Seznam všech aktualit

Před zranitelností varuje US-CERT, protože do doby než bude vydána záplata, jsou uživatelé téměř bezbranní. Oprava má přitom být k dispozici až během února.

Samotná zranitelnost se nachází v rozšíření XTRAS, které slouží pro obohacení funkčnosti Shockwave playeru. Tyto soubory jsou uloženy přímo v souboru s mediálním obsahem a mohou být během přehrávání automaticky nainstalovány.

I když je použití zranitelnosti poměrně jednoduché, není v současné době známo její zneužívání ve větší míře. Uživetům se doporučuje použít vhodný doplněk pro blokování obsahu (např. NoScript), případně odebrat podporu Shockwave playeru z prohlížeče.

Video, které připravili zaměstnanci ESETu demonstruje jednu z variant sociálního inženýrství pro získání důvěrných informací firmy.

Sociálním inženýrstvím se nazývají techniky, za pomocí kterých se útočníci snaží získat citlivá data od uživatelů. Zaměstnanci českého ESETu si pro Vás připravili ve volném čase demonstrační video, jak by jedna z takových technik mohla vypadat v praxi. Chtěli tak upozornit na možné rizikové chování ve firmách bez ambice předvádět špičkové herecké výkony :-).

Vznik podobných botnetů byl již dlouhou dobu předpovídán, takže příliš nepřekvapí.

Malware, kterého se toto oznámení týká, si po připojení k centránímu systému vyzvedne seznam padesáti telefonních čísel a znění spamové SMS zprávy. Tu na obdržená čísla rozešle a přeptá se centrálního systému na další příkazy.

Největší problémy pro uživatele infikovaných Android zařízení spočívají ve skutečnosti, že všechny takto rozeslané SMS zprávy budou muset uhradit svému mobilnímu operátorovi. V horším případě může mobilní operátor dokonce zcela zablokovat uživatelský účet.

Aby malware zabránil svému odhalení, blokuje příchozí SMS zprávy, v nichž by si mohli příjemci spamu stěžovat na nevyžádanou poštu. Aktuálně je botnet zřejmě ve fázi testování a to pouze na území USA, kde se jeho prostřednictvím denně rozešle až 500 tisíc zpráv.

Malware, který je stavebním prvkem tohoto botnetu se údajně šíří prostřednictvím her Angry Birds Star Wars a The Need for Speed: Most Wanted uložených na jednom hongkongském serveru.

Některé z bezpečnostních problémů SCADA systémů jsou včetně postupu pro jejich odhalení a exploitaci uvedeny v odkazovaném článku.

Egyptský hacker vystupující pod pseudonymem ViruS_HimA prohlásil, že se mu podařilo najít řadu kritických chyb na jednom ze serverů Yahoo. Ty mu prý umožnily přístup k plným zálohám jedné domény a dvanácti databází patřících Yahoo.

Po té, co hacker zranitelnosti oznámil, ale neobdržel žádnou odpověď, rozhodl se některé screenshoty publikovat na Pastebin [link]

Yahoo na podnět hackera začíná uvažovat o vypsání Big Bounty programu.

Mnoho společností si je vědomo skutečnosti, že ani ten nejlepší penetrační tester nedokáže odhalit v provozovaných systémech a aplikacích všechny zranitelnosti. Tyto společnosti pak často vyhlašují takzvané Big Bounty programy, v nichž nabízejí odměnu za nahlášení nalezené zranitelnosti.

Sabari Selvan připravil obsáhlý seznam některých těchto programů, přičemž o některých z nich jste již zcela jistě slyšeli, jiné pro vás budou možná nové. Mezi společnostmi, které se na odkazovaném seznamu objevily, najdete například Google, Facebook, Mozillu, PayPal, Twitter, Microsoft, Apple a mnoho dalších.

Jako příklad uvedu odměny, které nabízí za oznámení zranitelnosti na doméně accounts.google.com společnost Google:

Code execution 20.000$
SQL injection 10.000$
XSS 3.100$
CSRF, apd. 500$ - 3.100$

Doplněk je nyní ke stažení ve verzi 2.0, která oproti předchozí verzi obsahuje řadu novinek. Jeho tvůrci na webových stránkách produktu představují DNSSEC Validátor takto:

Rozšíření DNSSEC Validátor 2.0 je doplněk pro webové prohlížeče, který kontroluje, zda je doménové jméno chráněno pomocí DNSSEC technologie. Uživatelé tak snadno poznají, zda byla stránka zobrazena z autentického zdroje, nebo zda stránka mohla být podvržena. DNSSEC Validator 2.0 získává DNS záznamy k doménovému jménu v adrese zobrazené stránky a porovnává je s IP adresami, které použil prohlížeč ke stažení obsahu stránky. Jestliže tyto záznamy obsahují DNSSEC podpisy, které jsou validovatelné, znamená to, že je uživatel chráněn pomocí DNSSEC. Jinak se uživatel mohl stát obětí podvržení DNS záznamů. Výsledek kontroly je zobrazován pomocí barevných klíčků a informačních textů vysvětlujících stav zabezpečení prohlížených stránek. Momentálně je rozšíření dosptupné pro prohlížeče Internet Explorer, Mozilla Firefox a Google Chrome.

Některá zařízení od Samsungu včetně Galaxy SIII, Galaxy Note, Galaxy Note 2 nebo Galaxy 10.1 tabletů obsahují ve firmware bezpečnostní chybu. Ta se údajně nachází v jádře /dev/exynos-mem a umožňuje libovolnému softwaru získání roota a tím i možnost převzít nad telefonem plnou kontrolu.

Na Novinky.cz vyšel v sobotu článek, v němž odborníci upozorňují na riziko prostorového odposlechu v okolí chytrých mobilních telefonů.

Ke všemu prý stačí instalace speciálního programu a následné zavolání na takto "napíchnutý" telefon. Běžný uživatel přitom nemá šanci zjistit, že je právě odposloucháván.

Za cenu 25.000,-Kč si dnes údajně můžete software (schopný provádět s mobilním telefonem mnohem více, než jen odposlechy), včetně jeho instalace objednat u některé z mnoha firem, které se na tuto oblast trhu zaměřují.

Dohodu, která vznikala v posledních dvou týdnech na konferenci ITU v Dubaji, nakonec odmítly podepsat Spojené státy podporované Českou republikou, Dánskem, Egyptem, Kanadou, Katarem, Keňou, Kostarikou, Nizozemskem, Novým Zélandem, Polskem, Švédskem a Velkou Británií.

Dohoda o regulacích a kontrolou nad Internetem díky tomu neprošla a Internet tak i nadále zůstane svododným médiem bez vládních regulací.