Вечная тема. Пароли по умолчанию.

В интернете появились скриншоты, доказывающие взлом почты Федеральной службы охраны на сервере gov.ru

В течение нескольких часов любой пользователь интернета мог, перейдя по ссылке и введя простые имя пользователя и пароль, получить доступ к системе мониторинга и архивирования электронной почты "Дозор".

Уязвимость достаточно простая - тривиальный пароль .

Что в принципе не новость. Слабые пароли - распостраненная причина успешных внешних атак.

Где учат "на хакеров"?

В комметариях к одной из заметок возник вопрос, где получить знания, необходимые для проведения работ по тестированию на проникновение?

Из того, с чем приходилось сталкиваться:

1. Очень неплохие online-курсы у Offensive Security.
2. Цикл курсов УЦ Информзащита, охватывающий практически все аспекты, которые могут пригодиться в ходе Pentest:

Безопасность компьютерных сетей

Анализ и оценка защищенности Web-приложений


Безопасность беспроводных сетей

Анализ защищенности сетей

3. Интересное начинание Esage Lab (больше в сторону антивирусной безопасности и forensic, но полезно)

http://www.esagelab.ru/services.php?s=av_basic

4. Курсы Immunity

Unethical Hacking

upd.

5. В свое время приходилось читать курсы MIS TI. В целом - идея здравая, но материал староват. Пришлось серьезно оживлять и вставлять свои куски.

http://www.microinform.ru/MIS/ITG411mis.htm

http://www.microinform.ru/MIS/asn403mis.htm

Цифровая подпись Касперского под зловредом?

Компания Trend Micro сообщила об обнаружении в Сети вредоносных файлов с цифровой подписью, практически полностью совпадающей с подписью антивирусной компании "Лаборатория Касперского".

http://www.securitylab.ru/news/396483.php

Ключевое слово здесь "почти". И это слово совершенно не к месту, поскольку подпись совпадает полностью.

Т.е. она была скопирована с одной из утилит Касперского и естественно не является корректной, поскольку hash от файлов различаются. О чем собственно и пишет Trend.

Зачем же подпись, если она некорректная? Все просто. Некоторые антивирусы не проверяют саму подпись, им достаточно факта наличия. Ну или корректного сертификата. А подпись... Считать долго.

Pentest глазами телевизионщика

Вот такие они, "добрые хакеры" глазами СТС

Кроме эпичных и мегаэтичных хакеров в съемках участвовал MaxPatrol. Приятно.

Обзор инцидентов: Verizon Breach Report 2010

Опубликован обзор инцидентов Verizon Breach Report 2010. Рекомендую.

http://www.verizonbusiness.com/go/2010databreachreport/

PS. В отчете широко используется WASC WATCv2. Приятно. 

PPS. Без комментариев:

История Хронопей продолжается

История продолжает быть интересной.

Неизвестные хакеры выложили новые подробности взлома процессинговой системы

Напомним, что в середине июля неизвестная группа хакеров опубликовала информацию о взломе крупнейшей российской процессинговой системы Chronopay. В качестве доказательства взлома хакеры опубликовали схемы расположения серверов, конфиденциальную переписку, а также часть базы данных, содержащую около 5 тыс. номеров кредитных карт.

В результате новой порции “утечки” были выложен новый массив данных (как сообщается, это было сделано из-за бездействия Visa и Mastercard и других официальных лиц).....

По заявлению хакеров в ближайшее время в интернете будет опубликована полная база данных кредитных карт и личных данных. Данные по кредитным картам и транзакциям будут представлены в виде зашифрованной паролем базы данных на 10Гб, пароль к которой будет представлен только правоохранительным органам и журналистам крупных федеральных СМИ.

Однако компания Chronopay отрицает факт взлома и считает выложенные данные фальшивыми. Других официальных подтверждений факта взлома также не поступало.