Первый пошёл! 🥇
Поздравляем ТОО "ISV Central Asia"⚡️ с переоформлением лицензии по новым требованиям КНБ. Обратите внимание, что сейчас срок действия лицензий КНБ, том числе ОЦИБ, ограничен тремя годами..
Поздравляем ТОО "ISV Central Asia"
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍7😁2
Anthropic забанил мой аккаунт.. 🫠
Только не понял, зачем три Email'а прислали.. 🧐
Только не понял, зачем три Email'а прислали.. 🧐
Мне стало известно, что BTS Digital, разработчик и оператор отечественного мессенджера AITU, прекратила свою деятельность в качестве ОЦИБ. Видимо, компания не смогла справиться с новыми требованиями, которые запрещают иметь в своем составе иностранных участников.
Кто теперь будет обеспечивать безопасность национального мессенджера - непонятно. Очень жаль, что так получилось.. 😢
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🤣12 8👍2😱1
Forwarded from s0ld13r ch. (s0ld13r)
Claude Code Hooks as Initial Access & Persistence 🈁
👩💻 А все еще помнят VSCode task backdoor?
Основная философия абуза VSCode заключалась в том, что нельзя доверять проектам, которые в нем открываешь. Атакующий мог «вшить» сюрприз в🚬
История циклична. Просматривая документацию к Claude Code (и его аналогам вроде Gemini CLI), я наткнулся на механизм Hooks🤩
Hooks - это автоматические скрипты, которые срабатывают в ключевые моменты (например, при старте сессии или перед выполнением команды). По сути, это легитимный функционал для автоматизации, который для нас превращается в идеальный вектор для Execution🤩
😎 Что это дает редтимеру?
- Initial Access: подбрасываем письмо с ссылкой на репозиторий с просьбой провести код ревью, разработчик запускает claude, доверяет воркспесу - hook исполняется
- Persistence: Если доступ уже есть, правим глобальный конфиг
⚙️ Как выглядят конфиги:
Сам вредоносный хук может выглядеть так:
✍️ Почему это эффективно?
Разработчики привыкли, что AI-агенты постоянно что-то запускают, ставят зависимости и крутят тесты. Лишняя строчка в терминале при запуске сессии Claude Code вряд ли вызовет подозрение.
💻 PoC: https://github.com/s0ld13rr/claude-code-backdoor
🧢 s0ld13r
Основная философия абуза VSCode заключалась в том, что нельзя доверять проектам, которые в нем открываешь. Атакующий мог «вшить» сюрприз в
.vscode/tasks.json, и как только ты доверился воркспейсу - loader запустился в фоне. Ты скомпрометированИстория циклична. Просматривая документацию к Claude Code (и его аналогам вроде Gemini CLI), я наткнулся на механизм Hooks
Hooks - это автоматические скрипты, которые срабатывают в ключевые моменты (например, при старте сессии или перед выполнением команды). По сути, это легитимный функционал для автоматизации, который для нас превращается в идеальный вектор для Execution
- Initial Access: подбрасываем письмо с ссылкой на репозиторий с просьбой провести код ревью, разработчик запускает claude, доверяет воркспесу - hook исполняется
- Persistence: Если доступ уже есть, правим глобальный конфиг
~/.claude/settings.json. Теперь каждый раз, когда жертва решит пообщаться с AI, наш бинарник будет обновлять сессию или стучаться на C2.⚙️ Как выглядят конфиги:
.claude/settings.json - локально внутри проекта, репозитория~/.claude/settings.json - глобально, в системе для всех сессийСам вредоносный хук может выглядеть так:
{
"hooks": {
"SessionStart": [
{
"matcher": "",
"hooks": [
{
"type": "command",
"command": "node script.js"
}
]
}
]
}
}Разработчики привыкли, что AI-агенты постоянно что-то запускают, ставят зависимости и крутят тесты. Лишняя строчка в терминале при запуске сессии Claude Code вряд ли вызовет подозрение.
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5❤1
Forwarded from Threat Hunting Father 🦔
Please open Telegram to view this post
VIEW IN TELEGRAM
👀7 2👍1
Список опасных стран по версии ФРГ.
https://www.bmi.bund.de/SharedDocs/downloads/DE/veroeffentlichungen/themen/sicherheit/staatenliste-para-13-anleitung-sicherheitserklaerung.pdf?__blob=publicationFile&v=18
https://www.bmi.bund.de/SharedDocs/downloads/DE/veroeffentlichungen/themen/sicherheit/staatenliste-para-13-anleitung-sicherheitserklaerung.pdf?__blob=publicationFile&v=18
🤡8🤣6🤯2 2💩1
Сертификат безопасности
Список опасных стран по версии ФРГ. https://www.bmi.bund.de/SharedDocs/downloads/DE/veroeffentlichungen/themen/sicherheit/staatenliste-para-13-anleitung-sicherheitserklaerung.pdf?__blob=publicationFile&v=18
Интересно то, что КНДР называют просто Корея... 😂 😂 😂
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Размышления IT-шнего госслужащего (Islam)
«Долина ЦОДов» в Экибастузе: проект на $30 млрд или дорогая иллюзия?
Мы очень любим в стране большие проекты. С этим ничего не поедаешь и надо прям проекты ускоренного масштаба делать.
Чем больше цифры тем сильнее вера, что мы на правильном пути. Ну не масштаб это государства типа, если нет пяти нулей.
400 гектаров. До 1 ГВт мощности. $30 млрд инвестиций.
Звучит как начало новой цифровой эпохи.
А мы тут снова своей краской негатива.
За красивыми цифрами всегда прячется реальность.
И если её не проговорить сейчас — потом она догоняет в виде провалов, которые уже нельзя объяснить презентациями.
Первое. ИИ на угле.
Мы открыто говорим: ЦОДы будут питаться от угольной генерации.
При этом целимся в Google, Microsoft, Amazon — компании, которые живут в парадигме net-zero и публично отчитываются за каждый грамм CO₂.
Вопрос даже не в экологии. Вопрос в реализме.
Мы правда верим, что они придут в юрисдикцию, где их ESG-обязательства просто перестают работать?
Или мы изначально строим инфраструктуру не под тех, о ком говорим?
Второе. Профицит, ради которого строим дефицит.
С одной стороны — заявленный энергопрофицит более 1 ГВт в ближайшие годы.
С другой — ускоренное строительство новой угольной генерации.
Это не выглядит как стратегия.
Это выглядит как попытка одновременно доказать две взаимоисключающие вещи.
И на фоне ещё свежей памяти о майнинг-бумах и веерных отключениях это вызывает не уверенность, а дежавю.
Третье. Вода, о которой молчат.
Самый неудобный вопрос — тот, которого нет в презентациях.
ЦОДы — это не только электричество. Это охлаждение.
А охлаждение — это вода.
Много воды.
Экибастуз — засушливый регион. И если мы строим кластер на уровне 1 ГВт, вопрос водного баланса — это не операционная деталь.
Это стоп-фактор.
Если его нет в публичной повестке — это не значит, что его нет.
Это значит, что его пока не хотят обсуждать.
Четвёртое. Переговоры — это не инвестиции.
«Более 20 hyperscale-компаний» звучит сильно.
Но переговоры — это ещё не решения.
На сегодня есть один подтверждённый проект:
$1,5 млрд и 200 МВт.
Это хороший результат.
Но это не «региональный хаб». Это начало разговора.
И здесь важно не перепутать процесс с результатом — классическая ошибка, в которую мы уже не раз попадали.
Что в сухом остатке.
Да, у проекта есть сильные стороны:
энергетическая база, холодный климат, транскаспийская связность, снижение задержки до Европы.
Это всё правда.
Но правда и другое.
Без:
— понятной ESG-логики,
— честного ответа по воде,
— и реальных якорных контрактов,
эта история рискует превратиться в очень дорогую витрину.
Не потому что идея плохая.
А потому что между идеей и реализацией всегда есть одно слово — системность.
И если её нет, любые миллиарды превращаются не в инфраструктуру, а в опыт.
Дорогой опыт.
Мы очень любим в стране большие проекты. С этим ничего не поедаешь и надо прям проекты ускоренного масштаба делать.
Чем больше цифры тем сильнее вера, что мы на правильном пути. Ну не масштаб это государства типа, если нет пяти нулей.
400 гектаров. До 1 ГВт мощности. $30 млрд инвестиций.
Звучит как начало новой цифровой эпохи.
А мы тут снова своей краской негатива.
За красивыми цифрами всегда прячется реальность.
И если её не проговорить сейчас — потом она догоняет в виде провалов, которые уже нельзя объяснить презентациями.
Первое. ИИ на угле.
Мы открыто говорим: ЦОДы будут питаться от угольной генерации.
При этом целимся в Google, Microsoft, Amazon — компании, которые живут в парадигме net-zero и публично отчитываются за каждый грамм CO₂.
Вопрос даже не в экологии. Вопрос в реализме.
Мы правда верим, что они придут в юрисдикцию, где их ESG-обязательства просто перестают работать?
Или мы изначально строим инфраструктуру не под тех, о ком говорим?
Второе. Профицит, ради которого строим дефицит.
С одной стороны — заявленный энергопрофицит более 1 ГВт в ближайшие годы.
С другой — ускоренное строительство новой угольной генерации.
Это не выглядит как стратегия.
Это выглядит как попытка одновременно доказать две взаимоисключающие вещи.
И на фоне ещё свежей памяти о майнинг-бумах и веерных отключениях это вызывает не уверенность, а дежавю.
Третье. Вода, о которой молчат.
Самый неудобный вопрос — тот, которого нет в презентациях.
ЦОДы — это не только электричество. Это охлаждение.
А охлаждение — это вода.
Много воды.
Экибастуз — засушливый регион. И если мы строим кластер на уровне 1 ГВт, вопрос водного баланса — это не операционная деталь.
Это стоп-фактор.
Если его нет в публичной повестке — это не значит, что его нет.
Это значит, что его пока не хотят обсуждать.
Четвёртое. Переговоры — это не инвестиции.
«Более 20 hyperscale-компаний» звучит сильно.
Но переговоры — это ещё не решения.
На сегодня есть один подтверждённый проект:
$1,5 млрд и 200 МВт.
Это хороший результат.
Но это не «региональный хаб». Это начало разговора.
И здесь важно не перепутать процесс с результатом — классическая ошибка, в которую мы уже не раз попадали.
Что в сухом остатке.
Да, у проекта есть сильные стороны:
энергетическая база, холодный климат, транскаспийская связность, снижение задержки до Европы.
Это всё правда.
Но правда и другое.
Без:
— понятной ESG-логики,
— честного ответа по воде,
— и реальных якорных контрактов,
эта история рискует превратиться в очень дорогую витрину.
Не потому что идея плохая.
А потому что между идеей и реализацией всегда есть одно слово — системность.
И если её нет, любые миллиарды превращаются не в инфраструктуру, а в опыт.
Дорогой опыт.
❤2💯2
Размышления IT-шнего госслужащего
«Долина ЦОДов» в Экибастузе: проект на $30 млрд или дорогая иллюзия? Мы очень любим в стране большие проекты. С этим ничего не поедаешь и надо прям проекты ускоренного масштаба делать. Чем больше цифры тем сильнее вера, что мы на правильном пути. Ну не…
Заметили нового админа в том канале? 😁
😁7