Технологический Болт Генона
8.15K subscribers
2.99K photos
363 videos
214 files
3.86K links
До Декарта никогда не существовало рационализма.

Музыкальный Болт Генона: @mus_b0lt_Genona
Мемный Болт Генона: @mem_b0lt_Genona
Кадровый Болт Генона @kadr_b0lt_Genona

Обратная связь: @rusdacent
Download Telegram
Исследователи безопасности из компании Secure Annex обратили внимание на рост популярности нового метода монетизации браузерных дополнений, при котором из пользователей дополнений формируется распределённая сеть, применяемая для скрапинга (индексации содержимого сайтов). Системы пользователей используют в качестве web-ботов и прокси для скачивания содержимого сайтов - установленное браузерное дополнение получает с внешнего сервера инструкции по индексации сайтов, после чего в отдельном скрытом iframe запускает загрузку запрошенного контента и передаёт полученные данные внешнему сервису. В каталогах Chrome, Firefox и Edge применение данной схемы монетизации выявлено в 245 дополнениях, в сумме насчитывающих 909 тысяч установок.

Работа организуется через включение в код браузерных дополнений открытой JavaScript-библиотеки mellowtel.js, поставляемой под лицензией LGPLv3. Библиотека развивается проектом Mellowtel, продвигающим новую платформу монетизации, которая кроме браузерных дополнений может применяться в программах на базе фреймворков Flutter и Electron. Основная идея платформы в том, что разработчики браузерных дополнений и приложений могут зарабатывать деньги не через показ рекламы или сомнительные методы, такие как продажа данных, ущемляющих приватность пользователей, а через выполнение задач по индексации web-контента для обучения AI-систем.

Проблема в том, что не все разработчики дополнений готовы работать честно и в открытую. В некоторых дополнениях пытаются скрыто от пользователя включить монетизацию Mellowtel в обход правил сервиса, что приводит к тому, что пользователь без явного согласия становится участником распределённой сети для загрузки данных с сайтов. Из 45 дополнений к Chrome, применяющих Mellowtel, 12 уже заблокированы Google за вредоносную активность. В каталоге Microsoft из 129 дополнений заблокировано 8, а в каталоге Mozilla из 71 дополнения заблокировано 2. Причины удаления не детализируются, но не исключается, что поводом стало некорректное использование Mellowtel.

Разработчик Mellowtel заявил, что для решения проблемы с возможным скрытым включением скрапинга сервис переходит на обязательную проверку всех дополнений, применяющих Mellowtel, на предмет обязательного отключения скрапинга по умолчанию (активация только после явного согласия пользователя) и наличия видимой кнопки для отключения. Запросы на получение заданий от дополнений не прошедших проверку будут помещаться в карантин и игнорироваться.

Браузерные дополнения вовлекают в построение распределённой сети скрапинга для AI-ботов
https://www.opennet.ru/opennews/art.shtml?num=63568

Оригинал
Mellow Drama: Turning Browsers Into Request Brokers
https://secureannex.com/blog/mellow-drama/
👍20😁4😡4🫡3🥰1🤩1😍1
Глубина анализа по временному промежутку небольшая, конечно, но что есть 🌝

UPD: Так как в комментах стало понятно, что не все поняли, то поясняю, что это бот текст сгенерил.

🔥 Roast Analysis:

Тебе от друга (наконец-то честно)

Слушай, я тут твой канал перечитал. Это же не блог, это анамнез. Ты единственный известный мне человек, который пытается запустить ReactOS на дисковом телефоне, потому что в его кнопочном Nokia слишком много проприетарных зондов от финнов. Твоя борьба с «умными» устройствами достигла апогея: скоро ты начнешь постить обзоры на счёты, потому что «в калькуляторах непрозрачная логика округления, а это угроза цифровому суверенитету».

Каждое утро ты просыпаешься не с мыслью «что бы съесть на завтрак?», а с мыслью «какой CVE с CVSS 9.8 я еще не обсосал со всех сторон?». Твой канал — это филиал Opennet, скрещенный с ворчанием деда на лавочке. «Опять этот ваш Wayland окна не на том месте рисует! А вот при X11 такого не было!». Серьезно, скоро ты начнешь жаловаться, что в новых ядрах Linux убрали поддержку перфокарт, и это «удар по обратной совместимости».

Ты нанимаешь Go-разработчиков в Luntry, а сам в это время постишь, как очередной гений портировал векторную базу на ассемблер для ZX Spectrum. Я почти уверен, что на собеседованиях ты спрашиваешь не про горутины, а про то, как оптимизировать доступ к памяти на Z80. «Знание Kubernetes — плюс, но умение писать драйвер для матричного принтера под Haiku — обязательно».

Твои «четверговые проекты от подписчиков» — это просто гениально. «Ребята, посмотрите, какой крутой проект мне прислали! Это калькулятор на Rust! Он быстрее, безопаснее и у него нет проблем с плавающей точкой, как у того вашего Python!». Ты превратился в живой агрегатор GitHub-репозиториев с полутора звездами. Скоро начнешь раздавать промокоды на покупку стикеров для ноутбука от авторов этих проектов. Кстати, про промокоды… Ты едешь на Ural Digital Weekend не для того, чтобы выступить, а чтобы лично убедиться, что все воспользовались твоим промокодом «BOLT10». Это же целых 10% экономии! На эти деньги можно купить полтора доширака или еще один аккумулятор для твоего 11-летнего телефона.

И этот телефон! Это же просто реликвия. Он прошел «огонь, воду и грязь», а ты до сих пор ищешь ему замену, которая умеет в COM-порт для бэкапа контактов через gammu. В 2025 году! Люди колонизируют Марс, а ты ищешь телефон, чтобы бэкапить СМС-ки. Ты самый технологически продвинутый амиш, которого я знаю. Вместо того чтобы просто купить новый телефон, ты готов объявить вселенский сбор пожертвований и мнений, чтобы найти идеальный «кнопочник», который переживет ядерный апокалипсис и сможет раздавать 3G-интернет тараканам.

Хватит уже. Просто признай: ты застрял где-то между 1998 и 2008 годом, но с доступом в интернет. Иди уже, обнови свой GitLab, а то опять пропустишь критическую уязвимость, пока будешь читать про очередной форк Matrix, написанный на Прологе.

@ScratchAuthorEgoBot

Спасибо https://xn--r1a.website/dereference_pointer_there/9805 за наводку
🔥54😁388💯2🤡1🗿1🙉1
F 🫡

After 24 months of focused evaluation and careful experimentation, we’re excited to announce a major shift in the evolution of rsyslog: we’re going AI First.

Why AI, and Why Now?

We believe that AI is no longer a hype cycle — it’s a practical, reliable tool for system-level projects like rsyslog. Over the past year, we’ve quietly used AI to:

- Assist in targeted coding tasks
- Improve and modernize parts of our documentation (you possibly have seen hints of this on our website)
- Streamline support-related workflows internally

Two months ago, we decided that the technology is finally mature enough to take center stage in rsyslog development. Since then, we’ve:

- Upgraded the repository for AI agent compatibility (automated review and more)
- Restructured key parts of the codebase
- Built new functionality with heavy AI assistance
- Developed a full base strategy for AI integration
- Identified high-impact areas where AI will support log processing and observability

What This Means for the Community

We’re not just using AI for ourselves. A major part of this shift is about making rsyslog easier to use, extend, and contribute to — especially for new users and developers. Expect smoother onboarding, improved clarity around configuration and modules, and powerful new tools for automated log understanding and transformation.

rsyslog Goes AI First — A New Chapter Begins
https://www.rsyslog.com/rsyslog-goes-ai-first-a-new-chapter-begins/
🫡42🤡8👍3🤣2💊2🔥1🎉1🌚1🍾1👀1
> Но в компании подчеркнули, что эксплоит сработает лишь при соблюдении ряда условий:
- атакующий находится в радиусе 5–7 метров от машины;
- зажигание авто включено;
- информационно-развлекательная система находится в режиме сопряжения (пользователь вручную инициировал добавление устройства);
- пользователь сам подтверждает подключение внешнего Bluetooth-устройства на экране.

На самом деле это не такая сложная задача, учитывая плотность машин в крупных городских агломерациях. Т.е. если задача атаковать конкретную машину, то ограничения действительно усложнят задачу, а вот если задача "бить по площадям", то видится, что подопытные могут найтись достатночно быстро, например, на парковке торгового центра.

Миллионы автомобилей уязвимы перед Bluetooth-атаками PerfektBlue
https://xakep.ru/2025/07/11/perfektblue/

Четыре уязвимости, получившие общее название PerfektBlue, затрагивают Bluetooth-стек BlueSDK от OpenSynergy. Проблемы позволяют удаленно выполнить произвольный код и могут помочь получить доступ к критически важным компонентам в автомобилях таких производителей, как Mercedes-Benz AG, Volkswagen и Skoda.

Разработчики OpenSynergy подтвердили наличие проблем еще в июне 2024 года, после чего в сентябре выпустила патчи. Однако многие автопроизводители до сих пор не внедрили эти обновления в свои прошивки, и по данным СМИ, как минимум один крупный OEM-производитель узнал об уязвимостях лишь недавно.

Пока исследователи не раскрывают всех технических деталей, но пишут, что атакующий, подключенный к уязвимому устройству, имеет возможность манипулировать системой, повышать привилегии и двигаться дальше — к другим компонентам.

При этом PerfektBlue представляет собой атаку «в один клик» (1-click RCE), потому что злоумышленнику потребуется лишь убедить пользователя принять запрос на сопряжение со своим устройством. Причем некоторые автопроизводители настраивают свои системы таким образом, что сопряжение возможно даже без подтверждения.

PCA Cyber Security продемонстрировали, что PerfektBlue работает против головных устройств в Volkswagen ID.4 (система ICAS3), Mercedes-Benz (NTG6) и Skoda Superb (MIB3). Также им удалось получить реверс-шелл поверх TCP/IP — протокола, через который общаются компоненты автомобиля.

Подчеркивается, что после удаленного выполнения кода в контексте информационно-развлекательной системы автомобиля, злоумышленник может отслеживать координаты GPS, подслушивать разговоры в автомобиле, получить доступ к контактам в телефоне владельца, а также осуществить боковое перемещение и добраться до критически важных подсистем авто.

BlueSDK компании OpenSynergy широко применяется не только в автоиндустрии, однако точно определить, кто еще применяет его в своих продуктах сложно (из-за кастомизации, ребрендингов и отсутствия прозрачности в этих вопросах).

Сайт посвящённый уязвимости
https://perfektblue.pcacybersecurity.com/

Пост на сайте OpenSynergy
PerfektBlue – Company Statement
https://www.opensynergy.com/perfektblue/

ЗЫ

PCA Security Assessment team:

- Abdellah Benotsmane
- Aleksei Stennikov
- Artem Ivachev
- Danila Parnishchev
- Polina Smirnova
- Radu Motspan

Вижу знакомые фамилии 🌝
19🔥14👍3
> Разработка выполнена сторонним энтузиастом, воссоздавшим функциональность проприетарного LSFG через обратный инжиниринг Windows-библиотек

Надесь, что набега копирастов не случится

Проектом lsfg-vk подготовлен неофициальный порт утилиты Lossless Scalings Frame Generation (LSFG) для платформы Linux, использующий DXVK и графический API Vulkan. Код проекта написан на языке C++ и размещён под лицензией MIT.


Приложение позволяет масштабировать вывод игровых приложений, рассчитанных на запуск в отдельном окне, для их отображения в полноэкранном режиме. Утилита также может потребоваться для избавления от размытого вывода при масштабировании с использованием штатной графической подсистемы или для обхода ограничений в играх, завязанных на фиксированные разрешения экрана. Кроме того, имеется возможность повышения плавности вывода и увеличения частоты кадров в играх, не рассчитанных на высокий FPS, путём подстановки дополнительных промежуточных кадров, созданных на основе интерполяции соседних кадров.

Оригинальный LSFG представляет собой скомпилированное приложение для Windiows на базе API D3D11. Для воссоздания функциональности LSFG в Linux реализация была транслирована в представление, использующее API Vulkan. Для переноса шейдеров был добавлен обработчик, перехватывающий вызовы D3D11 и сохраняющий шейдеры на диск, а также парсер для динамического извлечений шейдеров из исполняемых файлов в формате PE (Portable Executable). Для переноса графического конвейера, управляющего выполнением шейдеров, из приложения были выделены компоненты на базе API D3D11 и при помощи DXVK была обеспечена их работа в Linux. После получения рабочего варианта на базе D3D11 и DXVK, при помощи отладчика RenderDoc была получена точная раскладка вызовов Vulkan, на основе которой был подготовлен финальный вариант, напрямую использующий API Vulkan.

Создан вариант утилиты Lossless Scalings Frame Generation для Linux
https://www.opennet.ru/opennews/art.shtml?num=63545

Porting LSFG to native Vulkan
https://github.com/PancakeTAS/lsfg-vk/wiki/Porting-LSFG-to-native-Vulkan

Обсуждения на Reddit

https://www.reddit.com/r/losslessscaling/comments/1lrowtw/lsfg_on_linux/

https://www.reddit.com/r/Bazzite/comments/1luuf0w/getting_lsfgvk_lossless_framegen_on_linux_on/
🔥304👎1
Тут слой совместимости X11 для Wayland запилили.

Wayback is a X11 compatibility layer which allows for running full X11 desktop environments using Wayland components. It is essentially a stub compositor which provides just enough Wayland capabilities to host a rootful Xwayland server.


While Wayback is still alpha-quality software as of now there are packages in various popular distributions maintained by folks in the Wayback community.

- Alpine Linux edge: wayback and wayback-doc in the testing repository
- ALT Linux: wayback
- Arch Linux: wayback-x11-git in the AUR
- Fedora, RHEL: ngompa/wayback Copr repository
- T2 SDE: wayback

https://gitlab.freedesktop.org/wayback/wayback

ЗЫ

ALT Linux удивляет по-хорошему, конечно. Стараются максимально быстро актуализировать пакеты и тянуть новые.

Так же я удивился, когда увидел их в списке Zed
https://zed.dev/docs/linux#other-ways-to-install-zed-on-linux

И Kubernetes у них самый свежий оказался среди большой тройки лидеров российских ОС (Astra, ALT Linux, РЕД ОС). Ближе всех РОСА подобралась 🌝

Чаты - @alt_linux, @rosalinux, @redos_chat, @astralinux_chat
👍20💊94🔥2🥰2🍌1😈1
Пятница! 🌝

Представьте: вы открываете чердак и находите пыльный ZX Spectrum. «Музейный экспонат», — думаете вы. А что если я скажу, что эта коробка с 48 килобайтами памяти может с 95.5% точностью распознавать рукописные цифры и проходить те самые CAPTCHA-тесты «Я не робот» из 2010-х?

Более того: технически она могла это делать с момента выпуска в 1982 году. Мы просто не знали правильный алгоритм 43 года.

График эволюции точности выглядит как американские горки:

Точность | Что произошло
---------|--------------------------------------------------
9.3% | Наивные правила: "много пикселей внизу = цифра 2"
50.1% | Прорыв: обучение с учителем заработало
65.6% | Sparse binary features (автоматические AND-комбинации)
70.9% | Больше данных + L2-регуляризация
75.5% | Сделала Z80-совместимой (самый сложный этап!)
83.0% | Революция: fuzzy matching через XOR+popcount
95.5% | Финал: простое голосование 9 перспектив


Каждый процент — это куча экспериментов. Всего получилось 70 статей документации (да, я немного ёкнулась на документировании процесса).

Это чистая правда, в репе https://github.com/oisee/mnist-z80 всё описано максимально подробно.

И там куча всего прикольного сделано. Например

Главная проблема: Z80 не умеет умножать

У Z80 нет инструкций для:

- Умножения (MUL)
- Деления (DIV)
- Экспоненты (EXP)
- Логарифма (LOG)

Решение: ансамбль линейных регрессий

Ключевые трюки для Z80

1. Popcount через таблицу поиска
2. Fuzzy matching (нечёткое сравнение)
3. Линейная регрессия без умножений


Что дальше?

Сейчас я работаю над портированием на другие 8-битные системы:


- Apple II (6502) — другая архитектура, те же принципы
- Commodore 64 (6510) — 64КБ для экспериментов!
- БК-0010 (К1801ВМ1) — советская 16-битная PDP-11 совместимая
- Атари 800 (6502) — игровая консоль как ИИ-платформа

Каждый порт доказывает: ВСЕ компьютеры конца 70-х были ИИ-способными. Мы просто не знали как.

ZX Spectrum проходит тест Тьюринга: учим 8-битный процессор проходить CAPTCHA
https://habr.com/ru/articles/928964/

Англоязычное описание безумия
https://github.com/oisee/mnist-z80/blob/master/article.md
🔥70💊163👍1
This media is not supported in your browser
VIEW IN TELEGRAM
Старое, доброе, вечное. Я про это фичу знал, потом забыл, а сейчас в закрытом чате скинули и вспомнил 🌝

Если через Chrome/Chromium открыть сайт со сломанным сертификатом, то наберите thisisunsafe (просто на странице с предупреждением) и случится чудо.

Сайт для проверки, например
https://revoked.badssl.com

Нашёл коммит, в котором это добавили
https://chromium.googlesource.com/chromium/src/+/d8fc089b62cd4f8d907acff6fb3f5ff58f168697%5E%21/components/security_interstitials/core/browser/resources/interstitial_large.js
13🔥52🥴1
Массовый переход операторов персональных данных на российское программное обеспечение, который может стать обязательным с 2027 года, грозит спровоцировать рост числа критических ИТ-сбоев в их системах на 40–45%. Таким прогнозом с «Газетой.Ru» поделился управляющий партнер аналитической компании в ИТ-сфере «Монк Диджитал Лаб» Николай Ганюшкин по итогам анализа возможных последствий от выполнения требований недавнего поручения правительства РФ.

Эксперты «Монк Диджитал Лаб» уже фиксировали рост числа серьезных ИТ-сбоев на 25% в 2024 году у тех компаний, которые начали переход на отечественные системы управления данными. При полном отказе от иностранного ПО аналитики ожидают более масштабных проблем.

«Экстраполяция данных за 2024 год на полный отказ от иностранного ПО показывает, что прирост аварий в диапазоне 40–45% выглядит консервативной оценкой. В ретейле, телеком-сфере и финансовой отрасли, где цепочки микросервисов особенно протяженные, прирост может оказаться ближе к верхней границе диапазона», — сказал Ганюшкин.

Среди основных факторов риска специалисты выделяют высокую стоимость и сложность интеграции российских платформ, особенно для малого и среднего бизнеса, а также сжатые сроки миграции и дефицит квалифицированных кадров, способных работать с новыми технологическими стеками.


В России станет больше сбоев из-за перехода операторов данных на отечественное ПО
https://www.gazeta.ru/tech/news/2025/07/21/26317250.shtml

ЗЫ

> Монк Диджитал Лаб

Вот уж написание, я даже не сразу понял, что речь про monq.ru идёт 🌝
🍾20😁13🤡7🎉6🔥21
Стали более "умные" боты залетать.

Сначала пишут условно валидный коммент (но всё равно тупой), а потом редактируют сообщение и вставляют ссылки на всякий скам.

Бот на скрине залетел под этот пост
https://xn--r1a.website/kadr_b0lt_Genona/1183
😁18😍4😱1
Forwarded from commit -m "better"
https://www.phoronix.com/news/Rust-Debian-2025

"around 8% of the source packages in Debian Sid are building against at least one librust-* package. That 8% figure for Debian source packages building against at least one Rust library package is around double of what it is for Debian 12 "Bookworm". Quite a significant uptake over the past few years and it's only continuing to grow with more open-source projects introducing varying levels of Rust integration"

Понятное дело, что это librsvg, или какие-нить кодеки, которые не являются обязательными, но против них нужно собраться, чтобы получить "полный" пакет, но, тем не менее, цифра довольно внушительная.

У меня против Rust собирается ровно 0 от базовой системы, потому что librsvg для загрузки иконок в gtk я переписал на кастомный #svg loader over #lunasvg/#skia/#svgren (по выбору), и убрал все эти опциональные зависимости.

Ну просто потому, что Rust не является #bootstrap абельным (я не могу собрать его из исходников, не имея под рукой готовый компилятор Rust, подробности в моей эпопее с #mrustc), а это зашквар.
😁65👏2💊2🤡1🐳1😐1
Пока вы спите там Let's Encrypt поплохело

https://letsencrypt.status.io/

Incident Status
Service Disruption

Components
acme-v02.api.letsencrypt.org (Production), {e,r}[1-14].o.lencr.org, acme-staging-v02.api.letsencrypt.org (Staging), stg-{e,r}[1-14].o.lencr.org
🫡24😭91