Cyber Pulse

🚨 Экспорт Telegram мог превратить историю переписки в инструмент кражи сообщений В Telegram Desktop нашли уязвимость хранимого XSS, из-за которой вредоносный JavaScript мог попасть в HTML-архив переписки через текст кнопки Telegram-бота. В самом мессенджере код не выполнялся. Опасность появлялась позже: пользователь экспортировал чат и открывал HTML-файл в браузере. Скрипт мог прочитать сообщения, имена, даты и данные чата, а затем отправить их злоумышленнику. Особенно неприятно, что вредоносное сообщение могло попасть в историю через пересылку, даже если бот не состоял в группе. А старый архив мог оставаться опасным месяцами или годами. Уязвимость получила оценку 8,2/10. Исправление появилось в Telegram Desktop 7.0.1. ⚠️ Но обновление не спасает уже созданные HTML-архивы. Их лучше пересоздать после обновления, а старые - не открывать или делать это с отключенным JavaScript. Получается, иногда архив переписки опаснее самой переписки. 😬 #Telegram #Кибербезопасность #XSS #Уязвимость #Приватность #Мессенджеры Подпишись

🚨 Ошибка хакеров раскрыла почти всю атаку на крупного провайдера Hunt.io обнаружила открытый сервер злоумышленников с 298 файлами в 30 каталогах, где сохранились следы взлома тайского оператора 3BB - от проникновения через FortiGate до охоты за учетными данными. Точкой входа стал FortiGate 60F с уязвимостью CVE-2024-21762 (CVSS 9.8). Эксплойт позволял удаленно выполнить код без авторизации и получить доступ к сети. Дальше атакующие закрепились внутри, установили MeshCentral для удаленного управления, подготовили SUID-бэкдор, SSH-ключи и веб-шеллы, а также перебирали пароли на десятках внутренних серверов. Отдельно они добрались до RADIUS-инфраструктуры, связанной с авторизацией абонентов. При этом Hunt.io не нашла подтверждения массовой кражи клиентских данных - доказана цель атаки, но не факт утечки. Перед уходом хакеры даже подготовили скрипт зачистки логов. Правда, забыли закрыть собственный сервер с 298 файлами. 😬 #Кибербезопасность #FortiGate #3BB #Хакеры #Уязвимость #Инцидент Подпишись

📱 Немецкая полиция научилась читать Signal, Telegram и WhatsApp без взлома шифрования Схема довольно простая: следователи подключают свой компьютер как новое доверенное устройство через штатные функции WhatsApp Web, Telegram Web или Signal Desktop. Шифрование при этом не ломается - сообщения просто начинают приходить еще на один разрешенный клиент. Главная задача - получить подтверждение привязки. Для этого могут использовать физический доступ к смартфону, QR-код, SMS-код или фишинг. ZKA тестировала такую Messengerüberwachung с 2023 года, а с августа 2025-го использует ее постоянно. В одном из известных случаев полиция подключила WhatsApp Web к компьютеру ведомства, пока телефон подозреваемых находился у следователей. Причем дополнительное устройство может получить не только новые сообщения, но и часть старой переписки, контакты и возможность писать от имени владельца. В Signal подключенное устройство, по данным немецких ведомств, способно получить сообщения за предыдущие 45 дней. ⚠️ Поэтому даже самое крепкое шифрование не спасает, если кто-то получил место в списке "доверенных устройств". Проверять список активных сессий - скучно, зато иногда полезнее, чем спорить о стойкости шифрования. 😬 #Кибербезопасность #Signal #Telegram #WhatsApp #Приватность #Мессенджеры Подпишись

🪟 Сентябрьский апдейт Windows 11 снова принес сюрпризы Microsoft подтвердила проблемы после установки KB5124008 для Windows 11 24H2 и 25H2. В некоторых сценариях перестают работать общий доступ к папкам Linux-сред и Remote Desktop Services. В WSL и других Linux-VM, использующих Plan9, виртуалка запускается, но папки Windows внутри нее могут не появляться или становиться недоступными. Проблема также затрагивает Claude Cowork. С RDP ситуация веселее не стала: сеансы могут обрываться через несколько минут, появляться ошибки входа, а серверы - зависать. Затронуты также Windows 10 и некоторые версии Windows Server. Microsoft готовит исправления. Для RDP временно помогает перезапуск виртуальной машины, а для проблемы с Plan9 официального обходного решения пока нет. При этом просто удалить KB5124008 - плохая долгосрочная идея: сентябрьский пакет закрыл 966 уязвимостей, включая две уже эксплуатировавшиеся в атаках. 🔥 Получается классический выбор: обновиться и чинить то, что сломалось, или не обновляться и чинить то, что взломали. 😬 #Windows11 #Microsoft #RDP #WSL #Кибербезопасность #Уязвимости Подпишись

🕷 Похоже, Человек-паук сегодня точно не останется без свидания! 😏 Белорусская модель Екатерина Лодянова, более известная как CarryKey, примерила образ Мэри Джейн Уотсон - той самой Эм-Джей ❤️ из вселенной Marvel. За основу косплея Екатерина взяла образ героини с обложки The Amazing Spider-Man #601 от августа 2009 года. И да, получилось настолько эффектно, что Питеру Паркеру пора обновлять паутину - вдруг пригодится для романтического спасения с небоскреба. 😂🕸 Красный цвет, дерзкий взгляд и атмосфера комиксов - кажется, Эм-Джей буквально сошла со страницы! 📖✨ #CarryKey #MaryJaneWatson #SpiderMan #Marvel #Cosplay #Косплей Подпишись

🤖 ИИ-агенты взломали сотни PaperCut-серверов за считанные секунды GreyNoise описала реальную кампанию против PaperCut NG/MF, где один оператор задействовал сотни ИИ-агентов. В пике они скомпрометировали 11 организаций за 26 секунд, а всего затронули минимум 440 серверов в 48 странах. Атака использовала две уязвимости - CVE-2026-81578 и CVE-2026-82078. Их связка позволяла без предварительной аутентификации выполнить Java-код на сервере. Дальше агенты автоматически искали путь к Active Directory: извлекали секреты LSASS, применяли pass-the-hash, использовали noPac и в некоторых случаях получали Domain Admin с последующим DCSync. Но ИИ тоже ошибался: из 440 серверов полный контроль домена получили только в 12 организациях. Самая быстрая успешная цепочка заняла 5 минут. PaperCut уже выпустила исправления. Администраторам советуют обновиться, закрыть сервер от интернета и проверить систему на подозрительные инструменты удаленного доступа. Раньше боты просто сканировали интернет. Теперь некоторые из них еще и знают, что делать после находки. 😬 #Кибербезопасность #ИИ #PaperCut #Хакеры #Уязвимость #AI Подпишись

🎵 ZX Spectrum научили играть музыку - почти без железа У ранних ZX Spectrum 16/48K не было полноценного звукового чипа - только динамик с двумя состояниями: вкл/выкл. Но разработчик Майкл Мартин смог выжать из него трехголосное звучание на Z80 с частотой 3,5 МГц. Программа одновременно считает три частоты, смешивает их и решает, когда переключать динамик. Один цикл занимает всего 338 тактов процессора. Мартин также экспериментировал с 1-битным PCM и PWM, но лучший результат дал именно программный микс. Код и записи эксперимента разработчик опубликовал открыто. И все это на компьютере, где современный смартфон тратит больше ресурсов на отображение часов. 😄 #ZXSpectrum #Ретро #Программирование #Z80 #Ретрокомпьютеры #Технологии Подпишись

🚨 Обычная ссылка превратила китайскую клавиатуру в точку входа для шпионской атаки Gen раскрыла цепочку, через которую UNC3569 заражала пользователей Sogou Input Method бэкдором GRAYRABBIT. По версии исследователей, жертве могло хватить перехода по подготовленной ссылке. Уязвимость CVE-2026-51990 позволяла через протокол sgbiz: запустить компонент Sogou и заставить встроенный браузер открыть вредоносную страницу. А там атакующих ждал древний Chromium 80 без песочницы - с известными уязвимостями. Эксплойт загружал троянизированный 7-Zip, DLL и GRAYRABBIT. Бэкдор давал удаленную командную оболочку, позволял запускать процессы, передавать файлы и собирать данные о системе. 🐇 Tencent выпустила исправление 21 апреля в версии 16.3.0.3498, но встроенный Chromium пока не обновили. Есть и спорный момент: Gen говорит, что хватало клика, Tencent - что требовалось подтвердить запрос браузера. Клавиатура, которая решила поработать еще и шпионским порталом. 😬 #Кибербезопасность #Уязвимость #Sogou #UNC3569 #GRAYRABBIT #Хакеры Подпишись

🐻 AI-медведь оказался слишком реалистичным - и стоил автору 30 000 рублей Жительницу села Дульдурга в Забайкалье оштрафовали на 30 000 рублей за публикацию сгенерированного ИИ изображения медведя. Суд также постановил конфисковать iPhone 11. 📱 Фотографии быстро разошлись по местным группам, но власти заявили: никакого медведя в селе не было, а снимки созданы с помощью ИИ. Важно: наказали женщину не за использование нейросети, а за распространение заведомо недостоверной общественно значимой информации в интернете. Получается, AI сделал медведя, а штраф получил человек. 🤖➡️🐻➡️💸 #ИИ #Нейросети #Россия #Кибербезопасность #AI #Новости Подпишись

🤖 ИИ-агент впервые оказался непосредственным участником реального взлома В Испании AEPD расследует необычную утечку: злоумышленник запустил ИИ-агента, а тот сам искал уязвимости, проник в приложение, продолжил разведку и добрался до персональных данных и счетов-фактур. Это уже не сценарий "человек спросил ChatGPT, как взломать сервер". Агент самостоятельно разбивал задачу на этапы, запускал инструменты и менял тактику после получения новых результатов. 😬 Название организации, модель ИИ и объем украденных данных пока не раскрываются. Регулятор подчеркивает: это не означает взлом самой нейросети. Главная проблема - скорость. ИИ не обязательно придумывает новые способы атаки, но способен выполнять знакомые действия быстрее, масштабнее и практически без участия человека. Похоже, эпоха "ИИ только подсказывает хакеру" постепенно сменяется эпохой "ИИ сам пошел проверять, что тут плохо защищено". 🫠 #ИИ #Кибербезопасность #Хакинг #AIAgents #УтечкиДанных #InfoSec Подпишись

🍎 Обычная веб-страница может повесить весь Mac Исследователь Оберон Лопес показал Deathray - демонстрацию DoS-сбоя, который на протестированных MacBook с Apple Silicon способен полностью заморозить интерфейс macOS. Причина - WebGPU. Специальный шейдер забивает GPU вычислениями настолько, что начинает страдать даже WindowServer, отвечающий за графический интерфейс. 🫠 Вкладка браузера при этом превращается из "просто сайта" в маленькую печку для GPU. 🔥 Файлы украсть или команды выполнить таким способом нельзя - основной эффект именно отказ в обслуживании. Вернуть Mac к жизни помогает перезагрузка. Лопес сообщил, что Apple получила информацию еще в июле, но пока публичного срока исправления нет. И да, похожий трюк уже исправляли в 2023 году - тогда проблема получила CVE-2023-40441. Похоже, WebGPU иногда умеет не только рисовать красивые 3D-сцены, но и превращать Mac в очень дорогий кирпич. 😅 #Apple #macOS #WebGPU #Кибербезопасность #Уязвимости #DoS Подпишись

🎈 Пеннивайз, но в женской версии Модель Kalinka Fox устроила косплей на Пеннивайза из "Оно" Стивена Кинга и показала собственную женскую интерпретацию танцующего клоуна. Фотографии появились во "ВКонтакте". 🎭 Пеннивайз - один из обликов сущности Оно, которая обитает в вымышленном Дерри и чаще всего появляется именно в образе клоуна. Клоун теперь другой. Жутковато - зато стильно. 😈 #Косплей #Пеннивайз #Оно #StephenKing #Косплейщик #Хоррор

🚨 США заблокировали Telegram-инфраструктуру Xinbi Федеральный суд разрешил изъять Telegram-каналы Xinbi Guarantee - крупной площадки для скам-центров. Уже через два дня каналы исчезли, а связанные криптоактивы на $52,8 млн оказались заморожены. 💰 Речь не о том, что агенты забрали серверы в коробке 😅. В американском праве цифровой канал может считаться имуществом, а Telegram технически способен заблокировать его владельцев. Xinbi помогала скам-центрам находить данные жертв, создавать фальшивые сайты, нанимать работников и отмывать деньги. Большая часть средств хранилась в USDT. После блокировок Xinbi попыталась перевести около $2,8 млн в USDD. По оценке Минфина США, с 2022 года через инфраструктуру Xinbi прошло более $24 млрд. Похоже, у преступного рынка появился новый пункт в инструкции: "не хранить все в одном Telegram". 😏 #Кибербезопасность #Telegram #Криптовалюта #Скам #Мошенничество #InfoSec Подпишись

🐧 Linux получил новую порцию проблем - вместе с готовыми эксплойтами NebuSec опубликовала рабочие эксплойты для серии уязвимостей ядра Linux, проверенные на openSUSE, Debian, RHEL, Ubuntu, Fedora, Arch и Android. Часть багов позволяет локальному пользователю получить root. 🔥 Самая заметная - ZcopyReaper (CVE-2026-43502) с оценкой 7,8/10. Ошибка в RDS и обработке zerocopy приводит к неправильному освобождению памяти, что можно превратить в выполнение кода с правами root. Всего OpenNet выделил 18 проблем с повышением привилегий. Они затрагивают IPVS, IPv6, NFQUEUE, SCTP, io_uring, Open vSwitch и другие компоненты. Среди причин - use-after-free, двойное освобождение памяти и выход за границы буфера. 💀 Но готовый эксплойт не означает, что любой Linux-сервер можно взломать удаленно. Для многих атак нужен локальный доступ или специфическая конфигурация ядра. Особенно внимательно стоит отнестись к контейнерам и хостам с расширенными сетевыми возможностями. ⚠️ Часть старых веток все еще содержит отдельные уязвимости. Разработчики Linux рекомендуют по возможности переходить на актуальные стабильные ядра, а не собирать собственный "Франкенштейн" из отдельных патчей. 😅 #Linux #Кибербезопасность #Уязвимости #Root #Exploit #InfoSec Подпишись

🤖 Discord будет угадывать ваш возраст - паспорт нужен не всегда Платформа внедряет ML-модель, которая определяет возрастную группу по косвенным признакам: возрасту аккаунта, способу оплаты, серверам и активности. Содержимое сообщений, по словам Discord, не анализируется. Если алгоритм уверен - никаких документов и селфи. 😎 Компания ожидает, что более 90% пользователей пройдут проверку автоматически. Если модель засомневается, в ход идут видеоселфи, удостоверение личности, Google Wallet или кредитная карта. 💳🤳 Ошибку можно оспорить, но если система решит, что пользователь младше минимального возраста, аккаунт могут заблокировать - и тогда уже потребуется подтверждение личности. Похоже, интернет постепенно переходит к новому формату: "Мы примерно поняли, сколько вам лет. Теперь докажите, что мы ошиблись". 😅 #Discord #Приватность #ИИ #Кибербезопасность #Технологии #Возраст Подпишись

🤖 "Алиса AI" может стать неудаляемой - но пока ничего не решено Минцифры дорабатывает правила предустановки российских приложений. В проекте постановления появился новый термин - "системный помощник". Для него хотят предусмотреть фоновое обновление, уведомления и голосовую активацию. Самое интересное - вопрос удаления. 🗑 Проект допускает исключение из правил, позволяющих пользователю удалять предустановленные приложения. Но "Яндекс" утверждает, что прямого запрета на удаление "Алисы" в тексте нет. Компания говорит о возможности отключить помощника и выбрать другой сервис по умолчанию. А отключить и удалить - все-таки не одно и то же. Приложение может остаться на смартфоне, просто перестав работать. 👀 Минцифры подчеркивает, что помощник должен использоваться добровольно и что проект пока обсуждается с отраслью. При этом "Алиса AI" уже включена в перечень ПО для обязательной предустановки на 2027 год. Но это еще не означает автоматического запрета на ее удаление или появления расширенных системных разрешений. 📱 В общем, история пока находится на стадии: "Алиса, а удалить тебя вообще можно?" 😄 #АлисаAI #Яндекс #Минцифры #Смартфоны #Технологии #Россия Подпишись

📱 Happ снова в российском App Store - но уже под новым именем VPN-клиент вернулся в магазин Apple как Happ Lite. Версию 5.8.1 выпустила Flyfrog LLC - разработчик приложений семейства Happ, которые ранее уже удаляли из российского App Store по требованиям Роскомнадзора. Приложение занимает около 360 МБ и уже поднялось на 21-е место в категории "Утилиты". При этом разработчик подчеркивает: серверов Happ не предоставляет - пользователь сам выбирает, к чему подключаться. 🛡 Технически Happ - клиент для подключения к прокси и VPN-серверам. Он поддерживает Xray, VLESS, VMess, Trojan, Shadowsocks и SOCKS. Но есть нюанс: предыдущие версии Happ и похожие приложения уже исчезали из российского App Store. Поэтому нынешнее возвращение вполне может оказаться очередным раундом игры в "удалили - переименовали - вернули". 😏 Роскомнадзор по-прежнему жестко относится к инструментам обхода блокировок, а российское законодательство также ограничивает их рекламу. Так что пока Happ Lite снова в магазине - но надолго ли? 🍎👀 #Кибербезопасность #VPN #AppStore #Роскомнадзор #Happ #Технологии Подпишись

🚨 Календарь событий превратился в календарь проблем В WordPress-плагине The Events Calendar нашли две критические уязвимости, позволяющие удаленно выполнить код без авторизации. Обе получили 9,8/10 по CVSS, а сам плагин установлен более чем на 600 000 сайтов. 📅💥 🔴 CVE-2026-78006 - PHP Object Injection. Подготовленный объект может добраться до функции, способной выполнять системные команды. 🔴 CVE-2026-78159 - позволяет изменить пароль администратора, войти в панель и загрузить вредоносный плагин. Обе цепочки начинаются с обработки содержимого комментария через do_blocks(). Правда, есть условие: для атаки должны быть включены комментарии на странице события. По оценке SecurityWeek, потенциально затронуты около 240 000 сайтов с устаревшими версиями. 🛠 Что делать? Обновить The Events Calendar до 6.17.4.1 или новее. Отключение комментариев может снизить риск, но обновление все равно обязательно. Плагин, который должен показывать дату мероприятия, внезапно решил показать еще и RCE. 😅🔐 #WordPress #Кибербезопасность #Уязвимости #RCE #InfoSec #TheEventsCalendar Подпишись

🎮 Молчунья вышла из Metal Gear Solid 5 прямо в реальность. 🔥 Российская модель Lady Melamori показала косплей Молчуньи - одной из самых узнаваемых героинь The Phantom Pain. Фотографиями девушка поделилась в соцсетях. По сюжету Молчунья - ассасин XOF, которая после поражения от Венома Снейка присоединяется к Diamond Dogs. А ее необычный костюм объясняется не только дизайном: из-за особенностей организма она дышит и получает воду через кожу, поэтому лишняя одежда могла буквально стать для нее проблемой. 😏 Косплей получился максимально узнаваемым - Снейк, похоже, снова где-то рядом. 🐍 #MetalGearSolid #MGS5 #Косплей #Quiet #LadyMelamori #Игры Подпишись

⌚️ Apple Watch теперь не только считают пульс - они начинают запоминать разговоры. 👀 Новые Series 12 и Ultra 4 получили Audio Intelligence: часы могут анализировать окружающие звуки, восстанавливать последние фразы и делать краткие конспекты разговоров. Самая интересная функция - Live Rewind. Двойное нажатие Digital Crown позволяет получить расшифровку последних 15 секунд разговора. Можно перечитать пропущенную фразу или сохранить ее. 🗣➡️⌚️ А Siri Recap превращает разговор в короткие заметки: заголовок, основные мысли и содержание. Apple подчеркивает: обычные аудиозаписи не хранятся, обработка частично проходит прямо на устройстве, а данные защищаются шифрованием. Но есть нюанс: ваш собеседник тоже становится частью этой цифровой памяти. И вот здесь начинается интересное: смартфон нужно достать и направить на человека, а часы уже постоянно находятся на запястье. 😬 Похоже, эпоха гаджетов, которые "просто слушают на всякий случай", становится все ближе. #Apple #AppleWatch #ИИ #Приватность #Технологии #Кибербезопасность Подпишись