2023 on Untrusted Network

SecurityCast Ep#206 - E-maily od Státní Instituce Připomínají Phishing

Jan Kopriva — Wed, 10 Jan 2024 20:55:00 +0100

Tak jako každý měsíc, i v lednu je tu i nová epizoda pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na únik dat ze služeb MujRozhlas a EasyPark, stále relevantní zranitelnost Log4shell, nebo zásah FBI proti provozovatelům ransomwaru BlackCat…

SecurityCast Ep#203 - 2023: Co Rok Dal a Vzal a Predikce do Roku 2024

Jan Kopriva — Sat, 09 Dec 2023 09:15:00 +0100

Se začátkem prosince je tu i nová epizoda pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na nárůst sociotechnických útoků cílených na ČR, útok na ukrajinskou energetickou infrastrukturu, nový CVSS standard a mnoho dalších témat…

SANS ISC Diary - Whose packet is it anyway: a new RFC for attribution of internet probes

Jan Kopriva — Wed, 06 Dec 2023 11:45:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center, v němž se podíváme na nedávno publikované RFC, které popisuje možný postup pro atribuci síťových skenů v prostředí internetu…

Postřehy z bezpečnosti: útoky na Bluetooth, PLC i UEFI

Jan Kopriva — Mon, 04 Dec 2023 07:40:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na novinky okolo úniku dat ze systémů společnosti Okta, nové zranitelnosti v Bluetooth a v UEFI, nebo útoky na průmyslové systémy vyrobené v Izraeli…

SANS ISC Diary - Phishing page with trivial anti-analysis features

Jan Kopriva — Fri, 17 Nov 2023 11:10:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center, v rámci něhož se podíváme na falešnou přihlašovací stránku s triviálními mechanismy komplikujícími její případnou analalýzu…

SecurityCast Ep#198 - Krádež Dat z Univerzity Obrany, Útoky v Pásmu Gazy nebo HTTP/2 Rapid Reset

Jan Kopriva — Mon, 06 Nov 2023 15:20:00 +0100

Se začátkem listopadu je tu i nová epizoda pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na únik dat ze systémů Univerzity obrany, kybernetické útoky cílené na Izrael a Pásmo Gazy, HTTP/2 Rapid Reset DDoS útoky a mnoho dalších témat…

Postřehy z bezpečnosti: dva aktualizované bezpečnostní standardy

Jan Kopriva — Mon, 06 Nov 2023 08:00:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na novou verzi standardu CVSS, aktualizaci rámce MITRE ATT&CK, doposud nezáplatované zranitelnosti v Microsoft Exchange serveru a řadu dalších zajímavostí z uplynulého týdne…

Jak aktuální jsou varování o hrozbách publikovaná Národním úřadem pro kybernetickou a informační bezpečnost?

Jan Kopriva — Mon, 30 Oct 2023 07:30:00 +0100

Jedna z oblastí, kterou se zákazníky (nejen) při diskuzích zaměřených na problematiku bezpečnostního dohledu pravidelně řeším, jsou procesy a nástroje pro včasnou identifikaci aktuálních hrozeb, útočných kampaní a nově publikovaných exploitů, které jsou pro daná zákaznická prostředí relevantní.

Přestože ne každá organizace potřebuje mít nezbytně vybudovaný formální CTI program nebo systém pro řízení zranitelností, jakákoli organizace, která spravuje vlastní IT systémy nebo IT systémy třetích stran, by měla mít bezesporu vždy alespoň orientační představu o tom, jaké zranitelnosti, které tyto systémy potenciálně postihují, jsou aktuálně zneužívané, a jaké útočné kampaně na tyto systémy aktuálně cílí. Ačkoli se nastavení procesů pro kontinuální či periodické získávání takových informací může zdát jako vysoce komplexní úkol, v praxi je pro řadu (zejména menších) organizací naprosto dostačující sledovat články publikované v odborných médiích a informace publikované specializovanými bezpečnostními organizacemi (zajímavé vstupy může poskytovat mj. CISA a její Known Exploted Vulnerabilities Catalog).

Konkrétní zdroje, na kterých organizace své „situační povědomí“ založí, je však třeba volit velmi opatrně.

Nějakou dobu zpátky jsem se při auditu od jednoho zákazníka v reakci na dotaz, jaké postupy a nástroje pro získávání informací o aktuálních hrozbách v dané organizaci používají, dozvěděl, že spoléhají výhradně na varování o hrozbách, která publikuje Národní úřad pro kybernetickou a informační bezpečnost. Velmi rychle jsme si následně vysvětlili, že spoléhat na NÚKIB jako na jediný zdroj informací v této oblasti rozhodně není rozumné, neb ani sám jmenovaný úřad rozhodně netvrdí, že by v rámci svého „infoservisu“ pokrýval všechny hrozby relevantní pro české organizace.

Současně jsem se neubránil lehce kousavé poznámce o tom, že NÚKIB má při informování o hrozbách přinejmenším pochybné „dodací lhůty“, mj. vzhledem k tomu, že nejednou informoval o určité útočné kampani nebo zranitelnosti až několik týdnů poté, co se informace o nich objevily v mainstreamových odborných médiích… V té chvíli mě nicméně napadlo, že jmenovanému úřadu možná křivdím, neb je možné, že ona opožděná varování byla pouze historickými výjimkami, které mi utkvěly v paměti, a aktuální situace již může být zcela odlišná.

Abych zjistil, zda budu kolegům z NÚKIB dlužen omluvu, nebo zda je rychlost jimi poskytovaných varování stále „suboptimální“, rozhodl jsem se udělat analýzu toho, jak se situace v průběhu času vyvíjela. Pro všechna varování o „hrozbách“, která NÚKIB historicky publikoval a která se týkala určité zranitelnosti nebo nové útočné kampaně, jsem identifikoval dobu jejich zveřejnění od:

data, kdy byla publikována původní informace, jíž se varování týká, nebo kdy došlo k události, k níž se varování váže, a
data, kdy byla stejná informace, událost či situace pokryta „mainstreamovými“ odbornými médii (např. portály Bleeping Computer, Threat Post, Security Affairs apod.).

Ze seznamu zveřejněných varování jsem přitom vyjmul ta, která byla velmi obecná (Upozornění na podvodné emaily zneužívající epidemie Koronaviru, Varování o hrozbě Emotet-Trickbot-Ryuk apod.) a/nebo byla relevantní pouze pro prostředí ČR (např. zvýšené riziko DDoS útoků proti tuzemským organizacím, specifické kampaně šířící českojazyčné phishingové zprávy apod.), vzhledem k tomu, že se v těchto případech varování buď netýkala situace, která by na straně organizací vyžadovala okamžitou reakci, a případnou prodlevu v jejich publikaci tak lze omluvit, nebo se informace vztahovala přímo k aktivitám samotného úřadu (např. k nově zveřejněným reaktivním opatřením).

Z celkem 102 varování, která NÚKIB v průběhu uplynulých 6 let zveřejnil, následně zůstalo 62 takových, u nichž mělo smysl se aktuálností v době jejich publikace zabývat.

Než se podíváme na výstupy z analýzy těchto varování, je pro úplnost vhodné zmínit, že v případě 3 varování (jedno v roce 2019, jedno v roce 2021 a jedno v roce 2022) mainstreamová bezpečnostní média zranitelnosti, na které NÚKIB upozorňoval, nepokryla vůbec, nebo se jim věnovala až citelně později v návaznosti na publikaci souvisejících exploitů. Rovněž je na místě uvést, že v roce 2019 byla ze strany úřadu publikována jen 3 varování, z nichž jediné lze považovat za relevantní pro potřeby diskutované analýzy, což se citelně podepsalo na níže uvedené průměrné a střední době prodlevy v publikaci varování pro tento rok.

Doplním ještě, že kde varování NÚKIB upozorňovalo na určitou zranitelnost, avšak současně – byť jen okrajově – zmiňovalo i její aktivní zneužívání, používal jsem jak na straně původního zdroje, tak médií vždy dobu publikace informace o exploitaci dané zranitelnosti, nikoli o existenci zranitelnosti samotné – kolegům z NÚKIB jsem se tedy snažil jít maximálně naproti…

Neb úvod jsme si poskytli již dostatečný, můžeme se podívat na vlastní výstupy z analýzy, které shrnuje následující diagram. V něm jsou na ose X uvedena data, kdy NÚKIB publikoval jednotlivá zájmová varování, a na ose Y doba prodlevy mezi výskytem situace nebo zveřejněním informace, jíž se varování týká, v jejím původním zdroji, resp. v médiích, a publikací souvisejícího varování ze strany úřadu.

Neb schopnost médií informovat o určité skutečnosti před její oficiální publikací, která se v několika případech projevila (např. u varování z 12. 3. 2020), může působit matoucím dojmem, je vhodné zmínit, že v těchto případech zpravidla média reagovala na předběžné informace publikované neoficiálními kanály (např. Twitter), nebo informace předané určitou organizací pouze vybrané skupině zákazníků ještě před jejich oficiálním zveřejněním.

Jak je z diagramu patrné, od roku 2017 publikoval NÚKIB varování o určité hrozbě dříve než odborná média pouze třikrát, a to naposledy v lednu 2021. Ve stejný den jako odborná média pak osmkrát a ve stejný den, kdy byly informace zveřejněny v původním zdroji, desetkrát. Alespoň o jeden den za odbornými médii tak byla varování ve 40 případech a alespoň o jeden den za původním zdrojem informací byla ve 44 případech.

Níže uvedené tabulky ukazují průměry a mediány zájmových hodnot v jednotlivých letech, v nichž úřad na hrozby upozorňoval.

Rok	Průměrný počet dnů od výskytu události/publikace informace v původním zdroji do publikace varování ze strany NÚKIB	Průměrný počet dnů od pokrytí události/situace médii do publikace varování ze strany NÚKIB
2017	5	1
2018	1	1
2019	6	-
2020	7	4
2021	4	2
2022	5	2
2023	2	2

Rok	Medián počtu dnů od výskytu události/publikace informace v původním zdroji do publikace varování ze strany NÚKIB	Medián počtu dnů od pokrytí události/situace médii do publikace varování ze strany NÚKIB
2017	1	1
2018	1	1
2019	6	-
2020	3	2
2021	2	2
2022	3	2
2023	2	2

Tabulky i výše uvedený diagram ukazují, že přestože se jmenovanému úřadu zejména v posledním roce v oblasti relativně včasné publikace varování o hrozbách dařilo podstatně lépe než v letech předchozích (minimálně se zdá, že došlo k eliminaci oněch extrémních prodlev, které bylo možné ve vybraných případech historicky pozorovat), jím publikované informace jsou stále v průměru o dva dny opožděné nejen za původními zdroji dat, ale i za mainstreamovými odbornými médii.

Přestože varování o hrozbách poskytovaná ze strany NÚKIB tak určitě nejsou špatným doplňkovým zdrojem informací, zejména pokud jde o vybrané phishingové a jiné kampaně cílené na organizace působící v prostředí ČR, zcela jistě platí, že informace o aktuálních hrozbách a zranitelnostech poskytují nejen v pravidelnější, ale bohužel i citelně aktuálnější podobě mainstreamová média zaměřená na kybernetickou bezpečnost.

Hezkou ukázku této skutečnosti poskytnul konec konců i uplynulý týden, kdy úřad publikoval varování ohledně aktivního zneužívání zranitelnosti CVE-2023-20273 v Cisco IOS XE, které přišlo až 4 dny poté, co o souvisejícím zneužívání zranitelností informovala nejen společnost Cisco, ale například i portál Bleeping Computer.

SANS ISC Diary - Are typos still relevant as an indicator of phishing?

Jan Kopriva — Mon, 16 Oct 2023 09:45:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center, v rámci něhož probereme, zda jsou překlepy stále využitelné jako indikátor phishingu…

SecurityCast Ep#194 - Severní Korea Bohatne na Krádežích Kryptoměn

Jan Kopriva — Thu, 12 Oct 2023 17:00:00 +0100

Tak jako každý měsíc, i v říjnu je tu nová epizoda pravidelného speciálu podcastu ALEF SecurityCast, v níž jsem měl možnost vystoupit. Najdete ji na YouTube a na Spotify a podíváme se v ní na významné ransomwarové útoky, krádeže kryptoměn, za nimiž stojí severokorejské APT skupiny, nový přístup Mezinárodního trestního soudu ke kybernetickým útokům a řadu dalších témat…

Interview ve Studiu ČT 24 o kybernetických útocích na Izrael

Jan Kopriva — Wed, 11 Oct 2023 18:00:00 +0100

Dnes jsem měl možnost krátce pohovořit ve vysílání České televize o aktuálních kybernetických útocích cílených na Izrael a Pásmo Gazy, k nimž po sobotním útoku hnutí Hámás dochází. Záznam z vysílání Studia ČT 24 najdete v případě zájmu na tomto odkazu - část věnovaná výše zmíněnému tématu začíná cca od čtvrté minuty…

Postřehy z bezpečnosti: příběh malwaru QakBot zřejmě ještě není u konce

Jan Kopriva — Mon, 09 Oct 2023 07:20:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na na deset nejčastějších bezpečnostních slabin postihujících velké organizace, stále funkční část infrastruktutury malwaru QakBot nebo nové exploity pro zranitelnost v glibc…

SANS ISC Diary - A new spin on the ZeroFont phishing technique

Jan Kopriva — Tue, 26 Sep 2023 11:20:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na zajímavou phishingovou techniku využívající text s nulovou velikostí fontu pro zvýšení důvěryhodnosti zpráv…

Postřehy z bezpečnosti: Microsoft (zřejmě) zjistil, jak přišel o klíč

Jan Kopriva — Mon, 11 Sep 2023 07:40:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na závěry vyšetřování situace okolo podepisovacího klíče ukradeného společnosti Microsoft, novinky okolo spywaru Pegasus a potenciálně přelomové vyjádření zástupců Mezinárodního trestního soudu…

SecurityCast Ep#188 - Ruské Útoky na České Banky, Heslo Policie ČR nebo Zajímavosti z Black Hat Konference

Jan Kopriva — Tue, 05 Sep 2023 16:30:00 +0100

S koncem letních prázdnin je tu i nová epizoda pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na vlnu DDoS útoků cílených na české banky, zajímavé přednášky z konferencí Black Hat a DefCon, zranitelnosti ve WinRAR a produktech Ivanti a řadu dalších témat…

SANS ISC Diary - The low, low cost of (committing) cybercrime

Jan Kopriva — Thu, 31 Aug 2023 12:00:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na velmi jednoduchý phishing, který vhodně ukazuje, že náklady nezbytné k realizaci kyberkriminálních aktivit mohou být bohužel extrémně nízké…

Postřehy z bezpečnosti: letní hackerský tábor

Jan Kopriva — Mon, 14 Aug 2023 08:10:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na přednášky z konference Black Hat, ukončení prodejte subskripcí pro služby Microsoftu v Rusku nebo nadcházející prověření bezpečnostních praktik Microsoftu ze strany federálních úřadů USA…

SANS ISC Diary - From small LNK to large malicious BAT file with zero VT score

Jan Kopriva — Thu, 03 Aug 2023 18:30:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na škodlivý BAT soubor, který byl využit v rámci phishingové kampaně v uplynulém týdnu a stále jej dle služby VirusTotal žádný jí využívaný anti-virus neoznačuje za malware…

SecurityCast Ep#182 - Temná Stránka Umělé Inteligence, Kyberloupež Revolutu nebo Nový ZKB

Jan Kopriva — Thu, 03 Aug 2023 16:30:00 +0100

Se začátkem srpna je tu nová epizoda pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na využívání umělé inteligence útočníky, předávání osobních dat mezi EU a USA, připomínky k transpozici NIS2 a mnoho dalších témat…

Postřehy z bezpečnosti: e-mailové schránky amerických federálních organizací kompromitovány

Jan Kopriva — Mon, 17 Jul 2023 12:40:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na kompromitované cloudové e-mailové schránky v prostředí O365, krádež milionů dolarů ze systémů společnosti Revolut nebo rozhodnutí Evropské komise o předávání osobních údajů do USA…

SecurityCast Ep#177 - Zranitelnosti ve Fortigate a MOVEit nebo Aktuálně o NIS2

Jan Kopriva — Fri, 07 Jul 2023 18:30:00 +0100

S prvním červencovým týdnem je tu i nová epizoda pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na několik kritických zranitelností v produktech společností Fortinet a Progress, slabinu v internetové infrastruktuře Kazachstánu, nové trendy v ransomwaru a mnoho dalších témat…

SANS ISC Diary - Kazakhstan - the world's last SSLv2 superpower... and a country with potentially vulnerable last-mile internet infrastructure

Jan Kopriva — Wed, 28 Jun 2023 08:30:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na překvapivě vysoký počet zastaralých síťových zařízení v Kazachstánu, která stále podporují protokol SSL verze 2.0…

Postřehy z bezpečnosti: zneužívaná zranitelnost v produktech Fortinet

Jan Kopriva — Mon, 19 Jun 2023 09:00:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na aktivní zneužívání zranitelnosti XORtigate, dopady útoku skupiny Cl0p na systémy MOVEit nebo nové nařízení požadující odstranění konfiguračních rozhraní z internetu…

Podpora SSL verze 2.0 na webových serverech v ČR

Jan Kopriva — Thu, 08 Jun 2023 07:30:00 +0100

Minulý týden jsem publikoval článek věnovaný ustupující podpoře SSL verze 2.0 na webových serverech přístupných na globálním internetu a v souvislosti s ním mě napadlo, že by mohlo být zajímavé podívat se i na to, jak se podpora tohoto kryptografického protokolu vyvíjí v rámci České republiky.

Z dat získaných ze služby Shodan vyplývá, že zatímco před dvěma lety globálně podporovalo SSLv2 více než 1,43 % webových serverů, v současnosti je to již jen cca 0,35 %. Jak se ukázalo, domácí situace byla a je (alespoň dle Shodanu) oproti té globální o něco horší - před dvěma lety podporovalo v České republice SSL verze 2.0 necelých 1,94 % webových severů a v současnosti je to lehce přes 0,89 % (v absolutních číslech jde o 1474 serverů). Postupné změny v českém prostředí můžete vidět na níže uvedeném grafu.

Zmínku zaslouží, že reálné dopady podpory SSLv2, jehož používání zakázalo RFC 6176 již v roce 2011, jsou minimální, vzhledem k tomu, že moderní prohlížeče již připojení s pomocí tohoto protokolu vůbec neumožňují. Skutečnost, že určitý server SSLv2 stále podporuje, však přinejmenším indikuje, že se pravděpodobně nejedná o moderní, vhodně nakonfigurovaný a plně záplatovaný systém… A tedy, že se potenciálně může jednat o zajímavý cíl pro útočníky.

SecurityCast Ep#172 - Pravda o Zranitelnosti v KeePass Nebo Jaké Tresty Hrozí za Zatajení Incidentu?

Jan Kopriva — Wed, 07 Jun 2023 13:55:00 +0100

Začátek června s sebou přináší i novou epizodu pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na několik ukázek moderní kyberšpionáže, rekordní pokutu pro společnost Meta v kontextu nesprávné práce s osobními údaji, zajímavou zranitelnost v nástroji KeePass a mnoho dalších zajímavostí…

SANS ISC Diary - After 28 years, SSLv2 is still not gone from the internet... but we're getting there

Jan Kopriva — Thu, 01 Jun 2023 10:40:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na ustupující podporu SSLv2 na webových serverech připojených k internetu…

Postřehy z bezpečnosti: „zip“ nově využíván při útocích nejen jako typ souboru

Jan Kopriva — Mon, 22 May 2023 09:00:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na zneužívání domén z TLD ZIP, ransomwarové skupiny využívající uniklý zdrojový kód ransomwaru Babuk nebo novou zranitelnost ve správci hesel KeePass…

SANS ISC Diary - Ongoing Facebook phishing campaign without a sender and (almost) without links

Jan Kopriva — Mon, 15 May 2023 09:35:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na zajímavou dlouhodobou phishingovou kampaň cílenou na uživatele služby Facebook…

SecurityCast Ep#168 - Útoky Skrze Chytré Erotické Hračky nebo Citlivé Údaje na Starých Routerech

Jan Kopriva — Wed, 10 May 2023 16:20:00 +0100

Druhý kvěnový týden s sebou přináší novou epizodu pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na bezpečnost chytrých zařízení, únik přísně tajných dokumentů USA na Discord, nové techniky šíření malwaru Qbot a mnoho dalších zajímavostí…

SANS ISC Diary - 'Passive' analysis of a phishing attachment

Jan Kopriva — Mon, 01 May 2023 12:40:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na analýzu HTML příloh phishingových e-mailů bez interakce s externí infrastrukturou…

Interview ve Studiu ČT 24 o historii a vývoji kybernetické bezpečnosti

Jan Kopriva — Mon, 01 May 2023 08:20:00 +0100

V návaznosti na uplynutí 30 let od začátků “svobodného webu” (resp. 30 let od uvolnění knihovny Libwww) věnovala včera Česká televize část programu odpoledního Studia ČT 24 i krátkému ohlédnutí za historií kybernetické bezpečnosti, do něhož jsem měl možnost přispět. Záznam z vysílání najdete v případě zájmu na tomto odkazu a část věnovaná výše zmíněnému tématu začíná cca od 16. minuty dál…

Postřehy z bezpečnosti: bez záplat v software už nelétají ani vrtulníky

Jan Kopriva — Mon, 24 Apr 2023 07:30:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na změny v šíření malwaru QBot, ransomware LockBit cílící na macOS nebo havárii vrtulníku údajně způsobenou chybějící softwarovou záplatou…

SANS ISC Diary - The strange case of Great honeypot of China

Jan Kopriva — Mon, 17 Apr 2023 10:50:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na vysoký nárůst počtu honeypotů, které Shodan detekuje v Číně…

SecurityCast Ep#164 - ChatGPT prozradil osobní data uživatelů, USB bomby a konec e2e šifrování?

Jan Kopriva — Wed, 12 Apr 2023 14:50:00 +0100

Tak jako každý měsíc, i v dubnu zde máme novou epizodu pravidelného speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na únik dat z ChatGPT, výbušné flash disky, zranitelnosti v Oulooku a nástrojích pro úpravu obrázků a mnoho dalšího…

SANS ISC Diary - Use of X-Frame-Options and CSP frame-ancestors security headers on 1 million most popular domains

Jan Kopriva — Fri, 31 Mar 2023 14:50:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na využívání bezpečnostních HTTP hlaviček bránících “framing” útokům na milionu nejvýznamnějších domén světa…

Postřehy z bezpečnosti: novináři dostali flash disky obsahující výbušninu

Jan Kopriva — Mon, 27 Mar 2023 08:20:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na zdraví a životu nebezpečné USB flash disky, zranitelnost umožňující získat původní obsah z „oříznutých“ obrázků nebo konec tržiště BreachForums…

SANS ISC Diary - IPFS phishing and the need for correctly set HTTP security headers

Jan Kopriva — Wed, 15 Mar 2023 12:20:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na phishingové stránky hostované v distribuovaném souborovém systému IPFS a možnosti použití bezpečnostních HTTP hlaviček jako opatření proti phishingu…

Interview ve Studiu 6 (nejen) k rizikům spojeným s aplikací TikTok

Jan Kopriva — Fri, 10 Mar 2023 11:00:00 +0100

Dnes jsem měl možnost ve vysílání Studia 6 v České televizi krátce pohovořit o rizicích spojených s používáním mobilní aplikace TikTok a o souvisejícím varování vydaném Národním úřadem pro kybernetickou a informační bezpečnost v tomto týdnu. Záznam z vysílání Studia 6 najdete v případě zájmu na tomto odkazu - část věnovaná výše zmíněnému tématu začíná cca v čase 2:38:00…

SecurityCast Ep#159 - Zákaz TikToku, úspěšnost smishingu nebo další obří DDoS

Jan Kopriva — Thu, 09 Mar 2023 19:00:00 +0100

Se začátkem března zde máme i novou epizodu pravidelného měsíčního speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na zákaz používání aplikace TikTok na zařízeních zaměstnanců Evropské komice, zrušení 2FA založené na SMS pro neplacené účty na Twitteru, největší HTTP DDoS v historii a mnoho dalšího…

Postřehy z bezpečnosti: útoky na ruská rádia a mediální servery

Jan Kopriva — Mon, 27 Feb 2023 08:00:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na útoky na ruská rádia a mediální systémy, zneužívání kritické zranitelnosti v systémech FortiNAC nebo netradiční požadavky ze strany autorů ransomwaru HardBit…

SANS ISC Diary - HTML phishing attachment with browser-in-the-browser technique

Jan Kopriva — Thu, 16 Feb 2023 12:20:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na využívání techniky “browser-in-the-browser” v rámci generické phishingové kampaně…

SecurityCast Ep#154 - Útoky na prezidentské volby, oběti a výkupné nebo výpadek Microsoft 365

Jan Kopriva — Wed, 08 Feb 2023 16:15:00 +0100

S druhým únorovým týdnem zde máme i novou epizodu pravidelného měsíčního speciálu podcastu ALEF SecurityCast. Najdete ji na YouTube a na Spotify a podíváme se v ní na meziroční pokles v platbách výkupného u ransomwarových útoků, zásah policejních orgánů proti skupině za ransomwarem Hive, DDoS útoky na české systémy v souvislosti s prezidenskými volbami a nejen to…

Postřehy z bezpečnosti: útoky na Ukrajinu nepolevují ani v kyberprostoru

Jan Kopriva — Mon, 30 Jan 2023 09:00:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na nové útoky na ukrajinské systémy, úspěšný zásah policejních orgánů proti ransomwaru Hive, únik dat ze systémů společnosti GoTo i několik kritických zranitelností…

SPF a DMARC na nejnavštěvovanějších českých doménách

Jan Kopriva — Fri, 20 Jan 2023 10:00:00 +0100

V návaznosti na včerejší článek věnovaný užívání SPF a DMARC na nejoblíbenějších doménách na světě jsem se rozhodl podívat se, jak si v oblasti adopce jmenovaných mechanismů stojí nejnavštěvovanější české domény. Neb nevím o žádnéném datovém zdroji, který by zdarma poskytoval informace o návštěvnosti většího počtu českých domén, než Gemius Audience Rating, musel jsem analýzu omezit jen na 351 domén uvedených v tomto seznamu, resp. na celý tento rozsah a následně na 100 nejnavštěvovanějších domén.

Jak můžete vidět na následujících grafech, přestože situace rozhodně není nikterak tragická, mohla by zcela jistě být lepší - validní (a smysluplný) SPF záznam má publikováno 69,2 % domén z celého zkoumaného vzorku a 88 % ze sta nejnavštěvovanějších domén. U DMARCu jsou pak počty domén méně než poloviční - z celého vzorku jej využívá 30,2 % domén a ze sta nejnavštěvovanějších pak 39 %.

Z výše uvedených dat krom jiného vyplývá, že ani všech sto nejnavštěvovanějších českých domén není plně chráněno proti podvrhování e-mailů a za 12 z nich tak může i v roce 2023 e-maily stále odesílat kdokoli na světě… A totéž dokonce platí i o jedné doméně z pomyslného “top 10” vrcholu celého seznamu.

O tom, jak vhodně nastavit (mj.) SPF a DMARC jsem nedávno psal na Root.cz a pokud tak tyto mechanismy na svých vlastních doménách prozatím nemáte nasazeny, můžete čerpat inspiraci právě tam…

SANS ISC Diary - SPF and DMARC use on 100k most popular domains

Jan Kopriva — Thu, 19 Jan 2023 12:40:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na úroveň využívání SPF a DMARC na nejpopulárnějších doménách světa…

SANS ISC Diary - Passive detection of internet-connected systems affected by vulnerabilities from the CISA KEV catalog

Jan Kopriva — Wed, 11 Jan 2023 12:00:00 +0100

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na využití nové funkce nástroje TriOp pro pasivní identifikaci systémů postižených zranitelnostmi z katalogu CISA KEV (nejen) v rámci minimalistického přístupu k vulnerability managementu…

TriOp update - verze 1.5

Jan Kopriva — Wed, 11 Jan 2023 11:50:00 +0100

Dnes jsem publikoval verzi 1.5 nástroje TriOp. Vedle doplnění několika CVE do integrovaného vyhledávacího seznamu byla rovněž přidána funkce umožňující automaticky vygenerovat dotazy pro Shodan na aktuální seznam zranitelností z katalogu CISA Known Exploited Vulnerabilities (KEV).

Jako vždy, aktuální verzi TriOp je možné stáhnout z GitHubu.

SecurityCast Ep#148 - Události prosince a nejdůležitější trendy kyberbezpečnosti roku 2022

Jan Kopriva — Sun, 08 Jan 2023 10:15:00 +0100

Lednový speciál podcastu ALEF SecurityCast se nesl v lehce netradičním duchu, neb jsme jej nahrávali jako součást širšího webináře zaměřeného nejen na zajímavé bezpečnostní dění a trendy v roce 2022. Nahrávku, která je v důsledku výše uvedeného v o něco nižší kvalitě než obvykle, najdete na YouTube a na Spotify a podíváme se v ní na schválení finální podoby NIS2, další únik dat z Twitteru a služby LastPass a mnoho dalších témat…

Postřehy z bezpečnosti: kritické zranitelnosti Citrix ADC a Citrix Gateway

Jan Kopriva — Mon, 02 Jan 2023 07:40:00 +0100

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na nezáplatované závažné zranitelnosti v produktech Citrix ADC a Gateway, údajný únik dat 400 milionů uživatelů Twtteru a další události posledního týdne roku 2022…