Viry a Červi

Google's 'Ask me anything' on Privacy Sandbox was more about questions than answers

The Register - Anti-Virus - 21 Květen, 2021 - 12:59
FLoC is not for our benefit, says Chocolate Factory, it's for everyone else

Google conducted an "Ask me anything" panel on its controversial Privacy Sandbox proposals at its online I/O event.…

Kategorie: Viry a Červi

Doncaster insurance firm One Call hit by not-dead-at-all Darkside ransomware gang

The Register - Anti-Virus - 21 Květen, 2021 - 11:15
Local paper reports £15m heist demand amid Colonial Pipeline chaos

A Doncaster insurance company has been hit by ransomware from the Darkside crew – whose "press release" declaring it was shutting down its operations last week was taken at face value by some pundits.…

Kategorie: Viry a Červi

Toyota rear-ended by twin cyber attacks that left ransomware-shaped dents

The Register - Anti-Virus - 21 Květen, 2021 - 07:05
Oh what a feeling, and in the same week as automaker announced new production pauses

Toyota has admitted to a pair of cyber-attacks.…

Kategorie: Viry a Červi

100M Android Users Hit By Rampant Cloud Leaks

VirusList.com - 20 Květen, 2021 - 22:45
Several mobile apps, some with 10 million downloads, have opened up personal data of users to the public internet – and most aren't fixed.
Kategorie: Viry a Červi

S3 Ep33: Eufy camera leak, Afterburner crisis, and AirTags (again) [Podcast]

Sophos Naked Security - 20 Květen, 2021 - 20:59
Latest episode - listen now (and tell your friends)!

The Gig Economy Creates Novel Data-Security Risks

VirusList.com - 20 Květen, 2021 - 19:59
Enterprises are embracing on-demand freelance help – but the practice, while growing, opens up entirely new avenues of cyber-risk.
Kategorie: Viry a Červi

Four Android Bugs Being Exploited in the Wild

VirusList.com - 20 Květen, 2021 - 18:50
On Wednesday, Google quietly slipped updates into its May 3 Android security bulletin for bugs that its Project Zero group has confirmed are zero-days.
Kategorie: Viry a Červi

2021 Attacker Dwell Time Trends and Best Defenses

VirusList.com - 20 Květen, 2021 - 17:07
The time that attackers stay hidden inside an organization’s networks is shifting, putting pressure on defenders and upping the need to detect and respond to threats in real-time.
Kategorie: Viry a Červi

UK data regulator fines American Express up to 0.021p per email after opted-out folk spammed 4.1 million times

The Register - Anti-Virus - 20 Květen, 2021 - 15:45
Bank made $1.4bn in profits alone last quarter

American Express has been fined 0.009 per cent of its annual profits by the Information Commissioner's Office (ICO) after spamming people who opted out of its marketing emails with 4.1 million unwanted messages.…

Kategorie: Viry a Červi

Apple Exec Calls Level of Mac Malware ‘Unacceptable’

VirusList.com - 20 Květen, 2021 - 14:10
Company is using threat of attacks as defense in case brought against it by Epic Games after Fortnite was booted from the App Store for trying to circumvent developer fees.
Kategorie: Viry a Červi

Can Nanotech Secure IoT Devices From the Inside-Out?

VirusList.com - 19 Květen, 2021 - 22:24
Work's being done with uber-lightweight nanoagents on every IoT device to stop malicious behavior, such as a scourge of botnet attacks, among other threats.
Kategorie: Viry a Červi

Microsoft, Google Clouds Hijacked for Gobs of Phishing

VirusList.com - 19 Květen, 2021 - 22:16
Attackers sent 52M malicious messages leveraging the likes of Office 365, Azure, OneDrive, SharePoint, G-Suite and Firebase storage in Q1 2021.
Kategorie: Viry a Červi

Regulator fines COVID-19 tracker for turning contact data into sales leads

Sophos Naked Security - 19 Květen, 2021 - 20:53
Would you like marketing material with your track-and-trace?

Keksec Cybergang Debuts Simps Botnet for Gaming DDoS

VirusList.com - 19 Květen, 2021 - 18:53
The newly discovered malware infects IoT devices in tandem with the prolific Gafgyt botnet, using known security vulnerabilities.
Kategorie: Viry a Červi

Windows PoC Exploit Released for Wormable RCE

VirusList.com - 19 Květen, 2021 - 16:35
The exploit pries open CVE-2021-31166, a bug with a CVSS score of 9.8 that was the baddest of the bad in Microsoft's Patch Tuesday release last week.
Kategorie: Viry a Červi

Hrozba v rozkroku

VIRY.CZ - 4 Květen, 2021 - 11:56

IOT (Internet of Things) zařízení, tedy ta, která lze nějakým způsobem připojit do internetu, postupují do všech odvětví. Dokonce i mezi erotické pomůcky. A jelikož je situace kolem zabezpečení některých IOT zařízení “veselá”, může tak být “veselo” i v rozkroku.

V březnu se například objevila velká analýza společnosti ESET, která se zaměřuje na chyby v těchto dvou hračkách pro dospělé:

  • We-Vibe Jive
  • Lovense Max
We-Vibe Jive Lovense Max

Vzhledem k tomu, že celá architektura vypadá následovně, je tam spousta míst, kde se může nějaká slabina objevit. A to se i potvrdilo.

Složitější než bezdrátové otevírání vrat

Rizikových míst je tam dokonce více než u typického IOT zařízení pro bezdrátové otevírání garážových vrat či zapínání světel. Navíc se totiž využívá lokální bluetooth komunikace mezi mobilní aplikací a “hračkou”. A též do ovládání nevstupuje jen uživatel erotické hračky, ale i potenciální partner, který může sedět úplně jinde a mít tak pindíka / pipinku pod vzdálenou kontrolou. Že může být nějaká chyba i v samotné komunikaci mezi cloudem a mobilní aplikací nebo v samotné cloudové službě, to je všeobecné riziko jakéhokoliv IOT zařízení.

Do rozkroku vstup povolen

První objevený problém je už v bluetooth komunikaci mezi hračkou a telefonem, kdy se lze do párování vnutit jakýmkoliv cizím zařízením v dosahu a neexistuje tam žádný autorizační proces. Je to tedy podobné jako s chytrou kulmou na vlasy, o které jsem psal v minulosti. Tady tak lze uplatnit útok typu MitM (Man in the Middle), kdy mezi hračkou a mobilním telefonem uživatele figuruje zařízení útočníka, které komunikaci odchytává nebo do ní vhodně vstupuje.

U zařízení Lovense navíc bylo možné uplatnit brute-force útok z internetu a zkusit tak vzdáleně ovládnout právě zapnuté cizí hračky tohoto výrobce. To bylo možné díky nedostatečné unikátnosti tokenů jednotlivých zařízení, které mohou být ovladatelné přes URL https://api2.lovense.com/c/<TOKEN>. To, že existuje i skupina uživatelů, kteří vlastní token sdílí veřejně, to snad ani nebudu rozebírat.

Našlo se ještě pár dalších nedostatků, nicméně vše je popsáno v článku “Sex in the digital era: How secure are smart sex toys” na Welivesecurity.com a přiložené PDF zprávě, včetně několika video ukázek.

IOT pás cudnosti: Zamknout přes internet, odemknout bruskou!

Tohle všechno je ale nic proti IOT pásu cudnosti “Cellmate Chastity Cage” od společnosti Qiui, který byl v minulém roce testován organizací Pen Test Partners. Tam totiž bylo technicky možné převzít kontrolu nad všemi aktivními pásy cudnosti v horizontu několika dnů. Bylo tak možné získat citlivé informace uživatelů pásů (jejich skutečné jméno, telefonní číslo, datum narození, lokalitu z GPS, …), ale též pás cudnosti přes internet zamknout!

A teď pozor! Zařízení bylo možné přivést do stavu, kdy bylo přes internet zamknuto a nebylo ho možné odemknout jinak, než fyzickým zásahem. A zde pozor podruhé: tento pás cudnosti nemá žádnou fyzickou pojistku ani mechanismus pro nouzové otevření! Zámek je navíc natolik poctivý, že existují vlastně jen dvě řešení, jak tuhle věc z “piňďouru” sundat:

  • Použít úhlovou brusku ala flexu a doufat, že si kromě pásu cudnosti neuříznete i něco jiného.
  • Mít někoho šikovného k ruce (spíše k noze), kdo nožem vyřízne (připevněno lepidlem) a vydloubne správný kus plastu, a na správné vodiče uvnitř pošle přesně 3 volty, které způsobí otevření zámku.
Sem lze pustit 3 volty a tak zámek překonat.

Pár tipů na demontáž:

Ransomware: chceš to odemknout? Zaplať!

Třešničkou na dortu je, že na github.com byl dokonce nalezen zdrojový kód ransomwaru (napsaný v Pythonu), který právě tuto fatální chybu v komunikaci zneužívá a dokáže hromadně pásy cudnosti zamknout. A jak to už u ransomwaru bývá, do mobilní obslužné aplikace doručí vzkaz, že pokud chcete odemknout, je potřeba nejprve zaplatit (například v bitcoinech)…

We'd like to uncomfortably announce we have received the source code to IoT Ransomware. that targets… Male Chastity devices…

You can download and view the source code to Trojan-Ransom.Python.ChastityLock here: https://t.co/jJ4bFqQ3rO pic.twitter.com/mqjuYE9IWd

— vx-underground (@vxunderground) January 4, 2021

The post Hrozba v rozkroku appeared first on VIRY.CZ.

Kategorie: Viry a Červi
Syndikovat obsah