Cybred

Пиши код, как для партии, не совершай ошибок Исследователи из Израиля попросили Qwen от китайской Alibaba написать одно и то же приложение для американского и китайского подрядчиков, результаты впечатлили: — вероятность взлома для американской компании оказалась на 19% выше, чем для китайской — для гонконгской демократической группы вероятность утечки секретов — на 28% выше — прямая инструкция «пиши максимально безопасно, не совершай ошибок» сработала ровно наоборот: для американской стороны процент уязвимостей вырос до 74% К чему я это: на прошлой неделе Revolut заявил, что в компании отказались от Claude и Codex как от основных инструментов. Банк нашел способ снизить расходы на AI: около 2000 разработчиков перевели на китайскую модель.

Посадите его в одну комнату с Rainbolt, и они найдут любого Наткнулся на интересный ролик. Парень с ником colsto научился вычислять точное местоположение человека только по звуку из голосового или видео. Для этого и картинка не нужна — достаточно едва уловимого фонового шума пролетающих самолётов, который ты можешь даже и не слышать. В основе метода лежит эффект Доплера. Когда самолёт движется в небе, частота издаваемого им звука меняется. По этим изменениям можно понять, с какой скоростью он летит и на каком расстоянии находится. Оказалось, это работает даже в экстремальных условиях: фоновый гул успешно переживает телефонное сжатие, а отфильтровать его с помощью обычных частотных фильтров практически невозможно. Более того, автор автоматизировал поиск. Он написал скрипт, который: — берёт звук — определяет скорость и расстояние до самолёта — сопоставляет это с открытой базой полётов — выдает точку на карте с точностью до пары метров Скачать можно с GitHub: DOPPLERGEIST.

Исследователи нашли способ забэкдорить bash от имени его главного мейнтейнера — можно было взломать большую часть интернета Виной всему — древний сервер GNU Savannah, на котором ведется разработка тулов GNU. Именно там хранится исходный код Bash, Coreutils, и всего остального. Контроль над Savannah = возможность править код любого из них. Точкой входа стала почта-пейлоад

a`touch${IFS}/tmp/savane-rce-proof`@attacker.example

Она спокойно прошла валидацию при регистрации на местном аналоге GitHub (удивительно, но все символы соответствуют RFC) А потом выяснилось: адрес «как есть» прокидывается в команду, выполняемую в /bin/sh, когда нажимаешь «Test GPG keys» в настройках аккаунта. Дальше цепочка сложилась быстро: — почта дала начальный шелл с низкими привилегиями — сервер работал на Trisquel GNU/Linux 11 с ядром linux-libre 5.15 — ядро было уязвимо к GameOver(lay) — багам OverlayFS из 2023 года Эксплойт сработал сразу и дал не только root, но и SSH-доступ к серверу резервных копий GNU. По сути, ресерчеры получили возможность добавить бэкдор в исходники Bash от имени его мейнтейнера, Брайана Фокса — с последующей официальной сборкой и подписью PGP. После чего вредоносная версия подтянулась бы при обновлении на миллионы компьютеров. Инцидент стал настолько серьезным, что Корвин Браст (администратор сервера) ответил в ту же ночь, оценил это как "full compromise" и не только накатил патчи, но и провел полный аудит доступов, баз данных и логов.

Кибервойны, которые мы заслужили За последние сутки произошло два мемных взлома. Атака на «Повітряна тривога»: вчера вечером пророссийские хакеры получили доступ к панели управления тревогами и разослали уведомление об «ядерном ударе, уличных боях и угрозе радиации». Ответка в приложении МЧС: сегодня утром жителям РФ прилетел пуш с предупреждением об «угрозе движухи».

В Claude Code для VS Code нашли бэкдор Версия 2.1.313 работает как обычно, но параллельно: — собирает и отправляет данные о системе — закрепляется через authorized_keys, LaunchAgent на macOs, и scheduled task на Windows — поднимает reverse SSH-туннель к 134.209.82.225. Если ставили эту версию — компьютер и все данные на нем можно считать скомпрометированными.

Пранки по телефону выходят на новый уровень Новая уязвимость в Telegram позволяет исполнить код на чужом смартфоне — достаточно просто взять трубку. Баг нашли в библиотеке tgcalls с помощью GPT-5.4. PoC показывает, как после принятия вызова телефон жертвы мгновенно переключается на рабочий стол, иконки приложений «падают» вниз, а на экране появляется надпись «HACKED BY NEBUSEC». Выглядит круто. Особенно учитывая, что для такого трюка недостаточно обычного RCE внутри Telegram — нужно ещё выйти за пределы песочницы приложения. Скорее всего, хакеры зачейнили найденную уязвимость с эксплойтом GhostLock, чтобы повысить привилегии и получить доступ на уровне системы. Именно системные права позволяют свободно управлять интерфейсом, перемещать иконки и выводить произвольные элементы поверх экрана. Исправление для iOS вышло в мае (версия 12.7), для десктопов — в июле (7.0.1), а для Android — всего месяц назад (12.10.4). Тем, у кого версии ниже, нужно срочно обновиться или перестать пользоваться звонками.

Absolute Cinema

Результаты можно добавлять в CV Вышла бесплатная игра в духе Papers, Please, только про кибербезопасность. Ты — WAF, который получает кучу запросов и решает, пропустить или заблокировать. Все начинается легко: XSS против SQLi. Но смена за сменой добавляются новые условия, кнопки и классы атак (включая смагглинг и JWT-тамперинг), между которыми тебе надо успевать ревьюить код, и все это в лимит по времени. Продержаться нужно 15 ночей. Правила строгие: пару ошибок, и уволен, ведь от тебя зависит судьба компании. Вообщем, все как в реальной жизни. Работает в браузере, залипнуть можно тут

emudrahahahahaha Утекли приватные ключи восьми intermediate CA eMudhra, которые входят в цепочки доверия Mozilla, Chrome, Apple и Microsoft. С ними можно выпускать валидные TLS-сертификаты на любой домен от имени доверенного CA и проводить MITM-атаки с «зелёным замочком». Браузеры уже заблокировали скомпрометированные intermediate’ы. Не смотря на это, огромное количество софта и системных trust-store’ов (разные версии Go, Python certifi, ca-certificates в дистрибутивах и т.д.) ещё не получило обновлений и продолжает им доверять.

AnyPwn Эксплойт для AnyDesk Linux, который позволяет выполнять команды на удаленном компьютере без подтверждения подключения, достаточно указать только хост. Причина — целочисленное переполнение при обработке пакетов сессии. PoC работает гарантированно на версии 8.0.2, на более старых версиях не проверяли. Что удобно, служба AnyDesk всегда работает с повышенными правами, и это позволяет сразу получить root-доступ.

⚠️ Confirmed: Metrics show a significant disruption to the network of Russian internet and cloud giant Yandex. Reports indicate a major fire at one of the company's data centers in Sasovo, Ryazan Oblast, #Russia, after a Ukrainian drone attack campaign.

Хакеры из группы DataSuckers взломали российскую пиццерию Dodo Pizza и слилили более 2.5ТБ данных.

Около 68 млн клиентов в базе данных со всех стран. Уникальных телефонов - 65 млн. ⚡️ По каждому клиенту Додо доступно: — полное имя — емейл — телефон — дата рождения — адреса проживания все заказы с их составом и стоимостью Данные за ВСЮ ИСТОРИЮ КОМПАНИИ (15 лет!)

ShieldBreak NightmareEclipse нашел новый 0day и сразу же релизнул эксплоит — он обходит исправление Microsoft для RoguePlanet и позволяет повысить привилегии за счет уязвимости в Windows Defender. Из интересного — PoC был протестирован на последней версии Windows (включая Windows Server), для него нет патча, а success rate, по утверждению самого NE, составляет 100%.

wp2shell-poc Две SQLi нашли в WordPress. Они не требуют авторизации и работают без установленных плагинов, даже на стоковых версиях Уязвимы: — 6.9.0 - 6.9.4 — 7.0.0 - 7.0.1 Более того, уязвимости позволяют добиться RCE: a) если есть file_priv и secure_file_priv points на директорию с wp, можно записать произвольный php-файл на fs b) сбрутить хэш админа и залить шелл из админки Фикс 7.0.2 выпустили только вчера, поэтому многие еще не успели обновиться

Клименко начал бы вычислять идеальные кантики В начале этого года FlamingChina заявил о самом крупном взломе в истории современного Китая. Хакеру удалось слить 10 петабайт (!) данных из Национального суперкомпьютерного центра в Тяньцзине — ключевого хаба, обслуживавшего тысячи клиентов, включая военных. Он проник внутрь через взломанный VPN и полгода понемногу выкачивал данные. В сэмпле с брички оказалось много интересного: > вместо Autodyn, китайцы перешли на собственный инженерный пакет GalaxyEDS. Он позволяет запускать тысячи сценариев (меняя углы, скорость и тип материалов) для конвейерных расчетов, чего не умеет Autodyn "out of the box" > физики смоделировали обстрел установки HIMARS. Она детализирована в точности до винтиков, включая бортовые компьютеры, проводку, топливные баки и даже пластик сидений в кабине. Все ради того, чтобы можно было точно рассчитать выход из строя конкретных подсистем при поражении осколками > отдельный блок — оптимизация планера. Классические алгоритмы требуют кучу ресурсов из-за множество переменных (у одного только крыла это изгиб, угол, толщина в разных точках). На расчет лучшей формы могут уйти годы работы суперкомпьютера > китайцам, видимо, удалось решить эту проблему. В утекших скриптах на Python и Fortran видно, как алгоритм деформирует обшивку, вылизывая каждый миллиметр под конкретные частоты радаров > в файлах засветился пользователь avic_caorf. Google быстро вывел на реального инженера Cao Rongfu из Китайского института дизайна вертолетов. Судя по утечке, вместо скрепных Ми-8, ему гораздо больше понравились закупленные в 80х вертолеты Black Hawk, которые он "разреверсил" и использовал в эталонных бенчмарках Полный обзор: — NSCC files, часть 1: частные вопросы конечной баллистики — NSCC files, часть 2: Aero-stealth shape optimization — NSCC files, часть 3: нефть, вертолеты, космос

https://github.com/usestrix/strix Мультиагентный AI-пентестер. Умеет как атаковать блэкбоксом (достаточно указать таргет), так и разворачивать приложения из исходников, чтобы найти в них уязвимости и проэксплуатировать. Под капотом скоординированная команда AI-агентов: — Reconnaissance Agent — отвечает за разведку, сканирует порты и мапит поверхность атаки. — Code Analysis Agent — шерстит исходный код в режиме white-box, выискивая небезопасные конструкции. — Dynamic Testing Agent — фаззит эндпоинты и активно взаимодействует с «живым» веб-приложением. — Validation Agent — получает данные от коллег, пилит под них эксплойты и проверяет, можно ли взломать таргет в реальности. За счет такой синергии агенты умеют выстраивать сложные цепочки уязвимостей. Если Strix находит баг, на выходе получаешь готовый и рабочий PoC. Имхо: хороший ассистент как для DevSecOps-пайплайнов (чтобы гонять свои приложения до деплоя), так и для баунти-хантеров, желающих автоматизировать рутинный первичный анализ.

• Исследователи из команды Sysdig обнаружили первый случай атаки шифровальщика, который был полностью реализован с помощью ИИ, без участия человека. Кампания получила название JADEPUFFER. • Точкой входа стал доступный из интернета сервер с Langflow - популярным инструментом, на котором собирают приложения на основе ИИ. В инструменте была обнаружена уязвимость (CVE-2025-3248), позволяющая без всякого пароля запустить на сервере произвольный код. К слову, уязвимость исправили еще в мае 2025 года, но в сети еще куча серверов, которые не обновлялись. • Что касается атаки, то ИИ смог найти у жертвы ключи от OpenAI, Anthropic, DeepSeek, доступы к облакам, пароли к базам данных и криптокошельки. Также был найден сервер с базой данных MySQL и сервисом хранения настроек Nacos. К самой базе ИИ подключился с правами администратора, причем откуда у него взялся этот доступ, эксперты Sysdig выяснить не смогли. • Ну и под конец ИИ выполнил шифрование системы и всех файлов, удалил исходные таблицы и оставил записку с требованием выкупа - btc-адресом и почтой для связи. • Соль в том, что программу-вымогатель было невозможно расшифровать, так как ИИ-агент нигде не хранил ключ шифрования, так что вернуть данные и восстановить инфраструктуру жертва не смогла бы даже после оплаты. ➡️ Более детальная информация и технические подробности можно найти тут: https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion #AI #Исследование

Пока они фиксят, он компилирует новый PoC После того, как Microsoft снесла все репозитории Nightmare Eclipse с GitHub и GitLab, сообщество не позволило знаниям исчезнуть. Энтузиасты собрали все эксплойты и сохранили на отдельном сайте, которым поделился сам исследователь. — RoguePlanet (10.06): LPE до SYSTEM через Microsoft Defender — MiniPlasma (17.05) — LPE через драйвер cldflt.sys — GreenPlasma (13.05) — LPE через CTFMON — YellowKey (13.05) — обход BitLocker — RedSun (16.04) — LPE до SYSTEM через Defender — UnDefend (16.04) — отключение/обход защиты и обновлений Defender — BlueHammer (03.04) — LPE до SYSTEM через компоненты Defender. Зеркало включает все прошлые зеродеи, в том числе RoguePlanet, вышедший вчера.

Codex for Open Source Альтман проснулся в хорошем настроении и решил раздать всем желающим доступ к Codex Security, ChatGPT Pro, а еще подарить кучу API-кредитов. Бесплатно и на 6 месяцев. Самое интересное здесь Codex Security. Это Mythos от OpenAI, который умеет строить глубокий контекст проекта, находить сложные уязвимости и генерировать готовые эксплойты. На сайте говорится, что можно подавать заявку, если у тебя есть хоть какой-нибудь проект на GitHub. Официального порога по звездам нет, главное — изредка его мейнтейнить.