WordPress-плагин, установленный на 5 млн сайтов, позволял повысить привилегии
В популярном плагине LiteSpeed Cache для WordPress обнаружили уязвимость, которая позволяет неавторизованным пользователям п…
Продукты «Хакера»
-
Ежеквартальный «Хакер» #3
Лучшие статьи квартала на бумаге
2 000 ₽
Заказать журнал -
Годовая подписка на Xakep.ru
Полный доступ к статьям и архиву выпусков
6 000 ₽ в год
Подписаться -
«Пентест WEB» для начинающих
Совместный курс «Хакера» и лаборатории «Хаксет»
7 000 ₽
Купить курс -
Спецвыпуск «Хакера» #4
Лучшие статьи за 2021–2022 годы на бумаге
2 000 ₽
Заказать журнал
Китайский производитель ПК Acemagic подтвердил, что его устройства поставлялись с малварью
Китайская компания Acemagic признала, что некоторые ее товары поставлялись с предустановленной малварью. В компании объясняю…
Исследователь нашел бэкдор в коде Tornado Cash
В коде криптовалютного миксера Tornado Cash обнаружили вредоносный JavaScript, который почти два месяца передавал данные деп…
В Windows появятся хотпатчи, не требующие перезагрузок
С релизом Windows 11 24H2, который запланирован на осень 2024 года, в операционной системе появится возможность установки об…
MEGANews. Самые важные события в мире инфосека за февраль
В этом месяце: хакеры украли у AnyDesk исходный код и сертификаты подписи кода, обнаружен сервис OnlyFake, генерирующий фальшивые документы, правоохранители хакнули инфраструктуру группировки LockBit, Avast оштрафовали за торговлю данными пользователей, для Flipper Zero вышел новый модуль, а также другие интересные события февраля.
Представлена Kali Linux 2024.1 с четырьмя новыми инструментами
Разработчики Kali Linux выпустили первую в текущем году версию 2024.1, которая обзавелась четырьмя новыми инструментами, обн…
Исследователи нашли уязвимости в интерактивном роботе для детей
Исследователи «Лаборатории Касперского» изучили игрушечного интерактивного робота и обнаружили уязвимости ряд неприятных уяз…
3D-принтеры Anycubic подверглись массовому взлому
Владельцы 3D-принтеров Anycubic массово сообщают, что кто-то взломал их устройства и оставил записку с предупреждением о том…
Сайты правительств и университетов взламывают через старый редактор FCKeditor
Злоумышленники используют старый редактор, прекративший свое существование 14 лет назад, для компрометации сайтов образовате…
Вымогатели Mogilevich заявили о взломе Epic Games и хищении 189 ГБ данных
Хак-группа Mogilevich утверждает, что взломала компанию Epic Games, похитив 189 ГБ данных, включая email-адреса, пароли, пол…
К атакам на ScreenConnect присоединились хакеры из Black Basta и Bl00dy
Хак-группы Black Basta и Bl00dy присоединились к массовым атакам, направленным на серверы ScreenConnect, уязвимые перед свеж…
Code 27. Пентестим сети с наименьшим ущербом
MITM — это самая импактная атака, которую можно провести в сети. Но одновременно это и самая опасная техника с точки зрения рисков для инфраструктуры. В этой статье я расскажу о том, как спуфить при пентесте, чтобы ничего не сломать по дороге и не устроить DoS.
Уязвимость в Apple Shortcuts приводила к утечке конфиденциальных данных
Серьезная уязвимость в приложении Apple Shortcuts («Быстрые команды») позволяла злоумышленникам получить доступ к конфиденци…
СМИ: в Красном море повреждены четыре кабеля, соединяющие Европу, Азию и Африку
По информации израильской газеты Globes, хуситы из радикального йеменского движения «Ансар Аллах» повредили до четырех комму…
LockBit восстанавливает инфраструктуру после операции правоохранителей
Хак-группа LockBit, инфраструктуру которую недавно взломали правоохранительные органы, возобновляет работу после непродолжит…
PayPal патентует новый способ обнаружения украденных cookie
Компания PayPal патентует новый метод, позволяющий обнаружить кражу супер-cookie, что может улучшить механизм аутентификации…
Вызывайте санитайзер! Фаззим исполняемые файлы при помощи AFL++ с санитайзерами
Фаззинг, как ты, наверное, знаешь, — это техника, которая позволяет автоматизировать поиск уязвимостей в софте. Бывает фаззинг методом «черного ящика», когда у нас нет исходников программы, а бывает основанный на покрытии — то есть применяемый к исходникам. В этой статье сосредоточимся на втором виде и на примере AFL++ разберем, какую роль здесь играют санитайзеры и как их применять.
Mysterious Werewolf атакует российский ВПК
Исследователи сообщают, что хак-группа Mysterious Werewolf, активная с 2023 года, теперь атакует предприятия российского вое…
Уязвимость в популярном WordPress-плагине Ultimate Member ведет к утечке данных
Исследователи предупредили о критической уязвимости (SQL-инъекция) в популярном плагине для WordPress, который насчитывает б…
8000 доменов известных компаний использовались для массовой рассылки спама
Эксперты Guardio Labs обнаружили масштабную мошенническую кампанию SubdoMailing. Хакеры использовали более 8000 заброшенных …
Американские власти оштрафовали Avast на 16,5 млн долларов за продажу данных пользователей
Федеральная торговая комиссия США (FTC) обвинила компанию Avast в нарушении прав миллионов потребителей. Речь идет о незакон…
Опенсорсный червь SSH-Snake ворует ключи SSH
Аналитики компании Sysdig, специализирующейся на облачной безопасности, предупредили о появлении опенсорсного инструмента S…
XSS-уязвимости в Joomla могли привести к выполнению произвольного кода
В популярной CMS обнаружили и исправили сразу пять уязвимостей, которые могли использоваться для выполнения произвольного ко…
HTB Visual. Захватываем сервер на Windows через проект Visual Studio
В этом райтапе я покажу, как проникнуть на хост через бэкдор в настройках проекта Visual Studio. Затем получим сессию от имени службы веб‑сервера, активируем привилегию SeImpersonate и используем очередную «картошку» для выполнения кода от имени системы.
Критические баги SlashAndGrab в ScreenConnect взяли на вооружение вымогатели
Эксперты предупредили, что критическая уязвимость в ConnectWise ScreenConnect (CVE-2024-1709), получившая название SlashAndG…
Роскомнадзор: в 2024 году в сеть уже утекли 510 млн записей россиян
По данным Роскомнадзора, с начала 2024 года зафиксировано 19 случаев утечки персональных данных, и в сеть попали более 510 м…
Те самые инъекции. Колонка главреда
Недавно в «Хакере» вышла статья, посвященная основе основ веб‑безопасности — SQL-инъекциям. Возможно, кто‑то заметил мое присутствие в комментариях под ней, и это неспроста. Для меня ее публикация — одно из важнейших событий в «Хакере» за последнее время.
Атака VoltSchemer использует беспроводные зарядки для ввода голосовых команд и повреждения устройств
Группа исследователей из Университета Флориды и компании CertiK продемонстрировала набор атак VoltSchemer, нацеленных на бес…
Хакеры злоупотребляют Google Cloud Run для распространения банковских троянов
Специалисты Cisco Talos обнаружили, что с сентября 2023 года хакеры злоупотребляют сервисом Google Cloud Run для массового р…
VMware просит администраторов как можно скорее удалить EAP
Компания VMware призвала администраторов удалить устаревший аутентификационный плагин VMware Enhanced Authentication Plug-in…
ChatGPT напугал пользователей бессвязными и бессмысленными ответами
Начиная со вторника пользователи ChatGPT стали массово сообщать о странном поведении чат-бота OpenAI. Люди писали, что ИИ ве…
Мошенники пытались обмануть Apple, обменяв 5000 фальшивых iPhone на настоящие
Двух граждан Китая признали виновными в передаче Apple более 5000 поддельных iPhone (на сумму более 3 млн долларов США) с це…
Более 13 000 пользователей камер Wyze заглянули в чужие дома
Компания Wyze Labs поделилась новыми подробностями об инциденте с камерами наблюдения, который произошел в конце прошлой нед…
Исходники вымогателя Knight выставлены на продажу
Исходный код третьей версии вымогателя Knight выставлен на продажу на хакерском форуме одним из представителей группировки, …
Вредонос Migo отключает защиту на серверах Redis
Исследователи обнаружили вредоноса Migo, который написан на Go и атакует серверы Redis на Linux-хостах ради добычи криптовал…
Выносим мозг. Как работают эксплоиты социальной инженерии
Социальную инженерию часто применяют при комплексных пентестах, и зачастую успешно, но, понимая принципы психологии и составив сценарий с их учетом, можно значительно повысить процент успешных взаимодействий. В этой статье мы разберем основные уловки и причины, по которым они работают.
Полиция арестовала нескольких участников LockBit и выпустила дешифровщик
Правоохранители поделились дополнительной информацией об операции Cronos, во время которой была взломана инфраструктура вымо…
Более 28 500 серверов Exchange уязвимы перед свежим багом
Исследователи подсчитали, что порядка 28 500 серверов Microsoft Exchange уязвимы перед критической проблемой повышения приви…
FACCT и МВД сообщили о ликвидации вымогательской группы SugarLocker
МВД России, при поддержке специалистов компании FAССT (бывшая Group-IB), вычислило и задержало участников хак-группы SugarLo…
Хакеры атакуют RCE-уязвимость в Brick Builder Theme для WordPress
Критическая уязвимость, связанная с удаленным выполнением произвольного кода в теме Brick Builder Theme для WordPress, испол…
Бумажный выпуск
Материалы для подписчиков
Вопросы по материалам и подписке: support@glc.ru
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —
самой забойной защитой от DDoS в мире
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —самой забойной защитой от DDoS в мире