Информация опасносте. Страница 39

Читатель прислал о местных утечках:

В Литве утекла база сервиса каршеринга: https://raidforums.com/Thread-CityBee-LT-Database-Leaked-Download (вот тут продавали за 1000$)

https://www.delfi.lt/verslas/transportas/teisingumo-ministre-apie-citybee-skandala-rizika-del-duomenu-panaudojimo-yra-bet-ji-zema.d?id=86495451
тут по-литовски - тут министр юстиции втирает, што ничего страшного. банковские карты и права рекомендует не менять. хз, насколько в современном мире это ценный совет.
https://www.delfi.lt/ru/news/economy/glava-kompanii-citybee-prizyvaet-klientov-menyat-paroli.d?id=86494971
тут по-русски

данные не самые свежие, но потекло: имена, фамилии, персональные коды (National Identity Card Number), номера телефонов, эл. почта, адреса, номера водительских удостоверений

Тысячи их, тысячи

https://www.theregister.com/2021/02/15/solarwinds_microsoft_fireeye_analysis/

Ну и кстати раз уж мы про Clubhouse, не могу не отметить то, что бесит меня невероятно в этом (и многих других) приложении — доступ к адресной книге. Нет, я не хочу раскрывать все свои контакты с кучей конфиденциальной информации неизвестно кому и неизвестно как хранящим эту информацию. И тем не менее, приложение настаивает на том, чтобы получить доступ к адресной книге, чтобы можно было раздать инвайты в сервис. Жаль, что многие пользователи, не задумываясь, нажимают «разрешить».

https://onezero.medium.com/clubhouse-is-suggesting-users-invite-their-drug-dealers-and-therapists-a8161b3062fc

https://twitter.com/_bagipro/status/1360982834228432898

Модный на сегодня проект социальной сети с голосовым чатом Clubhouse, как оказалось, при разработке своего приложения слегка расслабил булки с точки зрения защиты конфиденциальности пользовательских данных. Clubhouse применил в своём проекте разработки китайской компании Agora Lab, а она в свою очередь занимается разработкой RTC-решений для передачи данных во время голосовых и видео звонков, а также во время стриминга. Короче, при подключении в комнату для разговоров Clubhouse, который существует пока что только для iOS, передает в открытом виде уникальные ID пользователя и ID комнаты. Таким образом можно собрать информацию и сделать выводы о том, в какие комнаты ходит конкретный пользователь. Более того, есть вероятность, что Angora имеет доступ к самому аудио, что, по сути, делает это аудио доступным и китайскому правительству. Clubhouse сказали, что они больше так не будут и все исправят.

https://cyber.fsi.stanford.edu/io/news/clubhouse-china

Хех, продавцы утечки CDProjectRed на русском пишут лучше, чем на английском

https://twitter.com/Intel_by_KELA/status/1359856145205239812

https://www.inputzero.io/2020/12/telegram-privacy-fails-again.html

Служба безопасности Яндекса раскрыла внутреннюю утечки информации – скомпрометированы 4887 почтовых ящиков. владельцы получили уведомление о необходимости смены пароля

https://yandex.ru/company/press_releases/2021/2021-02-12

«Точная причина массовой волны уведомлений неизвестна — почему это происходит, можно только догадываться.»

«Никто не знает, как предотвратить получение уведомлений о подозрительном входе в будущем — смена пароля и двухфакторная аутентификация не дают гарантий.»

WTF

https://tjournal.ru/internet/338094-my-obnaruzhili-neobychnuyu-popytku-vhoda-polzovateli-instagrama-massovo-zhaluyutsya-na-podozritelnye-uvedomleniya-glavnoe

А вот тоже весело. Примерно месяц Slack сохранял пароли на Андроиде открытым текстом, так что теперь его лучше поменять

Там у Microsoft во вторник вышел февральский патч безопасности, и он исправляет несколько критичных уязвимостей, некоторые из которых имеют активные эксплуатации, так что учтите это

https://threatpost.com/exploited-windows-kernel-bug-takeover/163800/

NSFW

Почему кибербезопасность - полезная штука

https://reddit.com/r/WTF/comments/lgri4h/this_official_city_of_zurich_switzerland_tourist/

Боже, это просто чудесная утренняя история: исследователь безопасности заметил в статье сотрудника PayPal упоминание нескольких внутренних пакетов, в т.ч. analytics-paypal. И для эксперимента разместил пакет с таким же названием в публичном репозитории. И что вы думаете, конечно же часть внутреннего софта от PayPal собралась с использованием его пакета, который "стучал на землю" ему в сервера.

Как следствие исследователь провернул совершенно аналогичную атаку на почти все крупные айти компании-гиганты. И если подумать, я знаю где у меня совершенно такие же проблемы, пойду чинить https://www.bleepingcomputer.com/news/security/researcher-hacks-microsoft-apple-more-in-novel-supply-chain-attack/

Как сообщают читатели, похоже, что Blockfolio - популярную платформу для торговли криптовалютой - взломали. То ли маркетинговый аккаунт, то ли что-то глубже, но все как-то мутно там у них

https://www.newsweek.com/blockfolio-down-cryptocurrency-app-apologizes-users-racist-slurs-1567804
https://coinmarketcap.com/headlines/news/blockfolio-system-hacked/

интерфейс управления системой водоочистных сооружений (в которое, как я вчера писал, пробрался хакер через TeamViewer). скрин отсюда https://twitter.com/infracritical/status/1359231073964670985

в macOS выпустили апдейт с фиксом уязвимости sudo

Impact: A local attacker may be able to elevate their privileges
Description: This issue was addressed by updating to sudo version 1.9.5p2.
CVE-2021-3156: Qualys

https://support.apple.com/en-us/HT212177

кто-то так проапдейтил совершенно обычное приложение в Google Play, что оно возьми и стань полноценным вредоносным приложением, которое форсило установки левых приложений

https://blog.malwarebytes.com/android/2021/02/barcode-scanner-app-on-google-play-infects-10-million-users-with-one-update/

Хакеры украли внутренние данные cp77 и вот что они там нашли...