🫠 Хакер получил доступ к управлению прямыми трансляциями на ЧМ 2026 и мог управлять камерами, которые транслировали каждый футбольный матч.

• В блоге bobdahacker, которому ранее удалось взломать Petlibro, McDonald’s и Burger King, появилась новая захватывающая статья. На этот раз ему удалось получить доступ к админ-панели FIFA, с помощью которой можно было управлять прямым эфиром. Можно было управлять любой камерой, каждой трансляцией на любом матче чемпионата мира по футболу 2026! А чтобы оперативно сообщить о проблеме, ему пришлось в 3 часа ночи звонить в FIFA, MediaKind, HBS, CISA и писать в ФБР, но обо всем по порядку...

• Началось все с того, что bobdahacker попытался зарегистрироваться на агентской платформе FIFA. Это общедоступный портал, где может зарегистрироваться каждый желающий. Вы указываете свои данные, адрес электронной почты, и после проверки вашего селфи регистрация завершается. Самое забавное случилось после регистрации, когда учетная запись bobdahacker была добавлена в Microsoft Entra (ранее Azure AD), благодаря чему можно было зайти на другие ресурсы FIFA, что и было сделано...

• bobdahacker попытался зайти на сайт fdp.fifa.org (платформа, где собраны все данные по футболу: матчи, состав, турниры, сотрудники и т.д.), но столкнулся с ошибкой доступа. Система показывала, что у него недостаточно прав для входа в систему. Все правильно, вот только проверка осуществлялась на стороне клиента, а не сервера. Angular проверял JWT (JSON Web Token) на наличие NO_ROLES маркера и отображало страницу с сообщением об отказе в доступе. А что с бэкэнд-API? Они ничего не проверяли. Они просто предоставляли все, что вы запрашивали. Воспользовавшись этой уязвимостью можно было авторизоваться в системе. Так bobdahacker попал в панель администратора, которая имела безграничные возможности.

• Как уже было указано ранее, наш герой получил доступ к камерам и управлению прямыми трансляциями, но и это было еще не все... Панель включала в себя доступ к полноценному мониторингу за матчами (с видеоплеером, хронологией событий, данными о судьях, всех матчах, составы команд, различной информацией для комментаторов и т.д.).

• Самое забавное, что у FIFA нет файла security.txt, нет контактных данных для коммуникации по вопросам безопасности и нет платформы Bug Bounty. Поэтому было принято решение разослать письма на все электронные адреса, которые можно было найти в сети. Никакой реакции не последовало. Далее была попытка связаться со штаб-квартирой FIFA в Цюрихе и позвонить на телефон пресс-конференции FIFA - никто не отвечал на звонки.

• Далее bobdahacker обнаружил, что CISA (Агентство по кибербезопасности и защите инфраструктуры США) осуществляет поддержку в области кибербезопасности чемпионата мира по футболу FIFA 2026 , включая системы вещания. Был совершен звонок в их круглосуточный операционный центр, где ответили на звонок и попросили отправить всю необходимую информацию на электронную почту. Кроме того, у хакера остался контакт сотрудника ФБР в Signal, с которым он сотрудничал ранее, куда была продублирована информация.

• В итоге уязвимость была устранена, а учетная запись была заблокирована. Нужно отметить, что FIFA вообще никак не отреагировала и не связалась с хакером. Никаких сообщений о подтверждении репорта, никаких вознаграждений, никаких благодарностей. Абсолютно ничего. Как-то так...

➡️ https://bobdahacker.com/blog/fifa-hack

#Новости #Security

• Линус Торвальдс принял в состав ядра Linux 7.2 набор патчей из которого выпилили стек протоколов AppleTalk. Интересно, что AppleTalk использовался в компьютерах Apple с 1985 года и в 1998 году (в Mac OS 8.x.) был заменен на TCP/IP. А вот поддержка AppleTalk была прекращена Apple в выпуске Mac OS X 10.6 "Snow Leopard", сформированном в 2009 году.

• Забавно, что Linux поддерживает технологии Apple дольше, чем сама компания Apple 👀

#Linux

• Исследователи из Mysk выяснили, что Apple записывает каждое касание юзеров в магазине приложений AppStore. Указано, что таким образом компания собирает данные и осуществляет поведенческий анализ, чтобы формировать рекомендации для пользователей.

Они записывают каждое касание, и это невозможно отключить. Они даже могут вычислить скорость вашего набора текста — заявили исследователи.

• По словам экспертов Mysk, аналитика входит в пакет персональных данных, который любой пользователь может запросить у Apple через сервис privacy.apple.com. Так, при вводе одного поискового запроса компания получает подробную статистику действий.

• При этом функционал работает у всех юзеров по умолчанию, а отказаться или ограничить сбор данных не представляется возможным!

➡️ https://www.macrumors.com/apple

#Новости #Apple #Исследование

• Автор этого материала нашел более 10.000 репозиториев на GitHub, в которых находится ссылка на скачивание zip-архива. В этом архиве - троян. Все эти репозитории от разных контрибьюторов, с разным названием и не являются форками других репозиториев. Но у всех них есть одинаковый паттерн, который позволил написать скрипт для поиска вредоносных репозиториев.

➡️ Статья опубликована на хабре.
➡️ Полный список репозиториев автор опубликовал на GitHub.
➡️ Скрипт для поиска таких репозиториев: Git Malware Finder.

• P.S. 18 апреля было опубликовано исследование, в котором подробно рассказывается, как работает эта малварь: How 109 Fake GitHub Repositories Delivered SmartLoader and StealC.

#Malware #Security

🎉 FreeBSD сегодня исполняется 33 года.

• Свое начало операционная система BSD берет в 1974 году, когда исследовательская группа Калифорнийского университета в Беркли получила от AT&T право на использование исходного кода Unix. При поддержке агентства DARPA ученые смогли существенно доработать Unix и создать новую версию, названную Berkeley Software Distribution (BSD). Эта ОС включала в себя передовые технологии того времени, такие как стек протоколов TCP/IP, файловою систему Berkeley Fast File и механизм виртуальной памяти.

• Официальный старт проекта BSD был дан в 1976 году под руководством Билла Джоя. В 1989 году вышла первая публичная версия BSD, получившая название Net-1, а в 1991 году за ней последовал выпуск Net-2. 19 июня 1993 года проект был переименован во FreeBSD, и уже осенью того же года состоялся релиз первой версии под этим названием.

• Сейчас FreeBSD считается одной из самых стабильных и производительных ОС для серверов, рабочих станций и встраиваемых устройств. Система продолжает развиваться, и достаточно активно. ОС становится удобнее для администраторов и остается тем самым "фундаментом", на котором строят проекты с длительным жизненным циклом.

➡️ Если вам интересна история создания FreeBSD, то добро пожаловать на официальный сайт проекта: https://docs-archive.freebsd.org

#Разное

• На GitHub есть хороший курс по кибербезопасности, который изначально был реализован на английском языке. Наши ребята сделали форк этого репозитория и полностью русифицировали данный курс, добавив в него много актуальной информации.

• Курс абсолютно бесплатный, с открытым исходным кодом и полностью интерактивный. Содержание под спойлером:

• Фишинг, смишинг и вишинг (Phishing, Smishing & Vishing) (9 слайдов):
➡Симулятор email-фишинга;
➡Симулятор смишинга;
➡Симулятор вишинга;
➡Сценарии из реальной жизни.

• Мошенничество от лица руководителей (CEO & Executive Fraud) (6 слайдов):
➡Симулятор атаки в чате с «Не CFO» (Маскировка под финансового директора);
➡Испытание с таймером срочности;
➡Сценарии с банковскими переводами.

• Атаки типа «Водопой» (Watering Hole Attacks) (9 слайдов):
➡Симулятор заражения веб-сайта;
➡Игра по распознаванию опасных URL;
➡Симуляция реагирования на инциденты.

• Основы кибербезопасности (General Cybersecurity) (10 слайдов):
➡Симуляция реагирования на программы-вымогатели (Ransomware);
➡Сценарии безопасности устройств;
➡Задачи на проверку надежности паролей;
➡Оценка безопасности программного обеспечения.

• Защита конфиденциальной информации (Privacy Awareness) (10 слайдов):
➡Упражнения по классификации данных;
➡Сценарии соответствия требованиям 152-ФЗ;
➡Симуляции утечки конфиденциальных данных;
➡Лучшие практики обработки данных.

• Безопасное программирование (OWASP Top 10) (6 слайдов):
➡Интерактивный обозреватель OWASP Top 10;
➡Лабораторная работа по SQL-инъекциям;
➡Задачи по анализу кода (Code review);
➡Сканер уязвимостей зависимостей.

➡️ Курс доступен на GitHub [Ru].
➡️ Курс на английском языке.
➡️ Автор перевода.

#Security #Курс

• После того как в Индии начали блокировать Telegram из-за утечек экзаменационных материалов перед проведением крупнейшего медицинского экзамена страны, люди массово начали скачивать VPN и обходить ограничения. Популярность VPN-сервисов в стране увеличилась на 49%.

• Что касается отдельных приложений, то самые популярные сервисы фиксируют рост количества пользователей более чем на 100%.

• Также жители Индии начали массово скачивать другие мессенджеры: статистика по кол-ву загрузок Signal через App Store выросла на 72%, а в Google Play на 322%! Что касается Viber, то кол-во загрузок через App Store выросло на 216%.

• Ну и еще было отмечено, что ограничения не привели к моментальному падению активности в самом Telegram. Напротив, ежедневная аудитория приложения в Индии выросла на 17% в день анонса блокировки.

• Можно было подумать, что будет как-то по-другому...

➡️ Источник.

#Статистика #Новости

🎉 Результаты розыгрыша:

🏆 Победители:
1. Sergei (@el_tomato)
2. Михаил (@Stitch_mihail)
3. PAlkovnic (@PAlkovnic)
4. Руслан (@ruha_ch)
5. Кирилл (@Nenazvaniy)
6. Эд (@eddyfun)
7. Илья (@ilya_konin)
8. Купцов (@WhySoScary)
9. Borzy (@Borziking)
10. Romax_32 (@Romax_32)

✔️Проверить результаты