Forwarded from Python/ django
🚨 PyPI снова взломали. Теперь под ударом пакет telnyx
Очередной удар по supply chain от TeamPCP. И это уже не единичный случай - это целая атака по экосистеме разработчиков.
Что произошло:
• Популярный Python-пакет telnyx на PyPI был скомпрометирован
• Вредоносный код внедрили прямо в официальные версии
• Payload срабатывает при обычном
Что делает malware:
• крадёт SSH-ключи, токены, .env, криптокошельки
• шифрует и отправляет данные на сервер злоумышленников
• закрепляется в системе (persistency)
• может распространяться дальше по инфраструктуре
Это не просто вредоносный пакет - это полноценаая атака:
1. Сначала взломали Trivy (инструмент безопасности)
2. Через него украли токены CI/CD
3. Затем заразили npm (CanisterWorm)
4. Потом PyPI (LiteLLM, telnyx и др.)
👉 Один заражённый пакет = полный доступ к инфраструктуре
Теперь правило №1:
• фиксируй версии (pin dependencies)
• проверяй хэши
• не доверяй последним релизам вслепую
Это уже не баги.
Это война за supply chain.
https://www.aikido.dev/blog/telnyx-pypi-compromised-teampcp-canisterworm
🐍 Python полезные ресурсы 🚀Max
@pythonl
Очередной удар по supply chain от TeamPCP. И это уже не единичный случай - это целая атака по экосистеме разработчиков.
Что произошло:
• Популярный Python-пакет telnyx на PyPI был скомпрометирован
• Вредоносный код внедрили прямо в официальные версии
• Payload срабатывает при обычном
import — без действий пользователя Что делает malware:
• крадёт SSH-ключи, токены, .env, криптокошельки
• шифрует и отправляет данные на сервер злоумышленников
• закрепляется в системе (persistency)
• может распространяться дальше по инфраструктуре
Это не просто вредоносный пакет - это полноценаая атака:
1. Сначала взломали Trivy (инструмент безопасности)
2. Через него украли токены CI/CD
3. Затем заразили npm (CanisterWorm)
4. Потом PyPI (LiteLLM, telnyx и др.)
👉 Один заражённый пакет = полный доступ к инфраструктуре
Теперь правило №1:
• фиксируй версии (pin dependencies)
• проверяй хэши
• не доверяй последним релизам вслепую
Это уже не баги.
Это война за supply chain.
https://www.aikido.dev/blog/telnyx-pypi-compromised-teampcp-canisterworm
🐍 Python полезные ресурсы 🚀Max
@pythonl
👍18❤10🔥7
ИИ начал находить настоящие баги в ядре Linux. И никто не понимает, почему именно сейчас
Грег Кроа-Хартман, один из ключевых мейнтейнеров ядра Linux, заявил что ситуация с AI-сгенерированными баг-репортами кардинально изменилась.
Ещё недавно это был поток мусора - теперь это реальные баги с рабочими патчами.
Его слова: «Что-то произошло месяц назад, и мир переключился.
Теперь к нам приходят настоящие отчёты». И это не только Linux - по его словам, все крупные open source проекты видят то же самое. Команды безопасности общаются между собой неформально, и картина везде одинаковая.
Никто не понимает, что именно изменилось. Кроа-Хартман говорит прямо: «Мы не знаем. Никто не знает почему. То ли инструменты стали сильно лучше, то ли люди просто начали пробовать. Похоже, что это много разных групп и компаний одновременно».
Ядро Linux справляется - команда большая и распределённая.
Баги мелкие, не критические, но поток реальный и не замедляется.
А вот для маленьких open source проектов это проблема. У них просто нет людей, чтобы обработать внезапный наплыв качественных AI-репортов.
Раньше страдали от мусорных репортов, теперь страдают от настоящих.
По сути мы наблюдаем момент, когда AI-инструменты для поиска уязвимостей перешли из категории «игрушка» в категорию «инфраструктура». И open source к этому не готов.
theregister.com/2026/03/26/greg_kroahhartman_ai_kernel/
🐍 Linux полезные ресурсы 🚀Max
@linuxkalii
Грег Кроа-Хартман, один из ключевых мейнтейнеров ядра Linux, заявил что ситуация с AI-сгенерированными баг-репортами кардинально изменилась.
Ещё недавно это был поток мусора - теперь это реальные баги с рабочими патчами.
Его слова: «Что-то произошло месяц назад, и мир переключился.
Теперь к нам приходят настоящие отчёты». И это не только Linux - по его словам, все крупные open source проекты видят то же самое. Команды безопасности общаются между собой неформально, и картина везде одинаковая.
Никто не понимает, что именно изменилось. Кроа-Хартман говорит прямо: «Мы не знаем. Никто не знает почему. То ли инструменты стали сильно лучше, то ли люди просто начали пробовать. Похоже, что это много разных групп и компаний одновременно».
Ядро Linux справляется - команда большая и распределённая.
Баги мелкие, не критические, но поток реальный и не замедляется.
А вот для маленьких open source проектов это проблема. У них просто нет людей, чтобы обработать внезапный наплыв качественных AI-репортов.
Раньше страдали от мусорных репортов, теперь страдают от настоящих.
По сути мы наблюдаем момент, когда AI-инструменты для поиска уязвимостей перешли из категории «игрушка» в категорию «инфраструктура». И open source к этому не готов.
theregister.com/2026/03/26/greg_kroahhartman_ai_kernel/
🐍 Linux полезные ресурсы 🚀Max
@linuxkalii
👍43🔥11❤9😁7😢3
Уязвимость проявляется через зависимости: в одном из кейсов пакет подтянулся через googleworkspace/cli, использовавшийся для работы с Gmail и Google Calendar. При этом установленная версия оказалась безопасной — 1.13.5. Однако зависимость не была зафиксирована (unpinned), и при установке в другое время могла подтянуться уже заражённая версия.
Это ключевая проблема всей экосистемы: если версии не закреплены, сборка может в любой момент «подхватить» компрометированный релиз.
Частично защититься можно локальными мерами — например:
ограничивать минимальный «возраст» релизов, использовать контейнеры, проверять зависимости.
Но системно проблему должны решать сами пакетные менеджеры (pip, npm и др.), меняя дефолтное поведение. Иначе одна заражённая версия, даже если её быстро находят и удаляют, успевает разойтись по тысячам проектов через незакреплённые зависимости.
Подробный разбор:
https://stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan
Please open Telegram to view this post
VIEW IN TELEGRAM
👍19❤18🤔4🔥3🤯1
✔️ Anthropic устроила массовую зачистку GitHub: удалено 8100 репозиториев с Claude Code
Компания направила GitHub жалобу в рамках DMCA, потребовав заблокировать доступ к утекшему коду Claude Code.
Платформа полностью удовлетворила запрос и зачистила репозитории с нелегальным контентом.
Под блокировку попал родительский репозиторий nirholas/claude-code и все его форки - в общей сложности 8100 проектов.
Представитель Anthropic заявил, что содержимое этих репозиториев целиком нарушает авторские права компании.
https://github.com/github/dmca/blob/master/2026/03/2026-03-31-anthropic.md
Компания направила GitHub жалобу в рамках DMCA, потребовав заблокировать доступ к утекшему коду Claude Code.
Платформа полностью удовлетворила запрос и зачистила репозитории с нелегальным контентом.
Под блокировку попал родительский репозиторий nirholas/claude-code и все его форки - в общей сложности 8100 проектов.
Представитель Anthropic заявил, что содержимое этих репозиториев целиком нарушает авторские права компании.
https://github.com/github/dmca/blob/master/2026/03/2026-03-31-anthropic.md
😁49😱17❤9👎5👍3
🛰️ Shadowbroker: Реальное геопространственное разведывательное решение
Shadowbroker — это платформа для анализа открытых источников, которая в реальном времени агрегирует данные о глобальных событиях, таких как авиаперелеты, морское движение, спутники и конфликты. Идеально подходит для аналитиков и исследователей, желающих получить целостный обзор мировых событий на едином интерфейсе.
🚀Основные моменты:
- Отслеживание частных и коммерческих авиарейсов
- Мониторинг морского трафика и военных кораблей
- Геолокация спутников и анализ их миссий
- Информация о глобальных конфликтах и событиях
- Доступ к CCTV и сигналам GPS в реальном времени
📌 GitHub: https://github.com/BigBodyCobain/Shadowbroker
#javascript
Shadowbroker — это платформа для анализа открытых источников, которая в реальном времени агрегирует данные о глобальных событиях, таких как авиаперелеты, морское движение, спутники и конфликты. Идеально подходит для аналитиков и исследователей, желающих получить целостный обзор мировых событий на едином интерфейсе.
🚀Основные моменты:
- Отслеживание частных и коммерческих авиарейсов
- Мониторинг морского трафика и военных кораблей
- Геолокация спутников и анализ их миссий
- Информация о глобальных конфликтах и событиях
- Доступ к CCTV и сигналам GPS в реальном времени
📌 GitHub: https://github.com/BigBodyCobain/Shadowbroker
#javascript
👍27❤9🔥6🤯2
🚨 Дуров: блокировки не работают, они только усиливают Telegram
В России попытались ограничить Telegram - итог обратный:
- 65 млн человек продолжают пользоваться им через VPN
- более 50 млн отправляют сообщения каждый день
Он приводит пример Ирана: там тоже пытались заблокировать мессенджер, но получили только массовый переход на VPN вместо контроля
По его словам, Россию ждёт тот же сценарий
Команда Telegram уже готовится отвечать на давление и будет усложнять обнаружение и блокировку трафика
https://t.me/durov/477
В России попытались ограничить Telegram - итог обратный:
- 65 млн человек продолжают пользоваться им через VPN
- более 50 млн отправляют сообщения каждый день
Он приводит пример Ирана: там тоже пытались заблокировать мессенджер, но получили только массовый переход на VPN вместо контроля
По его словам, Россию ждёт тот же сценарий
Команда Telegram уже готовится отвечать на давление и будет усложнять обнаружение и блокировку трафика
https://t.me/durov/477
🔥110❤29👍29👎7🤬2
Проект предназначен для специалистов по информационной безопасности, исследователей и энтузиастов, которым нужен мощный и гибкий инструмент для проведения тестов на проникновение.
Чем полезен:
- анализирует инфраструктуру и веб-сервисы
- ищет уязвимости
- запускает инструменты пентеста
- интерпретирует результаты
- планирует следующие шаги атаки
github.com/vxcontrol/pentagi
#AI #CyberSecurity #Agents #LLM #GitHub
Please open Telegram to view this post
VIEW IN TELEGRAM
❤19👍11🔥4👎1
This media is not supported in your browser
VIEW IN TELEGRAM
PicoClaw (от китайской AI-компании Sipeed, более 27K ⭐️ на GitHub).
PicoClaw: ИИ-ассистент на Go, который работает на железе за $10 и жрёт меньше 10 МБ оперативки
Около 95% кода сгенерировал сам агент, а люди уже довели его до рабочего состояния.
По цифрам всё выглядит очень мощно: меньше 10 МБ оперативки против гигабайтов у многих аналогов, запуск меньше чем за секунду даже на одноядерном процессоре с частотой 0.6 ГГц. Один бинарник работает на x86, ARM, MIPS, RISC-V и LoongArch. То есть PicoClaw можно запустить хоть на Raspberry Pi, хоть на дешёвом одноплатнике, хоть на старом Android-смартфоне через Termux.
Оркестрация LLM, мультиканальные сообщения, инструменты и навыки, поддержка MCP — при этом всё работает на одноплатных компьютерах за ~$10 с базовым потреблением менее 10 МБ оперативной памяти.
https://github.com/sipeed/picoclaw
PicoClaw: ИИ-ассистент на Go, который работает на железе за $10 и жрёт меньше 10 МБ оперативки
Около 95% кода сгенерировал сам агент, а люди уже довели его до рабочего состояния.
По цифрам всё выглядит очень мощно: меньше 10 МБ оперативки против гигабайтов у многих аналогов, запуск меньше чем за секунду даже на одноядерном процессоре с частотой 0.6 ГГц. Один бинарник работает на x86, ARM, MIPS, RISC-V и LoongArch. То есть PicoClaw можно запустить хоть на Raspberry Pi, хоть на дешёвом одноплатнике, хоть на старом Android-смартфоне через Termux.
Оркестрация LLM, мультиканальные сообщения, инструменты и навыки, поддержка MCP — при этом всё работает на одноплатных компьютерах за ~$10 с базовым потреблением менее 10 МБ оперативной памяти.
https://github.com/sipeed/picoclaw
👍24❤8🔥5
Представьте: бэкапы создаются автоматически по удобному вам расписанию, не боятся сбоев, кибератак и случайного удаления, а восстановить их можно независимо от основной инфраструктуры. И подключить их можно всего за 1,14 ₽/Гб с бесплатным входящим трафиком и запросами.
Представили? Захотели? Заказывайте S3 Vault-хранилище в Selectel: https://slc.tl/xrmgb
Реклама. АО "Селектел". erid:2W5zFK8RC9w
Представили? Захотели? Заказывайте S3 Vault-хранилище в Selectel: https://slc.tl/xrmgb
Реклама. АО "Селектел". erid:2W5zFK8RC9w
😁6👍2❤1
🔱 Metatron: Пентест теперь делает ИИ за тебя
Это локальный ИИ-агент для аудита безопасности, который работает прямо на Linux без API и облаков. Даёшь IP или домен и он сам запускает весь пайплайн проверки.
Под капотом классика: nmap, whois, whatweb, curl, dig, nikto.
Но дальше интереснее. Агент не просто собирает данные, а анализирует их, находит уязвимости, подбирает возможные эксплойты и сразу даёт рекомендации по фиксам.
Это автоматизированный пентестер, который не забывает шаги, не устает и проходит сценарий до конца.
Мастхев для тех, кто занимается безопасностью или хочет быстро проверить свой проект.
https://github.com/sooryathejas/METATRON
Это локальный ИИ-агент для аудита безопасности, который работает прямо на Linux без API и облаков. Даёшь IP или домен и он сам запускает весь пайплайн проверки.
Под капотом классика: nmap, whois, whatweb, curl, dig, nikto.
Но дальше интереснее. Агент не просто собирает данные, а анализирует их, находит уязвимости, подбирает возможные эксплойты и сразу даёт рекомендации по фиксам.
Это автоматизированный пентестер, который не забывает шаги, не устает и проходит сценарий до конца.
Мастхев для тех, кто занимается безопасностью или хочет быстро проверить свой проект.
https://github.com/sooryathejas/METATRON
❤37👍17👎7🔥4🤔3
По данным спецслужб Тайваня, Пекин атакует ИИ-сектор и производителей чипов, чтобы преодолеть технологическую блокаду. На острове фиксируют всплеск промышленного шпионажа: китайские компании используют теневые каналы, нелегально хантят инженеров, похищают интеллектуальную собственность и закупают оборудование в обход экспортного контроля.
Параллельно растет давление в киберпространстве. Только за первый квартал года ИТ-сети Тайваня зафиксировали свыше 170 млн попыток несанкционированного проникновения с целью сбора данных и слежки.
reuters.com
Please open Telegram to view this post
VIEW IN TELEGRAM
👍39😁13🤯8😢5🤬4❤3🔥3
🛡 В Steam появился симулятор хакера HackHub - игра, где можно почувствовать себя киберпанковским мятежником, но без визита людей в форме.
По сюжету ты лезешь в таинственные базы данных, вскрываешь цифровые заговоры и пытаешься сорвать глобальную систему слежки. Всё в лучших традициях «мы против системы», только в формате клавиатура + терминал.
Фишка в том, что миссии завязаны на инструментах, которые выглядят как настоящие:
• сетевые запросы
• сканирование узлов
• перебор уязвимостей
Звучит сурово, но это всё в рамках геймплея - учишься логике работы сетей и безопасности через механику игры, а не через скучные лекции.
Плюс есть русский язык, так что можно полностью погрузиться в роль цифрового диверсанта, не спотыкаясь о интерфейс.
Идеальный способ почувствовать себя хакером… легально, с ачивками и без уголовного кодекса ⌨️💻
https://store.steampowered.com/app/2980270/HackHub__Ultimate_Hacker_Simulator/
По сюжету ты лезешь в таинственные базы данных, вскрываешь цифровые заговоры и пытаешься сорвать глобальную систему слежки. Всё в лучших традициях «мы против системы», только в формате клавиатура + терминал.
Фишка в том, что миссии завязаны на инструментах, которые выглядят как настоящие:
• сетевые запросы
• сканирование узлов
• перебор уязвимостей
Звучит сурово, но это всё в рамках геймплея - учишься логике работы сетей и безопасности через механику игры, а не через скучные лекции.
Плюс есть русский язык, так что можно полностью погрузиться в роль цифрового диверсанта, не спотыкаясь о интерфейс.
Идеальный способ почувствовать себя хакером… легально, с ачивками и без уголовного кодекса ⌨️💻
https://store.steampowered.com/app/2980270/HackHub__Ultimate_Hacker_Simulator/
❤47🔥20👍15😁5👎3🥰2
Сисадмины, общий сбор 🗣️
Увидимся на Selectel Admin MeetUp — традиционном бесплатном мероприятии для системных администраторов, DevOps-инженеров и техлидов.
⏰ 23 апреля, 18:30
📍 Онлайн и офлайн в Санкт-Петербурге
В программе:
🔹 обзор на инструмент автоматического обновления зависимостей с открытым кодом от Андрея Ефремова, руководителя направления безопасности облака Selectel;
🔹 доклад про неочевидные проблемы контроля проектов от Артема Бердашкевича,
руководителя группы DevSecOps Positive Technologies.
И это не все. Вас ждет секретный доклад и нетворкинг: задавайте вопросы напрямую экспертам 💯
Регистрируйтесь по ссылке, чтобы принять участие: https://slc.tl/bkkh6
Больше технических мероприятий и вебинаров для сисадминов в канале @selectel_events. Следите за обновлениями 🔔
Реклама. АО "Селектел". erid:2W5zFHM9d2y
Увидимся на Selectel Admin MeetUp — традиционном бесплатном мероприятии для системных администраторов, DevOps-инженеров и техлидов.
⏰ 23 апреля, 18:30
📍 Онлайн и офлайн в Санкт-Петербурге
В программе:
🔹 обзор на инструмент автоматического обновления зависимостей с открытым кодом от Андрея Ефремова, руководителя направления безопасности облака Selectel;
🔹 доклад про неочевидные проблемы контроля проектов от Артема Бердашкевича,
руководителя группы DevSecOps Positive Technologies.
И это не все. Вас ждет секретный доклад и нетворкинг: задавайте вопросы напрямую экспертам 💯
Регистрируйтесь по ссылке, чтобы принять участие: https://slc.tl/bkkh6
Больше технических мероприятий и вебинаров для сисадминов в канале @selectel_events. Следите за обновлениями 🔔
Реклама. АО "Селектел". erid:2W5zFHM9d2y
👍8❤5