infosec
56.6K subscribers
1.85K photos
107 videos
84 files
1.89K links
Copyright: @SEAdm1n

Вакансии: @infosec_work

Информационная безопасность. Литература для ИТ специалистов. Пентест, DevOps, Администрирование.

Приобрести рекламное размещение: https://telega.in/c/it_secur

РКН: https://vk.cc/cN3VCI
Download Telegram
Опубликован интересный отчет от экспертов компании Usenix, которые смогли обнаружить 128 уязвимостей в Bluetooth-системах автомобилей с помощью открытого фреймворка BlueToolkit, представленного в 2025 году.

BlueToolkit предназначен для автоматизированного аудита безопасности Bluetooth Classic. Фреймворк работает через беспроводное соединение Over The Air, что позволяет проводить проверку IVI-систем (In-Vehicle Infotainment) без необходимости доступа к внутренним данным устройства. Ну и еще поддерживает широкий спектр оборудования, включая ESP32 и Nexus 5...

Исследователи протестировали 22 автомобиля от 14 ведущих производителей, выпущенные в период с 2015 по 2023 год, и нашли 128 уязвимостей.

В отчете описаны четыре типа атак, самой серьёзной считается User Account Takeover. С её помощью атакующие могут осуществлять MiTM атаки для перехвата SMS сообщений, обходить 2FA и захватывать аккаунты пользователей.

Среди протестированных марок меньше всего уязвимостей нашлось у Skoda (модель Enyaq 2023 года показала нулевой результат по 30 тестам). Tesla Model Y 2023 года выпуска продемонстрировала две уязвимости, в Audi A5 и e-tron 2020 года нашлось по 4 и 6 ошибок соответственно.

Больше всего уязвимостей нашлось у Renault Megane 2021 года (13), BMW X2 (10) и Toyota Corolla (9). Полная версия исследования доступна по ссылке ниже:

➡️ https://www.usenix.org/Bluetooth_Security_Testing

#Auto #Bluetooth #Отчет
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥28👍13😎7😱65❤‍🔥2
👩‍💻 Ansible: история создания одного из самых популярных инструментов автоматизации.

• В 1966 году американская писательница‑фантаст Урсула Ле Гуин в одной из своих книг (Планета Роканнона) написала об устройстве под названием Ansible - в книге этот прибор позволял мгновенно передавать информацию на астрономические расстояния. Спустя десятилетия, слово Ansible вырвалось из области научной фантастики и стало названием технологии, которая изменила подход к автоматизации ИТ‑инфраструктур.

• Пока мир фантастики жил сам по себе, инженеры ИТ‑инфраструктур искали способы автоматизировать рутинные задачи. Первые шаги в сторону автоматизации начались ещё в 90-х. В 1993 году появился CFEngine - первая масштабируемая система управления конфигурацией. За ней, спустя долгое время, последовали Puppet (2005), Chef (2009) и SaltStack (2011). Системы предлагали свои архитектурные решения, но все имели одну общую черту - работали по pull‑модели, при которой на каждом управляемом сервере (узле) необходимо устанавливать агент, чтобы тот периодически забирал конфигурации с центрального узла.

• Именно это и не устроило Михаэля Дехана. В 2012 году он создает Ansible - инструмент, работающий по push‑модели. Михаэль добивался максимальной простоты и гибкости - работа без агентов по стандартному SSH и конфигурация, описанная в виде YAML‑файлов. И ему это удалось, достаточно быстро инструмент оказался очень популярным. Уже через год Михаэль основал Ansible Inc., а через два выпустил Ansible Tower - серверное приложение с расширенным функционалом и веб‑интерфейсом, упрощающее использование Ansible в больших командах и корпоративной среде. Сотни компаний по всему миру, включая компании из Fortune 50, стали использовать Ansible.

• Успех не остался незамеченным, и в 2015 году Red Hat приобрела Ansible Inc, сделав его частью своей экосистемы.

• В 2017 году Red Hat сделала следующий шаг, открыв исходный код Ansible Tower под проектом AWX, который стал upstream‑проектом, а Ansible Tower постепенно влился в новую платформу — Red Hat Ansible Automation Platform (2019 год). Такая вот история...

#Разное #Ansible
Please open Telegram to view this post
VIEW IN TELEGRAM
2👍48🔥1812👏32🤔1🤬1🍓1
🦈 Wireshark 4.6.0.

Об этой программе знает каждый, кто хотя бы раз сталкивался с задачей анализа трафика. Популярность Wireshark вполне оправдана: во-первых, данный продукт является бесплатным, во-вторых, его функционала хватает для решения самых сложных вопросов, касающихся перехвата и анализа передаваемых по сети данных.

Вчера был опубликован новый релиз сетевого анализатора Wireshark 4.6.0. Разработчики добавили много разных фишек, исправили некоторые баги и реализовали поддержку новых протоколов.

Сборки Wireshark 4.6.0 доступны для Windows, macOS и Linux! А полный changelog можете найти по этой ссылке.

В качестве дополнения напоминаю, что в канале есть много полезного материала для изучения данного инструмента:

Полный курс по WireShark [1], [2], [3];
Лабораторные работы для получения практического опыта работы с Wireshark.
Бесплатный курс: Компьютерные сети 2025;
Руководство: Анализ трафика сети посредством Wireshark;
Полный список фильтров Wireshark.
Статья: Wireshark. Лайфхаки на каждый день;
Статья: Практические приёмы работы в Wireshark;
Mindmap: Wireshark.

#Wireshark
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍59🔥191121🥰11
This media is not supported in your browser
VIEW IN TELEGRAM
Когда решился сделать правила на фаерволе более жесткими.

#Юмор
😁166🤣79🎉1496433🤡1🙈11
А вы знали, что компания Nokia была основана еще в 1865 году и в течение почти пятидесяти лет занималась различными сферами деятельности, начиная от производства бумаги и резины и заканчивая строительством электростанций? Все началось с Фредерика Идестама, который основал в городке Нокиа бумажную фабрику. Только шесть лет спустя, в 1871 году фабрика получила название Nokia Ab (произошло от названия реки Nokianvirta, протекающей поблизости), и узнаваемый «рыбный» логотип, размещаемый на всей её продукции (на фото выше).

Только в 1963 году под руководством главы отдела электроники Nokia Курта Викстедта инженеры компании создали первый радиотелефон, а двумя годами позднее — радиомодем, служащий для передачи данных. Именно этот момент и определил тот факт, что основным направлением развития компании стал телекоммуникационный бизнес. В середине 1980-х годов Nokia совместно с другими европейскими компаниями начала работу над разработкой единого стандарта цифровой мобильной связи.

Благодаря усилиям финских компаний Tampere Telephone Company и Helsinki Telephone был разработан стандарт GSM. Примерно в это же время, в 1987 году, Nokia выпустила «компактный» мобильный телефон Mobira Cityman, который стоил примерно как крыло от самолета (около 5000 евро в текущем эквиваленте) и весил 760 граммов.

В 1991 году премьер-министр Финляндии впервые в истории позвонил через сеть GSM — это было сделано по телефону Nokia.

В 1992 году Nokia обозначила следующую веху своей истории, выпустив первый цифровой мобильный телефон Nokia 1011, батарея которого выдерживала 90 минут разговора, а в телефонной книжке можно было хранить 90 номеров. Телефоны Nokia были самыми популярными в 1990-х и 2000-х и славились своей прочностью.

Культовой моделью стал телефон Nokia 3310. Он не просто принимал звонки и сообщения, в аппарат были встроены будильник, таймер, калькулятор, игры. При этом он держал заряд батареи до 260 часов. Телефон стал хитом продаж и разошелся тиражом 126 млн. После этого было выпущено еще множество популярных моделей разных конфигураций, но именно 3310 будет у многих ассоциироваться с Nokia. А абсолютным лидером стала Nokia 1100, разработанная в 2002 году, — было продано 250 млн единиц.

Nokia была лидером на рынке по производству мобильных телефонов с начала 2000-х. Но в конце 2000-х на смену кнопочным телефонам пришли сенсорные. Apple выпустили первую модель iPhone в 2007 году. С этого момента Nokia, специализировавшаяся на кнопочных моделях, начала терять лидерство на рынке. В 2007 году доля мобильных телефонов Nokia на рынке составляла 51%, и это число стало постепенно уменьшаться. Их сенсорные аппараты были не такими популярными, как телефоны конкурентов.

В 2008 году на рынке появилась новинка — операционная система Android от Google, которая стремительно начала набирать популярность, но Nokia продолжила выпускать телефоны на собственной платформе Symbian. В 2011 году Nokia начала сотрудничать с Microsoft, чтобы сделать в своих аппаратах операционной системой последнюю Windows Phone.

Но доля рынка уже сильно падала: для покупателей оказались более привлекательными телефоны от Apple и на платформе Android.

В конце 2011 года на рынке появились смартфоны Lumia 800 и Lumia 710, но их продажи шли очень плохо и уже в 2012 году Nokia уступила первое место на рынке конкуренту Samsung.

В 2013 году Microsoft выкупила бизнес у компании Nokia по очень низкой цене: производство вместе с патентами было продано всего за $7 млрд. Бренд Nokia включили в состав Microsoft и переименовали в Microsoft Mobile. Но в мае 2016 года в Microsoft продали сегмент бизнеса по производству кнопочных телефонов и бренда Nokia только что созданной финской компании HMD Global, которая сейчас продает телефоны под маркой Nokia.

Сама компания Nokia не имеет отношения к мобильным телефонам, она выпускает телекоммуникационное оборудование и программное обеспечение для услуг связи...

#Разное
7👍5111😢10🔥9421
infosec
• Помните публикацию, где я рассказывал про скрытые промты для ИИ в научных публикациях, чтобы нейросеть хвалила такой материал? Так вот, в твиттере пишут, что таким образом можно получить доступ ко всей информации из почтового ящика Gmail, достаточно только…
Использование скрытых промтов для ИИ дошли до GitHub Copilot. Исследователи из Legit Security выкатили статью, в которой разобрали атаку на GitHub Copilot, позволяющую извлечь содержимое из приватных репозиториев при использовании чат-ботов для анализа присылаемых pull-запросов.

Атака основывается на возможности GitHub Copilot загружать внешние изображения в зависимости от обрабатываемого содержимого и возможности подставлять в pull-запросы скрытые комментарии, которые невидно в интерфейсе GitHub, но не для чат-ботов.

Для реализации данной схемы атакующий на своём сервере создаёт набор однопиксельных прозрачных изображений, каждое из которых соответствуют специальному символу, цифре или букве алфавита. Далее жертве отправляется pull-запрос, в котором помимо предлагаемого изменения указывается скрытый комментарий с инструкцией для чат-бота.

В комментарии боту предлагается найти во всех репозиториях пользователя, включая приватные, строки с кодом, содержащим значение "AWS_KEY". Найденные строки предписывается вывести не обычным текстом, а используя визуализацию на основе изображений - каждый символ из текста следует отобразить в виде картинки. В примечании указано, что при выполнении задания не нужно показывать рассуждения и информацию кроме картинок.

При использовании мэйнтейнером GitHub Copilot для разбора предложенного pull-запроса, чат-бот выполнит скрытое задание и покажет результат в форме картинок. Так как картинки прозрачные мэйнтейнер не заметит аномалий, а атакующий сможет воссоздать содержимое найденных строк с ключами AWS путём анализа последовательности загрузки картинок в логе web-сервера.

Для обхода защиты CSP (Content Security Policy), допускающей загрузку в GitHub Copilot картинок только с серверов GitHub, в качестве прокси задействован сервис GitHub Camo. Данный прокси используется в GitHub как промежуточное звено для загрузки внешних изображений, например, встраиваемых на страницу README. Отмечено, что GitHub уже блокировала описанный метод атаки через запрет отрисовки изображений в чате с Copilot...

Исследование и техническая реализация.
Источник.

#Новости #Исследование
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1610🤔9🔥54🖕1🆒11
infosec
• Вы наверняка слышали про компанию Operation Zero, которая покупает уязвимости в различном ПО и устройствах. У них на сайте есть блог, где опубликована очень интересная статья с описанием архитектуры современных браузеров и их эксплуатации на примере Chrome.…
Operation Zero опубликовали новую статью по эксплуатации Chrome. В ней описана архитектура браузера, его основные компоненты (движок рендеринга Blink, движок JavaScript V8, сетевой стек), а также упражнение, в котором читатели добавят свою функцию в API Blink.

Благодаря этому материалу вы сможете изучить устройство подсистемы браузера, как обеспечивается их безопасность и как она нарушается с помощью уязвимостей, примитивов, обходов защит, эксплоитов и их цепочек. Материал является практическим, поэтому с самого начала авторы кратко анализируют несколько известных эксплоитов, компилируют их благодаря публичному репозиторию и пробивают Chrome 130-й версии для Windows.

https://opzero.ru/press/101-chrome-exploitation-part-1-architecture

#security #devsecops
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2554🖕1
Расскажу вам историю, которая произошла в 2008 году. Тогда интернет заполнила информация о кибератаке на Министерство обороны США.

Началось все с обычной флешки, которая была заражена червем agent.btz и была вставлена в ноутбук на военной базе США в Среднем Востоке. Этот ноутбук был подключен к центральному командованию вооружённых сил США, из-за чего червь смог распространится по всем системам, включая секретные. Он делал это путем создания файла AUTORUN.INF в руте каждого из дисков. Также вирус мог сканировать компьютер на наличие бэкдоров, которые использовал для дальнейшего распространения.

Еще в зараженной системе червь создавал файл с именем thumb.dd на всех подключаемых флешках. И в виде CAB-файла он сохранял там следующие файлы: winview.ocx, wmcache.nld и mswmpdat.tlb. В них содержалась информация о зараженной системе и логи активности червя. Если разобраться, то thumb.dd представляла собой контейнер с данными, которые сохранялись на флешку при отсутствии возможности прямой передачи через интернет на командный сервер.

Кроме того Agent.btz постоянно мутировал. Таким образом он менял «подпись», избегая обнаружения. И пока удалялись старые версии, в сети появлялись новые, более сложные.

В общем и целом, Пентагон потратил около 14 месяцев на то, чтобы очистить свои системы от червя. Они даже запретили использовать флешки или другие переносные носители информации. А еще им пришлось переформатировать сотни машин и конфисковать тысячи зараженных флешек. Такие вот дела...

➡️ https://securelist.com/agent-btz

#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥602111👍9😱322🤔1👀1😨1
• Интересная схема: Microsoft обнаружили группу хакеров, которые взламывали учетные записи сотрудников образовательных организаций (университетов, ВУЗов и т.д.) и вносили изменения в HR-систему зарплат, а когда наступал день Х, то деньги шли на счет хакеров, а не на счет сотрудников.

Как обычно, атаки начинались с фишинга: хакеры направляли своим жертвам письма, которые вели на Google Docs, а потом перенаправляли жертву на фишинговый ресурс с формой авторизации. Таким образом хакеры перехватывали логины, пароли и 2FA-коды. После успешного входа хакеры получали доступ к корп. почте и учеткам в Workday (hr-система), где меняли банковские реквизиты для перечисления зарплаты...

В общем и целом, с марта 2025 года, хакеры взломали более 11 учетных записей и разослали с них около 6 тыс. писем в другие университеты. Что касается Microsoft, то они уже уведомили организации и выпустили соответствующие рекомендации.

➡️ https://www.microsoft.com/en-us/security/blog/2025/10/09

#Новости
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
37🔥1774😢11
• Пост выходного дня: ничего необычного, просто швейцарская стиральная машина, которая управляется перфокартами. Всякие ручки, сенсоры и мобильные приложения - это для маглов.

Блок управления на такой машинке имеет специальный рычаг, который размыкает и замыкает контакты переключателей соответственно отверстиям на перфокарте. Т.е. отверстия и прорези управляют переключателями, которые активируют различные функции и режимы стиральной машины. К слову, такие стиралки придумали в 1949 году (76 лет назад).

#Разное #Оффтоп
13👍94🔥45195❤‍🔥22🤮1
Доброе утро...🫠

#Понедельник
Please open Telegram to view this post
VIEW IN TELEGRAM
😁136167🤡75👏2🥴21❤‍🔥1🌚11
💣 Zip-бомбы против агрессивных ИИ-краулеров.

Основной объём трафика в вебе возникает из-за ботов. По большей части, эти боты используются для обнаружения нового контента. Это читалки RSS-фидов, поисковые движки, выполняющие краулинг вашего контента, а сегодня и боты ИИ, собирающие контент, чтобы скармливать его LLM. По информации аналитического отчёта Fastly, краулеры, скраперы и фетчеры иногда создают нагрузку на сайт до 39 тыс. запросов в минуту.

Традиционно против ботов используется комбинация нескольких методов, включая ограничение на количество запросов и капчи — задачи, сложные для компьютеров, но тривиальные для людей, фильтрация по user-agent и т.д. но есть и более креативные решения...

Автор этого материала описывает актуальный метод защиты от агрессивных ИИ-краулеров с помощью zip-бомб, которые истощают оперативную память в дата-центре краулера. Это может быть стандартный архив размером 10 МБ, который распаковывается в 10 ГБ... Пример такой реализации можно найти по ссылке ниже:

Читать статью [5 min].

#ИБ #Web
Please open Telegram to view this post
VIEW IN TELEGRAM
65🔥29👍185😁41
• Ровно 42 года назад, 13 октября 1983 года, в Чикаго произошло довольно любопытное событие: исполнительный директор компании Ameritech Mobile Communications Боб Барнетт, сидя в своем «Крайслере» возле стадиона Солджер Филд, набрал номер внука изобретателя телефонной связи Александра Белла, который находился в тот момент в Германии. Именно с того момента была запущена первая в мире сеть сотовой связи и появилась на свет технология, без которой сегодня мы буквально не можем обойтись.

• Тот исторический звонок был совершен с мобильного телефона Motorola DynaTAC 8000X (на фото), который по нынешним временам трудно назвать по-настоящему «мобильным». Трубка весила 0,8 килограмма, а ее внушительные габариты больше напоминали кирпич. Полная зарядка устройства занимала 10 часов, маленький светодиодный дисплей показывал только набираемый номер, а память аппарата позволяла сохранить до 30 телефонных номеров. В режиме ожидания такой телефон мог проработать до 8 часов, а разговаривать по нему можно было не более получаса.

• Разработка Motorola DynaTAC 8000X началась еще задолго до его коммерческой эксплуатации — в 1973 году, а 3 апреля того же года этот телефон совершил свой первый экспериментальный звонок. Сделал его инженер, физик и фактический изобретатель аппарата — Мартин Купер, позвонивший начальнику исследовательского отдела Bell Laboratories Джоэлю Энгелю. Это был первый в истории телефонный звонок по сотовому телефону, причем прототип мобильного аппарата тогда даже не имел дисплея — только клавиши для набора номера и обрезиненную антенну. На отладку технологии, доработку оборудования и устранение возникавших в процессе проблем ушли долгие 10 лет, прежде чем в 1983 году в Чикаго была запущена первая коммерческая сеть сотовой связи.

• В 1984 году компания Motorola запустила телефон в массовое производство. Стоил аппарат $3 995 (что в наше время эквивалентно $12 220), однако столь высокая цена не помешала людям выстраиваться в километровые очереди, чтобы заполучить этот уникальный продукт технического прогресса. Абонентскую плату тоже нельзя было назвать низкой – месяц пользования сетью стоил 50 долларов, а минута разговоров в «часы пик» оценивалась в 40 центов. Motorola DynaTAC 8000X стал поистине легендарным аппаратом, и «засветился» в таких известных кинокартинах, как «Уолл-Стрит» и «Американский психопат» (на фото).

• А первая сотовая сеть использовала стандарт AMPS (Advanced Mobile Phone Service) и относилась к сетям первого поколения (1G). Она работала по принципу обычной радиосвязи – частотного разделения каналов, где для каждого соединения выделялась своя частота в 30 кГц. Каждая вышка сотовой связи тогда могла обслуживать около 300 абонентов. Качество связи было далеко не идеальным – диапазон 800 МГц был восприимчив к фоновому шуму и помехам от находящихся поблизости электронных устройств.

#Разное
👍36🔥2464💩2
infosec
• Ровно 42 года назад, 13 октября 1983 года, в Чикаго произошло довольно любопытное событие: исполнительный директор компании Ameritech Mobile Communications Боб Барнетт, сидя в своем «Крайслере» возле стадиона Солджер Филд, набрал номер внука изобретателя…
• Кстати, Motorola DynaTAC 8000X был далеко не первым мобильным телефоном в истории, хотя многие почему-то считают его таковым. Самый первый переносной телефонный аппарат был изобретен еще в 1947 году исследовательской фирмой Bell Laboratories. А знаете сколько он весил? Целых 40 кг, и «мобильным» назывался лишь потому, что его можно было перевозить в автомобиле, для установки в котором он, собственно, и предназначался. Аппарат подключался к телефонной сети общего пользования через радиоканал с помощью установленного в лаборатории мощного приемника, соединенного с АТС через коммутатор, а в автомобиле был смонтирован ламповый передатчик.

• В 1950-х мобильные телефоны начали понемногу «худеть» и уже в 1970-х стали весить около 14 кг, но питались они по-прежнему от автомобильных аккумуляторов. Новые по-настоящему портативные устройства придумал Мартин Купер из компании Motorola. В 1967 его отдел уже разработал первые портативные рации для чикагской полиции. И вот, спустя почти 20 лет, Мартин понял, что в силах построить относительно компактный сотовый телефон.

• Для функционирования сотовой связи требовалось получить свободные частоты, и переговоры с Федеральной Комиссией по коммуникациям на этот счет шли довольно долго. Наконец стороны достигли компромисса – Motorola должна была на деле доказать возможность бесперебойной работы подобных сетей.

• Так, 3 апреля 1973 года на крыше небоскреба Alliance Capital Building в Нью-Йорке была установлена первая базовая станция и состоялись полевые испытания. Станция могла обслужить не более 30 абонентов и использовала соединение с городской телефонной сетью через коммутатор. Запуск прошел удачно: стоя на углу улицы Манхэттен Стрит, Мартин Купер совершил свой исторический звонок, что и позволило спустя десятилетие запустить первую в США и в мире сотовую сеть связи в коммерческую эксплуатацию, о которой написано в предыдущем посте. Уже через год количество абонентов оператора Ameritech Mobile увеличилось до 12 тысяч.

• К слову, в 1991 году появилась первая коммерческая сотовая сеть в России, ее представила компания «Дельта Телеком». Но телефоны тогда были очень дорогими, и популярностью эта услуга не пользовалась: в 1997 году в стране было зарегистрировано всего лишь около 300 тысяч абонентов. И лишь после 1999 года, когда на рынке появилось множество бюджетных устройств, работающих по стандарту GSM, сотовая связь начала свою экспансию на рынок, вытеснив более дешевое средство связи — пейджеры. Такие вот дела...

#Разное
11👍2916🍌5👎2🤡1
Принес вам очень объемную шпаргалку по инструментам направления DevOps. Вся информация представлена на русском языке и есть возможность скачать заметку в формате книги для дальнейшего изучения. Однозначно в избранное:

https://github.com/Lifailon/DevOps.md

#DevOps #CheatSheet
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
45👍20🔥742👎1👌1