​​Как обманывать навигационные системы с помощью GPS-спуфинга

В отличие от предыдущих концепций атак с применением GPS-спуфинга, данный метод может обмануть как любые навигационные системы, так и человека. Алгоритм позволяет злоумышленнику незаметно заманить жертву туда, куда нужно атакующей стороне. Для этого к автомобилю жертвы понадобится прикрепить портативное устройство, стоимостью около 223 долларов, которое позволит «вести» транспортное средство с расстояния 50 метров.

Алгоритм передает входящие GPS-сигналы таким образом, чтобы навигационные подсказки и отображение карты дорог отображались согласно желаниям атакующего. В итоге, следуя таким указаниям, водитель может оказаться на неверной дороге или прибыть в неверный пункт назначения.

В среднем алгоритм предлагает атакующему порядка 1547 вариантов для подделки каждого маршрута жертвы, из которых злоумышленник может выбрать наиболее подходящий. К примеру, если преступник стремится разозлить свою жертву, он может выбрать вариант атаки, во время которого алгоритм в 99,8% случаев будет давать водителю неправильные инструкции, постоянно побуждая ехать не в ту сторону.

​​Как iPhone отслеживает и сохраняет все ваши передвижения

Об этой функции мало кто знает, но начиная с iOS 7 в iPhone и iPad присутствует отслеживание и сбор данных о перемещениии владельца.

Информация о часто посещаемых местах располагается в приложении Настройки по пути: «Конфиденциальность» → «Службы геолокации» → «Системные службы» → «Значимые места».

Здесь же можно посмотреть список мест, посещенных пользователем iPhone или iPad. Он отображается в форме истории перемещений и содержит координаты и время, когда и сколько пользователь находился в каком-либо месте. Одним словом, iPhone знает когда, сколько по времени и где вы находились, что давольно пугающе.

#приватность #iPhone

Сломать систему. Как хакеры совершили одно из крупнейших в истории банковских ограблений

В конце 2013-го банкомат в Киеве начал выдавать деньги в совершенно произвольные моменты. Никто не вставлял в него карточки и не прикасался к кнопкам. Камеры зафиксировали, что деньги забирали люди, случайно оказавшиеся рядом в тот момент.

📌 Как хакеры совершили одно из крупнейших в истории банковских ограблений | Зеркало

​​Тысячи записей видеозвонков Zoom попали в открытый доступ

Тысячи записей видеозвонков Zoom попали в открытый доступ. По имеющимся данным, в YouTube и Vimeo попали видео с рабочих конференций, занятий в школе, а также частные разговоры. В видеозвонках раскрывалась информация о детях, финансовые отчеты бизнеса и интимные разговоры людей. Издание предполагает, что записи сохранялись с помощью сервисов Zoom и находилось в онлайн-хранилище без использования паролей.

По умолчанию Zoom не записывает видео, но пользователи могут это сделать без согласия других участников конференций. Всем должно прийти уведомление об этом во время начала записи.

В марте у Zoom было 200 млн пользователей ежедневно вместо 10 млн в декабре, что связано с карантином во многих странах из-за коронавируса COVID-19.

​​Как зашифровать файлы и папки в Windows

EFS — аналог Bitlocker шифрования, и позволяет зашифровать отдельно взятые файлы и папки, в отличии от Bitlocker, который шифрует весь диск целиком.

Само шифрование теряет смысл, если вы не будете использовать надежный пароль со своей учетной записью, так как доступ к зашифрованным данным открывается автоматически, при входе в систему:

1. Кликните правой кнопкой мыши файл или папку.
2. Выберите "Свойства".
3. На вкладке Общие нажмите кнопку "Другие".
4. Установите флажок рядом с "Шифровать содержимое для защиты данных".
5. Нажмите "ОК", затем «Применить».
6. Выберите нужный вариант в появившемся окне.
7. Нажмите "ОК".

​​Уязвимости позволяли взломать камеру Mac, iPhone и iPad

Компания Apple выплатила ИБ-исследователю Райану Пикрену 75 000 долларов за уязвимости в Safari, благодаря которым можно было получить доступ к чужой веб-камере, просто заманив человека на вредоносный сайт, замаскированный под надежный сайт для видеоконференций, такой как Skype или Zoom.

Дело в том, что Safari формирует доступ к определенным разрешениям (таким как камера, микрофон, местоположение и так далее) для каждого отдельного сайта. Что позволяет, например официальному сайту Skype, получать доступ к камере, не спрашивая разрешения пользователя при каждом запуске.

Уязвимость показывает, что Safari не может проверить, придерживались ли сайты политики Same Origin, благодаря чему можно заставить Safari думать, что вредоносный сайт является доверенным. В результате, сайт https://skype.com и его вредоносный аналог fake://skype.com могут иметь одинаковые разрешения. Следовательно, можно использовать file: URI (к примеру, file:///путь/к/файлу/index.html), чтобы обмануть браузер.

​​Проверка имени пользователя по всем социальным сетям

В дополнение к нашей недавней статье хотим добавить еще один полезный сервис. Если вам не хочется возиться с Python, Tor, прокси, командной строкой и опциями, то используйте бесплатный онлайн сервис по поиску пользователя в социальных сетях на основе Sherlock.

Перейдите на https://suip.biz/ru/?act=sherlock. Укажите интересующее вас имя и вам будут выведены ссылки на его профили. В общей сложности проверка выполняется по почти 300 сайтам! В этот список включены социальные сети и другие популярные сайты.

В качестве имени используйте ник (никнейм). Проверка занимает около минуты — дождитесь появления результатов, не закрывайте страницу. Данный сервис постоянно улучшаются, добавляются новые сайты и исправляются существующие. После поиска вам будет доступна ссылка на отчёт, который вы можете скачать в PDF.

#OSINT

🔥 Подборка самых интересных каналов про IT, хакинг и безопасность

Инкогнито - Самый крупный канал о даркнете: анонимность, хакинг и противодействие мошенничеству в интернете.

@Haccking - Про ИБ, хакинг, взломы, простым языком! Для опытных и новичков!

@dataleak - Все об утечках данных в России и мире. Ежедневный уникальный контент.

IT&Безопасность - Как коронаврус влияет на IT, стоит ли дезинфицировать смартфоны и другие актуальные новости о безопасности ваших устройств.

@webware - Хакинг от новичка до профи. Offensive, Defensive, Penetration test, CTF…

@Seclabnews - самые оперативные новости по информационной безопасности в России и Мире.

Скрыть не получится. Используем форензику для раскрытия тайны модифицированного изображения

Сегодня всем нам приходится иметь дело с большим количеством слухов, фейковых новостей и фальшивых фотографий — профессиональные медиа часто и сами участвуют в их распространении, непреднамеренное вводя в заблуждение читателей.

Говорят, что все тайное, рано или поздно, становится явным. В этой статье мы рассмотрим профессиональный криминалистический инструмент, который позволит нам определить была ли редактирована фотография и что скрывается у нее внутри.

📌 Используем форензику для раскрытия тайны модифицированного изображения | Зеркало

​​Раскрытие номера телефона и геолокации через уязвимость в Телеграме

Новый баг позволяет ввести в заблуждение пользователя, и подтолкнуть его неосознанно поделиться своими данными — геолокацией и номером телефона.

Скорее всего каждый, кто пробовал создать своего бота, уже знает, что пользователю можно отправить запрос его номера телефона с помощью специальной кнопки, текст на которой можно задать любой. После нажатия на кнопку, пользователю конечно же будет показано предупреждение, которое однозначно говорит о риске деанонимизации.

Однако, какое-то время назад Telegram дал пользователям возможность делать собственные локализации мессенджера, что позволяет ''перевести'' диалоговое окно, заменив ужасное предупреждение о расшаривании геолокации и номера телефона на какой-нибудь безобидный текст. Чтобы установить кастомный язык, пользователю достаточно просто кликнуть по ссылке t.iss.one/setlanguage/%lang%.

​​Как незаметно отслеживать местоположение владельца iPhone

Приложение "Локатор" в iOS 13 и более поздних версий позволяет делиться сведениями о своем местонахождении с друзьями и родными. Такая функциональность может использоваться не только с согласия пользователей, но и для шпионажа.

1. Откройте программу "Локатор" на чужом iPhone и перейдите на вкладку "Люди".
2. Выберите пункт "Поделиться геопозицией" или "Начать делиться геопозицией".
3. Введите имя или свой номер телефона человека (отправьте приглашение себе).
4. Выберите вариант "Поделиться бессрочно".

Когда местоположение чужого смартфона передаётся на ваше устройство, не забудьте отключить передачу своих геоданных. Когда появится всплывающее окно, где спрашивается, хотите ли вы поделиться своим местоположением с этим устройством, нажмите "Не делиться".

Программу также можно спрятать с чужого смартфона, используя Dock или папку.

​​Поиск скрытых директорий и файлов на сайте

Dirhunt - это веб-сканер, оптимизирующий поиск и анализ каталогов. Этот инструмент может найти интересные каталоги и файлы, забытые кем-то на сервере. Он обнаруживает каталоги с ошибками 404, каталоги, в которых был создан пустой индексный файл, чтобы скрыть файлы, и многое другое.

Установка:
$ sudo pip3 install dirhunt
Использование:
$ dirhunt https://website.com/

Этот инструмент работает быстрее, чем другие, потому что он минимизирует запросы к серверу. Полное сканирование сайта занимает от 5 до 30 секунд, в зависимости от веб-сайта и сервера.

#Linux #OSINT

​​​​Самые опасные типы вложенных файлов. ZIP и RAR.

О да, это их любимый формат, потому что ты же не можешь посмотреть что там внутри, пока не скачаешь и не откроешь. Например, ZIP файлы с интригующим названием "Люблю тебя0891" использовали злоумышленники для распространения шифровальщика GandCrab.

Это вирус-вымогатель. Он попадал на компы, шифровал данные и просил денег, что бы дать пароли от шифра, иначе все удалит. Другие мошенники, попавшие в поле зрения экспертов на пару недель позже, рассылали архивы с трояном Qbot, специализирующемся на краже данных.

WinRAR: оказалось, что при создании архива можно задать такие правила, что при распаковке содержимое попадет в системную папку. В частности, можно распаковать это содержимое в папку автозапуска Windows, и этот "подарочек" автоматически запустится при следующей перезагрузке.

То есть даже если вы скачали и забыли о нем, он откроется без вашего ведома. Поэтому нужно обновить WinRAR, если вы им пользуетесь. В новых версиях этот параметр отключен.

#безопасность

​​Поиск объявлений на Авито по номеру телефона

Если у вас имеется номер телефона человека, то с помощью данного инструмента вы сможете узнать какие объявления он размещал на Авито, оставляя свой номер телефона в качестве контактной информации;

Переходим на сайт https://mirror.bullshit.agency и в строке Номер, вводим номер телефона. После чего, нажимаем на кнопку Искать в объявлениях на Авито. Далее сайт найдёт все объявления, у которых в качестве контактной информации указан этот номер телефона.

Если у вас с первого раза не получилось найти ни одного объявления, то попробуйте вводить номера в разном формате.

#OSINT

​​Tool-X: Хакерский инструмент из смартфона с помощью Termux

Tool-X - это установщик хакерских инструментов Kali Linux, который был разработан специально для Termux.

1. Запускаем Termux и обновляем пакеты:
apt update && apt upgrade -y
2. Скачиваем репозиторий:
git clone https://github.com/rajkumardusad/Tool-X.git
3. Открываем папку и задаём ей приоритет:
cd Tool-X
chmod +x install.aex
4. Устанавливаем утилиту
sh install.aex
5. Далее, у вас откроется окно, где можно: обновить или запустить программу. Запускаем командой:
Tool-X

После чего вам будет доступно более 370 программ, разбитых по категориям. Вы можете установить любой инструмент указав его порядковый номер. Все установленные приложения запускаются прямо в терминале.

#хакинг #termux

​​Как удаленно заставить 3D-принтер загореться

3D-принтеры с каждым днем становятся все доступнее. Проблема в том, что в них есть нагревательный элемент, достигающий даже больших температур, чем духовка. И он зачастую доступен удаленно без всякой аутентификации. Поддержка Wi-Fi означает, что такие устройства могут быть найдены через поисковую систему Shodan, а прошивку на них можно обновить из любой точки мира.

Например, у модели Flashforge Finder максимальная температура составляет 240 градусов по Цельсию, но используя реверс инжиниринг прошивки можно снять это ограничение. В итоге при следующем использовании принтер не просто перегреется, а загорится, устроив пожар.

Однако, для реализации подобной атаки злоумышленник должен находиться в той же сети Wi-Fi, что и устройство, а также ему придется подделать онлайн-репозиторий, из которого принтер получает прошивку, подменив ее на вредоносную, что существенно усложняет процесс.

#IoT #безопасность

Режим стелс. Как шпионы ведут наблюдение и как скрыться от слежки

Большинство людей думают, что они никогда не окажутся под слежкой, однако некоторые профессии увеличивают эту вероятность. Например, если вы являетесь журналистом, который встречается со своими источниками информации только лицом к лицу, то можете стать мишенью для наблюдения, особенно если источник является осведомителем или имеет информацию, которую его работодатель предпочел бы не давать.

В наш цифровой век технически грамотных противников мы забываем о том, что существует необходимость использования физического наблюдения за целью методами «старой школы».

Эта статья посвящена методам мобильного и пешего наблюдения, которые используют шпионы. Мы разберемся, как определить, не наблюдают ли за вами, и каким образом можно усложнить жизнь этим наблюдателям.

📌 Режим стелс. Как шпионы ведут наблюдение и как скрыться от слежки

​​Как получить временную почту Gmail

Мы уже писали про сервисы, которые позволяют получить временный адрес электронной почты для регистрации на сайтах. Это бывает полезно, когда вы не хотите светить свою личную почту или просто не хотите получать спам с рекламными предложениями.

Однако, некоторые сайты уже научились определять, когда вы вводите адрес временной почты. Для решения этой проблемы существует сайт smailpro.com. Здесь вы можете получит временный адрес на домене gmail, googlemail и других, не занесенных в черные списки сайтов.

1. Переходим на сайт https://smailpro.com;
2. Выбираем gmail com и получаем свой уникальный E-mail адрес;
3. В окошке справа будут появляться все входящие письма. Чтобы прочитать, нажимайте Read.

#приватность

​​Скрываем свой MAC адрес в Windows

Обычно, когда вы бродите с устройством с WiFi, не подключенным к сети, оно рассылает широковещательные запросы, чтобы попытаться найти известные сети. Эти запросы посылаются с использованием MAC-адреса WiFi адаптера вашего телефона, который является уникальным и, как правило, постоянным.

Это означает, что любой мониторящий эти запросы, скажем, в универмаге, например, может постоянно отслеживать вас в магазине и даже через несколько посещений универмага.

К сожалению, функция рандомизации доступна только если ваша Wi-Fi карта и драйвер, поддерживают эту функцию. Например, Intel 7265 AC, при использовании последней версии драйвера, поддерживает рандомизацию.

Чтобы включить функцию, кликните на иконку сети в трее панели задач и нажмите "Управление сетями". Затем включите переключатель у соответствующего пункта.

​​Расширение для спуффинга устройства

Для загрузки веб-страниц ваш браузер отправляет информацию об устройстве, с которого отправляется запрос, чтобы сервер мог отдать нужную версию веб-страницы, наиболее подходящую для вашего устройства. К сожалению, данный механизм может привести к утечке данных как о вас, так и о цифровом отпечатке вашего устройства (fingerprint). Чтобы обойти это, можно использовать переключатель User-Agent, выдав себя за другое устройство.

Помимо преимуществ в отношении конфиденциальности, мы также можем изменять поведение веб-страниц, выдав себя за конкретное устройство. Например, Instagram позволяет загружать в него фотографии только в том случае, если он считает, что мы зашли с мобильного устройства, то есть мы можем загружать туда фото с нашего компьютера, если настроим User-Agent как у какого-нибудь смартфона. Если хотите попробовать, то установите «User-Agent Switcher».

💾 Установите User-Agent Switcher: Firefox | Chrome

#приватность