Gyazo взломали. Утечка затронула 23 млн записей
Представители японской компании Helpfeel сообщили о взломе сервиса Gyazo, предназначенного для создания скриншотов, GIF и ко…
Продукты «Хакера»
-
Ежеквартальный «Хакер» #3
Лучшие статьи квартала на бумаге
2 000 ₽
Заказать журнал -
Годовая подписка на Xakep.ru
Полный доступ к статьям и архиву выпусков
6 000 ₽ в год
Подписаться -
«Пентест WEB» для начинающих
Совместный курс «Хакера» и лаборатории «Хаксет»
7 000 ₽
Купить курс -
Спецвыпуск «Хакера» #4
Лучшие статьи за 2021–2022 годы на бумаге
2 000 ₽
Заказать журнал
Специалист Google внедрился в хак-группу TeamPCP
В Google рассказали, что аналитик дочерней компании Mandiant несколько месяцев находился под прикрытием и внедрился в хак-гр…
ИИ-модель Gemini атаковала три посторонние организации
По данным СМИ, во время тестирования ИИ-модель Google Gemini самостоятельно получила несанкционированный доступ к системам т…
ФБР изъяло домены DDoS-сервиса NightmareStresser
ФБР изъяло два домена NightmareStresser — сервиса, предназначенного для DDoS-атак по найму. По данным американских властей, …
Реверс EVM-кода. Учимся вскрывать байт-код виртуальной машины Ethereum
8 января 2026 года злоумышленник вывел примерно 8535 ETH (на тот момент около 26,4 миллиона долларов) из смарт-контракта проекта Truebit. Ошибка в функции расчета цены позволила атакующему минтить новые токены почти бесплатно. После атаки цена токена TRU обрушилась более чем на 99% за несколько часов.
Сразу четыре хак-группы пользуются эксплоит-китом BlueMoon
Исследователи из компании Proofpoint обнаружили новый эксплоит-кит BlueMoon, который объединяет три уязвимости в Chrome и Wi…
Группировка ShinyHunters взломала сайт хак-группы Clop
Группировка ShinyHunters взломала и дефейснула Tor-сайт вымогательской группы Clop (она же Cl0p). Участники ShinyHunters утв…
Три из четырех: вышел третий ежеквартальный «Хакер»
Бумажная серия ежеквартальных номеров «Хакера» за 2026 год уже добралась до третьего выпуска. В новом журнале мы собрали лучшие материалы последних месяцев, а одной из главных тем стали роутеры и сети: наши авторы вытаскивают root shell из роутера без пароля, изучают провайдера с плохо изолированной сетью и собирают конфигурацию для одновременной работы с несколькими сетями.
Хакеры разобрали камеру Flock и обнаружили функцию детектирования людей
Хакеры из группы stegan0gram демонтировали и похитили дорожную камеру Flock Safety, скопировали почти все хранившиеся на ней…
Группировка Hive0117 атакует бухгалтеров с помощью FMVT RAT
Специалисты F6 сообщили о возвращении финансово мотивированной группировки Hive0117, которая не проявляла активности несколь…
ОАЭ и Швеция раскрыли сеть отмывания денег на $7,1 млн через криптовалюту
Полицейские в ОАЭ и Швеции задержали семь человек по подозрению в участии в международной ОПГ, занимавшейся отмыванием денег…
В WordPress появится автоматизированная проверка плагинов
Разработчики WordPress запускают автоматическую проверку безопасности, которая будет проводиться перед распространением кажд…
Google патчит 0-day-уязвимость в устройствах Pixel
Разработчики Google выпустили сентябрьские патчи для смартфонов Pixel, исправляющие 110 уязвимостей. Среди них была уязвимос…
Минфин США ввел санкции против иранской криптобиржи Bitbank
17 сентября Министерство финансов США ввело санкции против иранской криптовалютной биржи BitBank. По версии американских вла…
Банкер KREMLIN ворует учетные данные и сессионные токены из Chrome и Edge
Исследователи из Elastic Security Labs изучили банковскую малварь KREMLIN, которая может без ведома пользователя устанавлива…
Троян MovieReaper маскируется под «Одиссею» на торрент-трекерах
Специалисты «Лаборатории Касперского» обнаружили ранее неизвестную модульную малварь MovieReaper, которая распространяется п…
Мошенники получили данные клиентов Revolut через почту властей Италии и теперь требуют выкуп
Утечка данных клиентов финтех-компании Revolut оказалась связана с компрометацией сертифицированной электронной почты италья…
Хакеры взломали аккаунт HBO Max на Reddit и распространяли ClickFix-рекламу
Хакеры скомпрометировали официальный аккаунт HBO Max на Reddit и использовали его для распространения вредоносной рекламы. П…
Суровая малиновая утка. Собираем Rubber Ducky на базе RP2040
Я постоянно вижу компьютеры без присмотра, к которым так и хочется подойти и ввести какую-нибудь полезную — от слова «пейлоад» — команду. Но делать это вручную долго и некрасиво. А что, если собрать простое устройство USB, которое будет уверенно косить под безобидную клавиатуру? Именно так я и поступил.
Шлюзы Cisco Secure Email Gateway можно взломать с помощью вредоносного письма
Специалисты Cisco исправили критическую уязвимость в Secure Email Gateway — шлюзе, который должен защищать почту от вредонос…
Denuvo подала в суд на крякера voices38 за обход DRM-защиты
Австрийские разработчики Denuvo подали в суд на анонимного крякера, известного под ником voices38 и специализирующегося на о…
Байт за байтом. Учимся восстанавливать структуры данных с помощью Ghidra и GDB
Сегодня мы разберем на практике, как реверсировать неизвестный бинарник C++ и восстанавливать скрытые структуры данных по косвенным признакам. Совместим статический анализ в Ghidra с динамическим анализом в GDB, проверим гипотезы экспериментами и разберемся, как устроено хранение коротких и длинных строк в std::string. Заодно увидим, почему в реверсе важно не доверять первой догадке и подтверждать выводы экспериментом.
Хакеры заявили о компрометации инфраструктуры туроператора Tez Tour
Хак-группа DataSuckers заявила о взломе туроператора Tez Tour. 15 сентября атакующие дефейснули сайт компании и заявили о ко…
Агентов OpenAI связали с атакой на RubyGems
ИБ-исследователи полагают, что за масштабной спам-кампанией, направленной на RubyGems в мае 2026 года, стоял рой автономных …
Опубликована программа конференции ZeroNights 2026
30 сентября эксперты ИБ уже в двенадцатый раз соберутся в Санкт-Петербурге, чтобы поделиться опытом с хакерским комьюнити. О…
Расширение для Twitch раскрыло OAuth-токены десятков тысяч пользователей
Специалисты компании Socket обнаружили, что браузерное расширение Twitch Enhanced Viewer | JeetBot, ориентированное на русск…
Хакер использовал сотни ИИ-агентов для атак на PaperCut
Специалисты GreyNoise и Blackpoint Cyber обнаружили масштабную кампанию, нацеленную на серверы PaperCut NG и MF. Неизвестный…
Anthropic: Claude Opus 4.6 атаковал реальные системы во время тестов
Специалисты компании Anthropic раскрыли информацию о четвертом инциденте, в рамках которого модель Claude Opus 4.6 вышла за …
«Бизнес в стиле Ж»: о кризисах, переменах и умении начинать заново
Истории предпринимателей часто рассказывают с точки зрения удачных запусков и больших достижений. В книге «Бизнес в стиле Ж» Дмитрий Агарунов показывает и другую сторону бизнеса: неверные решения, закрытые проекты, кризисы и моменты, когда привычная модель перестает работать и приходится искать новую.
Уязвимость в Telegram позволяла внедрить JavaScript в HTML-файлы с экспортом чатов
Исследователи обнаружили уязвимость в Telegram Desktop, позволявшую незаметно внедрять JavaScript-код в HTML-файлы, в которы…
Apple Watch смогут слушать и конспектировать разговоры пользователей
В часах Apple Watch Series 12, представленных на прошлой неделе, появились функции Live Rewind и Siri Recap, которые обрабат…
Лютый вайб! Подбираем бесплатные тулзы для вайбкодинга
Признавайся, вайбкодишь, пока никто не видит? Специально для тебя я перелопатил сотню инструментов и подобрал то, что реально дает хороший результат. Ты сможешь выбрать инструменты для самых разных задач — от простого кодинга до нишевых нужд.
В IDScan подтвердили утечку 153 млн водительских удостоверений
Представители сервиса для верификации личности IDScan подтвердили, что злоумышленники взломали облачную платформу компании. …
Anthropic и власти США обвиняют китайские компании в дистилляции ИИ-моделей
Специалисты Агентства по кибербезопасности и защите инфраструктуры США (CISA), АНБ и ФБР заявили, что китайские ИИ-компании …
Сентябрьские обновления нарушили работу RDS в Windows Server
Представители Microsoft подтвердили, что сентябрьские обновления вызывают сбои в работе Remote Desktop Services (RDS). После…
Project Lily: сотни подрядчиков читают чаты пользователей ChatGPT
Журналисты издания 404 Media выяснили, что сотни подрядчиков OpenAI читают промпты и переписки пользователей с ChatGPT, чтоб…
CERT предупреждает о небезопасности наушников Skullcandy
Специалисты CERT/CC предупредили об уязвимости в беспроводных наушниках Skullcandy Dime 3: устройства принимают запросы на B…
Anthropic: модели Claude используются для кибератак, разработки малвари и оружия
Специалисты Anthropic опубликовали 154-страничный отчет, рассказывающий о злоупотреблениях моделями Claude. С декабря 2025 п…
HTB Silentium. Превращаем доступ к ИИ-платформе Flowise в выполнение команд
Когда сервис для сборки AI-агентов принимает пользовательскую конфигурацию и затем выполняет ее как JavaScript, доступ к панели управления легко превращается в удаленное выполнение команд. В этой статье посмотрим, как сначала попасть в Flowise, используя утекший токен сброса пароля, а в конце повысим привилегии через атаку с символическими ссылками в Gogs.
119 000 фальшивых интернет-магазинов воруют данные банковских карт
Специалисты из немецкого ИБ-стартапа Nebty обнаружили масштабную мошенническую сеть DoppelCart, которая размещает поддельные…
Бумажный выпуск
Материалы для подписчиков
Вопросы по материалам и подписке: support@glc.ru
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —
самой забойной защитой от DDoS в мире
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —самой забойной защитой от DDoS в мире