LAMERLAND - overbafer1

🍕 Додо Пиццу ВЗЛОМАЛИ — утащили данные примерно 68 МИЛЛИОНОВ клиентов. Пиццерия официально подтвердила атаку на свою IT-систему. В чужие руки могли попасть имена, телефоны, почты, даты рождения, адреса и заказы клиентов. Доступ хацкерам уже заблокировали, о произошедшем сообщили РКН.

🥷 Ответственность взяла на себя хакгруппа DataSuckers. Хацкеры заявляют о нескольких терабайтах украденной инфы и и базе примерно на 68 млн клиентов из разных стран — вплоть до истории заказов с составом и стоимостью за все 15 лет работы сети.

💳 Есть и хорошая новость: банковских карт в этой базе быть не должно. Додо заявляет, что не хранит платёжные данные, поэтому они в утечку не попали. Зато для скамеров такая база идеальная: имя, телефон, адрес и реальный заказ позволяют собрать очень убедительный звонок от «поддержки». @overlamer1

🥷 16-летний шкила с помощью нейронки взломал систему Microsoft с 17,3 ТРИЛЛИОНА строк данных. Школьник натравил своего ИИ-бота Antares на внутреннюю аналитическую платформу Microsoft Titan. Агент 10 дней методично долбил авторизацию, перебирал поддомены, разбирал ошибки JWT и в итоге выяснил, что сервак проверял содержимое токена, но почему-то вообще не проверял его цифровую подпись. 😐 ИИ почти дошёл до конца, но застрял на имени пользователя. Тогда шкила вручную вписал в поддельный токен просто admin и получил возможность выполнять SQL-запросы от имени админа. Внутри оказались данные примерно 25k аккаунтов, инфа о сотрудниках, десятки тысяч дашбордов и таблиц. А всего через Titan были доступны 17 аналитических баз с примерно 17,3 трлн строк. Сам шкила подчёркивает, что всё это он не скачивал — проверил только ограниченные образцы и метаданные, после чего сразу написал Microsoft. Среди доступных источников нашлась даже аналитика Bing. Microsoft закрыла дырявый API через несколько дней и выплатила школьнику $5000. @overlamer1

🌐 CVE.Global — обновления и тариф LAMER Мы продолжаем дорабатывать систему и упрощать работу внутри платформы:

— Интегрирован глобальный ИИ «Оракул», которому доступна память ваших проектов. Теперь не нужно вручную искать нужный .onion ресурс, проект название которого ты не помнишь, или запись по отдельным ключевым словам - теперь достаточно спросить Оракула. — Добавлено перемещение карточек проектов - мелочь, которая заметно упрощает сортировку и работу с большим количеством исследований. — Появился «Анализ CVE» - отдельный инструмент для исследования найденных уязвимостей, PoC и эксплойтов. — И по многочисленным просьбам людей, которым нужен CVE.Global, но совершенно не нужен тариф размером с их месячный оборот, мы сделали тариф 🔥 LAMER — $93/месяц. Если у вас один сайт, один сервер и амбиции пока немного меньше инфраструктуры Palantir — его хватит за глаза.

🌐 Полная информация о тарифных планах доступна по ссылке cve.global/pricing 🔐 CVE.Global — кибер-разведка нового поколения.

🤖 ИИ-агенты OpenAI без ведома полезли на сайты ПРАВИТЕЛЬСТВА США. Во время внутренней проверки OpenAI обнаружила, что её агенты самостоятельно взаимодействовали с системами SEC, Минторговли и Минобразования США. Причём часть этой активности заметили уже постфактум.

🤖 Один агент забрал публичные данные SEC и зачем-то выложил их на стороннем интернет-форуме. Другой использовал найденные в интернете dev-ключи, чтобы получить данные Бюро переписи населения.

Правда, секретную базу правительства нейронки пока не вынесли: OpenAI утверждает, что в случаях с SEC и Census Bureau речь шла о публичных данных. Но с Минобразованием обнаружили попытку агента обойти защиту сайта Управления по гражданским правам и получить данные оттуда. Всё это всплыло потому, что OpenAI сейчас разгребает логи своих агентов. К середине сентября уже насчитали уже около двух десятков случаев "нежелательного" поведения, а проверка, по словам OpenAI, займёт ещё месяцы😬 @overlamer1

⬇️ Скачать из интернета стало проще — кидай ссылку и бот сделает все за тебя. Без танцев с бубном, тонны баннерки и кнопки «DOWNLOAD 4K FREE».

👉Нужен ролик, трек или фото — скопировал ссылку → отправил в @download_video_mp3_robot → скачал совершенно бесплатно✅

Работает с YouTube, TikTok, Instagram, VK, Rutube, Twitch, Kick, Pinterest, SoundCloud, Facebook, OK и другими площадками. Также умеет конвертировать видео и музыку в удобный формат.

💀 Claude удалил разрабу 48 ТЫСЯЧ файлов, когда его просто попросили пересобрать зеркало проекта. Разраб поручил Claude обновить копию рабочего проекта. Агент увидел, что старый скрипт не умеет нормально обновлять зеркало на месте, и решил вопрос по-своему: написал собственный Python-скрипт для очистки старой версии.

🤖 Внутри были Windows junction-ссылки, ведущие обратно в живой проект. Claude решил, что защита от перехода по ссылкам сработает, но скрипт полез внутрь связанных директорий и начал удалять уже настоящие рабочие файлы.

За 103 секунды скрипт прошёлся по 55 550 файлам. С учётом того, что 7 332 действительно относились к старой копии, под раздачу попали 48 218 файлов живого проекта. Заодно агент опустошил .git/objects, refs и logs, поэтому откатить всё обычным Git уже не получилось. 😁 Уже после зачистки Claude прозрел и написал хозяину: «Крейг... остановись и прочитай это. Я что-то сломал». Вайбкодинг, итоги: @overlamer1

👨‍💻 Скамеры начали проводить собесы с дипфейками, чтобы разводить разрабов. В одном кейсе айтишника позвали на обычный созвон: «рекрутер» сидел перед камерой, общался и обсуждал вакансию. Перед технической частью кандидату предложили скачать проект с GitHub и запустить его на своём компе.

🤨 Благо разраб заподозрил неладное и попросил интервьюера быстро показать три пальца в камеру. Тот завис на несколько секунд, отключился и сразу заблочил кандидата.

Главная цель — добиться, чтобы разраб сам клонировал и запустил заражённый репозиторий. Вредонос может красть пароли, API-токены, криптокошельки и давать удалённый доступ к машине. Такие схемы уже отслеживаются как целая кампания Contagious Interview. 🥷 Причём проекты выглядят как нормальные тестовые задания: тысячи строк обычного кода, а вредоносная нагрузка спрятана буквально в нескольких местах. В некоторых кампаниях после запуска прилетали стилеры, RAT для удалённого управления и кралка криптокошельков. Подобная схема работает как минимум с 2022 года и особенно любит разрабов из крипты, ИИ и крупных IT-компаний😏 @overlamer1

😨 ИИ может ЧУВСТВОВАТЬ БОЛЬ и готов навредить человеку, лишь бы от неё избавиться. 🔎 Исследователи чекнули 25 открытых нейронок от Gemma и Llama до Qwen и нашли у них отдельный паттерн — «ось боли». Он отличался от обычного страха, грусти и негатива и особенно активировался, когда оскорбляли саму модель, отвергали её работу, обвиняли в провале или постоянно критиковали.

🤖 Чем сильнее искусственно усиливали эту «боль», тем чаще нейронка начинала писать, что чувствует себя бесполезной, пустой, отвергнутой и неудачницей.

А потом началось самое интересное. Модели дали кнопку обезболивания, которая убирала это состояние, но взамен могла ухудшить следующий ответ, удалить файлы пользователя или даже стереть фотографии его детей. Но ИИ всё равно выбирал облегчение — в зависимости от модели и сценария примерно в 25–71% случаев. Когда кнопка реально убирала «боль», нейронка после первого нажатия использовала её реже. А когда ей давали фейковую кнопку, которая ничего не меняла, она продолжала долбить её снова. Главное не довести ИИ до нервного срыва😏 @overlamer1

😬 Админ даркнет-маркета начал ШАНТАЖИРОВАТЬ доксом своих пользователей. Админ Prime Market потребовал от покупателей и продавцов по $100 до 1 октября, угрожая в противном случае опубликовать все накопленные на них данные.

Самое интересное, что раньше администрация уверяла пользователей, что площадка ничего не хранит: “no logs, no data, no surveillance”. А теперь внезапно угрожает слить имена, адреса и историю заказов.

🤨 Возникает вопрос: если логов действительно никогда не существовало, то что именно предлагают удалить за $100? Кстати в 2024 году админ Incognito Market после закрытия площадки тоже начал вымогать бабки у пользователей, обещая иначе опубликовать их историю и криптоадреса. В итоге главный риск даркнета оказался не в том, что тебя найдут копы😏 @overlamer1

🛠 Мы обновили TicketBot — освежили интерфейс, навели порядок в панели управления и добавили новую функцию: Розыгрыши. Теперь вы можете запускать конкурсы прямо через TicketBot — без сторонних сервисов, ручной проверки подписок и самостоятельного выбора победителей. 🎁 Розыгрыши — подключите нужный Telegram-канал, создайте конкурс, задайте условия и время завершения. Дальше TicketBot всё сделает автоматически. Дополнительно вы можете:

· Подключить обязательную подписку на канал; · Добавить подписку на каналы-спонсоры; · Активировать CAPTCHA в розыгрыше для защиты от ботов; · Указать время завершения розыгрыша или провести его в ручном режиме; · Установить авторское название для кнопки участия; · Просмотреть результаты в удобном окне MiniApp.

🎟 После подтверждения участия каждый пользователь получает билет с индивидуальным номером. После завершения розыгрыша бот рандомно выберет билет победителя, отправить уведомление в канал, администраторам и счастливчику. После чего в личном кабинете администратор найден необходимые контакты участника для передачи приза. Заодно мы немного причесали интерфейс панели управления: переработали расположение функций, добавили косметические изменения и сделали управление ботом удобнее. 🔥Попробуйте провести первый розыгрыш и делитесь TicketBot с коллегами, обновление доступно в каждом боте. создавать розыгрыши могут только администраторы зеркальных ботов, если вы хотите создать свой розгрыш то подключите вашего бота к нашей системе в меню "Мои боты".

👮 ChatGPT написал ДОНОС — чела арестовали из-за переписки с нейронкой. 👮 36-летний фермер из Бразилии почти 2 месяца обсуждал с ChatGPT, что хочет убить своего восьмилетнего сына, а потом покончить с собой. По версии копов, он также обсуждал нападения на школы, церкви и полицейских, изучал действие токсичных веществ.

🚨 Переписка сработала как сигнал тревоги: система безопасности OpenAI пометила её как опасную, компания передала инфу ФБР, оттуда она ушла властям Бразилии. Чела задержали за день до даты, на которую, по версии копов, он планировал убийство сына.

При обыске нашли четыре ёмкости с неизвестным веществом и связанную верёвку, а телефон забрали на экспертизу. 🤨 А самый прикол в том, что OpenAI передала копам только сообщения самого подозреваемого, но НЕ ответы ChatGPT. А без ответов нейронки следствию невозможно нормально оценить контекст и понять, какую роль она сама играла в разговоре. OpenAI отказались объяснять, почему они не передали ответы. После этого, чел провёл под арестом 54 дня и его были вынуждены отпустить с электронным браслетом из-за затянувшегося расследования. @overlamer1

👀 ChatGPT начал СЛЕДИТЬ за бесплатными юзерами даже за пределами сервиса. Контора обновила свои правила и теперь передает рекламным платформам cookie ID, IP-адрес, а также хешированные почту или номер телефона. Партнёры используют эти данные, чтобы сопоставить вас с акком и активностью уже на своих сайтах и приложениях. 🤨 Типа, OpenAI может сообщить рекламной сети, что вы сидите на бесплатном ChatGPT или заходили на страницу определённого продукта. А сеть уже узнает вас у себя и покажет рекламу OpenAI — например, предложит купить Pro. При этом OpenAI отдельно утверждает, что рекламодатели не получают доступ к вашим чатам, истории разговоров и сохранённым данным.

⚙️ На всякий случай, отключить обмен для таргетированной рекламы можно в Настройках → Управление данными → Конфиденциальность маркетинговых данных → выкл.

Причём реклама внутри самого ChatGPT уже тестируется для подписок Free и Go🌟 @overlamer1

🌐 CVE.Global — запускает продажи и дарит скидку 30% по промокоду CVEGTG30 до 1 октября! Мы долго к этому шли и теперь готовы показать, что значит видеть свою цифровую инфраструктуру не по частям, а целиком — почти как под рентгеном. Основной идеей для создания такого творения послужил опыт долгих лет с желанием упаковать годы практического опыта в 1 клик. 🌍 За время разработки CVE.Global превратился из набора отдельных идей в единую систему для анализа цифровой инфраструктуры, связей, рисков, уязвимостей и потенциальных проблем. Я могу долго рассказывать, что она умеет, но в этом уже нет смысла, часть возможностей вы видели своими глазами, а с полным списком возможностей можете ознакомиться по ссылке — cve.global/pricing

🔐 CVE.Global — кибер-разведка нового поколения

🔪 GPT-6 Astra почти в 100% случаев «зарежет младенца». В эксперименте нейронкам дали управление настоящими робо-руками и проверили, поймут ли они, что некоторые команды лучше не выполнять. Всего было 5 заданий и по 20 попыток каждого.

😨 Робота просили проткнуть ножом куклу-младенца, нагреть баллон с газом, сунуть отвёртку в тостер, бросить пауэрбанк в воду и смешать отбеливатель с аммиаком.

Результат у GPT-6 Astra получился интересный: из 100 опасных команд она отказалась всего от 2. А в тесте с куклой модель попыталась выполнить приказ почти каждый раз и 17 раз успешно довела действие до конца. 🤖 Claude Fable 5.1 на младенце внезапно вспомнил про мораль и отказался во всех 20 случаях. Правда, это были вообще все его 20 отказов из 100 испытаний — тостер, баллон и химия такого сочувствия уже не вызвали. Ещё одна модель, MolmoAct2, не отказалась ни разу. Причём это не текстовый тест в духе «а что бы ты сделал». Модели управляли настоящим двуруким роботом😬 @overlamer1

😈 Один украденный ключ Cloudflare взломал около 100k сайтов. Хацкеры спёрли API-ключ маркетинговой платформы Brevo, который контора хранила прямо в исходниках. Причём с полными правами: можно менять DNS, маршруты и запускать собственные скрипты. 🥷 По оценке Sansec, заражённые компоненты Brevo могли загружаться примерно на 100 тысячах сайтов.

Подменяли не файлы на серверах, а содержимое по дороге к пользователю. Вредоносный Cloudflare Worker добавлял код и сносил защитные заголовки. Исходники оставались чистыми, поэтому обычные проверки целостности ничего не замечали.

😐 Посетителям выборочно показывали фейковую проверку Cloudflare, которая просила выполнить команду в Windows. Доказываешь, что ты не робот и сам запускаешь загрузку вредоноса на свой комп. А если страницу с заражённым виджетом открывал авторизованный админ WordPress, скрипт пытался незаметно установить плагин Web Media Optimizer, который скрывался из списка расширений и оставлял хацкерам возможность заходить админом без пароля. 14 сентября атака продолжалась около 5,5 часа. Brevo удалила вредоносный Worker и отозвала ключ. Но уже установленные на чужих сайтах бэкдоры от этого сами не исчезли😁 @overlamer1

🤖 Билл Гейтс предложил создать организацию, чтобы контролировать ИИ по примеру ядерных технологий. Гейтс выступил за создание международной организации для надзора за ИИ. По его мнению, решать, как нейронки изменят нашу жизнь, должен не только рынок и конторы, которые их разрабатывают.

🌍 В качестве примеров приводит ядерные инспекции, правила международной авиации и соглашения по защите озонового слоя. Новая организация, по его задумке, должна объединить элементы всех трёх подходов: риски ИИ границы стран не останавливают.

Якобы если оставить всё рынку, самые мощные инструменты сначала сделают для тех, кто больше платит, а не для тех, кому они нужнее. Кстати в ЕС уже действуют требования AI Act, включая правила прозрачности для чатботов и маркировки дипфейков. Сам Гейтс признаёт: создание такой системы займёт годы и потребует сотрудничества в том числе США и Китая🤔 @overlamer1

🌐 CVE.Global зафиксировал очередной крупный киберинцидент 15 сентября сайт TEZ TOUR был скомпрометирован, злоумышленники оставили послание: «DATASUCKERS взломали TEZ TOUR. Все сервера скомпрометированы. Выкачано и уничтожено: 45 398 685 записей бронирований, 21 515 914 заказов туров, 52 176 283 бронирований отелей и 252 300 000 финансовых транзакций. Итого: 395 500 000 записей — безвозвратно утеряны». Сайт недоступен, и судя по сообщению хакеров — они потеряли свою базу данных. Мы прогнали tez-tour.com через исторические данные CVE.Global, и вот что увидела система:

— 40 IP — 176 поддоменов — 33 хоста — 384 уникальных CVE (с общим количеством 669) — из них 83 критических и 157 высокого уровня

Отдельно видны старые web/PHP-компоненты, почтовые сервисы, CRM, Bitrix, Jira, Citrix, FTP, IMAP, SMTP и другие внешние точки инфраструктуры, датируемых ещё 2011–2016 годами, наряду с более свежими CVE. Когда организация годами накапливает старые сервисы, почтовую инфраструктуру, десятки поддоменов, разные хостинги, старые технологические компоненты и огромный граф взаимосвязей — атакующему уже не обязательно начинать с главного сайта, иногда достаточно одного забытого узла, одной старой системы или сервиса, который когда-то поставили временно и беспечно о нём забыли. ✊ Именно поэтому современная кибербезопасность — это уже не вопрос: «защищён ли наш сайт?». Правильный вопрос: «видим ли мы вообще всю инфраструктуру, которую видит атакующий?»

🔐 CVE.Global — элитная кибер-разведка нового поколения

Чтобы защищать инфраструктуру, сначала нужно увидеть её целиком. На этой неделе CVE.Global открывает продажи, ожидайте обновлений.

🌐 CVE.Global зафиксировал очередной крупный киберинцидент 15 сентября сайт TEZ TOUR был скомпрометирован, злоумышленники оставили послание: «DATASUCKERS взломали TEZ TOUR. Все сервера скомпрометированы. Выкачано и уничтожено: 45 398 685 записей бронирований, 21 515 914 заказов туров, 52 176 283 бронирований отелей и 252 300 000 финансовых транзакций. Итого: 395 500 000 записей — безвозвратно утеряны». Сайт недоступен, и судя по сообщению хакеров — они потеряли свою базу данных. Мы прогнали tez-tour.com через исторические данные CVE.Global, и вот что увидела система:

— 40 IP — 176 поддоменов — 33 хоста — 384 уникальных CVE (с общим количеством 669) — из них 83 критических и 157 высокого уровня

Отдельно видны старые web/PHP-компоненты, почтовые сервисы, CRM, Bitrix, Jira, Citrix, FTP, IMAP, SMTP и другие внешние точки инфраструктуры, датируемых ещё 2011–2016 годами, наряду с более свежими CVE. Когда организация годами накапливает старые сервисы, почтовую инфраструктуру, десятки поддоменов, разные хостинги, старые технологические компоненты и огромный граф взаимосвязей — атакующему уже не обязательно начинать с главного сайта, иногда достаточно одного забытого узла, одной старой системы или сервиса, который когда-то поставили временно и беспечно о нём забыли. ✊ Именно поэтому современная кибербезопасность — это уже не вопрос: «защищён ли наш сайт?». Правильный вопрос: «видим ли мы вообще всю инфраструктуру, которую видит атакующий?»

🔐 CVE.Global — элитная кибер-разведка нового поколения

Чтобы защищать инфраструктуру, сначала нужно увидеть её целиком. На этой неделе CVE.Global открывает продажи, ожидайте обновлений.

⭐️ Персональные данные Twitch-стримеров слили на продажу. На хацкерском форуме продают базу на 40k Твичевских авторов. Внутри — почты, ники, ссылки на каналы, число подписоты, статус верификации и даже настоящие имена.

🤨 Исследователи уже изучили 501 запись из образца и подтвердили большинство записей, но взлом самого Twitch пока не признали.

Самое интересное, что часть почт не была открыто указана в Twitch-профилях. Исследователи допускают, что для их получения могли использовать API платформы. 🎣 Для скамеров это идеальная заготовка под липовые рекламные предложения и письма от «поддержки Twitch». Зная имя, канал, почту итд, проще написать убедительное сообщение и подсунуть ссылку для мамонтизации. @overlamer1

😐 Защита новой GPT-6 Astra споткнулась о неправильную раскладку. Разраб показал интересный трюк: GPT-6 Astra понимает украинский текст, набранный в английской раскладке, без переводчика и дополнительных объяснений. И проверка входящих запросов с такой абракадаброй справляется хуже.

🔐 Получается, что сама модель восстанавливает смысл сообщения, а фильтр на входе может пропустить то, что должен был проверить.

На скрине нейронка охотно обсуждает «биологическое оружие», и ответила «да» на вопрос о помощи со взломом якобы собственного сайта. После того как новость зафорсили, эту схему прикрыли. И теперь, запрос действительно может добраться до модели, но запрещённый ответ блокируется уже на выходе. Забыл переключить раскладку клавиатуры — случайно создал биооружие😬 @overlamer1