82251
SecurityLab — ваш надежный проводник в мире кибербезопасности, технологий и науки. РКН: https://vk.cc/cFXCkO Наши каналы: https://t.me/addlist/G_0tnwZJOrA3MzEy Голосуйте за канал: https://t.me/SecLabNews?boost
💰Кнопка «Взломать всё» или как работает подписка на чужую жизнь
Создатели знаменитого комплекса Pegasus годами гарантировали заказчикам абсолютную невидимость. Свежий разбор внутренних документов компании доказывает обратное. Покупателям выделяли персональные серверы и учетные записи ради безопасности. Разработчики хотели защитить клиентов, но в итоге невероятно упростили работу независимым исследователям. Одинаковые сетевые адреса на разных взломанных аппаратах позволили легко связать разрозненные атаки воедино и вычислить конкретных владельцев.
Внутренняя кухня шпионской платформы откровенно поражает уровнем автоматизации. Пользователю достаточно завести карточку расследования и вбить телефон жертвы. Дальше запускается настоящая фабрика взлома. Программа предварительно ощупывает чужой аппарат скрытыми сетевыми запросами и сама подбирает идеальный метод проникновения. В материалах засветились инструменты с пафосными названиями вроде Heaven для популярных программ обмена сообщениями или Erised специально для техники Samsung. Изощренность доходит до того, что передачу данных перехватывают прямо на уровне сотового оператора.
Здесь мы видим прекрасную иллюстрацию конвейерного кибероружия. Человек за пультом управления понятия не имеет о технической стороне процесса. За ширмой лаконичного меню круглосуточно трудится колоссальная инфраструктура NSO Group. Индустрия цифровой защиты закономерно проигрывает подобную гонку. Обычным людям угрожают не хакеры-одиночки, а богатые корпорации со штатом аналитиков и многомиллионными бюджетами.
#шпионаж, #безопасность, #технологии @SecLabNews
Новые уязвимости обнаружены в NGINX Plus и Open Source
Компания F5 обнаружила три уязвимости в NGINX Plus и NGINX Open Source, самая опасная из них получила оценку 9.2 из 10. Она связана с обработкой определённых запросов и в худшем случае может позволить злоумышленнику выполнить произвольный код на сервере.
Две другие уязвимости с оценками 8.8 и 8.3 позволяют злоумышленникам получать фрагменты данных из памяти сервера или вызывать аварийную остановку рабочих процессов. Для проведения атак злоумышленнику не требуется учётная запись или предварительный доступ к серверу.
Проблемы затрагивают не только основные сборки NGINX, но и связанные продукты — Ingress Controller, Gateway Fabric, App Protect WAF и Instance Manager. Разработчики уже выпустили исправленные версии и рекомендуют администраторам обновиться как можно скорее.
#nginx #уязвимости #кибербезопасность #f5
@ZerodayAlert
🔐 Одной лазейки в сети достаточно, чтобы злоумышленник добрался до систем, на которых держится бизнес. Поэтому архитектура безопасности требует системного подхода и постоянного развития навыков
На практикуме «Архитектура сетевой безопасности предприятия» за шесть недель вы пройдете полный цикл проектирования архитектуры сетевой безопасности: от моделирования угроз до внедрения продуктов и проверки их эффективности на практике
😐 А если сложно совмещать с работой?
Практикум строится по принципу две синхронные встречи в неделю плюс записи эфиров. Средняя нагрузка — всего 5–8 часов в неделю, время для изучения материалов и работы на облачном стенде выбираете сами
🔥 Что получим на выходе?
Вы поймете, как устроена инфраструктура предприятий. Сможете проектировать защищенные сети, декомпозировать инфраструктуру на сегменты и создавать надежные зоны для филиалов, офисов и облаков
🎓 Практикум готовили эксперты-практики
⭐️ Андрей Скрипкин — главный архитектор комплексных проектов Positive Technologies
⭐️ Александр Бирюков — лидер продуктовой практики NGFW в Positive Technologies
⭐️ И многие другие
📅 Старт: 17 августа 2026
⏱️ Длительность: 6 недель
💻 Формат: онлайн
Все подробности и регистрация — на сайте Positive Education
👀 Хакеры научили ViPNet обновлять компьютеры вредоносами
Если вы админите сети с ViPNet и спали спокойно последние пару месяцев — пора просыпаться и пить корвалол. Positive Technologies выкатили разбор красивейшей атаки, которая тихо жила в инфре как минимум восьми контор с 1 июня по 14 июля. И самое смешное тут то, что хакерам не пришлось изобретать сложные сплойты для пробива периметра. Они просто взяли встроенную транспортную службу MFTP, через которую гоняются файлы, и заставили её работать на себя. Как говорится, за что боролись.
Вся магия держалась на старом добром Path Traversal. Захватываешь админский узел, формируешь кривой пакет обновления и отправляешь по легальному каналу. Система обновления радостно глотает подменную DLL-ку, инжектит вредоносный код куда надо и превращает узел в прокси. Никаких следов на жестком диске, загрузчик тянет бэкдоры, а отдельный скрипт заботливо подметает логи родными утилитами. Средства защиты даже не пискнули, ведь всё происходит внутри якобы доверенной среды между своими же узлами.
«ИнфоТеКС» уже выпустила исправления. До обновления компания советует отключить службу обновления ViPNet, а на координаторах HW и xFirewall остановить MFTP. Случай хорошо показывает, почему слово «защищённый» в названии продукта не отменяет сегментацию, контроль привилегий и мониторинг доверенного трафика.
#ViPNet, #Злыехакеры, #Уязвимости @SecLabnews
Коллеги, привет!
Мы изучаем, как сегодня DevSecOps-, AppSec- и ИБ-специалисты выстраивают процессы безопасности приложений: какие инструменты используют, как принимают решения, что действительно помогает в ежедневной работе, а что, наоборот, создает лишнюю нагрузку.
Если вы работаете с AppSec-инструментами - SAST, DAST, SCA и другими - нам очень важно узнать ваш реальный опыт и как процессы безопасной разработки устроены на практике: что удобно, какие задачи возникают чаще всего, какие сценарии автоматизации востребованы и как сегодня развивается AppSec в компаниях.
🕒 Опрос займет 3-5 минут.
Все ответы будут использоваться только в обобщенном виде для исследования пользовательских сценариев и развития продуктов.
Будем благодарны, если найдете несколько минут и поделитесь своим опытом.
Пройти опрос
🌍 Стрельба из пушки по облакам, или почему Google просит убрать руки от рубильника
Попытки властей оградить нас от нелегальных фильмов и программ окончательно достали даже крупнейшие технологические компании. Google официально обратилась к Еврокомиссии с требованием прекратить бессмысленную практику блокировок на базовом уровне сетевых адресов. Корпорация прямым текстом назвала подобные методы опасными и абсолютно неэффективными.
Историю отлично иллюстрирует попытка закрыть площадку «The Pirate Bay» в Великобритании. Власти гордо отчитались о победе над ресурсом, а уже через пару часов сеть заполонили списки запасных серверов. Вместо реального решения проблемы регуляторы заставляют людей осваивать базовые навыки обхода ограничений. Причем под раздачу постоянно попадают добросовестные облачные платформы, делящие одни адреса с нарушителями.
Дальнейшее закручивание гаек вызовет лишь рост числа случайных сбоев у легального бизнеса. Забавно наблюдать за страданиями европейцев, которые только начинают понимать прелести массовых банов целых подсетей. Мы давно привыкли жить в реальности, где из-за попыток прихлопнуть один непокорный сервис падает вообще всё, кроме самого сервиса.
#блокировки, #пиратство, #google @SeclabNews
Aurorium под капотом: ядро, фингерпринты и защита от утечек
Большинство антидетектов умеют собирать формально правильный отпечаток, но забывают о правдоподобии. Устройство, география, доход и цифровая легенда пользователя могут не совпадать между собой, а современный антифрод замечает такие противоречия даже при чистом прокси и аккуратно настроенном профиле.
Aurorium связывает фингерпринт с реальным железом и параметрами персонажа. Система подбирает подходящую конфигурацию устройства, исключает повторение отпечатков внутри аккаунта, защищает от утечек через WebRTC и DNS, а подмены Canvas и WebGL выполняет на уровне браузерного ядра. Внутри также есть инструменты для команд, автоматизации и управления десятками профилей.
В статье разбираем, как работает ИИ-фингерпринт, что показали публичные чекеры и какие проблемы обнаружил независимый аудит Cure53. Заодно смотрим, как устроены командные функции, синхронизатор, мобильное приложение и другие возможности, которые обычно приходится собирать из нескольких отдельных сервисов.
Бразильский коп из Африки и юный миллионер из Таиланда, или как Интерпол накрыл главную фабрику разводов планеты
Международная полицейская облава под кодовым названием «Первый свет» показала поистине голливудский масштаб сетевой преступности. Силовики из 97 стран одновременно задержали почти шесть тысяч человек и заблокировали больше 31 тысячи банковских счетов. Сумма арестованных активов превысила 293 миллиона долларов, наглядно демонстрируя истинные масштабы финансового бедствия.
Организаторы схем проявили потрясающую изобретательность. Чего стоит только детально воссозданный фальшивый полицейский участок в крошечном африканском Эсватини. Жулики построили настоящую декорацию с бразильской формой и вывесками, чтобы кошмарить доверчивых граждан по видеосвязи. А в Таиланде двадцатилетний юноша в одиночку отмыл через виртуальные кошельки 122 миллиона долларов. Такой размах показывает, что традиционные методы защиты полностью буксуют перед лицом столь гибких психологических атак и мгновенных переводов.
Любопытно, что весь этот грандиозный праздник правосудия спонсировало Министерство общественной безопасности Китая, а наши ведомства активно помогали процессу. Для индустрии это четкий сигнал, ведь эпоха разрозненной борьбы с сетевой преступностью окончательно ушла в прошлое. Теперь против международных синдикатов будет работать жесткая глобальная координация, способная за считанные минуты блокировать подозрительные транзакции на другом конце планеты. Обычным пользователям пора перестать верить картинкам в экранах, ведь даже суровый бразильский полицейский на видео может оказаться актером из африканской глубинки.
#интерпол, #мошенничество, #крипта @SecLabnews
Снято очевидцами: в центре Москвы плавает кот на надувном фламинго, потягивая коктейль🍹
Выяснили, что так приглашают на «Лето в КиберКэмпе» — опэн-эйр про технологии и кибербезопасность.
17 июля в «Березы Парк» Строгино организаторы обещают настоящий летний фестиваль у воды:
🔹доклады и дискуссии про ИБ, ИИ и технологии;
🔹D&D и другие настолки;
🔹научпоп-лекцию Владимира Сурдина;
🔹пинг-понг, активности и мерч.
Похоже, безопасники наконец решили отдохнуть летом по-человечески!
Билеты доступны по ссылкам:
Стандартный
Студенческий
📣Едете от компании? Билеты можно оформить по счёту на юридическое лицо.
📍17 июля, Москва, Берёзы Парк Строгино
🚌 Бесплатный трансфер от м. «Щукинская»
🔩США учат спутники выбирать цели без человека
Пентагон переводит орбитальную разведку на полную автоматику. Суть предельно ясна. Программа непрерывно сканирует поверхность планеты и самостоятельно ищет цели. Машина отслеживает перемещения техники и живой силы без перерывов на обед и моральных терзаний.
Теперь математическая модель решает кому жить. Система сравнивает кадры до и после обстрела, моментально вычисляя уцелевших. Людей убрали из контура управления. Нейросеть сама формирует списки на уничтожение и передает координаты напрямую ударным комплексам.
Коммерческая космонавтика окончательно слилась с оборонкой. Важна лишь скорость передачи приговора от камеры к ракете. Алгоритмы получают реальное право на убийство. Спрятаться от глобального надзора больше не получится.
#Нейросети #Безопасность #Оружие @SecLabnews
✨ Бесплатный комплаенс и харденинг с «2К» – то, что ФСТЭК прописал
🗓 16 июля, начало в 11:00 по московскому времени
За последние месяцы регулятор выпустил рекордное число рекомендаций по безопасной настройке системного и прикладного ПО. Игнорировать риски, скрытые в конфигурациях ИТ-активов, больше нельзя. Но ручной контроль – это долго, больно и чревато ошибками.
Узнайте, как управлять безопасностью конфигураций на автопилоте с бесплатной версией системы «Контроль конфигураций» («2К») от компании «ЛИНЗА»!
⚙️ На вебинаре покажем, как «2К» автоматизирует рутину
• Контроль на лету: мгновенная проверка ключевых ИТ-активов
• Соответствие ФСТЭК: аудит конфигураций по лучшим практикам регулятора
• Харденинг без забот: экспертные отчеты и автоматизация исправлений
• Ноль затрат: реальное повышение защищенности без скрытых условий
📣 Кому полезно: CISO, CIO, ИБ-специалистам и ИТ-администраторам
✨ Участие бесплатное. Необходима регистрация
💰 Слабоумие и Bluetooth: почему копеечные аккумуляторы стали кошмаром для таксистов
Пока Илон Маск строит беспилотное будущее, настоящий киберпанк уже наступил в Нью-Дели, причем в самой нелепой форме. Местные шутники превратили обычное приложение для диагностики аккумуляторов BAT-BMS в инструмент для дистанционной остановки чужого транспорта.
Схема предельно проста. Злоумышленник замечает электрорикшу, подключается по Bluetooth к системе управления батареей без пароля и отключает разрядную цепь. Машина мгновенно теряет тягу посреди плотного потока. Пассажиры выходят, а блогеры снимают растерянного водителя и публикуют ролик в соцсетях. Некоторые пошли дальше и начали зарабатывать на собственной диверсии. После остановки рикши мошенники предлагали «починить» аккумулятор за несколько сотен рупий, а затем просто включали батарею обратно.
Полиция уже задерживает авторов подобных роликов, а Министерство электроники Индии блокирует BAT-BMS и аналогичные приложения, включая Lossigy. Радикально решить проблему такие меры вряд ли смогут. Запрет в индийском App Store не мешает скачать программу с неофициального сайта или написать собственный скрипт. Протокол обмена данными с китайскими платами Shenzhen Grenergy Technology давно изучен и доступен разработчикам.
Причина гораздо глубже. Значительная часть индийского транспорта перешла на литиевые аккумуляторы ради экономии, но владельцы и сборщики часто выбирали самые дешевые компоненты без базовой защиты. Производители сэкономили на программном обеспечении и механизмах авторизации. Расплачиваются за такую экономию водители, которым приходится вручную толкать тяжелые электрорикши по улицам и подъемам.
#уязвимость, #транспорт, #интернетвещей @SecLabnews
Кофе, SOC и логи. Эпизод №46, прямой эфир
Через несколько минут начинаем, подключайте ваши безопасные интернет-приёмники с TLS 1.3, музыка уже играет здесь 🗣 https://itradio.su/streaming
и тут 🗣 https://stream.itradio.su
О чём:
Обсуждение лучших новостей инфобеза за неделю с 6 июля по 12 июля 2026 г.
Ведущие:
Александр Антипов,
Ева Кузнецова,
Денис Батранков,
Антон Клочков.
Специальный гость:
Шарафутдинова Дарья, независимый эксперт по информационной безопасности, автор Telegram-канала «Шарф Безопасности»
Когда: 12.07.2026 11:00 – ссылка на наш календарь
Задаём свои вопросы в чате подкаста с тегом #csl46
Поддержать проект своим трудовым рублём:
https://itradio.su/donations
@ITRadiosu #csl
«Анонимность» Web3 оказалась иллюзией для миллионов пользователей
Почти 28 млн пользователей браузерных криптокошельков могут быть деанонимизированы через обычные сайты, не имеющие никакого отношения к криптовалютам, и для этого не нужно воровать ключи или подтверждать транзакции. К такому выводу пришли исследователи из Лёвенского католического университета, проверив 85 популярных кошельков в Chrome Web Store, которыми пользуются свыше 35 млн человек.
Оказалось, что по одним только сетевым запросам при проверке баланса можно связать разные адреса одного владельца. Это касается 17 кошельков и около 23 млн пользователей. Не менее серьёзна ситуация с разрешениями. Из 36 совместимых кошельков 22 не удаляли выданный сайту доступ корректно, а среди 30 проверенных Ethereum‑приложений отзывали разрешение при выходе только 11.
Скрытые iframe‑блоки позволяют обычному сайту получить адрес кошелька в 23 расширениях, которыми пользуются почти 28 млн человек, причём в 14 случаях это работает даже после блокировки расширения. Авторы называют проблему системной и предлагают набор мер. Среди них запрет объединять адреса в одном запросе, ограничение срока действия разрешений и запрет на загрузку приложений внутри чужих сайтов.
#Крипто #Приватность #Кибербезопасность
@SecLabNews
Лавочка закрылась. Забугорные симки больше не спасают от блокировок
Владельцы зарубежных симок лишились возможности свободно заходить на сайты, ограниченные в России. Раньше их трафик шёл напрямую через сеть зарубежного оператора и не подпадал под российские блокировки. Теперь к нему применяются те же правила фильтрации, что и к обычным российским симкам — независимо от страны выпуска карты. При этом сервисы, которые сами ограничили работу в России (например, Netflix и часть зарубежных нейросетей), по-прежнему доступны.
В Минцифры подтвердили: речь не о полном отключении интернета, а об ограничении доступа к ресурсам, заблокированным по российскому законодательству. Доступ ко всему остальному у абонентов с иностранными симками сохраняется. Изменения начались около полутора недель назад.
Такими симками для постоянного выхода в интернет пользовалось около 500 тыс. россиян из 2 млн карт, находящихся на руках. Сами контракты зарубежных операторов по-прежнему продаются на российских площадках по цене от 600 рублей до 5,5 тыс.
#телеком #интернет #блокировки
@SecLabNews
🆕 Еженедельный обзор киберновостей
Неделя выдалась насыщенной: в России профилактику киберпреступлений впервые закрепили законом, а из Google Play под санкциями ЕС разом пропали «ВКонтакте», «Одноклассники» и «Макс». За рубежом спецслужбы закрыли несколько мошеннических платформ, Google дожимают в ЕС по Android, а Китай запустил первый коммерческий нейроимплант — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили.
🌎В мире
Еврокомиссия выставила Google ультиматум и обязала открыть сторонним ИИ-помощникам доступ к 11 функциям Android.
Власти Великобритании предложили ввести «цифровой комендантский час» и выгонять подростков из соцсетей ровно в полночь.
Китай обошёл Neuralink: первый в мире коммерческий нейроимплант уже помогает парализованному человеку снова двигать рукой.
Глава Microsoft Сатья Наделла посоветовал не доверять важные задачи нейросетям — тем самым, на которых его компания зарабатывает миллиарды.
Глава Palantir Алекс Карп обвинил OpenAI и Anthropic в «токенмаксинге» и высасывании денег из клиентов.
🇷🇺 В России
Владимир Путин утвердил поправки, которыми профилактика киберпреступлений в России впервые получила официальный статус.
Из российского Google Play под санкциями ЕС разом пропали «ВКонтакте», «Одноклассники» и «Макс».
Минцифры готовит на «Госуслугах» кнопку, которая позволит одним нажатием отозвать свои персональные данные у любой компании.
Минцифры предложило обязать сайты хранить данные пользователей ещё три года после удаления аккаунта.
В России хотят запретить сим-карты со стартовым балансом в рамках борьбы с мошенниками.
ℹ️Новости в сфере ИБ
Минфин США и ФБР ликвидировали сервис 1VPNS, которым пользовались вымогатели, атаковавшие больницы и города.
В Великобритании разоблачили платформу Russian Coms, продававшую мошенникам подписку на поддельные звонки «из банка».
Интерпол и Европол поймали создателей масштабной BEC-аферы, похитившей у компаний миллионы евро через обычную почту.
Линус Торвальдс жёстко ответил разработчикам, которые не хотят, чтобы генеративный ИИ проверял их код: «создавайте свой форк или уходите».
Positive Technologies раскрыла атаку через ViPNet MFTP с подменой DLL и прокси внутри svchost.exe.
🚨Статьи
Разбираемся, как провайдер по умолчанию видит каждый открытый вами сайт через DNS даже при HTTPS — и как закрыть эти утечки.
Большой разбор антидетект-браузера Aurorium с ИИ-фингерпринтом и независимым аудитом Cure53: проверяем, может ли антидетект выглядеть как обычный браузер.
Объясняем, что такое анализ состава ПО (SCA) и почему без него сложно контролировать риски в цепочке поставок и сторонних зависимостях.
⭐️Мероприятия
Практикум «Архитектура сетевой безопасности предприятия» от Positive Education — старт 17 августа, онлайн, 6 недель.
Делитесь в комментариях, как прошла ваша неделя и какая новость больше всего удивила.
@SecLabNews | Мы в Мах
Сегодня в прокат выходит «Одиссея» Нолана, которая начинается с падения Трои и последующего длительного путешествия Одиссея к своим родным. А мы решили снять свой фильм. Нет, не блокбастер (хотя, почему бы и нет), а фантазию на тему «Почему пала Троя?», применив к этому легендарному событию хакерское мышление. Итак, встречайте, фильм «Испытай свою крепость» by Seclab.
#видео #история #аналогии
👾Купил Пекин базы по скидке или действительно взломал выборы в США
Трамп устроил шоу, когда рассекретил отчеты разведки и обвинил Китай в краже 220 миллионов записей американских избирателей. Цифра выглядит красиво, однако в Штатах на выборах 2020 года зарегистрировали всего 209 миллионов активных граждан. То ли китайцы клонировали избирателей, то ли в Белом доме разучились считать. Администрация настаивает, что КНР создала огромную систему анализа электората, собрав адреса, телефоны и партийную принадлежность людей из 18 штатов.
Громкий «взлом века» при близком рассмотрении напоминает закупку на сером рынке. В США реестры избирателей легально продают политическим штабам и исследователям. Номера соцстрахования туда не входят, зато имена, адреса и партийные предпочтения лежат в открытом доступе. Похоже, Пекин просто кропотливо склеил общедоступные куски, добавил старые утечки и посадил аналитиков во всем разбираться.
Главный урок скандала заключается в размытии границ между шпионажем и легальным маркетингом. Спецслужбы пользуются методами точечного воздействия, которые придумали бренды. Когда оппонент знает политические слабости, адреса и историю службы граждан, ему не нужно менять цифры в избирательных машинах. Достаточно забросить дезинформацию в нужные уши, чтобы общество раскололо себя самостоятельно.
#выборы, #кибербезопасность, #утечки @SeclabNews
Ⓜ️ VK и MAX выгнали из Google Play, в Госдуме уже готовят QR-коды
VK и мессенджер MAX исчезли из Google Play без каких-либо объяснений — ни Google, ни сама VK так и не назвали причину. Уже установленные приложения продолжают работать в штатном режиме, однако скачать их заново через официальный магазин Google больше нельзя. Следом за VK и MAX из каталога пропали Одноклассники, VK Видео, Дзен, Почта Mail, VK Музыка и ещё несколько отечественных сервисов.
В Госдуме уже предложили распространять MAX с помощью QR-кодов в банках, кафе, ресторанах, магазинах и других людных местах. Зампред Комитета по информполитике заявил, что решение Google не стало сюрпризом после аналогичного шага Apple. В качестве основной альтернативы власти предлагают RuStore. Также обсуждаются возможные суды и штрафы для платформ, удаливших российские приложения.
По оценке депутата, создание независимой российской ИТ-инфраструктуры займёт ещё много лет. Пока VK и MAX можно скачать через RuStore, Huawei AppGallery, Samsung Galaxy Store и другие альтернативные каталоги. Пользователям веб-версии VK также советуют переходить с vk.com на vk.ru.
#GooglePlay #VK #MAX
@SeclabNews
🔍 Депутат пригрозил Apple переходом на Android. В Купертино, вероятно, уже созвали экстренное совещание
Депутат Сергей Боярский публично расписался в симпатиях к Android, назвав платформу гибкой и самостоятельной, хотя и решил пока попользоваться старым iPhone, пока тот окончательно не превратился в тыкву. Тем временем Кремль требует от Apple объяснений под угрозой прекращения сотрудничества. Однако Apple в последнее время игнорирует официальные запросы , а единственным реальным рычагом давления у властей остаётся полная блокировка сервисов компании в России.
Разговоры об импортозамещении и суверенном софте теперь подкреплены жесткой реальностью, где закрытая iOS полностью проигрывает открытому Android. Российские пользователи окончательно осознали, что безопасность «яблока» — это миф, а реальная свобода выбора сейчас находится на стороне азиатских вендоров с альтернативными магазинами приложений. Скоро владение айфоном в РФ станет признаком не статуса, а редкого упрямства и готовности терпеть постоянные неудобства ради красивого логотипа на задней панели.
#санкции, #смартфоны, #блокировка @SecLabnews
Microsoft выпустила рекордный набор исправлений за всю историю Patch Tuesday
Июльский Patch Tuesday закрыл 570 уязвимостей и стал самым крупным за всю историю ежемесячных обновлений Microsoft. Из них 59 получили статус критических, а больше всего оказалось проблем, позволяющих повысить привилегии — 254 штуки.
Среди исправленных недостатков — две уязвимости нулевого дня, которые уже использовались злоумышленниками: в Active Directory Federation Services и в SharePoint Server. Проблема в AD FS позволяла авторизованному пользователю получить права администратора, а уязвимость в SharePoint давала возможность повысить привилегии через сеть без авторизации.
Третья уязвимость нулевого дня затронула BitLocker и была известна публично ещё до выхода патча. Она позволяет обойти шифрование накопителя при физическом доступе к устройству, поэтому Microsoft настоятельно рекомендует как можно скорее обновить серверы SharePoint и инфраструктуру Active Directory.
#microsoft #patchtuesday #zeroday
@ZerodayAlert
🔑Удалил аккаунт? Государство предлагает хранить его цифровой труп ещё три года
Под видом борьбы с мошенниками Минцифры обсуждает норму, которая затронет почти каждого пользователя. Сервисы хотят обязать три года сохранять сведения о создании аккаунта, входах и удалении профиля. Даже после того, как человек нажал кнопку «Удалить навсегда».
Параллельно ведомство хочет ограничить виртуальные АТС российской инфраструктурой, запретить персональные данные в СМС и наполнить государственный «Антифрод» номерами мошенников и данными дропперов. Последние можно будет добавлять в систему, даже когда сведения получили неправомерно. Борьба с преступниками постепенно превращается в спор о том, сколько данных допустимо собирать обо всех остальных.
Минцифры уже допускает, что требование о трёхлетнем хранении истории аккаунтов вырежут из финальной версии. Видимо, даже авторы заметили, что между антифродом и цифровым архивом на каждого гражданина пролегает довольно тонкая линия.
#Минцифры, #Мошенники, #Антифрод @Seclabnews
🚰Один преступный VPN чуть не выключил короткие ссылки Telegram
США внесли в санкционный список 1VPNS, его администратора Дмитрия Рашевского и продавца средств маскировки вредоносных программ Евгения Силаева. По версии Минфина, сервис годами снабжал вымогателей серверами, VPN-доступом и инфраструктурой, через которую атаковали компании, банки, больницы и городские службы. Проект работал как минимум с 2014 года и обещал не хранить данные клиентов и не помогать правоохранителям.
В санкционном документе среди адресов 1VPNS указали Telegram-канал на домене t.me. Вскоре весь домен получил статус serverHold и перестал открываться. Пользователи предположили, что система проверки могла принять адрес отдельного канала за домен преступного сервиса и заблокировать короткие ссылки Telegram целиком.
Подтверждений связи между санкциями и блокировкой пока нет. Оператор доменной зоны .me публично не объяснил причину serverHold, а этот статус устанавливает реестр зоны, а не обычный регистратор. Известно лишь, что санкции США согласовали с Великобританией, а ещё в мае 2026 года европейские правоохранители отключили сайт 1VPNS и часть связанной с ним инфраструктуры.
#кибербезопасность #вымогатели #Telegram
@SecLabnews
🎭GitHub и Apple массово сбоят в России, но общей причины пока не нашли
Утром 14 июля пользователи из десятков российских городов столкнулись с проблемами при доступе к GitHub и сервисам Apple. Detector404 зафиксировал жалобы из 33 городов. У GitHub 94% сообщений касаются недоступности сайта, у Apple пользователи жалуются на сайт, приложения и сразу несколько функций.
GitHub признал сбой только в Codespaces, при этом основной сайт, репозитории и программный интерфейс официально работают штатно. Такая версия не объясняет российские жалобы, где пользователи не могут открыть сам GitHub и отдельные репозитории.
Apple общий инцидент пока не подтверждала. Связь между проблемами двух компаний тоже не установлена. Сейчас речь идёт о масштабных региональных сбоях доступа, причины которых остаются неизвестными.
К 12:00 GitHub и сервисы Apple снова стали доступны. Роскомнадзор не ограничивает доступ к сервисам Google, GitHub и Apple, заявили в ведомстве.
#GitHub, #Apple, #Роскомнадзор @SecLabnews
🤵Миллионы роутеров и умных приборов под угрозой. В популярном загрузчике нашли ошибку тринадцатилетней давности
Исследователи Binarly опубликовали детальный разбор шести уязвимостей в загрузчике U-Boot. Проблема затрагивает базовый уровень инициализации оборудования: маршрутизаторы, IoT-устройства и серверные контроллеры BMC. Уязвимый код присутствует в кодовой базе начиная с версии 2013.07, что автоматически ставит под угрозу более 50 стабильных релизов и неизвестное количество кастомных вендорских форков.
Ключевой архитектурный просчет заключается в логике работы механизма Verified Boot. Загрузчик начинает парсинг структуры образа FIT (Flattened Image Tree) до завершения криптографической проверки цифровой подписи. Передача специально сформированного файла приводит к повреждению памяти. Это позволяет злоумышленнику выполнить произвольный код в контексте загрузчика еще до того, как система признает подпись недействительной.
Традиционные средства защиты, включая EDR-системы и антивирусы внутри ОС, не способны детектировать подобные угрозы, так как получают управление значительно позже. Персистентность таких закладок сохраняется при любых перезагрузках и переустановках операционной системы.
#безопасность, #уязвимости, #сети @SecLabNews
📞 BitTorrent разменял четверть века — пережил суды, рейды, банкротство собственного магазина и смену владельца, а простую вещь так и не сделал: не заработал на этом всём ни цента
Четверть века назад появилась технология, из-за которой боссы киностудий по всему миру глотали успокоительное. Классические сети нулевых рушились, стоило юристам ударить по центральному серверу. Новый протокол вывернул архитектуру наизнанку. Чем больше людей качали файл, тем быстрее шла загрузка у всех остальных. Разработчик просто убрал единый каталог, превратив каждого пользователя в самостоятельный узел обмена информацией.
Правообладатели бросились давить новую сеть судебными исками, но быстро осознали всю безнадежность ситуации. Когда закрывали одного координатора, моментально рождался десяток новых площадок, а распределенные таблицы позволили компьютерам находить друг друга напрямую. Самое смешное, создатели технологии тоже сломали зубы об собственное детище. Попытка открыть легальный магазин с платными фильмами закончилась провалом, поскольку люди отказались покупать искусственно ограниченный товар при наличии идеальной бесплатной альтернативы.
Сегодня система живет собственной жизнью и спокойно переживает любые блокировки. Ежемесячная аудитория протокола насчитывает свыше пятидесяти миллионов человек, не считая пользователей независимых программ. Индустрия получила великолепную оплеуху. Если честный покупатель вынужден оплачивать пять разных подписок ради любимых сериалов, технология всегда предоставит бесплатный и надежный обходной путь.
#сети, #алгоритмы, #провал @SecLabnews
🆕 Еженедельный обзор киберновостей
Интерпол за неделю задержал почти шесть тысяч человек в 97 странах, в России всерьёз обсуждают конец анонимного хостинга с паспортом через «Госуслуги», а ООН при поддержке Anthropic и Ватикана потребовала запретить полностью автономное боевое оружие. Мы — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили.
🌎В мире
Интерпол подвёл итоги операции «First Light 2026»: почти шесть тысяч задержанных в 97 странах и разгром глобальных сетей телефонного и онлайн-мошенничества.
С 7 июля каждый новый автомобиль в ЕС обязан следить за лицом водителя и подавать сигнал, если тот отвлёкся дольше 3,5 секунды.
ООН при поддержке Anthropic и Ватикана потребовала провести «красную линию» и запретить полностью автономное оружие, решающее вопросы жизни и смерти без человека.
Китай впервые успешно вернул многоразовую ракету March-10B с первой попытки, сделав серьёзную заявку на конкуренцию со SpaceX.
Брюссель предложил объединить законы стран ЕС, чтобы закрыть доступ к соцсетям для миллионов подростков без согласия родителей.
🇷🇺 В России
Чиновники обсуждают идею обязать покупателей серверов и VPS подтверждать личность через «Госуслуги» — по сути, конец анонимного хостинга.
Минцифры готовится стать главным регулятором искусственного интеллекта в стране, получив два десятка новых полномочий вплоть до доступа к госданным.
С сентября российские отели смогут заселять гостей через мессенджер Max — даже без паспорта на руках.
Правообладатели бьют тревогу из-за законопроекта, который может превратить Россию в бесплатную площадку для обучения нейросетей на чужом контенте.
Масштаб утечек персональных данных в России резко сократился — 114 млн скомпрометированных строк вместо прежних 200 млн.
ℹ️Новости в сфере ИБ
Positive Technologies показала, как устроен теневой рынок, где доступ в корпоративную сеть продаётся всего от $100, а ущерб компаниям исчисляется миллионами.
Выяснилось, что Anthropic тайно наблюдала за пользователями Claude Code из Китая — и теперь компании приходится объясняться за скрытый эксперимент.
Следователи из США и Испании выследили и арестовали в Паленсии человека, который годами помогал хакерам заметать следы за криптовалюту.
Исследователи Bishop Fox собрали три миллиона фавиконов в единый инструмент разведки, который по значку вкладки вычисляет роутер, сервер и даже ловушку.
Flipper Devices пересмотрела будущее Flipper Zero после волны критики: культовый гаджет переходит на модель разработки с опорой на сообщество.
🔒Статьи и аналитика
Пока защита в среднем 14 дней не замечает чужака в сети, атакующие перепродают доступ за 22 секунды — разбираем, как вычислять атаку по ранним отклонениям в трафике.
Как перестать управлять сетью «по памяти»: гайд по NIM, нулевому доверию и SSH-ключам вместо паролей для инфраструктуры, которая не рассыпается при первом сбое.
За 2025 год нашли почти 42 000 уязвимостей — на 45% больше рекорда, и старая схема «сканер — список — патч» уже не успевает за атакующими.
Одна строка pickle.loads() с недоверенными данными способна обернуться выполнением произвольного кода — разбираем самую коварную десериализацию в Python.
Делитесь в комментариях, как прошла ваша неделя и какая новость больше всего удивила.
@SecLabNews | Мы в Мах
👀 Чем закончилась охота на хакера, за которым следили годами? Публикуем новый захватывающий эпизод ИИ-сериала о киберпреступности.
К громкому аресту случайно привела обыкновенная просрочка — мужчина в Испании вовремя не внес платеж за автомобиль. Владельцы автосалона пожаловались на должника в полицию, и уже совсем скоро преступника выводили под конвоем и с наброшенной на голову синей курткой.
‼️ Неплательщиком оказался лидер группировки Cobalt, известный в криминальных кругах как Джузеппе. Благодаря информации от российских и белорусских силовиков полиция идентифицировала и задержала одного из самых опасных хакеров. И свой срок он получил совсем не за просрочку.
🎥 В новой серии CyberStory от F6 и @SecLabNews рассказываем историю главы хакерской преступной группы Cobalt и подробности его задержания.
Pickle: удобство, которое может стоить вам сервера
Каждый питон-разработчик хоть раз кидал объект в pickle.dumps() — две строчки, и готово. Но pickle восстанавливает не данные, а целые объекты, послушно выполняя всё, что нужно для сборки. И если данные пришли снаружи и попали в pickle.loads() без проверки, злоумышленник дописывает вызов системной функции, а сервер сам выполняет его команды. Base64 тут не спасает, ведь это не шифрование, а обёртка над тем же опасным потоком.
В новой статье разбираем, почему __reduce__ превращает удобную сериализацию в готовый RCE, по каким признакам пентестер вычисляет проблему и почему фильтрация символов почти не работает. А ещё про то, как безопасный внутренний сервис однажды тихо начинает принимать пользовательские данные, и так рождается классическая уязвимость.
Проверить всё руками можно на задаче «Элитный сомелье» из бесплатного курса «Профессия Белый Хакер». По легенде ваш знакомый Володя запустил сайтик про вино, увлёкся «нотками дуба» и забыл про безопасность. Сайт крутит pickle, а ваше дело найти, где сломана граница доверия, добиться выполнения команд и забрать флаг из корня.
@SecLabNews
🕵️♂️ Канада официально призналась во взломах. И это не баг, а госуслуга
Спецслужбы редко показывают, как выглядят кибероперации, проведённые с разрешения властей. Но канадский Центр безопасности коммуникаций (местное АНБ) в ежегодном отчёте раскрыл сразу несколько таких операций за прошлый год — против структур, связанных с продажей химических веществ для синтеза наркотиков, насильственным экстремизмом и вымогательским ПО.
Спецслужба выследила посредников, поставлявших химические вещества, и сорвала их канал поставок. Занялись и экстремистской группой, которая вербовала сторонников в том числе внутри Канады, — подорвали её репутацию и лишили притока новых участников. Ещё один удар пришёлся на вымогательский сервис, который атаковал медицину, транспорт и бизнес Канады: спецслужба вывела его инфраструктуру из строя и удалила часть данных с серверов преступников. Заодно накрыли ещё десяток крупных вымогательских групп и отбили фишинговую кампанию против федеральных систем.
Как именно всё это ломали и кого конкретно — не говорят: детали и техники такие ведомства светить не любят, иначе следующая атака уже не сработает.
#кибербезопасность #Канада #хакеры
@SecLabNews