• Группа хакеров
• Схема была следующей: хакеры размещали заманчивые объявления на популярных ресурсах для поиска работы в сфере AI и криптовалют. Направляли ссылку на фейковое собеседование кандидатам, которые откликнулись на вакансию. На собеседовании хакеры использовали дипфейки и направляли кандидатам тестовое задание, которое содержало ссылку на фишинговый ресурс \ зараженный репозиторий.
• Таким образом хакеры получили доступ к 30 000 устройств и 7 000 криптокошельков более чем в 100 странах. Общая сумма, которую хакеры смогли вывести в результате данной кампании, составляет 10,7 млн. баксов.
• Вакансии с подвохом...
➡️ https://www.npa.go.jp/bureau/cyber/pdf/20260918_e.pdf
#Новости #Security
WaterPlum из Северной Кореи заманивали людей на фейковые вакансии, проводили собеседования и взламывали кандидатов. Таким образом, с декабря 2025 года по июль 2026 им удалось взломать более 7000 криптовалютных кошельков...• Схема была следующей: хакеры размещали заманчивые объявления на популярных ресурсах для поиска работы в сфере AI и криптовалют. Направляли ссылку на фейковое собеседование кандидатам, которые откликнулись на вакансию. На собеседовании хакеры использовали дипфейки и направляли кандидатам тестовое задание, которое содержало ссылку на фишинговый ресурс \ зараженный репозиторий.
• Таким образом хакеры получили доступ к 30 000 устройств и 7 000 криптокошельков более чем в 100 странах. Общая сумма, которую хакеры смогли вывести в результате данной кампании, составляет 10,7 млн. баксов.
• Вакансии с подвохом...
#Новости #Security
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
2 34 9🔥6❤4 3👍1🤔1
• Мошенники залили на YouTube видеоуроки по созданию арбитражных ботов на базе Claude, а в код зашили функцию перевода средств на собственный счет.
• Никаких фишинговых ссылок и малвари... Следуя инструкциям, жертвы самостоятельно разворачивали ботов и отправляли крипту злоумышленникам.
• Эксперты TRM Labs нашли 9 аналогичных видеоуроков на YouTube, представленных как руководства от разных авторов.
• Схема оказалась прибыльной — с февраля по август 2026 года 224 жертвы лишились 275 ETH (около 750 тыс. баксов). Украденная крипта сразу прогонялась через миксеры и DeFi. А общее кол-во просмотров таких "уроков" перевалило за 300 тыс.
➡️ https://www.trmlabs.com/fake-ai-trading-bots
#Исследование #Новости #Security
• Никаких фишинговых ссылок и малвари... Следуя инструкциям, жертвы самостоятельно разворачивали ботов и отправляли крипту злоумышленникам.
• Эксперты TRM Labs нашли 9 аналогичных видеоуроков на YouTube, представленных как руководства от разных авторов.
• Схема оказалась прибыльной — с февраля по август 2026 года 224 жертвы лишились 275 ETH (около 750 тыс. баксов). Украденная крипта сразу прогонялась через миксеры и DeFi. А общее кол-во просмотров таких "уроков" перевалило за 300 тыс.
#Исследование #Новости #Security
Please open Telegram to view this post
VIEW IN TELEGRAM
4 64 29😁9 8❤3🤣3🔥2🤔1
Выдали ИИ слишком много прав — и получили новую точку риска
• Когда в инфраструктуре появляются агенты, внешние сервисы, MCP-серверы и инструменты, одной проверки модели уже недостаточно. Нужно понимать, с чем ИИ взаимодействует и какие права получает.
• Для этого Yandex B2B Tech добавила в Security Deck модуль класса AI-SPM. Он постоянно анализирует ИИ-инфраструктуру и показывает нарушения с описанием риска, уровнем критичности и рекомендациями.
• В основе подхода лежит AI-SAFE 2.0, которая разбирает агентную систему на 16 типовых компонентов, а для каждого определяет подходящие меры защиты из 47 вариантов.
• Получается, проверять нужно не только саму модель, но и всё, с чем она связана: данные, доступы, инструменты и среду, в которой работает ИИ.
➡ Источник.
#ИБ #Ai
• Когда в инфраструктуре появляются агенты, внешние сервисы, MCP-серверы и инструменты, одной проверки модели уже недостаточно. Нужно понимать, с чем ИИ взаимодействует и какие права получает.
• Для этого Yandex B2B Tech добавила в Security Deck модуль класса AI-SPM. Он постоянно анализирует ИИ-инфраструктуру и показывает нарушения с описанием риска, уровнем критичности и рекомендациями.
• В основе подхода лежит AI-SAFE 2.0, которая разбирает агентную систему на 16 типовых компонентов, а для каждого определяет подходящие меры защиты из 47 вариантов.
• Получается, проверять нужно не только саму модель, но и всё, с чем она связана: данные, доступы, инструменты и среду, в которой работает ИИ.
#ИБ #Ai
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥14👍8🤮8❤4
• А вы знали, что из 75 кодов статусов HTTP на практике используется около 10? Но сейчас все чаще встречается код 451 – Unavailable For Legal Reasons - страница недоступна по юридическим причинам. Например, вы можете наблюдать
• Дело в том, что ранее в HTTP не было выделенного кода статуса для цензуры, применялся код 403 Forbidden. Например, чтобы ограничить доступ к пиратскому ресурсу The Pirate Bay. Но в 2012 году Теренс Иден в заметке "There is no HTTP code for censorship (but perhaps there should be)" обратил внимание что код 403 содержательно не соответствует ситуации.
• Во-первых, класс кодов статусов 4ХХ предназначен для случаев, когда ошибся сам клиент. Но в данном случае ошибки клиента нет.
• Во-вторых, в описании кода 403 сказано, что он должен выдаваться, когда сервер понял запрос, но отказывается выполнять его. Юридические ограничения часто реализуются провайдерами, в таком случае сервер даже не получает запрос.
• Теренс посчитал целесообразным выделить отдельный код ответа HTTP для указания юридических ограничений и предложил несколько вариантов:
➡
➡
➡
➡
• Аргументацию Теренса посчитали правильной и в 2016 году IETF принял документ RFC 7725 «An HTTP Status Code to Report Legal Obstacles». В этом документе для указания ограничений по юридическим причинам предлагается использовать код 451. Так и пошло...
• Ну и еще интересный факт: этот код является отсылкой к роману антиутопии Рэя Брэдбери "451 градус по Фаренгейту", в котором описывается цензура и сжигание запрещенных книг, которые горят при температуре 451°F . Хранение книг является преступлением, а люди, способные критически мыслить, оказываются вне закона.
• В конце текста официального извещения о введении этого стандартного кода (RFC 7725) выражена благодарность автору данной книги.
#Разное
HTTP 451 в том случае, если попытаетесь прочитать какую-либо статью на хабре без VPN об обходе блокировок.• Дело в том, что ранее в HTTP не было выделенного кода статуса для цензуры, применялся код 403 Forbidden. Например, чтобы ограничить доступ к пиратскому ресурсу The Pirate Bay. Но в 2012 году Теренс Иден в заметке "There is no HTTP code for censorship (but perhaps there should be)" обратил внимание что код 403 содержательно не соответствует ситуации.
• Во-первых, класс кодов статусов 4ХХ предназначен для случаев, когда ошибся сам клиент. Но в данном случае ошибки клиента нет.
• Во-вторых, в описании кода 403 сказано, что он должен выдаваться, когда сервер понял запрос, но отказывается выполнять его. Юридические ограничения часто реализуются провайдерами, в таком случае сервер даже не получает запрос.
• Теренс посчитал целесообразным выделить отдельный код ответа HTTP для указания юридических ограничений и предложил несколько вариантов:
HTTP 112 - Emergency. Censorship in action - чрезвычайная ситуация, цензура в действии (в Европе телефон 112 используется для сообщения о чрезвычайных ситуациях).HTTP 460 - Blocked by Repressive Regime - заблокировано репрессивным режимом.HTTP 560 - Server is being censored - сервер находится под цензурой.HTTP 911 - Internet Emergency - чрезвычайная ситуация в интернет (телефон 911 используется для сообщения о чрезвычайных ситуациях в США).• Аргументацию Теренса посчитали правильной и в 2016 году IETF принял документ RFC 7725 «An HTTP Status Code to Report Legal Obstacles». В этом документе для указания ограничений по юридическим причинам предлагается использовать код 451. Так и пошло...
• Ну и еще интересный факт: этот код является отсылкой к роману антиутопии Рэя Брэдбери "451 градус по Фаренгейту", в котором описывается цензура и сжигание запрещенных книг, которые горят при температуре 451°F . Хранение книг является преступлением, а люди, способные критически мыслить, оказываются вне закона.
• В конце текста официального извещения о введении этого стандартного кода (RFC 7725) выражена благодарность автору данной книги.
#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
2🔥59👍10❤8😢5 5
• Небольшая подборка полезных ресурсов, которые помогут повысить вашу конфиденциальность в сети. Сохраните, пригодится:
➡ myactivity.google.com → Информация о ваших действиях в сервисах Google;
➡ takeout.google.com → Выгрузка ваших данных из Google;
➡ myadcenter.google.com → Рекламный профиль Google, созданный для вас;
➡ myaccount.google.com → Все приложения, связанные с вашим аккаунтом;
➡ ipleak.net → Тест на утечки IP и DNS;
➡ whoer.net → Ваш балл анонимности;
➡ dnsleaktest.com → Проверка утечек DNS;
➡ urlscan.io → Анализ сайта без его открытия;
➡ cookiepedia.co.uk → Все о ваших печеньках;
➡ censys.io → Сканирование открытых сервисов;
➡ justdeleteme.xyz → Как удалить каждый аккаунт;
➡ browseraudit.com → Аудит безопасности браузера;
➡ datarequests.org → Готовое письмо-запрос по GDPR;
➡ privacyrights.org → Архив записей об утечках данных;
➡ coveryourtracks.eff.org → Отпечаток вашего браузера;
➡ reports.exodus-privacy.eu.org → Трекеры в приложениях;
➡ redirectdetective.com → Куда на самом деле ведет ссылка;
➡ hybrid-analysis.com → Что файл делает в фоновом режиме;
➡ privacy.net → Какую информацию раскрывает ваш браузер;
➡ monitor.mozilla.org → Мониторинг ваших данных в утечках;
➡ webbkoll.dataskydd.net → Аудит конфиденциальности сайта;
➡ whitepages.com → Запрос на удаление вашей личной записи;
➡ foundation.mozilla.org → Оценка конфиденциальности устройств;
➡ amiunique.org → Насколько уникален ваш браузерный отпечаток;
➡ privacyspy.org → Оценочная карта политики конфиденциальности;
➡ deviceinfo.me → Вся информация, которую отдает ваше устройство;
➡ whatsmyname.app → Где зарегистрировано ваше имя пользователя;
➡ themarkup.org → Сканирование отслеживания сайтов с помощью Blacklight;
➡ browserleaks.com → Оценка вашего браузера на предмет конфиденциальности.
#Разное
#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍37🔥11❤9🥰3 3 2
• 18 лет назад появились слухи о том, что Google разрабатывает новую ОС на базе ядра Linux! В то время никто не мог предположить, что Google затевает настоящую революцию, и их разработка уже в ближайшем будущем захватит рынок мобильных устройств. Релиз первой версии ОС Android состоялся 23 сентября 2008 года, сегодня популярнейшая на нашей планете мобильная платформа празднует очередной день рождения.
• Изначально ОС занималась независимая компания Android, Inc., созданная в 2003 году в Пало Альто, Калифорния, четырьмя энтузиастами - Эндрю Рубином, Ричем Майнером, Ником Сирсом и Крисом Уайтом. Сам Рубин, когда-то работавший инженером в Apple, вспоминал, что его команда трудилась над ОС с прицелом на цифровые камеры. Именно они на заре "нулевых" считались наиболее "умными" и перспективными среди массовых электронных устройств.
• Однако рынок цифровых фотокамер был все же достаточно узким, и убедить инвесторов в перспективности своего стартапа Рубину никак не удавалось. В какой-то период у юной компании
Android, Inc. не хватало денег даже на оплату аренды, и разработчикам на полном серьезе грозило выселение из офиса. Ситуацию тогда спас близкий друг Эндрю Рубина Стив Перлман, который одолжил ему 10 000 баксов, что буквально спасло фирму от разорения. Этот инцидент заставил основателя пересмотреть свои планы, и Рубин решил, что Android следует превратить в ОС для мобильных устройств, которая сможет конкурировать с Symbian и Microsoft Windows Mobile.• Рубин принялся искать финансирование, и в течение 2005 года пытался заключить сделки с HTC и Samsung, но обе компании не оценили перспектив Android. Тем временем, в Google также проектировали компактную ОС для управления цифровыми камерами - с возможностью отображать на дисплее отснятые кадры, вспомогательную графику и устанавливать связь с компьютером. Но зачем тратить ресурсы на создание чего-либо с нуля, когда можно купить почти готовое? Наверное, именно так посчитали в Маунтин-Вью, и в августе 2005 года приобрели
Android, Inc. за 130 млн. долларов. Сам Эндрю Рубин при этом стал акционером и сотрудником Google. Позже, в 2010 году, вице-президент Google по корпоративному развитию Дэвид Лауи оценил эту сделку, как самую успешную за всю историю корпорации.• Ключевым моментом в истории Android стала принятая Google финансовая модель: корпорация решила бесплатно поставлять ОС разработчикам мобильных устройств, в то время как извлекать прибыль она собиралась благодаря сервисным услугам и агентскому проценту от реализации приложений. В первую очередь Google решила предложить Android производителям мобильных телефонов и операторам связи, делая особый акцент на том, что она предоставляет не просто обновляемую ОС, а целую инфраструктуру, включающую множество гибких возможностей. Именно эта концепция сыграла ключевую роль в росте популярности новой платформы, что позволило ей в конечном итоге завоевать лидерство на рынке мобильных устройств.
• Бета-версию Android 1.0 для разработчиков Google выпустила 5 ноября 2007 года, а первое устройство с новой операционной системой на борту, T-Mobile G1, также известное под названием HTC Dream (на фото), было представлено публике в сентябре 2008 года.
• Кстати, логотип Android придумала штатный дизайнер Google Ирина Блок. По ее собственным словам, логотип должен был стать максимально простым и запоминающимся. К слову, созданного ею зеленого робота, ставшего талисманом и маскотом Android, зовут Энди - в честь первого разработчика и создателя Android Эндрю Рубина. Внешний вид логотипа несколько раз менялся, но вот созданный Блок персонаж дожил до наших дней в чуть модифицированном, но почти первозданном виде.
• Сам Эндрю Рубин вынужден был покинуть Google в 2014 году после обвинений в сексуальных домогательствах к симпатичным сотрудницам... В качестве "прощального подарка" он получил от бывшего работодателя выходное пособие в размере 90 млн. долларов, что, в общем-то, неплохо для бывшего программиста, но довольно скромно для создателя и первого идеолога ОС, завоевавшей мир.
#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
1❤34🔥17👍12🎉6😭4🤮1🍾1 1
Please open Telegram to view this post
VIEW IN TELEGRAM
3 73🤣52👍10 7❤3🔥2😁2🤩2🦄1
• На ежегодной конференции Yandex Scale 2026 компания заявила, что запускает новое ИБ-направление – Yandex Security.
Под зонтичным брендом Yandex Security мы объединили наши ИБ‑решения, включая разработки с SolidLab, чтобы обеспечить защиту любых инфраструктур — от гибридных до мультиоблачных — с бесшовным внедрением и централизованной безопасностью», — заявил директор по информационной безопасности Yandex Сloud Евгений Сидоров.
• Сервисы Yandex Security позволят защищать инфраструктуру, размещённую у разных облачных провайдеров. В Yandex Security Deck появится возможность собирать данные о безопасности ресурсов разных облачных провайдеров в едином интерфейсе. Система позволит контролировать доступы, находить ошибки конфигурации и оценивать риски — без необходимости переключаться между несколькими консолями. До конца года у компании появится несколько ведущих облачных провайдеров-партнеров.
• В сервисе Yandex Identity Hub появится беспарольная авторизация на базе
WebAuthn / FIDO2. Сотрудники смогут входить в корпоративные системы с помощью биометрии или аппаратного ключа, а администраторы — настраивать правила использования паролей и многофакторной аутентификации.• В Security Deck также появился Access Analyzer. Он отслеживает использование ролей, помогает находить избыточные права и неиспользуемые сервисные аккаунты. Это соответствует принципу минимальных полномочий: у пользователя или сервиса должно быть только то, что действительно необходимо для работы.
• Ещё одно обновление появилось в Smart Web Security —
JS-Challenge. Проверка посетителя происходит в фоновом режиме, а капча показывается только при подозрительной активности. Таким образом, система может отделять обычных пользователей от ботов без постоянного вмешательства в пользовательский сценарий.#ИБ #Security
Please open Telegram to view this post
VIEW IN TELEGRAM
👍10🤡8👎4🔥4 4❤2🤮2
YouTube
1981 primitive Internet report on KRON
Long before anyone had heard of the Internet, early home computer users could read their morning newspapers online ... sort of. Steve Newman's 1981 story was broadcast on KRON San Francisco.
• 47 лет назад, 24 сентября 1979 года, начал работу первый в мире диалап-провайдер CompuServe. Примечательно в этой дате то, что в те времена цифрового контента не существовало в принципе, так что провайдеру приходилось самому его создавать. Например, CompuServe заключали договоры с газетами на предоставление их контента в цифровом виде.
• К 1982 году в CompuServe смогла заключить договоры с десятками крупнейших американских газет, включая The Washington Post и Los Angeles Times.
• А начиналось все в 1969 году, когда была создана фирма
• C 24 сентября 1979 года конверты MicroNET начали продаваться в магазинах сети Radio Shack. Сервис оказался неожиданно успешным. Возможно, благодаря хиту продаж того времени — новым миниатюрным персональным компьютерам Tandy Model 100 со встроенным модемом на 300 бод. Модем оказался весьма кстати.
• В 1980 году MicroNET переименовали в CompuServe Information Service.
• Хитовой услугой, которая вывела CompuServe на новый уровень, стала вовсе не новостная служба, а чат. Так называемый "CB Simulator" был запущен в 1980 году и стал первой в мире программой для текстового чата в реальном времени. Очень скоро CB Simulator захватил 20% всего времени, которое пользователи проводили в онлайне.
• Вскоре CompuServe запустил различные дополнительные услуги: котировки акций в реальном режиме времени, прогноз погоды (со скачиваемыми картами), форумы для общения и даже онлайновое бронировние авиабилетов. И конечно, электронную почту, которая стала еще одним хитом.
• Адреса электронной почты в системе CompuServe представляли собой странный набор цифр в восьмеричной системе, разделенных запятой, например,
• В начале 1981 года услугами CompuServe пользовались уже 10 000 человек. К середине 90-х счёт уже пошел на миллионы, и массовый сервис стал приносить компании больше денег, чем корпоративное направление.
• Золотым временем CompuServe было начало 90-х, когда они были крупнейшим и самым известным онлайновым сервисом в США. Однако, текстовый интерфейс и поминутная оплата стали легкой мишенью для конкурента AOL (America OnLine). Он предоставил красивый графический интерфейсом и очень низкую месячную абонентскую плату за неограниченное использование. С помощью агрессивного маркетинга (рассылка по почте миллионов компакт-дисков со своим ПО, причем каждый диск включал некоторое количество бесплатных часов) сервис AOL очень быстро набрал популярность и вытеснил CompuServe на обочину истории.
• CompuServe тоже потом ввел абонентскую плату и анлим, но было уже поздно. Впрочем, через несколько лет оба этих информационных сервиса пали перед появлением "большого Интернета" и интернет-провайдеров, которые предлагали доступ в Сеть, в то время как у абонентов CompuServe и AOL такого доступа не было.
• После долгих мучений диалап-провайдер CompuServe был продан AOL. Однако, 30 июня 2009 года легендарный сервис CompuServe Classic был окончательно закрыт, немного не дотянув до своего 30-летия.
➡ https://youtu.be/5WCTn4FljUQ
#Разное
• К 1982 году в CompuServe смогла заключить договоры с десятками крупнейших американских газет, включая The Washington Post и Los Angeles Times.
• А начиналось все в 1969 году, когда была создана фирма
Compu-Serve, позже CompuServe, она специализировалась на предоставлении в аренду процессорного времени через диалап для коммерческих предприятий. Инновационный бизнес оказался очень успешным, и спустя 10 лет владельцы фирмы расширили сферу деятельности. В 1979 году они открыли аналогичный сервис под названием MicroNET для частных лиц. Это был очень рискованный шаг, потому что в те времена персональные компьютеры были еще в диковинку.• C 24 сентября 1979 года конверты MicroNET начали продаваться в магазинах сети Radio Shack. Сервис оказался неожиданно успешным. Возможно, благодаря хиту продаж того времени — новым миниатюрным персональным компьютерам Tandy Model 100 со встроенным модемом на 300 бод. Модем оказался весьма кстати.
• В 1980 году MicroNET переименовали в CompuServe Information Service.
• Хитовой услугой, которая вывела CompuServe на новый уровень, стала вовсе не новостная служба, а чат. Так называемый "CB Simulator" был запущен в 1980 году и стал первой в мире программой для текстового чата в реальном времени. Очень скоро CB Simulator захватил 20% всего времени, которое пользователи проводили в онлайне.
• Вскоре CompuServe запустил различные дополнительные услуги: котировки акций в реальном режиме времени, прогноз погоды (со скачиваемыми картами), форумы для общения и даже онлайновое бронировние авиабилетов. И конечно, электронную почту, которая стала еще одним хитом.
• Адреса электронной почты в системе CompuServe представляли собой странный набор цифр в восьмеричной системе, разделенных запятой, например,
77241,443. С появлением интернета этот адрес выглядел как 72241.443@compuserve.com, и все пользователи CompuServe сохраняли именно такие адреса в течение долгих лет.• В начале 1981 года услугами CompuServe пользовались уже 10 000 человек. К середине 90-х счёт уже пошел на миллионы, и массовый сервис стал приносить компании больше денег, чем корпоративное направление.
• Золотым временем CompuServe было начало 90-х, когда они были крупнейшим и самым известным онлайновым сервисом в США. Однако, текстовый интерфейс и поминутная оплата стали легкой мишенью для конкурента AOL (America OnLine). Он предоставил красивый графический интерфейсом и очень низкую месячную абонентскую плату за неограниченное использование. С помощью агрессивного маркетинга (рассылка по почте миллионов компакт-дисков со своим ПО, причем каждый диск включал некоторое количество бесплатных часов) сервис AOL очень быстро набрал популярность и вытеснил CompuServe на обочину истории.
• CompuServe тоже потом ввел абонентскую плату и анлим, но было уже поздно. Впрочем, через несколько лет оба этих информационных сервиса пали перед появлением "большого Интернета" и интернет-провайдеров, которые предлагали доступ в Сеть, в то время как у абонентов CompuServe и AOL такого доступа не было.
• После долгих мучений диалап-провайдер CompuServe был продан AOL. Однако, 30 июня 2009 года легендарный сервис CompuServe Classic был окончательно закрыт, немного не дотянув до своего 30-летия.
#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍26🔥9❤4 2
• Исследователи из Австрийского технического университета выявили серию атак по сторонним каналам, которые могут осуществляться через механизмы отслеживания изменений в файловой системе.
• Атаки позволяют отслеживать активность других пользователей на основе анализа событий об обращении к файлам и каталогам через API: inotify в Linux, FileObserver в Android, ReadDirectoryChangesW в Windows и File System Events в macOS.
• Полученные сведения могут использоваться для воссоздания информации, вводимой пользователем с клавиатуры, для определения открываемых сайтов или для организации
• Первый метод атаки продемонстрирован в Linux и вызван возможностью определения доступа к файлам внутри каталога, которые напрямую не доступны для чтения и отслеживания. При помощи функции inotifywatch можно косвенно отслеживать факты изменения файлов внутри каталога через мониторинг самого каталога.
• Напрямую у непривилегированного пользователя нет прав доступа на чтение содержимого и отслеживание активности устройства
• Используя методы статистического анализа и учитывая, что при наборе текста задержки между нажатиями зависят от расположения клавиш на клавиатуре, можно с определенной вероятностью воссоздавать вводимую информацию. Например, реакция при вводе буквы "
• Метод также применим для воссоздания ввода в SSH-сеансах при подключении двух разных пользователей к одному SSH-серверу. В этом случае один из пользователей может отслеживать события, возникающие при вводе данных другим пользователем, через мониторинг файла-устройства
• Второй способ атаки позволяет определить момент вывода диалога c запросом параметров аутентификации подсистемой Polkit через отслеживание обращения к исполняемому файлу
• Предоставляемый платформой Android API FileObserver можно использовать для отслеживания активности с файлами в приватных каталогах других приложений. Например, анализируя активность в каталоге
• В Windows оказалось, что включение отслеживания событий для корневого каталога (
➡ Источники [1],[2],[3],[4].
* принадлежит компании Meta, которая признана в РФ экстремистской и запрещена!
#Исследование #Security
• Атаки позволяют отслеживать активность других пользователей на основе анализа событий об обращении к файлам и каталогам через API: inotify в Linux, FileObserver в Android, ReadDirectoryChangesW в Windows и File System Events в macOS.
• Полученные сведения могут использоваться для воссоздания информации, вводимой пользователем с клавиатуры, для определения открываемых сайтов или для организации
clickjacking - атак, осуществляющих наложение содержимого на активное окно в момент перед кликом. Код с реализацией методов атак опубликован под лицензией MIT.• Первый метод атаки продемонстрирован в Linux и вызван возможностью определения доступа к файлам внутри каталога, которые напрямую не доступны для чтения и отслеживания. При помощи функции inotifywatch можно косвенно отслеживать факты изменения файлов внутри каталога через мониторинг самого каталога.
• Напрямую у непривилегированного пользователя нет прав доступа на чтение содержимого и отслеживание активности устройства
/dev/input/event4, отражающего события клавиатурного ввода. Но события, происходящие с файлом /dev/input/event4, влияют на состояние родительского каталога и могут отслеживаться через мониторинг изменения метаданных каталога /dev/input. Изменение состояния /dev/input/event4 происходит при вводе данных и задержки между фиксируемыми через inotify событиями коррелируют с задержками между нажатиями клавиш на клавиатуре.• Используя методы статистического анализа и учитывая, что при наборе текста задержки между нажатиями зависят от расположения клавиш на клавиатуре, можно с определенной вероятностью воссоздавать вводимую информацию. Например, реакция при вводе буквы "
F" быстрее, чем при вводе "Q" или "X", так как для нажатия требуется меньше движений пальцев.• Метод также применим для воссоздания ввода в SSH-сеансах при подключении двух разных пользователей к одному SSH-серверу. В этом случае один из пользователей может отслеживать события, возникающие при вводе данных другим пользователем, через мониторинг файла-устройства
/dev/pts. Проблема была решена в январских обновлениях ядра 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.65 и 6.18.3 через запрет генерации событий ACCESS и MODIFY для родительского каталога при доступе или изменении специальных файлов внутри него.• Второй способ атаки позволяет определить момент вывода диалога c запросом параметров аутентификации подсистемой Polkit через отслеживание обращения к исполняемому файлу
/usr/bin/pkexec. В этот момент атакующий может сформировать фиктивное окно, стилизованное под диалог ввода пароля, и вывести его поверх реального запроса пароля. Возможность проведения подобной атаки продемонстрирована в дистрибутивах со средой рабочего стола KDE Plasma.• Предоставляемый платформой Android API FileObserver можно использовать для отслеживания активности с файлами в приватных каталогах других приложений. Например, анализируя активность в каталоге
/sdcard/Android/media/com.whatsapp/WhatsApp* можно отследить факты удаления, отправки и получения файлов, видео или изображений в WhatsApp*, а также узнать имена отправляемых или получаемых файлов.• В Windows оказалось, что включение отслеживания событий для корневого каталога (
C:\) передает информацию, включая полный файловый путь, о любых событиях со всеми файлами в файловой системе, независимо от прав доступа к файлам. Исследователями продемонстрирована возможность использования данной особенности для отслеживания в реальном времени того, какие сайты пользователи открывают в Firefox. Реакция Microsoft на данную проблему с безопасностью выдвинута на премию Pwnies Award 2026 в номинации самая неадекватная реакция производителя (Lamest Vendor Response), так как представители компании вначале заявили, что это не баг, а фича.* принадлежит компании Meta, которая признана в РФ экстремистской и запрещена!
#Исследование #Security
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
1🤯8❤7👍5 4 3🔥2
• История, которая будет описана ниже, началась в 2009 году. В этом посте пойдет речь об одном баге в автоматах для видеопокера
• Первые автоматы для видеопокера появились в американских казино в 70-е годы и их сразу ждал большой успех. Игрокам нравилось, что они могут влиять на результат (выбирать карты), а не тупо крутить барабан. Владелец патента International Game Technology провела IPO и вышла на биржу в 1981 году.
• Главным козырем
• Соль была в том, что в коде пятой версии был баг, который оставался незамеченным в течение следующих 7 лет, переходя в каждую новую версию прошивки. В итоге ошибка проникла в 99 разных программ на тыс. игровых автоматов IGT. Насколько известно, никто не воспользовался багом до апреля 2009 года, когда его случайно обнаружил Джон Кейн.
• Однажды в одном из игровых автоматов возле китайской закусочной на окраине Лас-Вегаса Джон пробовал разные варианты покера, но потом решил заказать кэшаут и поискать удачи в другом месте. Как только он нажал кнопку
• Джон позвонил другу Андре Нестору, они вместе засели за автоматы и начали проводить тестирование игровой системы, пробуя разные игры и последовательность действий.
• Суть бага была в том, что машина позволяла менять размер ставки на низких лимитах от 1 до 50 центов, при этом ошибочно позволяла изменить размер ретроактивно. То есть после выигрыша на ставке 1 цент можно было изменить номинал до 50 центов и получить выигрыш в 50 раз больше положенного.
• Спустя 7 часов друзья смогли установить пошаговую последовательность действий, чтобы воспроизвести баг. К сожалению, по какой-то причине баг проявлял себя только в автоматах
• Менеджеры заметили неладное и отключили на проигрышных устройствах функцию удвоения ставки
• Со временем выяснилось, что после получения джекпота повторение определенной комбинации действий позволяло повторить джекпот точно с теми же картами. Собственно, на этом их, в конце концов, и поймали.
• После очередного джекпота игровые автоматы опечатали и отправили на экспертизу. Расследование поручили 25-летнему Джону Ластуски. Тот изучил логи, затем скопировал содержимое
• Прокуратура предъявила Андре Нестору обвинение по 698 пунктам, от воровства до преступного сговора. В 2011 году дело передали в министерство юстиции, и обвиняемым выдвинули обвинение по новой статье о компьютерном взломе. Но закончилось все хорошо. Друзья отказались давать показания друг против друга, и министерство юстиции было вынуждено снять обвинения, а в марте 2014 года дело закрыли.
• Нестор потратил все деньги на адвоката, а вот Кейн сохранил свой выигрыш. Судя по судебным записям, деньги не были конфискованы. Такая вот история...
➡️ Источник.
#Разное
Game King Multi-Game. Игрок, который нашел этот баг, не сообщил разработчикам о найденной уязвимости, а начал снимать джекпоты в разных казино. Расследование ФБР показало, что он снял из игровых автоматов более 500 тыс. баксов.• Первые автоматы для видеопокера появились в американских казино в 70-е годы и их сразу ждал большой успех. Игрокам нравилось, что они могут влиять на результат (выбирать карты), а не тупо крутить барабан. Владелец патента International Game Technology провела IPO и вышла на биржу в 1981 году.
• Главным козырем
IGT было использование компьютерных технологий в игровых автоматах. Компания добилась идеальной формулы в 1996 году, с выпуском модели Game King Multi-Game, которая предлагала несколько вариантов покера. Казино закупили эти автоматы, а производитель продавал им новые прошивки с новыми играми. 25 сентября 2002 года вышла пятая версия прошивки - Game King 5.0.• Соль была в том, что в коде пятой версии был баг, который оставался незамеченным в течение следующих 7 лет, переходя в каждую новую версию прошивки. В итоге ошибка проникла в 99 разных программ на тыс. игровых автоматов IGT. Насколько известно, никто не воспользовался багом до апреля 2009 года, когда его случайно обнаружил Джон Кейн.
• Однажды в одном из игровых автоматов возле китайской закусочной на окраине Лас-Вегаса Джон пробовал разные варианты покера, но потом решил заказать кэшаут и поискать удачи в другом месте. Как только он нажал кнопку
Cash Out, экран неожиданно заблокировался, автомат заморгал и выдал джекпот в размере 1000 баксов.• Джон позвонил другу Андре Нестору, они вместе засели за автоматы и начали проводить тестирование игровой системы, пробуя разные игры и последовательность действий.
• Суть бага была в том, что машина позволяла менять размер ставки на низких лимитах от 1 до 50 центов, при этом ошибочно позволяла изменить размер ретроактивно. То есть после выигрыша на ставке 1 цент можно было изменить номинал до 50 центов и получить выигрыш в 50 раз больше положенного.
• Спустя 7 часов друзья смогли установить пошаговую последовательность действий, чтобы воспроизвести баг. К сожалению, по какой-то причине баг проявлял себя только в автоматах
Game King, установленных в одном маленьком районе Лас-Вегаса. Тем не менее, за 5 недель упорного труда Кейн сумел снять в этом районе более 100 тыс. баксов.• Менеджеры заметили неладное и отключили на проигрышных устройствах функцию удвоения ставки
Double Up, после чего все перестало работать. И тут "багоюзеры" поняли: ведь эта функция отключена по умолчанию во всех автоматах, на которых они пробовали ее в прошлый раз. Таким образом, они могли зайти в любое казино, попросить включить функцию - и получить джекпот.• Со временем выяснилось, что после получения джекпота повторение определенной комбинации действий позволяло повторить джекпот точно с теми же картами. Собственно, на этом их, в конце концов, и поймали.
• После очередного джекпота игровые автоматы опечатали и отправили на экспертизу. Расследование поручили 25-летнему Джону Ластуски. Тот изучил логи, затем скопировал содержимое
EPROM и не нашел признаков внешнего вмешательства и бэкдоров. Тем не менее, повторяя выигрышные действия, через несколько дней Ластуски смог воспроизвести нужную последовательность. Он сообщил о находке руководству, и вскоре функцию Double Up деактивировали на всех игровых автоматах.• Прокуратура предъявила Андре Нестору обвинение по 698 пунктам, от воровства до преступного сговора. В 2011 году дело передали в министерство юстиции, и обвиняемым выдвинули обвинение по новой статье о компьютерном взломе. Но закончилось все хорошо. Друзья отказались давать показания друг против друга, и министерство юстиции было вынуждено снять обвинения, а в марте 2014 года дело закрыли.
• Нестор потратил все деньги на адвоката, а вот Кейн сохранил свой выигрыш. Судя по судебным записям, деньги не были конфискованы. Такая вот история...
#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥43 13👍10❤5 4😁1
• Во время холодной войны между СССР и США мировые лидеры поняли, что одна ошибка с любой стороны будет означать не просто начало войны, а практически гарантированное уничтожение всего человечества, ведь к 1967 году обе мировые державы обладали суммарным боезапасом в 40 тысяч ядерных зарядов.
• Ровно 43 года назад, 26 сентября 1983 года, система предупреждения о ракетном нападении "Око" ошибочно сообщила о запуске пяти баллистических ракет с территории США.
• Смысл системы был в том, что ее спутник находился на высокой эллиптической орбите, наблюдая за районами базирования ракет под таким углом, чтобы они находились на краю видимого диска Земли. Это позволяло обнаружить факт запуска на фоне темного космического пространства по инфракрасному излучению работающего ракетного двигателя. Кроме того, выбранное расположение спутника снижало вероятность засветок датчиков отраженным от облаков или снега солнечным светом.
• После безупречного года работы внезапно выяснилось, что в один день при определенном положении спутника и Солнца свет отражается от облаков, расположенных на больших высотах, оставляя то самое инфракрасное излучение, которое компьютеры восприняли как след от ракет.
• Оперативный дежурный Станислав Петров, занимавший должность инженера-аналитика, который принял на командном пункте сигнал от "Ока" усомнился в верности данных. Будучи инженером, он справедливо считал, что компьютер может ошибаться. И его логику несложно понять. В случае начала войны американцы бы использовали весь свой арсенал, а не стали запускать пару ракет с одной базы. Петров сознательно нарушил инструкцию и сказал командиру, что произошло ложное срабатывание системы. Поступи дежурный по инструкции – со стороны СССР сразу же последовал бы "удар возмездия" и никого из нас не было бы в живых. Никто, кому сейчас младше 37 лет, вообще не появился бы на свет.
• Спасший тогда всю планету Станислав Петров получил только выговор. Эта история была подробно описана в книге Дэвида Хоффмана «Мертвая рука» - одном из главных мировых произведений о "холодной войне".
• Кстати, подобная ошибка, едва не повлекшая за собой глобальный ядерный конфликт, произошла и по другую сторону океана. 9 ноября 1979 года из-за сбоя компьютера воздушно-космической обороны Северной Америки была получена информация о начале ракетной атаки против США - в количестве 2200 запусков. В то же время спутники раннего предупреждения и радары показали, что никакой информации о советской атаке не поступало - только благодаря перепроверке данных, сделанной за 10 минут, не был отдан приказ о взаимном гарантированном уничтожении.
• Причиной всему оказалась самая опасная уязвимость - человеческий фактор. Оператор компьютера, находящегося на боевом дежурстве, загрузил в него пленку с учебной программой, имитировавшей ситуацию массированной ракетной атаки.
• За несколько первых лет работы Национального центра управления Объединенного командования аэрокосмической обороны США и Канады было зафиксировано 3703 ложных сигнала тревоги, большая часть из которых появилась из-за атмосферных явлений. Однако случались и компьютерные ошибки. Так один из «боевых» компьютеров 3 июня 1980 года показал постоянно меняющиеся цифры количества ракет, запущенных Советским Союзом. Проблема возникла из-за аппаратного сбоя в микросхеме.
➡ Источник.
#Разное
• Ровно 43 года назад, 26 сентября 1983 года, система предупреждения о ракетном нападении "Око" ошибочно сообщила о запуске пяти баллистических ракет с территории США.
• Смысл системы был в том, что ее спутник находился на высокой эллиптической орбите, наблюдая за районами базирования ракет под таким углом, чтобы они находились на краю видимого диска Земли. Это позволяло обнаружить факт запуска на фоне темного космического пространства по инфракрасному излучению работающего ракетного двигателя. Кроме того, выбранное расположение спутника снижало вероятность засветок датчиков отраженным от облаков или снега солнечным светом.
• После безупречного года работы внезапно выяснилось, что в один день при определенном положении спутника и Солнца свет отражается от облаков, расположенных на больших высотах, оставляя то самое инфракрасное излучение, которое компьютеры восприняли как след от ракет.
• Оперативный дежурный Станислав Петров, занимавший должность инженера-аналитика, который принял на командном пункте сигнал от "Ока" усомнился в верности данных. Будучи инженером, он справедливо считал, что компьютер может ошибаться. И его логику несложно понять. В случае начала войны американцы бы использовали весь свой арсенал, а не стали запускать пару ракет с одной базы. Петров сознательно нарушил инструкцию и сказал командиру, что произошло ложное срабатывание системы. Поступи дежурный по инструкции – со стороны СССР сразу же последовал бы "удар возмездия" и никого из нас не было бы в живых. Никто, кому сейчас младше 37 лет, вообще не появился бы на свет.
• Спасший тогда всю планету Станислав Петров получил только выговор. Эта история была подробно описана в книге Дэвида Хоффмана «Мертвая рука» - одном из главных мировых произведений о "холодной войне".
• Кстати, подобная ошибка, едва не повлекшая за собой глобальный ядерный конфликт, произошла и по другую сторону океана. 9 ноября 1979 года из-за сбоя компьютера воздушно-космической обороны Северной Америки была получена информация о начале ракетной атаки против США - в количестве 2200 запусков. В то же время спутники раннего предупреждения и радары показали, что никакой информации о советской атаке не поступало - только благодаря перепроверке данных, сделанной за 10 минут, не был отдан приказ о взаимном гарантированном уничтожении.
• Причиной всему оказалась самая опасная уязвимость - человеческий фактор. Оператор компьютера, находящегося на боевом дежурстве, загрузил в него пленку с учебной программой, имитировавшей ситуацию массированной ракетной атаки.
• За несколько первых лет работы Национального центра управления Объединенного командования аэрокосмической обороны США и Канады было зафиксировано 3703 ложных сигнала тревоги, большая часть из которых появилась из-за атмосферных явлений. Однако случались и компьютерные ошибки. Так один из «боевых» компьютеров 3 июня 1980 года показал постоянно меняющиеся цифры количества ракет, запущенных Советским Союзом. Проблема возникла из-за аппаратного сбоя в микросхеме.
#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
2🔥48 14❤9👍8🤯2 2☃1👎1
• Знаете какой сегодня день? 27 сентября 1983 года, Ричард Столлман опубликовал первоначальное объявление о запуске проекта по созданию полностью свободной операционной системы GNU (GNU’s Not UNIX). С тех пор минуло ровно 43 года, проект GNU слился с Linux, а операционная система GNU/Linux победно шагает по планете, успешно развиваясь.
• Если развернуть спойлер ниже, то там вы найдете текст оригинального сообщения Ричарда Столлмана, в переводе на русский язык:
➡ https://www.gnu.org/gnu/initial-announcement.en.html
#GNU
• Если развернуть спойлер ниже, то там вы найдете текст оригинального сообщения Ричарда Столлмана, в переводе на русский язык:
Свободу Unix!
Начиная с ближайшего Дня благодарения, я собираюсь написать полную совместимую с Unix программную систему под названием GNU, что значит «Gnu's Not Unix» (GNU — это не Unix), и выпустить её в свет свободной для каждого, кто может её использовать. Очень нужна помощь в виде рабочего времени, денег, программ и оборудования.
Для начала GNU будет представлять собой ядро плюс все утилиты, нужные для написания и запуска программ на Си: редактор, командный интерпретатор, компилятор Си, редактор связей, ассемблер и кое-что ещё. После этого мы добавим программу форматирования текста, YACC, игру «Империя», табличный процессор и сотни других вещей. Мы надеемся выдать — со временем — всё то полезное, что обычно поставляется с системой семейства Unix, и всё прочее полезное, включая документацию в электронном виде и на бумаге.
GNU сможет исполнять программы Unix, но не будет идентична Unix. Мы внесём все улучшения, какие только будут уместны, опираясь на наш опыт работы с другими операционными системами. В частности, мы планируем ввести более длинные имена файлов, номера версий файлов, устойчивую к сбоям файловую систему, поддержку терминально-независимых дисплеев, возможно, завершение имён файлов, а со временем — оконную систему на базе Лисп, в которой несколько программ на Лисп и обычных программ Unix могут разделять один экран. В качестве системных языков программирования будут доступны как Си, так и Лисп. У нас будут сетевые программы на основе chaosnet — протокола Массачусетского технологического института, значительно превосходящего протокол UUCP. Может быть, у нас будет также что-нибудь совместимое с UUCP.
Кто я такой?
Я — Ричард Столмен, изобретатель оригинального редактора EMACS, который много имитировали; я работаю в Лаборатории искусственного интеллекта в Массачусетском технологическом институте. У меня большой опыт работы над компиляторами, редакторами, отладчиками, командными интерпретаторами, Несовместимой системой разделения времени (НСРВ) и операционной системой на машине Лисп. Я впервые ввёл поддержку терминально-независимых дисплеев на НСРВ. Кроме того, я реализовал устойчивую к сбоям файловую систему и две оконных системы для машин Лисп.
Почему я должен писать GNU
Я принимаю во внимание, что золотое правило требует, что если мне нравится программа, я должен обмениваться ею с другими людьми, которым она нравится. Я не могу без стыда подписать лицензионное соглашение программы или договор о неразглашении.
Так что, чтобы я мог продолжать пользоваться компьютерами без нарушения своих принципов, я решил сложить вместе достаточную массу свободных программ, чтобы я мог обойтись без любой несвободной программы.
Чем вы можете помочь
Я призываю производителей компьютеров приносить в дар машины и деньги. Я призываю частных лиц приносить в дар программы и труд.
Отдельные программисты могут помочь, написав совместимую замену какой-нибудь из утилит Unix и передав её мне. Для большинства проектов такую распределённую работу по совместительству было бы очень трудно координировать; независимо написанные части не заработали бы вместе. Но конкретно для задачи замены Unix этой проблемы нет. Большинство спецификаций взаимодействия определяется совместимостью с Unix. Если каждый вклад будет работать с остальной Unix, он, вероятно, заработает с остальной GNU.
#GNU
Please open Telegram to view this post
VIEW IN TELEGRAM
2🔥33🎉18❤11👍3🫡2❤🔥1