The Hacker News retweeted
Jun 11
Push Security just won Best Secure Enterprise Browser @TheHackersNews Cybersecurity Stars Awards! Deploy in minutes.
Any browser. Real-time protection. No migration.
awards.thehackernews.com/win…
1
7
7,152
Jun 10
May part 3 - Trying some different steaks and seasoning thanks to #PushSecurity this Steak Shake All Q'ued up season is pretty damn good #RaiderRedMeats #Blackstone #SteakShake #AllquedUp #Aidells #KirklandWA #Washington #WashingtonState
1
19
🌐 AI-powered attacks and shadow AI adoption are creating new security risks inside the browser.
🛡️ @PushSecurity explains why browser visibility is becoming critical for both threat detection and AI governance.
➡️ bleepingcomputer.com/news/se…
#cybersecurity #sponsored
11
32
7,749
May 28
The next generation of venture winners will not come from louder consumer apps. They will come from the infrastructure nobody notices until it breaks.
@DecibelVC launched in 2019 with @jonsakoda building the firm around a focused conviction: cybersecurity, developer infrastructure, cloud systems, and AI tooling were becoming the control layer underneath modern enterprise. Alongside partners @dannguyenhuu and @FanaHOVA, Decibel built a portfolio centered on utility over hype: @censysio, @SpecterOps, @sublime_sec, @PushSecurity, @CredoAI, @getbotpress, @runZeroInc, Abacus.AI, @cubeoss, and @nocodb. The firm’s advisor network pulls experience from companies like @duosec, AppDynamics, ThousandEyes, Sourcefire, and Signal Sciences, giving founders access to operators who have already navigated enterprise scale, security crises, and category-defining exits. Beyond capital, leaders like @LaurenIpsen and @staceywueste help portfolio companies build talent pipelines and enterprise relationships early.
The signal is clear: as AI expands the attack surface and software becomes infrastructure for everything, the firms backing security, developer tooling, and operational resilience today are quietly shaping the companies the enterprise economy will depend on tomorrow.
#VentureCapital #Cybersecurity #AIInfrastructure #EnterpriseSoftware #StartupEcosystem
1
1
3
339
May 8
Our sponsor this week is @PushSecurity !
It’s your last chance to get in on the Push Security webinar series in the State of Browser Attacks with special guests John Hammond, Troy Hunt, and Matt Johansen. There is only one session left to go, and you don’t want to miss out!
Register here and watch the previous sessions on-demand (no gates!)
👉 hubs.li/Q04dnw7Q0
3
1
21
5,537
May 7
We wish to thank Gold Sponsor #PushSecurity for their support. Check out their website at pushsecurity.com/ and talk to them at #BSides312 on My 16. Tickets are still available at bsides312.org/
#BSides
1
2
65
Apr 29
🔗 A single third-party OAuth integration can become a path into your environment.
🔎 @PushSecurity explains how the Vercel breach shows a compromised OAuth app can lead to widespread impact across downstream customers.
➡️bleepingcomputer.com/news/se…
#cybersecurity #sponsored
4
12
3,638
Apr 10
Oooo, getting closer to hangout time with @jukelennings and @PushSecurity!! I'm excited to join the party for their "Why the Browser is the New Battleground" show 😎 jh.live/push-security-webina…
Browser-based threats tend to be too often overlooked by security tools, and attackers take full advantage of that -- we will dig into ConsentFix, session-stealing MFA bypass tricks, LinkedIn and Google malvertising, and what else is on the horizon. Tune in next Thursday, April 16th at 11:00am ET! Or if ya can't make it, you can still snag the recording if you register.
2
6
37
9,171
OAuth attacks up 37x. ClickFix = #1 initial access vector last year. Average attacker breakout time: 29 minutes.
@TroyHunt, @_JohnHammond, and @mattjay are breaking down the full browser attack picture in a 3-part series from @PushSecurity.
Starts April 16 → thn.news/push-webinar-browse…
9
27
6,626
Apr 1
I'm pumped to join @PushSecurity for a live chat on browser attacks -- actually, a new series they're starting, with folks way cooler than me: @troyhunt & @mattjay ! My show is with @jukelennings to dig into today's tradecraft, April 16th at 11am ET! Link: jh.live/push-security-webina…
1
9
70
11,181
Mar 30
🧠 Wszystkie kierunki dozwolone
Najnowszy raport Push Security dobrze porządkuje coś, co w cyberbezpieczeństwie widać już od miesięcy: coraz więcej włamań zaczyna się i kończy w przeglądarce, a celem nie jest samo urządzenie, tylko tożsamość, aktywna sesja i dostęp do usług SaaS. W tym ujęciu przeglądarka przestaje być tylko narzędziem pracy, a staje się jednym z głównych pól walki.
Raport nie opisuje jednego „superataku”, tylko cały zestaw technik, które dziś regularnie pojawiają się w realnych włamaniach.
Chodzi między innymi o:
➡️ phishing AiTM, który przechwytuje nie tylko login i hasło, ale też MFA oraz sesję
➡️ device code phishing, dający napastnikom legalnie wyglądający dostęp do kont i API
➡️ nadużycia OAuth, złośliwe rozszerzenia przeglądarki i credential stuffing
➡️ przejęcia sesji, w których nie trzeba instalować klasycznego malware na stacji ofiary
To wszystko spina się w całość. W ostatnich tygodniach widać nową falę phishingu AiTM wymierzoną w TikTok for Business. Celem nie są tu „fejkowe lajki”, tylko przejęcie kont reklamowych, które potem mogą posłużyć do malvertisingu, oszustw i dalszego rozprowadzania szkodliwych treści.
Do tego dochodzi Tycoon2FA. Na początku marca Europol ogłosił przejęcie 330 domen tej platformy phishingowej, ale późniejsze analizy CrowdStrike pokazały, że aktywność szybko wróciła do wcześniejszych poziomów.
To pokazuje, że nawet skuteczne działania operacyjne przeciw infrastrukturze nie rozwiązują problemu, jeśli sam model ataku nadal jest tani, skalowalny i skuteczny.
Źródła: Cyber Security Portal, PushSecurity, Infosecurity Magazine, The Hacker News, CrowdStrike
2
5
451
1
2
2
336
Jan 14
🎣 ConsentFix is an OAuth phishing technique abusing browser-based auth flows to hijack Microsoft
accounts.
🔍 @PushSecurity shares new insights from continued tracking, community research, and evolving attacker techniques.
➡️bleepingcomputer.com/news/se…
#cybersecurity #sponsored
10
33
4,622
Jan 12
【認証バイパス】新たなOAuth攻撃「ConsentFix」がMicrosoft Entra IDのデバイスコンプライアンスチェックを回避
PushSecurityの研究者らは、Microsoft Entra IDを標的とした新たな攻撃手法「ConsentFix」を発見した。正規のOAuth 2.0認証フローを武器化し、デバイスコンプライアンスチェックとConditionai Accessポリシーをバイパスして特権アクセストークンを窃取できる。ClickFix型ソーシャルエンジニアリングの進化形である。
攻撃はMicrosoft Azure CLIなどのネイティブパブリックアプリケーションの認証方法を根本から悪用する。被害者が悪意あるWebサイトを訪問すると、攻撃者はMicrosoft Azure CLIクライアントとAzure Resource Managerリソースをターゲットとした正規のMicrosoft EntraログインURIを生成。標準的なOAuth 2.0認可コードフローが開始されるが、本来アプリケーションがlocalhostでリッスンして受け取るはずの認可コードを、攻撃者はドラッグ＆ドロップやコピー＆ペースト操作で被害者から取得する。
セキュリティ研究者John Hammondは初回公開から数日以内に改良版を実証し、手動のコピー＆ペースト操作を排除した純粋なドラッグ＆ドロップ抽出を可能にした。取得した認可コードは攻撃者のインフラから引き換えられ、Azure Resource Managerへの無制限アクセスを可能にするアクセストークン、IDトークン、リフレッシュトークンを獲得する。
検出にはEntra IDサインインログの異常相関が有効である。成功した攻撃は2つのイベントを生成し、SessionIdが一貫して両イベントで共通する。正規のAzure CLI使用では両サインインが同一IPから発生するが、攻撃では被害者と攻撃者間で地理的分散が見られる。緩和策として、Token Protection機能によるProof-of-Possession要求が最も堅牢だが、対象は特定のMicrosoft 365リソースに限定される。
gbhackers.com/new-oauth-atta…
43
188
24,696
Jan 9
vrrrry niiiiiiiiice 😎
yeah, the lure is a bit convoluted, but still neat 😜
1
11
3,095