Изучение Kali Linux. Тестирование безопасности, тестирование на проникновение и этичный взлом

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

перевод

Источник white2hack

ЦБ хочет проверять реальную защищенность банков путем отправки им писем с вредоносным кодом

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Хорошая инициатива, но вопросы к процедуре, конечно, есть. Помните 213-й приказ ФСБ про мониторинг защищенности, о котором я уже писал в конце весны? Там была странная конструкция про внезапный мониторинг защищенности без предупреждения, но с предварительным уведомлением. Так и тут. ЦБ планирует внезапные проверки, но при этом адреса для отправки вредоносов собираются с самих банков, которые, получаются, знают, кого будут проверять.

А это превращает всю идею в профанацию. Ну это все равно, что я иду сдавать экзамен, а ответы на вопросы у меня уже в кармане. Никакой неожиданности. Что мешает мне поставить данные адреса на дополнительный мониторинг? Ведь, если бы честными до конца, данная проверка превратится в самоцель (да-да, я снова про закон Гудхарта), а банки будут стремиться не выстроить защиту, а пройти проверку, навесив на 30 адресов e-mail кучу средств защиты, чтобы никто не прошел. 🧙‍♂️

По уму нельзя спрашивать ни 30, ни даже 1 адрес тех, кого будут проверять. Если уже "формировать условия, приближенные к реальным", то надо применять либо OSINT и пробить эти адреса через соцсети, либо запросить "адреса сотрудников, неработающих в службе ИБ" в других департаментах ЦБ. Если уж сюрприз, то полный, а не заранее подготовленный, когда все все знают и понимают, но делают вид, что все взаправду.

Где вы видели, чтобы реальные хакеры просили у жертв поделиться адресами для атак?

Продолжая тему с инициативой Центробанка, интересен вопрос, как ЦБ планирует обойти часть 2-ю статьи 273 УК РФ, а именно "Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации, совершенные группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно причинившие крупный ущерб или совершенные из корыстной заинтересованности"?

Обычно юристы ЦБ перестраховываются по 10 раз, прежде чем запускать хоть какую-нибудь инициативу от имени регулятора. Тут либо есть договоренность с правоохранительными органами, но кого это волнует, если будет заявление в полицию, либо ЦБ планирует к моменту запуску инициативы внести поправки в ст.273 УК РФ в части распространения вредоносного ПО в рамках легальных тестов на проникновения и иных схожих работ. Вот последнее было бы прям круто и могло бы способствовать росты рынка пентестов и багбаунти. Правда, легализация все равно потребует наличия договора между стороной, распространяющей вредонос, и потенциальной "жертвой", чего у ЦБ с банками просто нет. Так что вопросы к инициативе остаются, хотя сама по себе она, если не вдаваться в детали, очень правильная.

Источник Пост Лукацкого

🛡 Германия заявляет о киберугрозе: группировка Charming Kitten нацелилась на иранских диссидентов

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

👨‍💻 Группировка Charming Kitten взламывает аккаунты иранских диссидентов в Германии, чтобы контролировать информацию.

🔔 Федеральное управление по защите конституции Германии (BfV) утверждает, что атаки связаны с государственными хакерами из Ирана.

🌐 Хакеры для атаки использовали социальные сети и методы социальной инженерии, угрожая им потенциальной физической расправой от иранского правительства.

Источник @CyberStrikeNews

Техники, тактики и процедуры атак на промышленные компании

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

https://telegra.ph/Tehniki-taktiki-i-procedury-atak-na-promyshlennye-kompanii-08-10

Источник Life-Hack [Жизнь-Взлом]/Хакинг

Сборник сценариев для хакера 3: Практическое руководство по тестированию на проникновение

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Автор: Питер Ким
Год: 2018
Язык: англ.

Сценарии для оттачивания наступательных хакерские навыков, мыслительные процессы и пути атаки на новый уровень.
Эта книга фокусируется на реальных кампаниях и атаках, знакомя с различными начальными точками входа, эксплуатацией, пользовательскими вредоносными программами, устойчивостью и боковым движением, чтобы не быть пойманным.
Книга, в значительной степени основанная на лабораторных исследованиях, будет включать в себя несколько виртуальных машин, среды тестирования и пользовательские инструменты тестирования на проникновение.

Источник white2hack

Сборник сценариев для хакера 3: Практическое руководство по тестированию на проникновение

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Источник white2hack

Очередное обновление нескольких очень крупных утечек.

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Добавлены базы:
🦙 Reniec
💡 Infobiz.ru

Обновлены базы:
🧥 Romwe
⚡️ MindJolt
🏮 Tianya
❓ SprashivaiRu
🪖 VNG
👨🏻‍🎓 Edmodo
🧃 BigBasket
🔖 ShareThis

Источники Утечки Данных

Xiaomi через свою китайскую прошивку MIUI начала блокировать установку мессенджера Telegram на своих устройствах в Китае, помечая его как «опасное приложение» - Код Дурова

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Источник @banksta

С просторов Пикабу

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Повышаем понимание Security Awareness - интервью с Ольгой Лимоновой по security awareness.

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

YouTube

Источник Топ кибербезопасности

Ха-ха, классика.

#юмор

Пока одни страны пытаются создать "Интернет 2.0" и пускать туда только проверенных субъектов (забывая рассказать, что будет, если туда все-таки проникнет кто-то недоверенный или доверенный со временем станет недоверенным), другие пытаются поднять уровень защищенности для изначально недоверенных коммерческих коммуникаций.

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Аналитический центр CSIAC при американском МинОбороны разродился обзором существующих технологий "последней мили", а также описал все имеющиеся военные проекты по ее защите, исходящие от сухопутных войск, ВВС и ряда военных исследовательских агентств, среди которых и DARPA (у нее аж 8 проектов по защите "последней мили").

Источник Пост Лукацкого

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Источник Пост Лукацкого

Полиция и ФСБ требуют доступ к данным и переписке россиян в обход суда и Уголовного кодекса. Экстренно готовятся новые законы

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

https://safe.cnews.ru/news/top/2023-08-16_politsii_i_fsb_ochen_nuzhen

МВД РФ хочет получить возможность быстрого внесудебного доступа к любым данным, передаваемым через интернет - в том числе через личные гаджеты населения, из облачных хранилищ, дата-центров и операторов связи.

Источники PZDC, CNews.ru

В Ростове-на-Дону осудили украинца за хакерские атаки

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Ленинский районный суд Ростова-на-Дону вынес обвинительный приговор гражданину Украины Роману Носачеву по делу о хакерских атаках на критическую информационную инфраструктуру РФ, сообщает пресс-служба УФСБ России по Ростовской области. Носачеву назначено наказание в виде двух лет лишения свободы с отбыванием в колонии-поселении и штрафа в размере 600 тыс. рублей.

Источник BRIEF

В продолжение МВД опубликовало для обсуждения законопроект о розыске в виртуальном пространстве

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Источник DigitalRussia (Цифровая Россия)

👀 РЕЛОКАНТ В ШУТКУ СОЗДАЛ ПРИЛОЖЕНИЕ «МОЙ ДОНОС»
*многие восприняли серьезно

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Уехавший из России IT-специалист создал программу, которая принимает доносы на людей, дискредитирующих армию.
Уже весной на серверах программы лежало 5 тысяч обращений.

На кого пишут доносы
🔹 Более 50% доносов были на довольно близкое окружение — соседей и знакомых.
🔹 Больше 20% содержали подробное описание «преступления», личные данные «нарушителей» и ссылки на страницы в соцсетях.

/* Хороший повод осмотреться, кто у тебя в окружении */

Источник RelocationDEV

МВД хочет расширить перечень "мероприятий", для того, чтобы однозначно идентифицировать подозреваемого в сети и собирать на него доказательства, причем, многое совершать в режиме онлайн

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Такие поправки ведомство предложило внести в федеральный закон «Об оперативно-разыскной деятельности», документ опубликован на портале правовых актов.
В частности, МВД предложило приравнять к информации, необходимой для следственных действий, любые передаваемые через интернет данные, а также получить доступ к электронным устройствам до разрешения суда.
Собеседник “Ъ” в правоохранительных органах пояснил, что главная цель поправок — официально «включить интернет и другие средства связи в перечень того, что можно исследовать в рамках ОРД».
По итогам 2022 г. в России выявлено более 522 000 преступлений, совершаемых с использованием информационно-телекоммуникационных технологий, что составляет 22% от общего количества противоправных деяний, говорится в пояснительной записке к законопроекту.
Правоохранительным ведомствам сложно сейчас отнести к оперативному мероприятию, например, фиксации содержимого веб-страницы или переписки на форуме, отметил специалист Лаборатории компьютерной криминалистики F.A.С.С.T. (бывшая Group-IB) Игорь Михайлов. Из-за этого сведения невозможно использовать для доказательств преступления. Кроме того, будет устранена правовая коллизия, при которой иностранные ИТ-компании хранят данные россиян физически за пределами российской территории, а сотрудники вправе работать только на территории России. «Теперь данные можно будет изучить через пользователя в РФ — компанию или физлицо», — пояснил Михайлов.
Текст документа тут

Источник Персональные_данные

Совсем недавно рассказывали про крупнейшую утечку данных личного состава Полицейской службы Северной Ирландии (PSNI), которую допустили сами же силовики, отвечая на запрос о свободе информации (FOI).

👉Подписаться на канал 👈
🚨Подписаться на группу🚨

Тогда мы иронизировали, что все было бы серьезнее, если общественники вместо численности запросили количество оперативных дел или осведомителей.

Так и запросили, а бравые британские копы из Норфолка и Саффолка не растерялись и снова ответили, загрузив на портал FOI отчеты по преступлениям с данными жертв, свидетелей, подозреваемых и результатами расследований.

И на этот раз техническая проблема привела к новой FOI leak, затронувшей в общей сложности 1230 подданных Великобритании.

Она включала целый ряд правонарушений, в том числе бытовые инциденты, преступления сексуального характера и на почве ненависти, нападения, разбои, кражи и др.

Теперь полицейским осталось запрос по осведомителям отработать и можно переходить к подразделениям Скотленд-Ярда или с литерами MI.

В последнем случае в запросе можно сослаться на Бонда или Эмм - как показывает практика, может прокатить с ответом.

Источник SecAtor