}{@kep
3.97K subscribers
60 photos
1 video
47 files
1.15K links
💻 Первый авторский канал про информационную безопасность (создан в 2017 году)

Отборный контент для обучения и развития.

По рекламе @adtgassetsbot
Владелец @Aleksei
Download Telegram
Обнаружено сочетание слов, которое «ломало» Google Документы

Веб-разработчик Пэт Нидхэм случайно обратил внимание, что текст «And. And. And. And. And.» вызывал сбой в работе текстового редактора Google Документы — достаточно было ввести этот текст и обновить страницу. Ошибка была чувствительна к регистру: написание вроде «and. and. And. and. And.» сбоя не вызывала.

Ошибку выдавал POST-запрос на адрес, начинающийся с «https://docs.google.com/document/u/1/jserror» и содержащий текст «Caused by: TypeError: Cannot read properties of null (reading "C")».

Выяснилось, что ошибку вызывало разделённое точками пятикратное повторение и других английских слов, преимущественно служебных частей речи: «also, therefore, anyway, but, who, why, besides, however, although, moreover, firstly, secondly, thirdly, fourthly». Примечательно, что, начиная с «fifthly» («в-пятых») ошибка исчезала.

Специалисты считают, что ошибка связана с системой проверки правописания, которая проявлялась только тогда, когда была проставлена опция «Предлагать грамматические исправления». По одной из предложенных гипотез, ошибка была связана с некорректной обработкой регулярных выражений. Вскоре после этого компания исправила ошибку.
Разработано устройство для определения скрытого включения микрофона

Исследователи из Сингапура и Южной Кореи разработали метод для выявления скрытого включения микрофона на ноутбуке. Для демонстрации работы метода на базе платы Raspberry Pi 4, усилителя и программируемого приёмопередатчика (SDR) собран прототип, получивший название TickTock. Он позволяет выявлять активацию микрофона вредоносным или шпионским ПО для прослушивания пользователя.

Статья
Разозленный хакер-одиночка отключает Северной Корее интернет

Северная Корея была полностью отключена от интернета как минимум два раза за последний месяц. Это в сети заметили многие. Все веб-сайты с доменными именами, заканчивающимися на «.kp», стали недоступными. Было неясно только, что это: огромная ошибка северных корейцев или целенаправленная атака извне.

Статья
Никогда не используйте пикселизацию для сокрытия текста

Сегодня мы рассмотрим одну из методик — пикселизацию, и покажем, почему это плохой, небезопасный, гарантированный способ обеспечения утечки данных.

Статья
Уязвимость в приложении Zoom

На прошлой неделе разработчики клиента для веб-конференций Zoom закрыли серьезную уязвимость, которая при некоторых обстоятельствах могла приводить к выполнению произвольного кода.

Статья
Звуковой кейлоггер. Определяем нажатые клавиши по звуку

Не секрет, что у каждой клавиши на клавиатуре — уникальное звучание, которое зависит от её расположения и других факторов. Теоретически, анализ спектрограммы позволяет отличить клавиши друг от друга, а по частотности нажатий определить, какому символу соответствует каждый звук. Задача распознавания звуков упрощается тем, что при наборе связного текста символы хорошо прогнозируются по словарю (а именно, по частотности n-грамм для текстов).

Статья
Корпоративная атака с помощью кода из игры

Обычно установку компьютерных игр на корпоративных устройствах отслеживают или запрещают по той простой причине, что на работе надо работать, а не играть. Но есть еще один аргумент: большой ассортимент софта на компьютерах сотрудников расширяет возможности для атаки. Недавнее исследование показывает практическую атаку с использованием игрового кода. Правда, любители поиграть на рабочем устройстве оказались ни при чем: проблема была в чрезмерно широких полномочиях античит-системы, которой организаторы атаки воспользовались для отключения средств защиты.

Статья
Нетривиальный взлом браузера Safari

Исследователь Райан Пикрен (Ryan Pickren) на прошлой неделе опубликовал подробную историю обнаружения цепочки уязвимостей в браузере Safari и в других компонентах операционной системы MacOS.

Статья
Вредоносные npm-пакеты

В репозитории Node Package Manager обнаружили четыре вредоносных пакета. Помимо легитимной функциональности (обработка текстовых данных и подобное), они содержат обфусцированный вредоносный код, предназначенный для кражи токенов доступа к чат-сервису Discord и платежной информации.

Статья
70+ бесплатных инструментов для компьютерной криминалистики (форензики)

Расследование инцидентов в области информационной безопасности не такая горячая тема, как пентесты, но эта научная и практическая дисциплина продолжает развиваться, во многом, благодаря Open Source сообществу.

Давайте пройдемся по просторам GitHub и посмотрим, какие инструменты для сбора и анализа цифровых доказательств доступны всем желающим.

Статья
Как получить пароль WPA2 WiFi с помощью Aircrack-ng?

В этой статье я покажу вам как использовать airmon-ng (скрипты из пакета aircrack-ng) для обнаружения беспроводных сетей вокруг нас. Затем мы деаутентифицируем клиентов определенной беспроводной сети, чтобы перехватить handshake, а затем расшифруем его, чтобы найти пароль WiFi.

Статья
❗️Интенсив выходного дня «Анализ бизнеса и подготовка инвестиционных проектов».

Формат: Офлайн

Длительность : 10 часов,
с 10:00 до 20:00

Для кого интенсив:
• фаундеры стартапов;
• начинающие аналитики;
• студенты старших курсов ВУЗов.

🫵 За время работы вы получите информацию от отраслевых экспертов по темам:
• анализ рынка;
• формирование бизнес-модели проекта;
• формирование финансовой модели;
• подготовка инвестиционных документов;
• подготовка и защита презентации проекта;
проработаете каждый блок в группах на реальных бизнес-кейсах;
получите твердые навыки анализа и подготовки проектов для представления инвесторам.

Подробности: @Max_Tsa
Конкурсы и задачи по OSINT и геолокации

Лучший способ прокачаться в OSINT — это практика. А если эта практика еще и с игровыми механиками, с мировым комьюнити и с фаном, то мотивация повышать свое мастерство возрастает невероятно. Предлагаем вашему вниманию подборку самых топовых и самых интересных челленджей и квизов по всем разновидностям OSINT.

Статья
Мобильные трояны со встроенной подпиской

Эти истории слышали все: купил телефон, вроде бы ничего такого не делал, пока не обнаружил отсутствие денег на счету. Одной из причин внезапного добавления платных услуг на мобильном телефоне может быть вредоносное ПО.

Статья
Миссия выполнима: знакомимся с физическим пентестом

"Анонимность — это как укрыться мягким одеялом", — говорил один из героев боевика “Mission: Impossible”. Но что делать, если спасительного одеяла не окажется под рукой в нужную минуту или оно начнет предательски просвечивать? Однажды сотруднику надо было проникнуть на производство фармацевтической компании. Вначале все шло гладко: пентестер представился специалистом фирмы, обслуживающей системы видеонаблюдения, в его легенду поверили, выписали пропуск и пропустили на объект.

Статья
Black-box тестирование сотовой сети: как операторы защищают абонентов от хакерских атак

Мы проверили, как и насколько эффективно сотовые операторы защищают сигнальные сети от хакеров. Один из мобильных операторов, работающих на территории СНГ, заказал две серии атак на свою сеть. Мы провели пентест до и после внедрения некой продвинутой защиты и хотим поделиться инсайдами.

Статья
70+ бесплатных инструментов для компьютерной криминалистики (форензики)

Расследование инцидентов в области информационной безопасности не такая горячая тема, как пентесты, но эта научная и практическая дисциплина продолжает развиваться, во многом, благодаря Open Source сообществу.

Давайте пройдемся по просторам GitHub и посмотрим, какие инструменты для сбора и анализа цифровых доказательств доступны всем желающим.

Статья
Миссия выполнима: знакомимся с физическим пентестом

"Анонимность — это как укрыться мягким одеялом", — говорил один из героев боевика “Mission: Impossible”. Но что делать, если спасительного одеяла не окажется под рукой в нужную минуту или оно начнет предательски просвечивать? Однажды сотруднику надо было проникнуть на производство фармацевтической компании. Вначале все шло гладко: пентестер представился специалистом фирмы, обслуживающей системы видеонаблюдения, в его легенду поверили, выписали пропуск и пропустили на объект.

Статья
Бодрого дня!
На связи владетелей телеграм-каналов @tgassets Алексей Шабаршин.
Я ищу бизнес-партнеров, инвесторов и стартапы (телеграм-проекты и офлайн-бизнес).
Для связи со мной просьба добавить меня в контакты (@Aleksei).
Так вы сможете смотреть мои истории и быть в курсе событий нашего фонда TEA VC (telegram entrepreneurs accelerators vc).
В течение месяца начнем отбор проектов для инвестиций.
Средний чек - от $ 5к до 20к.
Если у вас есть проекты с области HR Tec, retail tec, food tec, logistics, robotics, banking, insure tec, то отправляйте свою заявку в формате:

1. Инвестиционный тизер

( инструкция как создать).

2. Юнит-экономика ( инструкция ).

3. Результаты теста гипотезы ( инструкция ).

4. Оценка рынка ( инструкция как сделать ).

5. Стратегия и операционный план (планирование и план стратегию Напишите сами, как считаете нужным)

Подать заявку @Aleksei
(кодовое слово #TEAVCStartups)
Стать партнером @Aleksei %TEAPartnersforgrowth)
Захватываем сеть через сервер централизованного управления и защищаемся от таких атак

Сегодня я на конкретном примере покажу, как антивирус может подставить под удар всю корпоративную сеть. Разберемся, почему средства централизованного управления необходимо охранять как зеницу ока, а затем сформулируем рекомендации по защите таких систем.

Статья