cryptonite

Security engineer @ Quarkslab

[cryptonite @cryptonitemmk]

A summary of our security assessment of Bitcoin core 😎

[OSTIF Official @OSTIFofficial]

Miss our last OSTIF meetup?

You can catch the recording here of Robin David, Software Security Researcher and Research Lead at Quarkslab, presenting "Bitcoin Core Audit: From Static Review to Fuzzing — Inside Bitcoin’s Testing Infrastructure".

#OSTIF #OpenSource #bitcoin

[quarkslab @quarkslab]

Quarkslab engineers @RobinDavid1, @MihailKirov1 and Kaname just completed the first public security audit of Bitcoin Core, led by @OSTIFofficial and funded by @bitcoinbrink. Details on the blog post: https://t.co/xPkDEV7LDy Congrats to developers for such software masterpiece !

[Monero (XMR) @monero]

Proton VPN, Proton Mail, Proton Drive, Proton Pass, and Proton Unlimited will accept Monero as payment method soon!

[Tuta @TutaPrivacy]

🚨Our governments are about to decide whether 450M Europeans deserve privacy - or not.

Help ensure your country says NO to Chat Control: Call you local representatives!

Privacy is not negotiable. Speak up now. ✊ #privacy

👉 More on how to stop Chat Control: https://t.co/JLei3q4sLi

[cryptonite @cryptonitemmk]

Six months ago, three colleagues and I at Quarkslab audited parts of the PHP source code. We uncovered 17 security vulnerabilities, including three high-severity issues, leading to four new CVEs.

[quarkslab @quarkslab]

Quarkslab audited PHP-SRC, the open source interpreter of PHP.
The security audit, sponsored by @OSTIFofficial with funding from @sovtechagency, aimed at strengthening the project's security ahead of the upcoming PHP 8.4 release.
Here is what we found:
https://t.co/hxucjZuSDM

[quarkslab @quarkslab]

こんにちは Tokyo!

"Of all things, I liked bugs best."
― Nikola Tesla

Quarkslab is happy to participate in Pwn2Own
Automotive and tomorrow we will try to demonstrate a RCE on an Electric Vehicle Charger on stage.

Nikola enlight us, Murphy stay home!

https://t.co/OJNfflWAAn

[Bozhidar Bozhanov @bozhobg]

Служебният министър на електронното управление в интервю по БНТ обяснил за някои казуси с машините, в което чувствително ухо може да чуе, че всичко е възможно с машините и тъй като частна фирма инсталира софтуера в последния момент, може да сложи всякакъв софтуер, различен от официално удостоверения.

Нека обясня защо на практика не може да се сложи всякакъв софтуер и това да доведе до изкривяване на вота.

Да, контролът от държавните органи (ЦИК и МЕУ) е важен, както казва министърът - именно затова по закон тези институции участват в процеса и носят отговорност за него. Този процес може и трябва да се подобрява постоянно - по това с него сме на едно мнение.

Но ето детайлите: машините стоят в частен склад, но са заключени на ниво firmware (системен софтуер) чрез т.нар. UEFI secure boot. Никой не може да инсталира нищо, което не е електронно подписано с ключ на ЦИК, който стои в касата на ЦИК.

Преди всеки избор, ЦИК създава нов ключ, прави нов официален, удостоверен образ и заедно с него създава една флашка, която може да отключи машините за следващите избори (UEFI unlocker), която също се съхранява в касата на ЦИК.

За да се инсталира софтуера за следващи избори, фирмата получава от ЦИК UEFI unlocker от предните избори, с което отключва машините, и инсталационна флашка за новите избори. По време на инсталацията ЦИК изпраща свои представители в склада. Но най-важното: след инсталацията се прави извадкова проверка на машините (този път на 1/3), при която с външен инструмент (hash extractor) се проверява по сигурен начин дали софтуерът на машините е правилният, пак от ЦИК. Това беше и моя констатация и препоръка още през 2021 г.

След това никой не може да слага никакъв софтуер, който не е подписан от ЦИК. Това е проверявано няколко пъти по време на удостоверяването - ако МЕУ направи нов образ, без ключа на ЦИК, машината просто не тръгва.

Още повече, че след като СИК преброи разписките (преди) / бюлетините (сега), ако имаше разминавания в нечия полза, това шеше да се установи. До момента се е установявало само едно - грешки при броенето на комисията.

Дали ако никой орган по веригата не си върши работата, някой може да опита да злоупотреби - може. Дали това е практически изпълнимо и то без да бъде хванато - не. Вкл. защото никой не би рискувал, когато вероятността да бъде хванат клони към 100%.

Доверието в машините беше атакувано и подкопано с всякакви измислици и откровени тъпотии за кодове, флашки, снимане. На тези избори се видя, че премахването на машинния протокол води до много проблеми и манипулации в отчитането. Сега е моментът за адекватен, спокоен и отговорен дебат по темата, който не е зареден с конспиративни теории.

[Simone Margaritelli @evilsocket]

* Unauthenticated RCE vs all GNU/Linux systems (plus others) disclosed 3 weeks ago.
* Full disclosure happening in less than 2 weeks (as agreed with devs).
* Still no CVE assigned (there should be at least 3, possibly 4, ideally 6).
* Still no working fix.
* Canonical, RedHat and others have confirmed the severity, a 9.9, check screenshot.
* Devs are still arguing about whether or not some of the issues have a security impact.

I've spent the last 3 weeks of my sabbatical working full time on this research, reporting, coordination and so on with the sole purpose of helping and pretty much only got patronized because the devs just can't accept that their code is crap - responsible disclosure: no more.

[quarkslab @quarkslab]

Creating an OCI image from source code that can run on any cloud could be very challenging. Quarkslab assessed the security of Cloud Native Builpacks, a tool for creating ready-to-use OCI images directly from source code. The report is available here: https://t.co/AD7I2JSZJ4

[quarkslab @quarkslab]

Ready for part 3 of our travel into the dynamic instrumentation of #Golang during runtime? In this article, @cryptonitemmk and Damien Aumaitre will leverage CGO, Go's Foreign Function Interface (FFI), to improve the hooking scheme they defined in part 1
https://t.co/NBSQpW9Ggx

[quarkslab @quarkslab]

Last year @cryptonitemmk and Damien Aumaitre embarked on a journey to the depths of #Golang.
Their mission? To boldly instrument Golang programs during runtime.
In the 2nd entry in their travel diary they explore CGO, Go's Foreign Function Interface (FFI)
https://t.co/e2a6TsJu6T

[quarkslab @quarkslab]

🪓Yes we hacked!
Last week QSEC, our CTF team, participated in the European Cyber Cup at the InCyber Forum.
Our team finished 4th among 20 participants but
we could not engage in the hardware CTF...because we organized it!
👏Kudos to QSEC, the CTF organizers and all other teams!

[CERT-FR @CERT_FR]

🚨 Alerte CERT-FR 🚨
Une porte dérobée (backdoor) a été découverte dans la bibliothèque Linux xz dans les versions 5.6.0 et 5.6.1. Son utilisation semble permettre de contourner l'authentification ssh.
Veuillez consulter les avis de sécurité des éditeurs.

[European Cyber Cup @EuCyberCup]

🎉Voici le classement complet de cette édition #EC2 2024 ! Bravo à toutes les équipes !

[Aviad Carmel @AviadCarmel]

We (@SaltSecurity ) could access *private* GitHub repos of *other* users, using....... ChatGPT!
Open the comments below to understand exactly how👇

[quarkslab @quarkslab]

Interested in navigation of source code, binaries and other artifacts? Let a marsupial and goddess help you.
Here @_cryptocorn_ and Fenrisfulsur introduce
Numbat, a new Python API for Sourcetrail, and Pyrrha, a mapper collection for firmware cartography.
https://t.co/1nJme0mEwV

[cryptonite @cryptonitemmk]

@real_redp @quarkslab uprobes work on Linux in a C-like fashion. In this article, indeed, we demonstrated how to hook Go programs using C but the final goal of our project is to write our hooks in Golang. Additionally, we want to define a scheme which works for Windows and OSX too.

[quarkslab @quarkslab]

Interested in dynamically hooking Golang programs ?
TL;DR: it's complicated, but fear not because today @cryptonitemmk started a series of blog posts explaining why and how to do it. Here is the first:
https://t.co/ppZoF2Cwsp
#golang #hooking #ReverseEngineering #debugging

[quarkslab @quarkslab]

Fuzzing is one of the top bug finding techniques and to celebrate the 25th year of ntop, one of the top network monitoring tools, Quarkslab's engineer Riccardo Mori talked about fuzzing it today at #ntopConf23

Here are the slides of his talk
https://t.co/sfQ6HTU9w2

[Mobile Hacker @androidmalware2]

New 0-click exploit chain discovered targeting iOS devices delivers #Pegasus Spyware

Exploit chain was capable of compromising iPhones (iOS 16.6) without any user interaction.

The device is compromised just by receiving malicious image in iMessage
https://t.co/ZGxH3yRA7M