Daily Archives: May 21, 2018

CVE-2018-11329

The DrugDealer function of a smart contract implementation for Ether Cartel, an Ethereum game, allows attackers to take over the contract's ownership, aka ceoAnyone. After that, all the digital assets (including Ether balance and tokens) might be manipulated by the attackers, as exploited in the wild in May 2018.

Cryptocurrency Bull Brian Kelly Rallies Behind Bitcoin Cash

Cryptocurrency investor Brian Kelly believes bitcoin cash is an essential buy for digital currency holders in the wake of an important meeting of BCH miners over the weekend. Bitcoin Cash: A Must-Have In a Monday interview with CNBC‘s “Fast Money,” Kelly cited the development of a new bitcoin cash development fund as the principle catalyst […]

The post Cryptocurrency Bull Brian Kelly Rallies Behind Bitcoin Cash appeared first on Hacked: Hacking Finance.

Uma agência de espionagem escondida no coração de Tóquio

Toda semana, em Ichigaya, cerca de 3 km ao leste das luzes ofuscantes do movimentado bairro de Shibuya, em Tóquio, um motorista estaciona tranquilamente seu sedan preto em frente a um edifício comercial cinzento. Antes de seguir viagem até seu destino, a 10 minutos dali, ele pega um passageiro que leva consigo uma bagagem importante: relatórios de espionagem altamente confidenciais, destinados aos assessores mais próximos do primeiro-ministro do Japão.

Conhecido simplesmente como “C1”, o edifício se encontra dentro de um complexo de alta segurança que abriga o Ministério da Defesa do Japão. Mas não se trata de uma instalação militar qualquer, e sim da sede de uma agência de espionagem secreta, o Diretório de Inteligência de Sinais, a versão japonesa da Agência de Segurança Nacional (NSA) americana.

As origens do Diretório remontam aos anos 1950, e sua missão é interceptar comunicações. Mas as operações da agência são tão confidenciais, que o Estado japonês não revela sequer sua localização. A maioria dos funcionários do governo japonês – com exceção de alguns homens de confiança do primeiro-ministro – nada sabe sobre as atividades do Diretório, que são reguladas por um marco legal limitado e não estão sujeitas a nenhum controle externo.

Agora, porém, detalhes do funcionamento da agência vieram a público graças a um trabalho de investigação da rede de rádio e televisão japonesa NHK, em parceria com o The Intercept. Baseada em documentos confidenciais e entrevistas com funcionários e ex-funcionários que conhecem as atividades do Diretório, a reportagem descobriu um programa de vigilância online e um centro de espionagem no sul do Japão usado para monitorar chamadas telefônicas e e-mails transmitidos via satélite.


Vista noturna do edifício C1.

Vista noturna do edifício C1.

Foto: Ryan Gallagher

Segundo ex-servidores e funcionários ainda na ativa, o Diretório de Inteligência de Sinais emprega cerca de 1.700 pessoas e dispõe de pelo menos seis instalações de vigilância, que monitoram ligações, e-mails e outras comunicações 24 horas por dia. A título de comparação, a NSA afirma ter mais de 30 mil servidores, e a agência de inteligência de sinais britânica diz ter apenas 6 mil. As comunicações interceptadas por essas centrais são enviadas para análise aos oito andares e quatro subsolos do edifício C1.

“Pouquíssimas pessoas sabem o que o Diretório faz e têm acesso ao edifício”, afirma um servidor da ativa que conhece as operações da agência. Ele conversou com a NHK sob condição de anonimato, pois não tem autorização para falar com a imprensa. Esse funcionário forneceu informações ao The Intercept e à NHK depois das revelações, no ano passado, de que o Diretório havia adquirido um sistema de vigilância em massa chamado XKEYSCORE, que permite fazer buscas em um gigantesco banco dados de e-mails, chats, históricos de navegação e atividade em redes sociais dos usuários da internet. Segundo o funcionário, o uso do XKEYSCORE pelo Diretório poderia estar desrespeitando a Constituição do Japão, que protege o direito à privacidade dos cidadãos.

Segundo o funcionário, o uso do XKEYSCORE pelo Diretório poderia estar desrespeitando a Constituição do Japão.

O Diretório – conhecido em japonês como Denpa-Bu, que significa “seção de onda eletromagnética” – conta atualmente com 11 departamentos diferentes, cada um com sua especialidade, como Análise da Informação, Segurança Pública e Criptografia. Porém, segundo o funcionário entrevistado, a comunicação entre as distintas repartições é limitada. Cada departamento do edifício C1 tem uma fechadura diferente nas portas, que só podem ser abertas por um seleto grupo de pessoas autorizadas. De acordo com algumas fontes, o Diretório é o braço mais importante da Agência de Inteligência do Japão, que também conta com outras divisões especializadas em outras áreas, como a análise de imagens de satélite.

Atsushi Miyata, funcionário do Diretório e do Ministério da Defesa do Japão de 1987 a 2005, diz que seu trabalho consistia no monitoramento das atividades militares de países vizinhos, como a Coreia do Norte. Mas a forte cultura do sigilo da agência obstruía o compartilhamento dessas informações com outras áreas do governo japonês. “Eles não compartilhavam os dados nem dentro do próprio Ministério da Defesa. Os relatórios não circulavam dentro do Ministério, então ninguém entendia o que estávamos fazendo”, afirma.

Segundo documentos confidenciais revelados pelo The Intercept no ano passado, o Diretório é eficiente quando se trata de vigilância, mas é excessivamente reservado sobre suas atividades. De acordo com um memorando da NSA datado de 2008, a agência japonesa é “compartimentada demais” e “ainda age como se estivéssemos na Guerra Fria”. Apesar disso, os EUA continuam colaborando intensamente com o Japão no monitoramento de comunicações em diversos países asiáticos.

tachiari-04
tachiari-03
tachiari-06
Instalações de monitoramento em Higashi Chitose (no alto, à esquerda/no alto), Tachiarai (no alto, à direita/segunda imagem), Kobunato (embaixo, à esquerda/terceira imagem) e Miho (embaixo, à direita/quarta imagem).

Instalações de monitoramento em Higashi Chitose (no alto, à esquerda/no alto), Tachiarai (no alto, à direita/segunda imagem), Kobunato (embaixo, à esquerda/terceira imagem) e Miho (embaixo, à direita/quarta imagem).

Fonte: Google Maps

Cerca de 1.100 km ao sudoeste de Tóquio, a pequena cidade de Tachiarai tem uma população de 15 mil habitantes. O exército japonês, chamado de “Forças de Autodefesa”, tem uma base nas cercanias do município. Mas o quartel não é um campo de treinamento de soldados, e sim um dos maiores centros de espionagem do Japão.

Escondidas debaixo do que parecem ser bolas de golfe gigantes, as grandes antenas desse complexo de alta segurança são motivo de inquietação há muitos anos para os moradores, preocupados com os possíveis riscos para a saúde e com a interferência em seus televisores das potentes ondas de rádio emitidas pelo equipamento. O governo japonês despachou altos funcionários ao local para tranquilizar os moradores e passou a pagar cerca de 120 mil dólares por ano ao município como compensação. Mas nunca explicou qual era a função das antenas.

“Os relatórios sequer circulavam dentro do Ministério da Defesa, então ninguém entendia o que estávamos fazendo.”

Agora, um documento secreto do Diretório revela informações inéditas sobre algumas das atividades da base de Tachiarai. Essa apresentação de slides em inglês parece ter sido compartilhada com a NSA durante uma reunião em fevereiro de 2013, na qual o então vice-diretor da agência japonesa teria discutido questões de espionagem com seus colegas americanos. A apresentação faz parte de uma série de arquivos confidenciais fornecidos ao The Intercept por Edward Snowden. É a primeira vez que um documento interno do órgão de espionagem japonês vem a público.

Segundo a apresentação, o Japão usa a base de Tachiarai para um programa de monitoramento da internet batizado de MALLARD. Até 2012, suas antenas monitoravam comunicações via satélite, coletando semanalmente os registros de 200 mil conexões à internet, que em seguida eram armazenados e analisados durante dois meses. Em algum momento entre dezembro de 2012 e janeiro de 2013, Tachiarai passou a usar essas tecnologias de vigilância para coletar informações sobre possíveis ciberataques. Consequentemente, o volume de dados obtido aumentou rapidamente, chegando a 500 mil conexões à internet por hora – 12 milhões por dia. Apesar disso, o Diretório revelou ter identificado apenas um e-mail relacionado a um suposto ciberataque. Em vista das dificuldades para processar toda a informação coletada, os japoneses pediram ajuda à NSA. “Gostaríamos de conhecer os métodos de processamento empregados pelos EUA para melhorar a coleta de inteligência de sinais”, pediu o Diretório aos americanos.

Chris Augustine, porta-voz da NSA, recusou-se a responder às perguntas da reportagem sobre a cooperação da agência com o Japão. Em um comunicado, ele diz “não confirmar nem negar quaisquer informações sobre possíveis parcerias com serviços de inteligência estrangeiros. Toda cooperação entre agências de inteligência acontece dentro da lei e de maneira a fortalecer mutuamente a segurança nacional das partes envolvidas”.

As operações do Diretório em Tachiarai parecem se concentrar no monitoramento das atividades de outros países da região. Não se sabe se a agência intercepta comunicações de cidadãos japoneses – deliberada ou acidentalmente – por meio de programas de vigilância em massa como o MALLARD. A lei japonesa proíbe grampos em linhas fixas sem mandado judicial, mas, segundo especialistas jurídicos do país, a ilegalidade do monitoramento de comunicações transmitidas via satélite é incerta, pois não há precedentes no país para restringir esse tipo de vigilância.

Segundo Richard Tanter, um professor da Universidade de Melbourne que pesquisa o monitoramento de comunicações por parte do Estado, mais de 200 satélites estão “no campo de visão” de Tachiarai, o que significa que a base pode interceptar todos os dados que passam por eles. Desses mais de 200 satélites, de acordo com Tanter, pelo menos 30 são chineses, e, por conta disso, alvos em potencial do Diretório. Além disso, segundo o professor, “satélites pertencentes ou operados por Rússia, Coreia do Sul, Taiwan e até os de países europeus ou dos Estados Unidos podem ser monitorados [por Tachiarai]”.

Snowden, que trabalhou para a NSA em uma base militar americana no Japão como prestador de serviços de 2009 a 2012, disse ao The Intercept que espiões japoneses pareciam estar monitorando “os próprios provedores de internet, e não só consumidores individuais”. Em referência ao programa MALLARD, ele diz: “Não acontecem 500 mil trocas de mensagens por ano entre terroristas, e muito menos em uma hora. (…) Será que isso é contemplado pela lei e regulamentado, para que apenas os criminosos sejam monitorados, e não todo mundo que passa pelo sistema?”

Um porta-voz do Ministério da Defesa do Japão se recusou a falar sobre o MALLARD, mas afirmou que as “atividades de coleta de informação” do país são necessárias do ponto de vista da segurança nacional e “feitas de acordo com as leis e regulamentos”. O porta-voz também reconheceu que o Japão “tem escritórios por todo o país” dedicados à interceptação de comunicações. Contudo, ele ressaltou que o monitoramento é direcionado a atividades militares e “ameaças cibernéticas”, e que “não há coleta de informações de pessoas comuns”. Quando perguntado sobre como os espiões japoneses podem distinguir o que é uma ameaça do que é uma “pessoa comum”, o porta-voz se negou a dar mais detalhes, alegando que isso “prejudicaria atividades de inteligência futuras”.


Uma mulher trabalha com seu laptop no andar panorâmico da torre Tokyo Skytree, no dia 29 de março de 2018, em Tóquio, no Japão.

Uma mulher trabalha com seu laptop no andar panorâmico da torre Tokyo Skytree, no dia 29 de março de 2018, em Tóquio, no Japão.

Foto: Carl Court/Getty Images

Em outubro de 2013, o Diretório de Inteligência de Sinais planejava lançar uma operação voltada para o que a apresentação de slides vazada por Snowden chamava de “internet anônima”. Isso parece indicar que o Diretório queria coletar dados sobre o uso de ferramentas de proteção de privacidade como o Tor, um navegador que proporciona anonimato ao usuário na internet. O Tor costuma ser usado por jornalistas e dissidentes para fugir à vigilância do Estado, mas pedófilos e outros criminosos também se aproveitam do programa para cometer atos ilegais. Em abril de 2013, veio a público a informação de que a polícia japonesa estava pressionando provedores de internet a encontrar uma forma de bloquear quem usasse o Tor para cometer crimes. Em 2012, por causa do Tor, a polícia levou sete meses para localizar um hacker conhecido como “Demon Killer”, que havia postado uma série de ameaças de morte na internet. O episódio gerou constrangimento para a polícia japonesa, e deve ter contribuído para aumentar a demanda por novos recursos de vigilância.

Snowden disse ao The Intercept que espiões japoneses pareciam estar monitorando “os próprios provedores de internet, e não só consumidores individuais”.

As atividades do Diretório em lugares como Tachiarai contam com o apoio de uma organização chamada J6, uma unidade de especialistas em tecnologia ligada ao Ministério da Defesa do Japão, segundo fontes próximas à agência de espionagem. Entretanto, a cooperação entre o Diretório e o J6 é prejudicada pela preocupação exagerada com o sigilo que impera no governo japonês, com diversos órgãos relutantes em compartilhar recursos e informações entre si. Na apresentação de slides vazada por Snowden, os funcionários do Diretório, ao explicar o papel da J6 para a NSA, admitem que se basearam em “suposições”, pois “a função da J6 não nos foi revelada”.

Ainda segundo a apresentação, o objetivo do Diretório é coletar e analisar informações. Já a função da J6 inclui a análise de malwares e o desenvolvimento de mecanismos de proteção – como firewalls – para evitar que os sistemas japoneses sejam hackeados. Um terceiro organismo, chamado de Serviço de Análise e Inteligência – ou Naicho, em japonês – é o destino final de todas as informações coletadas. Chefiado pelo poderoso Shigeru Kitamura, o órgão supervisiona o trabalho do Diretório e da J6 e está diretamente subordinado ao gabinete do primeiro-ministro. Sua sede é um edifício chamado H20, localizado nas proximidades da residência oficial do primeiro-ministro japonês, no bairro residencial de Chiyoda, em Tóquio.

Entre 2000 e 2005, antes da criação do programa MALLARD, a base de Tachiarai passou por reformas. Na época, o então presidente do conselho municipal da cidade, Hitoshi Miyahara, teve acesso a uma planta das obras planejadas, que incluía um túnel sob o complexo militar. Miyahara recebeu autorização para visitar o canteiro de obras, mas, segundo ele próprio, não pôde entrar na área subterrânea. O atual presidente do conselho, Tsutomu Yano, teve uma experiência parecida cerca de quatro anos atrás. Durante uma visita à base, ele pôde ver uma quadra esportiva, uma cafeteria e um auditório, mas foi impedido de entrar no túnel subterrâneo e em um espaço que, segundo lhe disseram, era reservado para “comunicações”. Yano diz ter questionado várias vezes as Forças de Autodefesa sobre a função da base de Tachiarai, mas nunca obteve respostas.

 

Documentos relacionados a esta matéria:

Foto principal: As grandes antenas das instalações de vigilância do complexo de alta segurança de Tachiara.

Tradução: Bernardo Tonasse

The post Uma agência de espionagem escondida no coração de Tóquio appeared first on The Intercept.

Elas se consideram negras, mas foram classificadas como brancas e perderam emprego de diplomata

A mãe e a avó de uma são quilombolas. A outra foi militante do movimento negro e ajudou a criar o sistema de cotas na Universidade de Brasília. Ambas se consideram negras e foram aprovadas na última edição de uma das provas mais disputadas do país: o concurso para diplomata do Instituto Rio Branco, a escola de formação do Ministério das Relações Exteriores, realizado entre e junho e dezembro de 2017. Estavam prestes a ser nomeadas. Mas uma disputa judicial levou o Itamaraty a desmontar a comissão que avalia quem pode concorrer às vagas destinadas a cotistas negros. Em 2018, o novo comitê mudou a interpretação sobre a cor da pele das candidatas: elas foram consideradas brancas e perderam suas vagas.

A carreira de diplomata tem salários iniciais de R$ 17 mil, passando dos R$ 27 mil durante a carreira costumeiramente internacional. Nesses casos, a remuneração é em dólar e todos contam com um auxílio-moradia compatível com a localidade. Uma lei obriga o Itamaraty – e todos os órgão públicos – a destinar 20% das vagas para negros e pardos de 2014 até 2024, e uma comissão tem a missão de avaliar quem pode ou não entrar na cota.

Uma das candidatas ao cargo era Rebeca Silva Melo, uma economista de 25 anos. Filha e neta de quilombolas kalungas do interior de Goiás, ela foi considerada negra em três exames promovidos pelo Instituto Rio Branco no passado. Em 2015, foi aprovada para uma bolsa para negros dada pelo próprio Itamaraty e ganhou R$ 25 mil para estudar para o teste, com a obrigação de fazê-lo no ano seguinte. Em 2016, prestou o concurso como negra, mas não foi aprovada. Quando foi tentar de novo no ano seguinte, a comissão que avalia o candidatos a vagas pelo sistema de cotas vetou o seu pedido. Rebeca não era negra para a Comissão de Verificação, órgão responsável pela análise da cor de pele dos candidatos. Ela diz que sempre foi reconhecida como negra e, inclusive por isso, passou a infância ouvindo frases racistas até dentro da família. “Diziam: ‘Você tem um pé na senzala, mas mesmo assim é bonita’.”

Verônica Couto Tavares, publicitária de 34 anos, também concorreu à vaga de diplomata em 2017. Ela militou em favor das cotas para negros no início dos anos 2000, quando isso nem existia nos vestibulares. Em 2016, concorreu a uma vaga no Itamaraty como cotista negra, mas não passou. No ano seguinte, fez mais uma tentativa. Mas sofreu o mesmo revés que Rebeca e não conseguiu vaga no concurso pelas cotas.

As duas e outros 14 candidatos recorreram da decisão da Comissão de Verificação. Na segunda instância do sistema de cotas do Itamaraty, oito deles foram reconhecidos como negros e entraram no concurso. Com o sinal verde, Verônica e Rebeca passaram na prova e se preparavam para assumir o charmoso cargo de diplomata.

Reviravolta

A Educafro, ONG que atua para promover a inclusão de negros nas universidades e órgãos públicos, não gostou do resultado do concurso. De acordo com seu diretor-executivo, Frei David Santos, houve “fraude” na distribuição de vagas para cotistas, assim como vem acontecendo em outros editais de salários mais altos. A legislação diz que todos os negros – pardos e pretos – têm direito a cotas. Mas a Educafro entende que existem “pardos pretos”, “pardos pardos” (sic) e “pardos claros” – e que esses últimos não deveriam ter acesso ao benefício. O próprio Santos se considerava branco até os 23 anos de idade. Depois, passou a se declarar como “pardo claro” e, hoje, aos 65 anos, se intitula “pardo pardo”.

Por isso, a ONG levou a questão ao Ministério Público Federal, contestando a decisão da Comissão de Revisão de Recursos do Itamaraty que incluiu Rebeca, Verônica e outras seis pessoas no concurso como cotistas. A Educafro reclamou da composição da comissão.

Esse comitê revisor tinha três pessoas e era presidido pelo embaixador Benedicto Filho. Primeiro negro diplomata no Brasil, ele foi orientador de beneficiários do Programa de Ação Afirmativa do Rio Branco; premiado com o Troféu Raça Negra da Associação Afro-Brasileira de Desenvolvimento Sociocultural; e colaborador da política que resultou na criação do sistema de cotas para negros dentro do MRE. A ligação de Benedicto com o Itamaraty é de família: ele é filho de um ex-porteiro e ex-contínuo do órgão.

O outro integrante era o embaixador Silvio Albuquerque, membro do Comitê das ONU para Eliminação da Discriminação Racial; autor dos livros “Combate ao Racismo” e “As Nações Unidas e a Luta contra o Racismo”; ex-chefe da Divisão de Temas Sociais do Itamaraty; e ex-diretor do Departamento de Defesa dos Direitos Humanos da Secretaria dos Direitos Humanos da Presidência da República. A terceira integrante da comissão era a conselheira Vanessa Dolce de Faria, chefe da Divisão da África Austral e Lusófona do Itamaraty e autora do livro “Política Externa e Participação Social”.

Para o diretor-executivo da Educafro, a composição do comitê e a trajetória pessoal e profissional dos integrantes não eram adequadas para a tarefa, mesmo com a militância do grupo contra o racismo. “Não é a sabedoria adquirida na academia ocidental européia que vai dar a essas pessoas capacidade para mexer com algo tão sensível”, disse David Santos.

O Ministério Público concordou com as alegações da Educafro e entrou com uma ação contra a Comissão de Revisão de Recursos. Em dezembro, o juiz Ed Lira Real, da 22ª Vara Federal de Brasília, suspendeu o andamento do concurso. Para o juiz, a composição e qualificação dos membros da segunda comissão não eram transparentes.

O próprio Itamaraty recorreu, mas, em fevereiro, o Tribunal Regional Federal da 1ª Região manteve a suspensão do concurso. Com uma novidade: o Itamaraty poderia prosseguir com a seleção, desde que substituísse a Comissão de Revisão de Recursos, utilizando os mesmos critérios de composição da comissão de primeira instância – cinco membros do Itamaraty e três de outros órgãos.

O Itamaraty criou um novo grupo, destinado exclusivamente a analisar os casos dos candidatos que disputaram o concurso como cotistas – entre eles, Rebeca e Verônica. Em 9 de março, eles foram chamados para uma entrevista, e a nova comissão decidiu que elas “não apresentam fenótipo visível de pessoa negra”. Com a interpretação, elas foram excluídas do concurso – no qual já haviam sido aprovadas. “É totalmente irônico”, disse Verônica. “Tudo pelo que a gente batalhou está sendo usado contra a gente.”

Um terceiro cotista, Filipe Mesquita, que não foi aprovado, mas que estava na fila de espera por uma vaga, também foi eliminado depois da mudança na comissão que avalia quem é negro.

Tabela racial

Para o embaixador Benedicto Filho, que presidiu a comissão criticada pela ONG, existe uma discussão “ideológica” contra os chamados pardos claros. Ele é contra qualquer tipo de “tabela racial”. E ressalta que a lei determina que todos os negros, até os mais claros, têm direito às cotas. “Tudo isso, a gente abstraiu. Na comissão, a gente aplicou a legislação”, contou. “A lei não diferencia. A decisão do legislativo foi ampliar [o benefício de cotas raciais] para pretos e pardos. Usamos o critério do fenótipo.”

Em última instância, quem deveria decidir quem é negro ou não é o próprio candidato.

A lei 12.990/14 diz que os candidatos beneficiados com cotas em concursos deverão se declarar apenas como “pretos ou pardos”, conforme denominação do Instituto Brasileiro de Geografia e Estatística. Já a Orientação Normativa 3/2016 e a Portaria 4/18 do Ministério do Planejamento, criada após o concurso do Rio Branco, dizem que a avaliação das comissões deve considerar “tão somente” e “exclusivamente” os “aspectos fenotípicos do candidato” – ou seja, somente a aparência física. A nova regra ainda diz que a autodeclaração deve se sobrepor à análise do fenótipo quando houver “dúvida razoável” dentro da banca que define quem é negro e quem é branco. Isto é, em última instância, quem deveria decidir quem é negro ou não é o próprio candidato.

O embaixador Benedicto admite que os oito casos analisados pela sua comissão eram polêmicos. “Eram casos limites, não eram evidentes, mas eram pessoas que tinham ascendência negra, mas não por ter pai e mãe. Você via na aparência que tinham [traços de negro]”, disse Benedicto.

Renegrescimento

Antes “negras” e agora “brancas”, Verônica e Rebeca podem voltar à condição de negras enquanto aguardam uma audiência no processo na 22ª Vara Federal de Brasília, o que não tem data para acontecer. Elas dizem que vão continuar se inscrevendo como negras para o Rio Branco em concursos futuros. De acordo com o diretor da Educafro, Rebeca, Verônica e vários outros candidatos em situação parecida têm chances de serem, “infelizmente”, admitidos como cotistas em concursos futuros no Itamaraty ou em outros órgãos públicos.

Frei David diz que ele próprio poderia ser eliminado em alguns processos seletivos e em outros não. “Eu sou ‘pardo pardo’ e, em vários lugares, eu sou tirado do processo e louvo a Deus, porque quem me tirou é porque quer ver um Brasil verdadeiramente inclusivo.”

The Intercept Brasil enviou perguntas ao Itamaraty e solicitou esclarecimentos via Lei de Acesso à Informação em 8 de maio. A assessoria de imprensa do órgão disse que não responderia às questões por causa do pedido feito pela via legal e se negou a apresentar essa justificativa de silêncio por escrito.

Foto em destaque: Na reta final do concurso, Rebeca e Verônica passaram a ser consideradas brancas pelo Rio Branco. (Foto: Eduardo Militão/The Intercept Brasil)

The post Elas se consideram negras, mas foram classificadas como brancas e perderam emprego de diplomata appeared first on The Intercept.

German Test Reveals That Magnetic Fields Are Pushing the EM Drive

"Researchers in Germany have performed an independent, controlled test of the infamous EM Drive with an unprecedented level of precision," writes PvtVoid. "The result? The thrust is coming from interactions with the Earth's magnetic field." From the report: Instead of getting ahold of someone else's EM drive, or Mach-effect device, the researchers created their own, along with the driving electronics. The researchers used precision machining and polishing to obtain a microwave cavity that was much better than those previously published. If anything was going to work, this would be the one. The researchers built up a very nice driving circuit that was capable of supplying 50W of power to the cavity. However, the amplifier mountings still needed to be worked on. So, to keep thermal management problems under control, they limited themselves to a couple of Watts in the current tests. The researchers also inserted an enormous attenuator. This meant that they could, without physically changing the setup, switch on all the electronics and have the amplifiers working at full noise, and all the power would either go to the EM drive or be absorbed in the attenuator. That gives them much more freedom to determine if the thrust was coming from the drive or not. Even with a power of just a couple of Watts, the EM-drive generates thrust in the expected direction (e.g., the torsion bar twists in the right direction). If you reverse the direction of the thruster, the balance swings back the other way: the thrust is reversed. Unfortunately, the EM drive also generates the thrust when the thruster is directed so that it cannot produce a torque on the balance (e.g., the null test also produces thrust). And likewise, that "thrust" reverses when you reverse the direction of the thruster. The best part is that the results are the same when the attenuator is put into the circuit. In this case, there is basically no radiation in the microwave cavity, yet the WTF-thruster thrusts on. So, where does the force come from? The Earth's magnetic field, most likely. The cables that carry the current to the microwave amplifier run along the arm of the torsion bar. Although the cable is shielded, it is not perfect (because the researchers did not have enough mu metal). The current in the cable experiences a force due to the Earth's magnetic field that is precisely perpendicular to the torsion bar. And, depending on the orientation of the thruster, the direction of the current will reverse and the force will reverse. The researchers' conclude by saying: "At least, SpaceDrive [the name of the test setup] is an excellent educational project by developing highly demanding test setups, evaluating theoretical models and possible experimental errors. It's a great learning experience with the possibility to find something that can drive space exploration into its next generation."

Read more of this story at Slashdot.

Sr. Cyber Engineer I – IT Job Pro

itjobpro.com - 114886BR Job Description: Raytheon IIS/GIS provides Operations and Maintenance support for the Intelligence Community Raytheon Intelligence and Information Systems (IIS) is seeking a highly motivated…


Tweeted by @Hire_Colorado https://twitter.com/Hire_Colorado/status/998763885606785024

The State of Security: Preventing ‘Unexpected Change Syndrome’ with Change Management

According to the Mayo Clinic, plaque in your arteries and inflammation are usually to blame for coronary artery disease. Left unchecked, plaque buildup narrows arteries, decreasing blood flow to your heart and eventually causing chest pain (angina) and other symptoms. Because this develops over decades, you might not notice a problem until you have a […]… Read More

The post Preventing ‘Unexpected Change Syndrome’ with Change Management appeared first on The State of Security.



The State of Security

Preventing ‘Unexpected Change Syndrome’ with Change Management

According to the Mayo Clinic, plaque in your arteries and inflammation are usually to blame for coronary artery disease. Left unchecked, plaque buildup narrows arteries, decreasing blood flow to your heart and eventually causing chest pain (angina) and other symptoms. Because this develops over decades, you might not notice a problem until you have a […]… Read More

The post Preventing ‘Unexpected Change Syndrome’ with Change Management appeared first on The State of Security.

Women in Information Security: Veronica Schmitt

Last time, I got to speak with Leila Powell. She went from astrophysics to an exciting career as a security data scientist. This time, I have the pleasure of speaking with Veronica Schmitt of DFIRLABS, otherwise known as @M4lw4r3z_G1rl. She enjoys reverse engineering code, and she considers herself to be a cyborg! Kim Crawley: Please […]… Read More

The post Women in Information Security: Veronica Schmitt appeared first on The State of Security.

The Toughest (And Weakest) Phones Currently On the Market

New submitter Daneel Olivaw R. shares a report from Tom's Guide: To measure each phone's toughness, [Tom's Guide] dropped it from both 4 and 6 feet onto wood and concrete. After each test, we recorded the damage to the phone. If a phone was rendered unusable -- the screen totally shattered, for instance -- then we stopped dropping it. [More details on the testing process can be found here.] Each drop was worth a maximum of 5 points; if a phone made it through all of the rounds unscathed, it would earn 35 points. The more severe the damage per drop was, the more points were deducted. If a phone was rendered unusable after a given drop, it would earn no points, and would not undergo any subsequent test. In total, there were seven tests. [...] If a phone died in the 6-foot edge drop, it was penalized an extra 10 percent. If it died in the 6-foot face drop, it was penalized 5 percent. And if it died when dropped into the toilet, it lost 2.5 percent. We then divided the total score by 3.5, to put it on a 10-point scale. Here are the scores of each device: Motorola Moto Z2 Force - Toughness score: 8.5/10 LG X Venture - Toughness score: 6.6/10 Apple iPhone X - Toughness score: 6.2/10 LG V30 - Toughness score: 6/10 Samsung Galaxy S9 - Toughness score: 6/10 Motorola Moto G5 Plus - Toughness score: 5.1/10 Apple iPhone 8 - Toughness score: 4.9/10 Samsung Galaxy Note 8 - Toughness score: 4.3/10 OnePlus 5T - Toughness score: 4.3/10 Huawei Mate 10 Pro - Toughness score: 4.3/10 Google Pixel 2 XL - Toughness score: 4.3/10 iPhone SE - Toughness score: 3.9/10

Read more of this story at Slashdot.

CVE-2018-11344

A path traversal vulnerability in download.cgi in ASUSTOR AS6202T ADM 3.1.0.RFQ3 allows attackers to arbitrarily specify a file on the system to download via the file1 parameter.

CVE-2018-11342

A path traversal vulnerability in fileExplorer.cgi in ASUSTOR AS6202T ADM 3.1.0.RFQ3 allows attackers to arbitrarily specify a path to a file on the system to create folders via the dest_folder parameter.

CVE-2018-11340

An unrestricted file upload vulnerability in importuser.cgi in ASUSTOR AS6202T ADM 3.1.0.RFQ3 allows attackers to upload supplied data to a specified filename. This can be used to place attacker controlled code on the file system that is then executed.

CVE-2018-11346

An insecure direct object reference vulnerability in download.cgi in ASUSTOR AS6202T ADM 3.1.0.RFQ3 allows the ability to reference the "download_sys_settings" action and then specify files arbitrarily throughout the system via the act parameter.

CVE-2018-11345

An unrestricted file upload vulnerability in upload.cgi in ASUSTOR AS6202T ADM 3.1.0.RFQ3 allows attackers to upload supplied data via the POST parameter filename. This can be used to place attacker controlled code on the file system that can then be executed. Further, the filename parameter is vulnerable to path traversal and allows the attacker to place the file anywhere on the system.

CVE-2018-11343

A persistent cross site scripting vulnerability in playlistmanger.cgi in the ASUSTOR SoundsGood application allows attackers to store cross site scripting payloads via the 'playlist' POST parameter.

Boeing’s Folding Wingtips Get the FAA Green Light

Boeing received FAA approval today for its folding wingtips, which will let the planes stop at airport gates big enough to accommodate typical 777 models. "Once the 777X lands, the wingtips will rotate until they point upwards," reports Engadget. "Bloomberg notes that the plane will be the only commercial model in widespread use to have such a feature." From the report: The 777X's wingtips are so novel that U.S. regulators had to draw up new standards for them. The agency was concerned that the wingtips could cause safety issues -- some plane crashes occurred after pilots did not secure flaps on wings before takeoff. The FAA required Boeing to have several warning systems to make sure pilots won't attempt a takeoff before the wingtips are locked in the correct position. The FAA also wanted assurances that there was no way the tips would rotate during flight, and that the wings could handle winds of up to 75 miles per hour while on the ground. The new wings are made from carbon-fiber composites that are stronger and lighter than the metal Boeing uses in other wings. That lets the company increase the wings' width by 23 feet to 235 feet, which makes flying more efficient. These are the widest wings Boeing has attached to a plane, surpassing the 747-8's 224 feet. However, it doesn't hold the record for a commercial plane: the Airbus A380 has a 262-foot-wide wing, which forced some airports to install gates specifically to accommodate it.

Read more of this story at Slashdot.

Trade Recommendation: EURJPY

This trade recommendation is setting up quickly and requires prompt attention The Euro Japanese Yen cross has a good setup to go long on a breakout above the swing high on the Hourly chart. We are sitting just across the ‘A’ up line which signals a long position. The 6 Day Rolling Pivot Range (RPR) […]

The post Trade Recommendation: EURJPY appeared first on Hacked: Hacking Finance.

Google and Microsoft Disclose New CPU Flaw, and the Fix Can Slow Machines Down

An anonymous reader quotes a report from The Verge: Microsoft and Google are jointly disclosing a new CPU security vulnerability that's similar to the Meltdown and Spectre flaws that were revealed earlier this year. Labelled Speculative Store Bypass (variant 4), the latest vulnerability is a similar exploit to Spectre and exploits speculative execution that modern CPUs use. Browsers like Safari, Edge, and Chrome were all patched for Meltdown earlier this year, and Intel says "these mitigations are also applicable to variant 4 and available for consumers to use today." However, unlike Meltdown (and more similar to Spectre) this new vulnerability will also include firmware updates for CPUs that could affect performance. Intel has already delivered microcode updates for Speculative Store Bypass in beta form to OEMs, and the company expects them to be more broadly available in the coming weeks. The firmware updates will set the Speculative Store Bypass protection to off-by-default, ensuring that most people won't see negative performance impacts. "If enabled, we've observed a performance impact of approximately 2-8 percent based on overall scores for benchmarks like SYSmark 2014 SE and SPEC integer rate on client 1 and server 2 test systems," explains Leslie Culbertson, Intel's security chief. As a result, end users (and particularly system administrators) will have to pick between security or optimal performance. The choice, like previous variants of Spectre, will come down to individual systems and servers, and the fact that this new variant appears to be less of a risk than the CPU flaws that were discovered earlier this year.

Read more of this story at Slashdot.

Blogger Manuel Delia Accuses Maltese Government Of His Websites Cyber Attack

Blogger Manuel Delia’s website was made a target of a DDoS (Distributed Denial of Service) attack, which in simple terms

Blogger Manuel Delia Accuses Maltese Government Of His Websites Cyber Attack on Latest Hacking News.

Procrastinators’ Guide to GDPR Compliance

Organizations Are Not as Ready as They Might Believe
If you're paying attention, you've probably already seen a handful of GDPR-related headlines just today, let alone in the last week or month. But there are two good reasons for the deluge of GDPR discussion right now: It's incredibly important and the time to act is now.

US Treasury Secretary Calls For Google Monopoly Probe

After a 60 Minutes episode that focused on Google and its effective search monopoly, U.S. Treasury Secretary Steve Mnuchin called for large tech companies to be investigated for potential antitrust violations. Asked whether Google was abusing its market dominance as a monopoly, Mnuchin told CNBC on Monday "these are issues that the Justice Department needs to look at seriously," and argued that it was important to "look at the power they have" noting that companies like Google "have a greater and greater impact on the economy." The Register reports: Mnuchin's willingness to directly criticize Google and other tech companies and argue that they should be under investigation is just the latest sign that Washington DC is serious about digging in the market power of Big Internet. It is notable that it was 20 years ago, almost to the day, that America finally dealt with another tech antitrust problem when the Justice Department and 20 state attorneys general filed suit -- on May 18, 1998 -- against what was then the most powerful tech company in the country: Microsoft.

Read more of this story at Slashdot.

CVE-2017-2607

jenkins before versions 2.44, 2.32.2 is vulnerable to a persisted cross-site scripting vulnerability in console notes (SECURITY-382). Jenkins allows plugins to annotate build logs, adding new content or changing the presentation of existing content while the build is running. Malicious Jenkins users, or users with SCM access, could configure jobs or modify build scripts such that they print serialized console notes that perform cross-site scripting attacks on Jenkins users viewing the build logs.

Tragedy-Related Scams

Original release date: May 21, 2018

In the wake of the recent Texas school shooting, NCCIC advises users to watch out for possible malicious cyber activity seeking to capitalize on this tragic event. Users should exercise caution in handling emails related to the shooting, even if they appear to originate from trusted sources. Fraudulent emails often contain links or attachments that direct users to phishing or malware-infected websites. Emails requesting donations from duplicitous charitable organizations are also common after tragic events. Be wary of fraudulent social media pleas, calls, texts, donation websites, and door-to-door solicitations relating to the event.

To avoid becoming a victim of fraudulent activity, NCCIC encourages users and administrators to review NCCIC's Tips on Using Caution With Email Attachments and Avoiding Social Engineering and Phishing Attacks as well as the Federal Trade Commission's article on Before Giving to a Charity.


This product is provided subject to this Notification and this Privacy & Use policy.


RedHat: RHSA-2018-1660:01 Important: qemu-kvm security update

LinuxSecurity.com: An update for qemu-kvm is now available for Red Hat Enterprise Linux 6. Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability

RedHat: RHSA-2018-1630:01 Important: kernel-rt security update

LinuxSecurity.com: An update for kernel-rt is now available for Red Hat Enterprise Linux 7. Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability

Yale Economist Robert Shiller Has Little Faith in Cryptocurrencies

Yale economist Robert Shiller warns that for all their innovation, the new money that is cryptocurrencies is an experiment that in the end may fall short. According to Shiller in a blog post posted today, computer programmers are the only ones who get cryptocurrencies enough to explain them, which he suggests “creates an aura of […]

The post Yale Economist Robert Shiller Has Little Faith in Cryptocurrencies appeared first on Hacked: Hacking Finance.

FCC is Hurting Consumers To Help Corporations, Mignon Clyburn Says On Exit

Former Commissioner Mignon Clyburn, who left the agency this month, has taken aim at it in an interview, saying the agency has abandoned its mission to safeguard consumers and protect their privacy and speech. From her interview with ArsTechnica: "I'm an old Trekkie," Clyburn told Ars in a phone interview, while comparing the FCC's responsibility to the Star Trek fictional universe's Prime Directive. "I go back to my core, my prime directive of putting consumers first." If the FCC doesn't do all it can to bring affordable communications services to everyone in the US, "our mission will not be realized," she said. The FCC's top priority, as set out by the Communications Act, is to make sure all Americans have "affordable, efficient, and effective" access to communications services, Clyburn said. But too often, the FCC's Republican majority led by Chairman Ajit Pai is prioritizing the desires of corporations over consumers, Clyburn said. "I don't believe it's accidental that we are called regulators," she said. "Some people at the federal level try to shy away from that title. I embrace it." Clyburn said that deregulation isn't bad in markets with robust competition, because competition itself can protect consumers. But "that is just not the case" in broadband, she said. "Let's just face it, [Internet service providers] are last-mile monopolies," she told Ars. "In an ideal world, we wouldn't need regulation. We don't live in an ideal world, all markets are not competitive, and when that is the case, that is why agencies like the FCC were constructed. We are here as a substitute for competition." Broadband regulators should strike a balance that protects consumers and promotes investment from large and small companies, she said. "If you don't regulate appropriately, things go too far one way or the other, and we either have prices that are too high or an insufficient amount of resources or applications or services to meet the needs of Americans," Clyburn said.

Read more of this story at Slashdot.

Technical Analysis: Dow Jones Moves Toward Intermediate-Term Target, Closes above 25,000

Technical Overview On May 8, the Dow Jones Industrial Average was on the verge of completing a 2-month bottoming pattern. On May 9, the index gave the buy signal with a minimum price target of 26,200 (1,300 points from the point of the breakout – white vertical trendline in Figure 1). Last week’s advance fell […]

The post Technical Analysis: Dow Jones Moves Toward Intermediate-Term Target, Closes above 25,000 appeared first on Hacked: Hacking Finance.

It’s a Zoo Out There! Data Analysis of Alleged ZooPark Dump

In early May, researchers disclosed a Mobile malware campaign by a group focused on Middle Eastern targets. This actor was found to be an evolving and sophisticated group using fake Android apps, namely Telegram, to trick users into installing malicious software. They have been active since 2015 and evolved over several campaigns into 2018. On May 14, a Reddit post linked to LamePT, claiming to have leaked their infrastructure including a database containing victim information.

Figure 1 – Screenshot of the site hosting the leaked data

The current leaked assets include:

  • MYSQL database
  • Audio recordings
  • The old C2 server and assets
  • AppData folder (presumably of the C2 server)
  • Current C2 server and control panel

Further leaked documents are behind a paywall payable to a fresh bitcoin address. The first payment was made on May 13th, 2018 leaving a balance of $1,110.87. It’s difficult to verify if someone paid to have the first dataset released or the actor paid themselves to appear more authentic. With that said, the authenticity of the data is still in question as we have some significant doubts on at least a portion of the data. For example, the following SMS caught our attention:

“Wife.how she knew the time of murder exactly”.

This text can be found in an SMS spam dataset used for training spam engines. Many other English based SMS messages can also be found here. “will be office around 4 pm. Now I am going hospital” is another example. Universities tend to use these datasets to teach computer science concepts. In this case, the concept is likely related to machine learning techniques for categorizing messages into spam. One university came up often when searching for these messages based on its Computer Science I: Fundamentals homework postings. Other messages could be found in cached websites.

“Credit shuma ka mast jahat ezdiad credit ba hesab tan shumarai 222 ra dair namoda w aba taqeeb aan code 14 raqami ra dakhel nomaed .”

This translates to “Credit card is not available for sale at 222 days or less than 142 days.” and found cached in a language translation site. This particular phrase was being translated from Turkish to Urdu. Not all of the messages were found publicly online. Most of the messages were in Middle Eastern languages presenting its own challenges. Other sources were found such as Facebook posts; however, sources for the vast majority of the SMS message have not yet been located. For these reasons, we remain skeptical of the authenticity of the data.

Figure 2 – Facebook post with the same text as an SMS message

Other data such as the recordings do not appear to be publicly available. After sampling 100 of these files we’ve found them to sound like authentic recordings. The majority are in 7 minute 59 second .3gpp files. Most appear to be ambient conversations and daily activities and not phone calls as was expected. Searching for public audio is difficult but we can verify that the hashes of the 100 are not publicly indexed by major search engines nor are the file names themselves.

Until we know for certain whether the data is authentic we cannot grantee that this data dump represents ZooPark and its capabilities but we can look at what they could be up to. After reviewing the leaked MySQL database we’ve learned much about the ZooPark’s potential operations.

Tables Included:

  • Appinfotracking
  • Audiotracking
  • Calltracking
  • Emailtracking
  • geolog
  • gpslocation
  • phonebookaccess
  • phototracking
  • recordcall
  • registration
  • sales_user_info
  • settings
  • smstracking
  • urltracking

From the table names alone, we can infer a lot of the access ZooPark had to user devices and the data they were after. Call tracing, phonebook access, and SMS tracking are unfortunately very common to collect amongst malicious app developers. However, audio tracking caught our attention. While we are still analyzing the dataset, the database records indicate over 102,571 recordings have been uploaded to their C2 server between 2015 and 2018. The dump contains approximately 3,887 of these, jeopardizing private and potentially highly sensitive conversations. Our sampling of these files indicate that the audio was recorded in roughly 8-minute blocks. Most, but not all audio files took place with time gaps between them. There was at least one group conversation that continued on for at least 3 recorded blocks. A surprisingly low number of phone numbers generated these recordings. Only eight phone numbers are part of the recording available through this data dump.

Other conversations were also captured such as SMS texts although portions of these have been found publicly in open datasets. Conceivably, these could have been generated by researchers investigating the malicious Android apps but it’s more likely they were generated by the data leaker to sell the dump. The SMS texts contain much of what you expect such as general chat, and advertisements. However, it’s also riddled with embarrassing or explicit texts which could be used against the users should they prove legitimate. Additionally, we’ve found cleartext two-factor authentication messages from major services such as Google and LinkedIn, and popular chat apps such as Telegram. ZooPark could have used these to gain access to additional services unbeknownst to the victims. After attempting and failing to rebuild several English based conversations we have little confidence that the entire data set came from ZooPark. However, It does exemplify the real danger of sensitive conversations being collected by Zoopark and available for their operations.

Another surprising find is in the Appinfotracking table, where there are 1541 unique apps listed, indicating a very large campaign. Here are a few notable ones:

  • Youtube
  • Wikipedia
  • WhatsApp
  • WinZip
  • Weather
  • VLC
  • Twitter
  • Telegram
  • TrueCaller
  • Tango
  • Pinterest
  • ICQ
  • Flashlight
  • Facebook
  • DUO
  • Dropbox
  • Crunchyroll

There were relatively few games listed compared to other social and utility apps, perhaps suggesting a more utilitarian or professional target. Approximately, 92 phone numbers are listed in relation to the apps. Of the GPS coordinates we’ve checked the middle east is still the main focus, with a significant footprint in Egypt.

While the data leakers request is for Bitcoin payment, we believe they are primarily interested in acquiring Monero coin. Once payments are made the actors use a popular tool called ShapeShift to turn the Bitcoin into Monero (XMR). Shapeshift allows the actors to pay in from one cryptocoin and receive a payout in another without creating an account for the service. The added Monero features enable them to maintain greater anonymity during the transfer. It is anonymity that usually motivates cybercriminals to move to Monero.  Monero coins are of interest due to their improved anonymity and privacy-related improvements, making it difficult to for law enforcement and security researchers to trace.

Shapeshift Transaction from BitCoin (BTC) to Monero (XMR)

The actor who leaked this data is obviously motivated by money as evidenced by the requested payment for further data leaks. Fake datasets, especially those that contain credit card information, email addresses and passwords, have been known to be for sale to scam other cybercriminals. It’s a distinct possibility that this could be the case with the current data dump but it has yet to be determined. However, competition also can play a primary motivator. Many times competing bad actors will attempt to sabotage others in the space. Altruism can play a role as well. Some vigilante actors may believe that their motivations are for the greater good regardless of the laws they break and collateral damage. Whatever the motivations are, data leaks like these can be embarrassing, damaging and in some cases dangerous for the victims whose information it may contain.
Other points of interest:

  • There are a surprisingly low number of unique victim numbers in the database with only 169.
  • The latest URL record is as recent as May 12,2018
  • The latest SMS record is as recent as May 8,2018
  • 81 unique numbers had 47,784 records of GPS data stored

Bitcoin Address:

  • 1AUMs2ieZ7qN4d3M1oUPCuP3CH9WGQxpbd

The post It’s a Zoo Out There! Data Analysis of Alleged ZooPark Dump appeared first on McAfee Blogs.

Google Courts Vitalik Buterin to Assist With Mysterious Cryptocurrency Project

Despite banning cryptocurrency ads, Google is exploring new applications of blockchain technology, according to Ethereum founder Vitalik Buterin, who was recently courted by the technology giant to assist in the mysterious project. A Job at Google? In a recent Twitter post, Vitalik Buterin revealed that Google’s human resources department had contacted him about a potential […]

The post Google Courts Vitalik Buterin to Assist With Mysterious Cryptocurrency Project appeared first on Hacked: Hacking Finance.

The Cyber Threat

tobem.com - What do business leaders need to know about the cyber threat to their operations? Author Bob Gourley, the Director of Intelligence in the first Department of Defense cyber defense organization and le…


Tweeted by @CyberToolsBooks https://twitter.com/CyberToolsBooks/status/998678737372643328

Should T-Mobile Stop Claiming It Has ‘Best Unlimited Network’?

An anonymous reader writes: Speed isn't everything, or is it? According to a report from Ars Technica, the National Advertising Division (NAD) says T-Mobile should stop claiming that is has "America's Best Unlimited Network" because it needs to prove it also has the widest geographic coverage and best reliability. T-Mobile is saying that speed outweighs all other factors. "T-Mobile's claim is based on data from Ookla and OpenSignal, which offer speed-testing apps that let consumers test their wireless data speeds," reports Ars Technica. "Both Ookla and OpenSignal have issued reports saying that T-Mobile's speeds were higher than Verizon's, AT&T's, and Sprint's. The OpenSignal tests also gave T-Mobile an edge over rivals in latency and 4G signal availability." T-Mobile "did not provide evidence that its network is superior in providing talk and text mobile services or in providing high-speed data more reliably or to a greater coverage area," the industry group's announcement said.

Read more of this story at Slashdot.

CVE-2018-11331

An issue was discovered in Pluck before 4.7.6. Remote PHP code execution is possible because the set of disallowed filetypes for uploads in missing some applicable ones such as .phtml and .htaccess.

CVE-2018-1108

kernel drivers before version 4.17-rc1 are vulnerable to a weakness in the Linux kernel's implementation of random seed data. Programs, early in the boot sequence, could use the data allocated for the seed before it was sufficiently generated.

Trade Recommendation: USDJPY

This trade recommendation is setting up quickly and requires prompt attention. The Japanese Yen has a solid Hammer candle in place on the hourly chart (USDJPY). This has a great potential as a setup to go long on a breakout above the high of the candle. There is support at the Opening Range low which […]

The post Trade Recommendation: USDJPY appeared first on Hacked: Hacking Finance.

TA18-141A: Side-Channel Vulnerability Variants 3a and 4

Original release date: May 21, 2018

Systems Affected

CPU hardware implementations

Overview

On May 21, 2018, new variants—known as 3A and 4—of the side-channel central processing unit (CPU) hardware vulnerability were publically disclosed. These variants can allow an attacker to obtain access to sensitive information on affected systems.

Description

CPU hardware implementations—known as Spectre and Meltdown—are vulnerable to side-channel attacks. Meltdown is a bug that "melts" the security boundaries normally enforced by the hardware, affecting desktops, laptops, and cloud computers. Spectre is a flaw that an attacker can exploit to force a CPU to reveal its data.

Variant 3a is a vulnerability that may allow an attacker with local access to speculatively read system parameters via side-channel analysis and obtain sensitive information.

Variant 4 is a vulnerability that exploits “speculative bypass.” When exploited, Variant 4 could allow an attacker to read older memory values in a CPU’s stack or other memory locations. While implementation is complex, this side-channel vulnerability could allow less privileged code to

  • Read arbitrary privileged data; and
  • Run older commands speculatively, resulting in cache allocations that could be used to exfiltrate data by standard side-channel methods.

Corresponding CVEs for Side-Channel Variants 1, 2, 3, 3a, and 4 are found below:

  • Variant 1: Bounds Check Bypass – CVE-2017-5753
  • Variant 2: Branch Target Injection – CVE-2017-5715
  • Variant 3: Rogue Data Cache Load – CVE-2017-5754
  • Variant 3a: Rogue System Register Read – CVE-2018-3640  
  • Variant 4: Speculative Store Bypass – CVE-2018-3639

Impact

Side-Channel Vulnerability Variants 3a and 4 may allow an attacker to obtain access to sensitive information on affected systems.

Solution

Mitigation

NCCIC recommends users and administrators

  • Refer to their hardware and software vendors for patches or microcode,
  • Use a test environment to verify each patch before implementing, and
  • Ensure that performance is monitored for critical applications and services.
    • Consult with vendors and service providers to mitigate any degradation effects, if possible.
    • Consult with Cloud Service Providers to mitigate and resolve any impacts resulting from host operating system patching and mandatory rebooting, if applicable.

The following table contains links to advisories and patches published in response to the vulnerabilities. This table will be updated as information becomes available.

Link to Vendor InformationDate Added
AMDMay 21, 2018
ARMMay 21, 2018
MicrosoftMay 21, 2018
RedhatMay 21, 2018

References

Revision History

  • May 21, 2018: Initial version

This product is provided subject to this Notification and this Privacy & Use policy.


A New World’s Extraordinary Orbit Points to Planet Nine

In early 2016, two planetary scientists declared that a ghost planet is hiding in the depths of the solar system, well beyond the orbit of Pluto. Their claim, which they made based on the curious orbits of distant icy worlds, quickly sparked a race to find this so-called Planet Nine -- a planet that is estimated to be about 10 times the mass of Earth. From a report: Now, astronomers are reporting that they have spotted another distant world -- perhaps as large as a dwarf planet -- whose orbit is so odd that it is likely to have been shepherded by Planet Nine. The object confirms a specific prediction made by Konstantin Batygin and Michael Brown, the astronomers at the California Institute of Technology who first argued for Planet Nine's existence. "It's not proof that Planet Nine exists," said David Gerdes, an astronomer at the University of Michigan and a co-author on the new paper. "But I would say the presence of an object like this in our solar system bolsters the case for Planet Nine." Gerdes and his colleagues spotted the new object in data from the Dark Energy Survey, a project that probes the acceleration in the expansion of the universe by surveying a region well above the plane of the solar system. This makes it an unlikely tool for finding objects inside the solar system, since they mostly orbit within the plane. But that is exactly what makes the new object unique: Its orbit is tilted 54 degrees with respect to the plane of the solar system. It's something Gerdes did not expect to see. Batygin and Brown, however, predicted it. The rocky body is being described as 2015 BP519. Quanta magazine has more details.

Read more of this story at Slashdot.

Google details how it will overturn encryption signals in Chrome

Google has further fleshed out plans to upend the historical approach browsers have taken to warn users of insecure websites, spelling out more gradual steps the company will take with Chrome this year.

Starting in September, Google will stop marking plain-vanilla HTTP sites - those not secured with a digital certificate, and which don't encrypt traffic between browser and site servers - as secure in Chrome's address bar. The following month, Chrome will tag HTTP pages with a red "Not Secure" marker when users enter any kind of data.

Eventually, Google will have Chrome label every HTTP website as, in its words, "affirmatively non-secure." By doing so, Chrome will have completed a 180-degree turn from browsers' original signage - marking secure HTTPS sites, usually with a padlock icon of some shade, to indicate encryption and a digital certificate - to labeling only those pages that are insecure.

To read this article in full, please click here

Spies Like Obama?

frontpagemag.com - On Sunday a justifiably outraged President Trump called for the former Obama administration to be investigated for its unprecedented and profoundly un-American spying and sabotage operation against t…


Tweeted by @LynwoodTalks https://twitter.com/LynwoodTalks/status/998665884292890624

DataBreachToday.com RSS Syndication: Procrastinators’ Guide to GDPR Compliance

Organizations Are Not as Ready as They Might Believe
If you're paying attention, you've probably already seen a handful of GDPR-related headlines just today, let alone in the last week or month. But there are two good reasons for the deluge of GDPR discussion right now: It's incredibly important and the time to act is now.

DataBreachToday.com RSS Syndication