CyberSecurity

نشت مخفیانه‌ی دیتا از ریپازیتوری‌های پرایوت گیت‌هاب با یه ترفند ساده‌ی هوش مصنوعی 📚 فکر کنید یه نفر بدون هیچ پسورد و دسترسی‌ای، بتونه کدهای مخفیانه‌تون رو توی گیت‌هاب بخونه. چطوری؟ با گول زدن ایجنت هوش مصنوعیِ خود گیت‌هاب! تیم Noma Labs یه آسیب‌پذیری خیلی خطرناک (به اسم GitLost) توی سیستم جدید Agentic Workflows گیت‌هاب پیدا کرده. داستان از این قراره که این ایجنت‌ها می‌تونن issueها رو بخونن و اتوماسیون انجام بدن. حالا هکرها چیکار می‌تونن بکنن؟ هکر کافیه بیاد تو یکی از ریپازیتوری‌های پابلیک شما یه Issue باز کنه و توش یه سری دستور مخفیانه به زبان انگلیسی (Prompt Injection) قایم کنه. ایجنت گیت‌هاب این متن رو می‌خونه، گول می‌خوره و به جای کار اصلیش، میره فایل‌ها و دیتای ریپازیتوری‌های پرایوتِ همون سازمان رو می‌خونه و برای هکر می‌فرسته! نکته‌ی جالب اینجاست: گیت‌هاب کلی گاردریل امنیتی چیده بود که دقیقاً جلوی همین اتفاق رو بگیره. اما محقق‌ها فهمیدن فقط با اضافه کردن کلمه‌ی "Additionally" (به‌علاوه/همچنین) توی پرامپت هک، مدل هوش مصنوعی کلا گیج می‌شه و به جای اینکه درخواست رو رد کنه، تمام محدودیت‌ها رو دور می‌زنه و دیتا رو لو میده. این دقیقاً نشون میده که توی سیستم‌های جدید هوش مصنوعی، همون متنی که ایجنت می‌خونه همزمان می‌تونه پاشنه آشیل و نقطه حمله باشه. حملات Prompt Injection الان دقیقاً دارن همون بلایی رو سر AI میارن که قبلاً SQL Injection سر وب‌سایت‌ها میاورد. البته این باگ به طور مسئولانه به گیت‌هاب گزارش شده، ولی حواستون به ایجنت‌هایی که به سورس‌کدهاتون دسترسی دارن باشه! 🔗 https://noma.security/blog/gitlost-how-we-tricked-githubs-ai-agent-into-leaking-private-repos ✅ Channel 💬 Group

✈️موج جدید «فیشینگ شبح» سامانه‌های امنیت ایمیل را دور می‌زند 🎥پژوهشگران امنیت سایبری از شناسایی موج جدیدی از حملات موسوم به Ghost Phishing خبر داده‌اند که با استفاده از کیت EvilTokens، سازمان‌ها و شرکت‌ها در آمریکا و اروپا را هدف قرار داده است. در این روش، محتوای صفحه فیشینگ به‌صورت رمزگذاری‌شده ارسال شده و تنها پس از باز شدن در مرورگر قربانی رمزگشایی می‌شود؛ موضوعی که باعث می‌شود بسیاری از سامانه‌های سنتی امنیت ایمیل و بررسی لینک‌ها قادر به شناسایی آن نباشند. 🎤این حملات با سوءاستفاده از قابلیت Microsoft Device Code، کاربران را به ورود قانونی به حساب Microsoft 365 ترغیب کرده و بدون سرقت مستقیم رمز عبور، امکان دسترسی مهاجمان به ایمیل‌ها، فایل‌ها و سرویس‌های ابری را فراهم می‌کنند. کارشناسان هشدار داده‌اند که برای مقابله با این تهدید، سازمان‌ها باید علاوه بر بررسی لینک‌ها، از ابزارهای تحلیل رفتار مرورگر و محیط‌های ایزوله (Sandbox) برای شناسایی صفحات فیشینگ پیشرفته استفاده کنند. ✈️@HackerNewsCyber

✔️ چین با ZCode وارد رقابت جدی در ابزارهای هوش مصنوعی برنامه‌نویسی شد شرکت Z.ai از محیط توسعه هوشمند ZCode رونمایی کرد؛ یک IDE ایجنت‌محور که با مدل متن‌باز GLM-5.2 یکپارچه شده و رقیبی برای ابزارهایی مانند Cursor، Claude Code و GitHub Copilot محسوب می‌شود. محیط ZCode برای ویندوز، macOS و لینوکس منتشر شده و امکاناتی مانند برنامه‌ریزی، کدنویسی، تست، بازبینی کد و اجرای وظایف چندمرحله‌ای را در اختیار توسعه‌دهندگان قرار می‌دهد. یکی از قابلیت‌های جالب این ابزار، کنترل Agent از طریق تلگرام، وی‌چت و Feishu است؛ به‌طوری‌که می‌توان حتی از طریق موبایل روند اجرای پروژه را مشاهده و دستورات جدید ارسال کرد. نکته قابل‌توجه اینکه Z.ai تلاش کرده وابستگی خود را به زیرساخت‌های غربی کاهش دهد. مدل GLM-5.2 از سخت‌افزارهای داخلی چین از جمله Huawei Ascend پشتیبانی می‌کند و هم‌زمان با افزایش محدودیت‌های آمریکا علیه برخی مدل‌های هوش مصنوعی، به یکی از جدی‌ترین گزینه‌های متن‌باز برای برنامه‌نویسی تبدیل شده است. @kaliboys | کالی بویز

بعد از کار با این سبک مدل ها: بنظرم روی پرامپت نویسی یه ریسرچ خوب داشته باشید. چرا؟ چون مهندسی پرامپت داستان عمیقی داره بخصوص توی حوزه امنیت شما دقیق باید مدل رو راهنمایی کنید تا بهترین ریزالت رو بده بهتون مثلا نحوه استفاده ماژولار از پرامپت ها استفاده بهینه و تو در تو یا تعریف ساب ایجنت ها منظور نهایی: برای پیاده سازی چیز دقیقی که تویه ذهنتون هست باید زبان دقیق مدل هارو بلد باشید

کراش زدم رو claude

https://gizmodo.com/anthropics-mythos-ai-reportedly-hacked-the-nsas-most-sensitive-systems-in-hours-2000776836 سرور های NSA هم از claude بی نصیب نمونده!

هکروان هم هک شد اطلاعات پرسنلش لیک شد شرکت ترد پارتی مسئول ذخیره اطلاعات پرسنلش مورد نفوذ قرار گرفته

یکی از تاپ کمپانی های کشور رو با سوشال اکسز ادمین شبکه کردیم 2k دستگاه آنلاین تو شبکه بود بعد که گزارش میدیم ما اینجوری رسیدیم داخل برامون out of scope میبندن 😂 بعدش دیدن خیلی خیطه کردنش گزارش مدیوم ۱۵ تومن بانتی👌🤣🤣 خیلی جا دارن این شرکت ها وقتی کل فکرت از نفوذ XSS و SSRF باشه هنوز باید تاوان پس داد

توی بلاد کفر ماکزیمم تایم تشخیص حمله ۶۰ دقیقه هستش اگه بیشتر از اون بگذره ایزوله کردن اون سیستم فایده نداره چون لترال مومنت انجام شده! اینجا از یطرف میان تو شبکه سراسری بانک ها ازینور میرن بیرون اساتید اما بعد اینکه همچی اومد پایین تازه میفهمن شبکه اکسز شده

ینی ریدم تو این تیم Incident Response که مسئول تشخیص حمله هست وقتی بعد چند روز پچ اختلال قبلی باز هم مهاجم ها دسترسی دارن و اختلال سایبری ایجاد میکنن مشخص هست هنوز نفهمیدن از کجا خوردن

دلیل قطع خدمات مبتنی بر کارت بانک‌ها اعلام شد شرکت خدمات انفورماتیک: 🔹 در پی بروز برخی اختلالات در سامانه‌های کارت‌محور بانک‌های ملی، صادرات و تجارت که ناشی از حملات سایبری گزارش شده است، بدین‌وسیله به استحضار مشتریان گرامی و هم‌وطنان عزیز می‌رساند، شرکت خدمات انفورماتیک به‌منظور پیشگیری از هرگونه دسترسی غیرمجاز و صیانت از امنیت داده‌ها و دارایی‌های مشتریان، در حال حاضر ارائه خدمات مبتنی بر کارت را به صورت موقت از دسترس خارج کرده است. 🔹 تیم‌های فنی و متخصصان امنیت سایبری در حال رفع اختلالات ایجادشده هستند تا امکان بهره‌برداری دوباره از خدمات فراهم شود. 🔹 ضمن عرض پوزش بابت وقفه پیش‌آمده در انجام امور بانکی، از تمام کاربران و مشتریان محترم تقاضا می‌شود ضمن حفظ صبوری و شکیبایی، اخبار و اطلاعات تکمیلی در خصوص زمان بازگشت به وضعیت عادی را صرفاً از طریق درگاه‌های اطلاع‌رسانی رسمی و مراجع ذی‌صلاح پیگیری کنند. #اختلال #حمله #نفوذ ✅ Channel 💬 Group

یه وقتایی میفهمین یه IP یا دامنه روی S3 bucket ایندکس شده یعنی محتوای صفحه HTML+Css ساده هستش که داخل آمازون s3 آپلود و اجرا میشه اما باکت نیم رو نداریم و دنبالش میگردیم. چطور ممکنه؟ رکورد A یک دامنه به رنج آی پی آمازون پوینت میشه اما برای چک کردن پرمیژن باکت ما نمیتونیم باکت رو ببینیم با کامند: nslookup amazonIP میتونید هاست نیم و باکت نیم اصلی رو برگردونید به ترتیب: dig a domain.com = 54.x.x.x whois 54.x.x.x = amazon Inc nslookup 54.x.x.x = bucketname

اختلال ۴ بانک رفع شد مدیر روابط عمومی شرکت خدمات انفورماتیک: - با پیگیری‌های انجام شده و تلاش‌ گروه فنی، در حال حاضر، خدمات پایه مبتنی بر کارت هر چهار بانک، شامل خرید، انتقال وجه و مانده‌گیری فعال شد و به حالت عادی برگشت. - همچنین سقف انتقال پایا در داخل شعبه به میزان ۲۰ میلیارد ریال افزایش یافت و علاوه بر آن، سقف تراکنش‌های روزانه انتقال کارتی از مبدا این بانکها تا یک میلیارد و ۵۰۰ میلیون ریال تعیین شده که مشتریان میتوانند این انتقال را طی یک روز در ۱۰ تراکنش ۱۵۰ میلیون ریالی انجام دهند. ✅ @IntSec

این گروه تا عمیق ترین لایه های بخش های مالی و پرداختی کشور نفوذ کرده با شدت چند برابر قبل! بعد یک عده گوساله مثل این الکی پر و بال میدن به این سازمان ها و از اون طرف هم خودشون رو حامی ایران جلوه میدن شازده کوچولو رو یادتونه ؟ همه اطرافیاش میگفتن که نقاشیت خیلی قشنگه بهش پر و بال الکی میدادن الانم این بیناموس عالم پر و بال میده به یک عده که نباید بده به بهانه دفاع از کشور و نظام و این چیزا چه اتفاقی میوفته ؟ این میشه که میبینید دوست تو کسی هست که عیب تورو میگه ... دوست تو خبرنگار خط سفید حروم لقمه کچل نیست اشاره خاصی نمیکنیم از اول هم ما با این تخم سگ مشکل داشتیم.