WordPress

V dnešních postřezích se podíváme na nové funkce GitHub Copilota, breach webhostingové společnosti GoDaddy, nový malware cílící na Microsoft IIS servery, nouzový stav v americkém Oaklandu a cryptominingový malware ProxyShellMiner. GitHub Copilot, rozšíření do Visual Studio Code, které pomáhá vývojářům psát efektivnější kód v reálném čase, dostalo minulý týden rozsáhlou aktualizaci. Za pomoci umělé inteligence je Copilot schopen rozpoznat chyby, navrhovat úpravy a nově i upozorňuje na možné zranitelnosti, které se mohou v kódu vyskytovat.

V dnešním díle postřehů se podíváme na chybu vzdáleného spuštění kódu v knihovně JsonWebToken, na útoky na prostředí Kubernetes, na množství záplat a na ostatní zajímavosti ze světa výpočetní techniky. Chyba sledovaná jako CVE-2022–23529, která má CVSS skóre 7,6 byla objevena skupinou výzkumníků zvanou Unit 42. Chybu můžeme zneužít tak, že donutíme server ověřit speciálně upravený požadavek JSON web token.

V dnešních povánočních postřezích se podíváme na bližší informace o úniku uživatelských dat z LastPassu, ukradený zdrojový kód společnosti Okta, novinky v oblasti end-to-end šifrování v Gmailu a XSS v ZOOM Whiteboard. Společnost LastPass zveřejnila, že při letošním kybernetickém útoku na její cloudové úložiště došlo k odcizení dat ze zašifrovaných trezorů uživatelů. Službu cloudového úložiště používá LastPass k ukládání archivovaných záloh produkčních dat a při útoku získali útočníci přístup k této službě pomocí přístupového klíče ke cloudovému úložišti a dešifrovacích klíčů ke kontejnerům duálního úložiště odcizených z vývojářského prostředí. Odcizená data obsahovala základní informace o zákaznických účtech, jako jsou názvy společností, jména koncových uživatelů, fakturační adresy, e-mailové adresy, telefonní čísla a IP adresy. Společnost LastPass také přiznala, že z úložného kontejneru byla zkopírována záloha dat zákaznických trezorů, která obsahovala nezašifrovaná data, jako jsou URL adresy webových stránek, a také plně zašifrovaná citlivá pole, jako jsou uživatelská jména a hesla webových stránek a zabezpečené poznámky.

Webové stránky jsou v dnešní době naprostou nutností, a proto jsme se rozhodli, že se tomuto tématu budeme věnovat trochu blíže. Oslovili jsme hlavního vývojáře společnosti GlamCoding, Lukáše Erlebacha, aby nám tuto problematiku blíže představil.

Webové stránky jsou v dnešní době naprostou nutností, a proto jsme se rozhodli, že se tomuto tématu budeme věnovat trochu blíže. Oslovili jsme hlavního vývojáře společnosti GlamCoding, Lukáše Erlebacha, aby nám tuto problematiku blíže představil.

V dnešním dílu pravidelných týdenních bezpečnostních postřehů se podíváme na zranitelnost pluginu WPGateway, záplatování RCE zranitelností v IPsec ve Windows, na vždy aktuální phishing a další zajímavosti. Společnost Wordfence Threat Intelligence upozornila na aktivní zneužívání zranitelnosti nultého dne, která útočníkovi umožňuje získat administrátorský přístup k WordPressu. Zdrojem problému je zranitelný plugin WPGateway, který dovoluje uživatelům cloudové služby WPGateway spravovat weby využívající redakční systém WordPress z jednotného dashboardu. Zneužitím chyby v pluginu může nepřihlášený útočník docílit přidání nového uživatele s právy administrátora.

Antivirová společnost Eset zachytila v posledních dnech hned několik útočných kampaní zacílených na tuzemské uživatele. Kyberzločinci přitom při svých nájezdech zneužívají legitimní nástroje – například Google AdSense nebo WordPress. Prostřednictvím nich lákali důvěřivce na falešné investice i potravinové doplňky.

Sociální síť Facebook zasáhla nová kampaň kybernetických zločinců. Skrze podstrčené falešné reklamy chtějí z uživatelů vytáhnout peníze.

Nezřídka jako součást těchto podvodů zneužívají hackeři také jména celebrit nebo známých společností. Dostupná data společnosti ESET ukazují, že útočníky jsou jednotlivci či menší skupiny z ruskojazyčných zemí, u kterých nelze vyloučit ani možné vazby na organizovaný zločin.

V posledních dnech se zvýšil počet podvodných reklamních kampaní zaměřených na tuzemské uživatele chytrých telefonů. Mohou je přihlásit k prémiovým mobilním službám. Stojí za nimi jednotlivci nebo skupiny útočníků z ruskojazyčných zemí, u kterých nelze vyloučit ani vazby na organizovaný zločin. Oznámila to dnes antivirová firma Eset.

V dnešním díle se podíváme na krádež kryptoměn na známé burze, zajímavou metodu sledování uživatelů a také to, že aplikace v Google Play s miliony staženími může být malware. Uniswap, což je populární decentralizovaná burza kryptoměn, v úterý oznámila, že někteří uživatelé přišli o Ethereum v přepočtu za téměř osm milionů amerických dolarů. Původní hypotéza příčiny útoku byla zranitelnost v protokolu, kterou útočníci využili ke krádeži kryptoměn. Avšak později se ukázalo, že tomu tak nebylo, a že se jednalo o phishingový útok, pomocí kterého útočníci ukradli obětem více než sedm tisíc pět set ETH.

Již jsme vám přinesli pár článků, které vás nějakým způsobem obohatili, ale troufám si tvrdit, že dnes to bude ještě o něco více. Každý měsíc slýcháme o tom, jak nějaké společnosti unikla data o jejich uživatelích na černý trh, ale nikdy nevidíme, kterým uživatelům to přesně bylo. Po dnešku už to vědět budete, a to díky stránce, kterou vám doporučíme, tak pozorně čtěte.

Pravidelný týdenní souhrn bezpečnostních novinek. Dnes se podíváme na akci Interpolu, velký update pro hackerský toolkit, zajímavý útok na dotykové obrazovky a další postřehy z bezpečnosti z předchozího týdne. Pod taktovkou Interpolu se 76 zemí zapojilo do operace s krycím názvem First Light 2022. Cílem bylo zaměřit se na podvodníky, kteří ve svých operacích využívají techniky sociálního inženýrství, například různé druhy phishingu. Operace byla velice úspěšná a zapojeným státům se během dvou měsíců podařilo z rukou podvodníků zabavit celkově přes 50 milionů dolarů a tisíce z nich zatknout.

Dnes se podíváme na využití technologií deep fake k vábení investorů, dále na zranitelnosti Zoomu a WordPress Jupiteru, mimo to se koukneme také na varování vývojářů OS Tails a na další zajímavosti. Viděli jste, jak Elon Musk v rozhovoru na konferenci TED propagoval svou novou platformu BitVex pro investování v kryptoměnách? Neviděli. Rozhovor sice byl skutečný, ale slova, která mírně trhaný hlas říká, už byla zcela vložena do úst pomocí deep fake technologií.

FSB se prozradila přes Yandex Food, případ WorldCoin, Instagram plný porna, WordPress zdražuje, DALL-E 2, Zuck Bucks, KYC od EU, Elon Musk všude. Co přinesl právě končící #tyden? Agenti ruské tajné služby si objednávali přes Yandex Food. Tomu unikla data, která agenty a další zajímavé cíle umožnila identifikovat. Až tak jednoduše, že k objednávání používali “firemní” adresy a jídlo si nechávali doručovat na “pracoviště”. To je v uniklých datech identifikováno dokonce GPS souřadnicemi místa, kde došlo k doručení. Detaily v Food Delivery Leak Unmasks Russian Security Agents.

V dnešním díle postřehů se podíváme na záplaty od mnoha výrobců, na nová zadní vrátka, na chybu ohrožující směrovače, na personální změny v Signálu a na ostatní zajímavosti ze světa výpočetní techniky. AvosLocker je zatím poslední ransomware, který implementoval schopnost šifrovat linuxové systémy včetně VMware ESXi serverů. Podle výzkumníků z BleepingComputer tato varianta zvaná AvosLinux po svém spuštění ukončuje všechny ESXi stroje a začne je posléze šifrovat. Zajímavostí je, že skupina operátorů kolem uvedeného ransomware uvolnila nástroj pro dešifrování poté, co omylem zašifrovala systém vládní entity USA.

Autoři, kteří jdou za paywall, ztratí v nejlepším případě 90 % čtenářů. A pak zvažují, jestli chtějí být slavní, nebo bohatí, říká tvůrce českého nástroje pro zpoplatnění online obsahu. Martin „Adent“ Malý stál za zpoplatněním online obsahu Hospodářský novin, poté pomáhal dát za paywall také server Info.cz. Na konci září 2021 pak spustil službu Gazetisto, která nabízí nástroje pro vybírání předplatného všem autorům, kteří o ně mají zájem.

V dnešním díle Postřehů se podíváme na konec botnetu Glupteba, na těžbu bitcoinů na zařízeních QNAP, na aktivní zneužívání zranitelností v produktech Hikvision a TP-Link, na škodlivé balíčky v registru NPM a na další zajímavosti. Google TAG (Threat analysis group) v úterý oznámila „zablokování” botnetu Glupteba. Jedná se o botnet cílící na počítače s operačním systémem Windows. Mezi jeho schopnosti patří krádež uživatelských hesel, cookies, těžení kryptoměn, nasazování a provoz proxy a infekce dalších strojů na lokální síti pomocí EternalBlue a DoublePulsar.

Výzkumníci v oblasti kybernetické bezpečnosti pomohli opravit několik zranitelností v mimořádně populárním pluginu pro WordPress, které mohl zneužít jakýkoli návštěvník k provedení řady akcí proti postiženým webovým stránkám WordPressu, například k exportu citlivých informací, píše portál techradar.com.

Tentokrát se podíváme na zranitelnosti WordPressu, Drupalu, Apache OpenOffice a Nagiosu, na malware Capoae a OpenSUpdater. Naopak potěší, že provozovatel DDoSových serverů i mafiáni dojdou zasloužené odplaty. Výzkumník Larry Cashdollar z firmy Akamai publikoval zprávu o novém malwaru Capoae (znaky ASCII z ruského Сканирование – scanování, což malware v určitou chvíli hlásí) napadajícím linuxové servery, na kterých jsou provozovány systémy CMS WordPress se slabými administrátorskými hesly.

Podnikatelé mnohdy zakládají nové webové stránky nebo musí přistoupit ke změně hostingu. Jaké poskytovatele preferují a mají s nimi dobré zkušenosti?

Dnes se podíváme na dva příklady mediálně zajímavých událostí s dobrým koncem, na problémy firmy na zpracování masa JBS, na jedno kulaté výročí nebo na GDPR. Jen několikrát za rok se stane, že se kyberbezpečnostní incident dostane do běžných médií. Bezpochyby největší událostí minulého týdne, bylo rozbití celosvětové sítě zločinců v rámci operace Ironside. Bezpečnostní složky zadrželi na osm set pachatelů napříč 18 zeměmi – v Evropě hlavně v Německu a Švédsku.

Od úterý mohou konečně Češi nakupovat dálniční známky přes internet. Spuštění e-shopu za více než 300 milionů korun ale provázely problémy.

Vztahy mezi vedením státu (hlavně se značkou ANO) a pražskou magistrátní koalicí v čele s primátorem Zdeňkem Hřibem (Piráti) jsou napjaté. Obě strany se neváhají vzájemně napadat. Primátor hlavního města teď využil situace s problémy při úterním spuštění prodeje elektronických dálničních známek na rok 2021. Hřib srovnával e-shop, který vyrobilo ministerstvo dopravy vedené vicepremiérem Karlem Havlíčkem (za ANO), s internetovým portálem pro nákup jízdného a dobíjení kuponů karet městské hromadné dopravy PID Lítačka.