Сисадмин-реаниматолог в действии 🩺... прикуриваем легаси.

Типичный 🥸 Сисадмин

👨‍🔬 Таймаут по тарифу. Как ОпСоСы режут звонки.

На рынке телекома разворачивается новая комедия, где маркетологи пытаются бороться с законами экономики с помощью костылей на коммутаторах. Абоны Т2 начали жаловаться на то, что оператор стал принудительно обрывать любые голосовые вызовы через 20 минут (19:59). Мегафон в ряде направлений режет сессии на 30 минутах. МТС и Билайн пока еще держат таймеры повыше.

Пиарщики операторов уверяют, что это исключительно забота об абонентах. Типа, так они спасают нас от телефонных мошенников и социальной инженерии, не позволяя бскамерам часами удерживать человека на линии... верим 😂

ИМХО, забота о бабушках тут походу вообще ни при чем. Знающие внутнянку телекома поясняют, что причина - старый добрый фрод на интерконнекте. Что там есть баг в архитектуре тарифов

Разбираемся...
Исторически у операторов связи есть взаиморасчеты (интерконнект). Если абон Т2 звонит абону Билайна, то Т2 платит Билайну копеечку за приземление трафика в чужой сети.

Параллельно с этим Т2 долгие годы пиарил фичу про вечные минуты 🏥 и перенос остатков. У старых абонов на балансах скопились минуты на целые жизни. Продать их на внутренней бирже Т2 давно нереально - там предложение в тысячи раз превышает спрос, да еще и оператор искусственно ограничил минимальные цены лотов.

И тут предприимчивые абоны вспоминают про схемы из нулевых. В сети расплодились серые шлюзы и виртуальные АТС, которые готовы платить пользователям за генерацию входящего (около 50 копеек за минуту).

Схема красива 🤑... юзер ставит смартфон на удержание звонка (или собирает ферму на условном Астериске), дозванивается на нужный шлюз и ложится спать. Накопленные бесплатные минуты из тарифа конвертируются в реальные рубли на карту (до пары тысяч в месяц на пассиве). А вот Т2 в это время оплачивает реальный интерконнект другому оператору из своего кармана.

Осознав это - схему начали фиксить...
Вместо того чтобы признать ошибку в дизайне тарифной сетки, отменить вечные минуты или договориться по межоператорским шлюзам, эффективные менеджеры просто вшили хардлимит.

Исторически негласным стандартом связи был сброс сессии через 120 минут (защита от залипших звонков в кармане). Пару лет назад лимит уронили до 30 минут (многие заметили). Теперь этот таймаут скрутили до 20 минут.

Для ботоводов уменьшение лимита с 30 до 20 минут принесло фиаско. Дело в том, что серые шлюзы часто не оплачивают первые минуты или берут комиссию за каждый новый коннект. При 30 минутах фродер успевал отбить затраты и выйти в плюс. Теперь же прибыль упала до копеек.

В общем... очередной раз наблюдаем, как кривой бизнес-процесс чинят костылем, из-за которого страдает весь добросовестный трафик. Инженеры против маркетологов 🤡

Что потом? 10 минут? 5 минут?

Типичный 🥸 Сисадмин

Ну то же без изолирующей шайбы делает 😱

З.Ы. Кто-нибудь собирал комп ключом на 10?

Типичный 🥸 Сисадмин

На аутсорсном магазине не понимали почему звуковая система не работает.
#предложка

Оно само 🤨

Типичный 🥸 Сисадмин

НАСТРОИЛ СЛОЖНЕЙШИЙ КЛАСТЕР KUBERNETES НА 50 НОД
@
ОБЕСПЕЧИЛ ЗАЩИТУ ОТ DDOS АТАК УРОВНЯ ПЕНТАГОНА
@
НАПИСАЛ CI/CD ПАЙПЛАЙНЫ ДЛЯ ВСЕГО, ЧТО ДВИЖЕТСЯ И КОМПИЛИРУЕТСЯ
@
ЗВОНИТ БУХГАЛТЕР ЗИНАИДА ПАВЛОВНА
@
"У МЕНЯ МФУ КАТЮША МОРГАЕТ ЖЕЛТОЙ ЛАМПОЧКОЙ И НЕ ПЕЧАТАЕТ АКТ СВЕРКИ"
@
ТРАТИШЬ 4 ДНЯ, ПЕРЕПИСЫВАЕШЬ ДРАЙВЕР НА СИ, ЛЕЗЕШЬ В РЕЕСТР, ПРИНОСИШЬ ЖЕРТВУ БОГАМ USB
@
ОКАЗАЛОСЬ, ОНА ЗАСУНУЛА В ЛОТОК ЧЕРНОВИК СО СТЕПЛЕРНОЙ СКРЕПКОЙ

Типичный 🤯 Сисадмин

👨‍🦳 Эпопея с суверенной криптографией продолжается. Не успели мы переварить тот факт, что сайты банков отвалились в нормальных браузерах из-за бана от GlobalSign, как Минцифры выкатило новые правила игры.

Опубликован проект постановления, который расширяет список причин, по которым Национальный удостоверяющий центр (НУЦ) может превратить выданный отечественный TLS-сертификат в ничто.

За что теперь могут отозвать сертификат:
🟢 По решению суда (если решат, что при получении указали недостоверную инфу).
🟢 Если вы потеряли приватный ключ (тут логично).
🟢 Если ваш ключ аутентификации засветился в другом, уже созданном сертификате (защита от дурака и копипасты).
🟢 Если сам НУЦ прекратит свою деятельность без передачи функций (звучит как фантастика, но прописали).

Напомню, что реальная ИБ-боль в том, как этот НУЦ интегрируется в устройства. Чтобы сайты открывались без ошибки - настойчиво просят установить корневой сертификат Минцифры в доверенное хранилище ОС. А добавляя такой серт в систему, вы своими руками создаёте 👮‍♂️ MITM (Man-in-the-Middle).

Имея свой корневой сертификат в конкретной ОС - провайдер с ТСПУ может на лету сгенерировать валидный сертификат для google.com, github.com, etc. Браузер проглотит эту подмену и покажет зеленый замок, а весь HTTPS-трафик, пароли и токены будут расшифровываться на лету, читаться и зашифровываться обратно.

Да, адепты безопасности возразят, что есть механизмы Certificate Transparency (CT logs), которые делают такие фокусы видимыми для специалистов. Но рядовому пользователю от этого не легче.

Типичный 🥸 Сисадмин

Ловко 🙂

Типичный 🥸 Сисадмин

Когда попросил джуна нарисовать отказоустойчивое ядро сети, а он оказался скрытым сатанистом 👹

З.Ы. Одобряю, архитектура монолитная!

Типичный 🥸 Сисадмин

😮 737 фейковых VPN-расширений в Chrome шпионили за ру-юзерами

Исследователи из Socket раскопали гигантскую кампанию... кто-то залил в магазин гугла 737 фейковых расширений, которые прикидывались популярными VPN-сервисами.

Более 270 из них мимикрировали под: Proton VPN, NordVPN, Surfshark, AdGuard и, что любопытно, под AmneziaVPN и AntiZapret. То есть целенаправленно били по русскоязычной аудитории (94% расширений были заточены под РФ). В итоге эту дичь скачали более 75 000 раз.

🟢 Почти все расширения (520 штук) через API chrome.proxy.settings заворачивали весь трафик браузера (кроме localhost) на SOCKS5-сервер разраба по порту 1082. Без шифрования. Без раздельного туннелирования. Владелец серверов читал каждый запрос, видел каждый TLS SNI и собирал реальные IP-адреса 😱

🟢 Чтобы антивирусы и DNS-фильтры не спалили подозрительные домены, 104 расширения использовали DNS-over-HTTPS (через Cloudflare и Гугл). Они резолвили адреса своих прокси скрытно и скармливали Хрому уже голые IP-шники.

🟢 Платный скам... расширения постоянно пушили пользователю купить премиум. Но реверсеры выяснили, что серверов в Японии, США или Европе у них физически не существовало. Код лицензирования был сделан на коленке, а секретный ключ для генерации фейковых токенов валялся в открытом виде (const SECRET_KEY = "myxavpn2024secret";).

🟢 Вся эта сеть вела к вполне официальному ИП в РФ, который продавал этот VPN через сайт и ТГ-ботов (Муха VPN, Лев VPN и т.д.)

Из классики.
Гугл, как обычно, всё пропустил или не вникал. Разраб потратил на создание 38 аккаунтов разработчика около 190 долларов (по 5 баксов за акк) и залил сотни клонов. Гугл удалил часть расширений после жалоб, но не забанил сами аккаунты. В итоге разраб просто продолжал заливать новые копии, используя генерацию кода, который обфусцировал данные, чтобы обходить автоматические сканеры магазина.

Из всего этого есть один важный вопрос... зачем разраб (возможно, даже не майор) логирует каждый клик скачавших расширение 👨‍🦳

Берегите свой трафик.

Типичный 🥸 Сисадмин

Ветку с базой - в мастер, ветку с продом - заказчику. И в закат 😬

Типичный 🥸 Сисадмин

😮 Исследователи из GReAT (ЛК) выкатили разбор новой APT-кампании группировки Armored Likho. Хацкеры бьют по госсектору и энергетике, притаскивая на компьютер жертвы всю среду разработки.

Всё начинается с вредоносного LNK-файла. Используется уязвимость ярлыков ZDI-CAN-25373 - она позволяет прятать PowerShell-команды за кучей пробелов и переносов строк.
После клика загрузчик качает с GitHub портативный архив с Python 3.12, скрипт get-pip.py и... прямо на машине пользователя запускает установку необходимых библиотек через pip! Затем через VBScript создается задача в планировщике, и стартует основной модуль.

Главный пейлоад - BusySnake Stealer. Это .pyw скрипт, закрытый протектором PyArmor Pro 9.2.0. Код расшифровывается кусками прямо в оперативной памяти.

Что в это время происходит в системе:
🟢 Вскрытие браузеров. Для Chromium-движков скрипт лезет в БД, вытаскивает зашифрованный мастер-ключ и расшифровывает его виндовой функцией CryptUnprotectData (DPAPI). Для Firefox всё еще вкуснее... скрипт дергает родную мозилловскую библиотеку NSS и функцию PK11SDR_Decrypt, так как огнелис хранит базу ключей открытым текстом (если не задан пароль).
🟢 Если парсить SQLite-базы не выходит, малварь использует костыль. Скрипт генерит на диске папку с самописным Chrome-расширением (manifest.json + sw.js), поднимает локальный веб-сервер на 127.0.0.1:8000 и принудительно перезапускает Chrome с ключом --load-extension. Расширение парсит куки сессий и сливает их на локалхост, откуда они улетают на C2-сервер хацкерам.
🟢 Скрипт киляет процесс telegram.exe, архивирует святую папку tdata и отправляет хозяину. Если на ПК стоит удаленка RustDesk, то троян ее ребутает. Пользователь видит перезапуск, вводит пароль заново, а питоновский скрипт делает скриншот и ворует доступ.
🟢 Прямо в коде зашита логика Go2Tunnel. Скрипт получает с сервера приватный RSA-ключ и поднимает невидимый обратный SSH-туннель до хакерской ноды.

В свежих версиях хацкеры пошли еще дальше. Чтобы не палиться при создании задач в автозагрузке, они переписали логику на библиотеку win32com.client. Теперь они лезут напрямую в COM-объекты Windows (Schedule.Service), что делает закрепление в системе практически невидимым для базового мониторинга процессов.

Типичный 🥸 Сисадмин

Символичные взаимоотношения с пользователями 😗

Типичный 🥸 Сисадмин

🤖 Маск отмерил 3 года до смены парадигмы... философский оффтоп.

Суть спича Маска:

У нас осталось максимум три года.

Три года, в течение которых классическая концепция, когда человек работает и получает за это ЗП - еще будет иметь смысл. Последние 200 лет индустриальная Матрица строилась на одном базовом контракте... ты сдаешь нам свое время в аренду на 40 лет, мы платим тебе за это деньги. Иногда не добровольно, но контракт был.

Через три года этот контракт аннулируется. Как только ИИ-агенты и роботы (те самые 100 миллионов гуманоидов, о которых он говорит) станут дешевле и эффективнее человека в выполнении рутинных и интеллектуальных задач, смысл платить зарплату биологическому интерфейсу исчезнет ⚰️

Мы находимся в окне возможностей:
🟢 Меньшинство уже поняло архитектуру будущей Матрицы и начало перестраивать свои активы.
🟢 Большинство (нормисы) сидит и ждет, пока по телевизору в новостях объявят о том что будет и что надо делать.

Маск поясняет, что нужно перестать быть человеком, получающим зарплату, и стать человеком, владеющим хоть чем-то. Потому что когда рынок труда начнет схлопываться, значение будет иметь только одно - кто чем владеет.

Что не обесценит ИИшка:
1. Дефицитные цифровые активы (Биток и топ крипта).
2. Физическая инфраструктура и энергетика (Земля, вода, электричество).
3. Вычислительные мощности.
4. Человеческие связи (Социальный граф, комьюнити).
5. Навыки создания базовых вещей для выживания 🏹

Разумное, ведь если вы сейчас продаете свое время за зарплату, чтобы настраивать легаси, то есть немалый риск, что условный суверенный высокодуховный агент, сделает это быстрее и бесплатно (или по подписке).

Типичный 🥸 Сисадмин