Igor Karpov

Enlarge / The jaw of the El Sidron individual found to be consuming poplar and Penicillium-containing vegetation. (credit: Paleoanthropology Group MNCN-CSIC)

Around 50,000 years ago in Spain, a Neanderthal had a toothache and popped the botanical version of an aspirin. Maybe. Although it's far from clear-cut, there’s evidence from old teeth that hints at the possibility.

It's part of a study of Neanderthal diet, courtesy of their poor dental hygiene. Published in Nature, an analysis of preserved dental plaque from three different Neanderthals provides an intriguing glimpse into what they put in their mouths. According to the authors, the analysis points to regionally varied diets and suggests possible medicinal plant use.

But some of the DNA evidence is a little strange, suggesting evidence of species where they really shouldn’t have been 50,000 years ago. There are some good explanations for why this could happen, but, like most exciting results, drawing conclusions from the evidence demands a little caution.

Read 17 remaining paragraphs | Comments

Nature

There are two central mysteries about human history in Australia. First, when did people arrive on the world's southernmost inhabitable continent? And second, how did they colonize it? A paper in Nature offers new answers, based on an extensive analysis of decades-old DNA.

By studying the mitochondrial DNA of Aboriginal Australians from all across the continent, University of Adelaide biologist Alan Cooper and his team were able to trace the population back to its most recent common ancestor, a woman who lived between 43,000 and 47,000 years ago. Because mitochondrial DNA is passed from mothers to children virtually unchanged, it's often used to trace genetic histories over long time spans. Based on this finding and dates of the earliest archaeological sites in Australia, Cooper and colleagues write that the continent was likely colonized by a single group of people about 50,000 years ago.

Read 15 remaining paragraphs | Comments

Enlarge / The logo of the CIA's Engineering Development Group (EDG), the home of the spy agency's malware and espionage tool developers.

There are thousands of files in WikiLeaks' dump of data from the Central Intelligence Agency's Engineering Development Group (EDG). This organization within the CIA's Center for Cyber Intelligence is responsible for creating the tools used to hack into digital devices around the world in support of the CIA's mission. The leaked documents come from an Atlassian Confluence server used by the EDG's developers to track and document their projects.

Many of the documents in the dump are unclassified—manuals provided by Lockheed Martin and other vendors, for example. Most are classified at the Secret level, including things as innocuous as a guide to getting started with Microsoft Visual Studio, apparently the preferred development tool of the EDG's Applied Engineering Department (AED). There's also a smattering of meme construction components and animated GIFs of the anime series Trigun.

But a tiny fraction of the data is highly classified, according to document marks. This cache sits at the Top Secret level, and it's marked as "Special Intelligence" (SI) and "NOFORN" (no foreign distribution). Out of the first batch of just over 1,000 documents, there are two paragraphs marked at that level. And those pieces describe minutiae of how the CIA's Network Operations Division wants the cryptographic features of its tools to work and how the CIA obtains and prepares phones for use in its exploit lab.

Read 20 remaining paragraphs | Comments

Владельцев сетевых накопителей производства Western Digital предупреждают о наличии критических уязвимостей в продуктах линейки My Cloud. Эти бреши пока не закрыты и актуальны для 12 моделей, позволяя удаленно обойти процедуру авторизации, внедрять команды, без разрешения загружать файлы и захватить контроль над устройством.

«Это серьезная проблема, так как шансы для полной компрометации устройства велики», — заявили во вторник представители SEC Consult Vulnerability Lab (SCVL). По состоянию на 7 марта Western Digital пока не предоставила никакой информации об уязвимостях или вероятности патчей.

Исследователи из SCVL уведомили разработчика о своих находках 18 января и из-за отсутствия реакции решились на публичное раскрытие. Одновременно те же баги обнаружили ИБ-эксперты Exploitee, их блог-запись появилась в конце прошлой недели.

Вначале уязвимости были найдены в NAS-устройстве My Cloud серии PR4100, однако затем оказалось, что им подвержены также DL4100, EX4, EX2 Ultra и PR2100. Полный список затронутых продуктов Western Digital приведен в информационном бюллетене SCVL.

По словам исследователей, в совокупности эти бреши создают условия для полной компрометации NAS-устройства. «В худшем случае злоумышленник украдет конфиденциальные данные, хранящиеся на устройстве, или будет использовать его как плацдарм для дальнейшего проникновения», — сказано в бюллетене SCVL.

Найденные уязвимости относятся к таким классам, как «внедрение команд», «переполнение буфера в куче» и «подделка межсайтовых запросов». «Эту уязвимость (CSRF) можно использовать в комбинации с багом инъекции команд для получения полного контроля (root-доступа) над устройством», — предупреждают исследователи.

В ответ на запрос Threatpost о комментарии представители Western Digital заявили, что они производят «предварительную оценку» отчетов об уязвимостях. «По предварительной оценке, изменения для устранения одной из доложенных Exploitee.rs проблем были уже произведены с декабрьским обновлением, — гласит письмо Western Digital. — Кроме того, если мы установим, что отчет идентифицирует какие-то новые уязвимости, мы будем оперативно их закрывать в зависимости от степени серьезности, наличия текущих атак, если таковые обнаружатся, и потенциальной необходимости нарушения регламента, установленного для выпуска патчей. Если у пользователей My Cloud появятся вопросы, мы советуем обратиться в службу клиентской поддержки; рекомендуется также посетить страницу обновления прошивки и удостовериться, что режим автоматического обновления включен».

В декабре исследователь Стив Кэмпбелл (Steve Campbell) обнаружил в NAS-устройствах линейки My Cloud две уязвимости (CVE-2016-10107 и CVE-2016-10108). Western Digital пропатчила их 20 декабря, однако, согласно Exploitee.rs, исправление оказалось неудачным. «Этот патч привнес новую уязвимость, с теми же последствиями, как и у оригинала (до обновления)», — констатируют исследователи.

По словам Zenofex из сообщества Exploitee, баг проявлялся при активации доступа по SSH. «Я быстро нашел первый баг, который меня поразил: он был привязан к коду, выполняющему проверку логина пользователя, однако она производилась с использованием куки или переменных PHP-сессий, — пишет исследователь. — Использование куки для аутентификации — не самая плохая идея, проблема заключалась в манере их использования интерфейсом Western Digital My Cloud. Каждый раз при проверке логина в PHP-скриптах открывалась возможность для обхода этой проверки с помощью двух сфальсифицированных значений куки».

Суммарно Zenofex обнаружил в продуктах линейки My Cloud 85 проблем с безопасностью; все они перечислены на вики-сайте Exploitee. Комментируя эти находки в ответном письме Threatpost, Кэмпбелл отметил: «Сайт Exploitee.rs, на котором недавно были опубликованы эти 85 уязвимостей, пошел дальше: залогинился на устройстве через SSH и просмотрел код приложения. Жалею, что мне не пришло в голову сделать то же самое».

«При таком количестве уязвимостей в этом устройстве неудивительно, что и другие исследователи подали аналогичные отчеты», — отметил в свою очередь Zenofex. Список обнаруженных им уязвимостей включает баг обхода проверки логина, возможность записи произвольных файлов, 13 багов удаленного исполнения команд без аутентификации и 70 багов исполнения команд, требующего аутентификации.

Нестандартный RAT-троянец, получивший наименование DNSMessenger, использует DNS-запросы для исполнения команд PowerShell на зараженном компьютере. По свидетельству Cisco, это сильно затрудняет его обнаружение в системе.

Как показал анализ, проведенный экспертами подразделения Talos компании, процесс заражения начинается с активации макроса по подсказке в документе Word, присланном по почте вложением. Если получатель последует этой инструкции, последует вызов VBA-функции, обеспечивающей исполнение первичной PowerShell-команды.

«Документ использует функцию Document_Open() для вызова другой VBA-функции, — рассказывают исследователи. — Вызванная функция задает длинную строку, которая определяет команду PowerShell и включает код, подлежащий исполнению. Затем происходит выполнение команды с помощью объекта Win32_Process интерфейса управления Windows (WMI), использующего метод Create».

После этого следует многоэтапная атака, в ходе которой определяются привилегии текущего пользователя, версия PowerShell, привносятся изменения в системный реестр Windows и открывается бэкдор для сохранения присутствия в системе.

Типовая цепочка заражения предполагает запись файлов в целевую систему; в данном случае вместо этого используется обращение к записям TXT удаленной DNS-системы, в которых содержатся вредоносные PowerShell-команды. Запросы DNS TXT и ответные сообщения создают канал двусторонней C&C-связи. Такая тактика «позволяет исполнять код, не требуя его записи в файловую систему» на атакуемой машине.

В ходе тестирования сэмпла был выявлен ряд VBA-скриптов, используемых злоумышленниками; каждый VBA распаковывал свой скрипт PowerShell. На всех этапах заражения происходила отправка DNS-запросов в один из многочисленных доменов, прописанных в коде скрипта.

«Это очень необычный и скрытный способ администрирования RAT, — отмечено в блог-записи Talos. — Исполнение PowerShell во много этапов, не оставляющих никаких файлов, указывает на то, что автор атаки приложил значительные усилия, чтобы избежать обнаружения».

«Он [DNSMessenger] также показал, насколько важно не только контролировать и фильтровать сетевые протоколы вроде HTTP/HTTPS, SMTP/POP3 и проч., но и рассматривать DNS-трафик в корпоративной сети как канал, который злоумышленник может использовать для реализации полноценной, работающей в обе стороны C&C-инфраструктуры», — заключают исследователи.

«Это была, по всей видимости, целевая атака, с небольшим охватом в сравнении с другими кампаниями, которые мы регулярно наблюдаем, — заявил соавтор записи в блоге Talos Эдмунд Брумагин (Edmund Brumaghin), отметив, что намерения зловреда пока не ясны. — Нам не удалось зафиксировать отправку с C&C команд, подлежащих исполнению. Это типично для целевых атак, так как злоумышленники обычно посылают команды лишь намеченным жертвам».

Авторы блог-записи выражают благодарность ИБ-исследователю @simpo13 за твит, привлекший общее внимание к данному RAT-троянцу. Примечательно, что в коде одного из PowerShell-скриптов, используемых злоумышленниками, автор твита обнаружил зашифрованную по base64 строку SourceFireSux — явную ссылку на ИБ-вендора SourceFire, поглощенного Cisco в 2013 году.

Публикация квартального отчета Yahoo, поданного в комиссию по обороту ценных бумаг США (SEC), раскрыла истинное положение дел с утечкой свыше 1,5 млрд записей за последние четыре года. В итоге картина оказалась еще более неприглядной, чем можно было себе представить.

Отчитываясь перед SEC и инвесторами, Yahoo признала, что ее ИБ-службе было известно о компрометации аккаунтов и использовании поддельных куки хакерами, за которыми предположительно стоит некое государство, однако руководители компании предпочли игнорировать степень серьезности ситуации. «Хотя в ответ на эти инциденты были реализованы существенные дополнительные средства защиты, похоже на то, что некоторые члены руководства не в полной мере осмыслили или изучили данные, собранные ИБ-службой компании, и вследствие этого не смогли принять адекватные меры», — пишет Yahoo в отчете, зарегистрированном в SEC.

Ранее Yahoo публично признала, что ее сети были скомпрометированы еще в 2013 году и хакерам удалось украсть более 1 млрд записей о пользовательских аккаунтах. В результате 26 аккаунтов оказались взломанными; компания уведомила пострадавших и начала расследование. В отчете, поданном в SEC, сказано, что ИБ-службе Yahoo было известно о краже резервных копий файлов с данными пользователей еще в декабре 2014 года, однако специалисты не были уверены в том, что этот факт был надлежащим образом доведен до сведения руководства компании и воспринят правильно. Участники внутреннего расследования при этом заявили, что никакой информации умышленно не утаивали.

«Тем не менее комиссия заключила, что у ответственных юристов в 2014 году было достаточно информации для запуска более тщательного расследования, но они на этом не настояли, — гласит отчет Yahoo. — В результате ИБ-инцидент 2014 года не был на тот момент как следует изучен и проанализирован, и компания не получила необходимые рекомендации в отношении правовых и коммерческих рисков, сопряженных с ИБ-инцидентом 2014 года. Независимая комиссия пришла к заключению, что правильному осмыслению ИБ-инцидента 2014 года и принятию надлежащих мер помешали упущения на уровне информационного взаимодействия, менеджмента, расследования и внутренней отчетности. Независимая комиссия также нашла, что комитет по аудиту и финансам компании и ее правление в полном составе не были адекватно проинформированы обо всех серьезных аспектах, рисках и потенциальных последствиях ИБ-инцидента 2014 года и сопутствующих проблемах».

Информация об утечках в Yahoo начала всплывать в прошлом сентябре, когда компания заявила о компрометации 500 млн учетных записей пользователей в результате атаки хакеров в конце 2014 года. В декабре стало известно о краже более 1 млрд аналогичных записей из базы Yahoo вследствие взлома, произошедшего в 2013 году. В своем отчете SEC компания признала, что ей до сих пор неизвестно, каким образом хакерам удалось проникнуть в сеть, но подчеркнула, что эта атака, «скорее всего, не связана» со взломом 2014 года. Авторы атаки добрались до серверов, на которых хранился проприетарный код Yahoo, и узнали, как сфальсифицировать куки, чтобы без авторизации получить доступ к 32 млн аккаунтов.

По свидетельству Yahoo, в связи с утечками против нее было подано 43 групповых иска. Эти взломы также, по-видимому, дорого обошлись главному юрисконсульту компании Рональду Беллу (Ronald Bell): в отчете Yahoo сказано, что на прошлой неделе он подал в отставку и был уволен без выходного пособия. Исполнительный директор Марисса Майер (Marissa Mayer) лишилась премии за прошлый год и в этом году не получит вознаграждение в виде участия в капитале. Майер попросила правление раздать ее премиальные служащим компании.

Свои признания Yahoo озвучивала параллельно переговорам с Verizon о продаже части бизнеса. Утечки вообще поставили под сомнение эту сделку, но в итоге ее участники договорились о снижении цены на $350 млн (изначально Yahoo просила $4,8 млрд).

ИБ-эксперты со своей стороны поставили под сомнение заявление Yahoo о том, что авторы взломов — спонсируемые государством хакеры. Руководитель InfoArmor Эндрю Комаров (Andrew Komarov), например, склонен винить в этих утечках криминальную группу Group E, в состав которой входят восточноевропейские и русскоговорящие хакеры. Group E известна тем, что снабжает спамеров крадеными персональными данными. По словам Комарова, в декабре миллиардная база данных Yahoo была продана как минимум трем разным лицам.

"...Ее мы увидели августовским днем 1944 года в Яновском лагере смерти, и первая мысль была: «Правда ли это?»

Машина для перемалывания человеческих костей, увиденная нами тогда, выглядела внешне очень мирно.

Снаружи она напоминала обычную камнедробилку. Мы слушали рассказ человека, работавшего на машине,— Манесевича. Он взобрался на ее крыло и удивительно монотонно рассказывал о том, как сам лично перемолол в машине останки более 30000 убитых немцами заключенных в лагере, а среди них — и кости собственной жены.

Машина-костедробилка была перевезена из Яновского лагеря в центр Львова и выставлена для обозрения."

Издание The New York Times располагает свидетельствами того, что компания Uber на протяжении нескольких лет осуществляет слежку за полицейскими и чиновниками, чтобы не дать им пользоваться приложением в тех городах и странах, где Uber имеет проблемы с регуляторами. Программа собирает определенные данные о пользователях, чтобы распознать «подсадных» пассажиров и контрольные поездки в местах, где Uber воюет с властями.

Uber неоднократно сталкивалась с проблемами при выходе на новые рынки как в США, так и в других странах мира. Больше всего вопросов у властей вызывает сервис UberX, который позволяет местным водителям быстро проходить отбор и проверку транспортного средства и становиться водителями сервиса. В основном эти перевозчики не имеют лицензии, что и вызывает недовольство властей и представителей профсоюзов. Другие сервисы, например Uber Black, предполагают работу лицензированных перевозчиков.

Водители Uber неоднократно подвергались угрозам и нападениям в городах, где власти пытались запретить работу сервиса, — например, в Париже разъяренные таксисты нападали на машины, разбивали битами автомобили и даже брали в заложники водителей. Для противодействия им Uber разработала программу VTOS (от Violation of Terms of Service, нарушение правил пользования), которая с 2014 года применялась в США, Франции, Австралии, Китае и Южной Корее, чтобы избегать потенциально опасных пассажиров. Часть программы VTOS — программа Greyball, которая «обманывает» пользователей, препятствуя заказу машины.

Применяемые в рамках программы технологии слежки собирают определенные данные о клиентах и не дают им вызвать такси. Например, таким образом компания выявляла пассажиров, которые регулярно появлялись в зданиях полицейских участков или правительственных организаций. Также приложение отслеживало номера кредитных карт, выпущенных для представительских расходов в государственных организациях, или «одноразовые» телефоны, которые правоохранительные органы часто используют для проведения подобных операций. Если подобных сведений не было, программа осуществляла поиск по профилям в соцсетях, чтобы выявить связь с полицией или властями.

К профилю такого пользователя в приложении Uber добавлялись слово «greyball» и последовательность цифр. Если этот пользователь вызывал Uber, ему демонстрировалась особая версия приложения с «поддельными» машинами. Если водитель Uber случайно принимал заказ от «забаненного» пользователя, ему звонили из Uber и предупреждали о необходимости отказаться от поездки.

Сведения о программе Greyball в The New York Times предоставили сотрудники Uber, считавшие практику незаконной и неэтичной. О программе знали по крайней мере 50 сотрудников Uber, и использование слежки было одобрено юристами компании. По мнению экспертов, опрошенных NYT, действия компании можно охарактеризовать как мошенничество с применением информационных технологий или препятствование правосудию.

Все имеет свое начало. Творчество И. А. Ефремова — это начало русской научно-фантастической литературы. Его произведения вывели научную фантастику в особый род литературы, который он сам называл «беллетристикой в науке». Она превратилась из литературы «второго сорта» в «могущественный рычаг прогресса и борьбы за лучшую жизнь общества».

Роман «Час Быка», написанный не сегодня, как истинно гениальное произведение, имеет особый отблеск в любую эпоху. В наше время рубежа двух тысячелетий, время поиска, переосмысления пути, пройденного Человечеством, особо яркое звучание приобретает тема размышления о судьбе людей, об их способности самим выбирать свой удел на будущее.

Земля рождена в час Быка — это два часа ночи, но рассвет близок…

Что собой представляет сегодняшний Человек? Сможет ли он выжить?

Рисунки Галины Бойко и Игоря Шалито

Теги: ART'икль видео шутки юмора

К этому чудесному тексту никаких комментариев. Потому что, ну какие тут могут быть комментарии… Комментарии только все испортят, опошлят незамутненное малоумие и простодушную мозгоубогость.

Депутат Госдумы Наталья Поклонская в интервью телеканалу Царьград 3 марта заявила, что ей позвонили из Крыма бывшие коллеги и сообщили: в Симферополе произошло чудо – замироточил бюст последнего российского императора Николая Второго.
"Сотрудники звонят из Крыма, из прокуратуры, которые ухаживают за часовней. Сегодня утром бюст Николая II, государя нашего, который мы установили в сквере возле часовни, замироточил. Мне сделали фотографии, направили. Но вот это вот чудо, которое не объяснят ни ученые, никто. И это в 100-летнюю годовщину революции. Видите как. Государь нам помогает", – заявила Поклонская.
via

Теги: Всячина из жизни нежитей мозгоубогие

Операторы Slack, облачной платформы для совместной работы, быстро выпустили патч для уязвимости, позволяющей украсть персональный токен пользователя.

Эту брешь обнаружил на прошлой неделе Франс Розен (Frans Rosén), консультант Detectify по вопросам ИБ. Получив от исследователя уведомление о баге, связанном с обработкой междоменных коммуникаций, компания выплатила ему вознаграждение в размере $3 тыс.

Основной причиной данной уязвимости является отсутствие проверки достоверности таких свойств, как evt.origin и evt.source. Это позволило Розену получить доступ к внутренним функциям Slack. «Отсутствие валидации явно говорило о возможности порезвиться — к примеру, вызвать функции, использующие postMessage для этого окна, из другого окна под моим контролем», — пишет исследователь в блоге Detectify.

Исследуя код, Розен также обнаружил, что функции вызова, в частности /call конечной точки, не проверяют источник сообщений. Проштудировав длинный список HTML-событий на сервисе, эксперт остановился на reconnect_url, возможности смены используемого WebSocket-URL. Создав собственный WebSocket, самый примитивный, способный лишь отвечать на запросы, Розен обнаружил, что он может прослушивать трафик, отслеживая отправку токен-параметра. Этот токен, XOXS, свойственен лишь Slack и обеспечивает «полный и всеобъемлющий доступ к вашему Slack-аккаунту», как выразился исследователь.

Если злоумышленнику удастся убедить жертву кликнуть по ссылке на вредоносной странице, откроется новое окно, и пользователя перенаправят на его или ее экземпляр Slack. Поскольку /call не верифицирует источник, Розен смог перенаправить пользователя на текущий экземпляр Slack. Такая возможность позволяет атаковать любого пользователя, даже в других группах.

Венцом атаки, по крайней мере того этапа, на котором Slack можно заставить выдать токен пользователя, является использование функции postMessage, отвечающей за обмен информационными сообщениями между двумя окнами или фреймами в разных доменах. С помощью postMessage Розену удалось сбросить URL сокета и осуществить вызов goodbye для прерывания соединения.

Исследователь полагал, что восстановления соединения будет достаточно для слива токена на его собственный WebSocket, однако он быстро понял, что сбросить вызов с сокета Slack технически невозможно. Здесь-то и вступил в игру вызов goodbye. «Метод с goodbye подошел идеально, так как соединение восстановилось автоматически, но уже с использованием URL моего сокета и отправкой мне xoxs-токена (что эквивалентно получению полного доступа к вашему Slack-аккаунту)», — заявил Розен в комментарии Threatpost. После этого исследователю удалось изменить запрос и получить параметр для локального дампа токена после быстрого соединения с его собственным WebSocket.

По словам Розена, основной проблемой Slack являлось отсутствие верификации источника при использовании postMessage. «Для надежной работы с postMessage необходима проверка источника каждого сообщения, — поясняет эксперт журналистам. — В данном случае, когда я начал разбираться во всем этом, мне стало ясно, что возможности, которые я использовал для отправки сообщений в окно Slack, не должны были быть доступными из какого-либо источника».

Функция postMessage заставляет Slack взаимодействовать с функцией вызова, пока длится этот вызов. В отсутствие валидации источника вредоносная страница исследователя тоже имела возможность взаимодействовать со всплывающим окном вызова. «Так оно и было, пока они это не пропатчили», — говорит Розен.

Эксперт не преминул отметить, что операторы Slack выпустили заплатку очень оперативно; по его словам, по скорости реакции на подобные уведомления этот сервис не уступает другим «ударникам»: Dropbox, Uber, Zenefits. Розен сообщил в компанию о баге, воспользовавшись ее страницей на HackerOne, 17 февраля. ИБ-служба Slack отозвалась спустя 33 минуты, а через пять часов патч был готов. На HackerOne уязвимость была помечена как пропатченная 21 февраля.

Представители Slack на запрос Threatpost о комментарии пока не ответили. Судя по записи на HackerOne, после установки патча ИБ-специалисты компании провели расследование и обнаружили, что этот вектор атаки злоумышленники ни разу не использовали.