Kacper Szurek
Opowiadam o bezpieczeństwie w prosty i zrozumiały sposób.
Kategorie:
Edukacja
Edukacja
Szurkogadanie #13
2018-10-08 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: phishing na użytkowników Steam przy pomocy fałszywego okienka, błędna konfiguracja Trello oraz bezpieczeństwo menadżerów haseł na Androida.
Transkrypcja: https://security.szurek.pl/szurkogadanie-13.html
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-282-2018-09-29-bierzcie-i-czytajcie/
0:21 https://www.thescottishsun.co.uk/tech/3235218/arran-brewery-blackmailed-hackers-ransomware-attack/
1:50 https://theintercept.com/2018/09/24/united-nations-trello-jira-google-docs-passwords/
3:00 https://www.n00py.io/2018/08/bypassing-duo-two-factor-authentication-fail-open/
4:17 https://www.zdnet.com/article/password-managers-can-be-tricked-into-believing-that-malicious-android-apps-are-legitimate/
5:45 https://tehaurum.wordpress.com/2018/09/30/an-innovative-phishing-style/
7:14 https://www.jisc.ac.uk/blog/cyber-attacks-on-colleges-and-universities-who-when-and-why-14-sep-2018
8:15 https://zaufanatrzeciastron
Nowości ze świata security w zwięzłej formie.
W tym odcinku: phishing na użytkowników Steam przy pomocy fałszywego okienka, błędna konfiguracja Trello oraz bezpieczeństwo menadżerów haseł na Androida.
Transkrypcja: https://security.szurek.pl/szurkogadanie-13.html
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-282-2018-09-29-bierzcie-i-czytajcie/
0:21 https://www.thescottishsun.co.uk/tech/3235218/arran-brewery-blackmailed-hackers-ransomware-attack/
1:50 https://theintercept.com/2018/09/24/united-nations-trello-jira-google-docs-passwords/
3:00 https://www.n00py.io/2018/08/bypassing-duo-two-factor-authentication-fail-open/
4:17 https://www.zdnet.com/article/password-managers-can-be-tricked-into-believing-that-malicious-android-apps-are-legitimate/
5:45 https://tehaurum.wordpress.com/2018/09/30/an-innovative-phishing-style/
7:14 https://www.jisc.ac.uk/blog/cyber-attacks-on-colleges-and-universities-who-when-and-why-14-sep-2018
8:15 https://zaufanatrzeciastron
Szurkogadanie #12
2018-10-01 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: Odzyskiwanie danych wpisanych na ekranie dotykowym przy użyciu waitlist.dat, atakowanie serwera podczas eksportu plików pdf oraz jak radzić sobie z kradzieżą paczek przez kurierów.
Dostępne również na: https://anchor.fm/kacperszurek/
Transkrypcja: https://security.szurek.pl/szurkogadanie-12.html
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-282-2018-09-29-bierzcie-i-czytajcie/
0:23 https://www.zdnet.com/article/this-windows-file-may-be-secretly-hoarding-your-passwords-and-emails/
1:58 https://www.securify.nl/advisory/SFY20180102/authentication-bypass-vulnerability-in-western-digital-my-cloud-allows-escalation-to-admin-privileges.html
2:48 https://medium.com/@jonathanbouman/local-file-inclusion-at-ikea-com-e695ed64d82f
4:17 https://isc.sans.edu/forums/diary/PrePwned+AMI+Images+in+Amazons+AWS+public+instance+store/24126/
Więcej na: https://youtu.be/Hwq717-ouQo
Nowości ze świata security w zwięzłej formie.
W tym odcinku: Odzyskiwanie danych wpisanych na ekranie dotykowym przy użyciu waitlist.dat, atakowanie serwera podczas eksportu plików pdf oraz jak radzić sobie z kradzieżą paczek przez kurierów.
Dostępne również na: https://anchor.fm/kacperszurek/
Transkrypcja: https://security.szurek.pl/szurkogadanie-12.html
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-282-2018-09-29-bierzcie-i-czytajcie/
0:23 https://www.zdnet.com/article/this-windows-file-may-be-secretly-hoarding-your-passwords-and-emails/
1:58 https://www.securify.nl/advisory/SFY20180102/authentication-bypass-vulnerability-in-western-digital-my-cloud-allows-escalation-to-admin-privileges.html
2:48 https://medium.com/@jonathanbouman/local-file-inclusion-at-ikea-com-e695ed64d82f
4:17 https://isc.sans.edu/forums/diary/PrePwned+AMI+Images+in+Amazons+AWS+public+instance+store/24126/
Więcej na: https://youtu.be/Hwq717-ouQo
Szurkogadanie #11
2018-09-24 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: atak na komputery używające trybu uśpienia, ransomobile czyli atak na uwierzytelnienie SMS oraz zmiany w programie bug bounty Tesli.
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-280-2018-09-16-bierzcie-i-czytajcie/
0:17 https://www.zdnet.com/article/tech-support-scammers-find-a-on-microsoft-technet-pages/
2:18 https://blog.f-secure.com/cold-boot-attacks/
4:11 https://hackernoon.com/low-cost-usb-rubber-ducky-pen-test-tool-for-3-using-digispark-and-duck2spark-5d59afc1910
5:34 https://cloudblogs.microsoft.com/microsoftsecure/2018/09/12/office-vba-amsi-parting-the-veil-on-malicious-macros/
7:04 https://www.martinvigo.com/ransombile/
8:12 https://www.troyhunt.com/extended-validation-certificates-are-dead/
9:26 https://www.armis.com/blueborne-one-year-later/
Więcej na: https://www.youtube.com/watch?v=au5hbufB0jg
Nowości ze świata security w zwięzłej formie.
W tym odcinku: atak na komputery używające trybu uśpienia, ransomobile czyli atak na uwierzytelnienie SMS oraz zmiany w programie bug bounty Tesli.
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-280-2018-09-16-bierzcie-i-czytajcie/
0:17 https://www.zdnet.com/article/tech-support-scammers-find-a-on-microsoft-technet-pages/
2:18 https://blog.f-secure.com/cold-boot-attacks/
4:11 https://hackernoon.com/low-cost-usb-rubber-ducky-pen-test-tool-for-3-using-digispark-and-duck2spark-5d59afc1910
5:34 https://cloudblogs.microsoft.com/microsoftsecure/2018/09/12/office-vba-amsi-parting-the-veil-on-malicious-macros/
7:04 https://www.martinvigo.com/ransombile/
8:12 https://www.troyhunt.com/extended-validation-certificates-are-dead/
9:26 https://www.armis.com/blueborne-one-year-later/
Więcej na: https://www.youtube.com/watch?v=au5hbufB0jg
Szurkogadanie #10
2018-09-17 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: zatruwanie odpowiedzi serwera cache, omijanie blokady rodzicielskiej w Nintendo Switch oraz exploit na Tor Browser.
0:15 https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SESN-2018-236-01+Conext+USB+Malware.pdf&p_Doc_Ref=SESN-2018-236-01
1:07 https://blog.talosintelligence.com/2018/09/vulnerability-spotlight-Multi-provider-VPN-Client-Privilege-Escalation.html
2:11 https://portswigger.net/blog/practical-web-cache-poisoning
4:09 https://www.secjuice.com/finding-real-ips-of-origin-servers-behind-cloudflare-or-tor/
5:35 https://blog.grimm-co.com/post/malicious-command-execution-via-bash-completion-cve-2018-7738/
6:43 https://medium.com/kidsnclicks/nintendo-switch-parental-controls-dont-work-7febabf4942a
7:46 https://twitter.com/Zerodium/status/1039127214602641409
Więcej na: https://youtu.be/6h_8TW242Ds
Nowości ze świata security w zwięzłej formie.
W tym odcinku: zatruwanie odpowiedzi serwera cache, omijanie blokady rodzicielskiej w Nintendo Switch oraz exploit na Tor Browser.
0:15 https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SESN-2018-236-01+Conext+USB+Malware.pdf&p_Doc_Ref=SESN-2018-236-01
1:07 https://blog.talosintelligence.com/2018/09/vulnerability-spotlight-Multi-provider-VPN-Client-Privilege-Escalation.html
2:11 https://portswigger.net/blog/practical-web-cache-poisoning
4:09 https://www.secjuice.com/finding-real-ips-of-origin-servers-behind-cloudflare-or-tor/
5:35 https://blog.grimm-co.com/post/malicious-command-execution-via-bash-completion-cve-2018-7738/
6:43 https://medium.com/kidsnclicks/nintendo-switch-parental-controls-dont-work-7febabf4942a
7:46 https://twitter.com/Zerodium/status/1039127214602641409
Więcej na: https://youtu.be/6h_8TW242Ds
Szurkogadanie #9
2018-09-10 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: globalny skan katalogu .git, enumeracja użytkowników AWS oraz tabnabbing w wykop.pl
Dostępne również na: https://anchor.fm/kacperszurek/
0:20 https://serhack.me/articles/mega-chrome-extension-hacked
1:58 https://oddvar.moe/2018/09/06/persistence-using-universal-windows-platform-apps-appx/
3:21 https://rhinosecuritylabs.com/aws/aws-iam-user-enumeration/
5:03 https://webdevetc.com/blog/how-to-get-someones-database-credentials-while-they-are-editing-config-files-on-a-live-server
6:13 https://github.com/kacperszurek/presentations/blob/master/PWNing-2017-Eskalacja-uprawnien-w-systemie-Windows.pdf
6:35 https://www.youtube.com/watch?v=FpaBnJO9a0w
7:59 https://www.secjuice.com/web-application-firewall-waf-evasion/
9:18 https://threatpost.com/malicious-docker-containers-earn-crypto-miners-90000/132816/
Więcej na: https://youtu.be/1lwKlQyhMM8
Nowości ze świata security w zwięzłej formie.
W tym odcinku: globalny skan katalogu .git, enumeracja użytkowników AWS oraz tabnabbing w wykop.pl
Dostępne również na: https://anchor.fm/kacperszurek/
0:20 https://serhack.me/articles/mega-chrome-extension-hacked
1:58 https://oddvar.moe/2018/09/06/persistence-using-universal-windows-platform-apps-appx/
3:21 https://rhinosecuritylabs.com/aws/aws-iam-user-enumeration/
5:03 https://webdevetc.com/blog/how-to-get-someones-database-credentials-while-they-are-editing-config-files-on-a-live-server
6:13 https://github.com/kacperszurek/presentations/blob/master/PWNing-2017-Eskalacja-uprawnien-w-systemie-Windows.pdf
6:35 https://www.youtube.com/watch?v=FpaBnJO9a0w
7:59 https://www.secjuice.com/web-application-firewall-waf-evasion/
9:18 https://threatpost.com/malicious-docker-containers-earn-crypto-miners-90000/132816/
Więcej na: https://youtu.be/1lwKlQyhMM8
Szurkogadanie #8
2018-09-03 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: niezabezpieczone instancje MongoDB, problemy twórców Fortnite z instalatorem na Android oraz błąd w OpenSSH.
Dostępne również na: https://anchor.fm/kacperszurek/
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-278-2018-09-01-bierzcie-i-czytajcie/
0:32 https://www.linkedin.com/pulse/abbyy-exposed-its-document-storage-database-more-than-bob-diachenko/
2:27 https://www.tbo.com/news/bizarre/1-464-Western-Australian-government-officials-used-Password123-as-their-password-But-don-t-smirk-_171143984
3:53 https://www.appthority.com/mobile-threat-center/blog/enterprise-security-risk-apps-capturing-corporate-mobile-screens/
5:44 https://www.grahamcluley.com/fortnite-fury-over-how-google-handled-its-huge-security-hole/
8:26 https://blog.bzwbk.pl/2018/08/uwazaj-na-falszywe-aplikacje-bankowe
9:27 https://hackerone.com/reports/399166
Więcej na: https://youtu.be/3DyesrmvsyA
Nowości ze świata security w zwięzłej formie.
W tym odcinku: niezabezpieczone instancje MongoDB, problemy twórców Fortnite z instalatorem na Android oraz błąd w OpenSSH.
Dostępne również na: https://anchor.fm/kacperszurek/
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-278-2018-09-01-bierzcie-i-czytajcie/
0:32 https://www.linkedin.com/pulse/abbyy-exposed-its-document-storage-database-more-than-bob-diachenko/
2:27 https://www.tbo.com/news/bizarre/1-464-Western-Australian-government-officials-used-Password123-as-their-password-But-don-t-smirk-_171143984
3:53 https://www.appthority.com/mobile-threat-center/blog/enterprise-security-risk-apps-capturing-corporate-mobile-screens/
5:44 https://www.grahamcluley.com/fortnite-fury-over-how-google-handled-its-huge-security-hole/
8:26 https://blog.bzwbk.pl/2018/08/uwazaj-na-falszywe-aplikacje-bankowe
9:27 https://hackerone.com/reports/399166
Więcej na: https://youtu.be/3DyesrmvsyA
Szurkogadanie #7
2018-08-27 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: atak man in the disk na androida, nowy atak typu object injection w PHP oraz co to jest WAP Billing.
Dostępne również na: https://anchor.fm/kacperszurek/
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-276-2018-08-18-bierzcie-i-czytajcie/
0:38 https://www.bleepingcomputer.com/news/security/mozilla-removes-23-firefox-add-ons-that-snooped-on-users/
1:43 https://security.googleblog.com/2018/08/expanding-our-vulnerability-reward.html
2:30 https://arstechnica.com/information-technology/2018/08/macos-user-warnings-are-trivial-for-malware-to-suppress-and-bypass/
3:33 https://cofense.com/necurs-targeting-banks-pub-file-drops-flawedammyy/
4:23 https://media.defcon.org/DEF%20CON%2026/DEF%20CON%2026%20presentations/Slava%20Makkaveev/DEFCON-26-Slava-Makkaveev-Man-In-The-Disk.pdf
Więcej na: https://www.youtube.com/watch?v=lmr1aIHmxA8
Nowości ze świata security w zwięzłej formie.
W tym odcinku: atak man in the disk na androida, nowy atak typu object injection w PHP oraz co to jest WAP Billing.
Dostępne również na: https://anchor.fm/kacperszurek/
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-276-2018-08-18-bierzcie-i-czytajcie/
0:38 https://www.bleepingcomputer.com/news/security/mozilla-removes-23-firefox-add-ons-that-snooped-on-users/
1:43 https://security.googleblog.com/2018/08/expanding-our-vulnerability-reward.html
2:30 https://arstechnica.com/information-technology/2018/08/macos-user-warnings-are-trivial-for-malware-to-suppress-and-bypass/
3:33 https://cofense.com/necurs-targeting-banks-pub-file-drops-flawedammyy/
4:23 https://media.defcon.org/DEF%20CON%2026/DEF%20CON%2026%20presentations/Slava%20Makkaveev/DEFCON-26-Slava-Makkaveev-Man-In-The-Disk.pdf
Więcej na: https://www.youtube.com/watch?v=lmr1aIHmxA8
Szurkogadanie #6
2018-08-20 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: śmieciowe błędy mające utrudnić tworzenie exploitów, bezpieczeństwo aplikacji finansowych oraz deszyfrowanie ruchu WhatsApp.
Dostępne również na: https://anchor.fm/kacperszurek/
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-275-2018-08-10-bierzcie-i-czytajcie/
0:19 http://www.dailymail.co.uk/news/article-6027207/Honeytrap-spy-stole-secrets-new-RAF-stealth-jet-hacking-Tinder-profile.html
1:16 https://motherboard.vice.com/en_us/article/43p7dm/software-chaff-bugs-could-make-it-more-secure
2:52 https://thenextweb.com/facebook/2018/08/07/facebook-recently-started-asking-banks-for-your-financial-data/
3:34 https://www.symantec.com/blogs/threat-intelligence/tech-support-scam-call-optimization
4:43 https://ioactive.com/are-you-trading-stocks-securely-exposing-security-flaws-in-trading-technologies/
Więcej na: https://youtu.be/Yzp8ExABUEY
Nowości ze świata security w zwięzłej formie.
W tym odcinku: śmieciowe błędy mające utrudnić tworzenie exploitów, bezpieczeństwo aplikacji finansowych oraz deszyfrowanie ruchu WhatsApp.
Dostępne również na: https://anchor.fm/kacperszurek/
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-275-2018-08-10-bierzcie-i-czytajcie/
0:19 http://www.dailymail.co.uk/news/article-6027207/Honeytrap-spy-stole-secrets-new-RAF-stealth-jet-hacking-Tinder-profile.html
1:16 https://motherboard.vice.com/en_us/article/43p7dm/software-chaff-bugs-could-make-it-more-secure
2:52 https://thenextweb.com/facebook/2018/08/07/facebook-recently-started-asking-banks-for-your-financial-data/
3:34 https://www.symantec.com/blogs/threat-intelligence/tech-support-scam-call-optimization
4:43 https://ioactive.com/are-you-trading-stocks-securely-exposing-security-flaws-in-trading-technologies/
Więcej na: https://youtu.be/Yzp8ExABUEY
Szurkogadanie #5
2018-08-13 08:00:00
Nowości ze świata security w zwięzłej formie.
W tym odcinku: fałszywe kontrole UODO, klonowanie kart SIM, generator haseł do kamer internetowych oraz nowy atak na WPA.
Dostępne również na: https://anchor.fm/kacperszurek/
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-274-2018-08-04-bierzcie-i-czytajcie/
0:21 https://uodo.gov.pl/pl/138/465
1:18 https://motherboard.vice.com/en_us/article/3ky5a5/criminals-recruit-telecom-employees-sim-swapping-port-out-scam
2:46 https://motherboard.vice.com/en_us/article/a3q7mz/hacker-allegedly-stole-millions-bitcoin-sim-swapping
3:50 https://intpolicydigest.org/2018/07/27/countering-smart-terrorists-who-use-online-gaming-platforms/
4:36 https://googleprojectzero.blogspot.com/2018/08/adventures-in-vulnerability-reporting.html
6:31 https://arstechnica.com/information-technology/2018/07/click-on-this-ios-phishing-scam-and-youll-be-connected-to-apple-care/
Więcej na: https://youtu.be/NROIO9eyFhE
Nowości ze świata security w zwięzłej formie.
W tym odcinku: fałszywe kontrole UODO, klonowanie kart SIM, generator haseł do kamer internetowych oraz nowy atak na WPA.
Dostępne również na: https://anchor.fm/kacperszurek/
Bazując na: https://zaufanatrzeciastrona.pl/post/weekendowa-lektura-odcinek-274-2018-08-04-bierzcie-i-czytajcie/
0:21 https://uodo.gov.pl/pl/138/465
1:18 https://motherboard.vice.com/en_us/article/3ky5a5/criminals-recruit-telecom-employees-sim-swapping-port-out-scam
2:46 https://motherboard.vice.com/en_us/article/a3q7mz/hacker-allegedly-stole-millions-bitcoin-sim-swapping
3:50 https://intpolicydigest.org/2018/07/27/countering-smart-terrorists-who-use-online-gaming-platforms/
4:36 https://googleprojectzero.blogspot.com/2018/08/adventures-in-vulnerability-reporting.html
6:31 https://arstechnica.com/information-technology/2018/07/click-on-this-ios-phishing-scam-and-youll-be-connected-to-apple-care/
Więcej na: https://youtu.be/NROIO9eyFhE
Szurkogadanie #4
2018-08-06 08:05:44
Nowości ze świata security w zwięzłej formie.
W tym odcinku: płatności w więzieniu, kradzież plików przy użyciu HTML, atak na routery MikroTik.
0:23 https://www.wired.com/story/how-a-group-of-imprisoned-hackers-introduced-jpay-to-the-world/
1:08 https://securelist.com/a-study-of-car-sharing-apps/86948/
2:29 https://www.pentestpartners.com/security-blog/hacking-swann-home-security-camera-video/
3:24 https://blog.trendmicro.com/trendlabs-security-intelligence/open-adb-ports-being-exploited-to-spread-possible-satori-variant-in-android-devices/
4:21 https://securelist.com/a-mining-multitool/86950/
5:39 https://www.netsparker.com/blog/web-security/stealing-local-files-with-simple-html-file/
7:38 https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValues_Whitepaper.pdf
8:46 https://www.trustwave.com/Resources/SpiderLabs-Blog/Mass-MikroTik-Router-Infection-%E2%80%93-First-we-cryptojack-Brazil,-then-we-take-the-World-/
Więcej na: https://youtu.be/bJv87cWbso8
Nowości ze świata security w zwięzłej formie.
W tym odcinku: płatności w więzieniu, kradzież plików przy użyciu HTML, atak na routery MikroTik.
0:23 https://www.wired.com/story/how-a-group-of-imprisoned-hackers-introduced-jpay-to-the-world/
1:08 https://securelist.com/a-study-of-car-sharing-apps/86948/
2:29 https://www.pentestpartners.com/security-blog/hacking-swann-home-security-camera-video/
3:24 https://blog.trendmicro.com/trendlabs-security-intelligence/open-adb-ports-being-exploited-to-spread-possible-satori-variant-in-android-devices/
4:21 https://securelist.com/a-mining-multitool/86950/
5:39 https://www.netsparker.com/blog/web-security/stealing-local-files-with-simple-html-file/
7:38 https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValues_Whitepaper.pdf
8:46 https://www.trustwave.com/Resources/SpiderLabs-Blog/Mass-MikroTik-Router-Infection-%E2%80%93-First-we-cryptojack-Brazil,-then-we-take-the-World-/
Więcej na: https://youtu.be/bJv87cWbso8