Поросёнок Пётр

Помните как израильские спецслужбы провели солидную supply chain атаку на пэйджеры? Кажется профессионалы из этой же области смогли провернуть солидную supply chain атаку на производителя холодных кошельков Ledger. Сперва supply chain атаку поймали на устройствах купленных в Сингапуре (CryptoBilis). Теперь фиксируют скомпроментированные девайсы в Германии (Aqipa поставщик с торговыми сетями MediaMarkt, Saturn, Cyberport). Умельцы хакеры смогли внедрить "скимер", который пробрасывает информацию через припаяный sim модуль внутри устройства. Даже интересно как теперь сам Ledger распутает эту историю. И куда улеталии сид-фразы от скомпроментированных девайсов. https://x.com/0xJohannes_/status/2109634513957527974?s=20

В жизни каждого человека бывают моменты, когда зашёл не в ту дверь. В какую дверь стоило бы идти и почему? 🤔

Отличная возможность послушать батю Франса Роузена, о будующем багхантинга и текущей ситуации. В целом мои прогнозы и выводы совпадает с тем что он рассказал в подскасте. https://youtu.be/1Fql8oQ1Zbs?si=cmUaK9_aA9IUDSi-

Помните Anthropic категорично отнеслись к предложению о взаимодействии с военными структурами? Тогда даже Трамп сказал что использование сервисов Антропиков может быть национальным риском. Как же меняется картина перед надвигающимся IPO. Теперь у них в команде целый бывший директор из ЦРУ(CIA). А еще мне кажется нельзя так просто стать бывшим сотрудником CIA 💁‍♂️ Ну и все кто используется Claude для чернухи - у меня для вас(и ваших дропов) плохие новости. Хотя вы вероятно и без меня это знали 😂

Перепись олдфагов в канале. Если вы поставили лайк, то у меня для вас плохие новости. И вы работает в секьюрити как минимум лет 15 🥲💁🏻‍♂️

С этим хакингом, багхантингом, конфами и рабочими поездками вообще не заметил как лето пролетело😭 Причем на столько задолбался, что уже часы начали тревожную статистику выводить. В итоге план на Q4 - не трогать багбаунти и рисёрчи. Ну и докатывать остатки сезона. А то за этот сезон практически не доставал свой фойл 🥲

Ребята из OpenAI словили шижу и теперь заставляют "верифицированных хакеров" докупать комплект youbiKey. Это такой механизм усиленного security settings в профиле аккаунта. При этом у меня был настроен усиленный фактор через Apple Device и Face_id (да, айфон может стать аппаратным вторым фактором). Но OpenAI это не устраивает и они требуют добавления yubikey. Штош. Теперь деньги с проданных брендированных yubikey они явно смогут отразить в отчетах по прибыли. Помог им своими деньгами перед предстоящим IPO.

Хотелось бы вам столько всего интересного рассказать, показать, написать публикации или даже сделать какие-то крутые доклады. Но я выбрал деньги и тишину 😁💁‍♂️

HackerOne взялся за топов "автоматизаторов" и угрожает им временным отключением аккуанта. Очевидно что 39 репортов за один день - это многовато. Но при этом статистика профиля показывает что чел не присылал херню. Херню в основном шлют те у кого Signal около 4-5 (при максимальных 7). Даже интересно получил ли todayisnew такое же предупреждение🤔

У очередной крупной конторки закончились бабки. Причем компания всегда входила в Top3 лучших программ на HackerOne. Остановите пожалуйста этих школьников с "миллионами за пару месяцев"! А то уважаемым багхантерам с ипотеками становится не по себе. PS: Чем больше будут выносить фиксированный бюджет на security программу. Тем быстрее наступает эффект инфляции. И вот тогда школьники узнают это слово в реальной багбаунти экономике 😉

Респект ребятам. Но у @BlackFan и @r0hack я так понимаю постеснялись интервью брать? 😁 https://www.forbes.ru/young/568852-ne-dumal-cto-smogu-kupit-kvartiru-bez-ipoteki-kak-zarabatyvaut-baghantery

В эпоху AI generated контента стало сложно находить что-то крутое и душевное. С музыкой эти AI тренды сделали что-то ужасное. Теперь вся музыка пишется под тренды тиктока. И если музыка не залипающая и под нее нельзя снять рилсик - идет в помойку. Но рекомендации Youtube подкинули классный канал Голландского электронщика Jai Cuzco, с крутыми сэтами. Делюсь с вами 🫶 В комментах можете закинуть тоже что-то своё крутое, под что вы продуктивно работаете или отдыхаете 😉

Хорошо хоть маме не позвонят и не нажалуются 💁‍♂️ Но вообще правду говорят: ребенок-вайбхакер - горе в семье.

ImageMagick наносит ответный удар ☠️ Ребят из Hacktron.ai насобирали чейн через libheif и поломали OpenAI и Slack. Могли на самом деле поломать сильно больше, но ребята делают рисёрчи не ради денег. За что им огромный респект. Полный описанный чейн у ребят на сайте.

Мои security-гастроли продолжаются. В этот раз я планирую закатить на IT-SA и посетить ивент от Bugcrowd в Нюрнберге 28 Октября. Если кто-то решит сходить на ивент - вот вам ссылочка на регистрацию. Ну и если кто-то представлен на IT-SA Expo - буд рад повидаться 😉 (номер стэнда в личку закиньте)

Медленно но уверенно двигаемся в сторону Top100 HackerOne All Time Leaderboard Сейчас профил оказался на 112 месте в общем рейтинге. Что само по себе кажется pretty much crazy. И это без майнинга reputation score на дырявых VDP. До 2025 не было такой дикой инфляции в Reputation Scope. Из-за чего стало сложно запрыгнуть в top100 и сложно удержать. Но думаю как запрыгну, заскриню и успокоюсь 🥷

Сказал что подписчики канала - это самые классные ребят 🫶🏻

Супер давно смотрел «паблик флэшпэкера» и по хорошему завидовал. Теперь паблик флэшпэкера могу организовать сам 😂

🛡10 сентября я буд на сцене Tech Race Summit в Варшаве с докладом «Почему ИИ пугает даже лучших хакеров». Один день, три сцены и больше 30 спикеров — AI, инфраструктура, архитектура и безопасность в одном месте. Офлайн-билеты уже закончились, так что остаётся онлайн-трансляция: все три сцены будут доступны в прямом эфире из любой точки мира. А записи сохранятся ещё на две недели, поэтому ничего не придётся пропускать из-за пересечений в расписании. 📆 10 сентября 2026 · Варшава · онлайн-трансляция 🎟 Онлайн-билеты Приходите послушать - буду рад видеть вас среди зрителей 😉

Нормальный такой дискриминирующий принцип получился из-за этой утечки. Интересно почитать как же удалось такой объем информации вытянут незаметно 🤔