Istraživači sa Univerziteta Viskonsin-Medison kreirali su Chrome ekstenziju s dokazom koncepta koja je sposobna da ukrade otvorene lozinke iz HTML izvornih kodova gotovo svih veb stranica. Rad koji su istraživači objavili prošle nedelje detaljno opisuje da je sveobuhvatna analiza bezbednosti polja za unos teksta u veb pregledačima otkrila da njihov “model grubih dopuštenja krši dva načela bezbednosnog dizajna: najmanje privilegije i potpuno posredovanje”.

Istraživači su takođe otkrili dve ranjivosti u poljima za unos, uključujući otkrivanje lozinki u otvorenom tekstu unutar HTML izvora koda popularnih veb stranica, kao što je gmail.com. Druge velike veb stranice, koje takođe čuvaju otvorene lozinke unutar svog HTML izvornog koda, uključuju Cloudflare, Facebook, Amazon, Citibank, Capital One i druge.

Ono što situaciju čini još gorom je to što oko 12,5 procenata ekstenzija u Chrome veb prodavnici poseduje potrebne dozvole za iskorišćavanje ovih ranjivosti, a uključuju neke od najpopularnijih blokera oglasa i dodataka za kupovinu.

Kako je objavio Bleeping Computer, ekstenzije za pregledače često imaju neograničen pristup DOM stablu veb stranica na koje se učitavaju, što potencijalno predstavlja opasnost za privatnost korisnika.

To je zato što DOM API dopušta pristup osetljivim elementima kao što su korisnička polja za unos, ostavljajući otvorena vrata za beskrupulozne programere da ga zloupotrebe kako bi izvukli poverljive informacije koje je uneo korisnik, zaobilazeći sve bezbednosne mere koje primenjuje stranica.

The post Neke ekstenzije za Chrome mogu da kradu vaše podatke appeared first on Social Emotion.

Njihova imena bila su Signal Plus Messenger i FlyGram, a korisnicima su se predstavljale kao legitimne zamene za daleko popularnije aplikacije za bezbedno dopisivanje, Signal i Telegram. U okviru “zamenskih” aplikacija, međutim, nalazio se trojanac vrste BadBazaar, ranije povezan s kineskom hakerskom grupom GREF.

Maska za špijunski softver

Od jula 2020. pa do jula 2022. godine pomenuta grupacija je organizovala kampanje masovnog distribuiranja svojih malicioznih aplikacija, nastalih spajanjem open source koda Signala i Telegrama sa zlonamernim programom.

Jednom kada su ih korisnici instalirali, dobijali su naizgled istu funkcionalnost kao kod legitimnih aplikacija, ali s jednom razlikom – hakeri su mogli da pristupaju svim razgovorima, koji bi inače u Signalu i Telegramu bili zaštićeni end-to-end enkripcijom.

Prema rečima stručnjaka, Signal Plus Messenger mogao je da iskoristi mogućnost povezivanja više uređaja na jedan Signal nalog – što je za sada jedinstven slučaj. Hakeri su iskoristili jedinu poznatu metodu, koja im omogućava da pristupaju zaštićenim podacima iz Signala.

Iskorišćavanjem propusta na Signalovom serveru, uspeli su da napadačev uređaj povežu s korisničkim nalogom, u slučaju kada je korisnik na svom telefonu imao instaliranu njihovu aplikaciju. ESET je o svemu obavestio i developere Signala, koji su istakli da je jedini način za očuvanje bezbednosti instalacija njihove zvanične aplikacije. Ova zamenska, kažu, onemogućila je korisniku da vidi da je na njegov račun povezan na još jedan uređaj, koji potom može da ga špijunira.

ESET je objavio da su lažne aplikacije koristile hiljade ljudi, nesvjesni da su na taj načiun bili špijunirani, i to u nekoliko zemalja Evropske unije, u SAD-u i još desetak zemalja, od Afrike do Azije. Nakon što su njihovi stručnjaci prijavili zlonamerno ponašanje ovih aplikacija, one su uklonjene iz Google i Samsung prodavnica.

The post Uklonjene aplikacije koje špijuniraju korisnike appeared first on Social Emotion.

Sajt WABetaInfo je ranije objavio da WhatsApp implementira opciju utišavanja poziva od strane nepoznatih brojeva, čime se dodatno poboljšava korisnička privatnost. Sada najnovije beta ažuriranje donosi nova poboljšanja privatnosti u pozivima.

To će se omogućiti preusmeravanjem poziva kroz servere WhatsAppa, a tokom procesa će se skrivati IP adresa korisnika i sprečiće se potencijalno lociranje korisnika od strane učesnika poziva.

Međutim, ova opcija bi mogla da smanji kvalitet poziva zbog enkripcije, ali se radi na tome da se to redukuje kada funkcija postane dostupna svim korisnicima.

Pomenuta funkcija poboljšane privatnosti je trenutno u fazi testiranja u okviru ograničene grupe beta korisnika. Uskoro će proširiti na veći broj testera, nakon čega će biti objavljena u okviru stabilne nadogradnje WhatsAppa.

The post WhatsApp sprema funkciju koja omogućava skrivanje IP adrese tokom poziva appeared first on Social Emotion.

U poslednjem talasu uklanjanja, Google je uklonio nekoliko aplikacija koje se bave “čišćenjem” uređaja, uključujući i poznatu aplikaciju SD Maid. Razlog? Kršenje Google-ove “Stalkerware politike”, iako razvojni timovi ovih aplikacija tvrde da ne postoji nikakva funkcija koja bi omogućila praćenje privatnosti i podataka korisnika.

SD Maid, poznata aplikacija za održavanje uređaja, našla se u središtu ove kontroverze. Izvorni kod aplikacije dostupan je na GitHub-u, a razvojni tim je javno izrazio svoje negodovanje zbog naglog uklanjanja sa Play Store-a. Prema opisu aplikacije, SD Maid nudi niz funkcija za održavanje i optimizaciju uređaja, uključujući:

• Upravljanje fajlovima
• Uklanjanje nepotrebnih sistema
• Upravljanje aplikacijama
• Otkrivanje duplikata

Ništa u opisu ne ukazuje na potencijalno kršenje Google-ovih pravila. Ipak, automatski alati za uklanjanje su identifikovali “uzorak visokog rizika ili zloupotrebe” i preduzeli akciju.

Google je ove godine uveo nove smernice u vezi sa aplikacijama koje mogu biti kategorisane kao “obmanjujuće”. Aplikacije koje ne objašnjavaju tačno namenu svojih funkcija spadaju pod ovu kategoriju, što može uključivati i aplikacije za čišćenje koje često govore da mogu da poboljšaju performanse telefona.

Ipak, kako “Stalkerware politika” može biti povezana sa aplikacijama za čišćenje ostaje nejasno. Ova situacija stavlja dodatan pritisak na razvojne timove i pokreće pitanja o transparentnosti i preciznosti algoritama koji se koriste za identifikaciju potencijalno štetnih aplikacija.

Google je u težoj poziciji, gde mora da balansira između zaštite korisnika i očuvanja prava razvojnih timova. Uklanjanje aplikacija za čišćenje, poput SD Maid, ističe složenost ovog zadatka i potrebu za većom transparentnošću i preciznošću u procesima identifikacije i uklanjanja.

The post Google Play Store ukida aplikacije za “čišćenje”: Ovo je razlog appeared first on Social Emotion.

U avgustu ove godine, Twitter je potvrdio curenje podataka 5,4 miliona naloga koje je bilo posledica bezbednosne ranjivosti koja je omogućila hakerima da povežu e-mail adrese i brojeve telefona sa priduženim Twitter ID za registrovane naloge, i tako kreiraju milione profila koji se sastoje od javnih i nejavnih podataka.

Pošto nije predviđeno da brojevi telefona i e-mail adrese korisnika budu javni, ovo bi moglo predstavljati značajan rizik za privatnost korisnika Twittera koji žele da platformu koriste anonimno.

Ranjivost API-ja koju su hakeri iskoristili za prikupljanje podataka prijavljena je Twitteru prvog dana ove godine, ali prekasno. Pre nego što ju je Twitter ispravio 13. januara 2022., hakeri su je već iskoristili i to u decembru 2021. godine, a podatke koje su prikupili tom prilikom, u julu ove godine stavili su na prodaju na jednom hakerskom forumu tražeći za njih 30.000 dolara. Navodno su po toj ceni ove podatke kupile dve osobe.

U septembru 2022. i novembru 2022., hakeri su objavili JSON fajl koji sadrži kompletan set od 5,4 miliona profila koje su hakeri prikupili prošle godine, a koji su do tada privatno kružili među malim brojem sajber-kriminalaca, prenosi Informacija.rs.

Otprilike u isto vreme, jedan istraživač je takođe podelio uzorke dodatnog skupa Twitter profila koji su prikupljeni korišćenjem iste ranjivosti, a koji nisu bili deo prvobitnog curenja profila 5,4 miliona korisnika.

Ovaj skup podataka je daleko obimniji i navodno sadrži podatke 17 miliona naloga prikupljenih korišćenjem iste greške u API-ju.

BleepingComputer, koji je prvi izvestio o novom curenju podataka, nije bio u mogućnosti da potvrdi obim ovog dodatnog paketa podataka, ali je kontaktirao navedene Twitter korisnike iz dostupnog uzorka podataka i utvrdio da su ovi podaci validni.

Iako je potvrdio novo curenje podataka, Twitter nije otkrio tačan broj izloženih korisnika.

Kompanija je savetovala korisnicima da omoguće dvofaktornu autentifikaciju, koriste aplikacije za autentifikaciju ili hardverske ključeve da zaštite svoje naloge i budu posebno oprezni sa emailovima koji su u vezi sa njihovim Twitter nalozima, jer sajber-kriminalci mogu iskoristiti procurele informacije za veoma efikasne fišing napade.

Poseban oprez se savetuje sa emailovima formulisanim tako da korisnicima ostavljaju utisak hitnosti, kao i emailovima u kojima se zahtevaju njihovi privatni podaci.

Izvor: Informacija.rs

The post Twitter potvrdio: Nedavno su procurili podaci nekoliko miliona korisnika appeared first on Social Emotion.

Ali, to bi uskoro moglo da se promeni. Naime, kako su istakli na portalu wabetainfo, koji otkriva buduće opcije u aplikaciji, korisnici će uskoro dobiti mogućnost postavljanja lozinke za ulazak u aplikaciju WhatsApp na računaru.

To će omogućiti korišćenje aplikacije WhatsApp za računare i na deljenim računarima, ali će i korisnicima omogućiti viši stepen zaštite i olakšaće zaštitu njihovih poverljivih prepiski. Opcija PIN-a, odnosno lozinke, već je bila omogućena za aplikaciju na pametnom telefonu.

Korisnici koji se odluče da podese lozinku moraće da je upišu kada god požele da uđu u aplikaciju na računaru. A ako zaboravite lozinku, nema straha. Biće dovoljno da se izlogujete iz aplikacije na računaru i ponovno ulogujte skeniranjem QR koda telefonom.

Za sada nema govora o mogućnosti biometrijskog otključavanja aplikacije, ali nije isključeno da će takva opcija biti moguća u nekoj budućoj verziji aplikacije.

Zanimljivo je da ova opcija postavljanja lozinke neće biti automatski aktivirana u aplikaciji, već će korisnici morati sami da je uključe u podešavanjima, ali biće isto dostupna korisnicima na Windows i Mac računarima.

Potrebno je naglasiti da se ova opcija neće odnositi na korišćenje WhatsAppa u internet pregledaču.

The post WhatsApp za desktop dobija opciju koja će razgovore učiniti bezbednijim appeared first on Social Emotion.

U poslednjoj ovakvoj prevari pošiljaoci su se predstavljali kao načelnici uprava ili komandanti jedinica Ministarstva unutrašnjih poslova Republike Srbije.

“Kod ovakvih vrsta pokušaja prevara, osobe koje ovakve mejlove šalju će u jednom momentu u toku komunikacije tražiti uplatu određene svote novca, da li kao neke takse, ili nekog doprinosa, dakle da na bilo koji način pokušaju da kod žrtve izazovu potrebu da plate određenu svotu novca da plate na odrđeeni bankovni račun. Tako da se najverovatnije radi o ovome. Jer do sada analizom mejlova nismo došli do toga da se radi o malicioznom softveru”, kaže za RTS Branko Stamenković, tužilac za visokotehnološki kriminal.

Od primaoca se zahteva da u određenom roku odgovori na primljeni imejl, u protivnom mu se preti postupkom pred tužilaštvom.

“Oni računaju na to, ako se potpišu kao MUP, ako je poruka dovoljno interesantna, ako kažu da je neko optužen za pedofiliju, kao u ovom slučaju, ili za neki drugi zločin da će možda naterati korisnika da klikne i da onda privuče neki zlonamerni sadržaj”, kaže Luka Milinković, stručnjak za sajber bezbednost.

U Republičkom javnom tužilaštvu kažu da su ovakve vrste prevara česte. Zato budite oprezni.

“Kroz ono što piše od koga je stigao mejl, tu mogu da provere da li je stvarno mejl MUP-a, ili neke kompanije, ili je to neka random generisana mejl adresa koja služi upravo zato da bi slala taj zlonamerni sadržaj. Mi se svi vezujemo za potpis, čim vidimo, kao što je u ovom slučaju MUP, mislimo to je sigurno to, ali ne mora da znači”, kaže Milinković.

Ukoliko vam stigne imejl sa sumnjivim sadržajem, obrišite ga. Ako ste slučajno otvorili link, ili dodatak, obratite se stručnoj osobi koja će vam računar očististi od neželjenih programa, zatim prijavite Tužilaštvu ili odeljenju MUP-a za visokotehnološki kriminal, kažu u Republičkom javnom tužilaštvu.

The post Otvorili ste mejl sa sumnjivim sadržajem – šta bi trebalo da uradite appeared first on Social Emotion.

Saopštenje stiže nakon što je platforma za deljenje videa, koja je u vlasništvu kineste kopanije „Bajt Dens“, dospela u žižu interesovanja vlada širom sveta, posebno u Evropi i SAD, zbog sumnje da bi podaci korisnika mogli biti prosleđeni kineskoj državi – optužbe koju je kompanija u više navrata demantovala.

„Podaci o evropskim korisnicima čuvaju se u Sjedinjenim Državama i Singpuru. Kompanija dozvoljava daljinski pristup podacima određenom broju zaposlenih u korporativnoj grupi koja se nalazi u Kini, Brazilu, Kanadi, Izraelu, Japanu, Maleziji, Filipinima, Singapuru, SAD i Južnoj Koreji“, objašnjava Foks.

Ona ističe da, u cilju zaštite podataka, postoje specijalni protokoli kako bi se odobrio pristup i da metode koje se koriste su u skladu sa opštim odredbama EU o zaštiti podataka.

„TikTok ne prikuplja precizne informacije o lokaciji korisnika u Evropi, bilo na osnovu GPS-a ili na neki drugi način“, dodaje.

Sa druge strane, odnosi između vlade Ujedinjenog Kraljevstva i Pekinga su ozbiljno poremećeni, nakon što je kineska država sankcionisala brojne poslanike koji kritikovali kršenja ljudskih prava u toj zemlji, prenosi britanski list „Independent“.

TikTok says staff in China can access UK and EU user data https://t.co/BG2UB7ov6Y

— The Independent (@Independent) November 3, 2022

U avgustu je ugašen zvanični nalog britanskog parlamenta, nakon što su poslanici izrazili bojazan da bi njihovi podaci mogli završiti u Pekingu, aludirajući na potencijalne veze TikToka sa kineskom vladom.

„Kineska vlada nikada nije zahtevala da joj predamo podatke o našim korisnicima. A i ukoliko traže, neće ih dobiti“, tvrdi Teo Bertram, potpredsednik TikToka za javnu politiku u Evropi.

The post TikTok priznao: Kina ima pristup podacima korisnika iz Evrope i UK appeared first on Social Emotion.

“Ova skladišta su uključivala naše sopstvene kopije biblioteka trećih strana malo modifikovanih za korišćenje od strane Dropboxa, interne prototipove i neke alate i konfiguracione fajlove koje koristi bezbednosni tim”, otkrila je kompanija.

Napadači su pristupili i nekim API ključevima koje koriste programeri Dropboxa, kao i “hiljadama imena i email adresa koje pripadaju zaposlenima u Dropboxu, sadašnjim i bivšim kupcima, potencijalnim kupcima i prodavcima”.

Međutim, kompanija je naglasila da njihove glavne aplikacije i infrastruktura nisu pogođeni ovim napadima “jer je pristup ovom kodu još ograničeniji i strogo kontrolisan”, kao i da veruje da je rizik za kupce minimalan.

Pre više od mesec dana GitHub i platforma CircleCI upozorili su na fišing napade u kojima se kradu GitHub akreditivi putem lažnih obaveštenja za koje se tvrdi da su sa CI/CD platforme. Dropbox je rekao da je početkom oktobra “više Dropboxera primilo fišing emailove u kojima se lažno predstavlja CircleCI”, od kojih su neki prošli kroz njihove automatizovane filtere za neželjenu poštu.

“Ovi emailovi legitimnog izgleda upućuju zaposlene da posete lažnu CircleCI stranicu za prijavu, unesu svoje GitHub korisničko ime i lozinku, a zatim koriste svoj ključ za hardversku autentifikaciju da proslede jednokratnu lozinku (OTP) na zlonameri sajt”, objasnio je Dropbox.

Kompanija nije otkrila koliko je njenih zaposlenih prevareno, ali je rekla da je preduzela hitne mere da zameni sve otkrivene akreditive programera i da je obavestila nadležne organe. Dropbox je rekao i da nisu pronađeni dokazi da su podaci o klijentima ukradeni, dodajući da nadograđuje svoje sisteme dvofaktorne autentifikacije kako bi podržali hardverske sigurnosne ključeve.

“Ljudi su preplavljeni porukama i obaveštenjima, zbog čega je teško otkriti fišing mamce. I oprezni profesionalci mogu postati žrtve pažljivo osmišljene poruke isporučene na pravi način u pravo vreme”, zaključila je kompanija.

“Upravo zbog toga fišing ostaje tako efikasan.”

Izvor: Telegraf

The post Dropbox otkrio da je bio žrtva fišing napada: Nema dokaza da su hakeri pristupili podacima korisnika appeared first on Social Emotion.

WABetaInfo otkriva da WhatsApp testira “image blur” alatju u okviru svoje beta verzije za Desktop klijent. Pomenuta Blur alatka će korisnicima omogućiti da zanagle fotografiju ili deo fotografije pre njenog slanja drugoj osobi.

The post WhatsApp testira opciju koja će poboljšati bezbednost korisnika appeared first on Social Emotion.