App Used by Israel's Ruling Party Leaked Personal Data of All 6.5 Million Voters

Por Mohit Kumar em 11/02/20 no site The Hacker News

An election campaigning website operated by Likud―the ruling political party of Israeli Prime Minister Benjamin Netanyahu―inadvertently exposed personal information of all 6.5 million eligible Israeli voters on the Internet, just three weeks before the country is going to have a legislative election.

In Israel, all political parties receive personal details of voters before the election, which they can't share with any third party and are responsible for protecting the privacy of their citizens and erasing it after the elections are over.

Reportedly, Likud shared the entire voter registry with Feed-b, a software development company, who then uploaded it a website (elector.co.il) designed to promote the voting management app called 'Elector.'

According to Ran Bar-Zik, a web security researcher who disclosed the issue, the voters' data was not leaked using any security vulnerability in the Elector app; instead, the incident occurred due to negligence by the software company who leaked the username and password for the administrative panel through an unprotected API endpoint that was listed in the public source code of its homepage, as shown.

"Someone visiting the Elector website on a standard browser like Google's Chrome could right-click their mouse on the page and select 'View page source.' The revealed source code for the website contained a link to the 'get-admins-users' page, which the prospective hacker simply had to visit in order to find, out in the open, the passwords of "admin" users — those with authorization to manage the database." Israeli media explained.

The exposed database includes the full names, identity card numbers, addresses, and gender of 6,453,254 voters in Israel, as well as the phone numbers, father's name, mother's name, and other personal details of some of them.

Through the affected Elector website is down for many users at the time of writing, some media reports confirm the software company has now patched the issue but can't ensure how many people have since then been able to download the voters' database.

The Israeli Justice Ministry's Privacy Protection Authority (PPA) said it was investigating the incident.

New adware attack bombard phones & prevent users from disabling ads

Por Wagas em 08/01/2018 no site HackRead

It is just another day for Android users who are yet again under adware attack by malicious apps on Google Play Store.

Researchers at Check Point Software Technologies have identified a new mobile adware program, dubbed as LightsOut, in at least 22 illegitimate Android flashlight and utility apps on Google Play Store. These apps have now been removed from the Play Store, but prior to their removal, the apps had been downloaded between 1.5 and 7.5 million times.

What happens is that when any of these 22 apps get downloaded, the user’s decision to disable ads from illegitimate websites would get overridden by the malicious script and then the app’s icon would be hidden so as to prevent its deletion from the device. It is quite clear that the real objective of this campaign is to generate illegal ad revenue at the expense of the innocent and unsuspecting Android users.

As per the findings of some users, some of these ads forced them to answer calls or perform other activities while some noted that despite installing the ad-free version of the Android app, the malicious ad activity continued. Google was informed about the presence of suspicious apps on Play Store, and after they were removed.

“Despite the vast investment Google has recently made in the security of their App Store, ‘LightsOut’ reminds us once again that users need to be wary of downloading from App Stores and are advised to have protection while using them. Many users are still unaware of the dangers lurking for them and continue to install fishy apps such as flashlights,” said Check Point’s technical blog post.

Check Point researchers released a video as well showing the way the attack occurred. The video shows how the infected app offered a checkbox and control panel to the user for enabling or disabling different services such as ads. After different actions such as ending of a call, unlocking of the home screen, plugging in of a charger or enabling of Wi-Fi connection, ad displaying event got triggered.

The ads were not directly linked to LightsOut activity and the app icon was also hidden, therefore, users were clueless about what was causing them to appear. Resultantly, the device gets bombarded with ads and the user has no other choice but to interact with the malicious ads, even to perform the most basic functions, such as to answer a phone call.

The malicious adware campaign was reported by Check Point in its blog post published on January 5. The company noted that in order to prevent such campaigns from invading our mobiles, it is important to firstly, download apps cautiously and carefully, secondly, to have advanced a mobile threat protection software installed apart from anti-virus software.

List of malicious apps is available here.

Edward Snowden volta a ativa e lança aplicativo open source de segurança

Por Luciano Rocha - 26 de dezembro de 2017 no site Criptomoedas Fácil

“Haven é um aplicativo feito para pessoas que precisam de uma maneira de proteger seus espaços e posses pessoais sem comprometer sua própria privacidade“, explica a descrição do projeto no Github. “É um aplicativo Android que aproveita os sensores no dispositivo para fornecer monitoramento e proteção de espaços físicos. Ele transforma todo o telefone Android em um detector de movimento, som, vibração e luz, observando os convidados e intrusos inesperados – ou indesejados“.

É com essa descrição que Edward Snowden, o controverso analista de sistemas que, em 2013, denunciou uma vasta rede de espionagem organizada pela Agência de Segurança Nacional dos Estados Unidos (NSA) apresenta o seu novo projeto de aplicativo de segurança, o Haven.

Snowden tornou-se amplamente conhecido por ter violado a Lei de Espionagem do governo americano (lei que obriga segredos de segurança a serem mantidos secretos por no mínimo 100 anos) e revelado segredos aos quais obteve acesso quando foi contratado pela CIA. Os segredos incluíam mensagens e trocas de comunicações entre governos e empresas de telecomunicações. A amplitude de suas descobertas foi tal que Snowden se viu obrigado a pedir asilo no exterior, no qual foi aceito pela Rússia em 2013. Partes dos documentos que ele vazou foram publicadas em grandes veículos da imprensa mundial, como o The New York Times, Washington Post, o francês Le Monde e o alemão Der Spiegel.

Haven em estágio Beta

O Haven se encontra atualmente em sua versão beta. O aplicativo tem como público-alvo inicial jornalistas investigativos, defensores de direitos humanos e pessoas em risco de desaparecimento, com o objetivo de criar uma rede de imunidade em massa contra as ações de governos.

Como afirmado na descrição do Github, o aplicativo busca unir a variedade de sensores encontrados em qualquer smartphone com as tecnologias de comunicação mais seguras do mundo, como Signal e Tor, e utilizar essa união para “impedir o pior tipo de pessoas de silenciar cidadãos sem serem pegos no ato“, afirma o site.

O aplicativo “só guarda imagens e som quando acionado por movimento ou volume e armazena tudo localmente no dispositivo“, de acordo com o site. “O usuário pode posicionar a câmera do dispositivo para capturar o movimento visível, ou configurar seu smartphone em algum lugar discreto para que o mesmo apenas ouça ruídos suspeitos. Obtenha notificações seguras de eventos de intrusão instantaneamente e acesse os logs de forma remota ou a qualquer momento depois.”

A aplicação ocorreu através de um amplo financiamento da Freedom of the Press Foundation (FPF), uma organização destinada a dar suporte a denunciantes como Snowden e na tradição de Daniel Ellsberg, para não mencionar jornalistas como Glenn Greenwald. A FPF foi fundamental no desenvolvimento do Secure Drop, originalmente concebido por Aaron Swartz, o qual auxiliou como um suporte para sites como o Wikileaks, impedindo burocratas de bloquear seu financiamento.

Opiniões de jornalistas investigativos

A ideia do aplicativo parece ter sido recebida com entusiasmos pela comunidade de imprensa. O jornalista investigativo Micah Lee, do portal The Intercept, observa que praticamente toda a sua vida profissional está contida em seu notebook e em outros dispositivos. Ele segue os protocolos de criptografia para manter a segurança deles, porém isso não impediria a adulteração sem o seu conhecimento. “Se eu voltar e continuar usando meu computador comprometido, o atacante pode ter acesso a tudo“, afirma.

O próprio Snowden não possui mais nenhum dispositivo móvel desde 2013. Mas nos últimos dois anos, a maior parte do seu tempo foi ocupada em várias atividades relacionadas a esses dispositivos, como analisar smartphones e afastar suas placas de circuito com a ajuda de pinças finas e um microscópio. Em 2016, ele colaborou com o hacker de hardwares Andrew “Bunnie” Huang no Introspection Engine, uma caixa de telefone que monitora as saídas do iPhone, alertando o usuário quando o dispositivo está enviando sinais através de sua antena.

Disponibilidade ao público

Até o momento, o Haven está disponível apenas no Google Play. Os usuários de iOS terão que esperar mais um pouco até terem o aplicativo, segundo o site. Entretanto, é possível usar um telefone gravador Android e, se “você executar o sinal no seu iPhone, pode configurar Haven no Android para enviar notificações criptografadas, com fotos e áudio, diretamente para você. Se você habilitar o recurso Tor Onion Service no Haven (também precisa instalar o aplicativo Orbot), você pode acessar remotamente todos os dados de log Haven do seu iPhone, usando o aplicativo Onion Browser, “eles afirmaram.

A importância para os usuários de criptomoedas

Um aplicativo que fornece proteção contra espionagem pode ser uma excelente ferramenta para quem tem algum investimento em criptomoedas. Com os governos tomando cada vez mais conhecimento dessa nova realidade (e da ameaça que ela representa para os seus controles financeiros), manter um pouco de segurança sobre as comunicações e transações realizadas pode ser uma ótima alternativa de proteção, especialmente para quem vive em países que possuem histórico de políticas autoritárias.

Em um mundo no qual China, Rússia e até mesmo o Brasil estão começando a desenvolver políticas hostis em relação a criptomoedas, toda e qualquer proteção sempre será bem vinda.

Mobile DevOps, uma mudança cultural no modelo de entrega de apps móveis

Diego Cardoso * 

Publicada em 10 de maio de 2017 no site CIO.

A ascensão dos smartphones e a mudança do comportamento por parte de seus usuários ao longo dos últimos anos obrigaram as organizações a oferecer mais e mais soluções móveis que facilitem sua vida, desde apps que ajudam na rotina pessoal do seu dia a dia, passando pela interação com as mídias sociais, até a execução de suas atividades de trabalho. Todos os usuários querem novidade e inovação. No entanto, misturar dados pessoais e corporativos num mesmo dispositivo pode gerar muita dor de cabeça. Há desafios únicos quando se trata de entrega de aplicativos corporativos para dispositivos móveis.      

O primeiro deles é em relação a questões do nível de segurança aplicado. Isso implica em não expor dados confidenciais da empresa. Dependendo da estratégia escolhida, o processo pode ser invasivo demais em relação aos arquivos pessoais do funcionário. Um exemplo muito comum acontece quando certos dados confidenciais não devem ser enviados por aplicativos, ou ainda, existir uma política de acesso que exija a todos funcionários o uso de uma senha forte, dificultando que hackers usem processos de quebra e permitam o vazamento de informações confidenciais.

Um segundo ponto importe é a fragmentação existente entre diferentes tipos de sistemas operacionais e modelos de dispositivos. Agora, combine todas essas variáveis de ecossistema à grande expectativa por parte de seus usuários.

Segundo o Xamarin Mobile Business User Survey de 2015, cerca de 65% dos usuários irão abandonar o aplicativo após duas experiências insatisfatórias, enquanto 8% deixarão de usá-lo imediatamente.

Percebemos que, para permanecerem competitivas e relevantes no mercado, as empresas precisam não só atender suas próprias expectativas, como também excedê-las e, além disso, estar a par das inovações e novas tecnologias de modo a proporcionar a melhor experiência possível ao cliente. Com certeza, é algo que ajuda as empresas a estabelecerem uma vantagem em relação ao mercado e seus concorrentes. Por isso, a estratégia das tecnologias usadas e seus processos internos devem ser muito bem planejadas.

Mas como ter excelência em um cenário tão caótico? Como entregar um produto de forma rápida se o processo interno é tão burocrático? A resposta é: DevOps.

Existem várias definições sobre o que é DevOps. Muitos entendem como uma ferramenta ou como a simples união de responsabilidade de um desenvolvedor somada à operação/infraestrutura. Podemos classificar as práticas DevOps em quatro pilares: cultura (Transparência/ Integração/ Comprometimento); automação (Deploy/ Controle/Monitoração/ Gerência de configuração/ Orquestração); avaliação (Métricas/ Medições/Performance/ Logs e integração) e compartilhamento (Feedback/ Comunicação).

A colaboração é uma parte crítica do sucesso do DevOps e isso será possível apenas se houver confiança mútua em todas as equipes e pessoas envolvidas. Podemos afirmar que, para abraçar a cultura DevOps, é preciso que haja um forte apelo para unir pessoas e times. Promover uma atitude colaborativa entre os membros da equipe também ajuda a melhorar a confiança e empatia, possibilitando que as pessoas se sintam motivados a experimentar coisas novas. Experimentar, falhar e promover uma cultura de ciclos de feedback rápidos permitirá uma evolução contínua do grupo e, assim, a melhora dos processos internos em conjunto com a melhoria do produto.

No quesito das tecnologias que irão dar suporte ao processo, vemos que existem atualmente muitas opções de ferramentas e frameworks para construção de aplicativos móveis. Mas a multiplataforma, de código compartilhado e alta performance, denominada Xamarin, vem ganhando o mercado de aplicativos iOS e Android.

O Xamarin foi considerado um produto visionário no Quadrante de Plataformas de Desenvolvimento de Aplicações Móveis por três anos consecutivos no Gärtner e, após ser comprado pela Microsoft, os problemas e custos relacionados ao licenciamento extra deixaram de existir.

E não parou por ai. A Microsoft, por exemplo, aliou mais dois produtos importantíssimos à plataforma: o Test Cloud, que permite que um teste escrito pelo desenvolvedor possa ser executado em vários modelos de dispositivos, quantas vezes forem necessárias, reduzindo o tempo de teste e tornando possível entregar algo mais maduro para o cliente. Já o HockeyApps entra como chave-mestra para disponibilizar o aplicativo para testadores beta/alfa sem ter a burocracia das lojas de aplicativos. E mais, aliado ao SDK do mesmo, é possível ainda coletar erros e feedbacks durantes os testes.

Levando em conta a competividade, atualmente as empresas vêm buscando processos que agilizem sua entrega, atenuem seus riscos e antecipem o feedback dos usuários. É bem interessante ver como a cultura DevOps responde a esses desafios e como plataformas como Xamarin vêm amadurecendo para ajudar as empresas a suportar seus processos internos e a lançar seus aplicativos corporativos para dispositivos móveis.

(*) Diego Cardoso é Software Engineer na GFT

- See more at: http://cio.com.br/opiniao/2017/05/10/mobile-devops-uma-mudanca-cultural-no-modelo-de-entrega-de-apps-moveis/#sthash.4n4WBvY1.dpuf