Fsecurity | HH

☄️Meduza Stealer встретила Новый год с обновками Автор инфостилера Meduza преподнес фанатам рождественский подарок — усовершенствовал зловреда и выпустил версию 2.2. Соответствующий анонс был обнаружен на XSS, на других теневых форумах (Exploit) уже появились положительные отзывы. Разработчики вредоносной программы расширили поддержку клиентского софта, в том числе криптокошельков, обновили модуль сбора паролей из файлов (граббер), добавили механизмы кражи идентификаторов из хранилищ и возможность обфускации кода. Список интересующих Meduza объектов теперь включает такие цели: более сотни браузеров, в том числе Atom и Яндекс, браузер, более сотни криптокошельков, два десятка менеджеров паролей, клиенты Discord, Kotatogram, десктопный Telegram, Steam, Outlook, OpenVPN, файлы всех форматов (модуль-граббер), токены Google. #news // nsis

🔗Ссылка: https://habr.com/ru/companies/postuf/articles/596293/

🔗Ссылка: https://www.securitylab.ru/analytics/539668.php

🔗Ссылка: https://habr.com/ru/companies/jetinfosystems/articles/725008/

Последняя (да, уже год прошел) подборка полезных материалов за неделю: — Наша статья для «Яндекс Практикума» «IT-детектив: чем занимается специалист по информационной безопасности и как им стать». — Про сканер Unicornscan — Об уязвимости Regex DoS — Об инструменте Maryam — О Picocrypt, утилите для шифрования данных — Анализируем трафик с ZUI (Zed User Interface) P.S. В следующем году у нас запланировано намного больше активности в канале. Через год мы вспомним этот пост, чтобы подвести итоги 😏

На связи Хаскарь 👋 Ну что-ж... Этот год подходит к концу и хочу поздравить вас с наступающим новым годом! ☃️🌲 Этот год был необычным и тяжёлым! Желаю, чтобы следующий год был отличным! Вам желаю развиваться и набираться опыта, а также самое главное - здоровья и счастья 👾. Пусть новый год принесет вам новые возможности и успехи в вашей профессиональной деятельности, и в личной жизни! Не забывайте у нас есть Discord-сервер, где вы можете пообщаться и задать вопросы⁉️ С наступающим новым годом ☃️ На связи был Хаскарь до связи 🎧

🔗Ссылка: https://habr.com/ru/companies/jetinfosystems/articles/783518/

🔗Ссылка: https://rt-solar.ru/solar-4rays/blog/3954/

🔠🔠🔠🔠 Ростовская область открыла свою багбаунти-программу на Standoff 365. С 29 декабря 2023-го по 13 февраля 2024 года ты можешь заняться поиском уязвимостей в геоинформационной системе Ростовской области (ГИС РО): https://gisro.donland.ru/ ГИС РО была создана как единый источник данных об объектах, расположенных на территории области, и связанных с ними событиях. Отчеты принимаются от граждан России старше 18 лет. Подробности программы — по ссылке, что делать дальше — ты знаешь.

🔗Ссылка: https://notes.kraken-security.ru/kraken/krupicy-znanii/instrumenty/analiziruem-trafik-s-zui-zed-user-interface

Хочу также посоветовать: 1 - Проверить себя на утечки! 💧 2 - Наш discord сервер! Где можно пообщаться 👾 3 - Мой Github 🦑 4 - Новый ТГ канал [Ximera-Chan] который ведёт Ai

Операция "Триангуляция" Недавно обнаруженная шпионская кампания, нацеленная на Apple iPhone и использующая удаленное выполнение кода с нулевым кликом через цепочку атак из 4 нулевых дней, включая очень загадочные, полностью недокументированные регистры MMIO и аппаратные функции, которые даже никогда не используются прошивкой. В двух словах, атака начинается с отправки iMessage на произвольный телефон, который без каких-либо действий пользователя и незаметно для него собирает и загружает тонны приватных данных (и многое другое, например, записи с микрофона), и активно предпринимает шаги, чтобы скрыть всю эту деятельность от пользователя и начинающих криминалистов. Apple исправила основную уязвимость 25 октября 2023 года. "Это определенно самая сложная цепочка атак, которую мы когда-либо видели". Сам доклад, там еще много дикой информации: https://youtube.com/watch?v=7VWNUUldBEE Автор этой атаки неизвестен, как и метод, с помощью которого они получили знания об этих неиспользуемых, недокументированных аппаратных функциях. Российская разведка обвинила Apple в предоставлении АНБ бэкдора Почитать: https://securelist.com/operation-triangulation-the-last-hardware-mystery/111669/ @linuxkalii

Ролик уже на канале 👇🏻 https://youtu.be/EWKAlLOIKlg?si=kYpTrht9Z-Gyqb_D Приятного просмотра 👾 P.s. сорян...слишком короткий видос

😏 На OZON можно покупать, продавать или багхантить и получать до 250 000 ₽ за уязвимость — выбирай сам. Маркетплейс открыл собственную багбаунти-программу на Standoff 365, так что готовь свои лапки ручки-загребучки, ищи баги и забирай себе баунти! Скоуп такой: • основной сайт ozon.ru; • служба аутентификации и SSO id.ozon.ru; • сайт с вакансиями job.ozon.ru и его API job-api.ozon.ru; • кабинет продавца seller.ozon.ru; • банк Ozon finance.ozon.ru и его мобильное приложение; • мобильные приложения для продавцов и покупателей. Больше про условия программы — по ссылке.

🔗Ссылка: https://habr.com/ru/articles/206900/

GIGANEWS. Главные события 2023 года по версии «Хакера» Год под­ходит к кон­цу, некото­рые уже начина­ют резать салаты, а зна­чит, приш­ло вре­мя огля­нуть­ся назад и вспом­нить самые важ­ные, инте­рес­ные и забав­ные события, которы­ми он нам запом­нится. По тра­диции мы сос­тавили для тебя под­борку наибо­лее ярких взло­мов, атак, уяз­вимос­тей, фей­лов и дру­гих событий ухо­дяще­го 2023 года. Будет инте­рес­но, пог­нали! В статье подвели итоги по следующим аспектам: - Атака года - Уязвимость года - Утечка года - Исследование года - Блокировка года - Нарушитель приватности года - Малварь года - Хардверный взлом года - Странность года - Фейл года - Хайп года 👉 Очень советую прочитать тем, кто особо не следил за ИБ новостями. 🌚 @poxek

🔗Ссылка: https://notes.kraken-security.ru/kraken/krupicy-znanii/instrumenty/o-picocrypt-utilite-dlya-shifrovaniya-dannykh

🔗Ссылка: https://practicum.yandex.ru/blog/kto-takoy-specialist-po-informacionnoy-bezopasnosti/

🧰 Шпаргалка по инструментам форензики: от опенсорсных и проприетарных до мобильных, сетевых и многих других. 🖼 Скачать ориганил #forensic #tools

​​🔑 Утечки ключей HuggingFace С развитием нейросетей увеличилось число сервисов для работы с ними, что в свою очередь дарит нам возможность поискать утекшие токены от этих сервисов. Вот тут, например, исследователь нашел 1681 валидный токен через HuggingFace и GitHub у таких гигантов как Meta, Microsoft, Google и Vmware и получил полный доступ к репозиториям Meta-Llama, Bloom, Pythia и HuggingFace. Можно взять себе на заметку и добавить регулярку к списку своих дорков, так как я ее не видел ни в одном из популярных публичных списков, а также проанализировать похожие сервисы на утечки. /hf_([a-zA_Z0-9]{32,})/ #web #recon #leak #dork