Köszönhetően az új német kiberbűnözési törvénynek, az utolsó független német hackercsoport, a The Hackers Choise (vagy ismertebb nevükön a THC) is beszünteti több mint 10 éves működését. A szervezet két részre szakad: a német tagok befejezik tevékenységüket és csak a germany.thc.org-on kommentálják a külföldön élő tagok munkáját, akik természetesen folytatják amit elkezdtek. A THC nevével fémjelzett szoftvereknek új, külföldi fejlesztő(ke)t keres a csapat.

Az egyik tagot arról kérdezték, hogy milyen törvényt kellet volna hoznia a Bundestagnak:
"Nincs olyan törvény ami felelőssé teszi a cégeket azért, hogy biztonságos szoftvert gyártsanak. Bármire ráírhatják, hogy 'vírusmentes' meg hogy 'biztonságos', bár egyébként a termék nem tartalmaz semmilyen biztonsági mechanizmust."

Mivel uborkaszezon van, úgy döntöttem, hogy szemezgetek kicsit azokból a keresőkifejezésekből, amelyekkel a blogra találtak emberek. Kiszűrtem a nem a témába vágó, illetve az olyan kereséseket, amelyekkel kapcsolatban már született poszt (nyilván ezeket találták meg), és így maradt néhány viszonylag nagy érdeklődésre számot tartó, de kevésbé érdekes kérdés. Innentől wannabe rész következik, az überhackerek most fogják be a szemüket!

Egy programhiba folytán egy ausztrál férfi, bizonyos Victor Ollis három éven keresztül fizetett fedezetlen csekkekkel, mivel egy programhiba folytán a bank nem értesült hitelkerete túllépéséről. Ollis így több mint 9 millió ausztrál dollárt költött el, a befizetendő büntetésekkel együtt viszont több mint 12 millióval tartozik.

A dolog érdekessége, hogy a férfi kijelentette: egy büdös pennyt sem fizet a banknak, ugyanis halálos beteg és legfeljebb két éve van hátra, addig pedig úgysem tudják rajta behajtani a pénzt.

Dan Egerstad, svéd biztonségtechikai szakértő több mint száz, különböző országok kormányhivatalaihoz tartozó e-mail fiókok belépési információit tette közzé az interneten. A lista helyességét a Computer Sweden ellenőrizte, elérhetőségét azonban - nyilvánvaló okokból - nem hozták nyilvánosságra.

A listán található e-mail fiókok közül tíz az oroszországi kazah nagykövetséghez, körülbelül negyven különböző üzbég nagykövetségekhez tartozik. Ezeken kívül nyilvánosságra kerültek az Egyesült Királyság nepáli vízumhivatalhoz, az iráni külügyminisztériumhoz, amerikai kazah és indiai nagykövetségekhez,  és a svédországi orosz nagykövetséghez tartozó  belépési információk is.

Egerstad állítása szerint az információkba véletlenül botlot, a listát pedig azért hozta nyilvánosságra a listát, hogy cselekvésre bírja az érintett intézményeket.

Az orosz konzulátus elismerte az információk helyességét, a belépési adatokat megváltoztatták. A többi ország illetékesei egyelőre nem kommentálták az esetet.

A F-Secure szakemberei a Sony MicroVault USM-F pendrive ujjlenyomat olvasó driverének olyan tulajdonságára lettek figyelmesek, amely alkalmas lehet arra, hogy rootkiteket rejtsen el a felhasználó gépén.

A meghajtó program egy olyan könyvtárat helyez el a "C:\Windows" alá, amely láthatatlan a Windows API, és ezáltal több víruskereső számára is. A gyártó valószínűleg így akarta biztonságosabbá tenni az ujjlenyomat-felismerő szoftvert, ha azonban egy rootkitet, vagy más kártékony programot ebben a rejtett könyvtárban helyezünk el, az észrevetlen marad a biztonsági szoftverek egy része elől.

Az eset nagyon hasonlít a 2005-ös Sony BMG fiaskóra, amikor a cég által forgalmazott lemezek olyan (DRM) szoftvert telepítettek a felhasználók gépére azok tudta és beleegyezése nélkül, amelyek ezután biztonságos menedéket jelentettek több kártevőnek is.

A Sonyt természetesen értesítették az esetről, a cég azonban ezidáig nem válaszolt.

A Hacker Foundation oldalát böngészve bukkantam a Hacker Spaces Initiative wikijére. A kezdeményezés célja, hogy segítsen olyan fizikai terek - hackspaces avagy "hackterek" - létrehozásában, amelyek alkalmasak a helyi hacker szcéna tagjainak összehozására, elősegítik a közös eszmecserét, és nem utolsó sorban alapot teremtenek az ötletek kivitelezéséhez is.

A projekt létrehozását egyrészt a Chaos Computer Club európai "központjai", valamint az tény motiválta, hogy szinte az összes jelentős amerikai hacker csoport rendelkezett valamilyen fizikailag is létező főhadiszállással.

A hozzánk legközelebb eső hacktér a bécsi Metalab.Ugorjatok be ha arra jártok!

Egy új szervezet, az I Hack Charities kezdte meg működését, azzal a céllal, hogy szakmbereket toborozzon jótékonyságra szoruló, nonprofit szervezetek megsegítésére.

Az ötlet John Long fejéből származik, aki mult hónapi Ugandai útja után döntött úgy, hogy jó célra próbálja fordítani a hacker szcéna tudását. A résztvevők - a jó ügy szolgálata mellet - szakmai tapasztalatokkal és referenciákkal gaztdagodhatnak. Első projektjük - a Predestined, ugandai tánc- és zenekar honlapjának elkészítése és biztosítása - éppen tegnap fejeződött be.

A SIP (Session Initiation Protocol) egy széles körben használt protokoll a VoIP szoftverek és készülékek területén. Tegnap a MADYNES Security olyan exploitot hozott nyilvánosságra, amely a Grandstream SIP Phone GXV-3000 készülékben megvalósított SIP egy hibáját használja ki, és lehetővé teszi, hogy a támadó az áldozat tudta és jóváhagyása nélkül kezdeményezzen hívást, akkor is, ha az áldozat vonala éppen foglalt. Világosabban fogalmazva: az említett készülékek a világ bármely pontjáról lehallgathatók.

Persze mondhatnánk hogy elszigetelt esetről van szó, a gyártó kiad egy firmware frissítést és el van intézve a dolog. A helyzet azonban ennél érdekesebb:

Mint arról már beszámoltam az új német kiberbűnözési törvény igen kellemetlen helyzetbe hozza az ország informatikai biztonsággal foglalkozó kutatóit.

Az érintettek szerint a legnagyobb problémát az jelenti, hogy a törvény olyan tágan értelmezhető, hogy szinte bármilyen szoftver a hatálya alá eshet. Erre hoztak most néhány megmosolyogtató, de egyáltalán nem nevetséges példát:

Ha például a titkárnő Jolika a monitorára ragasztja a jelszavát, elítélhetővé válik "számítógépes rendszer hozzáférési adatainak nyilvánosságra hozásáért".
De az sincs biztonságban, aki képes megjegyezni a jelszavait: ha valaki bemegy bármelyik számítógépes szaküzletbe, és azt mondja az eladónak, hogy "Szeretnék egy Windows XP-t, amit hackelésre fogok használni", az eladónak két lehetősége van: megtagadja a vásárló kérését, vagy vállalja, hogy megsérti az anti-hacker törvényt azzal, hogy olyan szoftvert hoz forgalomba, amelyet felhasználója bűncselekmény elkövetésére használ.

A dolog persze ennél azért komolyabb:

"A Skype bejelentése szerint az augusztus 16-i szolgáltatáskiesést a Skype felhasználók gépeinek nagyszámú újraindulásai trigger-elték, mivel azok a rutinszerű Windows Update frissítés alkalmával érkező javítások után szerte a világban rövid időintervallumon belül újraindultak. A Skype szerint ez log-in kérések áradatát okozta, amely a peer-to-peer hálózati erőforrások hiányával együtt olyan láncreakciót indított el, amely kritikus kimenetelű volt szolgáltatásra nézve."

kupcsik @ HUP

Billy Rios és Nathan McFeters olyan hibát találtak a Picasa Windowsos változatában, amely lehetővé teszi egy távoli támadó számára, hogy letöltse a felhasználó Picasaba töltött képeit. A hiba a program által regisztrált picasa:// URI kezelőjében van, a problémát ráadásul tovább súlyosbítja, hogy a támadás kivitelezéséhez nem szükséges speciális karaktereket használni az URI-ban, ez pedig elvileg lehetetlenné teszi a böngésző szintű védelmet. Ha ez nem lenne elég, a hackerek több túlcsordulásos illetve cross-application scripting hibát is felfedeztek a programban.

Részleteket azonban nem közölnek, hogy a Google-nek legyen ideje a hibák kijavítására.

A program csak azt vizsgálja, hogy létezik-e lock file a ~/.Skype könyvtár alatt, és ha igen, nem enged több példányt indítani. Ezért elég, ha csinálsz egy új könyvtárat a ~ alatt, és mielőtt új példányt indítasz a Skypeból, átállítod a $HOME környezeti változó értékét úgy, hogy erre az új könyvtárra mutasson. Ha gondolod, akár scriptet is írhatsz, hogy megkönnyítsd az életed. 

Windows
Hozz létre egy új, adminisztrátor jogosultságú felhasználót, majd helyezz el egy parancsikont (célszerűen) az asztalra a következő elérési úttal (ha az új felhasználó neve skype2):


És kész. A kommentezők szerint akár egyszerre több hívás bonyolítása is lehetséges, arról nem írtak, hogy ez mekkora hangzavarral jár.

Miután egy orosz hacker egy olyan PoC exploitot tett közzé, amely egy speciális szám hívásával túlterheli a Skype oldalát, több blogger arra kezdett gyanakodni, hogy a hálózat részleges leállását ennek a kódnak egy DDoS keretén belüli felhasználása okozhatja.

"A Skype rendszere nem omlott össze vagy vált áldozatává egy kibertámadásnak. Túlságosan szeretjük ügyfeleinket ahhoz, hogy hagytuk volna ezt megtörténni. A problémát a Skype hálózati felületében lévő egyik algoritmus hiányossága okozta, amely a felhasználó Skype kliense és a hálózat többi tagja közötti interakciót szabályozza."

A rendszer ma délelőtt teljesen helyreállt. Az azért érdekelne, hogy miért pont most okozott ez a "hiányosság" ekkora zűrt...

RSnake kicsit felkapta a vizet, miután a Google válaszolt neki egy hibabejelentésre, amelyben egy google.com gmodules.com-on keresztüli XSS-t lehetővé tévő hibát írt le. A válaszadó szerint a hiba nem alkalmas arra, hogy egy támadó a google.com domainhez tartozó sütikhez és hasonlókhoz hozzáférjen, ezért a bemutatott problémát "elvárt viselkedésnek" tekintik.

Egyelőre ilyen jellegű támadás tényleg nem ismert (és a cross-domain policy miatt valószínűleg nem is lehetséges - hacsak az ember át nem vágja a böngészőt, mint arra már számos példát láttunk), a Google Team azonban átsiklott olyan apróságok fölött mint pl. hogy ez a lyuk alkalmas lehet arra, hogy phisherek a Google mögé bújjanak, vagy hogy egy megfelelően elkészített modul kód egy weboldalba beillesztve ártalmas kódot futtathat a látogatók gépén (a Google-ben ugye a legtöbben megbíznak, a NoScript sem jelent teljes védelmet).