Geopolitické hry

Holandská vojenská spravodajská a bezpečnostná služba (MIVD) zverejnila, že minulý rok systémy holandského ministerstva obrany narušila čínska hackerská skupina. Na zariadenia nasadila malvér a monitorovala ich. Dopad na bezpečnosť považujú, vzhľadom na segmentáciu siete, za nízky. Hackeri získali prístup k neklasifikovaným informáciám z oblasti výskumu a vývoja. Počas vyšetrovania incidentu objavili na sieťových zariadeniach FortiGate malvér, ktorý prežil reštart zariadenia, aj aktualizáciu na najnovší firmvér.

Americká Agentúra pre Kybernetickú Bezpečnosť a Bezpečnosť Infraštruktúry (CISA) vo februári zverejnila varovanie pre štátne agentúry, že po analýze incidentov v kritickej infraštruktúre pozorujú dlhodobú aktivitu Čínou sponzorovanej hackerskej skupiny, ktorej snahou je kontrolovať a v prípade konfliktu ochromiť systémy kritickej infraštruktúry.

Výpadok mobilnej siete zasiahol tisíce používateľov AT&T v Spojených štátoch. Nefungovali hovory, textové správy, ani núdzové služby vo viacerých veľkých mestách. Nepredpokladá sa, že išlo o kybernetický útok, no výpadok takéhoto rozsahu naznačuje, že môže ísť o zlú architektúru siete, ktorá vedie ku kaskádovým výpadkom.

Spoločnosť OpenAI publikovala, že zablokovala účty viacerých štátom sponzorovaných špionážnych skupín. Tie používali ChatGPT platformu na získavanie informácií, prekladanie textov či generovanie softvérových nástrojov.

Európsky súd pre ľudské práva rozhodol, že zákonná povinnosť dešifrovať komunikáciu používajúcu end-to-end šifrovanie je neprimeraným zásahom do práva na súkromie.

Prevádzkovateľ metra v Londýne testoval v staničnom kamerovom systéme použitie umelej inteligencie na rozpoznanie zločinu, zbraní a iných incidentov.

Research & Engineering

Americký národný inštitút pre štandardy a technológie (NIST) aktualizoval populárny Cybersecurity Framework, dokument s usmerneniami na zníženie rizika kybernetickej bezpečnosti. Nová edícia 2.0 je určená pre všetky cieľové skupiny, od priemyslu, cez školy a neziskové organizácie až po najväčšie korporácie.

Spoločnosť Trail of Bits pridala do svojej príručky softvérového testovania sprievodcu fuzzingom. Kapitola pokrýva jazyky C, C++ a Rust a popisuje inštaláciu a použitie nástrojov ako libFuzzer, AFL++ či cargo-fuzz.

Výskumník analyzoval, aké metódy obfuskácie používa Android aplikácia DJI Pilot určená na ovládanie populárnej značky dronov.

Linux Foundation ohlásila spustenie aliancie Post-Quantum Cryptography Alliance, otvorenej a kolaboratívnej iniciatívy na podporu rozvoja a adopcie post-kvantovej kryptografie.

Amazon EKS access entries & access policies, nová funkcionalita v Amazon cloude, otvára dvere novým spôsobom enumerovania a exploitovania nasadených zdrojov.

Zločin a úniky informácií

Nezisková organizácia Consumer Reports skúmala, ktoré spoločnosti posielajú informácie o aktivite používateľov do spoločnosti Facebook.
Analýzou 709 archívov stiahnutých z Facebooku dobrovoľníkmi organizácia zistila, že údaje o používateľoch poslalo Facebooku celkovo 186 892 spoločností. Každému účastníkovi štúdie poslalo svoje údaje na Facebook v priemere 2230 spoločností. Toto nie sú informácie, ktoré s Facebookom zdieľate, ale informácie od iných stránok a firiem, ktoré sú Facebookom analyzované.

Od 1. augusta 2024 dánske školy nebudú môcť zhromažďovať osobné údaje študentov použitím platformy Google a zariadeniami Chromebook. Rozhodnutie vydal dánsky úrad na ochranu údajov po aktivizme zo strany rodičov.

Stránka OnlyFake umožňuje vygenerovať digitálnu verziu falošných dokladov. Takéto doklady môžu byť použité na overenie totožnosti v online službách.

Spoločnosť Avast dostala pokutu 16,5 milióna dolárov za to, že roky zbierala pomocou rozšírenia prehliadača informácie o používateľoch, ukladala ich a predávala viac ako stovke ďalších firiem.

Žena v Connecticute, USA, začala poštou dostávať reklamy na kremačné služby krátko po tom, čo dokončila chemoterapiu.
Žena podala sťažnosť podľa nového štátneho zákona o ochrane osobných údajov. Kancelária generálneho prokurátora následne zistila, že „dátový maklér identifikoval jednotlivca pre marketingový zoznam“.

Ostatné

Nastroj na správu kontajnerov, runc, používaný ako súčasť Docker engine či Kubernetes, obsahuje kritickú zraniteľnosť CVE-2024-21626. Verzie 1.1.11 a nižšie umožňujú zápis ľubovolných súborov na hostovskom súborovom systéme s oprávneniami pod akými aplikácia beží, čo je zvyčajne root.

Kritická zraniteľnosť CVE-2023-40547 v Shim UEFI bootloaderi umožňuje útočníkovi spustiť kód pred tým, ako sa načíta kernel a s ním spojené bezpečnostné mechanizmy.

Populárny bezpečný komunikačný nástroj Signal tento mesiac zaviedol dobrovoľné použitie unikátnych používateľských identifikátorov, ktoré môžu byť zdielané namiesto telefónneho čísla.
Signál naďalej používa telefónne číslo na registráciu účtu a ako obranu proti spamu, používatelia si však môžu nastaviť, že sa ich kontaktom nezobrazuje a nemusia číslo zdielať ak chcú s niekým komunikovať.

Inteligentné predajné automaty na University of Waterloo budú odstránené z kampusu po tom, čo študenti vyjadrili obavy o súkromie týkajúce sa ich softvéru.
Študenti si začiatkom mesiaca všimli, že na jednom z automatov bola na displeji chybová hláška, oznamujúca problém s aplikáciou na rozpoznávanie tváre. To viedlo k zisteniu, že automaty zbierajú a kategorizujú informácie o kupujúcich.

Funkcionalita HTTP/3 pridaná do populárneho nástroj a knižnice curl prešla externým bezpečnostným auditom.

Tento newsletter je rozosielaný odberateľom newsletteru kratkespravy.sk, členom Asociácie kybernetickej bezpečnosti a členom ISACA Slovensko.