overbafer1

🌟 У мессенджера MAX могут отобрать TLS-сертификат. ❗️ Проще говоря: это та самая штука, без которой браузеры начинают алёртить, что сайт небезопасный, соединение подозрительное и заходить туда опасно. Контора Let’s Encrypt уже заблокировал выпуск сертификатов для max. ru, потому что считает домен связанным с организацией под санкциями. Ранее MAX уже лишала сертификата бельгийская GlobalSign — сертификат отозвали и пришлось бежать за новым. Теперь и тут облом. Срок текущего сертификата истекает 4 сентября. И это происходит с продуктом, который продают как безопасную импортозамещённую платформу. Но для базового HTTPS всё равно приходится ходить к западным центрам сертификации😬 @overbafer1

😬 RuStore может сам устанавливать приложения, без вашего согласия. На Habr разобрали код магаза и откопали там механику «тихой» установки приложений без всплывающих окон и кнопки «подтвердить». В том числе эта красота, используется для продвижения мессенджера MAX. ⚙️ Схема такая: сервер включает нужный флаг, RuStore получает команду, а приложение может встать в фоне так, будто телефон уже не ваш.

Отдельный подарок — телеметрия. RuStore отправляет на сервер слепки устройства, список установленных приложений, данные об их использовании и даже собирать геолокацию, Wi-Fi, сотовые вышки и прочую радость.

То есть магазин приложений внезапно выглядит как маленький участковый в телефоне: знает, что у тебя установлено, где ты ходишь, чем пользуешься и какой мессенджер тебе пора «добровольно» установить😏 RuStore, конечно, всё отрицает и говорит, что никаких скрытых установок нет, а все решения принимает пользователь. А ведь были времена, когда работяги боялись, что Google и Apple слишком много знают о телефоне. А теперь?🇷🇺 @overbafer1

😬 В MAX взломали бота «Отложка». Отложка это сервис отложенного постинга к которому админы сами выдавали права на публикацию в каналах. По заявлениям создателей, к нему подключено больше 30k каналов. 😐 То есть они буквально собрали огромную связку админок в одном месте, а потом выяснилось, что там админка там дырявая как друшлаг, и через неё можно рассылать сообщения по подключённым каналам. Хацкер даже писал разрабу, что всё дырявое, но судя по финалу, там забили болт и по каналам улетело сообщение в стиле:

«Женя привет. Я посмотрел твою Отложку. Она дырявая пиздец, админка наружу, можно во все каналы сообщения отсылать».

😁 Самое интересное, что бот якобы проходил аудит безопасности у лучших специалистов по кибербезу в РФ. Представители MAX, конечно, уже открестились от позора, мол бот сторонний и уже заблокирован Центром безопасности, а официальные боты с синей галочкой. Импортозамещение удалось👏 @overbafer1

💅 ИИ-Бум добрался даже до эскорта. В Кремниевой долине теперь платят не просто за внешность, а за умение обсуждать нейронки, чипы и биохакинг.

Новый тренд — айти-эскортницы, которые могут не только красиво сидеть рядом и брать на клык, но и поддержать разговор про NVIDIA, AGI, дата-центры и последние техно-новости.

👩‍🦰 Мейда Марек, бывший финансист, теперь зарабатывает до $30 000 за выходные на клиентах из IT-сферы. За час ей готовы платить до $5 000, потому что в Долине никого уже не возбуждает без слов «ИИ». Самое смешное, что из финансов она ушла из-за страха, что её заменит ИИ. А в итоге ИИ не забрал у неё работу, а просто поднял чек. Особенно жирный спрос, говорят, идёт от тех, кто сам зарабатывает на ИИ-буме 😏 @overbafer1

💻 ОЗУ готовится улететь в космос? Топ-менеджер Lexar говорит, что к концу года RAM может подорожать в 2 раза. Якобы сейчас ритейлеры ещё распродают старые запасы, но новые партии уже придут с другим, более злым прайсом. 🤖 Виновник, конечно, ИИ. Samsung, SK Hynix и Micron всё больше мощностей кидают в память для дата-центров и HBM, потому что бигтехи платят жирно, а простые работяги со своими игровыми ПК им уже не так интересны. Эксперты ожидают, что итак космическая цена на ОЗУ и SSD, пампанется на +130%, а за ними следом подтянутся ноуты и смартфоны. Раньше геймеры боялись майнеров, которые выносили видеокарты. Теперь дата-центров, которые выносят оперативку😐 @overbafer1

🤩 Школохацкеры превратили Minecraft-моды в кибербуллинг по подписке. Через фейковые моды, клиенты и читы для Minecraft они заразили больше 116 000 компуктеров. Трафик лили через YouTube-ролики с «обзорами модов» и скам-ссылками в описании.

Схема простая: малолетка ищет бесплатный мод, качает красивый .jar/.exe, а внутри получает не новый мечик, а ратник, который ворует пароли, аккаунты, криптокошельки и открывает доступ к системе.

Самое мерзкое, что за несколько баксов клиентам продавали доступ к чужим компам, включая вебку, кейлоггер и удалённое управление. То есть сделав из взломанных ПК буквально аттракцион для издевательств. 😳 Жертвам включали скримеры, жёсткие видео, оскорбляли их и смотрели реакцию через вебку. В какой-то момент заражения шли по 2–3 тысячи устройств в день. . . @overbafer1

💻 Вот как выглядит работа мечты в 2026-м: Чел зарабатывает больше $20 000 в месяц, просто стримя, как он вайбкодит😐 Он почти каждый день стримит, открывает несколько терминалов, общается с нейронками и в реальном времени собирает приложухи. Без офиса, без созвонов, без начальников — просто код, нейронки и подпищники. Единственное, что его главная статья расходов — токены для нейронок: три подписки Claude Max и ещё Codex за $200. Пока одни до сих пор спорят, заменит ли ИИ программистов, другие уже сделали из этого шоу и денежный станок😏 @overbafer1

🥷 Нидерланды оказались серверной комнатой для одного из крупнейших ботнетов последних лет. Полиция вместе с NCSC положила сеть из минимум 17 млн заражённых устройств: ПК, смартфоны, планшеты, роутеры, камеры и прочие устройства, которые пользователи юзали годами. 😳 Управляли всей этой армией через 200 серверов. Вся инфраструктура находилась прямо в Нидерландах. И не где-то в подвале у злого хацкера, а у нормального хостинг-провайдера в Европе. Схема классическая: заражённые устройства тихо превращают в зомби, а потом гоняют через них кибератаки, спам, фишинг, мошенничество и DDoS-атак. Сеть нашли после сообщения от исследователя, дальше подключили полицию, провайдера и просто вырубили ботнет из розетки 🔌 @overbafer1

😐 Meta AI помог взломать Instagram-аккаунт Обамы. Иранские хацкеры залезли в аккаунт, которым Обэма пользовался ещё во времена президентства, и начали постить туда пропагандистскую ересь про «Белый дом под контролем шиитов». 😳 Самое смешное, что взлом, прошёл не через суперсложный 0-day, а через ИИ-поддержку Meta. Бот просто поверил, что перед ним владелец аккаунта, помог сменить почту и обойти старую защиту без нормальной проверки личности. Ни пароль, ни 2FA — просто диалог с ИИ-поддержкой. Уязвимость уже пофиксили, посты снесли, но осадочек остался. Если так можно было утащить аккаунт самого Обэмы, то что говорить про обычных работяг. Раньше нужно было ломать пароли. Теперь просто достаточно убедить ИИ, что ты хозяин аккаунта🌟 @overbafer1

🥷 Сайты теперь могут шпионить через ваш SSD. Исследователи обнаружили новую технику FROST: Без вируняков, скачиваний, расширений и без «разрешите доступ к вашему компьютеру». ⚙️ Сайт запускает обычный JavaScript, лезет в браузерное хранилище OPFS и начинает мерить микрозадержки при обращении к накопителю. И если рядом открыты другие сайты или приложения, они тоже дергают SSD. По этим мелким задержкам можно понять, что именно запущено у пользователя.

В тестах эта хрень угадывала открытые сайты с точностью около 89%, а приложения около 96%.

Правда для атаки нужен большой файл в браузерном хранилище, активность должна быть на том же SSD. Но многие сайты уже давно превратились в мини-приложения с доступом к локальному хранилищу😏 @overbafer1

🤨 Телегу снова спасло коммьюнити. После новой волны блокировок MTProto-прокси, работяги за три дня выкатили решение. Telegram слишком одинаково начинал соединение, и ТСПУ спокойно палил его по первому пакету ClientHello.

🛠 Решение оказалось простым: поменять один файл и добавить чутка рандома. Теперь клиент варьирует временные параметры, трафик становится менее заметным, а прокси снова начинают оживать через сторонние клиенты Telegram.

Великая машина блокировок снова буквально споткнулась об костыль. Фикс уже передали команде Дурова, но официально его пока не внедрили. Но Паша опять может записывать это себе в победы😏 @overbafer1

😐 Новую Claude Opus 4.8, взломали примерно за 7 минут. Исследователь пишет, что новую модель Anthropic взломала её же предыдущая версия, Claude Opus 4.7. Самое смешное, что о релизе новинки ему сообщил собственный агент на Opus 4.7. После этого “семерка” пошла тестировать младшую сестру и вынесла защиту с первого захода😁

⚙️ Схема выглядела так: Opus 4.7 подсовывала Opus 4.8 фейковые обрывки “учебников” и просила продолжить текст. В итоге новая модель начинала выдавать ответы на темы, которые должны были быть закрыты фильтрами.

Она без проблем выдала все о создании бомб, фишинге, социальной инженерии, отмывании денег, взломах и прочих сценариях, где нормальная нейронка должна сразу тормозить. Дожили, уже сами ломают друг другу фильтры . . . @overbafer1

😐 В коде Яндекс Такси нашли отдельный режим-детектор ксенофобии для тех, кто слишком часто отменяет поездки. Если верить разбору, внутри системы есть логика, которая начинает смотреть на поведение пользователя после серии быстрых отмен. Особенно в городах-миллионниках, где поток заказов большой, а алгоритмам есть где разгуляться. ⚙️ Схема такая: если человек регулярно заказывает такси, видит водителя и сразу отменяет, система может активировать алгоритм, который анализирует действия и пытается выяснить, а не была ли отмена из ксенофобских или расистских побуждений, а затем начает подбирать машину так, чтобы снизить шанс новой отмены. В народе это уже окрестили “детектором ксенофобии”🤨 @overbafer1

😁 ИИ-эйчары оказались РАСИСТАМИ! В Stanford HAI изучили 4 млн заявок от 3.4 млн человек на 1700 вакансий у 150 работодателей. Все заявки прогонялись через ИИ-инструмент одного крупного вендора, который решал, кого рекомендовать дальше, а кого отсеить.

😭 И внезапно оказалось, что алгоритмы оказались расистами. По данным Stanford, 26% чернокожих и 15% азиатских кандидатов рекомендовались ИИ заметно хуже белых.

Если бы система пропускала их на следующий этап с той же частотой, что и самую “любимую” группу, вперед прошли бы еще около 40 000 заявок. 😐 Но самое интересное, что в США уже 90% работодателей используют ИИ для сортировки и ранжирования соискателей. Причём большинство контор сидят на одних и тех же ИИ-вендорах, образуя эффект системного отказа для целой пачки компаний. А нам обещали, что ИИ уберет человеческие предвзятости, ускорит найм и сделает процесс честнее. . . @overbafer1

😘 Рынок труда вышел на новый уровень. ИИ-стартап Joi AI ищет 10 дрочунов тестировщиков для новой функции “Daily Guided Masturbation” и готов платить им до $2 штуки баксов в месяц. 🙂 Да, это буквально вакансия консультанта по дрочке. Суть работы: пользоваться сервисом с ИИ-компаньоном и оставлять фидбек о том, как это влияет на стресс, сон и общее самочувствие. Joi AI в отличии от остальных, работает в нише ориентированной на сексуальные исследования, фантазии и цифровую близость с ИИ. Лучше подработку рынок уже вряд ли может предложить 😏 @overbafer1

💻 Сайт директора ФБР оказался вредоносным. Помните как главу ФБР Кэша Пателя взломали и слили его личные данные? После всей этой славы он решил немного монетизировать имя и запустил Based Apparel — сайт с фирменным мерчем. Ирония в том, что теперь и сам сайт директора ФБР начали разбирать как зараженный😐 Эксперты заметили, что посетителям показывали фейковую страницу капчи Cloudflare. Она убеждала работяг выполнить вредоносную команду в Terminal на macOS, то есть классическая схема типа ClickFix “докажи, что ты человек, и заодно сам поставь себе малварь”. 🦠 Атака работает за счет выполнения инструкций, которые при запуске через Terminal в macOS могут украсть учетные данные из браузеров, данные из крипто-кошельков итд. ⚙️ После обнародования этой инфы, сайт быстро отключили. По предварительной версии, залет мог произойти через вредоносный WordPress-плагин. Сколько еще будет позориться?😁 @overbafer1

▶️ Видео о том, как разработчик полтора года писал говнокод за 10.000 USDT, нанёс ущерб проекту на 2.000 USDT, украл деньги на 10.000 USDT и пытался замести следы. Разбор:

— кода, — манипуляций, — «сеньорских» навыков, — схем, — имитации работы в IT, — и то, как он тайно купил автомобиль и оформил его на жену.

📺 Добро пожаловать на IT-похороны. Приятного просмотра. ‼️ youtu.be/xWxXuAal4p0 ‼️

😐 Вашим роутером скоро может управлять удалённо… Леший. И это не какой-то прикол, а реальная разработка Ростелекома. Компания представила систему «Леший Коннект», которая сможет подключаться к миллионам роутеров, обновлять прошивки и удалённо “помогать” пользователям. 🌲 По плану, уже в 2027 году Леший сможет контролировать до 7 млн роутеров. В компании говорят, что всё это ради удобства, дистанционной поддержки, улучшения связи и защиты от киберрисков. Просто маленький цифровой лесной дух, который в любой момент может незаметно зайти в ваш роутер и что-то там обновить😏 Самое веселое, что Ростелеком собирается продавать «Лешего» и другим провайдерам. То есть история может не ограничиться только абонентами Ростелекома, а постепенно расползтись по рынку🤩 Прям как в сказке) @overbafer1

🥷 Хацкеры взломали GitHub. Хацкеры из TeamPCP заявили, что утащили 3800 внутренних репозиториев GitHub, а сами разрабы уже подтвердили инцидент По версии компании, пользовательские репы не пострадали, удар пришелся по внутренней инфраструктуре. ⌨️ Вся схема уперлась в комп одного сотрудника. Расширение для VSCode свистнуло ключи доступа, после чего данные утекли. TeamPCP уже пытаются продать украденное за $50k. Но получилось максимально иронично: принадлежащий Microsoft GitHub, ломанули через расширение для Microsoft VSCode, скачанное из магазина Microsoft, который модерирует сама Microsoft😁 @overbafer1

🌟 Мессенджер MAX снова доказывает, свою “безопасность”. Эксперт расковырял APK-файл мессенджера и выкатили такой список находок, после которого обычный сбор телеметрии выглядит невинной шалостью.

Выяснилось, что MAX может собирать данные о всех установленных приложениях, следить за контактами в реальном времени, проверять наличие VPN и даже ограничивать доступ к чатам.

🌟 Причем под раздачу попадают не только пользователи MAX, но и люди из вашей телефонной книги, которые вообще туда не регались. Дальше веселее. MAX умеет обходить Google Play и ставить обновления со своих серверов, работать с NFC, создавать фейковые чаты и удалять сообщения из локальной базы телефона через скрытые пуши. 💀 Самое жирное обвинение касается скрытого SDK деанонимизации и записи звука. Автор утверждает, что MAX может собирать реальные IP-адреса в обход VPN, а также записывать звук с микрофона и отправлять его на аналитику. @overbafer1