Bartek Nowotarski

Security Research | Prev: Staff Software Engineer at @StellarOrg

[Bartek Nowotarski @bartn_]

The case I've been working in 2024.Q1: The CONTINUATION Flood is a class of vulnerabilities within numerous HTTP/2 protocol implementations. A single TCP connection can lead to server crash. Check the advisory at: https://t.co/xI0VxOcQEC

[Institute of National Remembrance @ipngovpl_eng]

The Ukrainian Insurgent Army (UPA) is responsible for the genocide in Volhynia and Eastern Galicia.

By decision of Ukrainian President Volodymyr Zelenskyy, the Independent Special Operations Center “North” will be named in honour of the “Heroes of the UPA.” The granting of this name was justified as an effort to “restore the historical traditions of the national army.”

The Ukrainian authorities’ promotion of the cult of the Ukrainian Insurgent Army must provoke opposition from all those who remember the activities of this formation.

Founded in 1942, the UPA was based on the ideological foundation of the so-called “Decalogue of the Ukrainian Nationalist” from 1929, which includes, among others, the following statement: “You will not hesitate to commit even the greatest crime if the good of the cause demands it.”

This was a prophetic announcement of the genocide committed against Poles in the years 1943–1945 in Volhynia and Eastern Galicia.

The Volhynia Massacre was a method of building an ethnically homogeneous Ukrainian state, one devoid of the minorities inhabiting those lands, mainly Poles and Jews. “With the beginning of military operations for independence,” declared one of the program documents of the OUN faction led by Stepan Bandera, “the question of national minorities must be resolved at all costs. To resolve this issue, representatives of national minorities, enemies of the people, must be eliminated.”

Organised attacks on Polish villages began in February 1943 and continued until 1945. The peak of the UPA atrocities came on Sunday, July 11, 1943, when thousands of inhabitants were massacred in nearly 100 Polish villages in Volhynia.

In the following months, the genocide carried out by the UPA in Volhynia also spread to Eastern Galicia, the Chełm region, and the Rzeszów region. “You observe the methods of operation in Volhynia - do the same in your own area. You will prevail. [...] The OUN-UPA must have authority among the masses.

The masses must believe in you and follow you. If someone does not wish to believe in the UPA, in you, and in the leadership, they must feel the hard and vengeful punishing hand,” stated an appeal addressed to UPA members in the Chełm region in the spring of 1944.

Polish historians estimate that approximately 120,000 Poles - including women, the elderly, and children - were killed at the hands of Ukrainian nationalists. Victims also included Ukrainians who warned their Polish neighbours of the approaching danger.

🔎To learn more about the Volhynia Massacre, we recommend viewing our website:
https://t.co/SYZrF24PqG

[CERT Polska @CERT_Polska_en]

‼️At the end of last year, there was a series of coordinated attacks in Polish cyberspace.

📌Today, our team is publishing a report describing the technical analysis of these events. We show the scheme of operation and the tools used by the attackers.

➡️https://t.co/A7EuPsL12h

[Bartek Nowotarski @bartn_]

Looks like there's a new variant of Sha1-Hulud / Shai Hulud which wipes victim's repos by force-pushing a commit with `init` message. The only good outcome is that it also wipes repos with exposed secrets (created by this worm).

[Karol Nawrocki @NawrockiKn]

The emerging proposals to end Russia's war against Ukraine must take into account the fact that Russia is a country that does not honor agreements.

Each and every peace plan aimed at ending the war in Ukraine started by the Russian Federation must be accepted in Kyiv. It is Ukraine that has fallen victim to Putin's criminal aggression, and it is the Ukrainians, with the support of the United States and the EU countries, who must have the decisive voice in peace talks.

Any arrangements concerning peace and security of Europe can only be made with the participation of all interested parties.

The price of peace cannot in any way be the achievement of strategic goals by the aggressor, and the aggressor was and is the Russian Federation.

[Karol Nawrocki @NawrockiKn]

Today we celebrate the 105th anniversary of the great Polish victory at the Battle of Warsaw in 1920. The Polish Army, together with Ukrainian forces, successfully repelled the Red Army’s westward march, safeguarding Europe from a communist revolution.

For centuries, Russian imperialism has been a mortal threat to our freedom. Poland’s political tradition teaches that Russian expansionism rests on a legacy of domestic despotism, in which the only free man is the ruler himself.
But precisely because Russian despotism is the enemy of freedom, Russian imperialism can only be defeated through an alliance of free peoples.
My nation halted Russian imperialism at Orsha (1514), Klushino (1610) and Warsaw (1920).
The Polish people know that resisting Russian imperialism is not merely an economic matter – it concerns the very essence of human and national freedom.
Freedom is priceless. It can neither be bought nor sold. It must be defended.
This is the Polish tradition, stretching back to the 15th century.

I invite all who cherish freedom and peace to join my fellow Poles on August 15 in celebrating the halting of despotism and the defense of liberty.

That is why we will never surrender to Russian imperialism, and why we stand with Ukraine in defending its freedom – to make Europe whole, free, and at peace once again. Russia is not unstoppable. Russia is not undefeatable.

[Bartek Nowotarski @bartn_]

👀 Mocny spadek ruchu na T-Mobile (AS12912). Coś na rzeczy czy błąd @CloudflareRadar?

[Bartek Nowotarski @bartn_]

I submitted my "HTTP/2 CONTINUATION Flood" research, and it got nominated. Check it out and vote!

[James Kettle @albinowax]

Voting is now live for the Top Ten (New) Web Hacking Techniques of 2024! Browse the nominations & cast your votes here: https://t.co/jnsqd0KvHT

[Krzysztof Noworyta @k_noworyta]

Fiński serial #konflikti (Konflikt) wjechał z hukiem, bo jest superaktualny i pokazuje reakcję państwa na zajęcie przez rosję kawałka Finlandii. Mamy tu wszystko od wielkiej polityki po operacje wojska i zwykłych obywateli. 6-odcinkowy serial trzyma w napięciu do końca 1/4

[Bartek Nowotarski @bartn_]

#Wigilia @CloudflareRadar

[Orange Tsai 🍊 @orange_8361]

Our talk at #BHEU is done! Hope you all enjoyed it. 😉 A detailed blog is on the way, but in the meantime, check out the pre-alpha website https://t.co/lGRfqhmcVK for early access and the slides!

Huge thanks to @BlackHatEvents and my awesome co-presenter @_splitline_! 🐈‍

[Hubert Walas - GTBT @hubertwalas_]

Poland disclosed it's help for Ukraine. 1/x

In relation to GDP:

[Bartek Nowotarski @bartn_]

H1 2024 Global Threat Analysis:

> In the first half of 2024, Web DDoS attacks saw a significant increase in frequency and intensity. A good portion of the activity can be attributed to hacktivists motivated by political tensions and new attack vectors such as HTTP/2 Rapid Reset and Continuation floods that drove these attacks to new heights in intensity and duration.

Report: https://t.co/Jkzdw3Ofv8

CONTINUATION Flood: https://t.co/jiElD5yd5l

[Bartek Nowotarski @bartn_]

@evilsocket You should report it to Cert CC. I have very similar experience when I discovered HTTP/2 Continuation Flood (https://t.co/xI0VxOcQEC). Many vendors simply didn't care about my reports but somehow started working on them after a friendly ping from Cert CC.

[Bartek Nowotarski @bartn_]

Co (wg mnie) powinien zrobić rząd/wojsko w sprawie #Powódź z zakresu IT (i możliwe że robi po cichu)? 1. Koordynacja, 2. Walka z dezinformacją, 3. Infrastruktura krytyczna 🧵

1. Koordynacja

Aktualnie głównym problemem wydaje się być koordynacja pomocy zarówno materialnej (woda, żywność, osuszacze, sprzęt budowlany, materiały budowlane, a później wyposażenie mieszkań: meble, agd) jak i niematerialnej (pomoc przy sprzątaniu, remontowaniu budynków) między powodzianami i darczyńcami, wolontariuszami. Nie mówimy tutaj o pomocy rządowej a zwykłych obywatelach. Wiele osób chce pomóc ale ich pomoc nie jest adekwatna do czasu (wysyłanie butelek z wodą w momencie gdy woda w kranach jest zdatna do picia) albo nie wiedzą gdzie tą pomoc należy wysłać.

Powinien powstać serwis internetowy łączący jednych z drugimi. Powodzianie powinni móc określić swoje aktualne potrzeby (z pozycji konkretnych rodzin). Logowanie przez login[.]gov[.]pl z weryfikacją adresu zamieszkania (musi być w strefie powodzi) co powinno zminimalizować scamy. Idealnie dostępna w mObywatelu żeby ograniczyć konieczność używania komputera lub logowania z przeglądarki mobilnej. Oczywiście dla osób starszych powinni być na miejscu wolontariusze którzy wprowadzą dane do tego samego systemu.

Z drugiej strony serwis internetowy łączący darczyńców z poszczególnymi rodzinami, którzy będą mogli pomagać materialnie lub rzeczowo. Możliwa też główna zbiórka która będzie umieszczała pieniądze w skarbonkach najbardziej potrzebujących. Coś jak Szlachetna Paczka.

Takiego serwisu nie zrobi wolontariusz czy non-profit. Tutaj najważniejsze jest uwierzytelnianie logowaniem rządowym. Bez tego ryzyko scamów jest zbyt duże.

2. Walka z dezinformacją

Widziałem post @CyberWojska o monitoringu sieci pod względem fake-newsów. Poszedłbym o krok dalej. Wyobraźmy sobie hack strony Wód Polskich lub innej organizacji rządowej, samorządów, internetowego serwisu lokalnej gazety lub radia, w wyniku którego pojawiła by się nieprawdziwa informacja, np. o przelaniu wału, awariach lub niezdatności do picia wody z wodociągów. Pamiętamy wszyscy niedawny hack Polskiej Agencji Prasowej. Myślę że tak opublikowana informacja mogłaby wprowadzić więcej szkód niż posty na FB.

Zleciłbym pilne testy penetracyjne wyżej wymienionych organizacji. Przejrzałem kilka z nich i często używa się WordPressa. Instancje WordPress (ogółem) bardzo często nie są aktualizowane pod względem wersji Wordpressa i wtyczek a w nich co chwile znajdowane są krytyczne błędy.

Sprawdziłbym także bezpieczeństwo newsletterów i baz SMS w/w organizacji. O ile fake’owego newsa łatwo ściągnąć to wysłanego maila/SMSa po prostu się nie da. W przypadku wycieku maili/telefonów mieszkańców gminy jest poważny problem.

Upomniałbym się o 2FA w tych organizacjach (jeśli nie ma). Także ich dostępów do Social Media (FB/X).

@CyberWojska mówią wprost o atrybucji rosyjskiej w działaniach dezinformacyjnych (https://t.co/cxhYhyWo02). Wiele mówi się o ofensywnej komórce w DKWOC choć oficjalnych informacji brak. To chyba dobry moment aby z niej skorzystać. Myślę że @CERT_Polska też mógłby pomóc.

3. Infrastruktura krytyczna

W końcu, o ile liczę że jest to robione bez przerwy (i było robione także przed powodzią), powinny zostać przeprowadzone testy penetracyjne infrastruktury krytycznej związanej z przeciwdziałaniem powodzi. Prawdopodobnie wszystkie zbiorniki, tamy, zapory (poza tymi z piasku) obsługuje się komputerowo. @CyberWojska powinny przeprowadzić jeszcze raz audyt bezpieczeństwa tych systemów. Możliwe, że w wyniku powodzi administratorzy dali dostęp nowym uprawnionym osobom. Często w przypadkach zmian w konfiguracji dostępu popełnia się błędy, być może teraz też takie coś nastąpiło.

Mam nadzieję, że wiele z tych sugestii jest już w toku, bez rozgłosu...

[Bartek Nowotarski @bartn_]

@chudyPB When do you leave? (Sorry, can't send a DM)

[Bartek Nowotarski @bartn_]

People, wear your apple watches! I fell down the stairs today (I'm fine, just some pain in the ankle, not broken) and it triggered the fall detention. If it had been more serious it would have called SOS or my emergency contract. It definitely can save lifes!

[Bartek Nowotarski @bartn_]

Exploiting authorization by nonce in WordPress plugins https://t.co/BlzBvTTNxG

[Bartek Nowotarski @bartn_]

This seems to be a valid point. From what I've read the fix will not be automatic because systems are crashing at boot stage. Admins need to manually update each and every Windows machine in their infrastructure ☠️
#Crowdstrike

[Troy Hunt @troyhunt]

I don’t think it’s too early to call it: this will be the largest IT outage in history