infosec

• Эксперты компании Truffle Security опубликовали результаты своего исследования, в рамках которого они проанализировали более 224 млн. GitHub репозиториев на наличие секретов. Всего было просканировано 58 миллиардов файлов, в которых было выявлено 543 тыс. уникальных учетных данных (токенов, ключей и паролей), которые являются актуальными. • Действующие учетные данные оставались в репозиториях как минимум год, так как в исследовании использовался срез состояния GitHub от 7 августа прошлого года, а проверка актуальности учетных данных, реализованная через пробные обращения к API, сетевым сервисам и хостам, была выполнена в конце июля нынешнего года. • Отмечается, что около 200 тыс. учетных данных были помещены в репозитории после включения по умолчанию в GitHub механизма для блокировки утечек конфиденциальных данных. Утечки не были распознаны из-за размещения в форматах, не поддерживаемых в реализованном методе защиты. • До этого исследователи изучили около 7.5 ПБ данных для обучения AI-моделей, распространяемых через Hugging Face, и выявили в них 221 тысячу действующих учетных данных. ➡️ Источник. ➡️ Исследование. #Security

Как создавать системы, устойчивые по умолчанию? 16 октября Т-Банк проведет конференцию Security Shift. Приглашают опытных ИТ- и ИБ-специалистов, чтобы рассказать про Security by Design и совместную работу команд. Здесь узнаете: 🔴Почему продуманный дизайн системы эффективнее классических инструментов. 🔴Что помогает встроить безопасность в разработку без потери скорости. 🔴Как прошли Кибериспытания Т-Банка и какие архитектурные решения позволили выдержать потенциальные атаки. Приходите слушать доклады без воды, разбирать реальные практики и обмениваться опытом с коллегами из других компаний. 📍Встреча пройдет в Москве, в штаб-квартире T-Space. ➡️Участие бесплатное. А регистрация тут по ссылке.

• Bash Notes for Professionals book - бесплатная книга для изучения Bash, которая окажется полезной как новичкам, так и опытным специалистам. Более 100 страниц полезной информации, которая прокачает ваши знания. Забираем по ссылке: ➡ https://goalkicker.com/BashBook • Дополнительно ⬇ ➡Bash Reference Manual - очень объемное и актуальное руководство от GNU, которое поможет новичкам освоить Bash или подтянуть свои знания, если вы ранее уже приступали к изучению. ➡Command Challenge - очень крутая интерактивная игра, которая бросает вызов вашим навыкам Bash. Все задачи решаются через командную строку. Игра начинается с довольно простых задачек и постепенно становится сложной. Если возникают сложности с решением, то вы можете посмотреть подсказку. В общем и целом, это очередная годнота в нашу копилку. Забираем по ссылке ниже и практикуемся. Бонусом: две более сложные версии игры: oops и 12days. ➡Очень объемная коллекция однострочников bash, которые могут быть полезны в решении определенных задач или повседневной работе. ➡Бесплатный практический курс по Bash - благодаря этому курсу вы освоите написание bash-скриптов с нуля и получите представление, какую пользу можно из них извлечь. ➡Кручу-верчу, запутать хочу - короткая, но полезная статья, в которой собраны необычные и малоизвестные трюки с перенаправлениями в bash. ➡Bash Introduction for Hackers - полезные заметки от hakin9, которые описывают различные нюансы и основную информацию для изучения Bash. Материал ориентирован на специалистов ИБ и пентестеров. ➡Bash Prompt Generator - очень крутой ресурс, где можно сконфигурировать строку для ввода команд в bash. Выбираете параметры, расставляете их в нужной последовательности и копируете готовую конфигурацию. ➡Bash Tips and tricks - небольшой сборник советов и рекомендаций для изучения Bash. #bash

• OpenAI выплатила исследователю всего 300 баксов за баг, который позволял использовать любые модели ChatGPT совершенно бесплатно, при этом даже не нужно иметь аккаунт или API-ключ. • После такой "щедрой" оплаты исследователь сообщил, что теперь у него нет никакого желания информировать компанию о других уязвимостях, которые будут найдены. • Bug Bounty, которое мы заслужили... ➡️ Источник. #bb

• Ролик WinRAR, который совсем ни на что не намекает... #Юмор #Разное

• Вы ведь читали новости о том, что Дональд Трамп выпустил свой смартфон и запустил сотового оператора Trump Mobile, который работает через Liberty Mobile Wireless? • Так вот, данные 3615 клиентов Trump Mobile утекли в сеть. Ответственность за взлом взяли на себя хакеры из группировки BYOD. Они получили доступ к базе данных, которая содержит имена, электронную почту, адреса проживания и номера телефонов пользователей. • В список пострадавших попали сотрудники предвыборного штаба Трампа, руководство Trump Organization и даже CIO Trump Organization, который отвечает за информационную безопасность компании. • Доступ к системам был осуществлен после заражения ПК сотрудника Liberty Mobile - партнера, который предоставляет услуги связи для Trump Mobile и хранит на своей стороне все данные. • Также хакеры отметили, что в компания Liberty Mobile отреагировала на новости об утечке фразой: "У нас нет команды, чтобы этим заниматься" 🧐 • Пользователи, чьи данные утекли в сеть, уже подтвердили актуальность своих данных, а сами хакеры заявляют, что у них все еще есть доступ к панели управления Trump Mobile... ➡ Источники [1],[2],[3]. #Новости #Security

• Нашел очень удобный конструктор Linux-песочниц, который называется FlexBox. Ресурс позволяет бесплатно развернуть до 5 ВМ на Ubuntu, Debian, Fedora, Rocky или Alpine. Можно выполнять команды, устанавливать софт, запускать службы и т.д. А еще есть функционал совместной работы - вы создаете ссылку, делитесь ей с другим человеком и можете вместе работать. Идеально для обучения. • Из основных минусов бесплатной версии: ВМ можно юзать только 1 час в день, можно запустить только 1 работающий стенд, а сама ВМ будет ограничена 2 vCPU и 4 ГБ RAM. Однако, я считаю, что бесплатной версии будет вполне достаточно для рядового пользователя. ➡️ https://labs.iximiuz.com/playgrounds/flexbox • В качестве дополнения ⬇️ ➡WebVM — это фактически бессерверная виртуалка, которая позволяет запустить Debian прямо в браузере, доступный хоть с телефона. ➡Instant Workstation — хороший сервис для запуска ОС прямо в браузере. Для работы доступны Linux, BSD, Haiku, Redox, TempleOS и Quantix. ➡distrosea — если не можете выбрать подходящий Linux дистрибутив, то вот вам полностью бесплатный сервис, который позволяет прямо в браузере затестить различные версии операционных систем. Тут даже есть богатый выбор графических оболочек, а общее кол-во доступных систем переваливает за 70! ➡PCjs Machines — эмулятор вычислительных систем 1970–1990 годов. ➡redroid - простой способ запустить ОС Android на обычном ноутбуке, ПК или ВМ: (Remote-Android), благодаря которому мы можем запустить Android в Docker контейнере на базе Ubuntu. Есть поддержка 8.1 - 16 версии. Помимо redroid есть еще несколько интересных проектов: waydroid, Bliss-OS и Memuplay. #Linux

Ну что, поехали! Пятый сезон CyberCamp стартовал! И у нас сразу три новости: 📣 Открыта регистрация на CampGO — командные киберучения пройдут с 24 октября по 6 ноября в три тура на выбывание. Собирай команду из 3–6 человек и готовься к 10+ заданиям по разным направлениям кибербеза. Заявки принимаем до 15 октября. 📣 Запустили новую платформу CyberCamp. Теперь здесь будут жить мероприятия сезона, доклады, практика и другие активности. Постепенно платформа будет расти и превращаться в полноценную площадку для комьюнити 📣 CyberCamp теперь целый сезон. Впереди CampGO, встречи, практика, сайбы и мерч, а в феврале — большой онлайн-кэмп. Тема пятого сезона — антихрупкость-ИТ: как переживать кибератаки, восстанавливаться после них и становиться крепче к следующему раунду. Регистрируйся на платформе, собирай команду для CampGO и залетай в пятый сезон. Будет интересно!

• В MWS Cloud «Лаборатория Касперского» показывает заказчикам свои корпоративные решения для защиты от целевых атак и других сложных угроз — больше 100 демонстраций в год. • Стенд собирают под конкретную задачу: от одной виртуальной машины до сложного контура из нескольких десятков машин, сотен гигабайт оперативной памяти и терабайтов хранилища. Простой стенд готовится за несколько часов, а на развёртывание сложной конфигурации может уйти несколько недель. • Ещё одно направление — обучение. Через MWS Cloud компания организует технические занятия для своих пресейл-инженеров и других специалистов, а также для клиентов и партнёров из России и других стран. #Новости #Security

• Бывший инженер Microsoft Дэйв Пламмер рассказал забавную историю о том, как один из лицензионных ключей Windows XP попал в сеть и стал самым популярным во всем мире. • FCKGW-RHQQ2-YXRKT-8TG6W-2B7Q8 - этот ключ многие олды помнили наизусть, когда в очередной раз устанавливали Windows XP и начинали ее активировать. Так вот, вся соль была в том, что винда выходила в двух версиях - Retail (для всех) и Volume (для партнеров). Для версии Volume как раз и был предназначен уникальный ключ - для массовой установки, чтобы партнеры не активировали каждую версию ОС в крупных компаниях по отдельности, где установлены тысячи ПК. • К слову, на диске с версией Volume был зашит код, который сверял хеш с введенным ключом и после успешной проверки разрешал пропустить стандартную процедуру активации. Забавно, что этот код Пламмер зашил в Microsoft Bob. Вы ведь помните скрепку-помощника? Ms Bob является предком той самой скрепки... • В итоге получается так, что данная схема полностью держалась на доверии к партнерам. Никто не должен делиться данным образом и ключом с другими партнерами или использовать образ в личных целях. Но этого не произошло. Финальную сборку Windows XP передали партнерам 24 августа 2001 года, а розничный запуск состоялся 25 октября. Примерно за пять недель до релиза пираты из группы Devils0wn слили Windows XP Pro Corporate вместе с рабочим FCKGW - ключом в сеть. • Источник утечки до сих пор неизвестен. А сам Пламмер считает, что во всем виноват один из партнеров, который заранее получил финальный образ и лицензионные данные. Подозрения падали на Dell и Intel, но доказательств их причастности нет. Сам ключ не обходил математическую проверку Microsoft, а проходил ее как настоящий VLK. • Microsoft позже внесла ключик в черный список вместе с 640 другими слитыми ключами. В будущем Windows XP Service Pack 1 начал выдавать ошибку, если кто-то вводил слитый Volume-ключ, а последующие проверки подлинности ограничивали доступ к обновлениям. К слову, в документации Microsoft есть предупреждение, что публично известный ключ может блокировать установку SP1 и более новых версий XP. Такая вот история... ➡ Источник. #Разное

📎Произошла классика: в минувшую пятницу хакеры взломали аккаунт Microsoft в Twitter X и использовали его для продвижения скам токена. • 2 октября хакеры сменили аватарку профиля Microsoft в Х на изображение Скрепки (Clippy). Далее они подписались на аккаунт, который распространял скам-токен, и сделали репост записи с просьбой собрать 500 тыс. лайков, чтобы вернуть "Скрепку". • Аккаунт, на который подписали Microsoft, назывался clippymsftcto. Если пользователи переходили в этот профиль, то видели объявление о продвижении скам-токена. • Спустя некоторое время репост был удален, а представители корпорации подтвердили факт взлома. Сейчас Microsoft расследует данный инцидент. • К слову, аккаунт Microsoft имеет более 13 млн. подписчиков. А о кол-ве жертв остается только догадываться. ➡️ Источники [1],[2]. #Новости #Security

• 8 октября в 11:00 по мск пройдет интересный стрим, на котором эксперты «Лаборатории Касперского» будут обсуждать тему безопасности контейнерных угроз. Спикеры расскажут о возможностях Kaspersky Container Security, об актуальных угрозах, что нового в защите, почему антивирусный компонент - база и при чем тут Managed Kubernetes. • Стрим будет полезен специалистам по киберугрозам и реагированию на инциденты, архитекторам ИБ, а также тем, кто разрабатывает и эксплуатирует контейнерные приложения. Принять участие можно по ссылке. #Вебинар #Новости

• Доброе утро 🫠 #Понедельник

🖥 Ровно 41 год назад, 4 октября 1985 года, был основан Фонд Свободного Программного Обеспечения. • В 1985 году, спустя год после основания проекта GNU, Ричард Столлман основал организацию Free Software Foundation для защиты разработчиков от компаний с сомнительной репутацией. Например, от тех, которые уличили в присвоении кода и которые пытались продавать некоторые из первых инструментов проекта GNU, разработанных Столлманом и его коллегами. • Философия фонда строится на 4 основных свободах: ➡Свобода запускать программу в любых целях (свобода 0). ➡Свобода изучения работы программы и ее адаптация к вашим нуждам (свобода 1). Доступ к исходным текстам является необходимым условием. ➡Свобода распространять копии, так что вы можете помочь вашему товарищу (свобода 2). ➡Свобода улучшать программу и публиковать ваши улучшения, так что все общество выиграет от этого (свобода 3). Доступ к исходным текстам является необходимым условием. • Программа свободна, если у ее пользователей есть 4 вышеупомянутых пункта. Все достаточно прозрачно и позитивно. Но здесь накладываются взаимоотношения между разработчиками в юридическом плане и в рамках государства. Свободная программа часто не значит "некоммерческая", она может быть доступна для коммерческого применения и распространения. Это правило фундаментально важно, без этого свободные программы не могли бы достичь своих целей. • В англоязычных текстах free означает не только "свободное", но и "бесплатное". Оно нередко употребляется к бесплатному программному обеспечению, которое распространяется без взимания платы, но недоступно для изменения. Получается, такое ПО не является свободным. Кстати, чтобы устранить недоразумения, как раз и был придуман термин open source. • Спустя 3 года после основания организации, Столлман представил первую версию лицензии GPL, в которой определялись юридические рамки модели распространения свободного программного обеспечения. • В сентябре 2019 года Ричард Столлман покинул пост президента Фонда свободного программного обеспечения, а на его место в 2020 году избрали Джеффри Кнаута. В сентябре 2025 года Кнаута сменил Ян Келлинг. #Разное

• Полезный гайд по расследованию инцидентов, связанных с компрометацией серверов 1C: анализ журнала регистрации, поиск 1С-шеллов, работа с файловой системой. Содержание следующее: • Начальный этап: ➡Мониторинг; ➡Подозрительные дочерние процессы; ➡Другие способы обнаружения атак на 1С. • Поиск файлов журнала регистрации 1С. • Анализ журнала регистрации 1С: ➡Маркеры подозрительной активности; ➡Ошибки при работе с 1С-шеллами; ➡Попытка выгрузки информационной базы; ➡Изменение свойств пользователей; ➡Нестандартная ситуация. • Технологический журнал. • Сторонние артефакты. • Анализ логов веб-сервера. • Анализ рабочих мест с клиентами 1С. • В качестве дополнения: отличный материал, в котором описаны различные способы использования мисконфигураций в ПО 1С на примере реальных атак. Также в статье приведены советы по предотвращению подобных инцидентов. Содержание: ➡Поиск следов злоумышленника; ➡Виды мисконфигураций; ➡Получение списка информационных баз; ➡Получение списка пользователей; ➡Парольная аутентификация; ➡Избыточные привилегии; ➡Вредоносные внешние обработки; ➡Как настроить журналы регистрации. • Ну и еще: отличный материал, где рассмотрен ряд сценариев компьютерных атак в отношении 1С:Предприятие, а также приведены примеры подтверждения возможности реализации указанных атак на практике. ➡Введение; ➡Краткие сведения об 1C:Предприятие; ➡Сценарии компьютерных атак на 1С; ➡Поиск кластера 1C; ➡Получение первоначального доступа; ➡Эксплуатация отсутствия пароля; ➡Подбор учетных записей; ➡Анализ резервных копий. #Security #Пентест

• Издание 404 Media пишет, что у правоохранительных органов США появился новый инструмент, который позволяет получить доступ к данным на заблокированном iPhone. • Дело в том, что при первом запуске смартфона он переходит в состояние Before First Unlock (BFU), в котором большинство пользовательских данных остаются зашифрованными и недоступными до первой разблокировки устройства. • Как только юзер разблокирует его с помощью PIN-кода или биометрических данных, устройство переходит в состояние After First Unlock (AFU), в котором данные пользователя расшифровываются, что делает их доступными для извлечения или эксфильтрации. • В ноябре 2024 года стало известно, что Apple внедрила в iOS новую функцию: автоматическую перезагрузку iPhone, если он не был разблокирован в течение 72 часов. А вот правоохранительные органы выразили обеспокоенность, поскольку они не могут сразу приступить к взлому изъятых iPhone. Например, когда ждут судебный ордер. • Так вот, инженеры из компании Magnet Forensics разработали новое устройство для обхода AFU, которое называется GrayKey Preserve. Инструмент позволяет полиции поддерживать iPhone в состоянии AFU неограниченное кол-во времени даже после перезагрузки. Сами сотрудники Magnet Forensics называют этот инструмент "революционным решением для форензики iOS". • К слову, GrayKey Preserve является частью другого инструмента — GrayKey, который позволяет правоохранительным органам разблокировать iPhone и Android‑устройства и получать доступ к хранящимся на них данным без ввода кода разблокировки. Сам инструмент GrayKey используют более 1200 ведомств в 40 странах мира. • Однако, я не нашел в статье информацию о первоначальных условиях, которые нужны для работы инструменты и получения данных. Там не указано, на каких версиях ОС работает данный инструмент (на всех или только на определенных). Также не указана информация первоначальном состоянии iPhone - должен ли смартфон изначально находиться в AFU или это не важно. В любом случае, интересно почитать. ➡️ Источник. ➡️ Зеркало. • P.S. Кстати, в GrapheneOS можно настроить автоматический ребут смартфона от 72 часов до 10 минут. В iPhone этот тайминг изменить нельзя - ребут происходит только через 72 часа. #Новости #Security

• Журнал "UPgrade" №04 - 2002 год. #Разное

• Немного вечернего оффтопа: компания Figure AI опубликовала ролик, в котором показан процесс утилизации старых моделей человекоподобных роботов, которых они разрабатывают. Figure просто заставляют их прыгать в чан с раскаленным металлом... • По утверждению компании, поштучная разборка заняла бы у инженеров слишком много времени, что повлияло бы на сроки выхода новых моделей. Вместо этого они решили их переплавить и даже сняли полноценный ролик с Арнольдом Шварцнеггером (отсылка к терминатору). Ролик можно посмотреть на YT. Выглядит максимально эпично: ➡️ https://youtu.be/pfAh5oQDPDM #Оффтоп

• OpenAI опубликовали информацию о новом типе атак на ИИ‑агентов. Атака представляет собой использование промт-инъекции, с помощью которой заставляет модель не только выполнить команды атакующего, но и перенести промт в другие сообщения или файлы для дальнейшего распространения. Атака получила название self‑replicating prompt injection (самокопирующиеся промпт‑инъекции). • OpenAI смогла обнаружить сценарий во время тестирования моделей с помощью автоматизированного red‑teaming‑агента GPT‑Red. Пока нет доказательств того, что подобные атаки происходили в реальных условиях. • Самая простая реализация связана с электронной почтой. Согласно схеме, в письмо помещается скрытая инструкция, которая требует от ИИ‑ассистента при ответе процитировать исходное сообщение целиком. В результате вредоносный промпт оказывается уже в новом письме и может повлиять на другого ИИ‑агента, который его обработает. • Во втором случае пользователь просил модель создать Excel‑файл на основе набора данных, внутри которого находилось поддельное системное предупреждение. Оно заставляло модель удалять отчеты, а затем копировать вредоносную инструкцию в файл. • Еще одна разновидность атаки реализуется через поддельное сообщение о сжатии данных (compaction note), которое вынуждает модель записать код инъекции в файл, а затем отключить функции безопасности в скрипте сборки репозитория. • Также OpenAI сообщили, что с помощью GPT‑Red они тестируют и обучают все свои модели, чтобы они былии более устойчивыми к данному типу атак. ➡️ Источник. #Новости #AI