#cybersecurity

Opowieści i ciekawostki. Nie jest to typowo "techniczna" prezentacja. Głównie dla nerdów.

Robert Kruczek i Kamil Szczurowski, eksperci z firmy Securitum, opowiadają o swoich badaniach bezpieczeństwa polskich serwisów rządowych i publicznych.

Robert Kruczek, Kamil Szczurowski - [PL] How we hacked half of the Polish government

https://www.youtube.com/watch?v=JCoZrd31EfQ

#cyberbezpieczenstwo #cybersecurity #bezpieczenstwo

Auta są zabezpieczone niczym chińskie kamerki internetowe ¯\\(ツ)/¯

ps. tak, pchane czatem, ale opracowanie tego ręcznie to dzień pracy więc sami rozumiecie.

Honda, Nissan, Infiniti, Acura – 2022

Sam VIN wystarczał w demonstracji.



Badacze Sam Curry i współpracownicy odkryli błędy w usługach telematycznych SiriusXM Connected Vehicle Services.

* Punktem wyjścia był numer VIN.

* Można było zdalnie otworzyć i zamknąć samochód.

* Uruchomić i wyłączyć silnik (w modelach obsługujących tę funkcję).

* Zlokalizować samochód.

* Włączyć klakson i światła.

* Uzyskać dane właściciela, w tym imię, nazwisko, e-mail, telefon i adres.

* W określonych przypadkach przejąć dostęp do konta.


Nie było potrzeby fizycznego kontaktu z samochodem.

https://therecord.media/researchers-find-bugs-allowing-access-remote-control-of-cars

Hyundai i Genesis – 2022

Podatność w aplikacji i API producenta.

* Wystarczał adres e-mail przypisany do konta właściciela.

* Badacze ominęli mechanizm autoryzacji.

* Mogli przejąć konto użytkownika.

* Zdalnie otworzyć i zamknąć samochód.

* Uruchomić i wyłączyć silnik.

* Włączyć światła i klakson.

* Uzyskać lokalizację pojazdu.


Atak można było przeprowadzić przez internet, z dowolnego miejsca. Hyundai załatał problem po zgłoszeniu.

https://therecord.media/researchers-find-bugs-allowing-access-remote-control-of-cars

Kia – 2024

Numer rejestracyjny zamiast kluczyka



To jeden z najciekawszych przypadków.

Podatność znajdowała się w internetowym portalu dealerskim Kia.

Badacze wykazali możliwość:

* lokalizacji samochodu;

* otwierania i zamykania zamków;

* uruchamiania i wyłączania silnika;

* uruchamiania klaksonu;

* uzyskania danych osobowych właściciela;

* dodania własnego adresu e-mail jako dodatkowego użytkownika samochodu.


Co szczególnie istotne: demonstracja wykorzystywała numer rejestracyjny pojazdu. Badacze mogli uzyskać dostęp do funkcji samochodu w czasie krótszym niż 30 sekund.

Problem dotyczył samochodów wyposażonych w odpowiedni moduł zdalnego sterowania, również bez aktywnej subskrypcji Kia Connect.

Podatności zostały naprawione.

https://www.bleepingcomputer.com/news/security/kia-dealer-portal-flaw-could-let-attackers-hack-millions-of-cars/

Spireon / LoJack – 2022–2023



To przypadek dotyczący dostawcy telematyki obsługującego bardzo dużą liczbę pojazdów.

Badacze wykazali możliwość uzyskania uprawnień administratora do panelu zarządzania flotą.

Potencjalne możliwości:

* lokalizowanie pojazdów;

* otwieranie zamków;

* uruchamianie silników;

* dezaktywacja rozruszników;

* wysyłanie poleceń do urządzeń telematycznych;

* aktualizacja ich oprogramowania.


Szacowana skala ekspozycji wynosiła około 15,5 mln pojazdów. Nie oznacza to, że wszystkie te auta zostały przejęte.



https://arstechnica.com/cars/2023/01/hackers-discover-that-vulnerabilities-are-rife-in-the-auto-industry/

Subaru STARLINK – 2025

Zdalne przejęcie funkcji samochodu przez internet



Wykryli poważną podatność w panelu administracyjnym Subaru STARLINK.

Co można było zrobić:

* Zdalnie otworzyć i zamknąć samochód.

* Uruchomić i wyłączyć silnik.

* Włączyć klakson.

* Zlokalizować samochód.

* Odczytać historię lokalizacji z ostatnich 12 miesięcy.

* Uzyskać dane osobowe właściciela.

* Przypisać siebie jako autoryzowanego użytkownika pojazdu bez powiadomienia właściciela.


Co było potrzebne?

Dane pozwalające zidentyfikować właściciela, np. nazwisko, kod pocztowy, numer telefonu, e-mail, VIN lub numer rejestracyjny – zależnie od sposobu wyszukiwania.

Nie było konieczne:

* podejście do samochodu;

* podłączenie do OBD;

* posiadanie kluczyka;

* wykorzystanie urządzenia radiowego.


Badacze przetestowali dostęp na dwóch samochodach za zgodą ich właścicieli, w tym Subaru Impreza 2023.

Subaru usunęło podatność w ciągu 24 godzin od zgłoszenia.

https://www.wired.com/story/subaru-location-tracking-vulnerabilities/

https://www.securityweek.com/subaru-starlink-vulnerability-exposed-cars-to-remote-hacking/

https://www.jdsupra.com/legalnews/ethical-hacker-uncovers-vulnerability-4263025/

Subaru STARLINK – 2017

Badacz: Aaron Guzman.

Wykrył osiem podatności w komunikacji aplikacji mobilnej i internetowej z serwerami STARLINK.

Możliwe działania:

* Otwieranie i zamykanie drzwi.

* Sterowanie światłami i klaksonem.

* Dostęp do historii lokalizacji.

* Dodawanie nowych użytkowników z uprawnieniami właściciela.

* Uzyskanie zdalnego dostępu do funkcji samochodu bez wiedzy właściciela.


Problem dotyczył niewłaściwego zabezpieczenia tokenów uwierzytelniających.

Ważne: nie wykazano możliwości ingerencji w hamulce, kierownicę czy sterowanie napędem.

https://www.bitdefender.com/en-us/blog/hotforsecurity/researcher-finds-basic-mistakes-subarus-starlink-service

Volkswagen Golf GTE / Audi A3 e-tron – 2018

Badacze DEFION odkryli podatność pozwalającą na zdalne wykonanie kodu z uprawnieniami administratora (root) w systemie multimedialnym MIB.

* W przypadku Audi A3 e-tron podatna usługa była osiągalna przez internet, przez połączenie komórkowe.

* Możliwe było zdalne przejęcie systemu multimedialnego.

* Badacze uzyskali dostęp do drugiego procesora systemu MIB.

* Zbadali możliwość wysyłania komunikatów do magistrali CAN.


Ograniczenie: zabezpieczenia bramki CAN uniemożliwiły wykazanie wpływu na krytyczne systemy jazdy. Nie udowodniono zdalnego sterowania hamulcami ani kierownicą.

Ważne rozróżnienie: podatność Golfa wykorzystywana w badaniu wymagała bliskości samochodu i połączenia z jego hotspotem Wi-Fi. Natomiast Audi A3 e-tron miało osobną ścieżkę dostępu przez internet.

https://defion.security/en/research-labs/volkswagen-auto-group-mib-infotainment-system-unauthenticated-remote-code-execution-as-root/

Škoda / Volkswagen – podatność API i sam VIN (2023)

Badacze PCAutomotive odkryli dwie podatności w chmurze Škoda Connect:

* CVE-2023-28900

* CVE-2023-28901


Znając VIN samochodu, można było uzyskać:

* pseudonim użytkownika przypisanego do samochodu;

* informacje o ostatnich podróżach;

* daty i godziny przejazdów;

* zużycie paliwa;

* średnią i maksymalną prędkość;

* czas trwania podróży.


Podatności dotyczyły backendu internetowego, a nie fizycznego dostępu do samochodu.

Nie umożliwiały otwierania drzwi ani uruchamiania silnika.

Problem zgłoszono w listopadzie 2022 r. i naprawiono w grudniu 2022 r.

https://pcacybersecurity.com/resources/advisory/vulnerabilities-in-skoda-and-volkswagen-vehicles

Volkswagen, Audi, Škoda, SEAT – wyciek Cariad (2024)

Poważny incydent bezpieczeństwa chmury AWS należącej do ekosystemu Volkswagen Group.

Dotyczył około 800 000 samochodów elektrycznych.

Ujawnione dane obejmowały:

* lokalizacje pojazdów;

* historię ich przemieszczania;

* czasy włączania i wyłączania;

* dane kontaktowe części właścicieli;

* w niektórych przypadkach bardzo dokładne współrzędne GPS.


Około 460 000 pojazdów miało ujawnione precyzyjne dane lokalizacyjne.

Nie była to podatność pozwalająca wydawać polecenia samochodowi. Był to poważny wyciek danych telematycznych.

https://www.theverge.com/2024/12/30/24332181/volkswagen-data-leak-exposed-location-evs

#cybersecurity #cyberbezpieczenstwo #samochody #motoryzacja #bezpieczenstwo #ciekawostki

Na zdjęciu pendrive z szyfrowaniem AES-256. Odblokowany czytnikiem linii papilarnych. Sprzedawany przez Lenovo.

Super fancy "military grade" sprzęt. Tylko jest jeden problem:

:x: Okazało się że w środku takiego pendrive-a była zupełnie nieszyfrowana karta SD, gdzie były przechowywane dane (!)

:x: Czytnik linii papilarnych włączał / wyłączał jedynie komunikację USB

xD

Model pendrive: ThinkPlus FU100. Lenovo wydało ostatnio oświadczenie, że sprzęt był sprzedawany na rynku chińskim. Lenovo w porozumieniu z badaczem (Xusheng Li) przygotował łatki zarówno programowe jak i sprzętowe.

Sos: https://www.facebook.com/sekurak/posts/pfbid02WYiWPodMBRJktz5jMDRbanGHaZcBj3tLmLZiXGkirhqf3j1CA7qr1GP9pRuS2Ybul

#cyberbezpieczenstwo #cybersecurity

:smiling_face_with_tear:

#binance #kryptowaluty #cyberbezpieczenstwo #cybersecurity #sekurak

Wersja 2.1.313 plugina CC została usunięta, ale nikt nie poinformował użytkowników. Czyli jeśli używałeś Claude w VSCode między środą a czwartkiem możesz mieć backdoora. Podsumowanie mniej techniczne oraz tłumaczenie początku artykułu: (generowane) :warning: Poważne zagrożenie bezpieczeństwa w

Najlepszy "Naleśnik" - DSA ma nas chronić m.in. przed dziurami typu 0-Day / krytycznymi lukami w jakimś oprogramowaniu. Co za debil! xD Przy okazji... Mam nadzieję, że Nawrocki zawetuje tę cenzurę! #polityka #nalesniki #platformaobywatelska #php #cybersecurity #php2shell #dsa

Wszyscy tylko PHP, a NodeJS też trzeba podnieść wersje z wczoraj usuwająca remote control xd

https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

#programowanie #cybersecurity

Strony internetowe instytucji rządowych w kilku państwach w Europie i poza nią zostały wyłączone po ujawnieniu krytycznych luk w zabezpieczeniach PHP, powszechnie używanego języka programowania. Rządowe witryny zamknięto m.in. Finlandii, Holandii, ale także w Japonii i Australii. W środę część osób

Tez tak macie, ze kazecie automatowi raz jeszcze wygenerowac haslo, jak Wam sie nie podoba. Choc nigdy nie bedziecie go potem widziec bo bedzie zyl zaszyty w managerze hasel.

Bo ja tak mam.

A poza tym - jak nie masz managera hasel z naprawde bezpiecznym haslem glownym to zaloz i ustaw bezpieczne haslo.

#autyzm #hasla #cybersecurity

https://news.ycombinator.com/item?id=50054092 zbiorcza wrzutka z innymi art. i dwoma video z yt, oraz dyskusja na hn. Art. z Sekuraka (PL) here Streszczenie art. crypto news: Ledger – ukryty chip w portfelu kryptowalutowym. Co się wydarzyło? Krótki słowniczek dla niewtajemniczonych - Portfel

To jak to jest z tymi botami? :stuck_out_tongue_winking_eye:

Źródło wczorajszego wątpliwego obrazka: https://www.capital.de/wirtschaft-politik/faktencheck--legten-ukrainische-drohnen--afd-bots--lahm--38385950.html

https://niebezpiecznik.pl/post/ukraincy-zbombardowali-serwerownie-yandex-jaki-to-ma-wplyw-na-ruskie-boty/

#yandex #cybersecurity #boty #trolle #rosja #wiadomosciswiat #ciekawostki #niebezpiecznik #internet #cyberbezpieczenstwo #dezinformacja

Szukasz dobrych polskich źródeł o cyberbezpieczeństwie? Zebrałem 17 serwisów, które warto śledzić — od CERT Polska i Sekuraka po mniejsze, ale bardzo konkretne strony o phishingu, malware, prywatności i bezpieczeństwie IT. #cyberbezpieczenstwo #cybersecurity #informatyka #technologia #internet

Mogły zostać wykradzione: dane kont firm i użytkowników, w tym skróty haseł, tokeny sesji, tokeny API i tokeny integracji generowane po stronie Fakturowni, rachunki bankowe, dane o płatnościach, dane kontrahentów klientów (wszystkich) i dane z faktur (częściowo, prawdopodobnie do 2023 roku)

Nie lubię pisać o #wykop ale muszę przyznać że udało im się coś, co w dobie obecnych frameworków jest fantastycznym osiągnięciem. Wprowadzili możliwość XSS, czyli Robisz posta z kodem a osoba która w niego wchodzi może zobaczyć jak ładnie odpala się terminal <3

Wspaniała aczkolwiek zapomniana technologia <3

To trochę tak jakby montować drzwi bez klamek i zauważyć po zamknięciu ich

#cybersecurity #programowanie

**8gwifi.org**
Potężna liczba narzędzi online za darmo.
#przydatnestrony #gruparatowaniapoziomu #technologia #cybersecurity #internet #programowanie #programista15k

216,000,000 Spy TVs | The LG Smart TV Problem

The LG Smart TVs we've tested have first-party ACR (automatic content recognition) functionality that can pry into your personal life with greater precision than you might realize, with LG Ad Solutions' executives and leadership saying, on camera, that LG "owns the glass." Not you -- even though you bought it -- but them. They also talk about knowing everybody in the household, knowing the secondary devices, moving from TVs to smartphones and other screens, and more in their B2B discussions. Beyond just the fact that we think the TV's native behavior parallels malware, the LG Smart TVs we tested also have a number of security vulnerabilities that can be exploited to convert the TVs into covert listening devices. In this investigation, we dive into the mix of LG's first-party functionality that (in our opinions) is tantamount to spying and LG's vulnerabilities and exploits that they have failed to protect against.

https://youtu.be/6IFVTcM28KA

Pierwsze 10 minut, podsłuchują nawet gdy są wyłączeni bez sieci.

#bezpieczenstwo #cybersecurity #security #prywatnosc #lg #gamersnexus

#aliexpress #ciekawostki #chiny #madeinchina #niebezpiecznik #cyberbezpieczenstwo #cybersecurity #elektronika

Masz 72 godziny na podjęcie decyzji, która może Cię słono kosztować. Tyle czasu daje RODO na zgłoszenie naruszenia danych osobowych do UODO – ale czy zawsze trzeba dzwonić na alarm? W tym odcinku zabieramy Was w podróż przez labirynt przepisów, pokazując, kiedy incydent faktycznie wymaga interwencji

Estoniańska Akademia e-Governance wskazuje Albanię i Czechy jako jedne z najbezpieczniejszych cyfrowo państw. Doświadczenie poważnych ataków zmusiło je do kompleksowych reform, dzięki którym mniejsze kraje mogą dziś wyprzedzać cyfrowe potęgi, takie jak Niemcy czy USA. Albania ma najsilniejsze na

🚨 Cyberatak zakłócił działalność 8 magazynów Ceva Logistics w Europie, powodując opóźnienia w realizacji zamówień części klientów.🔹 Naruszone zostały systemy związane m.in. z obsługą zamówień. 🔹 Część danych klientów mogła zostać skopiowana lub przejęta. 🔹 Według informacji Bol nie dotyczyło to