Nemzetközi IT biztonsági sajtószemle
Nemzetközi
IT biztonsági sajtószemle
Címkefelhő
OpenSSL jelentés filter bubble RSA malware Governikus Autent SDK adathalászat kiberbiztonsági stratégia FLUSH+RELOAD VirusTotal CoAP Viber Genfi Konvenció ajánlások Amnesty International disassembler arcfelismerés NSA APT EternalSilence álhírek Modlishka Google hirdetési azonosító zsarolóvírus Saipem Norvégia Telegram RocketChat Theodore Kramer vizsgálat
 2018. november 06. 15:28

A Kamerka nevű tool segítségével cím alapján kereshetőek a közeli, internet felől hozzáférhető kamerák.

Bővebben

A Kamerka nevű tool segítségével cím alapján kereshetőek a közeli, internet felől hozzáférhető kamerák. Készítője szerint az alkalmazás több különálló programból tevődik össze: az egyik a Shodan, ami az internetre kötött eszközök felderítéséért felel, a Geopy modul a helymeghatározást, a Folium pedig az eredményeket tartalmazó, HTML alapú térkép előállítását végzi. A Motherboard validálta a program működését, aminek a segítségével London, New York és Párizs területén is tártak fel nem biztosított kamerákat. Bár a teszt során olyan eszközt nem találtak, ami élő képet közvetített volna ─ valamint a legtöbbjük nem bizonyult autentikáció nélkül hozzáférhetőnek ─ több esetben is elértek olyan admin felületeket, amelyekről ismert, hogy könnyen kitalálható jelszavakkal rendelkeznek. 

(motherboard.vice.com)
Kevesebb
Hasonló hírek
 január 02. 16:00

A Privacy International szerint egyes alkalmazások akkor is szolgáltatnak felhasználói adatokat a Facebooknak, ha az adott személy nem Facebook felhasználó.

Bővebben

A Privacy International szerint egyes alkalmazások akkor is szolgáltatnak felhasználói adatokat a Facebooknak, ha az adott személy nem Facebook felhasználó. A cég elemzése során 34-ből 23 androidos applikációról állapították meg, hogy adatokat küld a közösségi óriásnak, mint például, hogy az adott appot mikor indították el, vagy zárták be, azonban az eszközre, valamint egyes beállításokra vonatkozó információkat, és a reklámcélú profilozás egyik alapvető eszközeként szolgáló Google hirdetési azonosítót (Advertising ID) is továbbítják. Az egyik ilyen problémás alkalmazás a Kayak utazásszervező app, amely minden egyes keresésről jelent, attól függetlenül, hogy az appot használó személy bejelentkezett-e a Facebook fiókjába, sőt, hogy egyáltalán Facebook tag-e. A Facebook az esettel kapcsolatos nyilatkozata szerint a cég az iparágban széles körben elterjedt gyakorlat szerint ─ az olyan nagyobb cégeket említve példaként, mint az Amazon, a Google, a Twitter, vagy az Adobe ─ analitikai, valamint reklámcélú szolgáltatásokat nyújt az alkalmazásfejlesztőknek, amelynek során azok aggregált információt nyerhetnek az alkalmazásaik használatára vonatkozóan. Emellett maga is fogad ilyen információkat, azonban az ily módon kapott adatok kezeléséhez és processzálásához az alkalmazás fejlesztőknek jogi felhatalmazást kell szerezniük. A cikk hatására egyes appok ─ mint például a Skyscanner ─ megszüntették az adattovábbítást a Facebook részére. 

(zdnet.com)
Kevesebb
 2018. december 12. 14:52

Az ESET szakértői felfedeztek egy akkumulátor optimalizáló applikációba (Optimization Battery) rejtett trójai kártevőt, amely az áldozat PayPal fiókjához igyekszik hozzáférést szerezni, majd a háttérben utalást indítani, anélkül, hogy a felhasználónak esélye legyen ennek megakadályozására.

Bővebben

Az ESET szakértői felfedeztek egy akkumulátor optimalizáló applikációba (Optimization Battery) rejtett trójai kártevőt, amely az áldozat PayPal fiókjához igyekszik hozzáférést szerezni, majd a háttérben utalást indítani, anélkül, hogy a felhasználónak esélye legyen ennek megakadályozására. Mindezt úgy éri el, hogy telepítéskor engedélyt kér az Android Accessibility használatához, amely többek között lehetővé teszi a képernyő és az operációs rendszer közötti interakciók automatizálását, ezzel szimulálva a felhasználói utasításokat (koppintásokat). A jogosultság megszerzése után az app addig várakozik, amíg a felhasználó meg nem nyitja a PayPal applikációt, és sikeresen be nem jelentkezik a fiókjába. Ezt követően azonban a káros kód hamar aktivizálja magát: az Accessibility segítségével új tranzakciót kezdeményez ─ ennek folyamata mindössze nagyjából 5 másodpercet vesz igénybe ─ amit minden alkalommal megismétel, amikor a felhasználó a PayPal alkalmazást használja. A trójai alapértelmezésként egy-egy ilyen alkalommal 1 000 egységet tulajdonít el a felhasználók számlájáról, a felfedező szakértő esetében ez 1 000 eurót jelentett. Az alkalmazás szerencsére a Play Store-ból nem elérhető, így mindeddig kevés fertőzést okozott, az ESET munkatársai mindazonáltal fokozott figyelmet javasolnak új alkalmazások telepítésekor.

(zdnet.com)
Kevesebb
 2018. december 06. 12:22

Reddit felhasználók jelentették, hogy az Apple App Store-on két olyan, magas értékelésű alkalmazás található, amelyek egy megtévesztés révén 100 dollár körüli összeget emelnek le az áldozat számlájáról; ezeket az Apple idő közben már el is távolította. 

Bővebben

Reddit felhasználók jelentették, hogy az Apple App Store-on két olyan, magas értékelésű alkalmazás található, amelyek egy megtévesztés révén 100 dollár körüli összeget emelnek le az áldozat számlájáról; ezeket az Apple idő közben már el is távolította. A szóban forgó alkalmazások (Fitness Balance, valamint a Calories Tracker) azt állították magukról, hogy egészségügyi szolgáltatást nyújtanak (kalóriaszámlálás, testtömegindex mérés, stb.) azonban ehelyett megterhelték azon felhasználók számláit, akik megadták bankkártyaadataikat az Apple fiókjukban. A konkrét összegek 99.99 dollár, 119 dollár, vagy 139 euró között változtak ─ országtól függően. A megtévesztés úgy működött, hogy az alkalmazások megnyitás után megjelenítettek egy üzenetet, amelyben arra kérték a felhasználót, hogy olvastassa le ujjlenyomatát egy kalória-figyelő funkció miatt. Amennyiben a felhasználó így tett, egy hirtelen felugró újabb ablak már a fentebb említett összegek valamelyikének terheléséhez kért engedélyt, az üzenet azonban olyan gyorsan jelent meg, hogy a felhasználónak ne legyen ideje levenni ujját a leolvasóról, szándékán kívül engedélyezve a fizetést. Az ESET ennek kapcsán felhívja a figyelmet, hogy az iPhone X ─ vagy annál újabb ─ Apple készülékeknél lehetőség van az ún. „Double Click to Pay” fizetés aktiválására, amely után a mobilfizetések a készülék oldalán található gomb kétszeri megnyomásával kerülnek engedélyezésre.

(arstechnica.com)
Kevesebb
 2018. november 27. 12:01

A brit parlament Digitális, Kulturális, Média- és Sportbizottsága bizalmas Facebookos dokumentumokat szerzett meg egy már megszűnt fotó kereső alkalmazás (Pikinis) fejlesztőjétől.

Bővebben

A brit parlament Digitális, Kulturális, Média- és Sportbizottsága bizalmas Facebookos dokumentumokat szerzett meg egy már megszűnt fotó kereső alkalmazás (Pikinis) fejlesztőjétől, a bizottság elnöke szerint pedig a hatályos brit jogszabályok értelmében nyilvánosságra is hozhatják azok tartalmát. A kérdés azonban jogi szempontból összetett, ugyanis ─ amint arra Richard Allan, a héten esedékes, dezinformációs témájú nemzetközi meghallgatásra beidézett Facebook vezető felhívta a figyelmet ─ a tech óriás szándékát, miszerint a kérdéses anyagokat titokban tartaná, egy kaliforniai bíróság korábban jóváhagyta. A szóban forgó, 2013/14-ből származó dokumentumokhoz az alkalmazásfejlesztő cég ─ Six4Three ─ egy 2015-ös policy változtatás miatt indított peres eljárás során fért hozzá. A The Observer brit hetilap szerint a bizottság kétszer is felszólította a Six4Three vezetőjét, Theodore Kramert a dokumentumok átadására, valamint egy londoni üzleti útja során a parlament elé is idézték.

(securityweek.com)
Kevesebb
 2018. október 31. 10:05

A biztonsági szempontból piacvezető csevegő alkalmazás, a Signal nyilvánosságra hozta legújabb fejlesztését, miszerint a jövőben nem csupán az üzenetek kerülnek titkosításra, hanem a feladók személye is rejtve marad.

Bővebben

A biztonsági szempontból piacvezető csevegő alkalmazás, a Signal nyilvánosságra hozta legújabb fejlesztését, miszerint a jövőben nem csupán az üzenetek kerülnek titkosításra, hanem a feladók személye is rejtve marad. Mindez azért fontos, mert bár a rendszer nem logolja a hálózatán történő tevékenységeket, a feladó és a címzett alapján is tehetők megállapítások a platform használatára vonatkozóan. A jelenleg még tesztfázisban lévő „rejtett feladó” bevezetésével nem szűnik meg annak a lehetősége, hogy a felhasználók megállapíthassák egy üzenet feladóját ─ erről a fejlesztők megkerülő megoldással gondoskodnak. A funkció alapértelmezetten a megbízható kapcsolatok számára készült, mindazonáltal egyéni preferencia alapján az is beállítható, hogy a felhasználó olyan személytől is fogadjon rejtett üzeneteket, aki nem szerepel a kontaktlistájában ─ azzal a megjegyzéssel, hogy ez az opció magas biztonsági kockázatot hordoz magában. 

(www.wired.com)
Kevesebb
 2018. október 03. 15:19

A Google Jigsaw nevű részlege bemutatta az Intra nevű mobil applikációt, amellyel a cég szerint megelőzhetőek a DNS manipulációs támadások, amelyeket egyes országok az állami cenzúra eszközeként hír és közösségi oldalak elérésének blokkolására használnak ─ a TechCrunch cikke ezzel kapcsolatban név szerint említi Törökországot és Venezuelát.

Bővebben

A Google Jigsaw nevű részlege bemutatta az Intra nevű mobil applikációt, amellyel a cég szerint megelőzhetőek a DNS manipulációs támadások, amelyeket egyes országok az állami cenzúra eszközeként hír és közösségi oldalak elérésének blokkolására használnak ─ a TechCrunch cikke ezzel kapcsolatban név szerint említi Törökországot és Venezuelát. Az Intra azáltal nyújt védelmet, hogy gondoskodik a DNS szerver felé irányuló forgalom titkosításáról, ehhez alapértelmezetten a Google DNS szolgáltatását veszi igénybe, alternatívaként beállítható még a Cloudflare publikus DNS-e. A kevéssé ismert Google divízió egyéb cenzúra ellenes appokat is fejleszt, mint például a DDoS védelmi Project Shield, vagy az Outline, ami újságíróknak és aktivistáknak nyújt VPN szolgáltatást.

(techcrunch.com)
Kevesebb
 2018. szeptember 27. 12:01

A Sophos munkatársai 25, a felhasználók tudtán kívül kriptovalutát bányászó applikációt fedeztek fel a Google Play-en, amely tevékenységet a Google már egy ideje kitiltott az alkalmazás áruházából.

Bővebben

A Sophos munkatársai 25, a felhasználók tudtán kívül kriptovalutát bányászó applikációt fedeztek fel a Google Play-en, amely tevékenységet a Google már egy ideje tilt az alkalmazás áruházában megjelenő appok számára. A biztonsági cég szerint eddig több, mint 120 000 felhasználó tölthette le a szóban forgó alkalmazásokat, amelyek a káros tevékenységet játékoknak és egyéb segédprogramoknak álcázták. Legtöbbjük Monero kriptopénzt termelő Coinhive kódokat használ, amelyek a szokványos megoldástól eltérő módon nem az eszköz grafikus vezérlőjét veszik célba a számításokhoz, hanem a CPU-t. Ezek az appok az észrevétlenség érdekében már szabályozzák a CPU használatot és figyelnek az akkumulátor merülésére és a túlmelegedésre, így sokszor a felhasználó nem is vesz észre teljesítményromlást. A szakemberek szerint az ilyen kódok lényegében bármilyen mobilos alkalmazásba beilleszthetőek, amelyek a beágyazott WebView böngészőt használják a webes tartalmak megjelenítésére. A Google-t már augusztusban értesítették a problémáról, azonban az alkalmazások egy része továbbra is letölthető a Google Play-ből. 

(www.securityweek.com)
Kevesebb
 2018. szeptember 25. 16:40

A Microsoft az Ignite 2018 konferenciáján bejelentette, hogy az Azure Active Directory immár támogatja a saját fejlesztésű autentikátor alkalmazással történő hitelesítést.

Bővebben

A Microsoft az Ignite 2018 konferenciáján bejelentette, hogy az Azure Active Directory immár támogatja a saját fejlesztésű autentikátor alkalmazással történő hitelesítést. Mindez azt jelenti, hogy az Azure AD-t használó vállalatok alkalmazottjai jelszavak helyett az okostelefonjaikra telepített applikáció segítségével azonosíthatják magukat a vállalati IT környezetben, de az Office 365, Azure és a Dynamics CRM Online szolgáltatások esetében is használható az app. Az elképzelés mögött az a feltevés áll, hogy a támadóknak nehezebb ellopni a felhasználó telefonkészülékét, mint megszerezni a jelszavát. A cég emellett több újdonságot is bejelentett, például az MI-t is felhasználó Microsoft Threat Protection-t, ami a Microsoft 365 számára nyújt védelmet.

(www.zdnet.com)
Kevesebb