стаття Дослідники знайшли ряд уразливостей у ПЗ для автомобілів Mercedes раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Команда з п’яти дослідників безпеки протягом трьох місяців проаналізувала кілька онлайн-сервісів Apple і виявила 55 уразливих місць, 11 з яких є критичними за ступенем серйозності, повідомляє TheHackerNews.

Список містить 29 уразливостей високого ступеня тяжкості, 13 уразливостей середнього ступеня тяжкості та 2 уразливості низького ступеня тяжкості, які могли дозволити зловмисникові повністю скомпрометувати як програми клієнтів, так і співробітників, запустити “черв’яка”, здатного автоматично захопити обліковий запис iCloud жертви, або навіть отримати вихідний код внутрішніх проектів Apple, повністю компрометувати програмне забезпечення для промислового контролю Apple, та навіть імітувати дії співробітників Apple завдяки можливості доступу до інструментів управління та чутливих ресурсів.

Щонайменше зловмисник міг легко захопити обліковий запис користувача iCloud та викрасти всі фотографії, інформацію календаря, відео та документи, крім того, ще пересилав той самий експлойт усім контактам жертви.

Про відкриті уразливості повідомляв незалежний дослідник Сем Каррі разом із Бреттом Бургаузом, Беном Садегіпуром, Самуелем Ербом та Таннером Барнсом протягом трьох місяців між липнем і вереснем. Після того, як про це дослідники легально повідомили компанію Apple, виробник iPhone вжив заходів, щоб виправити недоліки протягом 1-2 робочих днів, а кілька інших було виправлено протягом короткого періоду 4-6 годин. На сьогоднішній день Apple  виправила 28 із 55 уразливостей, виплативши дослідникам  288500 доларів у рамках своєї програми пошуку помилок.

Критичні помилки, на які звернули увагу Сем Каррі та команда, такі:

• Віддалене виконання коду за допомогою обходу авторизації та автентифікації;
• Обхід автентифікації через неправильно налаштовані дозволи, який дозволяє доступ до глобального адміністратора;
• Віддалене виконання коду за допомогою інструменту адміністратора. щодо екаунти якого може бути витік;
• Витік пам’яті призводить до плутанини між обліковими засобами працівників фірми та обліковими записами користувачів, що дозволяє отримати доступ до різних внутрішніх програм;
• Wormable Stored XSS дозволяє зловмисникові повністю компрометувати екаунт жертви на iCloud;
• SSRF з повною реакцією дозволяє зловмиснику читати внутрішній вихідний код та отримувати доступ до захищених ресурсів;
• Blind XSS дозволяє зловмисникові отримати доступ до внутрішнього порталу підтримки для відстеження проблем клієнтів та співробітників;
• Виконання PhantomJS на стороні сервера дозволяє зловмиснику отримати доступ до внутрішніх ресурсів та отримати ключі AWS IAM тощо.

Одним із доменів Apple, де були уразливості, був сайт Apple Distinguished Educators (“ade.apple.com”),  і ці  вразливості дозволяли здійснювати обхід автентифікації за допомогою пароля за замовчуванням (“### INvALID #%! 3”), дозволяючи зловмиснику отримати доступ до консолі адміністратора та виконати довільний код. Подібним чином, баг у процесі скидання пароля, пов’язаний із додатком DELMIA Apriso, системою управління складом продукції, дав змогу створювати та модифікувати поставки, інформацію про запаси, перевіряти значки співробітників і навіть повністю контролювати програмне забезпечення, створюючи користувачів з адміністаторськими повноваженнями.

Окрему уразливість виявили також у службі Apple Books for Authors, яка використовується авторами для написання та публікації своїх книг на платформі Apple Books. Зокрема, використовуючи інструмент завантаження файлів ePub, дослідники змогли маніпулювати HTTP-запитами з метою запуску довільних команд на сервері “author.apple.com”.

Серед інших критичних ризиків, виявлених дослідниками, були ризики, пов’язані з уразливістю міжсайтових сценаріїв (XSS) у домені “www.icloud.com”, який діє, просто надіславши жертві із адресою iCloud.com або Mac.com спеціальний електронний лист, яка при відкритті через Apple Mail у браузері дозволяв зловмисникові викрасти всі фотографії та контакти. Більше того, вразливість XSS можна було використовувати як “черв’яка”, тобто вона могла легко поширюватися після активації, надсилаючи подібний електронний лист на кожну адресу iCloud.com або Mac.com, що зберігається в контактах жертви.

“Коли ми вперше починали цей проект, ми навіть не підозрювали, що витратимо трохи більше трьох місяців на його завершення”, – зазначив Сем Каррі у своєму дописі в блозі. “Це спочатку задумувалося як допоміжний проект, над яким ми працювали час від часу,  але з урахуванням всього додаткового вільного часу завдяки пандемії, кожен з нас витратив  кілька сотень годин на це”.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Шахрайство, оманливий дизайн, або як торгові сайти змушують Вас витрачати більше?

Найпоширеніші схеми кіберзлочинців та способи захисту від них. Поради

Як користуватися спеціальними піктограмами програм на Вашому iPhone та iPad? – ІНСТРУКЦІЯ

Як перемістити програми з бібліотеки додатків на головний екран на iPhone?– ІНСТРУКЦІЯ

Чим Вам загрожує підключення невідомих USB? Поради із захисту

Як зробити Chrome веб-браузером за замовчуванням на iPhone та iPad? – ІНСТРУКЦІЯ

Кібератаки та шкідливі програми – одна з найбільших загроз в Інтернеті. Дізнайтеся з підбірки статей, як виникло шкідливе програмне забезпечення та які є його види, що таке комп’ютерний вірус, про усі види шкідливого ПЗ тощо.

До речі, дослідники розкрили подробиці про критичну уразливість в додатку Instagram для Android, експлуатація якої дозволяла віддаленим зловмисникам перехопити контроль над цільовим пристроєм шляхом відправки спеціально створеного зображення.

Цікаво знати, що кіберполіція затримала злочинну групу, яка за допомогою скімінгових пристроїв виготовляла дублікати банківських карток. Далі з цих карток знімали готівку. За це зловмисникам загрожує до 12 років ув’язнення.

Також після додавання до свого функціоналу аудіо-твітів для iOS у червні, Twitter зараз експериментує з ідеєю дозволити людям записувати та надсилати голосові повідомлення за допомогою прямих повідомлень.

Важливо знати, що хакерам вдалося обійти захист iOS 14 на пристроях, що базуються на процесорі Apple A9.

Ця стаття В програмному забезпеченні Apple знайдено 55 нових уразливостей раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Протягом кількох днів наприкінці травня невідомі хакери намагалися викрасти дані бази даних у мільйонів веб-сайтів WordPress, використовуючи відомі уразливості тем і плагінів.

За інформацією компанії Defiant, яка забезпечує безпеку WordPress , її брандмауер заблокував понад 130 мільйонів спроб зібрати облікові дані бази даних з 1,3 мільйона сайтів у період з 29 по 31 травня. Кількість запитів досягла свого максимуму 30 травня, коли компанія спостерігала 75% від загальної кількості спроб проникнення.  Після 31 травня обсяг атак впав до звичайного рівня.

Defiant повідомив SecurityWeek, що ці напади торкнулися більше третини його клієнтів, і компанія вважає, що загальна кількість веб-сайтів, які могли бути атаковані, швидше за все, перевищує 10 мільйонів.

Зловмисники, очевидно, експлуатували вже відомі вразливості тем та плагінів, які дозволяють завантажувати або експортувати файли. Зокрема, вони намагалися викрасти файл конфігурації wp-config.php з веб-сайтів WordPress. Цей файл містить, крім інших фрагментів інформації, ім’я користувача та пароль, які можна використовувати для доступу до бази даних WordPress, де зберігаються вміст та інформація користувачів.

Аналіз нападу показав, що ці атаки відбувалися з понад 20 000 IP-адрес, тих самих IP-адрес, які стояли за недавньою масштабною кампанією, під час якої зловмисники атакували 1,3 мільйона веб-сайтів WordPress, захищених брандмауером Wordfence від компанії Defiant. Метою цієї атаки було введення зловмисного коду JavaScript на вразливі веб-сайти з метою перенаправлення їхніх відвідувачів на сайти з рекламою.

Defiant вважає, що обидві кампанії були розпочаті одними і тими самими хакерами, оскільки вони використовували здебільшого однакові IP-адреси та приблизно одні і ті ж відомі вразливості в темах та плагінах. Однак друга хвиля кібератак була спрямована на майже мільйон сайтів, які не були  охоплені першою хвилею..

Компанія опублікувала ознаки компрометації сайтів (IoC) та надала рекомендації щодо того, як адміністратори можуть захистити свої веб-сайти WordPress від таких атак.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

ЯК ПЕРЕВІРИТИ ОПЕРАТИВНУ ПАМ’ЯТЬ НА ПОМИЛКИ ТА ВИПРАВИТИ ЇХ? – ІНСТРУКЦІЯ

ЯК КОНТРОЛЮВАТИ ОНОВЛЕННЯ WINDOWS 10 ЗА П’ЯТЬ КРОКІВ

ЯК ОБМЕЖИТИ ЕКРАННИЙ ЧАС У WINDOWS 10? – ІНСТРУКЦІЯ

ЯК ВИПРАВИТИ НЕПОЛАДКИ ЗІ ЗВУКОМ НА МАС?

ЯК ЗАБОРОНИТИ ВІДЗНАЧАТИ ВАС НА ФОТО В INSTAGRAM?

Нагадаємо, дослідники компанії Avast виявили три шахрайських VPN-додатки для iOS-пристроїв, які самовільно списують кошти користувачів. За словами експертів, додатки стягують підвищену плату за послуги, які не надаються належним чином.

Також Apple опублікувала набір безкоштовних інструментів та ресурсів, щоб допомогти розробникам менеджерів паролів – а також інших програм – генерувати надійні паролі.

До речі, компанія Mozilla планує додати в майбутні версії Firefox можливість експорту збережених облікових даних у файл формату CSV, який потім можна імпортувати в менеджер паролів або зберігати в якості резервної копії.

Окрім цього, дослідники із ProtectEM виявили, що контролери світлофорів на мікросхемах SWARCO LS4000 вразливі до атак через відкритий порт, який використовується для налагодження роботи системи управління.

А експерти з компанії IntSights відзначили збільшення попиту на облікові дані YouTube-каналів на підпільних торгових майданчиках. Вартість пропонованих екаунтів пропорційна кількості передплатників. Наприклад, ціна за канал з 200 тис. передплатників починається від $1 тисячі.

Ця стаття Нова атака на платформу WordPress: під загрозою опинилися 10 мільйонів сайтів раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Аналітик з вразливостей програмного забезпечення в Координаційному центрі CERT (CERT/CC) Уіл Дорман (Will Dormann) повідомив на конференції BSides у Сан-Франциско про виявлення у більшості Android-додатках вбудованих криптографічних ключів, пише Іnternet.ua.

За словами експерта, він просканував близько 1,8 мільйонів безкоштовних додатків для ОС Android і виявив велику кількість проблем безпеки. Ключі PGP, коди VPN і вшиті паролі адміністратора були доступні в багатьох програмах.

«Я просканував тільки безкоштовні додатки. Впевнений, у платних додатків є аналогічгі проблеми», – зазначив спеціаліст.

Загалом Дорман виявив майже 20 тисяч програм з незахищеними ключами, в тому числі в популярному додатку Samsung для «розумного» дому.

Дорман також звернув увагу на інструмент для розробників Appinventor, який за замовчуванням вбудовує закриті ключі в додаток. На даний момент розробники інструменту вже виправили дану проблему.

У сховищі програмних ключів також було виявлено багато проблем. Сховища ключів Java та Bouncy Castle не шифруються на рівні контейнера і покладаються на захист паролем, якого, за словами спеціаліста, недостатньо.

А рамках експерименту експерт використовував для зламу вразливих додатків два популярних зломщика паролів – Jack the Ripper та Hashcat.

«Hashcat показав себе набагато краще. Він не тільки розпізнає людську звичку робити заголовною саме першу літеру, але також перевіряти знаки оклику в кінці паролю, а також чотири цифри, тому що багато людей додають дати», – відзначив спеціаліст.

Ця стаття Виявили вразливості у додатку Samsung для “розумного” дому раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар