S.E.Reborn

🧮 Больше ядер — не всегда быстрее. Иногда это просто больше счетов за электричество Раньше сервер выбирали как арбуз: чем больше, тем лучше. С Intel Xeon 6 так уже не работает — ядра теперь трех характеров, и «взять с запасом» слишком часто значит переплатить.

➡️ P-ядра — спринтеры: быстрые на поток, держат отклик в базах и аналитике, но прожорливые. ➡️ E-ядра берут числом — поодиночке скромные, зато их много и они экономные. ➡️ АP-ядра — тяжеловесы под ИИ-инференс на CPU и HPC: анализируют не быстрее, а больше за то же время.

Путать характеры дорого. В тестах Dell на вебе дешевые E-ядра отстали от дорогих P всего на 0,25% — доплачивать за P под фронтенд значит греть воздух за свой счет. А на тяжелой ИИ-многопоточке наоборот. Поэтому сервер подбирают не по числу ядер, а по тому, где у нагрузки затык — ядро, память, ввод-вывод или питание стойки. 🔖 Подробнее, разобрали в нашем канале: Сервер, сторадж & два свича

• Ubuntu переходит на еженедельные обновления ядра, потому что ИИ находит уязвимости в Linux быстрее, чем Canonical успевает выпустить исправления. #Новости #Linux

Исследователи F6 расчехлили новый Android-троян RedWing, тщательно изучив его функционал и возможности. RedWing - семейство вредоносного ПО для Android, предназначенное для полноценного перехвата управления над устройством пользователя, кражи чувствительных данных, использования устройства пользователя в других атаках. Первыми об обнаружении нового шпионского ПО сообщили исследователи Zimperium летом 2026 года, а уже через несколько дней F6 зафиксировала первую кампанию по распространению RedWing, нацеленную на пользователей в России. Злоумышленники распространяли новый троян под видом мобильного приложения для оповещений о воздушных атаках под названием RadarTrevog. Впоследствии аналитики F6 установили ещё один способ распространения новой угрозы - под видом видеофайлов. В целом, специалисты исследовали сразу несколько образцов RedWing: как они выяснии, злоумышленники распространяют несколько вариантов этого вредоносного приложения. Первый вариант: RAT, нацеленный на удаленное управление скомпрометированным устройством. Он позволяет незаметно совершать финансовые операции и выводить деньги. Такое зловред часто маскирует под медиафайлы и распространяют через мессенджеры. Второй вариант - это стилер, основная задача которого - сбор информации с устройства. При этом основной акцент в исследовании F6 сделала на первой версии RedWing. Изученный образец распространяли как файл с названием «Видео с места аварии». Неопытный пользователь может не обратить внимание, что файл имеет расширение .apk и на самом деле это установочный файл приложения. При запуске он демонстрирует экран, имитирующий страницу магазина приложений Google Play, предлагая установить обновление. Затем приложение предлагает включить службу спецвозможностей (Accessibility). Если не распознать RedWing на этапе установки, когда он маскируется под полезное приложение или файл, троян становится невидимкой, который обычному пользователю практически невозможно ни увидеть, ни удалить. Устройство превращается в круглосуточного шпиона. Одна из особенностей нового трояна – крайне широкий функционал самозащиты: его практически невозможно удалить с устройства, отозвать выданные ему разрешения или остановить его работу с помощью стандартных средств управления устройством. Злоумышленники учли особенности защиты Android-устройств. Чтобы обойти ограничения, троян использует ряд особых техник. Сразу после запуска он запускает поток с прокруткой постоянного беззвучного аудиотрека, что позволяет приложению продолжать свою работу. Затем зловред скрывает признаки активности. Также способен перезапускать сам себя с помощью встроенного будильника на 3:15 утра. По оценкам F6, за два месяца распространения RedWing в России - с середины июля по середину сентября - количество скомпрометированных Android-устройств превысило 10 тысяч. Технический анализ RAT-версии и IOCs - в отчете F6. Исследование RedWing как стилера готовится к публикации и выйдет позже.

🏳 CTF chall write-ups, files & scripts. • CTF — один из наилучших методов приобрести необходимые навыки взлома различных систем или получить уникальные знания в различных аспектах информационной безопасности. • По ссылке ниже можно найти очень полезным репо, который содержит в себе актуальные инструменты, скрипты, платформы и видеоматериал по прохождению CTF. Сохраняйте в избранное и пользуйтесь: ➡️ https://github.com/Crypto-Cat/CTF #CTF

ShinyHunters рапортует о взломе систем ФБР США в ответ на на отчет спецслужбы по поводу деятельности группы.. Хакеры утверждают, что взломали системы уголовного правосудия, управления персоналом и Medlink, заявляя что теперь располагают данными почти обо всех агентах ФБР и кандидатах на службу.  В качестве пруфов они также взломали поддомен на сайте вакансий ФБР, fbijobs.gov, разместив сообщение о захвате сайта ShinyHunters. В настоящее время целевой домен недоступен со ссылкой на технические работы.  В своем заявлении ShinyHunters отмечают, что таким образом им пришлось реагировать на отчет бюро от мая месяца, в котором, по их словам, содержались ложные обвинения в адрес группы. Они дали ФБР одну неделю на исправление или удаление отчета. Группапрежде всего опровергает утверждения в отчете ФБР о том, что хакеры якобы сильно преувеличивают свои возможности по оказанию давления на жертв. В частности, используя тактику преследования, включающую вызовы спецназа или угрозы семьям жертв, а также ложные утверждения о наличии компрометирующих фотографий или видеозаписей. ShinyHunters настаивают на подлинности своих угроз, однако отрицая, что когда-либо практиковали ложные вызовы силовых служб или контакты с семьями жертв. Кроме того, не согласны с тем, что их называют «шантажистами, занимающимися сексуальным вымогательством». Группа также раскритиковала какую-либо связь с The Com, назвав это сфабрикованным нарративом, распространяемым ИБ-сообществом. В свою очередь, в своем заявлении для СМИ ФБР подтвердило свою осведомленность касательно заявлений, связанных с несанкционированным доступом к FBIjobs.gov, и в настоящее время проводит расследование. Агентство не предоставило никакой дополнительной информации.  ShinyHunters представила изданию 404 Media образец украденных данных, предположительно содержащих личную информацию 5000 сотрудников ФБР, включая имена, номера телефонов и домашние адреса. Представители издания и другие, изучавшие выборку данных, сообщили, что по крайней мере часть данных является подлинной, но происхождение данных еще точно не подтверждено. Хакеры рассказали изданию 404 Media, что использовали 0-day в продукте Oracle PeopleSoft для взлома систем ФБР, из которых, по их утверждению, похитили около 2 или 3ТБ информации. Причем ранее в июне ShinyHunters действительно использовала 0-day в PeopleSoft для массовой кражи данных у организаций. Тем не менее, неясно, в случае с ФБР была ли это новая уязвимость или же группа задействовала ту же уязвимость, отслеживаемую как CVE-2026-35273.

#Юмор

👩‍💻 Linux Command Library. • Нашел очень полезное приложение для #Android, которое представляет собой нечто среднее между шпаргалкой, энциклопедией и самоучителем для изучения различных команд Linux. • Здесь вы найдете все, что используемые при работе с UNIX-подобными системами. Все команды разбиты по разделам. Например для работы с файлами, папками, сетью и т.д. А может вы ищите хакерские примочки? Пожалуйста! • Исходный код открыт, приложение можно скачать с GitHub или F-Droid. #Linux

А воз и ныне там: в Кибердоме обсудят проблемы внедрения и эксплуатации NGFW-продуктов Все мы помним басню Крылова, где лебедь, рак и щука тянули воз в разные стороны. Похожая история происходит с российским рынком NGFW: сертификация тянет в одну сторону, практика — в другую, а заказчики и вендоры вообще смотрят в третью. Чтобы нащупать согласие, 28 сентября более 250 представителей ИБ-индустрии соберутся на ежегодном NGFW-дне. Будет обсуждаться, что сегодня происходит с российским рынком сетевой безопасности и насколько существующие решения отвечают реальным запросам бизнеса. Одна из главных интриг программы — результаты закрытого опроса 30 CISO крупнейших российских компаний. Они рассказали, с какими проблемами сталкиваются при внедрении и эксплуатации NGFW. Участие бесплатное по предварительной регистрации. ➡️ Регистрация Когда: 28 сентября, 10:00 – 16:00 Где: Кибердом, 2-я Звенигородская ул., 12 стр. 18 #реклама О рекламодателе

🧩 По полочкам. Кэширование. • Логически кэш представляет из себя базу типа ключ-значение. Каждая запись в кэше имеет “время жизни”, по истечении которого она удаляется. Это время называют термином Time To Live или TTL. Размер кэша гораздо меньше, чем у основного хранилища, но этот недостаток компенсируется высокой скоростью доступа к данным. Это достигается за счет размещения кэша в быстродействующей памяти RAM. Поэтому обычно кэш содержит самые “горячие” данные. • Если тема для вас показалось интересной, то вот очень объемная статья о том, как работает кэширование. Всё по полочкам, с картинками и примерами. ➡️ https://pikuma.com/blog/understanding-computer-cache #cache

«SIEM-SIEM, откройся»: узнайте о новых возможностях MaxPatrol SIEM 28.0 уже 1 октября Поток событий растет, атаки усложняются, а времени у команд больше не становится. В версии 28.0 мы сделали этот поток управляемым на всех уровнях. Что обсудим в прямом эфире: - Архитектурные изменения для нагруженных инфраструктур. - Как ИИ-помощник PT Naira ускоряет расследование инцидентов. - Что находит поведенческий ML-модуль MaxPatrol BAD за пределами правил. - Новые подходы к работе с правилами и знаниями об атаках. - Планы развития продукта. Версия 28.0 открывает новый этап развития системы. 📅 1 октября, 14:00 мск Настройтесь на новый ритм производительности с MaxPatrol SIEM 28.0. Успей зарегистрироваться

👍 Компьютер из Fallout. • Немного забавного оффтопа: если вы когда-нибудь играли в Fallout, то, конечно, помните эти ламповые терминалы. Они расположены в самых неожиданных местах и практически всегда позволяют либо узнать что-то, либо открыть дверь или сейф, либо чем-то управлять. • А теперь поклонник игры воссоздал такой девайс в реальности. Девайс не только выглядит круто, но и вписывается в систему умного дома. Работает он как интерактивный текстовый помощник: обрабатывает вводимые данные благодаря OpenAI. Запросы могут подаваться для таких функций, как управление освещением, воспроизведение музыки и так далее. • Основа проекта — одноплатник Raspberry Pi 400. Он обрабатывает все данные, а еще подключен к 7-дюймовому дисплею через HDMI. • Корпус создан с нуля с использованием программного обеспечения САПР специально для этого проекта. По словам автора, он напечатан на 3D-принтере Bambu A1 с PETG. Потом детали были отшлифованы, а дальше их искусственно состарили. Еще в корпусе есть монтажные компоненты для фиксации внутреннего оборудования. Вот тут более подробно описан процесс создания компьютера и есть куча крутых фоточек: ➡️ https://hackaday.io/project/196223-post-apocalyptic-terminal #Разное

👍 Fingerprint. • Фингерпринт – это чума 21-го века. Беда в том, что от него практически нельзя скрыться. Телеметрию снимают практически все сайты: им же надо знать, кто их аудитория. Java-скрипты используются не только для красивого дизайна, но и для выполнения целевых действий незащищенным браузером. А уж про межсайтовые куки я вообще молчу: поискал телевизор на одном сайте – увидел рекламу этого товара через минуту на другом. • Хорошо это или плохо – вопрос спорный. Хорошо для бизнеса – продавать стало гораздо удобнее. Плохо для людей: они знают все про ваши потребности, болевые точки и интересы. Не знают только вашего имени. Но найти его – секундное дело. Если вы простой юзер – расслабьтесь и не переживайте. Ничего плохого с вами не случится. Но если вы ведете интересный образ жизни, то вам нужно учиться следы за собой заметать. Так, на всякий случай. • Сразу говорю, попсу типа Хрома, Огнелиса, Оперы или Яндекс Браузера – даже не рассматриваем. С точки зрения приватности дырок в них больше, чем в швейцарском сыре. • Могу ли я посоветовать безопасный браузер? Нет, не могу. Почему? Его просто не существует. Есть только условно безопасные, которые можно использовать, но помнить: memento mori (моментально в море). • Поэтому первый – Brave. Я его использую только для личных дел. Ибо подтекает и не прошел аудит комьюнити. А так – браузер блокирует все, что нужно, красивый, да еще и платит тебе за просмотр рекламы. • LibreWolf – всем хорош, защищен, прошел аудит. Но я его потыкал и нашел слишком много соединений с Mozilla, на которой он и построен. Ну и еще некоторые сомнительные коннекты при запуске. Мелочь, а неприятно. • Третий – Mullvad. Он не блокирует фингерпринт, как первые два, а подменяет его на стандартный: все пользователи сайта будут на одно лицо, точнее, на один фингерпринт. Его делала команда Tor и Mullvad VPN. Пока это мой первый выбор. • Чем пользоваться решать вам. Но помните, абсолютной безопасности не бывает! #ИБ

👾 Эпический баг прошлого: очень умный ксерокс! • Как вам ксерокс, который при копировании заменяет цифры в оригинале? Вам кажется, что такое невозможно? К сожалению, в современной гонке за оптимизацией алгоритмов работы офисной техники такой фантастический вариант стал реальностью. • Мы привыкли к тому, что ксерокс, хоть и технологичное устройство, но в общем его функции достаточно банальны — сделать копию с оригинала. Интуитивно мы предполагаем, что ксерокс работает как связка сканера с принтером: отсканировали изображение, получили картинку и отправили её на принтер. Именно так, видимо, и работали ранние ксероксы. • Но устройства усложнялись, появились МФУ, в которых уже была встроена довольно сложная программная начинка. Видимо, в этом и заключалась причина ошибки, которую в 2013 году обнаружил немец Дэвид Крисель в МФУ фирмы Xerox. • Совершенно случайно Дэвид заметил, что при ксерокопировании некоторых документов с цифрами устройство периодически заменяло цифру «6» на «8», а цифру «2» на «1». Согласитесь, что это крайне странное поведение для ксерокса. Тем более, что в нём был отключён алгоритм распознавания текста и пользователь выполнял простое ксерокопирование. • Оказалось, что в устройстве использовался алгоритм компрессии графики JBIG2. Этот алгоритм фактически выполняет распознавание текста и заменяет графическое изображение на символы. При появлении схожих символов алгоритм подбирал им замену из библиотеки уже распознанных букв и цифр. • Понятно, что распознавание текста позволяет существенно сжать исходный файл. Другой вопрос, зачем этот алгоритм применялся при простом ксерокопировании. Интересно, что при недостаточном качестве сканирования алгоритм может заменить ещё и «2» на «7» или даже «1» на «3». • Компания Xerox повела себя аналогично Intel — не сразу признала свою ошибку. Поупиравшись какое-то время, Xerox всё-таки выпустили обновлённую прошивку для своих устройств. Но многочисленные пользователи должны её скачать и установить, а это делают далеко не все. • Кроме того, этот же алгоритм используется не только в большинстве современных устройств фирмы Xerox, но и в устройствах и программах других фирм. Так что проверяйте свои ксерокопии... #Разное

В Лаборатории Касперского также оценили Одиссею Нолана, но в другом аспекте: MovieReaper атакует пользователей по всему миру через скомпрометированные торренты. Торрент-трекеры уже давно используются для распространения вредоносного ПО, маскирующегося под популярные фильмы, игры и другой контент. Предыдущие исследования ЛК показали, что киберпреступники неоднократно задействовали торренты в качестве первоначального вектора заражения, применяя троянизированные кряки и установщики для охвата большого числа пользователей. Инструкции по установке пиратского ПО регулярно предписывают пользователям отключать антивирус, приучая их игнорировать потенциальные угрозы, которые они сами приглашают на свои компьютеры. В ходе анализа вредоносного ПО, использующего блокчейн-сети для своей C2-инфраструктуры, в ЛК обнаружили ранее неизвестный модульный многоэтапный фреймворк, маскирующийся под популярные фильмы, который назвали MovieReaper. Вредоносная кампания затронула как частных лиц, так и организации в нескольких странах, включая Россию, Турцию, Японию, Кению, Уганду и Колумбию, а также в ряде европейских стран: Испанию, Нидерланды, Бельгию и Германию. Кампания охватила организации из самых разных отраслей, включая коммерческие предприятия, госсектор, ИТ, консалтинг, розничную торговлю, транспорт и сельское хозяйство. Причем злоумышленники скомпрометировали не сами торрент-трекеры. Вместо этого взломали широко используемый публичный репозиторий торрент-файлов - itorrents[.]org. В результате трекеры, полагающиеся на этот репозиторий, начали непреднамеренно распространять вредоносные торрент-файлы среди своих пользователей. На дату публикации отчета распространяемый архив остается скомпрометированным. Когда пользователь пытается загрузить торрент с помощью magnet-ссылки, легитимный торрент-архив возвращает другой торрент-файл, что приводит к скачиванию вредоносного загрузчика вместо нужного файла. Он используется для развертывания фреймворка MovieReaper. Цепочка заражения состоит из нескольких шагов, при этом вся вредоносная нагрузка исполняется прямо в памяти так, что из всех файлов, только загрузчик попадает на диск перед выполнением, чтобы избежать обнаружения последующих этапов. Вредоносное ПО не подвергнуто сильной обфускации, за исключением того, что строки зашифрованы с помощью собственного потокового шифра. Большинство контрмер были направлены на избежание обнаружения антивирусными песочницами. В ходе этой кампании злоумышленники используют ресурсы различных коммерческих хостинг-провайдеров для своей C2. Кроме того, используется легитимный блокчейн Solana через RPC-эндпоинт api.mainnet.solana.com для доставки адреса C2 на второй стадии. Такой подход предоставляет злоумышленникам децентрализованное хранилище для адресов C2, добавляя дополнительный уровень отказоустойчивости и затрудняя защитникам прерывание кампании путем простой блокировки IP-адресов C2-серверов. Новое исследование выявило активность того же актора, которая прослеживается еще с октября 2025 года. Со временем кампания эволюционировала: авторы вредоносного ПО расширили свой арсенал и усложнили обнаружение загрузчика. При этом общая схема осталась прежней: закодированные строки и части шеллкода загружаются по обычному протоколу HTTP, а для обхода песочниц и виртуальных машин используется несколько различных техник. Тем не менее, автономность, модульность и выполнение этого фреймворка непосредственно в оперативной памяти создают потенциал для его повторного использования в будущих кампаниях с минимальными доработками. Технические подробности, IOCs и разбор цепочки заражения - в отчете.

👨‍💻 Attacking Secrets. • Secrets in private repositories; - Scenario: An Attacker Scanning a Private Repository for Secrets; - Example Commands and Codes; • User Credentials in CI Pipelines; - Scenario: An Adversary Exploiting CI Pipeline Credentials; - Example Commands and Codes; • Azure Key-Vault Authentication Abuse; - Azure’s Documentation Overview; • Practical Implementation: Azure’s Authentication Solution; - Steps for Compromising Azure Key Vault; • Azure Key Vault RBAC; • Ansible Vault Secret; - Generating a Hash for Cracking; - Cracking the Hash; - Decrypting the File; • Vault-Backend-Migrator; - Threats; • Kubernetes Sealed Secrets; • chamber; • Vault Secrets Operator; • Buttercup Weak Password; • teller manipulate files; • BlackBox; • Conclusion; - Attacker's Next Steps. #devsecops

Acronis обнаружила серьезную уязвимость, позволяющую повысить локальные привилегии в Linux, в своем плагине резервного копирования для cPanel, WebHost Manager (WHM) и Plesk, которая может быть использована злоумышленниками в реальных условиях. cPanel & WHM и Plesk используются хостинговыми компаниями и администраторами серверов для управления веб-сайтами и серверами через графические интерфейсы. Дополнения Acronis для резервного копирования подключают панель управления хостингом к инфраструктуре компании, позволяя администраторам создавать резервные копии и восстанавливать веб-сайты, файлы, базы данных, почтовые ящики и учетные записи хостинга из интерфейсов cPanel и Plesk. Информация об уязвимости вышла в кратком уведомлении на прошлой неделе, но сегодня компания выпустила обновленное сообщение, идентифицировав ее как CVE-2026-87886 и присвоив ей оценку серьезности 7,8. Злоумышленник с низкими привилегиями может использовать CVE-2026-87886 для повышения своего уровня доступа на уязвимом сервере Linux, что потенциально позволит ему получить доступ к конфиденциальным данным, изменить их и нарушить работу системы без участия пользователя. Дополнительные технические подробности об уязвимости CVE-2026-87886 пока не разглашаются, дабы обеспечить лаг для установки обновлений и принятия мер по защите. Тем более что, Acronis отметила, что обнаружила факты использования уязвимости в реальных условиях «в виде ограниченных, целенаправленных атак». Acronis отмечает, что оценка основана на одном сообщении от клиента, «потенциально пострадавшего от проблемы». CVE-2026-87886 исправлена в плагине Acronis Backup для cPanel & WHM, существовавшая в версиях до 1.9.3.1021, в версии 1.9.3 HF3, а в 1.8.11 исправлены ошибки расширения Acronis Backup для Plesk, возникавшие в сборках младше 1.8.11.638. Компания не выявила конкретных признаков компрометации и не сообщила, когда именно была замечена вредоносная активность и чего добились злоумышленники, помимо повышения привилегий, описанного в уведомлении. Всем пользователям, использующим интеграции Acronis Backup для cPanel & WHM и Plesk, рекомендуется немедленно установить доступные обновления.

🔐 Шифруем данные. Часть 2. • Еще немного про шифрование. Кашу маслом не испортишь, как не испортишь безопасность шифрованием. Но так ли это и на что еще обратить внимание, когда шифруешь файлы? • Первое правило клуба шифровальщиков: никому не говори о клубе шифровальщиков. Ну кроме того, кому ты собираешься передать данные. Он то должен знать. Поэтому нужно шифровать все важные данные, которые вы передаете по открытой сети. Все дело в доверии. Доверяете ли вы Телеге? А Гуглу? А Протону? Никто не мешает нашим любимым операторам связи одной рукой устанавливать P2P соединение и называть это анонимностью, а другой – читать наши переписки. Бэкдоры они такие. Чтобы ваши данные попали в руки третьих лиц – шифруйте содержимое. • Используйте ключевые файлы. Это как абсолютно надежный ключ от двери. Без него, даже зная пароль, архив не откроешь. Даже квантовым компьютером. Даже квантовым компьютером с паяльником. Его обычно транспортируют отдельно от архива. Создается этот ключ самой VeraCrypt. Вы можете выбрать его длину (в том числе случайную), а также количество. Хоть один, хоть сто, хоть двести. И спрятать можно его где угодно: ему можно присвоить любое расширение. • Используйте PIM. Считайте, это дополнительный ПИН-код для вашего архива. Если шагнуть в сторону от математики, используя PIM нужно не только угадать ваш пароль, но и повторить его определенное количество раз. Это как если бы дверь открывали не всем, а только тем, кто стучит четыре раза в ля-бемоле. Штука удобная и крайне полезная. Взломостойкость повышается в разы. Быстродействие, конечно, падает, но если архив не терабайтный, то вы этого не особо заметите. • Так что шифруйте, и да пребудет в сами сила криптографии! #Криптография #VeraCrypt #PIM

Бизнес меняется быстрее, чем системы защиты. В 2026 году атаки на веб-приложения и API только усиливаются. Как защитить в среднем 20 веб-приложений в распределенной инфраструктуре и не раздувать бюджет на безопасность? На вебинаре Positive Technologies обсудим: • перемены на стороне атакующих: статистика, векторы угроз и что это значит для вашей инфраструктуры; • перемены на стороне бизнеса: сценарии применения веб-защиты, оптимизация рисков и расходов, какой WAF (web application firewall) подходит именно вам; • как PT AF PRO помогает меняться без риска: управление распределенной защитой из одной консоли, контроль приложений со значимыми данными, точное обнаружение и блокировка неизвестных угроз, обновления без влияния на трафик, автоскейлинг ресурсов и проверка доступности сервисов. Регистрируйтесь на вебинар и узнайте, как применять WAF эффективно

Хакеры взломали официальный аккаунт HBO Max на Reddit и использовали его для распространения вредоносного ПО через атаку ClickFix среди пользователей macOS и Windows. В течение 48 часов злоумышленники разместили 108 вредоносных рекламных объявлений в пяти целевых группах в рамках кампании, отслеживаемой как PasteSwitch. Используя подтвержденную учетную запись u/hbomax, злоумышленники атаковали пользователей macOS и Windows и активно продвигали несуществующее нативное приложение HBO Max для macOS. Клики по вредоносным ссылкам приводили пользователей на hbomaxx[.]us, страницу, имитирующую официальный сайт HBO Max, которая также содержала кнопку загрузки. Кнопка загрузки открывала окно ClickFix, в котором посетителю предлагалось скопировать команду, открыть Терминал, вставить команду и запустить её. Это переносило выполнение из браузера в доверенную системную утилиту, находящуюся под контролем жертвы. В macOS атака использовала команды curl | zsh для распространения вредоносного ПО, такого как MacSync, AMOS Helper, фейковых приложений-кошельков и другого вредоносного кода, с целью кражи учетных данных, сообщений, информацию о браузере и данные криптокошельков, а также получения постоянного доступа к их компьютерам. На Windows атака осуществлялась с использованием MSHTA и PowerShell для доставки вредоносной ПО Amatera Stealer, обеспечивая её постоянное присутствие в системе. Настроенная на ручную проверку учетных данных, вредоносная ПО обходила сетевую телеметрию, подделывая соединения с Facebook, чтобы скрыть свою связь с С2. Как отмечает HudsonRock, в рамках кампании PasteSwitch также использовались AnimateClipper и ZigClipper в качестве инструментов для постоянной замены адресов в буфере обмена, позволяющих менять адреса криптовалюты при попытке пользователей совершить транзакцию. По данным исследователей, злоумышленники, похищающие данные из буфера обмена, используют С2-центр, размещенный в блокчейне. Инфраструктура, вероятно, была создана более года назад и используется в атаках с начала 2026 года. Reddit был уведомлен о вредоносной активности, связанной с официальным аккаунтом HBO Max, после чего немедленно приостановил показ рекламы. В Warner Bros., владеющей HBO Max, пока никак комментировали инцидент. Впрочем, и так все понятно.

👨‍💻 Attacking IaC. • Least Privilege; • Secrets Management; • Encryption of Sensitive Data; • Compliance as code; • terraform plan; • pet Infra; • Storing Terraform State Securely; • Malicious Terraform Providers or Modules; • Securing Terraform Executions with Isolation; • Protecting Sensitive Variables in Terraform Logs; • Securing API Keys and Archivist URLs in HCP Terraform; • Use dynamic credentials; • Terraform Plan vs Terraform Apply; • Replace blacklisted provider. #IaC #DevSecOps