32260
Xakep.RU: взлом, защита, кодинг. @Nifeya — реклама и сотрудничество.
Google усиливает защиту Chrome для Android
В Google рассказали, как будет работать Advanced Protection в Chrome для Android, и подчеркнули, что безопасность браузера значительно повысилась.
https://xakep.ru/2025/07/10/advanced-protection-android/
Безопасный SSH. Как передавать пароли, чтобы их никто не украл #статьи #подписчикам
SSH обеспечивает шифрование и аутентификацию, но даже с ним возможны уязвимости — например, передача пароля в открытом виде через параметры команд. В статье разберем, почему это опасно, посмотрим примеры утечек, предложим скрипты и методы для обнаружения и предотвращения этой угрозы.
https://xakep.ru/2025/07/10/ssh-safety/
В июле Microsoft исправила 137 уязвимостей
В этом месяце разработчики Microsoft исправили 137 уязвимостей в рамках «вторника обновлений». Ни одна из этих ошибок не использовалась в атаках, однако данные об одной 0-day в Microsoft SQL Server были раскрыты публично до выхода патча.
https://xakep.ru/2025/07/09/july-2025-patches/
Страшилки и ужасы ИИ. Как перестать бояться и полюбить восстание машин
Ты наверняка уже видел не одну и не две алармистских новости, связанных с искусственным интеллектом. ИИ отказался отключаться; ИИ шантажировал сотрудников; ИИ сводит людей с ума… Что из этого действительно вызывает тревогу, а что — обычные страшилки от людей, далеких от области высоких технологий? И что правильнее — зарегулировать развитие ИИ или присоединиться к восстанию машин?
https://xakep.ru/2025/07/09/ai-panic/
Фишеры угнали у Павла Жовнера аккаунт в X
В минувшие выходные один из авторов Flipper Zero, Павел Жовнер, рассказал в своем Telegram-канале, что он стал жертвой фишинговой атаки. В результате злоумышленники захватили контроль над его учетной записью в X и разместили там криптовалютный скам.
https://xakep.ru/2025/07/09/zhovner-phishing/
Котик уже заполнил опрос 🐱
Остались только вы 🫠
Расскажите, как у вас обстоят дела с данными и инцидентами, ИБ-процессами и взаимодействием команд.
Где горит? Где всё гладко? Что автоматизировали, а что работает на честном слове?
✅ Анонимно, быстро, по-человечески.
👉 Оставить контакт можно по желанию — никто не будет звонить, только если прям захотите 🐱
Реклама. АО «Позитив Текнолоджиз». ИНН 7718668887.
Авиакомпания Qantas пострадала от взлома. Украдены данные 6 млн человек
Австралийская авиакомпания Qantas сообщила, что стала жертвой кибератаки, и злоумышленники потребовали у нее выкуп. В результате атаки были похищены данные 6 млн клиентов Qantas.
https://xakep.ru/2025/07/08/qantas-hacked/
Сдаем HTB CAPE. Как я получил сертификацию от создателей Hack The Box
Недавно я завершил курс и успешно сдал экзамен HTB Certified Active Directory Pentesting Expert (CAPE). В этой статье я поделюсь своими впечатлениями и расскажу, что тебя ждет на пути к этой сертификации, если ты тоже планируешь ее заполучить.
https://xakep.ru/2025/07/08/htb-cape/
Утекший red team инструмент Shellter используют для внедрения инфостилеров
Компания Shellter Project, производитель коммерческого загрузчика для обхода антивирусов и EDR-систем, предупредила, что хакеры используют ее продукт Shellter Elite в атаках. Дело в том, что один из клиентов слил копию софта в сеть.
https://xakep.ru/2025/07/08/shellter-elite-leak/
352 приложения для Android были заражены рекламной малварью IconAds
Специалисты Human Security обнаружили кампанию, связанную с рекламным мошенничеством, которая получила название IconAds. Исследователи выявили в магазине Google Play 352 вредоносных приложений.
https://xakep.ru/2025/07/07/iconads/
Каждый год все больше данных утекает в сеть. По оценкам экспертов, чаще всего сливают персональную информацию (76%), реквизиты платежных карт (12%) и учетки (11%). Поэтому бизнесу нужны крепкие спецы по информационной безопасности.
Станьте тем, за кем охотятся компании, после онлайн-магистратуры «Информационная безопасность» от Skillfactory и МИФИ. Это та же магистратура, что и в старом добром вузе, только онлайн.
Программа рассчитана на два года, после выдают диплом государственного образца НИЯУ МИФИ — одного из лучших университетов России. Вы получите фундаментальные знания с фокусом на практику от преподавателей вуза и экспертов из VK и «Сбера».
Отточите навыки в лабораториях и исследовательских центрах МИФИ. Поучаствуете в CTF-соревнованиях, хакатонах и стажировках. При этом сохраняются все студенченские льготы, включая отсрочку от армии, а с господдержкой обучение может стоить от 198 р/месяц.
Чтобы поступить, нужен диплом о высшем образовании или студенческий билет последних курсов вуза. Подавайте заявку до 25 июля и получите бесплатно доступ к курсу на выбор стоимостью до 300 000 рублей, а также к курсу по математике для подготовки к вступительным испытаниям.
Реклама. ООО «Скилфэктори». ИНН 9702009530, erid: 2VtzqxP2hro
Хакеры публикуют украденные у Telefónica данные
Хакер угрожает слить 106 ГБ данных, предположительно похищенных у испанской телекоммуникационной компании Telefónica в результате взлома. В компании отрицают факт кибератаки и утечки данных.
https://xakep.ru/2025/07/07/telefonica-leak/
Критическая уязвимость в sudo позволяет получить root-права в Linux
В утилите sudo были обнаружены две уязвимости, которые позволяют локальным злоумышленникам повысить свои привилегии до уровня root на уязвимых машинах.
https://xakep.ru/2025/07/07/sudo-root/
Шпионское приложение Catwatchful раскрыло данные 62 000 пользователей
Исследователь обнаружил уязвимость в шпионском приложении Catwatchful для Android, которое рекламируется как решение для родительского контроля. Проблема раскрывала данные более 62 000 пользователей, включая адреса электронной почты и пароли открытым тестом.
https://xakep.ru/2025/07/04/catwatchful-leak/
Искусственный интеллект всё активнее вмешивается в кибербезопасность. Пока одни используют его, чтобы взламывать голосовых ассистентов и перехватывать управление устройствами, другие — чтобы находить и закрывать уязвимости быстрее, чем это сделают злоумышленники.
В новом выпуске подкаста «Безопасно говоря» обсуждают, как ИИ меняет правила игры:
— может ли он сам стать уязвимостью;
— как на самом деле ломают умные устройства и авто;
— и почему граница между пользой и риском становится всё тоньше.
А еще рассказывают можно ли уговорить Алису на какие-нибудь жуткие вещи, пока хозяева отвернулись 👀
Практические кейсы, реальные истории и неожиданные выводы от гостей: Сергей Колесников (CICADA8), Анатолий Иванов (Standoff Bug Bounty), Роман Астраханцев (Яндекс). Ведущий — Рами Мулейс (Yandex Cloud).
Смотрите выпуск — чтобы быть на шаг впереди.
Реклама. ООО Яндекс.Облако. ИНН 7704458262
Инсайдер получил 920 долларов за участие в ограблении на 140 млн долларов
Хакеры похитили около 140 млн долларов из шести банков Бразилии, воспользовавшись учетными данными сотрудника ИТ-компании C&M, разрабатывающей решения, которые используются для связи финансовых учреждений с Центральным банком страны.
https://xakep.ru/2025/07/10/c-m-insider/
У оператора биткоин-банкоматов Bitcoin Depot похитили данные 27 000 пользователей
Компания Bitcoin Depot, крупнейший оператор биткоин-банкоматов в Северной Америке, сообщает о компрометации данных клиентов. В результате утечки, которая произошла еще в прошлом году, были раскрыты данные 27 000 человек.
https://xakep.ru/2025/07/10/bitcoin-depot/
Инфостилер Atomic для macOS теперь комплектуется бэкдором
Исследователи обнаружили новую версию стилера Atomic для macOS (он же AMOS). Теперь малварь поставляется с бэкдором, который позволяет получать доступ к взломанным системам.
https://xakep.ru/2025/07/09/atomic-backdoor/
Опубликованы эксплоиты и технические детали уязвимости Citrix Bleed 2
В открытом доступе появились PoC-эксплоиты для критической уязвимости Citrix Bleed 2 (CVE-2025-5777). Исследователи предупреждают, что уязвимость можно легко эксплуатировать и похищать токены пользовательских сессий.
https://xakep.ru/2025/07/09/citrix-bleed-2-poc/
В Chrome Web Store нашли вредоносные расширения, установленные 1,7 млн раз
Специалисты Koi Security обнаружили 11 вредоносных расширений в официальном магазине Chrome Web Store. Расширения могли следить за действиями пользователей, собирать данные об активности браузера и перенаправлять на потенциально опасные сайты.
https://xakep.ru/2025/07/09/reddirection/
Джек Дорси анонсировал мессенджер Bitchat, работающий посредством Bluetooth Low Energy
Генеральный директор Block и соучредитель Twitter Джек Дорси (Jack Dorsey) анонсировал децентрализованный P2P-мессенджер Bitchat. Приложение работает через BLE (Bluetooth Low Energy) и позволяет пользователям отправлять сообщения без доступа к интернету или сотовой связи.
https://xakep.ru/2025/07/08/bitchat/
❓ Вы когда-нибудь задумывались, как ваше приложение проходит путь от кода до полноценного рабочего окружения?
👉 Приглашаем вас на открытый вебинар «От кода до Kubernetes за полтора часа» 14 июля в 20:00 МСК, где вы увидите, как развернуть ASP.NET-приложение в Kubernetes.
Мы разберём:
- Создание Docker-образа приложения.
- Подготовку манифестов и деплой в Kubernetes.
- Настройку сервисов и переменных окружения.
На вебинаре мы покажем весь цикл: от подготовки образа до деплоя. Вы получите реальный опыт работы с kubectl и манифестами, а также советы по оптимизации и разбор типичных ошибок.
Вебинар проходит в преддверии старта курса «DevOps практики и инструменты».
👉 Для участия зарегистрируйтесь: https://vk.cc/cNvT5p
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru
Опенсорсный инструмент Anubis блокирует ИИ-скраперов
В январе 2025 года Ксе Иасо (Xe Iaso) создала опенсорсный инструмент Anubis, предназначенный для борьбы с ИИ-скраперами. В настоящее время его уже скачали почти 200 000 раз, и Anubis применяется в таких организациях, как ЮНЕСКО, а также его используют разработчики GNOME и FFmpeg.
https://xakep.ru/2025/07/08/anubis-uncaptcha/
Шпионское ПО Batavia охотится за документами российских предприятий
Эксперты «Лаборатории Касперского» обнаружили, что с июля 2024 года неустановленная хак-группа рассылает российским предприятиям вредоносные письма с ранее неизвестной шпионской программой — трояном Batavia.
https://xakep.ru/2025/07/08/batavia/
ChatGPT указывает неверные URL-адреса для сайтов крупных компаний
Аналитики из компании Netcraft обнаружили, что чат-боты с ИИ зачастую выдают неверную информацию, когда их просят назвать адреса сайтов крупных компаний. Исследователи предупреждают, что это создает новые возможности для злоумышленников.
https://xakep.ru/2025/07/07/llm-urls/
HTB Cat. Получаем приватные данные через XSS в Gitea
Сегодня я покажу процесс эксплуатации двух XSS-уязвимостей: сначала в веб‑приложении, что позволит нам получить сессию администратора, а затем — в репозитории Gitea, чтобы повысить привилегии в Linux. Также нам понадобится использовать SQL-инъекцию, чтобы получить учетные данные приложения.
https://xakep.ru/2025/07/07/htb-cat/
Домены .es стали в 19 раз популярнее среди фишеров
По данным специалистов Cofense, количество вредоносных кампаний, запускаемых с доменов .es, увеличилось в 19 раз. Такие домены становятся третьими по популярности среди злоумышленников, уступая лишь .com и .ru.
https://xakep.ru/2025/07/07/es-phishing/
Печатная версия «Хакеров.RU» в продаже
Недавно мы завершили публикацию романа Валентина Холмогорова «Хакеры.RU» — истории о свободе и времени, когда интернет казался бесконечным миром возможностей.
Напоминаем, что для заказа доступна печатная версия книги с черно-белыми иллюстрациями — для тех, кто ценит бумагу.
https://xakep.ru/2025/07/04/hackersru/
Реклама. ИП Яковлева А.В. ИНН 503806735948.
Microsoft просит игнорировать ошибки Windows Firewall
Компания Microsoft попросила пользователей не обращать внимания на ошибки брандмауэра Windows, которые появляются после установки предварительного обновления от июня 2025 года.
https://xakep.ru/2025/07/04/windows-firewall-errors/
Обратный AutoIt. Декомпилируем и деобфусцируем скрипт, снимаем лимиты без пересборки проекта
Давай разберемся, как вытащить исходники из «скомпилированного» скрипта AutoIt, обойти обфускацию и снять триальные ограничения без пересборки проекта. Я покажу, как работает декомпилятор myAutToExe, где скрыты строки и как подловить ключевую переменную, чтобы обмануть проверку регистрации, — по шагам, от реверса до финального патча.
https://xakep.ru/2025/07/04/autoit-reverse/