32260
Xakep.RU: взлом, защита, кодинг. @Nifeya — реклама и сотрудничество.
Лучшие статьи «Хакера» за 2015–2021 годы. Бумажные спецвыпуски в продаже
Если ты пропустил: сейчас можно заказать все три бумажных спецвыпуска «Хакера», в которые вошли лучшие статьи за 2015–2021 годы с комментариями авторов и редакторов. Тиражи ограничены, поэтому самое время пополнить архив, начать собирать коллекцию или порадовать друзей крутым подарком.
https://xakep.ru/2025/08/13/all-specials/
Реклама. ИП Яковлева А.В. ИНН 503806735948. Erid: 2SDnjeZu3Lr
ИБ-специалист получил 250 000 долларов за уязвимость обхода песочницы в Chrome
Исследователь под ником Micky получил рекордное вознаграждение от компании Google. Специалист обнаружил баг в Chrome, который позволяет обойти песочницу браузера, и заработал 250 000 долларов США по программе bug bounty.
https://xakep.ru/2025/08/12/cve-2025-4609/
Ручная ищейка. Делаем свой Google для локальной сети
На всех этапах продвижения по внутренней сети перед пентестером стоит задача быстро разобрать все, что лежит на открывшихся общих ресурсах. С каждым новым уровнем доступа объем таких файлов растет лавинообразно. Вот бы в локалке был свой Google! Сегодня попробуем его создать самостоятельно.
https://xakep.ru/2025/08/12/building-local-crawler/
Из-за взлома у Google утекли данные клиентов Google Ads
Представители Google подтвердили, что в ходе недавней утечки данных, связанной со взломом Salesforce, была затронута информация клиентов Google Ads.
https://xakep.ru/2025/08/12/google-ads-leak/
🛡Знаете ли вы, что до 90% уязвимостей в приложениях связаны не с кодом, а с людьми?
На открытом уроке «Awareness в DevSecOps» разберём, как повысить осведомлённость разработчиков о своей роли в безопасности и предотвратить ошибки ещё на этапе проектирования. Вы узнаете, что такое PCS, почему бизнес «запретил безопасности запрещать» и как выстроить культуру безопасности в команде.
Представьте, что каждый участник процесса разработки автоматически учитывает риски и умеет их снижать — скорость выпуска растёт, а количество инцидентов падает.
⚡️Посетите вебинар 13 августа в 20:00 МСК и получите персональную скидку на курс «Внедрение и работа в DevSecOps»: https://vk.cc/cOv1ix
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru
Крупному бизнесу в России хотят запретить использовать иностранные облачные сервисы
СМИ сообщают, что в Минцифры предлагают установить запрет на использование иностранных корпоративных облачных сервисов и ПО в информационных системах хранения и обработки персональных данных с 1 сентября 2027 года.
https://xakep.ru/2025/08/11/clouds-ban/
HTB University. Используем LocalPotato, чтобы поднять привилегии в Active Directory
Сегодня я покажу, как использовать уязвимость LocalPotato для повышения прав в Active Directory. Но и помимо этого нас ждет много интересного: доступ в сеть мы получим через RCE в ReportLab, извлечем учетные данные пользователя и будем продвигаться по сети с машины на машину, а в конце скомпрометируем весь домен.
https://xakep.ru/2025/08/11/htb-university/
Редакторы Wikipedia будут быстро удалять статьи, сгенерированные ИИ
В Wikipedia утвердили новые правила для борьбы с потоком сгенерированных ИИ статей, наводнивших онлайн-энциклопедию. Согласно новой политике, администрация получает право быстро удалять ИИ-статьи, если они соответствуют определенным критериям.
https://xakep.ru/2025/08/11/wiki-ai/
На Pentest award наградили лучших этичных хакеров России
Состоялась третья ежегодная церемония награждения Pentest award. Ознакомиться с работами победителей во всех подробностях ты сможешь уже этой осенью на страницах «Хакера».
https://xakep.ru/2025/08/08/pentest-award-winners/
DCShadow для FreeIPA. Как DCSync привел меня к новой CVE #статьи #хардкор #подписчикам
Что делать в конце пентеста FreeIPA — когда пароль получен, а доступа к контроллеру домена по SSH нет или там стоит грозная защита, не дающая сдампить id2entry.db и наслаждаться красивым отчетом? В случае с обычной Active Directory ответ очевиден — DCSync и дело с концом, но для FreeIPA таких ресерчей нет… Что ж подержи мое пиво, оставшееся у меня после обнаружения CVE-2024-3183.
https://xakep.ru/2025/08/08/dcshadow-freeipa/
Минцифры согласовало схему доступа к мобильному интернету в условиях ограничений
Глава Минцифры Максут Шадаев сообщил, что при ограничениях мобильного интернета будет сохраняться доступ к «белому списку основных сервисов», а также предусмотрено сохранение работы банкоматов.
https://xakep.ru/2025/08/08/mincifry-plans/
⚡️Хаос с зависимостями может стать угрозой безопасности вашего проекта. Присоединяйтесь к открытому уроку «Страх и ненависть при работе с зависимостями (SCA)» 29 июля в 20:00 МСК и научитесь контролировать зависимости без уязвимостей.
Вы узнаете:
- Какие зависимости проходят проверки и как это влияет на инфраструктуру.
- Как правильно хранить, обновлять и обогащать список компонентов.
- Методы контроля целостности и версионности зависимостей.
Урок станет отличной подготовкой к курсу «Внедрение и работа в DevSecOps», все участники получат скидку на обучение. Научитесь управлять зависимостями эффективно и безопасно.
👉Записывайтесь на вебинар, получайте скидку и готовьтесь к углубленному изучению DevSecOps с OTUS: https://vk.cc/cOmQ4r
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru
Уязвимости ReVault позволяют обойти Windows Login на ноутбуках Dell
Уязвимости в прошивке ControlVault3 затрагивают более 100 моделей ноутбуков Dell, позволяют злоумышленникам обойти Windows Login и установить вредоносное ПО, остающееся в системе даже после переустановки ОС.
https://xakep.ru/2025/08/07/revault/
В WhatsApp появилась новая функция для защиты от мошенников
Разработчики WhatsApp представили новую защитную функцию, которая поможет пользователям распознать потенциальных мошенников, когда человек, не входящий в список контактов, приглашает их в групповой чат.
https://xakep.ru/2025/08/07/safety-overview/
PT NGFW теперь доступен для малого и среднего бизнеса
Positive Technologies выпустила новые модели межсетевого экрана нового поколения PT NGFW — 1005 и 1020. Они сохранили в себе все конкурентные преимущества старших моделей — надежность, удобство использования и высокий уровень экспертизы для противодействия современным киберугрозам.
→ Производительность PT NGFW 1005, самой бюджетной модели в линейке, со всеми включенными функциями безопасности составляет 100 Мбит/с на EMIX-трафике.
→ Производительность PT NGFW 1020 со всеми включенными модулями безопасности — уже 1 Гбит/с, а значит его можно использовать не только в небольших филиалах, но и в крупных офисах.
Теперь в младшую линейку входят четыре модели: PT NGFW 1005,1010, 1020 и 1050.
Узнать подробности и выбрать PT NGFW, который нужен именно вашей компании, вы можете на сайте Positive Technologies.
Реклама. АО «Позитив Текнолоджиз». ИНН 7718668887.
Более 29 000 серверов Exchange уязвимы перед серьезным багом
29 000 серверов Exchange уязвимы перед проблемой CVE-2025-53786, которая позволяет атакующим перемещаться внутри облачных сред Microsoft, что потенциально может привести к полной компрометации домена.
https://xakep.ru/2025/08/12/cve-2025-53786/
23 и 24 августа в Санкт-Петербурге пройдет Chaos Constructions
В этом году легендарный фестиваль Chaos Constructions состоится 23 и 24 августа 2025 года. Почти 30 лет он собирает вместе людей, интересующихся демосценой, современными и ретрокомпьютерами, сетями и электроникой.
https://xakep.ru/2025/08/12/cc2025/
Реклама. Калмыков Александр Вячеславович. ИНН 780430386719. Erid: 2SDnjbumMNN
0-day уязвимость в WinRAR применялась в фишинговых атаках
Специалисты компании ESET сообщили, что недавно исправленная уязвимость в WinRAR (CVE-2025-8088) использовалась в качестве 0-day в фишинговых атаках и применялась для установки малвари RomCom.
https://xakep.ru/2025/08/12/winrar-romcom/
СМИ: Silent Crow публикует данные, похищенные у «Аэрофлота»
Участники группировки Silent Crow, в конце июля взявшие на себя ответственность за атаку на «Аэрофлот», начали публиковать данные, якобы похищенные у компании. По данным СМИ, речь идет о медицинских картах пилотов и сотрудников авиакомпании.
https://xakep.ru/2025/08/12/silent-crow-leak/
Пользователи WhatsApp и Telegram жалуются на проблемы со звонками
СМИ сообщают, что российские пользователи Telegram и WhatsApp (принадлежит компании Meta, которая признана экстремистской и запрещена в России) массово жалуются на проблемы со звонками в мессенджерах. Ранее СМИ писали, что российские операторы связи вообще предложили заблокировать звонки в зарубежных мессенджерах.
https://xakep.ru/2025/08/11/messengers-calls/
Efimer ворует криптовалюту, взламывает WordPress и рассылает спам
Эксперты «Лаборатории Касперского» зафиксировали волну атак с использованием трояна Efimer. Малварь распространяется через взломанные сайты на WordPress, торренты и электронную почту. Ее основная цель — кража и подмена криптокошельков, но при помощи дополнительных скриптов вредонос брутфорсит пароли к WordPress-сайтам и собирает базы email-адресов для дальнейшей рассылки спама.
https://xakep.ru/2025/08/11/efimer/
В RubyGems нашли 60 вредоносных пакетов, загруженных 275 000 раз
В RubyGems обнаружили 60 вредоносных пакетов, которые выдавали себя за безобидные инструменты для автоматизации социальных сетей, блогов и мессенджеров. Гемы похищали у пользователей учетные данные и, начиная с марта 2023 года, были скачаны более 275 000 раз.
https://xakep.ru/2025/08/11/rubygems-stealers/
Открываем предзаказы на бумажный выпуск «Хакера» за 2025 год
После выпуска трех бумажных сборников с архивными статьями за 2015–2021 годы мы решили попробовать новый формат: журнал, в котором будут собраны лучшие статьи за 2025 год.
Что внутри
▪️ Более 20 статей, опубликованных на страницах «Хакера» в 2025 году: от разбора сетевых протоколов до хакерских применений LLM.
▪️ Уникальные комментарии от авторов и редакторов — с деталями, которые не попали в публикации.
▪️ 240 страниц на плотной бумаге — вдвое толще старых номеров «Хакера» образца 2015 года.
Предварительные заказы
Пока на дворе только август, а значит, до конца года в «Хакере» будет опубликовано еще множество интересных материалов. Поэтому номер уйдет в печать в ноябре, а отправка заказов стартует в декабре.
Но предварительные заказы уже открыты!
Цена — 1000 ₽ на время раннего предзаказа (без учета почтовых расходов).
📦 Тираж ограничен, поэтому уже сейчас ты можешь зарезервировать один экземпляр за собой или заранее позаботиться о подарках. Обрати внимание: позже цена возрастет!
Реклама. ИП Яковлева А.В. ИНН 503806735948.
Группировка Paper Werewolf использует для атак уязвимости в WinRAR
В июле и начале августа 2025 года шпионская хак-группа Paper Werewolf атаковала несколько организаций из России и Узбекистана. К фишинговым письмам были приложены RAR архивы якобы с важными документами, а на самом деле — с малварью. Злоумышленники воспользовались двумя уязвимостями в WinRAR, которые позволяют установить вредоносное ПО при распаковке архива.
https://xakep.ru/2025/08/08/paper-werewolf-winrar/
SonicWall не нашла 0-day в своих продуктах и связывает недавние атаки с уязвимостью 2024 года
Компания SonicWall заявила, что операторы вымогателя Akira эксплуатировали старую уязвимость в недавних атаках на межсетевые экранах SonicWall 7-го поколения с включенным SSL VPN. Ранее предполагалось, что злоумышленники использовали уязвимость нулевого дня.
https://xakep.ru/2025/08/08/sonicwall-akira/
Обнаружены 150 расширений для Firefox, похитившие более 1 млн долларов у пользователей
Аналитики Koi Security обнаружили вредоносную кампанию GreedyBear, активную в магазине дополнений Mozilla. 150 вредоносных расширений для Firefox похитили у пользователей криптовалюту стоимостью более 1 млн долларов США.
https://xakep.ru/2025/08/08/greedybear/
От имени взломанных пользователей «Контур.Диадока» разослали малварь
Представители «СКБ Контур» сообщили, что злоумышленники рассылают вредоносное ПО от лица взломанных пользователей «Контур.Диадока». Клиентов предупреждают, что не нужно открывать полученные файлы.
https://xakep.ru/2025/08/08/diadoc-malware/
Adobe выпустила экстренные патчи для AEM Forms
Компания Adobe выпустила внеплановые патчи, которые устраняют две серьезные уязвимости в Adobe Experience Manager Forms (AEM Forms) в Java Enterprise Edition (JEE), для которых уже доступны публичные эксплоиты.
https://xakep.ru/2025/08/07/aem-forms/
C++26. Как баян и кошачьи ушки помогут кодить на C++ #статьи #подписчикам
C++26 почти утвержден — новые фичи больше не добавляются, так что пора изучить, что в итоге получилось. Мы разберем ключевые возможности стандарта и протестируем их в деле. Заодно узнаем, какие компиляторы и инструменты уже поддерживают новинку. Даже если ты не собираешься сразу переходить на новый стандарт, знакомство с его новшествами полезно: они влияют на стиль, производительность и будущее всей экосистемы C++.
https://xakep.ru/2025/08/07/cpp26-preview/
Российских пользователей Android атакует троян LunaSpy
Специалисты «Лаборатории Касперского» обнаружили новый шпионский троян LunaSpy. Вредонос нацелен на российских пользователей и распространяется через мессенджеры под видом защитных решений.
https://xakep.ru/2025/08/07/lunaspy/