Есть мнение, что банковские CISO — скучные ребята. Героя сегодняшней истории скучным назвать точно нельзя. Кому-то он известен как топовый багхантер Яндекса, кому-то как создатель открытой базы уязвимостей Vulners, а кому-то — просто как крутейший спец по корпсеку. Итак, знакомься — Кирилл «isox» Ермаков, главный безопасник QIWI!

Свершилось! Аркадий Дьяконов (darkaha@mail.ru) победил задачи, поставленные перед нашими читателями экспертами компании ABBYY, за что и был награжден сертификатом на FineReader. Слава ему!

Как любителю музыки, мне особенно интересно писать этот обзор – наушники одной из описанных фирм служат мне уже три года. Наш рынок аксессуаров наполнен моделями азиатских и европейских производителей, однако встречаются и несколько по-настоящему крутых американских. Но далеко не всю продукцию американские производители поставляют в Россию: многие интересные модели вполне имеет смысл покупать на родном рынке США.

Когда мы говорим об анонимности в интернете, то чаще всего подразумеваем такие проекты, как Tor, I2P, Tor Browser, DNSCrypt и Live CD TAILS, включающий в себя все перечисленное. Однако существует менее известная, но очень интересная система Whonix, использующая виртуализацию в качестве средства изоляции рабочей станции от глобальной сети и способная защитить твою анонимность даже после взлома.

Многие продвинутые пользователи Android после приобретения нового девайса получают права root, чтобы тонко настроить смартфон и установить приложения, добавляющие полезную функциональность в ОС. На самом деле даже без root Android — очень гибкая и настраиваемая ОС, позволяющая изменять свой интерфейс и существенно расширять возможности.

Android — самая кастомизируемая мобильная ОС большой тройки. Возможности сторонних приложений здесь очень широки, а сама ОС построена вокруг идеи о взаимозаменяемых компонентах, так что никто не ограничивает тебя в выборе софта. Зачем же тогда получать root? Ведь система и без того поощряет кастомизацию и расширение.

Этой статьей мы продолжим наш совместный проект с «Бандеролькой», которая в рамках акции снизила стоимость доставки различных девайсов из Америки. Теперь стоимость доставки планшета или экшн-камеры составляет всего 20 баксов. Посмотрим, что хорошего в этой области нам предлагают Соединенные Штаты Америки.

Бесплатные антивирусы есть в арсенале многих софтверных компаний. Они выпускаются как реклама платных версий с дополнительными функциями и применяются для сбора статистики (ну и заодно снижают общее количество зараженных компьютеров в мире). Подходы у всех разработчиков разные, и среди них встречаются интересные решения. На этот раз мы проверим ClamWin Free Antivirus с модулем Clam Sentinel, FortiClient for Windows, NANO Антивирус и Tencent PC Manager.

Новости о нейронных сетях появляются каждый день. То сети научились определять пол и возраст людей по фотографии, то обыграли человека в очередную настольную игру, то начали генерировать научные тексты, код приложений и писать картины в духе Сальвадора Дали. А завтра Скайнет отберет у тебя работу, автомобиль, жизненное пространство, а тебя самого... нет, не утилизирует, а удобно разместит на диване и заставит ничего не делать, наслаждаясь безусловным доходом. Или все-таки нет?

Кто же не знает Winamp, The Bat, ICQ, Far Manager, WinRAR? Когда-то эти программы были установлены на каждом компьютере. Живы ли сейчас они и их менее известные современники? Обновляются ли? Будут ли последние доступные версии работать в Windows 10? Давай проверим!

Исследование американского рынка гаджетов продолжается: на этот раз поговорим о смартфонах. Заставить «притащить» смарт из-за океана может только одно — низкая цена. В этом обзоре мы попробуем разобраться, насколько она низкая.

В этом выпуске — скрипт для поиска сигнатур антивирусов, умный сетевой фаззер, Java-фреймворк для анализа TLS-библиотек, Python-библиотека для взлома криптографии, анализатор вредоносного кода, утилита для удаленного управления и IDE для разработки скриптов под Nmap. Stay Tuned!

Антивирусным компаниям не так часто удается проследить весь цикл хакерской атаки. Как правило, они могут проанализировать сам вредоносный код и в некоторых случаях определить источник заражения. Но на этот раз нам сопутствовала удача: мы смогли отследить всю историю активности печально известного Marcher — вредоносного ПО для мобильных банков.

Развертывание большого количества систем и приложений — задача непростая и многоэтапная. За долгое время было разработано большое количество технологий и инструментов, их реализующих, поэтому с ходу разобраться не всегда просто. Сobbler сводит разные решения в один проект, а единый интерфейс позволяет не отвлекаться на особенности работы с каждым из них.

Команда специалистов по влажной уборке городов рассказывает об участии в соревновании «CityF: противостояние», прошедшем в рамках Positive Hack Days 2016.

Capture the Flag (CTF) — это игра, в которой участники пытаются захватить флаг противников и защитить свой. Популярной ее сделали командные шутеры вроде Quake и Team Fortress, но в какой-то момент хакерам пришла идея спроецировать CTF на информационную безопасность. О том, как выглядит результат, и пойдет речь в этой статье.

Акция «Бандеролька Гаджетов» позволяет доставлять гаджеты из США по низким ценам. Мы решили разобраться, выгодно ли заказывать часы и фитнес-трекеры из Америки или же проще и дешевле купить в российских интернет-магазинах.

Случайным образом, копая очередной BugBounty, я натолкнулся на цепочку уязвимостей в достаточно популярном почтовом клиенте от IT-гиганта Mail.Ru. Эксплуатация уязвимостей из этой цепочки не требовала на устройстве особых прав и могла привести к полной компрометации содержимого почтового ящика жертвы или даже содержимого SD-карты. В статье я опишу методы, с помощью которых были найдены эти уязвимости, вспомогательные тулзы и финальный вектор с демонстрацией на видео.

В сегодняшнем обзоре мы рассмотрим многочисленные уязвимости в IP-камере Motorola Focus. Помимо дефолтных и слабых паролей, там еще много интересного. К тому же ее прошивка используется и другими производителями, что открывает новые пути исследования. Также разберем DoS-уязвимость и хакерское использование функции procedure analyse() в MySQL.

В продолжении темы прошлого номера мы узнаем, каким образом в Android можно генерировать дополнительные потоки и зачем это может понадобиться. Сегодня поговорим о таком компоненте приложения, как сервисы, и опишем их роли в мобильном мире Android. Сервисы и потоки тесно переплетены между собой, поэтому, если ты еще не читал прошлый номер «Хакера», начни с моей статьи, будет полезно!

Фреймворк Multi-OS Engine — технология Intel, предназначенная для разработки кросс-платформенных мобильных приложений для iOS и Android из-под Windows или OS X. При этом на выходе должны получаться нативные приложения для каждой из платформ. А получаются ли? Давай посмотрим.

Только думаешь приобщиться к кодингу? Теряешься в многообразии языков и технологий? Радуйся, настал твой день: мы немного поднапряглись и всей редакцией выкатили для тебя интерактивный гайд по выбору языка программирования в зависимости от твоих потребностей. Неважно, хочешь ли ты писать мобильные игры, искать бэкдоры в прошивках ZTE или просто зарабатывать кодингом на жизнь, — мы предусмотрели все варианты. Крути схему, отвечай на вопросы, выбирай свою технологию... И не забудь потом перечислить нам процент с первой зарплаты. Так сказать, за наводку!

Настало время приступить ко второй части наших исследований и понабирать еще зеленоватых буковок на черном экране. Сегодня будет настоящий хардкор, мы привлечем все наши знания, чтобы составить действительно сложные и почти нечитаемые команды, с помощью которых перепашем кучу данных в параллельном режиме.

Новый iPhone SE за $399 или за $570? Выбор очевиден, особенно когда он не скрывает никаких «разводов» и секретных доплат, а товар доставляется с официального сайта Apple в США, где вся техника марки стоит на 170-300 долларов дешевле, чем в России. Давай посмотрим, как сэкономить на гаджетах и их доставке.

Сколько уже предпринималось попыток сделать пристойный редактор, который бы работал в браузере, и ни одна из них пока что не привела к появлению чего-то популярного и узнаваемого. Создатели векторного редактора Gravit — очередные желающие заменить веб-приложением если не Adobe Illustrator, то хотя бы бесплатный Inkscape. И надо признать, во многих случаях их творение может оказаться вполне конкурентоспособным.

Существует огромное количество кастомных прошивок для различных устройств. Сегодня мы познакомимся с Maru OS — основанной на Android 5.1.1 прошивке, которая при подключении смартфона к монитору превращает его в полноценный комп на базе Debian. Мы не только погоняем прошивку, но и пообщаемся с ее создателем.

В середине марта после почти двух месяцев разработки и семи release candidate Линус Торвальдс представил новую версию ядра 4.5. Кроме исправлений, в релизе действительно много нового. Изменения затронули все подсистемы — дисковую, работу с памятью, системные и сетевые сервисы, безопасность, и, конечно же, добавлены драйверы для новых устройств. Попробуем разобраться с некоторыми наиболее интересными.

Приложения с расширяемой функциональностью — обыденная вещь в настольных ОС. Большинство сложных, узкоспециализированных приложений позволяют подключать дополнения в виде плагинов или скриптов. Но как с этим обстоят дела в Android, где каждое приложение замкнуто в свою собственную песочницу, а распространять «просто библиотеки» через маркет нельзя?

При создании мобильного приложения чуть сложнее «Hello, world» почти наверняка требуется скачать что-то из Сети или считать файл с диска. Для стабильной работы программы в целом эти действия должны совершаться в отдельных потоках. Зачем, когда и как генерировать новые потоки в Android — об этом ты узнаешь в этой статье.

Как часто ты натыкаешься на скрипты администрирования MySQL? Лично я — постоянно. То Adminer проскочит, то старичок Sypex dumper промелькнет на периметре. Или, может быть, тебе попался скрипт, который может импортировать данные из сторонней БД? В общем, если у тебя есть возможность коннекта из приложения к своему серверу MySQL, то считай, что у тебя в кармане как минимум читалка файлов.

В двух предыдущих частях нашего обзора мы описали современные системы распознавания речи для Linux и попытались установить и настроить одну из них — CMU Sphinx. В заключительной части попробуем использовать наши наработки на практике, прикрутив движок Pocketsphinx к Android-устройству и контроллеру умного дома. Стоит сразу предупредить — для выполнения всех описанных ниже действий необходимо базовое знание Java.

Есть у коммерческого софта одна очень нехорошая особенность, которую я бы назвал бесконечным ростом функциональности: чтобы продажи новых версий софта не падали, компании начинают пихать в него все подряд. И если на десктопе это не такая уж проблема, то на мобильниках подобный софт приводит порой и к совсем непредсказуемым последствиям.

От чемоданчиков с поддельными базовыми станциями до эксплоитов HackingTeam: с какими угрозами сегодня приходится сталкиваться пользователям и корпорациям и как устроены серьезные защитные технологии.

«Стрекоза» — необычное имя для операционной системы семейства BSD. И это неспроста: система действительно странная, неоднозначная и полная противоречивых технических решений. У DragonFly гибридное ядро, что сближает ее с микроядерными операционками, она использует инновационный для своего времени подход для работы на SMP-системах, в ее состав включена непривычная по дизайну, но очень эффективная файловая система HAMMER, обладающая возможностями ZFS/btrfs и способная работать на кластере.

Мы уже неоднократно писали о замечательном проекте под названием WiGLE, участники которого собирают информацию о точках доступа Wi-Fi по всему миру. Но, как верно подметил один из читателей, отдельного упоминания заслуживает и его русский аналог, он называется 3WiFi.

Допустим, у нас есть 49 экземпляров малвари, полученной из будущего: антивирусы об этой малвари узнают только спустя неделю. Интересно, насколько эффективно сработает эвристика и проактивная защита современных internet security, если проверить ее не на известных вирусах, которые уже есть во всех антивирусных базах, а на таких вот зловредах?

Если компьютер заражен шифровальщиком или вымогательской программой какого-то другого типа, бывает неплохо первым делом определить, что именно это за вредитель. Знать на память все сообщения вымогателей могут разве что сотрудники антивирусных компаний или ветераны техподдержки. Сайт ID Ransomware призван каталогизировать эти знания и помочь разобраться всем остальным.

Создатели сети ZeroNet придумали, как сделать децентрализованную систему размещения сайтов на основе технологий BitTorrent и Bitcoin. ZeroNet был показан публике совсем недавно (в 2015 году), но там уже можно найти кое-что интересное. Создать сайт своими руками тоже очень несложно.

Сегодня в выпуске: определяем звонившего и блокируем спамеров, заводим мощный блокиратор номеров, никогда не пропускаем звонки от тех, кто этого действительно заслуживает, и пробуем новую фирменную звонилку от Google.