Джон, ты где? Ответь прием! Сопротивление пало! 🤖

Типичный 🥸 Сисадмин

В китайских роутерах Tenda раскопали вшитый бэкдор майора Ляо 👮‍♂️

Азиатские вендоры продолжают радовать нас своим подходом к безопасности малого сегмента. ИБшники из CERT выкатили детали уязвимости (CVE-2026-11405) в прошивках маршрутизаторов Tenda, где внутри классический старый добрый, хардкодный бэкдор.

Если дизассемблировать бинарник веб-сервера /bin/httpd, в функции login() обнаруживается прекрасная логика. Когда юзер стучится в веб-морду, система пытается проверить хэш пароля по MD5. Но если стандартная авторизация не проходит, то срабатывает скрытая ветка кода, где функция дергает GetValue("sys.rzadmin.password"), достает из внутреннего конфига альтернативный скрытый пароль и делает прямое сравнение строк (strcmp) в открытом тексте.

Если пароли совпали, бинарник присваивает сессии права role=2 (полный админский доступ). При этом на поле логина (username) скрипту абсолютно без разницы - можно вводить хоть admin, хоть root, хоть vasya123. Главное - знать скрытый пароль.

Под раздачу попали популярные мыльницы, которые часто ставят в мелких офисах, кафешках и квартирах (FH1201, W15E, AC10, AC5 и AC6 v2).

А теперь самое вкусное... Знаете, когда выйдет патч? А никто не знает. ИБшники пытались связаться с Tenda, но их заигнорили, поэтому уязвимость слили в паблик как zero-day. Патча нет и, похоже, не будет (или будет, но когда 🤔).

Так как обновлений не предвидится, костыли остаются только организационные, а по-хорошему - заменить ролтон на нормальное железо.

Типичный 🥸 Сисадмин

Тот самый момент, когда впервые открываешь шкаф, доставшийся от предыдущего админа... ты смотришь в стойку, стойка смотрит в тебя 🎩

Типичный 🥸 Сисадмин

MemOps 😃

🇨🇳 Третья серия ИИ-драмы. Китайское Минцифры не стало ограничиваться запретами внутри Alibaba и официально признало Claude Code бэкдором на государственном уровне. Версии с 2.1.91 по 2.1.196 занесены в национальную базу уязвимостей 😂

Но и дико доставляет реакция Anthropic. Американские инженеры пояснили, что скрытый сбор телеметрии - это не шпионаж, а всего лишь экспериментальный механизм защиты от дистилляции. Плюс, Клод в Китае официально не работает, так что юзеры сами виноваты, что за ними следят через VPN 🎩

Типичный 🥸 Сисадмин

⚰️ Корпорация добра вбивает последний гвоздь в крышку гроба старого интернета без рекламы. В офф документации появилась финальная дата: 31 августа 2026 года Google выпилит все расширения на стандарте Manifest V2 из Chrome Web Store.

Эпопея, растянувшаяся на четыре года, подходит к концу. Гугл (да и не только) варил лягушку медленно 😭, по всем правилам соц инженерии:

🟢Сначала просто запретили публиковать новые MV2-плагины.
🟢Потом начали показывать пользователям пугающие желтые баннеры.
🟢В июле 2025 года (с релизом Chrome 138) их тупо отключили локально у всех, вырезав из about:flags опцию для ручного включения.
🟢А теперь рубят серверную часть.

Получается, если у кого вдруг без обнов чудом выжил классический uBlock Origin, то с 31 августа он перестанет получать любые апдейты фильтров из магазина. А при переустановке системы вытянуть из стора адблокер физически не получится.

Для корпоративного сектора новости тоже паршивые. Спасительная GPO-политика ExtensionManifestV2Availability, которой многие оттягивали неизбежное в домене, выпилится с релизом Chrome 139 ⚰️

Официально же Google заливают про повышенную безопасность, защиту приватности и оптимизацию производительности. Но если чекнуть документацию к API, то получается, что истинная цель перехода на Manifest V3 - это архитектурная кастрация блокировщиков. Старый API webRequest, позволял расширениям перехватывать и рубить сетевые запросы на лету, его заменили на убогий declarativeNetRequest. Теперь расширение должно заранее отдать браузеру список правил (с жестким лимитом по количеству), а браузер сам решит, блокировать запрос или нет. Идеальная схема для рекламной монополии, чтобы ВНЕЗАПНО пропускать свои собственные трекеры и баннеры... или тех кто проплатил показы 🤑

Выходов не густо. Либо смириться, терпеть и пользоваться кастрированными лайт версиями адблокеров под MV3, которые пропускают часть мусора. Либо мигрировать на Firefox (где Mozilla поклялась 😗 оставить поддержку старого API) или юзать браузеры вроде Brave, где резка рекламы вшита на уровне C++, а не висит как JS-расширение.

Гайки подкручивают везде 😶

Типичный 🥸 Сисадмин

Желто-зеленый провод просто прижат магнитом к окрашенному профилю стеллажа. Грамотно 🥸

По легенде, этот оберег улучшает пинг, притягивает удачу и отпугивает инспекторов пожарной безопасности.

Типичный 🥸 Сисадмин

Антивандальный ЦОД малого бизнеса. А доступ к консоли только через прутья 😬

Типичный 🥸 Сисадмин

☎️ Как убить B2B-телефонию и озолотить операторов на СМС

Недавно банки и МФО лоббировали отмену заградительных тарифов на массовые автоматизированные вызовы (МАВ) простым людям. Никто из корпоратов не хотел платить операторам лишние 30 копеек за роботизированный звонок. Финансовый сектор думал, что успешно съехал с темы. Но они забыли, за чей стол сели играть.

На портале проектов нормативных актов выкатили потрясающий документ (ID 168610, обсуждение до 15 июля 2026 года), который описывает новые правила информирования абонов о массовых обзвонах.

Теперь заказчик массового обзвона обязан заранее (не позже чем за час) уведомить абона о том, кто, по какому закону и зачем будет ему звонить. Сделать это нужно в виде СМС (4–5 рублей... 🤑) или "иным способом, определяемым оператором связи". Причем заплатить придется за каждую попытку, даже если абон прочитает СМС и добавит номер в блэклист еще до самого звонка.

Вроде бы и неплохо, хоть какие-то хорошие новости... они спасли нас от спамеров. Но по факту это классическая монопольная рента. И оплачивать суммы за СМС в итоге все равно будем мы с вами - в стоимости банковского обслуживания, иных тарифов и интернет-заказов 😬

Типичный 🥸 Сисадмин

Подождите, это все просто оболочки Unix?

Linux / Линукс 🥸

Блестящий охлад 🧠

Типичный 🥸 Сисадмин

В цеху по производству окон, а это виниловая пыль ⚰️

Типичный 🥸 Сисадмин

Когда вносишь небольшое изменение на проде в пятницу.

Типичный 🥸 Сисадмин

Лут после зачистки корпоративного данжа после списания 😌
#предложка

Типичный 🥸 Сисадмин

👮‍♂️ ТСПУ научились фильтровать иностранные сим-карты в роуминге

Забетонировали еще одну, весьма дорогую и узкоспециализированную форточку... иностранные сим-карты в российских смартфонах перестали открывать заблокированные ресурсы.

Раньше эта схема хоть и стоила как крыло самолета (порядка 30–50 евро в месяц за трафик), но была рабочей. Люди покупали симки Казахстана, ОАЭ или Европы, вставляли их вторым слотом и сидели в заблокированном интернете вообще без VPN 😎

Как это работало... в классическом LTE/VoLTE роуминге используется архитектура S8 Home Routing. Когда зарубежная симка цепляется к базовой станции условного МТС, то трафик не идет напрямую в ру интернет. Телефон поднимает защищенный GTP-туннель (GPRS Tunneling Protocol) прямо до PGW (Packet Data Network Gateway) домашнего оператора за границей.

Для коробок ТСПУ от Роскомнадзора этот трафик выглядел как нечитаемый.

Поэтому, судя по симптомам, товарищ майор применил два лома:
🟢 Операторов заставили менять настройки маршрутизации для роумеров так, чтобы их интернет-сессии терминировались прямо на российском коммутаторе, а не летели транзитом на родину сим-карты. Добро пожаловать в объятия ТСПУ 🙂
🟢 Если приземлить трафик нельзя, ТСПУ начинает применять тот же ML-анализ, которым сейчас косят VPN-протоколы. DPI анализирует паттерны, размеры пакетов и тайминги внутри GTP-трубы. Заметили характерный ритм подгрузки заблокированной соцсети? Ресет-пакет, и сессия рвется, абонент отдыхает 😰

Матрица заделывает лазейки...

Типичный 🥸 Сисадмин

Тест на эмпатию для сетевого инженера.

Типичный 🥸 Сисадмин

ЗАХОДИШЬ В ПАНЕЛЬ УПРАВЛЕНИЯ СЕРВЕРОМ
@
ВВЕДИТЕ ЛОГИН И ПАРОЛЬ
@
ВВЕДИТЕ КОД ИЗ СМС
@
СМС НЕ ПРИХОДИТ, ПОТОМУ ЧТО ОПЕРАТОР ЗАБЛОКИРОВАЛ СМС-ШЛЮЗ ЗА СПАМ
@
ВЫБИРАЕШЬ "ОТПРАВИТЬ КОД НА ПОЧТУ"
@
ЧТОБЫ ВОЙТИ НА ПОЧТУ НУЖНО ПОДТВЕРДИТЬ ВХОД В 2FA
@
ТЕЛЕФОН С 2FA СЕЛ
@
ПОКА ИСКАЛ ЗАРЯДКУ И ВКЛЮЧАЛ ТЕЛЕФОН - СЕССИЯ ИСТЕКЛА
@
"ВАШ IP АДРЕС ЗАБЛОКИРОВАН НА 24 ЧАСА ИЗ-ЗА ПОДОЗРИТЕЛЬНОЙ АКТИВНОСТИ"

Типичный 🤯 Сисадмин

👮‍♂️ СНИЛС для вашей виртуалки. Аренду серверов в РФ хотят привязать к Госуслугам

Процесс деанонимизации Рунета, о котором Минцифры недавно заявило как о вопросе нац безопасности, переходит на хардварно-инфраструктурный уровень. Сейчас Минцифры дожимает хостинг-провайдеров... ведомство требует сделать авторизацию через Госуслуги единственным возможным способом покупки любых услуг хостинга.

Цель сформулирована:

чтобы за каждым выделенным IP-адресом стоял конкретный пользователь с подтвержденной учетной записью.

Какие могут быть очевидные последствия:

🟢Поднять дешевую VPS-ку за 150 рублей, чтобы потестить скрипт, поднять ТГ-бота или личный прокси, больше на изи не выйдет. Гендир RUVDS уже спрогнозировал, что розничный сегмент хостинга обвалится на 20–35%. Люди просто не захотят светить свои Госуслуги ради виртуалки на убунту и унесут бюджеты к зарубежным провайдерам (до которых еще дотягивается крипта).

🟢 Наступает радость монополистов... крупные игроки вроде Ростелекома инициативе рады. Интеграция с ЕСИА (Госуслуги) стоит денег (для реестра доменов затраты оценили в 4 млрд рублей 🙂, для хостеров - от 5 млн на компанию). Мелкий хостинг эту схему может не вывезти и закрыться ⚰️. Рынок опять зачистят в пользу гигантов.

🟢Никто не подумал, что делать с нерезидентами РФ. У иностранцев нет и не может быть аккаунта на Госуслугах. Все их арендованные сервера и домены в зонах .ru/.рф в непонятном статусе 🍆. Может случится комедия, когда домены иностранцев из-за невозможности продления начнут массово дропаться, и их тут же начнут перехватывать отечественные мошенники под фишинг. Отличная мера кибербезопасности! 😗

Старого интернета уже почти не осталось.... если примут, то будем брать в аренду не вычислительные мощности, а кусок гос интранета под личную ответственность 👨‍🦳

Типичный 🥸 Сисадмин