fa
Feedback
T.Hunter

T.Hunter

رفتن به کانال در Telegram

Tom Hunter news | tomhunter.ru 📔 https://dzen.ru/tomhunter 🤳 https://vk.com/tomhunter 📱 +7 (812) 677-17-05 📧 contact@tomhunter.ru Хэштеги: #news #cve #article Номер заявления: 6780098298

نمایش بیشتر

📈 تحلیل کانال تلگرام T.Hunter

کانال T.Hunter (@tomhunter) در بخش زبانی روسی بازیگری فعال است. در حال حاضر جامعه شامل 14 412 مشترک است و جایگاه 14 718 را در دسته اخبار و رسانه‌ها و رتبه 46 386 را در منطقه روسيا دارد.

📊 شاخص‌های مخاطب و پویایی

از زمان ایجاد در невідомо، پروژه رشد سریعی داشته و 14 412 مشترک جذب کرده است.

بر اساس آخرین داده‌ها در تاریخ 09 ژوئن, 2026، کانال فعالیت پایداری دارد. در ۳۰ روز گذشته تغییر اعضا برابر -47 و در ۲۴ ساعت گذشته برابر -2 بوده و همچنان دسترسی گسترده‌ای حفظ شده است.

  • وضعیت تأیید: تأیید نشده
  • نرخ تعامل (ER): میانگین تعامل مخاطب 14.06% است و در ۲۴ ساعت نخست پس از انتشار، محتوا معمولاً 6.01% واکنش نسبت به کل مشترکان کسب می‌کند.
  • دسترسی پست‌ها: هر پست به طور میانگین 2 026 بازدید دریافت می‌کند. در اولین روز معمولاً 866 بازدید جمع‌آوری می‌شود.
  • واکنش‌ها و تعامل: مخاطبان به‌طور فعال حمایت می‌کنند؛ میانگین واکنش به هر پست 9 است.
  • علایق موضوعی: محتوا بر موضوعات کلیدی مانند юзер, взлом, патч, расширение, clickfix تمرکز دارد.

📝 توضیح و سیاست محتوایی

نویسنده این فضا را محل بیان دیدگاه‌های شخصی توصیف می‌کند:
Tom Hunter news | tomhunter.ru 📔 https://dzen.ru/tomhunter 🤳 https://vk.com/tomhunter 📱 +7 (812) 677-17-05 📧 contact@tomhunter.ru Хэштеги: #news #cve #article Номер заявления: 6780098298

به لطف به‌روزرسانی‌های پرتکرار (آخرین داده در تاریخ 10 ژوئن, 2026)، کانال همواره به‌روز و دارای دسترسی بالاست. تحلیل‌ها نشان می‌دهد مخاطبان به‌طور فعال با محتوا تعامل دارند و آن را به نقطه اثرگذاری مهم در دسته اخبار و رسانه‌ها تبدیل کرده‌اند.

14 412
مشترکین
-224 ساعت
-37 روز
-4730 روز
جذب مشترکین
ژوئن '26
ژوئن '26
+23
در 2 کانال‌ها
مه '26
+96
در 6 کانال‌ها
Get PRO
آوریل '26
+108
در 6 کانال‌ها
Get PRO
مارس '26
+109
در 5 کانال‌ها
Get PRO
فوریه '26
+143
در 7 کانال‌ها
Get PRO
ژانویه '26
+188
در 6 کانال‌ها
Get PRO
دسامبر '25
+131
در 6 کانال‌ها
Get PRO
نوامبر '25
+177
در 9 کانال‌ها
Get PRO
اکتبر '25
+137
در 12 کانال‌ها
Get PRO
سپتامبر '25
+135
در 6 کانال‌ها
Get PRO
اوت '25
+134
در 10 کانال‌ها
Get PRO
ژوئیه '25
+211
در 12 کانال‌ها
Get PRO
ژوئن '25
+170
در 8 کانال‌ها
Get PRO
مه '25
+136
در 12 کانال‌ها
Get PRO
آوریل '25
+174
در 12 کانال‌ها
Get PRO
مارس '25
+149
در 20 کانال‌ها
Get PRO
فوریه '25
+165
در 6 کانال‌ها
Get PRO
ژانویه '25
+155
در 12 کانال‌ها
Get PRO
دسامبر '24
+236
در 8 کانال‌ها
Get PRO
نوامبر '24
+296
در 8 کانال‌ها
Get PRO
اکتبر '24
+334
در 10 کانال‌ها
Get PRO
سپتامبر '24
+271
در 12 کانال‌ها
Get PRO
اوت '24
+363
در 19 کانال‌ها
Get PRO
ژوئیه '24
+185
در 11 کانال‌ها
Get PRO
ژوئن '24
+236
در 14 کانال‌ها
Get PRO
مه '24
+294
در 16 کانال‌ها
Get PRO
آوریل '24
+276
در 19 کانال‌ها
Get PRO
مارس '24
+414
در 37 کانال‌ها
Get PRO
فوریه '24
+479
در 20 کانال‌ها
Get PRO
ژانویه '24
+505
در 22 کانال‌ها
Get PRO
دسامبر '23
+341
در 19 کانال‌ها
Get PRO
نوامبر '23
+210
در 10 کانال‌ها
Get PRO
اکتبر '23
+324
در 13 کانال‌ها
Get PRO
سپتامبر '23
+360
در 0 کانال‌ها
Get PRO
اوت '23
+355
در 0 کانال‌ها
Get PRO
ژوئیه '23
+388
در 0 کانال‌ها
Get PRO
ژوئن '23
+275
در 0 کانال‌ها
Get PRO
مه '23
+336
در 0 کانال‌ها
Get PRO
آوریل '23
+219
در 0 کانال‌ها
Get PRO
مارس '23
+282
در 0 کانال‌ها
Get PRO
فوریه '23
+136
در 0 کانال‌ها
Get PRO
ژانویه '23
+400
در 0 کانال‌ها
Get PRO
دسامبر '22
+265
در 0 کانال‌ها
Get PRO
نوامبر '22
+217
در 0 کانال‌ها
Get PRO
اکتبر '22
+475
در 0 کانال‌ها
Get PRO
سپتامبر '22
+579
در 0 کانال‌ها
Get PRO
اوت '22
+384
در 0 کانال‌ها
Get PRO
ژوئیه '22
+466
در 0 کانال‌ها
Get PRO
ژوئن '22
+324
در 0 کانال‌ها
Get PRO
مه '22
+512
در 0 کانال‌ها
Get PRO
آوریل '22
+853
در 0 کانال‌ها
Get PRO
مارس '22
+1 266
در 0 کانال‌ها
Get PRO
فوریه '22
+448
در 0 کانال‌ها
Get PRO
ژانویه '22
+758
در 0 کانال‌ها
Get PRO
دسامبر '21
+702
در 0 کانال‌ها
Get PRO
نوامبر '21
+1 750
در 0 کانال‌ها
Get PRO
اکتبر '21
+1 672
در 0 کانال‌ها
Get PRO
سپتامبر '21
+758
در 0 کانال‌ها
Get PRO
اوت '21
+124
در 0 کانال‌ها
Get PRO
ژوئیه '21
+97
در 0 کانال‌ها
Get PRO
ژوئن '21
+59
در 0 کانال‌ها
Get PRO
مه '21
+92
در 0 کانال‌ها
Get PRO
آوریل '21
+8
در 0 کانال‌ها
Get PRO
مارس '21
+22
در 0 کانال‌ها
Get PRO
فوریه '21
+109
در 0 کانال‌ها
Get PRO
ژانویه '21
+493
در 0 کانال‌ها
تاریخ
رشد مشترکین
اشارات
کانال‌ها
11 ژوئن+2
10 ژوئن+1
09 ژوئن+2
08 ژوئن+3
07 ژوئن+1
06 ژوئن+2
05 ژوئن+1
04 ژوئن+2
03 ژوئن+6
02 ژوئن+2
01 ژوئن+1
پست‌های کانال
🔥 Оборотные штрафы за утечку ПДн: как избежать повторного нарушения? С 30 мая 2025 действует новая редакция ст. 13.11 КоАП з
🔥 Оборотные штрафы за утечку ПДн: как избежать повторного нарушения? С 30 мая 2025 действует новая редакция ст. 13.11 КоАП за нарушения 152-ФЗ. Размер штрафа зависит от масштаба утечки, категории данных и повторности За повторную утечку — 1–3% годовой выручки, от 20 млн (от 25 млн для спецкатегорий и биометрии) до 500 млн руб. Отдельно — до 3 млн руб. за неуведомление РКН в течение 24 часов. С декабря 2024 — также уголовная ответственность по ст. 272.1 УК РФ Что делать? ✅ Аудит обработки ПДн и договоров с обработчиками ✅ Мониторинг и логирование — без них не доказать отсутствие халатности ✅ Процесс уведомления РКН: 24ч на первичное, 72ч на итоговый отчёт ✅ Обучать сотрудников и обновлять политики Важно: ответственность несёт оператор, даже если слил подрядчик. Утечка бьёт и по бюджету, и по репутации «Регуляторика — не волокита, а защита от реальных рисков. Лучше вложиться в комплаенс, чем платить штрафы» — наш руководитель проектов по ИБ Щербаков Антон @tomhunter Наш канал в MAX

2
🛡 Как проверить, не стал ли ваш домен зоной распространения вредоносного ПО — практический гайд Домен внезапно появился в че
🛡 Как проверить, не стал ли ваш домен зоной распространения вредоносного ПО — практический гайд Домен внезапно появился в черных списках DNSBL? Или вы заметили трафик с поддоменов, которых не создавали? Возможно, ваш ресурс используют для распространения вредоносное ПО 🔍 Как проверить репутацию домена 🔹 Проверка в DNSBL dnsblcheck.org или mxtoolbox.com покажут, не занесён ли домен в черные списки за спам 🔹 Реестры Роскомнадзора eais.rkn.gov.ru отслеживает попадание домена в реестр запрещённых 🔹 Мониторинг поддоменов Sublist3r или Amass отслеживают новые поддомены. Чужой поддомен — сигнал о захвате 🔹 Логи веб-сервера и CDN Анализируйте логи на подозрительные запросы и IP ⚠️ Почему это важно? Распространение вредоносное ПО через домен угрожает репутации и грозит блокировкой, штрафами и потерей клиентов. По мнению аналитика ИБ Махматхаджиева Амира, мониторинг домена — часть базовой стратегии ИБ. Не ждите — защищайтесь заранее @tomhunter Наш канал в MAX
1 219
3
🛡️ Вебинар: противодействие шифрованию 9 июня (вторник) в 11:00 обсудим, какие средства помогают противостоять шифровальщика
🛡️ Вебинар: противодействие шифрованию 9 июня (вторник) в 11:00 обсудим, какие средства помогают противостоять шифровальщикам В программе: — обзор 5 решений «Лаборатории Касперского» — длительность 40 минут в формате живой дискуссии Приглашайте коллег и заказчиков, если тема актуальна 🔗 Ссылка для участия
2 005
4
🛡️ Вебинар: противодействие шифрованию 9 июня (вторник) в 11:00 обсудим, какие средства помогают противостоять шифровальщика
🛡️ Вебинар: противодействие шифрованию 9 июня (вторник) в 11:00 обсудим, какие средства помогают противостоять шифровальщикам В программе: — обзор 5 решений «Лаборатории Касперского» — длительность 40 минут в формате живой дискуссии Приглашайте коллег и заказчиков, если тема актуальна 🔗 Ссылка для участия
1
5
🔥 Почему шифровальщики в 2026 году всё чаще атакуют КИИ — экспертный взгляд С 2023 года злоумышленники сменили тактику: шифр
🔥 Почему шифровальщики в 2026 году всё чаще атакуют КИИ — экспертный взгляд С 2023 года злоумышленники сменили тактику: шифровальщики стали частью агрессивной стратегии — уничтожение инфраструктуры, утечки данных, остановка критичных процессов. Особенно уязвимы компании из зоны КИИ 🔍 Причины роста атак в 2026 году: • Высокая стоимость выкупа. КИИ не может позволить себе простой, поэтому выкуп, скорее всего, будет выплачен • Утечки данных. Шифровальщики не только шифруют данные, но и крадут их — это грозит штрафами по 152-ФЗ • Слабая защита на периметре. Многие КИИ используют устаревшие системы; в ход идут фишинг и уязвимое ПО Наш специалист Махматхаджиев Амир отмечает: «Путь атаки один: уязвимость → разведка → захват домена → шифрование и утечка» 🚀 Что делать? — Пентесты и аудиты периметра — MFA для критических сервисов — SIEM и EDR для реагирования — Обучение сотрудников @tomhunter Наш канал в MAX
1 710
6
#news Пятничные новости инфобеза. Microsoft выпустила пост по следам пустившегося во все тяжкие Nightmare-Eclipse. Сам пост н
#news Пятничные новости инфобеза. Microsoft выпустила пост по следам пустившегося во все тяжкие Nightmare-Eclipse. Сам пост непримечательный: раскрывайте уязвимости нам, иначе это криминал, понятненько? Но в сообществе внезапно открылся портал в ад. Багхантеры делятся историями взаимодействия с MSRC, которые проходили по удивительно схожему сценарию: найденную уязвимость помечали как out-of-scope или дубликат и фиксили задним числом — без CVE, признания и выплат. Угрозы тоже не оценили: наши исследования — это наши исследования, что хотим с ними, то и делаем. Не обошлось и без мемов про BB за три сотки на новый лад. В общем, коммьюнити бурлит, багхантеры взбунтовались. Подборка на скрине. Такими темпами обещанное Nightmare-Eclipse явление в июле пройдёт под дружное ликование — у угнетённых белошляпочников появился народный мститель проклятым корпорациям. С анимешной девочкой на аватарке. А как иначе? @tomhunter
2 328
7
#news В сети новое исследование фингерпринтинга браузером через анализ работы SSD. В лучших традициях надругательства учёного
#news В сети новое исследование фингерпринтинга браузером через анализ работы SSD. В лучших традициях надругательства учёного над журналистом пошли заголовки “У сайтов появился новый способ следить за посетителями”. На деле же всё далеко не так просто. Атака получила название FROST, fingerprinting remotely using OPFS-based SSD timing. Если кратко, это побочный канал утечки данных: браузер слушает большой OPFS-файл, нейронка анализирует задержку чтения и может определить, какие сайты посещает юзер и какие приложения у него открыты. Ключевой момент: нейронка, специально натасканная в лабораторных условиях на анализируемом массиве данных. А от лаборатории до реальных применений путь неблизкий; в контексте такой атаки — не факт, что проходимый. Зато заголовки гремят, юзеры поют панихиду приватности, и так до следующего кликбейта. Само исследование здесь (PDF). @tomhunter
1 974
8
#news На Gitea, опенсорсной платформе для хостинга ИТ-проектов, закрыли уязвимость, позволяющую злоумышленнику стянуть приват
#news На Gitea, опенсорсной платформе для хостинга ИТ-проектов, закрыли уязвимость, позволяющую злоумышленнику стянуть приватные образы. Без аккаунта, кредов или доступа в прошлом. Затронуты все версии до 1.26.2. Детали не раскрывают, чтобы дать время накатить патчи — известно, что на эндпоинте реестра не было надлежащей аутентификации. Уязвимость присутствовала около четырёх лет, и форки Gitea советуют считать уязвимыми, пока мейнтейнеры не подтвердят обратное. Forgejo уже сообщила, что у них CVE в наличии. По консервативным оценкам затронуты 30+ тысяч инстансов, был ли эксплойт, неизвестно. У исследователей это всё завёрнуто в “посмотрите, какую уязвимость нашёл наш автономный ИИ-агент для пентеста”, и отчёт читать строго тем, у кого глаза ещё не вытекают от LLM-спика, но хотя бы уязвимость в этом кейсе реальная. @tomhunter
1 826
9
#news CrowdStrike вместе с Google и друзьями нарушила работу С2-инфраструктуры Glassworm — источника атак на цепочку поставок
#news CrowdStrike вместе с Google и друзьями нарушила работу С2-инфраструктуры Glassworm — источника атак на цепочку поставок по разрабам и связанного ботнета. Экосистема наносит ответный удар. Glassworm — кодовое имя для операции по доставке червия на npm, PyPi, VS Code и других платформах, активной с начала 2025-го. Операторы залетели в заголовки в октябре, недавние атаки были в марте и конце апреля. Счастливчики получали на свои устройства инфостилер с RAT, и Glassworm прилично продержался за счёт устойчивой С2 c каналами связи на Solana, BitTorrent DHT, в календаре Google и обычными серверами. Crowdstrike утверждает, что ударили по всем четырём, С2 пала, и заражённые устройства теперь стучат по их безобидному айпишнику. В общем, от ежедневных атак на цепочку поставок устали и в Google и решили добавить в ленту немного позитива. @tomhunter
1 760
10
#news GitLab удалил аккаунт исследователя под ником Nightmare-Eclipse. 23 мая ему заблокировали аккаунт на GitHub и вчера опе
#news GitLab удалил аккаунт исследователя под ником Nightmare-Eclipse. 23 мая ему заблокировали аккаунт на GitHub и вчера оперативно снесли с GitLab, куда он мигрировал после бана. Ещё неплохо продержался. Борец с Microsoft успел опубликовать шесть эксплойтов и останавливаться не собирается. За это время он успел превратиться в героя для выгоревших багхантеров и прочих имевших сомнительное удовольствие взаимодействия с корпорациями. Дошло до сравнений с Мистером Роботом — народная любовь к Microsoft во всей красе. Некоторые спекулируют, что исследователь может быть уволенным из MS инсайдером — слишком уж хорошее знание архитектуры. Сам же Nightmare-Eclipse угрожает встряхнуть Microsoft в патчевый вторник 14 июля, так что поклонники ушедшего в отрыв исследователя могут помечать красный день в календаре. @tomhunter
1 764
11
#news Найджел Фараж, британский политик, обвинил Россию во взломе телефона. И непростом: коварные русские хакеры слили СМИ ин
#news Найджел Фараж, британский политик, обвинил Россию во взломе телефона. И непростом: коварные русские хакеры слили СМИ информацию о том, что Фараж получил £5 миллионов “в подарок” от криптомиллиардера. Увы в историю не верят и в самой UK. Никаких подтверждений и официальных заявлений от Фаража нет, и на фоне этого местный ИБ-регулятор NCSC глубоко обеспокоен: потенциальный премьер-министр заявляет об иностранном вмешательстве,такое нельзя игнорировать. Так что давайте нам пруфы, будем заседать и думать, как ответить России за взлом. А пруфов пока нет — только какие-то неназванные эксперты по контршпионажу винят во всём Москву. В общем, типичный политический цирк, только в этот раз неясно, прокатит ли трюк “в любой непонятной ситуации во всём обвиняй русских хакеров”. @tomhunter
1 737
12
#news Anthropic, судя по всему, планирует сделать открытым доступ к Mythos. Пункт с выбором модели появился в публичной верси
#news Anthropic, судя по всему, планирует сделать открытым доступ к Mythos. Пункт с выбором модели появился в публичной версии Claude Security и Claude Code — видимо, по ошибке, и его быстро убрали. На фоне этого эхо-камеры LLM-энтузиастов бурлят: неужто простым смертным дадут доступ к легендарной Mythos? Или к порезанной версии? А на каких уровнях подписки? И всё это спустя месяц после релиза "слишком опасной" модельки. Удивлённые юзеры приходят к выводу, что Mythos прикрутили крутые ограничения против абьюза, раз рискуют выпустить кремниевого вундеркинда на публику. На деле же окажется, что скептики были правы: никакого прорыва, ставившего под угрозу весь кибербез, не было, и так до следующей пиар-компании вокруг новой модели. Но что-то подсказывает, широкая публика подвох “Мальчик, который кричал ‘AGI’” так и не заметит. @tomhunter
1 726
13
#news На прошлой неделе клиенты THE.Hosting и компании начали жаловаться на масштабный сбой. На деле же в Нидерландах связанн
#news На прошлой неделе клиенты THE.Hosting и компании начали жаловаться на масштабный сбой. На деле же в Нидерландах связанные с ними серверы попросту изъяли и арестовали двух обслуживающих их человек. Судя по всему, рейды идут по всей Европе и в США. А разгадка проста: THE.Hosting якобы связана со Stark Industries, попавшей под санкции в прошлом году и отправившейся по волнам ребрендинга. В ЕС компанию обвиняют в предоставлении инфраструктуры киберпреступникам и под разное гибридное — отсюда и рейды с перехватами, арестами и прочей романтикой. Забавнее всего на фоне этого читать свидетельства клиентов, внезапно обнаруживших пропажу своей инфры. Тот неловкий момент, когда покупаешь хостинг, не интересуясь политикой — а она, как водится, очень интересуется тобой. Точнее, твоим хостером. @tomhunter.
1 736
14
#news На выходных не обошлось без, конечно же, ещё одной атаки на цепочку поставок. Инфостилер залетел в пакеты на npm, PyPi
#news На выходных не обошлось без, конечно же, ещё одной атаки на цепочку поставок. Инфостилер залетел в пакеты на npm, PyPi и Crates[.]io. Затронуты 34 пакета и 384 их версии. Несмотря на сравнительно небольшое число заражений, эффект может быть приличный: эта кампания под крипто- и ИИ-бро c прицелом на кошельки, DeFi с Solana и прочее блокчейновое. Из интересного, вредоносные .cursorrules и claude[.]md с инструкциями юникодом под слив кредов; метод, возможно, не самый эффективный, но как эксперимент интересно, особенно когда цель атаки — энтузиасты с LLM’кой в каждой щели. Список пакетов и теханализ здесь. Кто пристрастился к адреналину от ежедневных supply-chain атак, хорошие (?) новости, они всё ещё с нами — налетайте. @tomhunter
1 792
15
#news Европол перехватил First VPN, bulletproof-провайдера нынче всем известных услуг, но для киберпреступников рангом повыше
#news Европол перехватил First VPN, bulletproof-провайдера нынче всем известных услуг, но для киберпреступников рангом повыше простого любителя ютубчика. Операция масштабная, с захватом серверов и арестом админа на Украине. Расследование шло с 2021-го, 19 и 20 мая была его кульминация. Арестованы 33 сервера, домены, включая луковые, а также администратор — согласно анонсу, у него прошли маски-шоу и душещипательные беседы. Само собой, грозятся, что имел доступ к базе First VPN до перехвата, и данные 506 юзеров передали коллегам — привычный в таких операциях псиоп. А по мотивам выпустили мультик: качество моделек растёт, но эффект Зловещей Долины всё ещё с нами. Хотя бы ответственному за медиа стажёру весело. Оценить творчество LLM’ки Европола можно здесь — Дисней отдыхает. @tomhunter
4 001
16
#news HackerOne резко порезал выплаты по своей программе Internet Bug Bounty: в среднем в пять раз. Критические шли по $9,250
#news HackerOne резко порезал выплаты по своей программе Internet Bug Bounty: в среднем в пять раз. Критические шли по $9,250, стали $2,257. Больше всего досталось уязвимостям с низким рейтингом: выплата просела с $597 до $68. На прямые вопросы H1 не отвечает, но здесь и так всё понятно: ИИ-долгоносик поломал экономику багхантинга. LLM’ки привели к взрывному росту количества отчётов, желающих подзаработать на поиске уязвимостей привалило, а мейнтейнеры всё ещё разгребают репорты вручную. И как показывает практика, делать это уже не в состоянии. Так что H1, поставившая IBB на паузу, как бы намекает — что-то не так в багхантинговом королевстве. Мейнтейнеры хотят видеть ценные отчёты с серьёзными уязвимостями, а вот орду условных индусов с LLM’кой наперевес и амбициями на большие выплаты видеть не хотят. По итогам больше всех пострадают порядочные начинающие специалисты. Спасайте джунов, котаны. @tomhunter
2 131
17
#news Google вчера по ошибке опубликовала проверку концепции от ещё не исправленной уязвимости в Chromium. Она позволяет злоу
#news Google вчера по ошибке опубликовала проверку концепции от ещё не исправленной уязвимости в Chromium. Она позволяет злоумышленнику получить ограниченный доступ к браузеру через Browser Fetch. Доступа к почте или системе юзера CVE не даёт, здесь больше ограниченная функциональность под ботнет. При этом об уязвимости Google сообщили ещё в конце 2022-го, и всё это время она, судя по всему, болталась где-то на задворках бэклога. Когда исследователь увидел код эксплойта в системе отслеживания багов Chromium, он решил, что уязвимость наконец закрыли — проверил и изрядно удивился. Публикацию Google удалила, но осадочек-то остался — в виде проиндексированной страницы. Уязвимость в переписке разрабы называли серьёзной, оценили на S1 — второй уровень опасности. А дальше, так сказать, ошибочка вышла. @tomhunter
2 113
18
#news GitHub раскрыла детали компрометации. Сотруднику на устройство залетела троянизированная версия Nx Console под VSC — он
#news GitHub раскрыла детали компрометации. Сотруднику на устройство залетела троянизированная версия Nx Console под VSC — она была опубликована в магазине расширений 18 мая. Что интересно, окно компрометации составило всего 18 минут, но этого оказалось достаточно, чтобы улететь по пайплайнам к разрабам — в том числе и у GitHub. Так что видавшие виды исследователи могут морщиться на орудущую кувалдой по экосистеме TeamPCP и требовать атак поинтереснее, но кувалда-то работает. Между тем CEO Nx сообщил, что пошли дискуссии с ключевыми мейнтейнерами в опенсорсе, чтобы решить как адаптировать экосистему к новой реальности. Зарисовочка “Токены под роспись” из мира инфобезной Панорамы рискует потихоньку начать воплощаться в реальность. @tomhunter
2 198
19
#news В ChromaDB, опесорсной векторной базе данных для LLM’ок, версии на Python FastAPI десяточка по CVSS — pre-auth под удал
#news В ChromaDB, опесорсной векторной базе данных для LLM’ок, версии на Python FastAPI десяточка по CVSS — pre-auth под удалённое выполнение кода. И это один из тех случаев, когда чем дальше читаешь, тем хуже становится. Начинается всё с чудесного параметра trust_remote_code — и на этом уже можно и остановиться. Механизм легитимный, так как нужен некоторым моделям, но при работе с чужим репозиторием в сущности превращается в RCE. И при стуке по API сервер сначала подгружает модель, а права доступа проверяет после — запрос отклоняется, но код уже выполнен. 14 миллионов скачиваний в месяц, 73% инстансов в сети уязвимы. CVE в версиях с 1.0.0 по 1.5.8, недавно вышла 1.5.9, но исправлений, видимо, так и нет. Почему? Об уязвимости разрабу сообщили ещё 17 февраля, но он до сих пор не выходит на связь ни по одному каналу. Это опенсорс, детка! @tomhunter
1 853
20
#news GitHub расследует утечку: взлом устройства сотрудника троянизированным расширением под VSC потенциально привёл к сливу
#news GitHub расследует утечку: взлом устройства сотрудника троянизированным расширением под VSC потенциально привёл к сливу 3,800+ внутренних репозиториев. Источник взлома известен: дотянулась проклятая TeamPCP. Группировка выставила репы на продажу за скромные 50к долларов и заявила, что в дампе ~4к репозиториев. Как ни странно, GitHub это предварительно подтвердил: утверждения злоумышленника “в целом соответствуют результатам расследования”. Единственное утешение — пока нет следов, что были затронуты данные клиентов. Тем временем TeamPCP грозится скорым уходом на покой и сливом реп в открытый доступ. Может, вернёмся в те дни, когда девелоперы ночью просыпались от счастливого доброго смеха, и утром все на автомате подтягивали обновления с npm и PyPi, а не судорожно проверяли ленту на предмет очередной компрометации. Но это не точно. @tomhunter
1 857