Falha no Google Chrome permite que atacante ouça tudo que é falado pelo usuário

Uma falha no Google Chrome permite que um atacante ouça todo o áudio captado pelo microfone do computador da vítima.

Após o site malicioso levar o usuário a ativar o controle de voz para qualquer finalidade, (ditar um texto para um webapp, gravar um áudio para o seu curso de inglês online, etc) o atacante pode acessar o microfone por muito tempo depois que o usuário saiu do site legítimo.

Em geral isso é feito com um pop-up escondido, disfarçado de um anúncio comum. Enquanto ele permanece aberto, todos os ruídos vão ser enviados de volta para a Google pelo Chrome, e depois para os bisbilhoteiros de plantão.

Para ficar livre da ameaça:
Configurações > Mostrar Configurações Avançadas
Privacidade > Configurações de Conteúdo > Mídia
Marque a opção: "Não permitir que os sites acessem minha câmera e meu microfone"

GitHub do exploit: https://github.com/TalAter/chrome-is-listening

Fonte: http://gizmodo.com/google-chrome-has-a-bug-that-could-let-anyone-eavesdrop-1506483705

Que a Força esteja com aqueles que falam besteiras na frente do computador às 3 da manhã!

Hacker brasileiro recebe maior quantia já paga pelo Facebook

Um hacker brasileiro formado no ITA descobriu uma falha de execução remota de código que afeta os servidores da famosa rede social e, com isso, recebeu a maior recompensa já paga pelo Facebook para caçadores de bugs.

Basicamente ele encontrou um bug XXE (XML External Entity) que afetava o OpenID.
A falha já foi corrigida.

Confira também a versão do Facebook

Que a Força esteja com vocês!

Veja se a sua senha está na lista das piores de 2013

A SplashData divulgou a lista com as piores senhas de 2013.

As piores senhas de 2013

E temos um novo "campeão". A senha "123456" tirou o primeiro lugar da string "password".

Que a Força esteja com vocês!

Extração da chave-mestra e identificação do volume do TrueCrypt

É possível extrair a chave mestra do TrueCrypt, bem como identificar quais os volumes estão criptografados.

Michael Ligh, pesquisador da Volatility, conseguiu identificar a chave mestra da encriptação de um volume do TrueCrypt.

Acontece que o software guarda essa chave em memória e o "pulo do gato" é que o padrão usual de criptografia usa o algoritmo AES no modo XTS. 

Esse modo concatena duas chaves de 256-bits para formar uma chave de 512-bits, o que torna muito fácil a identificação da chave utilizando-se de ferramentas de dump de memória e captura de pacotes como se vê abaixo:

$ ./aeskeyfind Win8SP0x86.raw
f12bffe602366806d453b3b290f89429
e6f5e6511496b3db550cc4a00a4bdb1b
4d81111573a789169fce790f4f13a7bd
a2cde593dd1023d89851049b8474b9a0
269493cfc103ee4ac7cb4dea937abb9b
4d81111573a789169fce790f4f13a7bd
4d81111573a789169fce790f4f13a7bd
269493cfc103ee4ac7cb4dea937abb9b
4d81111573a789169fce790f4f13a7bd
0f2eb916e673c76b359a932ef2b81a4b
7a9df9a5589f1d85fb2dfc62471764ef47d00f35890f1884d87c3a10d9eb5bf4
e786793c9da3574f63965803a909b8ef40b140b43be062850d5bb95d75273e41
Keyfind progress: 100%

O problema é que conhecer a chave é só meio caminho andado, é preciso saber onde está o arquivo criptografado. Para isso existe o plugin truecryptsummary, que usa as mesmas funções do driver do TrueCrypt e consegue detectar quais volumes/arquivos estão criptografados e onde eles estão.

Aí vira brincadeira de padawan...

Que a Força esteja com vocês!

Fonte: http://volatility-labs.blogspot.com.br/2014/01/truecrypt-master-key-extraction-and.html

OpenSUSE Forum owned

Um hacker paquistanês chamado "H4x0r Hussy" conseguiu comprometer o fórum oficial do OpenSUSE.

O hacker conseguiu desfigurar o fórum /* defacement */ postando uma mensagem personalizada na página inicial, além de obter informações de contas de 79.500 usuários registrados, usando um exploit 0-day para o vBulletin, famoso software gerenciador de fóruns.

Um fato interessante é que o openSUSE ainda está usando vBulletin 4.2.1, que é vulnerável à falha /* que consegue injetar comandos como administrador */.
Segundo o hacker, o vBulletin 5.0.5 (versão mais recente) também é vulnerável a seu exploit zero-day e ainda não há nenhum patch disponível para corrigi-lo.
O hacker prometeu não divulgar o dump banco de dados, pois o objetivo é apenas para destacar a fragilidade da segurança de um site importante.

As senhas (não reais) foram obfuscadas pelo hacker.

Os responsáveis pelo OpenSUSE acalmaram os usuários dizendo estão tomando providências e que usam single sign on (SSO) e que as senhas ficam armazenadas no Access Manager da NetIQ (serviço concentrador de logins).

May The Force be with You!

Fonte: The Hacker News

Safari guarda em texto plano dados de uma sessão segura

Função ‘Reopen All Windows from Last Session' no Safari

A Kaspersky Lab encontrou uma falha no navegador da Apple Safari que guarda dados de sessões seguras anteriores não criptografados em uma pasta oculta.

O navegador armazena as informações da sessão em um XML (texto plano), incluindo as credenciais de autenticação usadas em sessões HTTPS anteriores para implementar o recurso "Reabrir todas as janelas da última sessão".

Arquivo plist após uma tentativa de fazer login no Gmail

A função é implementada nas seguintes versões do Mac OS X e Safari:

    OSX10.8.5, Safari 6.0.5 (8536.30.1)

    OSX10.7.5, Safari 6.0.5 (7536.30.1)

Kaspersky Lab já notificou a Apple da vulnerabilidade do Safari e a Apple mitigou  a vulnerabilidade no Safari 6.1

Arquivo plist do Safari

 
Que a Força esteja com vocês!

Fonte: http://www.securelist.com/en/blog/8168/Loophole_in_Safari

Brasileiro faz engenharia reversa em token de segurança de um banco

(Não se preocupe: o seu método não lhe dá acesso a códigos de qualquer outra pessoa.)

Um engenheiro do Brasil postou um passo a passo técnico de como ele foi capaz de fazer engenharia reversa de token de segurança de geração de código do seu banco.

Ele encontrou uma maneira de gerar com precisão os códigos de desbloqueio com um código personalizado e um clone do Arduino.

O post original foi tirado do ar a pedido do banco

"Cada exceção lançada por este pedaço de código é ofuscado, assim como muitas das strings utilizadas em todo o código. Isso é um grande obstáculo, uma vez que as mensagens de exceção e strings em geral são uma ótima maneira de descobrir o que o código está fazendo engenharia reversa em algo.

Felizmente, seus desenvolvedores decidiram mostrar texto útil quando ocorre um problema e uma exceção é lançada, então eles "embrulham" essas cadeias de caracteres, ofuscando-as com aa, presumivelmente uma rotina de descriptografia que retorna o texto original. Essa rotina não é muito simples, mas é possível obter um entendimento de alto nível do que ele está fazendo."

Fonte: http://beta.slashdot.org/story/196419#!

Que a Força esteja com vocês!