Из репозитория PyPI исключены три вредоносные библиотеки с бэкдорами
Эксперты компании ReversingLabs изучили более миллиона пакетов из репозитория PyPI (Python Package Index) и обнаружили неско…
Slack сбрасывает пароли пользователей из-за взлома 2015 года
Разработчики корпоративного мессенджера Slack принудительно сбросили пароли примерно 100 000 пользователей. Дело в том, что …
Роскомнадзор оштрафовал Google на 700 000 рублей
Google оштрафовали за несоблюдение российского законодательства. Проблему нашли в области фильтрации запрещенного контента: …
В Drupal исправили критическую уязвимость, с помощью которой можно было захватывать сайты
В Drupal 8.7.4 и Drupal 8.7.3 была обнаружена критическая уязвимость, которая могла использоваться для полного захвата контр…
Атака Spearphone помогает подслушивать пользователей Android без их ведома
ИБ-специалисты разработали новую side-channel атаку, которая позволяет подслушивать пользователей, в обход системы разрешени…
Крупного китайского разработчика заблокировали в Google Play из-за агрессивной рекламы
Китайская компания CooTek, ранее уже вызывавшая вопросы у ИБ-экспертов, была заблокирована в каталоге приложений Google. Все…
Криптуем по-крупному. Разбираемся с режимом гаммирования из ГОСТ 34.13—2015
Режим гаммирования, в отличие от режима простой замены, позволяет шифровать сообщения произвольной длины без применения операции дополнения (паддинга). Сегодня мы поговорим о том, как реализуется такой режим, и напишем все необходимые для его реализации функции.
Троян Extenbro поменяет DNS и блокирует доступ к сайтам защитных решений
Специалисты Malwarebytes Labs обнаружили трояна Extenbro, который не только поменяет DNS для показа рекламы, но и не дает по…
Исследователь получил 10 000 долларов за обнаружение XSS-уязвимости в Tesla
Независимый исследователь обнаружил XSS-уязвимость в своей Tesla Model 3. Баг позволял извлечь и модифицировать информацию о…
Тысячи NAS компании Lenovo были доступны любому желающему из-за бага
Исследователи обнаружили, что неавторизованные атакующие могли иметь доступ к файлам, хранившимся на устройствах NAS Iomega …
Хакер похитил личные данные миллионов жителей Болгарии и поделился ими со СМИ
Анонимный злоумышленник похитил личные данные миллионов граждан Болгарии. Судя по всему, дамп был извлечен из сети Националь…
Проект Red Team: роли и области экспертизы. Колонка Дениса Макрушина
Красная команда имитирует действия атакующего, чтобы помочь оценить эффективность защитных мер и улучшить безопасность. В этой статье я разберу, как устроены такие команды и какие нужны области экспертизы для успешной реализации kill chain и демонстрации результатов.
О чем пишет (и не пишет) «Хакер». Колонка главреда
Еще один месяц позади, а это значит, ваш почти что новый главный редактор должен сесть и сочинить еще одну колонку — как и обещал. Справится ли он с задачей? Какие темные секреты редакции он раскроет? Сколько раз он отвлечется, чтобы решить дела государственной важности или почитать «Твиттер»? Сейчас узнаем!
ФБР обнародовало мастер-ключи для дешифровки файлов, пострадавших от GandCrab
Представители ФБР опубликовали мастер-ключи для дешифровки файлов, пострадавших от GandCrab версий 4, 5, 5.0.4, 5.1 и 5.2.
Check Point: Emotet почти не проявлял активности в июне
Исследователи заметили, что банкер Emotet не работал почти весь июнь. Вероятно, его инфраструктура была отключена для обслуж…
Установленный 100 000 раз неофициальный клиент Telegram отправлял пользователей на вредоносные сайты
Специалисты Symantec предупредили, что через Google Play распространялся неофициальный клиент для Telegram, MobonoGram 2019,…
Фишинговый набор 16Shop атакует пользователей Amazon
Фишинговый набор 16Shop обновился и теперь атакует не только пользователей Apple.
ВзломХардкор
Великий пакостник. Пробираемся через дебри IPv6 к root-флагу виртуалки с Hack The Box
В этой статье я покажу, как получить права суперпользователя на виртуальной машине Mischief с CTF-площадки Hack The Box. Этот забег даст нам навыки работы с протоколом SNMP, приоткроет завесу тайны IPv6-маршрутизации, поможет разобраться с механизмом распределения прав доступа ACL, а под занавес мы построим и протестируем полноценный ICMP-шелл на Python.
Уязвимость в Instagram позволяла захватить любой аккаунт за считанные минуты
Независимый исследователь получил 30 000 долларов за обнаруженную в Instagram уязвимость.
Исходный код шифровальщика DoppelPaymer напомнил экспертам другую угрозу: вымогателя BitPaymer
Специалисты CrowdStrike обнаружили шифровальщика DoppelPaymer, активного как минимум с середины июня.
Злоумышленники могут манипулировать файлами, передаваемыми через WhatsApp и Telegram
Эксперты Symantec предупреждают, что популярные мессенджеры для Android используют внешнее хранилище (External Storage) и эт…
Троян для Android маскировался под обновление для OpenGL ES
В Google Play обнаружили малварь, позволявшую дистанционно управлять инфицированными Android-устройствами.
Исследователи научились извлекать данные с изолированных машин с помощью диодов на клавиатуре
Специалисты из израильского Университета имени Бен-Гуриона представили новый метод извлечения данных с физически изолированн…
Злоумышленники изменили настройки DNS для 180 000 роутеров в Бразилии
За последние месяцы специалисты Avast зафиксировали более 4,6 млн drive-by атак на роутеры бразильских пользователей.
ТрюкиДля начинающих
Основы цифровой схемотехники. Собираем сумматор с ускоренным переносом из дискретных микросхем
Говорят, древние программисты собирали свои компьютеры самостоятельно, уверенно обращались с паяльником и знали ассемблер. Но потом эти умения были безвозвратно погребены под слоями абстракции, и теперь каждый программер — специалист в узкой области. Так зачем тебе схемотехника, если ты не работаешь с железом? Попробую показать на примере.
Веб-сервер Zoom уязвим перед удаленным исполнением произвольного кода
Исследователи предупредили, что скрытый веб-сервер приложения для конференций Zoom может представлять не только теоретическу…
Подрядчики Google слушают разговоры пользователей с Google Assistant
Один из подрядчиков Google допустил утечку данных, и разговоры пользователей с помощником Google Assistant оказались в распо…
Японская криптовалютная биржа Bitpoint пострадала от взлома. Похищено 32 млн долларов
Администрация биржи сообщает, что компрометация затронула холодные и горячие кошельки Bitpoint. Из-за атаки пользователи пот…
Новые атаки MageCart используют неправильно настроенные бакеты AWS S3. Пострадали более 17 000 сайтов
Эксперты компании RiskIQ сообщили о новом витке атак MageCart. Теперь преступники ищут плохо настроенные бакеты AWS S3 и лом…
Архивный сервер Pale Moon взломан, старые версии браузера заразили малварью
Разработчики браузера Pale Moon сообщили, что архивный сервер проекта был взломан 18 месяцев назад. Старые версии браузера о…
Apple временно отключила приложение Walkie-Talkie, так как оно позволяло подслушивать пользователей
Ошибка в популярном приложении для Apple Watch позволяла слушать микрофон iPhone без разрешения.
Часы наизнанку. Извлекаем и анализируем данные Apple Watch
Apple Watch — одна из самых популярных в мире марок умных часов. Последняя их версия оснащена полным набором датчиков и процессором, мощность которого превосходит бюджетные (и даже не очень бюджетные) модели смартфонов. При помощи часов Apple собирает огромные массивы данных. Что происходит с этими данными, где они хранятся и как их извлечь? Попробуем разобраться.
Microsoft исправила две уязвимости, находившиеся под атаками хакеров
В этом месяце инженеры Microsoft устранили 77 уязвимостей в продуктах компании, 14 из которых были оценены как критические, …
Вымогатель eCh0raix атакует устройства QNAP NAS
Написанный на Go шифровальщик eCh0raix атакует устройства QNAP NAS.
Вредонос «Агент Смит» подменяет настоящие мобильные приложения копиями с рекламой
Эксперты компании Check Point обнаружили новую угрозу для Android, получившую имя Agent Smith. Малварь уже проникла в Google…
Обновление McAfee Endpoint Security мешает пользователям войти в Windows
Обновление McAfee Exploit Prevention обернулось головной болью для системных администраторов по всему миру.
IBM X-Force Red. Как красная команда IBM проверяет организации на прочность
У моего сына как-то спросили в школе: «Кем работает твоя мама?» Он сказал — медсестрой. А когда спросили про папу, он ответил: «Мой папа крадет вещи, но это нормально, потому что ему за это платят!» Как видите, работать в красной команде — это не самая обыкновенная карьера. Я расскажу о том, как пришел к ней, с самого начала, и это объяснит многое из того, чем мы занимаемся.
Для Raspberry Pi 4 представлена официальная версия Kali Linux
Разработчики Offensive Security представили Kali Linux для новых Raspberry Pi 4.
В Мьянме найдены новые образцы спайвари FinFisher для Android и iOS, применявшиеся в 20 странах
Эксперты «Лаборатории Касперского» обнаружили обновленные версии FinFisher (FinSpy), способные собирать и извлекать широкий …
СМИ обнаружили в сети учетные данные 450 000 пользователей Ozon
РБК сообщает, что в сети доступна база, содержащая учетные данные пользователей Ozon, и утечка могла произойти более полугод…
Материалы для подписчиков
Трюки
Вопросы по материалам и подписке: support@glc.ru
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —
самой забойной защитой от DDoS в мире
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —самой забойной защитой от DDoS в мире