В прошедшие выходные хакер, называющий себя Финиас Фишер, обнародовал на PasteBin длинный и подробный рассказ о том, как летом 2015 года ему в одиночку удалось взломать известного поставщика шпионского ПΠ— компанию Hacking Team. Публикация вызвала большой резонанс в СМИ по всему миру, что вынудило представителей Hacking Team как-то прокомментировать происходящее. Глава компании Давид Винченцетти опубликовал открытое письмо, в котором заявил, что пресса искажает факты.

Исследователям из компании SurfWatch Labs удалось нарушить планы хакера, известного под псевдонимом AlphaLeon. Злоумышленник планировал атаковать инфраструктуру компании Invision Power Services (IPS), создавшей платформу IP.Board, теперь известную как IPS Community Suite. Скомпрометировав IPS, хакер хотел заразить малварью собственного авторства тысячи сайтов и форумов.

В конце прошлой недели весь интернет обсуждал владельца хостинговой компании Марко Марсалу, который нечаянно запустил команду rm -rf / для всех своих серверов, а потом попросил помощи экспертов в восстановлении данных. В итоге эта история оказалась фейком, но шутка получилась пророческой. Практически аналогичный инцидент произошел в минувшее воскресенье с британским хостером 123-reg. На этот раз история определенно подлинная: компания случайно удалила все свои виртуальные серверы, вместе со всем содержимым, и клиенты хостера негодуют.

Специалисты IBM Security сообщают, что злоумышленники объединили два вредоноса воедино, скрестив дроппер Nymaim с банкером Gozi. Полученная гибридная малварь была названа GozNym и уже атаковала финансовые организации в Канаде и США.

Название BlackBerry долгое время было практически синонимом слова В«защищенностьВ». Задолго до того, как Apple и другие компании начали отстаивать право своих пользователей на шифрование, BlackBerry гордилась тем, что является первым производителем смартфонов, который применяет end-to-end шифрование. Однако новые данные свидетельствуют о том, что всё это время у BlackBerry имелся глобальный ключ для дешифровки данных, которым компания поделилась с правоохранительными органами еще в 2010 году.

От команды стенда вы узнаете, как проводить поиск уязвимостей в АСУ ТП, компонентах SCADA и PLC, как создавать и запускать тестовые модули и эксплойты, иллюстрирующие риски SCADA-систем, а также попрактиковать способы взлома и пустить под откос полюбившийся с предыдущих PHDays поезд.

Группа исследователей из Колумбийского университета и Google обнаружила, что двух независимых наборов данных геолокации достаточно для того, чтобы точно идентифицировать человека. Их алгоритм с лёгкостью определяет посты в разных соцсетях, принадлежащие одним и тем же авторам, и верно сопоставляет данные о платежах по банковской карте с данными сотового оператора.

Из-за уязвимости злоумышленник мог подключиться к радиомодулю беспроводной мыши с расстояния до ста метров и фактически получить полный контроль и над клавиатурой, и над мышью жертвы.

Тогда как многие американские политики борются с шифрованием и хотят обязать компании оснащать свою продукцию бэкдорами для спецслужб, подобные времена еще не наступили. Не удивительно, что сотрудники компании Apple и представители IT-сообщества со всеми мира желают знать, каким образом ФБР сумело осуществить взлома смартфона террориста Сайеда Фарука — одного из участников массового убийства в Сан-Бернардино. Хотя ФБР тщательно оберегает этот секрет, согласно новым данным, представители Бюро попросту не знают, как был реализован хак. Более того, на iPhone Фарука не нашли ничего полезного.

Владелец небольшой хостинговой компании Марко Марсала (Marco Marsala) убил весь свой бизнес одной единственной строкой кода. Все данные 1535 клиентов, все их бекапы, сайт компании и другие денные, хранившиеся на серверах, оказались безвозвратно удалены из-за маленькой ошибки в коде, которую Марсала заметил слишком поздно.

Специалисты компании «Доктор Веб» напоминают, что не весь хакерский софт одинаково полезен и безопасен. Эксперты обнаружили, что утилита для Linux, предназначенная для организации DoS-атак (UDP-флуда), атакует самих установивших ее злоумышленников.

Рынок устройств виртуальной реальности переживает настоящий бум. В продажу уже поступили Oculus Rift, HTC Vive, PlayStation VR и другие девайсы. Конкуренция и борьба за пользователей развернулась нешуточная, поэтому производители, как в старые добрые времена, завлекают покупателей эксклюзивным контентом. В частности — играми. Что произойдет, когда появятся инструменты для В«разблокировкиВ» игр, и контент потеряет эксклюзивность? Скоро узнаем, так как пользователь GitHub LibreVR представил первое работающее решение такого рода.

В конце марта 2016 года сотрудник компании SerNet и член команды Samba Core Team Стефан Метцмахер запустил настоящую PR-кампанию уязвимости Badlock, которую сам же и обнаружил. Хотя сообщение о критическом баге в Windows и Samba получило очень широкую огласку, исследователь, по сути, не рассказал о проблеме ничего. Вместо этого Метцмахер пообещал обнародовать подробности после 12 апреля 2016 года, когда Microsoft и Samba устранят баг. Исследователь сдержал слово и опубликовал детали, но проблема явно не дотягивает до масштабов Heartbleed.

В рамках консорциума W3C двое сотрудников компании Google Райли Грант и Кен Рокот представили драфт версию созданного ими API — WebUSB. Проект должен помочь любым USB-девайсам, будь то мышь, камера, флешка или что-то еще, беспрепятственно общаться с веб-страницами. В теории это должно разрешить проблему поиска и обновления драйверов и прошивок, однако безопасность такого решения вызывает много вопросов.

Эксперты компании Trend Micro обнаружили JavaScript-малварь JS_JITON, которая атакует домашние роутеры весьма экзотичным способом. В первую очередь вредонос нацелен на мобильные устройства, поражая которые, он добирается до настроек роутеров, а затем подменяет настройки DNS.

Обсуждение поправок к анитипиратскому закону продолжается. Еще в феврале 2016 года правообладатели подготовили документ, в котором предложили приравнять В«зеркалаВ» к заблокированным сайтам, упростив процесс их блокировки. Позже данную инициативу поддержал Роскомнадзор. В настоящее время текст поправок уже обсуждается на уровне Минкомсвязи, и наконец становится понятно, кто будет решать, является ли тот или иной ресурс В«зеркаломВ».

Похоже, в ближайшее время пранкеры всего мира смогут неплохо поразвлечься. Независимый исследователь Дэвид Лонжнекер, бывший инженер Motorola, обнаружил опасную уязвимость в модемах Arris SURFboard SB6141. Баг позволяет удаленно перезагрузить устройство, или сбросить его настройки к заводским.

Исследователи из Амстердамского свободного университета обнаружили, что двухфакторную аутентификацию можно обойти, если у жертвы есть смартфон с Android или iOS. Проблема кроется в автоматической синхронизации устройств, которую обеспечивают сервисы Google и Apple.

В прошлом году популярная американская лотерея Hot Lotto оказалась в центре скандала. Выяснилось, что один из её сотрудников каким-то образом узнавал выигрышные комбинации раньше всех. Это принесло ему сначала несколько миллионов долларов, а затем десятилетний тюремный срок. Неясным оставалось только одно: в чём заключался его трюк. Теперь эту тайну удалось раскрыть.

Официальные представители турецких властей прокомментировали масштабную утечку данных, случившуюся ранее на этой неделе. Фактически власти подтвердили, что личные данные 50 миллионов граждан страны, опубликованные в открытом доступе, настоящие. Однако при этом утечку назвали В«устаревшей новостьюВ», так как впервые о ней заговорили еще в 2010 году.