• Сегодня, 14 октября 2025 года, Microsoft официально прекратила поддержку всех редакций Windows 10 (Home, Pro, Enterprise и Education), кроме LTSC. Также в этот день заканчивается поддержка MS Office 2016 и MS Office 2019 на всех операционных системах.

• Microsoft Windows 10 вышла 29 июля 2015 года. Дата окончания поддержки Windows 10 стала известна ещё в июне 2021 года. Последней версией Windows 10 стала версия 22H2, выпущенная в сентябре 2022 года.

• Ушла эпоха... 🫡

#Windows #Разное

• Исследователи из четырёх американских университетов опубликовали исследование, в котором описали технику атаки Pixnapping (CVE-2025-48561), позволяющую определить информацию выводимую на экран различными приложениями, включая Google Authenticator, Gmail, Signal, Venmo и Google Maps.

• Для определения содержимого экрана задействован метод попиксельного анализа, реализованный в 2023 году той же командой исследователей в атаке по сторонним каналам GPU.zip и впервые описанный ещё в 2013 году. Суть метода в том, что из-за присутствующих в GPU оптимизаций, отрисовка пикселя с цветом, повторяющим уже выведенный на экран цвет, выполняется быстрее, чем пикселя с иным цветом. Оценивая разницу во времени при отрисовке пикселей можно воссоздать уже имеющееся на экране содержимое и сформировать подобие скриншота.

• Атака Pixnapping сводится к вызову целевого приложения, выводу поверх него своего окна и попиксельному перебору содержимого с анализом времени выполнения графических операций над каждым пикселем. Подобный перебор позволяет с высокой вероятностью определить, какие пиксели имеют белый цвет фона, а какие участвуют в отображении символов. Для скрытия манипуляций с пикселями от пользователя производится наложение слоёв с масками - во время атаки визуально на экране продолжает показываться содержимое окна приложения, из которого производится атака.

• Метод был опробован на смартфонах Pixel 6, 7, 8 и 9 с версиям Android 13-16 для определения ста шестизначных кодов двухфакторной аутентификации, сгенерированных в Google Authenticator. Точность определения кодов на отмеченных смартфонах составила 73%, 53%, 29% и 53%, а время определения - 14.3, 25.8, 24.9 и 25.3 секунд, соответственно.

• Компания Google в сентябрьских патчах уязвимостей добавила в Android начальную защиту от атаки, основанную на запрете применения операции размытия к большому числу слоёв. В ответ исследователи нашли возможность обойти данное ограничение, поэтому Google планирует реализовать более полную защиту в декабрьском обновлении Android.

➡️ Исследование.
➡️ Источник.

#Исследование #Android

👩‍💻 Kubernetes Security Guide.

• С ростом популярности Kubernetes все больше компаний стремятся использовать его для облегчения управления контейнеризованными приложениями. Вместе с этой тенденцией наблюдается рост числа неправильно сконфигурированных кластеров, что создает большие риски в части обеспечения безопасности.

• В этом руководстве вы найдете информацию по безопасной настройке кластера k8s. Материал вышел очень объемным и включает в себя практические примеры. Содержание следующее:

• Prerequisites;
• Test Environment – your own cluster in minutes using a ready-made script;
• Kubernetes Architecture;
• STRIDE for Kubernetes;
• Node Security – Start with the Basics:
➡Attack Surface;
➡Identifying Vulnerabilities;
➡Reducing the Attack Surface (Firewall);
➡Looking Inside – Whitebox Audit.
• Cluster Components Security:
➡Update of key components;
➡Anonymous Access;
➡Users, Authentication and Authorization;
➡Emergency Access (Break-Glass);
➡Verification of Granted Access;
➡Authorization;
➡Authorization – Automating the Permission Verification Process;
➡Other Authentication and Authorization Methods (static tokens, Node, ABAC, and Webhook);
➡etcd Security;
➡Secrets;
➡Namespaces;
➡Network Policies;
➡Metrics API and Avoiding Shortcuts;
➡Automated Tools.
• Security of Images, Containers, and Pods:
➡Minimal Images – The Fewer Dependencies, the Better;
➡Specifying a Specific Image Version;
➡Vulnerability Scanners;
➡Learning About Admission Controllers – Automating the Vulnerability Scanning Process;
➡Own Registry;
➡OPA Gatekeeper - Registry Under Control;
➡Security Context - Additional Hardening;
➡AppArmor;
➡Other Capabilities;
➡Pod Security Standards;
➡gVisor;
➡Resource Quotas;
➡Auditing;
➡Falco - Detection and Analysis of Suspicious Activities.
• Debugging - Essentials for Troubleshooting;
• Additional Resources.

#DevOps #Kubernetes

• Очень объемная и актуальная диаграмма, в которой представлены различные аспекты безопасности Kubernetes в визуальном формате. В хорошем качестве можно изучить по ссылке ниже:

➡ https://kubesec-diagram.github.io

• Дополнительно: напомню, что вчера я опубликовал очень полезное руководство, где можно найти информацию по безопасной настройке кластера k8s. Материал вышел очень объемным и включает в себя практические примеры.

#Kubernetes

• 20 лет назад компания Sony BMG, занимающаяся распространением звукозаписывающих лейблов, оказалась в центре огромного скандала мирового масштаба. Компания решила снабдить свои диски не только музыкой, но и парочкой программ защиты от несанкционированного копирования. Но всё пошло по одному месту... это ПО, в последствии, принесло немало проблем как простым пользователям ПК, так и самой компании Sony BMG.

• Более 22 миллионов дисков, выпущенных в продажу Sony BMG, содержали в себе две программы: Extended Copy Protection (XCP) и MediaMax CD-3. А теперь подробнее о каждой:

• XCP: 31 октября 2005 года Марк Руссинович, сотрудник компании Microsoft, написал в своем блоге о необычном открытии, которое он сделал, вставив купленным им диск от Sony BMG в компьютер. Этим открытием был XCP. Марк, как и многих других, возмутил тот факт, что в лицензионном соглашении о данном ПО не было ни слова. Ну т.е. программа устанавливалась без ведома пользователя и всячески скрывала свое существование, что характеризует ее как руткит.

• С точки зрения правообладателей данное ПО было сделано с благими намерениями, но в то же время XCP создавал очень много проблем и уязвимостей:

➡XCP создавал дыры в безопасности, которые могли быть использованы (и были, по факту) другими вредоносными программами;
➡XCP работал в фоновом режиме постоянно, потребляя большую часть ресурсов системы, замедляя работу ПК;
➡Для запуска и отключения XCP использовал небезопасные процедуры, вызывающие падение системы;
➡У XCP не было деинсталлятора, а большинство попыток его удалить приводили к тому, что ОС не распознавала существующие драйвера.

• После заявления Руссиновича, многие злоумышленники воспользовались дырами в безопасности, созданными XCP, для распространения вирусов и червей.

• MediaMax CD-3: скандальной особенностью этого ПО была установка несмотря на лицензионное соглашение. То есть, перед фактическим использованием диска пользователь должен был согласится с пунктами лицензионного соглашения. Если отказаться, закрыть окно или даже «убить» процесс, то MediaMax все равно устанавливался на компьютер.

• Новость о вредоносном ПО на дисках от Sony BMG распространилась со скоростью звука. В итоге, компания была вынуждена объявить о возврате копий, которые неуспели продать. Однако несмотря на данное заявления, во многих городах продажа зараженных дисков велась и дальше.

• 21 ноября 2005 года генеральный прокурор штата Техас подал иск на компанию Sony BMG. Техас стал первым (но не последним) штатом, который решил засудить Sony BMG. Основной мыслью обвинения было то, что компания тайно установила на ПК пользователей вредное ПО, которое нарушало работу системы и бело к возникновению проблем с безопасностью. Естественно Sony BMG проиграла в суде и должна была выплаты 750 000 долларов судебных издержек, по 150 долларов за каждый поврежденный ПК, разместить подробное описание вредоносного ОП на своем сайте и указать о его существовании в своей рекламе в Google, Yahoo! и MSN.

• Далее последовало множество исков от пострадавших. Столь сильный общественный резонанс, финансовые потери и судебные разбирательства все же подтолкнули Sony BMG принять решение — более не использовать подобное ПО на своих дисках. Такая вот история...

#Разное

• В Румынии раскрыт киберинцидент - заключённый, ранее осуждённый за киберпреступления, взломал тюремную IT-систему и изменил сроки заключения для себя и ещё 14 человек.

• История началась в июле 2025 года, когда заключённого временно перевели в тюремную больницу, где он получил доступ к учётным данным сотрудника тюрьмы с правами администратора системы ANP (система Национального управления пенитенциарных учреждений Румынии). Этого оказалось достаточно, чтобы организовать дальнейший взлом.

• Вернувшись обратно в тюрьму, заключённый воспользовался физическим доступом к инфокиоскам, которые были подключены к внутренней сети и снабжены клавиатурами. Используя учётные данные администратора, хакер проник в IMSweb - внутреннюю платформу управления информацией о заключённых. Там он, а позже и другие заключённые, провели более 300 часов активности в течение трёх месяцев.

• Среди задокументированных действий: изменение сроков заключения путём подстановки «заработанных дней», перевод денежных средств между тюремными счетами и даже редактирование условий содержания.

• Аномалии стали заметны лишь спустя 3 месяца, когда сотрудник финансового отдела обнаружил расхождения между покупками заключённых и состоянием их счетов. Вскоре выяснилось, что один из осуждённых совершил онлайн-покупки на сумму почти 600 баксов, используя виртуальные средства, полученные обманным путём.

• По результатам проверки выяснилось, что 15 заключённых получили прямую выгоду от хакерского вмешательства. Более того, злоумышленники получили доступ к изображениям с камер, внутренней документации и даже имели план клонирования всей IT-системы для дальнейшей продажи на чёрном рынке...

➡️ https://dinpolitica.ro/

#Новости

• 5 дней назад на YT были опубликованы выступления и доклады участников DEF CON 33 - крупнейшей хакерской конференции в мире. О некоторых исследованиях, которые были представлены на конференции, я уже рассказывал в канале, но теперь появилась возможность посмотреть все выступления и провести этот вечер (а может даже и не один) с пользой!

➡️ https://www.youtube.com/playlist/DEFCON

#Конференция #DEFCON

• Хорошая статья была опубликована на хабре, автор которой продемонстрировал самый простой способ взлома подарочных сертификатов одного магазина одежды. С помощью скрипта, который был написал на Python, можно было просканировать все выпущенные и не активированные подарочные карты. По итогу, за 10 минут времени, автору удалось получить купонов на 177 тыс. рублей.

• Данная информация была направлена магазину для дальнейшего устранения уязвимости, за что автор получил денежное вознаграждение теплые слова благодарности...

➡️ https://habr.com/ru/articles/956174/

#Security #Web