infosec

29 July 2026 19:03

• nosubscription.org - проект, который содержит библиотеку с 1000+ альтернативами платным тулзам, включая открытые и бесплатные проекты.

• Есть удобный поиск, разбивка по категориям, подробное описание каждого инструмента и ссылка на официальный источник для скачивания.

#Tools

infosec

29 July 2026 09:26

• Реакция #Telegram на последние новости...

infosec

28 July 2026 15:55

• 31 год назад, в июле 1995 года, представители немецкого Института интегральных микросхем приняли важное решение: использовать расширение .mp3 для обозначения нового стандарта кодирования данных. Дату этого события и принято считать днем рождения MP3.

• Формат был создан для передачи аудиофайлов по медленным сетям коммуникаций, изначально - телефонным. В 1995 году существовали и другие стандарты, но с их помощью звуковые файлы нельзя было сжимать настолько же эффективно, как это позволял делать MP3.

• В 1977 году молодой ученый Карлхайнц Бранденбург из института Эрлангена-Нюрнберга им. Фридриха-Александра занялся поиском методов сжатия аудио. Через 5 лет его научный руководитель попросил помочь запатентовать технологию передачи музыкальных данных через телефонные линии. Сейчас это звучит странно, но в патентном бюро им отказали, объяснив отказ невозможностью реализации технологии.

• Еще через 3 года институт, где работал ученый, получил мощные компьютеры. И у исследователей, которые имели доступ к этим машинам, появилась возможность проводить сложные вычисления, включая эксперименты со звуком. Бранденбург достиг определенных успехов в сжатии звука и в итоге получил патент на свое изобретение.

• По рассказам самого Бранденбурга, он экспериментировал с одной и той же песней - "Tom's Diner" Сюзанны Веги. Это была его любимая композиция, которая осталась таковой даже после прослушивания трека около 1000 раз. В итоге удалось найти приемлемый способ сжатия аудио, выбросив все то, что человеческое ухо просто не способно воспринять. Качество от этого страдает не сильно, а вот файл на выходе получается очень небольшим в сравнении с результатами других способов сжатия.

• В 1992 году технология MPEG Layer 3 все еще не была популярной. Тем не менее, ее подготовили к коммерческому использованию, она также стала стандартом ISO. На тот момент в ходу был MPEG Layer 2, который считали отличной технологией. Бизнес не рассматривал MP3 как перспективную альтернативу существующим решениям.

• Для того, чтобы решить эту проблему и обратить внимание пользователей на новый стандарт, создатель MP3 с коллегами решил провести эксперимент по передаче аудиофайла по интернету. Технология передачи была разработана, и эксперимент прошел удачно. В опыте приняла участие компания Telos Systems из Кливленда.

• Но, как оказалось, все это были мелочи. Настоящий успех пришел позже, после того как разработчики выложили кодировщик в сеть. Он позволял закодировать в MP3 аудио продолжительностью всего в минуту. Но один из энтузиастов, скачавших кодировщик, смог взломать утилиту и получил возможность сжимать аудио любой длины.

• После этого MP3 очень быстро стал востребованным форматом, поскольку он позволял интернет-сообществу передавать композиции по dial-up. Затем появился Napster, а вместе с ним - так называемое цифровое пиратство. Музыканты стали распространять свои записи по сети, любители музыки беспрепятственно обменивались любой музыкой в любом объеме, сколько позволяла сеть. В 2001 году Стив Джобс представил iPod, который был способен хранить рекордные 1000 музыкальных композиций.

• После музыкальная индустрия стала бороться со свободным обменом музыкой, что спровоцировало рост популярности стриминговых музыкальных сервисов. И все это стало возможным благодаря изобретению Карлхайнца Бранденбурга и его коллег.

#Разное

infosec

27 July 2026 19:01

• Ровно 33 года назад, 27 июля 1993 года, корпорация Microsoft представила публике принципиально новую системную платформу для серверов и рабочих станций - Windows NT 3.1. Интересного в ней было довольно много. Прежде всего, несмотря на то, что это был первый в истории выпуск данной ОС, версий Windows NT 1 и 2 не существовало в природе. Разработчики взяли пример с Джорджа Лукаса: тот запустил в прокат свою легендарную киновселенную сразу с 4-го эпизода, Microsoft - с 3-го, с тем расчетом, чтобы номер версии перекликался с популярной у пользователей «настольной» версией Windows.

• На самом деле, Windows NT 3.1 была отнюдь не новой разработкой. Еще в 80-х годах Microsoft и IBM совместно трудились над созданием операционной системы OS/2, и даже добились на этом поприще серьезных успехов. Однако IBM в первую очередь стремились к поддержке собственного "железа", в то время как Microsoft старалась обеспечить совместимость ОС с максимальным ассортиментом различного оборудования. В итоге более молодая и динамично развивающаяся компания под руководством Билла Гейтса в 1992-м году вышла из проекта OS/2, забрав с собой кое-какие наработки. Они-то и легли в основу Windows NT.

• Были выпущены версии Windows NT не только для Intel x86, но также для архитектур DEC Alpha и MIPS R4000. Хотя Windows NT 3.1 изначально была 32-разрядной ОС, ее распространение ограничивал тот факт, что на момент выхода ОС еще не существовало достаточного количества совместимых с ней 32-разрядных приложений. Кроме того, в отличие от Windows 3.1, NT предъявляла к железу более высокие требования - для запуска этой системы нужны были более мощные и, разумеется, дорогие машины: в то время как средний объем памяти на ПК того времени не превышал 4 Мбайт, для нормальной работы Windows NT требовалось 8, а в рекомендациях значились и вовсе фантастические 16 Мбайт оперативной памяти.

• Microsoft выпустила NT 3.1 в двух модификациях: базовую для рабочих станций и Advanced Server - для серверов. Поскольку ОС разрабатывалась с прицелом на корпоративный рынок, она изначально проектировалась не только как многозадачная, но и как многопользовательская система с возможностью аудита событий, связанных с безопасностью. Именно в Windows NT 3.1 впервые появилась поддержка принципиально новой на тот момент файловой системы NTFS, хотя "родной" для нее по-прежнему считалась FAT. Windows NT была разработана для многопроцессорных систем, она поддерживала вытесняющую многозадачность. Несмотря на то, что интерфейс Windows 3.1 и в Windows NT был практически полностью идентичен внешне, для NT его переписали заново.

• Над разработкой Windows NT 3.1 трудилось 250 программистов, исходники ОС состояли из 5,6 млн. строк кода, и за последний год перед релизом команда выявила и устранила более 30 000 ошибок. Стоимость разработки системы оценивалась в 150 млн. долларов. Для упрощения портируемости ОС на различные аппаратные платформы большинство компонентов, включая ядро NT, были написаны на языке Си. Графическую подсистему и компоненты, отвечающие за работу в сети, написали на С++ с использованием Ассемблера (для модулей, требующих прямого доступа к оборудованию). В октябре 1991 года разработчики провели первую публичную демонстрацию Windows NT на выставке COMDEX, а 27 июля 1993 года состоялся релиз - сначала только версий для x86 и MIPS, версию для DEC выпустили в сентябре.

• Лицензия для рабочей станции стоила 495 долларов, версия Advanced Server - 1495 долларов. Изначально предполагалось, что итоговая стоимость серверной версии составит 2995 долларов, а первоначальная сумма станет своего рода "рекламной акцией" в течение первых 6 месяцев продаж, но в итоге Microsoft так и не подняла цену. До 1994 года, когда была выпущена Windows NT 3.5, Microsoft продала более 300 000 копий первой версии Windows NT.

• Windows NT 3.1 - это система - долгожитель: ее поддержка была полностью прекращена только 31 декабря 2000 года, а отдельные компоненты этой ОС до сих пор можно отыскать в других версиях Windows, базирующихся на платформе NT, включая Windows 11.

#Разное

infosec

27 July 2026 13:03

Яндекс масштабировал защиту, объединив механизмы обнаружения и блокировки подозрительной активности своих сервисов в одну универсальную антифрод-платформу.

• В основе «Универсального антифрода» – опыт разных команд, ML-модели, аналитические методы и более сотни правил, которые описывают разные сценарии подозрительного поведения. Система анализирует трафик в реальном времени и подбирает параметры защиты под конкретный сервис: то, что работает для массового бронирования билетов в Афише, не обязательно будет оптимальным для чата с ИИ-ассистентом или службы поддержки.

• Главный технический эффект в скорости – если раньше для нового продукта требовалось разрабатывать и настраивать отдельные механики защиты, то теперь подключение к общей платформе занимает 2-4 дня вместо нескольких месяцев. При этом новые сценарии атак и наработки одной команды можно быстрее превращать в защитные механики для других сервисов.

• Централизация освобождает ресурс: специалистам меньше приходится вручную разбирать повторяющиеся сценарии и поддерживать десятки разрозненных решений. Вместо этого они могут быстрее реагировать на новые типы атак, а уже накопленный опыт масштабируется на всю экосистему.

#Security #Новости

infosec

27 July 2026 06:33

• Выдал базу... Доброе утро 🫠

#Понедельник

infosec

25 July 2026 13:32

• Пост выходного дня: в этом году компьютерной папке исполнилось 45 лет. В 1981 году компанией Xerox был выпущен Xerox 8010 Star Information System - это первый коммерческий компьютер, в котором была использована графическая модель рабочего стола с папками и значками, применяемая нами и сегодня. Вот с чего все началось:

• В 1960-х и 70-х годах большинство ПК были большими и дорогими системами, работающими с использованием пакетной обработки с перфокартами или интерактивных операционных систем командной строки, доступ к которым осуществлялся через телетайпы или видеодисплейные терминалы. Они были не очень удобны в использовании и требовали специализированного обучения для программирования или корректного управления.

• В начале 1970-х годов компания Xerox начала экспериментировать с новым графическим подходом, результатом чего стал революционный компьютер Xerox Alto, в котором использовалась мышь и растовый дисплей. Когда в конце 1970-х годов пришло время запускать Alto в серийное производство, компании Xerox понадобился интерфейс, который мог бы облегчить работу с компьютером офисным специалистам без специальной компьютерной подготовки. Эта задача выпала на долю Дэвида Кэнфилда Смита из компании Xerox, который изобрел метафору рабочего стола для разработанной в 1981 году системы Xerox Star 8010.

• Когда компания Xerox поручила Дэвиду разобраться, как обычные офисные работники смогут использовать новую компьютерную систему Xerox с растовым изображением, Дэвид использовал свои наработки в области графических вычислений, когда компьютер можно было программировать визуально. В процессе работы Дэвид изобрел компьютерный значок!

• В продолжение этой идеи Дэвид понял, что ему нужна подходящая концепция, которую уже понимали бы офисные работники. Он остановился на визуальном, экранном отображении реальных объектов, таких как картотечные шкафы, папки и корзины, которыми офисные работники пользовались каждый день.

• После нескольких вариантов экспериментальных иконок были созданы первые в истории компьютера иконки документов и папок. Папка была реальной иллюстрацией к компьютерному файлу "каталог". Это была, скорее всего, самая простая из всех иконок для визуализации, поскольку она имела настолько привычную реальную визуализацию (вездесущая манильская папка) с очень четкой формой.

• В конечном итоге интерфейс оказался хорошо знакомым офисным работникам. Дэвид в своем выступлении утверждает, что во время тестирования были только положительные отзывы. Он не был таким универсальным, как другие настольные графические интерфейсы, появившиеся после Star, но, несомненно, он стал одним из первых компьютеров с рабочим столом и графическими иконками, которыми мы пользуемся сегодня.

• Xerox Star 8010 Information System была создана в отделе разработки систем компании Xerox (SDD), и над ней работали целая группа других специалистов. Все вместе они создали мощную, но дорогую компьютерную модель с монохромным растровым дисплеем высокого разрешения, внутренним жестким диском и встроенной поддержкой локальной сети Ethernet.

• Используя 8010, вы могли легко разработать документ с графическими и текстовыми элементами, а затем распечатать его на сетевом лазерном принтере, который будет использоваться совместно с группой рабочих станций 8010.

• С высокой ценой и целевым рынком состоящем с крупных предприятий, Star не суждено было стать массовым продуктом. Но он был довольно успешным: было продано десятки тысяч устройств, а разработчики получили вдохновение на создание дальнейших систем, которые усовершенствовали интерфейс рабочего стола Star в ОС под названием Viewpoint. Это также вдохновило несколько известных компаний, таких как, Apple и Microsoft... но это уже совсем другая история.

#Разное

infosec

24 July 2026 17:24

• Спецслужбы КНДР арестовали группу бывших государственных хакеров, которые смогли хакнуть внутреннюю сеть Центрального банка страны и Банка внешней торговли. Хакеры вывели похищенные средства с помощью криптовалюты и контрабандой переправляли иностранную валюту через границу...

➡️ https://www.dailynk.com/korea-bank-hacking

• Источник в Пхеньяне сообщил изданию Daily NK, что взлом затронул Центральный банк КНДР, отвечающий за эмиссию валюты и управление государственными фондами, а также Банк внешней торговли, который занимается зарубежными платежами страны. Хакеры конвертировали похищенные государственные средства в криптовалюту и переправляли крупные суммы в иностранной валюте через приграничные районы. Национальное разведывательное управление КНДР задержало участников группы 12 июля.

• По словам источника, во главе группировки стояли бывшие военнослужащие подразделения киберопераций Главного разведывательного управления — военной разведки страны. После увольнения из армии они стали вербовать талантливых молодых IT-специалистов из Пхеньянского университета науки и технологий. Группа тайно выстроила сеть торговли криптой для отмывания украденных денег. По словам источника, преступники стремились только к личному обогащению — без хактивизма.

• Участники группы использовали беспроводное оборудование китайского производства и зашифрованные мессенджеры, опираясь на технические навыки, отточенные в армии и университете. Эти же навыки и помогли им проникнуть в тщательно охраняемые внутренние сети и платежные системы банков.

• Хакеры выводили часть торговых фондов государства и иностранной валюты небольшими суммами, чтобы их не обнаружили, а затем переводили средства на зарубежные криптовалютные кошельки. Брокеры в Китае обменивали криптовалюту на наличные.

• Контактные лица в приграничных районах в режиме реального времени обменивали отмытые средства на доллары США и китайские юани.

• Группе удалось нанести большой финансовый ущерб, но ее быстро разоблачили. Чиновники в Пхеньяне заметили небольшие расхождения при согласовании платежей в иностранной валюте, а также подозрительные логи и подключения с зарубежных IP-адресов. Вскоре после этого Национальное разведывательное управление начало внутреннее расследование.

• Следователи установили, что зашифрованный трафик исходил из конспиративной квартиры в Пхеньяне. В ночь на 12 июля агенты провели там рейд и с поличным задержали главарей и IT-специалистов: те сидели за компьютерами и отмывали средства. Власти также конфисковали компьютерное оборудование стоимостью сотни тысяч долларов и изъяли незарегистрированные одноразовые телефоны.

• После этого вооруженные сотрудники Национального разведывательного управления заняли позиции вокруг штаб-квартиры Банка внешней торговли и вычислительного центра Центрального банка Чосон, полностью перекрыв доступ извне. По Пхеньяну разъехались автомобили с оборудованием для обнаружения сигналов. Правоохранительные органы пытались засечь дополнительное оборудование, работающее на тех же нестандартных частотах, что и оборудование группы. По словам источников издания, операция была довольно масштабной, но осталась незамеченной местными жителями.

• Новость о деле распространилась среди пхеньянской элиты, военных и университетского сообщества, вызвав шок из-за масштаба и дерзости схемы. Чиновники в Пхеньяне ждут для причастных крайне сурового наказания. "Они использовали навыки, которым их обучило государство для защиты страны, а вместо этого ограбили государственную казну" — заявил, по словам источника, один из чиновников.

infosec

23 July 2026 18:03

• Вот вам интересный факт: в начале 1970-х ARPANET был в зачатках, TCP еще не существовал, а единственным протоколом передачи данных был однонаправленный Network Control Protocol (NCP). Но для полноценного обмена данными нужно было два соединения - одно туда, другое обратно, поэтому инженеры разделили номера на нечетные для исходящего трафика и четные для входящего.

• В итоге Telnet получил 1, FTP - 3, Echo - 7, а Discard - 9. Все ключевые сервисы были на нечетных числах, потому что четные стали зеркальными половинками для обратного канала. Кроме того, на тот момент было всего 256 портов, и всем тогда казалось, что этого хватит навсегда....

➡️ https://www.rfc-editor.org/rfc/rfc739.html

• Кстати, порт 0 технически существует, но в заголовке TCP он означает динамическое назначение, а в сокетах Беркли sin_port = 0 при bind() говорит ядру выбрать самостоятельно.

#Разное #Сети

infosec

23 July 2026 13:33

• Журнал "Лучшие компьютерные игры" №08 - 2003 год.

#Юмор

infosec

22 July 2026 19:33

• В информационной безопасности постепенно появляется новый объект защиты – ИИ-агенты

• Если раньше основное внимание было сосредоточено на защите приложений, инфраструктуры и данных, то теперь все чаще приходится думать о безопасности автономных систем, которые сами взаимодействуют с сервисами, используют инструменты и принимают решения в рамках поставленных задач.

• При их разработке безопасную архитектуру важно закладывать с самого начала. Ошибка конфигурации или потенциальная угроза могут привести к утечке данных, несанкционированным действиям в инфраструктуре или повлиять на работу всего продукта.

• Этим вопросам Школа анализа данных Яндекса посвятит бесплатный онлайн-интенсив AI Agents Security Week, в котором эксперты по безопасной разработке, безопасности ИИ-агентов и инфраструктуры будут разбирать, чем ИИ-агенты отличаются от больших языковых моделей, как выстраивать безопасный доступ к инструментам и данным, а также рассмотрят практические кейсы разработки.

#Новости #AI #Security

infosec

22 July 2026 14:31

• Дождались: Ozon Tech не просто выкатил программу на E-CODE. По информационной безопасности в этом году отдельный трек! Не ламповый уголок со сканвордами (это, кстати, было прикольно), а полноценный сет докладов от ИБ-экспертов из разных отраслей.

• В программе создание аналога SLSA одновременно для банка и спутниковой системы, прогулка по ландшафту киберугроз с разбором критических ошибок, применение Defense-in-Depth и DFIR в компании ИИ-агентов. И конечно кейсы в концепте Zero Trust, к которому все мы стремимся.

• Кстати, к чему стремится именно Ozon Tech в контексте кибербеза, можно будет напрямую узнать у CISO Кирилла Мякишева. Он тоже выступит с докладом.

• Вообще заявлено много крутых экспертов. Знакомьтесь с программой и регистрируйтесь тут: https://ecode.ozon.tech/

#Новости

infosec

21 July 2026 17:50

• За последние несколько дней было выпущено более 400 бюллетеней по уязвимостям ядра Linux....

➡️ https://lists.openwall.net/linux-cve-announce/2026/07/
➡️ https://lore.kernel.org/linux-cve-announce/

#Linux

infosec

20 July 2026 19:04

• Электронная почта остается основным средством служебной переписки в компаниях. Ее можно организовать как с помощью собственной инфраструктуры (например, развернув Microsoft Exchange Server), так и через облачные почтовые сервисы, такие как Microsoft 365 или Gmail. При этом в некоторых организациях нет доменного доступа к облачной почте. Как следствие, хакеры, взломавшие домен, не получают автоматически доступ к переписке и прибегают к дополнительным техникам, чтобы ее прочитать.

• В исследовании по ссылкам ниже вы узнаете о том, как APT-группа ToddyCat развивала свои методы для получения скрытого доступа к служебной переписке сотрудников целевых компаний.

• В первой части рассмотрены инциденты, которые происходили во второй половине 2024 - начале 2025 года:

• TomBerBil на PowerShell:
➡Детектирование.
• Кража писем из Outlook:
➡TCSectorCopy;
➡XstReader;
➡Детектирование.
• Кража токенов доступа из Outlook:
➡Детектирование.

• Во второй части исследования подробно описан механизм новой атаки и инструмент Umbrij, который используется для компрометации корпоративной переписки в сервисе Gmail. Такая атака позволяет ToddyCat с помощью браузера пользователя получить токены для протокола авторизации OAuth 2.0, которые можно использовать вне периметра скомпрометированной инфры для доступа к корп. почте.

• Umbrij:
➡Запуск;
➡Подготовка окружения;
➡Получение кода авторизации;
➡Результаты работы.
• Детектирование:
➡DLL sideloading;
➡Запуск браузера;
➡Отзыв стороннего доступа.
• Уменьшение рисков.
• Выводы.

#Исследование #Security

infosec

20 July 2026 13:34

• Энтузиаст bitluni запилил кластер из 8192 микроконтроллеров CH570, который способен выводить графику уровня QVGA. Контроллеры работают на частоте 100 МГц, имеют 12 КБ SRAM и созданы на базе ядер RISC-V. Цена каждого такого чипа составляет 10-13 центов! Хотя, конкретно в этом случае, больше всего ресурсов ушло на разработку и отладку платы для подключения чипов в систему.

• Дело в том, что современные устройства меняют чаще, чем они реально устаревают. Фактически процессоры старых устройств можно не отправлять на свалку, а создавать из них достаточно экономичные вычислительные кластеры. Правда придется подумать об универсализации, чтобы не тратить время на соединение и налаживание работы разных устройств.

➡ Сам кластер выглядит максимально красиво, а его автор пообещал в скором времени собрать кластер из 32 тыс. чипов: https://youtu.be/qMR3IXF2sWw

• К слову, исследователи Google и Калифорнийского университета в Сан-Диего в прошлом месяце собрали кластер из б\у смартфонов Pixel. По их расчетам 25–50 смартфонов могут заменить двухпроцессорный сервер и поддерживать несложные сервисы для целого университета.

• На данный момент кластеры из б\у устройств выглядят экспериментом. Таким же, как исследование Beowulf, проведенное NASA в 1994 году. Оно показало эффективность кластерных вычислений на старых ПК. В результате стало ясно, что множество недорогих серверов могут работать эффективнее больших и безумно дорогих мейнфреймов.

➡️ Источники [1],[2],[3].

#Разное #Оффтоп

infosec

29 July 2026 13:34

• Сейчас можно почувствовать себя старым: Windows 10 исполнилось ровно 11 лет. Хотя казалось, что эта ОС вышла совсем недавно...

• Нужно отметить, что эта ОС была задумана как единая система для самых разных устройств, включая планшеты, десктопные компьютеры, игровые консоли и другие. Компания реализовала задуманное, и пользователи получили унифицированную платформу с единым каталогом универсальных приложений.

• Сразу после выхода ОС было заявлено, что обновление с Windows 7, Windows Phone 8 и Windows 8.1 c Windows 9 до "десятки" - бесплатное, если предыдущие версии ОС - легальные копии. Кстати, Windows 9 не вышла по причине того, что могла начаться путаница: часть программ могла принять "Windows 9" за Windows 95 или 98 из-за особенностей проверки версии ОС.

• Интересен способ распространения этой ОС и ее обновлений. Корпорация Microsoft заявила, что дистрибутив и обновления распространяются не только с серверов компании, но и с ПК пользователей - то есть, используется peer-to-peer технология.

• Большинство пользователей новой ОС остались ей довольны. Правда, не обошлось и без проблем. В частности, эту ОС часто критиковали за большое количество собираемой информации о пользователе. Но все познается в сравнении - в Windows 11 кол-во собираемой телеметрии еще больше =))

• А еще много раз критиковали корпорацию Microsoft за слишком сильное давление на пользователей предыдущих ОС с тем, чтобы они обновлялись до Windows 10. Пользователям едва ли не принудительно обновляли систему, отключали возможность убрать напоминание об обновлении, устанавливали пакеты обновлений, изменяющие пользовательские настройки и т.п. Компании даже пришлось выплатить $10.000 за проблемы, возникшие при обновлении ПК одного из пользователей Windows 7 до Windows 10.

• Но в остальном все было хорошо. По сравнению с Windows 8.1, десятка предлагала заметные улучшения, включая возвращение классического меню "Пуск" вместо полноэкранного интерфейса Windows 8. Обновленный пользовательский интерфейс стал логичным развитием, пришедшим на смену стилю Metro UI. Еще был представлен браузер под названием Project Spartan, призванный заменить Internet Explorer. Позднее он был переименован в Microsoft Edge.

• В общем и целом, Windows 10 была и остается хорошей системой. Интересно, как ее будут вспоминать спустя несколько десятилетий...

#Разное

infosec

28 July 2026 20:14

• Фото, которое у многих может вызвать чувство ностальгии. Настоящая LAN-вечеринка, где пьют пиво, играют в CS и отдыхают от работы...

#Оффтоп

infosec

28 July 2026 13:32

• Нашел хороший репозиторий с набором практических лабораторных работ для изучения DevOps-инструментов, контейнеризации и безопасности инфраструктуры.

• На данный момент времени в репозитории представлено 8 лабораторных работ, каждая из которых посвящена отдельному этапу построения и защиты инфраструктуры:

➡Виртуальная машина: создание и базовая настройка ВМ с помощью terraform;
➡Ansible Hardening: автоматизация настройки безопасности;
➡SSL + NGINX: настройка HTTPS и авторизация по сертификатам;
➡Docker: сборка собственного контейнера;
➡Побег из контейнера: Практика container escape;
➡Kubernetes: Развертывание кластера;
➡Kubernetes Goat: практика безопасности Kubernetes;
➡Vault + GitLab в K8s: CI/CD с получением секретов из Vault по JWT/OIDC.

• Цель всего этого добра: понимание инфраструктурной безопасности, освоение DevOps-инструментов, практика контейнерной безопасности, изучение Kubernetes security и построение защищённых CI/CD процессов.

➡️ Забираем отсюда: https://github.com/bykvaadm/cybered

#DevOps #Security #k8s

infosec

27 July 2026 16:03

• Нашел интересный инструмент для воспроизведения и модификации трафика при тестировании СЗИ - Attack Replay.

• Как известно, СЗИ можно установить, настроить и ввести в эксплуатацию. Но как убедиться, что оно действительно блокирует те угрозы, ради которых его внедряли?

• Проверять все это добро во время инцидента - слишком поздно. Поэтому работу СЗИ оценивают заранее с помощью испытаний еще до внедрения в инфраструктуру.

• Обычно специалисты собирают собственный набор утилит. Для изменения IP и MAC - адресов используется один инструмент, для воспроизведения трафика - другой, а для подготовки сценариев - третий. В результате инженер работает сразу с большим кол-вом инструментов, и значительная часть времени уходит не на сами испытания, а на переключение между тулзами и ручную обработку результатов.

• Attack Replay как раз решает данную проблему. Эта тулза имеет открытый исходный код и применяется для воспроизведения \ модификации сетевого трафика для тестирования СЗИ. Она объединяет в одном интерфейсе функции нескольких популярных инструментов и автоматизирует рутинные операции, связанные с подготовкой и запуском тестов.

➡Руководство по использованию, возможности и подробное описание есть на GitHub.
➡А еще есть крутая статья на хабре, где представлен более детальный разбор и принципы работы Attack Replay.

#Tools #СЗИ

infosec

27 July 2026 11:12

• Уязвимость в приложении Click To Pray, о которой написал в своем блоге bobdahacker, полностью исправили. На это ушло более 7 месяцев. Чудо случилось сразу после того, как в СМИ начали публиковать информацию о дырявом приложении и утечке данных 700 тыс. пользователей.

• К слову, bobdahacker так и не получил ответ на свои письма с описанием уязвимости. Никто не прислал слова благодарности и даже не отписался, что уязвимость была исправлена. Абсолютно ничего. Просто закрыли уязвимость и на этом все. Ну, хотя бы так...

#Security #Новости

infosec

26 July 2026 13:34

🤩 Немного красоты вам в ленту =)

#Разное

infosec

24 July 2026 19:35

🙏 Click To Pray: нажмите, чтобы помолиться...

• В блоге bobdahacker, которому ранее удалось взломать Petlibro, McDonald’s, Burger King и FIFA, появилась новая статья. На этот раз под пристальное внимание хакера попалось приложение Ватикана Click To Pray, через которое можно отправить письмо самому Папе Римскому.

• Сразу нужно отметить, что уязвимость, о которой ниже пойдет речь, была обнаружена 3 января этого года. Сейчас 24 июля, а уязвимость так и не исправили... Но обо всем по порядку.

• Дело в том, что при создании учетной записи в Click To Pray вам присваивается порядковый числовой идентификатор. Все довольно просто. Вот только API возвращает вам данные пользователя для любой учетной записи при указании действительного идентификатора пользователя. Никаких проверок. Просто увеличиваете число и получите данные другого пользователя.

• Если сделать соответствующий запрос, то API вернет вам следующие данные:

➡Адрес электронной почты;
➡Имя и фамилия;
➡Страна;
➡Дата рождения, если она была указана;
➡Роль пользователя;
➡Статус учетной записи.

• В общем и целом, это классический IDOR (Insecure Direct Object Reference) - тип уязвимостей, который возникает, когда приложение позволяет пользователям получать доступ к данным или действиям, просто изменив значение в URL или запросе. Вы запрашиваете свои данные, сервер их предоставляет. Вы запрашиваете чужие данные, сервер предоставляет их тоже.

• На момент написания этого материала в приложении было зарегистрировано 719 517 пользователей. Достаточно всего 1 GET-запроса, чтобы получить все данные.

• Но самое забавное здесь то, что bobdahacker обнаружил эту уязвимость в начале января. Он разослал письма девяти людям: на общий информационный адрес, шести сотрудникам clicktopray.org и двум контактам на popesprayer.va (Всемирная молитвенная сеть Папы Римского). Ответ так и не пришел. Ни от кого из них.

• Прошло пол года. Абсолютно никакой реакции. Никакого фикса данной уязвимости. Совершенно ничего.

• Также bobdahacker связался с журналистом одного издания, которые в свою очередь связались с пресс-службой Всемирной молитвенной сети Папы Римского, поскольку у Click To Pray даже нет специального контактного лица для прессы. Ииииии..... тоже ничего.

• Иронично, что письмо, которое было направлено Папе Римскому по всем возможным адресам для молитв, так никто и не прочитал.

➡️ https://bobdahacker.com/blog/click-to-pray

#Security #Новости

infosec

24 July 2026 10:32

• Пятничное: на хабре опубликован очень крутой материал, в котором рассказывается про различные домены верхнего уровня (от национальных, брендовых и альтернативных доменных зон до самых необычных). Будет интересно: https://habr.com/ru/articles/1053304/

#Разное

infosec

23 July 2026 15:32

• У PT вышло интересное исследование с обзором кибератак за 2-й квартал 2026 года. Эксперты провели анализ активности хакерских группировок, которые атаковали российские организации (от госсектора до финансов, здравоохранения и промышленности).

• По итогам второго квартала было зафиксировано 839 уникальных образцов вредоносного ПО (это на 88% больше, чем в прошлом году), ассоциированных с 17 отслеживаемыми группировками.

• Целью хакеров остается финансовый сектор - 14,8% всех зафиксированных атак. За ним следуют правительственный сектор (13,28%) и технологические компании (13,09%). Далее располагаются организации гражданского общества (8,21%), образование (5,16%), транспорт и логистика (4,97%), здравоохранение (4,87%), производство (4,30%) и энергетика (4,20%). Оставшиеся 27,1% распределены между прочими отраслями.

• В активности отслеживаемых группировок зафиксирован ряд устойчивых техник:

➡Получение C2 через блокчейн Bitcoin;
➡Фишинг;
➡Доставка через публичные веб-сервисы и oEmbed-цепочки;
➡Планировщик задач Windows;
➡Ключи автозапуска в реестре;
➡Антибот‑фильтрация исследовательской среды;
➡Эксплуатация уязвимостей клиентского ПО;
➡DLL Side‑Loading;
➡Кража учетных данных и таргетинг на финансовые системы.

• Ключевым вектором первоначального доступа остался фишинг, где хакеры активно используют деловую, финансовую и государственную тематику, а также скомпрометированные легитимные почтовые ящики для повышения доверия и обхода базовой фильтрации.

• В исследовании также описаны различные методы, которые использовали хакеры при атаках на компании. Изучить исследование можно по ссылке (без регистрации и SMS): https://ptsecurity.com/research/analysis-of-hacker

#Исследование

infosec

23 July 2026 12:05

Первый менеджер паролей с сертификатом ФСТЭК России

Персональные данные, финансовая документация, доступы к инфраструктуре — ошибки стоят слишком дорого. За выбором решения для защиты стоят репутация компании и её будущее.

Пассворк наводит порядок в доступах: централизует их, позволяет безопасно делиться и гибко настраивать права. Устанавливается на ваших серверах или в облаке.

30 апреля Пассворк стал первым менеджером паролей с сертификатом ФСТЭК по 4-му уровню доверия — наивысшему для коммерческого ПО.

Для госсектора это легальная возможность закрыть требования регуляторов, а для бизнеса — железный аргумент для руководства и ИБ-службы при выборе решения.

Пассворк — основа информационной безопасности.

→ Протестировать можно бесплатно
→ Подробнее о сертификате
#реклама
О рекламодателе

infosec

22 July 2026 17:33

• Большинство из вас знает, что первый в мире компьютер с полноценным графическим интерфейсом (GUI), оконной системой и поддержкой мыши был разработан в исследовательском центре компании Xerox! Так вот, большинство инженеров, которые разрабатывали этот самый интерфейс, насмехались над первым поколением персональных компьютеров, появившихся в середине семидесятых, поскольку первые ПК были менее мощными, чем машины, на которых они привыкли программировать. С четырьмя килобайтами памяти и без дисковода можно было не так много сделать.

• Но Ларри Теслер, который был ключевым инженером в Xerox PARC, думал иначе. Он был воодушевлен потенциалом персональных компьютеров и купил себе Commodore PET, как только тот стал доступен в 1977 году. После визита Apple в Xerox PARC в декабре 1979 года, он был так впечатлен инженерами из Apple, что 17 июля 1980 года он ушел из PARC и начал работать в Apple в качестве менеджера группы Lisa Applications.

• Ларри отстаивал согласованность между приложениями и внес большой вклад в то, что в итоге стало пользовательским интерфейсом Macintosh. Он также был основным сторонником и разработчиком пользовательского тестирования в Apple: фактически опробовал ПО на реальных пользователях и лицезрел их реакцию. Начиная с лета 1981 года, Ларри организовал серию пользовательских тестов зарождающегося ПО Lisa, наняв друзей и родственников, чтобы они впервые опробовали ПО, под наблюдением сотрудников Apple, которые записывали их реакцию.

• Пользовательские тесты проводились в специально сконструированной комнате с односторонним зеркалом, чтобы наблюдатели могли наблюдать за тестами, не вмешиваясь в них. Тестирование проводил модератор, задачей которого было убедиться, что пользователь чувствует себя комфортно и показать, как пользоваться мышью. Затем, без дальнейших инструкций, пользователей просили выполнить определенные задачи без помощи модератора, например отредактировать текст и сохранить его. Модератор призвал каждого пользователя бормотать себе под нос при выполнении задач, максимально раскрывая свои мысли. Каждый сеанс записывался на аудио или видео для последующего анализа.

• Когда ПО требовало подтверждения от пользователя, оно отображало "диалоговое окно", которое содержало вопрос, и представляло две кнопки для положительного или отрицательного ответа. Кнопки были помечены как "Do it" и "Cancel". Сотрудники Apple заметили, что некоторые пользователи жмут на "Cancel", когда им следовало нажать "Do It", но не было понятно, с чем у них возникали проблемы.

• Наконец, команда обратила внимание на одного пользователя, которого особенно смутило диалоговое окно, который, казалось, даже немного рассердился. Модератор прервал тест и спросил, в чем проблема. Он ответил: "Я не болван, почему программа называет меня болваном?"
Оказывается, он не замечал промежутка между "o" и "i" в "Do It"; в системном шрифте без засечек, который мы использовали, заглавная "I" была очень похожа на строчную "L", поэтому он читал "Do It" как "Dolt" и поэтому был несколько обижен.

• Чтобы вы понимали, слово "Dolt" переводится как "болван".

• После этого инженеры изменили метку кнопки положительного подтверждения на "Оk" (чего изначально избегали, потому что мы думали, что это слишком разговорно), и с этого момента у людей стало меньше проблем. Так и пошло...

➡️ https://www.folklore.org/Do_It.html

#Разное

infosec

22 July 2026 12:40

• Абсолютный рекорд: за этот месяц было исправлено 1449 уязвимостей в продуктах Oracle. С июльским Critical Patch Update можно ознакомиться по ссылке: https://www.oracle.com/security-alerts/cpujul2026.html

#Security

infosec

21 July 2026 13:33

• Нашел интересный челлендж, который окажется полезен всем, кто хочет изучить Linux. Он содержит 100 заданий, которые необходимо изучать и выполнять последовательно. Сразу отмечу, что материал предназначен только для новичков, так что если вы уже знакомы с Linux, то вы не найдете для себя полезной информации.

• Итак, в рамках каждого челленджа вам необходимо будет решить задачу: например, создать папку для определенных данных, найти инфу в логах, скорректировать права доступа, восстановить данные, ну и все в этом роде...

• Там еще есть пошаговые инструкции и примеры. В итоге вы получаете сценарий, цель, подсказки (если они вам нужны), а затем самостоятельно решаете, какие команды использовать при выполнении задачи. Это максимально приближает процесс обучения к реальной работе в терминале, так что это очень крутой ресурс для тех, кто только начинает свой путь в Linux.

➡️ https://labex.io/ru/courses/100-days-of-linux-challenges

#Linux

infosec

20 July 2026 16:33

• Попался на глаза отличный проект, который называется UptimeRobot. Если говорить в двух словах, то это простой мониторинг доступности, который опрашивает ваши сайты каждые несколько минут и отслеживает, все ли они "на месте". Мониторы можно настроить на HTTP(S)-запросы, пинг, SMTP, POP3, TCP-порт и т.д. Алерты могут приходить в телегу или на электронную почту. 

• Кроме обычного пинга сайтов, UptimeRobot проверяет порты и не пропустит истечение SSL‑сертификата (напомнит за 30/14/7 дней). Также можно настроить алерты на появление любого нужного или нежелательного содержимого на странице.

• По доступу есть бесплатный план на 50 сайтов (проверки раз в 5–10 минут) и платные тарифы с меньшим интервалом. Но я не думаю, что платный тариф вам понадобится, так как бесплатного хватает за глаза. Кстати, там еще есть очень удобное мобильное приложение, куда приходят пуши. Такое редко встретишь в бесплатных сервисах мониторинга, а у некоторых вообще нет приложения для смартфонов.

➡️ https://uptimerobot.com

#Tools

infosec

20 July 2026 10:16

Программа может работать «нормально» ровно до первого неожиданного ввода. А дальше — падения, странное поведение, ошибки в обработке данных и уязвимости, которые не всегда видно при обычном тестировании.

23 июля в 20:00 МСК на открытом вебинаре OTUS разберём, как реверс-инжиниринг и фаззинг помогают понять, что делает программа, и найти в ней ошибки. Поговорим простыми словами, как работают оба подхода, чем они отличаются и почему хорошо дополняют друг друга в разработке, анализе ПО и информационной безопасности.

На практике покажем, как программа ведёт себя при обычном и неожиданном вводе, почему она может «ломаться» и как это использовать для анализа. Разберём, как с помощью реверса понять логику приложения, а с помощью фаззинга — обнаруживать ошибки, уязвимости и нестандартное поведение.

Урок проходит в преддверии старта курса «Обратная разработка». Регистрируйтесь, чтобы увидеть, как теория помогает в реальном анализе программ, и разобраться, где реверс и фаззинг применяются на практике.

Регистрируйтесь: https://vk.cc/cZyX4b

Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576