Mobile AppSec World
Open in Telegram
Новости из мира безопасности мобильных приложений, а так же интересные статьи, обзоры инструментов, доклады, митапы и многое другое... По всем вопросам - @Mr_R1p
Show more8 581
Subscribers
-524 hours
-127 days
+23730 days
Loading data
Similar Channels
Tags Cloud
Incoming and Outgoing Mentions
---
---
---
---
---
---
Attracting Subscribers
October '26Oct '26
October '26
+275
in 1 channels
September '26
+132
in 0 channels
Get PRO
August '26
+88
in 0 channels
Get PRO
July '26
+161
in 0 channels
Get PRO
June '26
+494
in 1 channels
Get PRO
May '26
+431
in 4 channels
Get PRO
April '26
+432
in 0 channels
Get PRO
March '26
+596
in 8 channels
Get PRO
February '26
+79
in 0 channels
Get PRO
January '26
+59
in 0 channels
Get PRO
December '25
+72
in 0 channels
Get PRO
November '25
+137
in 0 channels
Get PRO
October '25
+386
in 0 channels
Get PRO
September '25
+103
in 1 channels
Get PRO
August '25
+157
in 0 channels
Get PRO
July '25
+136
in 7 channels
Get PRO
June '25
+95
in 1 channels
Get PRO
May '25
+139
in 4 channels
Get PRO
April '25
+173
in 6 channels
Get PRO
March '25
+321
in 21 channels
Get PRO
February '25
+463
in 4 channels
Get PRO
January '25
+105
in 2 channels
Get PRO
December '24
+112
in 1 channels
Get PRO
November '24
+162
in 0 channels
Get PRO
October '24
+161
in 0 channels
Get PRO
September '24
+1 026
in 8 channels
Get PRO
August '24
+519
in 2 channels
Get PRO
July '24
+149
in 4 channels
Get PRO
June '24
+73
in 4 channels
Get PRO
May '24
+104
in 1 channels
Get PRO
April '24
+184
in 5 channels
Get PRO
March '24
+82
in 2 channels
Get PRO
February '24
+188
in 8 channels
Get PRO
January '24
+114
in 4 channels
Get PRO
December '23
+71
in 0 channels
Get PRO
November '23
+95
in 7 channels
Get PRO
October '23
+97
in 3 channels
Get PRO
September '23
+129
in 0 channels
Get PRO
August '23
+228
in 0 channels
Get PRO
July '23
+70
in 0 channels
Get PRO
June '23
+111
in 0 channels
Get PRO
May '23
+353
in 0 channels
Get PRO
April '23
+79
in 0 channels
Get PRO
March '23
+46
in 0 channels
Get PRO
February '23
+73
in 0 channels
Get PRO
January '23
+54
in 0 channels
Get PRO
December '22
+50
in 0 channels
Get PRO
November '22
+68
in 0 channels
Get PRO
October '22
+74
in 0 channels
Get PRO
September '22
+45
in 0 channels
Get PRO
August '22
+288
in 0 channels
Get PRO
July '22
+204
in 0 channels
Get PRO
June '22
+84
in 0 channels
Get PRO
May '22
+178
in 0 channels
Get PRO
April '22
+151
in 0 channels
Get PRO
March '22
+35
in 0 channels
Get PRO
February '22
+46
in 0 channels
Get PRO
January '22
+72
in 0 channels
Get PRO
December '21
+43
in 0 channels
Get PRO
November '21
+57
in 0 channels
Get PRO
October '21
+42
in 0 channels
Get PRO
September '21
+80
in 0 channels
Get PRO
August '21
+159
in 0 channels
Get PRO
July '21
+87
in 0 channels
Get PRO
June '21
+40
in 0 channels
Get PRO
May '21
+53
in 0 channels
Get PRO
April '21
+56
in 0 channels
Get PRO
March '21
+39
in 0 channels
Get PRO
February '21
+34
in 0 channels
Get PRO
January '21
+21
in 0 channels
Get PRO
December '20
+701
in 0 channels
| Date | Subscriber Growth | Mentions | Channels | |
| 23 October | +3 | |||
| 22 October | +3 | |||
| 21 October | +1 | |||
| 20 October | +2 | |||
| 19 October | +3 | |||
| 18 October | +1 | |||
| 17 October | +3 | |||
| 16 October | +3 | |||
| 15 October | +1 | |||
| 14 October | +1 | |||
| 13 October | +3 | |||
| 12 October | +15 | |||
| 11 October | +37 | |||
| 10 October | +153 | |||
| 09 October | +6 | |||
| 08 October | +2 | |||
| 07 October | 0 | |||
| 06 October | +4 | |||
| 05 October | +1 | |||
| 04 October | +2 | |||
| 03 October | +1 | |||
| 02 October | +17 | |||
| 01 October | +13 |
Channel Posts
Repost from VP Cybersecurity Brief
+5
SANS выпустила отчет AI Cybersecurity Careers 2026: The Market Reality
Это один из первых материалов, описывающих трансформацию рынка труда в кибербезопасности из-за ИИ.
Для каждой роли указаны: названия аналоги, кто недавно разместил вакансии, описание роли и почему она появилась, медианные значения и вилки годовых зарплат. Источник для анализа - реальные опубликованные вакансии. Некоторые сомнения в объективности исследования зарождают Описанные карьерные треки привязанные к курсам и сертификациям SANS.
4 роли сформировались:
1. AI/ML Security Engineer
2. AI Red Team Engineer
3. AI Governance and Security Lead
4. AI Security Architect.
5 ролей ещё формируются:
6. AI Threat Intelligence Analyst
7. AI SOC Orchestrator
8. AI Incident Response Orchestrator
9. Agentic AI Security engineer
1 роль в начальной стадии появления – AI supply chain security engineer.
Вне ИИ выделяется отдельно роль специалиста по миграции на постквантовую криптографию.
Отдельно отмечается резко выросшая нехватка навыков.
| 2 | Больше папок по ИБ!
Агенты уже замечательно умеют сортировать файлы, раскладывать музыку по жанрам и исполнителям, структурировать всякое на домашних компьютерах.
Но пока что в телегу такой AI-функционал не завезли, зато есть механизм папок - которым я очень активно пользуюсь и вам советую. Но так как самому составлять не всегда удается - периодически подписываюсь на уже собранные папки.
И хоть я в последнее время не очень активничаю в канале, но читаю других ребят регулярно и не устаю поражаться, как они находят силы и время, чтобы регулярно и качественно писать крутые вещи!
Как раз одна из таких подборок доступна по ссылке - https://t.me/addlist/CAYQNePynGIzMWFi
Присоединяйтесь, выбирайте, надеюсь каждый найдет что-то полезное для себя!
И сейчас еще пост интересный перешлю как раз с одного из каналов) | 436 |
| 3 | Observing Android’s Binder Trust Boundary with eBPF
Построение runtime-наблюдателя за Binder IPC в Android с помощью eBPF. Автор рассматривает Binder не просто как IPC-механизм, а как security trust boundary, потому что именно на этом уровне Android понимает, кто вызывает какой сервис, а дальше на этой идентичности строятся getCallingUid(), SELinux Binder rules и решения самих system services. | 486 |
| 4 |  🔥 ИНТЕНСИВ ПО БЕЗОПАСНОСТИ: ПРОВЕРКА НА ПРОЧНОСТЬ
Друзья, 14 октября в Москве стартует практический форум для тех, кто занимается анализом защищенности.
💡 Почему «мы проверились» — это не равно «мы поняли риски»?
💡 Как не купить красивый отчет вместо реального уровня защиты?
💡 Где грань между пентестом, Red Team и Purple Team?
🎟 Участие для CISO, руководителей департаментов безопасности и технических специалистов из отраслевых компаний-заказчиков — БЕСПЛАТНО.
В программе — 3 потока:
🔹 Стратегия для CISO и руководителей (методы, приоритеты, выбор инструментов, отчеты, анализ результатов и метрики)
🔹 Практика для технических специалистов (VM, управление экспозициями и площадью атаки, пентесты, red team, purple team, антифишинг, ИИ в оценке защищенности)
🔹 Спецпрактики (промышленный периметр, VM, DETECTION & RESPONSE, зрелая оценка защищенности, этичный хакинг, аудиты конфиг, процессов и подрядчиков)
🎤 Вас ждут пленарные дискуссии, круглые столы CISO, мастер-классы от пентестеров и, конечно, живое общение с вендорами.
📅 Когда: 14 октября 2026 г.
📍 Где: Москва, Холидей Инн Сокольники
⏳ Успейте зарегистрироваться!
➡️ Подробная программа и регистрация на сайте. | 1 348 |
| 5 | Новое мероприятие от авторов «Территория безопасности»
Всем привет!
По какой-то причине мне очень нравится форум Территория Безопасности. Когда-то, когда он проходил самый первый раз, мы стояли там со стендом Стинга. Было достаточно много людей, выступление, интерактив, где мы в реальном времени анализировали приложение, много крутых людей, с кем удалось познакомиться, а еще я тогда первый раз на стенд выложил телефоны для привлечения внимания (печатал ночью перед конфой подставку).
В общем, очень приятные воспоминания) И главное - вход для посетителей на мероприятие был бесплатным.
И ребята попросили рассказать про вторую свою конференцию, что я с радостью и делаю, надеюсь там тоже будет интересно! | 1 194 |
| 6 | Ну а мы всегда готовы помочь, хоть с анализом и устранением уязвимостей, хоть с защитой приложения ;)
(с) не является публичной офертой :D | 1 800 |
| 7 | Хакеры, взломавшие TEZ TOUR и Додо-Пицца, используют интересную тактику – они публикуют полноценные разборы своих действий и недостатков защиты своих жертв, по шагам рассказывая, как им удалось проникнуть внутрь. В случае с Додо 🦤 началось все с анализа мобильного приложения, в котором хранилась внутренняя кухня ИТ-инфраструктуры, которая и послужила отправной точки для нападающих. Запомните этот факт.
2 октября Financial Services Commission Южной Кореи созвала экстренное совещание с финансовым надзором, Financial Security Institute, шестью банками и тремя карточными компаниями после серии проникновений в финансовые организации (Shinhan Bank, KB Kookmin, Hana Bank, BNK Busan Bank, Woori и NongHyup) с последующей утечкой данных. Прям массовый взлом...
При этом особенно интересна точка атаки. Это в основном были не основные интернет- или мобильные банковские системы. У Shinhan пострадал web-сервис, которым пользовались кредитные посредники; у KB – мобильная система поддержки сотрудников; у Hana – система поддержки продаж; у Busan – страницы/сервисы внутренней мобильной инфраструктуры поддержки. То есть банковское ядро было хорошо защищен, а вот вокруг него существует множество "вспомогательных" web-приложений, которые видят чувствительные данные, их уровень защиты при этом ниже, и атакующие обходят наиболее укрепленный периметр вообще.
Регулятор потребовал от финансовых организаций немедленно:
➡️ провести инвентаризицию всех внешне доступных ИТ-активов и сервисов независимо от того, являются ли они клиентскими
➡️ проверить меры защиты по аутентификации и контролю доступа
➡️ найти пути доступа к внутренней информации без полноценной аутентификации
➡️ минимизировать избыточно публикуемые данные.
Из забавного, та же Shinhan шесть лет подряд получала максимальный уровень S / 100 баллов в оценке защиты персональных данных, проводимой регулятором (некий аналог нашего ГОСТа 57580.1). У банка также были внедрены ISMS, ISMS-P, ISO 27001 и собственная система контроля подрядчиков. И именно через сервис для кредитных брокеров произошла утечка примерно 25 тысяч записей. То есть 100 баллов за систему управления ИБ (5-й уровень соответствия по-нашему) – это не тоже самое, что 100% защиты реальной поверхности атаки 😂
Интересно, что в случае с Додо-Пиццей, хакеры тоже писали о достаточно неплохой системе защиты инфраструктуры своей жертвы, но все-таки проникли туда. Если вернуться еще раз к точкам проникновения во всех кейсах, то началось все с внешних, не основных ресурсов компаний, неимеющих достаточно защиты.
Поэтому стоит обратить внимание на этот момент и задуматься, а есть ли у меня EASM (как продукт или как сервис), которые позволяют выстроить систему регулярной оценки внешнего периметра организации и незамеченных активов, которые могут стать точкой проникновения. И второй важный момент – мобильные приложения тоже требуют защиты, так как могут содержать не только захардкоженные ключи, пароли, токены, но и информацию о внутренней инфраструктуре, которая облегчает хакерам проникновение. Лучше защищать и мобильные приложения от анализа тоже 🤔
#инцидент | 1 502 |
| 8 | Мобильное приложение, как точка входа
На нескольких конференциях, во многих статьях и при любом удобном случае я говорил о том, что исследование мобильного приложения может стать ооочень хорошей отправной точкой для нападающих, потому что внутри порой сожно найти очень вкусную информацию.
И как приятно осознавать, что это все еще актуально. Хотя и жаль ребят, кому пришлось с этим столкнуться.
Помните, что далеко не всегда один недостаток приводит к проблемам, но вот несколько уязвимостей уже могут сложиться в цепочку..
Помните и проверяйте свои мобилки обязательно :) | 1 386 |
| 9 | Я редко скидываю сюда статьи из чужих блогов, потому что таких "новостных рупоров" и без меня уже больше чем надо. Но эта статья определенно заслуживает вашего внимания. Мне она прямо "зашла" наверное еще и потому, что я буквально недавно нашел очень похожую цепочку уязвимостей на другом устройстве. Впрочем об этом я расскажу когда-нибудь потом, когда выйдет фикс от вендора.
В статье же описан довольно забавный вектор получения привилегий из untrusted_app через сервис телеметрии, который почему-то забыл, что доверять можно вообще-то не всем. Справедливости ради стоит сказать, что права получаемые на этом этапе очень ограничены из-за SELinux (сколько я с ним намучился в своем кейсе....), но полученные права позволили прыгнуть дальше в системный процесс и получить шелл с довольно высокими правами.
В общем всем кто интересуется похеком именно системы, а не только приложений, однозначно стоит ознакомиться. | 1 717 |
| 10 | Внезапно я вернулся :)
И сразу с предложением поиграть в CTF)
Интересно, будет ли хотя бы одна команда без агентов?)) | 1 997 |
| 11 |  Регистрация на SolarCTF открыта ☀️
Первые студенческие соревнования по кибербезопасности от «Солара» — возможность проверить свои навыки на практике, собрать команду и побороться за призы.
📍Что важно знать:
✦ Команды — до 5 человек
✦ Старт — 17 октября в 12:00 (МСК)
✦ Финиш — 18 октября в 12:00 (МСК)
✦ 24 часа на выполнение заданий
Общий призовой фонд — 300 000 ₽* + лимитированный мерч.
Участвовать можно, если тебе уже исполнилось 18 лет, ты студент, постоянно проживаешь на территории РФ и находишься в России во время соревнований.
Команды пока нет? Найти тиммейтов можно в чате SolarCTF
Собирай команду и регистрируйся на SolarCTF ❤️ | 1 705 |
| 12 | Semgrep Rules
Последнее время мы с командой всё чаще задумывались о том, что mobsfscan в части своего Semgrep-компонента, мягко говоря, местами глючный и довольно ограниченый.
А если попробовать найти достаточно полный набор Semgrep-правил для мобильных приложений, быстро выясняется, что хорошие правила разбросаны по всему необъятному интернету🔞
Поэтому мы решили собрать всё это в одном месте и создали репозиторий:
https://github.com/Sib-Coder/semgrep-mobile-rules
В нём постарались собрать максимально полный набор проверок для мобильных приложений и при этом избавиться от дубликатов.
Будем очень рады вашей поддержке, новым правилам и идеям для развития репозитория.
Давайте делать мобилки безопаснее вместе 😎 | 1 168 |
| 13 | No text... | 0 |
| 14 | 💀 Последний шанс стать спикером
До конца дня принимаем заявки. После этого форма закроется!
Так что если вы откладывали до последнего, торопитесь. | 2 510 |
| 15 | На самом деле очень интересная активность и здорово, что появляются подобные мероприятия.
В свою бытность я помню, какой кайф был от посещения небольших митапов DefCon Moscow, OWASP Russia, митапов в Яндексе, в mail.ru, где так же было не много участников, неформальная обстановка и очень интересные доклады. Насколько ты заряжался какими-то новыми идеями. И сейчас этого на самом деле не хватает, все онлайн да онлайн, а живого человеческого общения на конфах/митапах становится меньше(
Так что я очень постараюсь придти на тусу)) | 2 976 |
| 16 |  🔥ИБТУСА🔥
03.07, 18:00 - время отдохнуть от сессии и конференций🍺
Джун или студент по ИБ? Приходи и найди:
✅того, кто расскажет о подводных камнях на твоем пути
✅друзей для хакатона и CTF
✅идею для пет-проекта, которую обсудите за баром
Уже эксперт? Приходи быть для них живой легендой или просто похантить таланты до конкурентов
Заявка: @ibtusa_bot ⬅️
➡️Ген. спонсор: Серебриум — аудит безопасности на основе собственной интеллектуальной системы
➡️Спонсор CTF: НетХаб — флагман сетевой безопасности
➡️Ген. медиа: Sachok & Пакет Безопасности & Похек
🎁 Бонус: забирай папку с каналами по ибэ и получай актуальную инфу раньше преподов!
Сегодня вы познакомились за баром. Завтра — вы сеть, которая двигает рынок ИБ
Чатик 😎 Ролик | 1 848 |
| 17 | Где-то в сторонке грустит https://github.com/P1sec/hermes-dec
Уже точно года полтора гоняю | 2 047 |
| 18 | И еще один инструмент доя анализа Hermes | 1 762 |
| 19 | Декомпилятор для Hermes bytecode
Дождались! Теперь нельзя спрятаться за тем фактом, что никто не умеет декомпилировать и реверсить Hermes bytecode. Ребята написали декомпилятор и выложили в открытый доступ. Ожидаем больше находок там где раньше никто и не думал копать. | 1 664 |
| 20 |  крутити боробэн | 2 081 |
