RUH8

2021-04-27 19:21:47 Три года Демократична Сокира
, три года нескучной и негрязной политики. Оказывается, что политические партии могут быть именно политическими партиями, сущестовать за счет усилий сторонников и отстаивать общие интересы.
(Поздрвления принимаются тут https://sokyra.space/?p=tosscointosean) Открыть/Комментировать

2021-04-27 13:10:16 Служба безудержных улыбок прямо-таки лучится победами. На днях приняли чудака с GSM-шлюзом во Львове (после того как Gamaredon поставил ДКР СБ в коленно-локтевую), а теперь еще одного матерого тайняка в Запорожье. Тот якобы пытался отравить наши б̶е̶с̶ц̶е̶н̶н̶ы̶е̶ ̶т̶е̶л̶е̶с̶н̶ы̶е̶ ̶ж̶и̶д̶к̶о̶с̶т̶и̶ критическую инфраструктуру и особенно органы местного самоуправления смертельным программным обеспечением и другими невидимыми лучами.

Коварный план российских кудахторов сорван, потужный киберзалуполипсис предотвращен. Good. Чуваки, я только одного не понимаю, если у кудахторов есть деньги, мальварь и опыт проведения вирусных атак, то зачем нанимать каких-то пассажиров, которые мальварь чуть ли не в конвертах с марками шлют? Или может мобильная связь и электропочта за пределами Украины перестали работать, и РФ приходится нанимать людей в Запорожье, самом сердце технологической цивилизации? Открыть/Комментировать

2021-04-26 15:40:26 По поводу правительственной прослушки, вспомнился эпической силы документ 2000-го года, родившийся где-то в недрах департамента контр-разведки. Была у ФБР "замечательная" система Carnivore ("Плотоядный") для того, чтобы перехватывать почту с провайдеров (шифрование в те времена практически отсутствовало, а TLS только-только начал очухиваться от экспортных ограничений - 40 бит ключа, сейчас такой ключ можно взломать на домашнем компьютере).

Обыкновенный сниффер пакетов, сделанный на скорую руку. Федералы получали ордер, устанавливали запертый на замок писюк с виндой и карнивором на ISP, чтобы ловить террористов. В 2002 году они использовали эту штуку пять раз, а в 2003 восемь. Когда слухи о федеральном сниффере просочились в прессу, разгорелся грандиозный скандал. Сенаторы пригласили на ковер заместителя директора ФБР, и изрядно помотали нервы. EFF и другие правозащитные организации жрали федералов, что тот хищник.

И самое удивительное, что тупые долбоебы из ФСБ и СБУ приняли самые дикие слухи, тиражируемые желтой прессой, как руководство к действию. Это их самая влажная мечта про кнопку "Заебись". Примерно из таких фантазий появился российский СОРМ, ну и наши дебилы пытаются скопировать "передовой опыт" забордюрной педерации. Кретины в то время не могли даже название протокола написать без ошибок. А туда же. И если вы думаете, что у этих, что-то принципиально поменялось, то зря. Враги здравого смысла. Открыть/Комментировать

2021-04-26 14:04:47 Удивительно, как за последние несколько лет изменилось отношение к #hackback. Начиналось все довольно скромно, в 2011 ФБР захватили центр управления ботнетом Coreflood, и постоянно посылали команду на отключение, и передали списки зараженных машин провайдерам, чтобы те могли предупредить пользователей. Тогда же голандцы и армяне, подсунули в качестве обновления для другого бота, Bredolab, программку, которая открывала сайт с инструкциями по удалению.

Уже тогда умные люди предупреждали, что это скользкая дорожка. Сегодня копы посылают команды, а завтра начнут пользоваться ботнетами сами. Во имя добра конечно же и справедливости. Верим им всем с детства. А теперь поперло густо-часто. В начале французы и англичане заразили телефоны Encrochat, натуральным трояном, который пересылал копии всех сообщений в открытом виде. Если это не взлом и незаконная прослушка, то я уж и не знаю, как это назвать. Теперь ФБР пушит обфусцированный апдейт для Эмотета https://blog.malwarebytes.com/threat-analysis/2021/01/cleaning-up-after-emotet-the-law-enforcement-file/

Причем знают же, что творят херню. Потому в заявлении американской юстиции специально подчеркнуто, что обновление для бота устанавливали не агенты ФБР, а некие "агенты иностранных правоохранительных органов". Попробую-ка я, пожалуй, выяснить через FOIA каким именно. Потому что когда я представляю наших уебков из Кіберполіція за рулем взрослого ботнета, то мне становится как-то не по себе. Если мусударству вовремя не дать по рукам, то можно бістро оказаться в цифровом гулаге, по российскому образцу. Открыть/Комментировать

2021-04-22 14:25:52 Про циклы разработки development - testing - production там не слышал никто. Просто какой-то мартыхан двадцать лет подряд пилит говноскрипты прямо в онлайне на протухшем говносервере открытом всем ветрам. А уязвимости почему-то ищет не СБУ с Госспецсвязью, а мы с Сашей. И эти гады на нас же потом уголовные дела заводят, чтобы не мешали пилить на государственном IT и не принижали мощь украинской науки. Очередной суд должен был быть двадцатого, но там почему-то так боятся Vadim Kolokolnikov, что судья спрятался в нарадчей и отказался оттуда выходить. Я переживать начинаю за его честь, вдруг его уже похитили как Чауса? Так что "Грету" перенесли на 28-е.

Так что родина может спать спокойно (особенно черниговская и кировоградская область). Наши киберцентры продолжают бороздить просторы и бурить дно. Ничего не меняется. Открыть/Комментировать

2021-04-22 14:25:52 Валяюсь под одеялом, и тут мне попадается очередная "переможенька", то госпецсвязь посрамит NATO своим ноучным пуденциалом. Национальная система кибер-безопасности крепнет день ото дня, покоряя все новые и новые глубины. Информационные центры неустанно наращивают процесс ускорения координации, и отдельные кибер-акселераты даже пытаются строить департаменты безопасности за пять тысяч американских денег. Люди, у вас дверь в опе стоит дороже на порядок.

Дай, думаю, посмотрю на всю эту красоту в действии, благо, как говорил персонаж Сапковского: ради таких засранцев можно даже штаны не надевать. Что-нибудь простенькое и понятное всем. site:gov.ua "index of". Державне бюро розслідувань лежит. Не такая уж и уязвимость, потек "секретный" почтовый ящик для анонимок (почему-то на Гугле) и ключ от капчи. Бог с ними. https://archive.is/vUFB4 Дальше попалось более интересная штучка в Чернігівська ОДА. Есть там некий скрипт, а чтобы было удобнее, то рядом лежал script.php.bak

Я не поленюсь, и объясню почему я выделил строчку красным. Почти все современные сайты работают с базами данных. В базе лежат таблицы с авторами, постами, просмотрами, паролями и другими полезными вещами, которые сайт показывает. Но перед этим их нужно из базы запросить. Скрипт посылает запрос на языке SQL, вроде такого:
SELECT * FROM news WHERE id = 1
А id передается через параметр в строке броузера. Добавим туда кавычку, и получаем сообщение:
Query failed: ERROR: unterminated quoted string at or near "': ... where id=1' вот наша кавычка и она поломала запрос. Сервер вывел ошибку. Называется такая ситуация error-based sql injection, и обошлись мировой экономике такие фокусы в миллиарды долларов.

Попробуем, что-нибудь поинтереснее: ?id=1 and 1=cast((select current_database()) as int) и получаем, что-то вроде Query failed: ERROR: invalid input syntax for type integer: "ahuennaya_baza". Давайте немного пофантазируем, что могло бы произойти потом (но не произошло). Примерно через пять минут я мог бы зайти на сервер. Еще через пять у меня были бы права администратора (сервер не обновляли ни разу с 2017 года). Так как там лежат не только сайты, но и почта, то начал бы я с почты системных администраторов, потом головы ОДА и её заместителей. По моим прикидкам, через неделю в Чернигове не осталось бы ни одного целого державного компьютера.

Чтобы такого не происходило в Украине есть мощные кибер-центры, которые стоят на страже и жаждут частно-государственного партнерства: СЦЗК ДКІБ СБУ, ДЦКЗ ДССЗЗІ, CERT-UA, НКЦК РНБО, CSIRT НБУ и ЦКБЗ МОУ (существование последнего я не могу ни подтвердить, ни опровергнуть). В глазах рябит от очень важных аббревиатур. Я не поленился и написал им всем по очереди (кроме НБУ и МОУ, не их зона ответственности и ДЦКЗ, который с публикой общаться категорически не желает, у них дела поважнее, syslog на блокчейне сам себя не изобретет).

И авторам этого говна тоже написал, ими оказалось КП «Інформаційно-аналітичний центр» Чернігівської облради, которое превращает деньги в говно-скрипты уже двадцать три с половиной года. Я сторонник умеренной централизации. Сами по себе державные установы в IT не умеют. Если собрать все в одном месте, как предлагают диевые, то все и рухнет одновременно. А когда все сайты области обслуживает одна контора, то вроде норм. Kostiantyn Korsun ты был поностью прав. КП/ДП такие вещи доверять нельзя. Никогда.

Естественно, что из всех вышеперечисленных и очень ответственных товарищей мне ответил кто? Правильно. Никто. Ни одна живая душа даже не потрудилась мне чиркнуть, что мое письмо получено, а не легло в спам. Тогда я дернул Alexandr Galushchenko из НКЦК. И от изображая из себя грузовой вертолет на холостом ходу, вращая тяжелым бэджем СНБО над головой отправился на борьбу за половую инклюзивность в среде госслужащих. К концу дня кто-то даже оторвал жопу и выключил отображение ошибок. Что превратило скулю из error based в blind. Но там весб сайт написан именно так. Открыть/Комментировать

2021-04-22 14:25:47 Открыть/Комментировать

2021-04-21 23:28:38 Очень понравилось, как Мокси (создатель мессенджера Сигнал) травит Cellebrite.

Несколько месяцев назад Cellebrite, производитель криминалистических комплексов (та переписка, которую показывал Бигус про гладковских, вытянута из телефонов именно их софтом UFED), заявил, что добавляет поддержку Сигнал в свой софт, и опубликовали очень наглый пресс-релиз. И он наделал шороху.

Мокси ответил, что если у вас в руках разлоченный телефон, то можно ничего не "хакать", а просто открыть приложение и наделать скриншотов. Пресс-релиз потом удалили, но Мокси затаил добро.

Сигнал купил UFED, они его немного потыкали палочкой, и нашли в нем ворованный эппловский софт и библиотеку ffmpeg, которая не обновлялась с 2012 года! А там куча уязвимостей. И Мокси сотоварищи скрафтили картинку, которая при попытке её прочитать запускает код на машине криминалиста. Видеоролик с демонстрацией и пост - троллинг 999 пробы https://signal.org/blog/cellebrite-vulnerabilities/

Более того, Сигнал пообещал, что будет добавлять картинки с эксплоитами в телефоны случайно выбранным пользователям Сигнала (вы этого даже не заметите, но если мусора попытаются сдампить ваш телефон, есть не нулевая вероятность, что их будет ждать подарок от Мокси. Дико круто.

Mess with the best, die like the rest. Открыть/Комментировать

2021-04-21 23:28:20 Открыть/Комментировать

2021-04-21 02:11:35 New zine https://tmpout.sh/1/ Открыть/Комментировать