Снова обход RDP, а вернее обход проверки подлинности на сетевом уровне MS Windows RDP, что позволяет злоумышленнику обойти экран блокировки в удаленных сеансах, описание здесь:
https://kb.cert.org/vuls/id/576688/

Когда выйдет CentOS 8? Нет однозначного ответа на это, потому, что с новым основным выпуском RHEL, могут быть непредвиденные осложнения. Однако исторически за выпуском RHEL обычно следует выпуск CentOS в течение одного или двух месяцев, так что можно ожидать выпуск примерно / согласно такому периоду.

Напоминаю - 7 мая на Red Hat Summit, Red Hat объявила о выпуске Red Hat Enterprise Linux (RHEL) 8.

https://blog.centos.org/2019/06/centos-community-newsletter-june-2019-1906/

Ахтунг тем, кто использует Exim. Критическая уязвимость в Exim, позволяющая выполнить код на сервере с правами root
http://www.opennet.ru/opennews/art.shtml?num=50819

Последние обновления для Windows 10 версии 1809 и Windows Server 2019 могут препятствовать запуску Internet Explorer 11, если для браузера не настроен поставщик поиска по умолчанию или настроен неверный поставщик

https://docs.microsoft.com/en-us/windows/release-information/status-windows-10-1809-and-windows-server-2019#461msgdesc

Кто помнит тетрис? Как на счет тетриса в терминале Linux? Легко:

https://github.com/samtay/tetris

Массовый брут RDP. Ботнеты не спят:

https://isc.sans.edu/forums/diary/GoldBrute+Botnet+Brute+Forcing+15+Million+RDP+Servers/25002/

MiTM прокси или немного о том, как вредоносное ПО под MacOS вставляет результаты поиска Bing в поиск Google (между делом мониторя трафик, включая шифрованный):

https://www.airoav.com/mitm-proxy-a-new-search-hijack-method-on-mojave/

Премиум Firefox - за доп. деньги будут доп. сервисы, по крайней мере так планируется. На самом деле интересен будущий прайс, так как прошлый ценник в эксперименте за 10$ в месяц, за VPN как-то выглядит на мой взгляд дороговато...

https://vc.ru/services/71098-mozilla-zadumalas-o-vypuske-platnoy-versii-brauzera-firefox

Proton VPN как партнёр Mozilla:
https://protonvpn.com/blog/mozilla-partnership/

⁠
Чего нашел, бесплатный курс от ПлюралСайта - Ethical Hacking: Hacking the Internet of Things (IoT)

Сам еще не регистрировался, но написано, что free, если кто заметит платный подвох, напишите в личку, удалю

Рассказ в картинках про мультиступенчатый бэкдор POWERSTATS...

Процесс заражения через письма, описание функций, какие команды поддерживаются (например удаленное выполнение команд, создание скриншотов и тп)... Собственно все здесь:

https://blog.trendmicro.com/trendlabs-security-intelligence/muddywater-resurfaces-uses-multi-stage-backdoor-powerstats-v3-and-new-post-exploitation-tools/

Надо попробовать, все руки не доходят:

http://www.opennet.ru/opennews/art.shtml?num=50856

Внезапно:

https://tass.ru/obschestvo/6543335

На днях (11 июня) минут на ~5-30 (у кого, как) отвалился Телеграм в разных точках по всему миру, лежал в том числе core.telegram.org... Оказывается это был DDoS (атака направленная на отказ работоспособности сервиса), об этом написали в офф блоге мессенджера.

В своё время, только из-за синхронизации купил их сервис, а теперь эту фичу они отключают.

Google Photos теперь не будет синхронизироваться с облаком:

https://gsuiteupdates.googleblog.com/2019/06/google-photos-drive-sync-stopping.html?m=1

Конференции по ИБ и прокачка скиллов…

Не в курсе как на счет конкретных скиллов, но плюс в мотивацию на развитие точно будет.. Уже все наверное знают про одну из познавательно-мотивационных конференций - OFFZONE (международная конференция по кибербезопасности) до которой осталось всего несколько дней, докладов будет много (программа здесь), что однозначно хочу посетить в первый день / половину дня:
- Эволюция сложных угроз: гонка вооружений между аналитиком и атакующим
- DevSecOps: как сделать бизнес-кейс
- Интенсив по введению в разработку эксплоитов

Послушать рассказы
- Как проводить атаки типа «человек посередине».
- О том, что каждый может провести свою первую атаку без дорогостоящего оборудования и специальной лаборатории
- Про Красную армию (что такое Read team)
- Про взгляд на продуктовую безопасность

Помимо всего прочего еще можно будет потренироваться в практике набивания тату... Атмосфера мероприятия не оставит равнодушным точно. В общем ждемс потирая руки :)

На портале отправки счёт-фактур Google обнаружена уязвимость, позволяющая получить доступ к счетам-фактурам и другой конфиденциальной информации.

Отличный рассказ от первого лица:

https://appio.dev/vulns/googleplex-com-blind-xss/

Обновления безопасности Mozilla, выпущенные буквально на днях устраняют уязвимости почтовых клиентов Thunderbird, которые могут быть использованы для выполнения произвольного кода, кражи данных пользователей, банально к краху приложения. Под каждые платформы свой набор уязвимостей:

https://www.mozilla.org/en-US/security/advisories/mfsa2019-17/

https://www.mozilla.org/en-US/security/advisories/mfsa2019-15/

Кто не обновился - обновляемся.

Уязвимости в ядре Linux делают возможным удаленные DoS-атаки

По этому поводу Red Hat опубликовал описание проблем:

https://access.redhat.com/security/vulnerabilities/tcpsack

Netflix:
https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md

AWS:
https://aws.amazon.com/security/security-bulletins/AWS-2019-005/

Аналогичные нотации были выпущены для Ubuntu:
https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SACKPanic

Debian:
https://security-tracker.debian.org/tracker/CVE-2019-11477

Arch:
https://security.archlinux.org/AVG-983

Cloudflare объявила о выпуске бесплатного API, предназначенного для того, чтобы центры сертификации могли выпускать сертификаты, гарантируя, что злоумышленники не смогут завершить процесс контрольной проверки домена с помощью атак BGP / атак DNS спуфинга

https://blog.cloudflare.com/secure-certificate-issuance/

Не успел выйти новый Firefox и тут же прилетел критикал зеро-дей:

https://www.mozilla.org/en-US/security/advisories/mfsa2019-18/