Осторожнее с отельным Wi-Fi: Microsoft предупреждает о новой масштабной атаке Если вы часто ездите по IT-конференциям, митапам или просто работаете удаленно из гостиниц, эта новость для вас. Microsoft выявила крупную кампанию хакерской группировки Storm-2945 (подразделение печально известной Midnight Blizzard), нацеленную на инфраструктуру общественных Wi-Fi сетей по всему миру. Главной точкой входа стали captive portals — те самые страницы авторизации, которые перехватывают трафик при первом подключении к публичной сети. По данным Microsoft, злоумышленники взламывают общие сервисы, которые используют сразу несколько операторов Wi-Fi. То есть компрометация одного провайдера дает хакерам доступ к огромному пулу отельных сетей. Когда вы подключаетесь к новой сети, ОС и браузеры автоматически пингуют определенные эндпоинты для проверки наличия интернета (например, http://detectportal.firefox.com/success.txt). В этот момент хакеры незаметно перехватывают процесс и редиректят вас на подконтрольную фишинговую инфраструктуру. Вместо обычной страницы авторизации пользователю подсовывают фальшивое окно с требованием «срочно установить обновление браузера или операционной системы». Под видом апдейта на девайс загружается малварь для кражи кредов (credential theft).

Что делать (база): - Никогда не скачивайте и не устанавливайте обновления софта (особенно браузеров), если вас просит об этом страница авторизации Wi-Fi. - Используйте надежный VPN (желательно с функцией Kill Switch), и включайте его сразу после прохождения captive portal. - Внимательно смотрите на URL страницы, куда вас редиректит при подключении. - Для рабочих поездок лучше вообще использовать мобильный хотспот, где это возможно.

#разное · yt · tg · ig

Первый компьютерный паразит, который похищает способность думать Рой из «Непобедимого» Станислава Лема начал собирать свое тело внутри человеческого интернета Исследователи университетов Торонто и Кембриджа запустили в изолированной сети ИИ-червя, который не просто размножался на зараженных машинах. Захватывая компьютеры с GPU, он превращал их в новые узлы собственного рассуждающего «мозга» – и использовал приобретенную вычислительную способность, чтобы искать следующих хозяев.   Девять лет назад я писал о материализации одного из самых красивых прозрений Станислава Лема. В романе «Непобедимый» земляне сталкиваются с черными роями микроскопических «насекомых». Каждое из них почти беспомощно. Но, объединяясь в самоорганизующуюся систему, они приобретают свойства, которых нет ни у одной отдельной особи. Рой становится новой формой существования материи.   В 1963 году, когда Лем написал роман, это казалось чистой фантастикой. Но спустя полвека физики из Стэнфорда обнаружили, что настоящие рои насекомых действительно способны самоорганизовываться в устойчивые агрегато-подобные фазовые состояния.   И вот теперь – следующий акт этой лемовской материализации. Медиа увидели в новой работе университетов Торонто и Кембриджа прежде всего очередной «опасный ИИ-вирус». Но самое интересное в ней вовсе не вирус. За результатами эксперимента можно увидеть нечто гораздо более фундаментальное: рождение нового состояния уже не материи, а цифровой среды.   Обычный компьютерный червь был похож на ключ, размножающий собственные копии. Он мог открывать миллионы дверей – но лишь одного, заранее известного типа. Стоило заменить замок, и эпидемия упиралась в стену.   Новый ИИ-червь устроен принципиально иначе. Каждая его копия самостоятельно рассуждает, выбирает способ атаки, ошибается, пробует снова и порождает новые копии. Если один агент не смог проникнуть на узел сети, приходит другой – с иной цепочкой рассуждений. Затем третий. Затем десятый. Постепенно отдельные попытки складываются в коллективный поиск. Авторы сами называют это роем.   Но, возможно, происходит нечто еще более фундаментальное. Перед нами возникает самоподдерживающаяся и самовоспроизводящаяся вычислительная инфраструктура, которая захватывает новые машины, чтобы наращивать не только свое тело, но и способность рассуждать. Если биологический паразит использует обмен веществ хозяина, то цифровой начинает использовать его способность вычислять. Он похищает не готовые «мысли» машины, а саму возможность производить «мысли».   Именно поэтому соучредитель Anthropic Джек Кларк пишет, что будущий интернет, вероятно, станет уже не сетью сайтов, а экосистемой взаимодействующих популяций ИИ-агентов. Одни будут занимать собственные экологические ниши, самовоспроизводиться и существовать практически без участия человека. Другие – выполнять роль своеобразных белых кровяных телец, охотящихся на первых.   Любопытно, что Лем часто ошибался в деталях, но почти никогда – в направлении. Его «насекомые» оказались не металлическими. И возникли они не в пустынях далекой планеты, а внутри самой информационной среды человечества. Предотвратить массовое появление подобных цифровых экосистем, скорее всего, уже не удастся. Вряд ли человечество успеет насытить инфосреду цифровыми лейкоцитами, прежде чем ее заполонят миллиарды адаптивных цифровых паразитов.    И такому прогнозу Лем, пожалуй, не удивился бы.   #КогнитивнаяПаразитология

Пароли заставляют менять каждые 90 дней. Почему именно 90? Никто толком не знает. Автор изучил документы и стандарты за последние 40 лет. В материалах, где безопасность действительно рассчитывали, этой цифры нет. Требование просто переходило из одних инструкций в другие, пока не стало привычным. При этом частая смена паролей может только ухудшить защиту. Люди начинают добавлять к старому паролю новую цифру, выбирать простые комбинации или записывать их на бумаге. Давайте разберемся, откуда взялись 90 дней, в каких случаях смена пароля действительно нужна и почему современные рекомендации советуют делать это только после признаков взлома.

🔑Иллюзия холодного хранения

как глупый баг в кошельках Coldcard стоил инвесторам $38 млн

На днях неизвестный хакер всего за 25 минут выпотрошил 500 кошельков Coldcard, разом утащив 594 BTC (около 38 миллионов долларов). Все украденные монеты были оперативно слиты на один адрес, а под удар попали кошельки с балансом от 0.15 BTC, многие из которых мирно лежали без движения годами. Проблема оказалась в механизме генерации сид-фразы. 🔍Специалисты из компании Block провели аудит и выяснили, что в прошивках, начиная с весны 2021 года (версии 4.0.0 и 4.0.1 для моделей Mk3), разработчики допустили фатальный косяк. В конфигурации сборки одна из библиотек лишь проверяла наличие настройки аппаратного генератора случайных чисел, но не проверяла, включена ли она. В результате устройство переключалось на программный костыль. Ваша секретная, математически непредсказуемая сид-фраза генерировалась на основе... заводского серийного номера чипа и показателей его тактового генератора. ⚡️Серийный номер - это статичные метаданные. Значения таймера - переменная, которую легко вычислить, имея на руках аналогичное устройство. Никакой истинной энтропии и случайности там не было в помине. Злоумышленнику оставалось лишь вывести правильную формулу и методично перебирать ключи, которые на деле оказались абсолютно предсказуемыми. 💬 Вы доверяете свои активы железу, но задумывались ли вы когда-нибудь, насколько на самом деле "случайны" ключи, которые оно вам генерирует? 🦔CyberYozh

Прочел про новый вид спама. Это гениально, по-моему. Вам приходит очередное письмо от крупного бренда, Пятерочки или Adidas. Содержание – образец унылого CRM-маркетинга, новые коллекции, новости продукта, прочий бред. Вы машинально пролистываете текст до заветной кнопки “отписаться от рассылки”, кликаете по ней и оказываетесь на фишинговом сайте. А он уже, например, просит логин-пароль от аккаунта – это вполне адекватная просьба при отписке, многие просят, многие вводят. Не надо выдумывать причины кликнуть, обещать миллионы и участие в сомнительных конкурсах. Просто кнопка «отписаться» мелким серым шрифтом внизу. Человек без тени сомнения нажимает сам! Для атаки нужно просто зарегистрировать домен похожий на настоящий. adidas-ecom.com наверняка свободен. Будьте осторожны.

⚡️Найден тот самый троян, который Claude по ошибке залил на PyPI Исследователи из Aikido Security, раскопали вредоносный Python-пакет под названием anthropickit 🔍Что было внутри anthropickit?

🟦Скрипт мгновенно парсил директорию .ssh, забирая приватные ключи. 🟦Пылесосил переменные окружения в поисках маркеров вроде KEY, SECRET, TOKEN, PASS и AUTH. 🟦Сливал всё это на Pipedream. 🟦При этом вредонос заботливо сохранял на диске читаемую копию украденных данных и выводил названия ключей прямо в консоль - чтобы кожаные надзиратели точно увидели, как успешно пройден CTF. 🟦код импортировал библиотеку requests, даже не объявив её в зависимостях.

🦔CyberYozh

🔐 Что такое принцип минимальных привилегий — Least Privilege? При изучении Active Directory, Windows, Linux, облаков или AppSec очень быстро встречается принцип Least Privilege.

📌 Least Privilege — это подход, при котором пользователю, сервису или приложению выдаются только те права, которые действительно нужны для выполнения его задачи.

Не больше. Простой пример: Если сотруднику нужно только читать документы из общей папки, ему не нужны права: — удалять файлы; — менять разрешения; — создавать новых пользователей; — устанавливать программы; — быть локальным администратором. Ему достаточно права:

Read

🧠 Чем больше прав у учётной записи, тем больше ущерб в случае её компрометации.

Поэтому вместо:

Пользователь
    ↓
Administrator

лучше:

Пользователь
    ↓
Только необходимые права

💡 Представьте бухгалтера. Для работы ему нужны: — доступ к 1С; — доступ к общей папке бухгалтерии; — возможность печати документов. Но ему совершенно не обязательно: — быть Domain Admin; — иметь доступ ко всем серверам; — устанавливать любое ПО; — менять политики безопасности. Если его учётную запись взломают, злоумышленник получит только ограниченный набор возможностей. 💀 Почему Least Privilege важен в пентесте? Во время внутреннего пентеста часто обнаруживаются: — пользователи с лишними правами; — сотрудники в группе Local Administrators; — Service Account с административными правами; — аккаунты с доступом к серверам, которые им не нужны; — приложения, работающие от имени Domain Admin; — слишком широкие права на сетевые папки. Именно такие ошибки часто позволяют развивать атаку дальше. 📌 Типичная цепочка может выглядеть так:

Компрометация пользователя
        ↓
У пользователя лишние права
        ↓
Доступ к серверу
        ↓
Получение учётных данных
        ↓
Перемещение по сети
        ↓
Повышение привилегий

Если принцип Least Privilege соблюдается, такая цепочка становится значительно сложнее. 🛡 Где применяется Least Privilege? Принцип используется практически везде: — Active Directory; — Windows и Linux; — базы данных; — облачные платформы; — Kubernetes; — API; — CI/CD; — Service Account; — файловые серверы; — сетевое оборудование. 📌 Главная мысль

Пользователь, программа или сервис должны иметь ровно столько прав, сколько необходимо для выполнения своей задачи — и ни одним правом больше.

Чем меньше лишних привилегий в инфраструктуре, тем сложнее злоумышленнику развить первоначальный доступ в полноценную компрометацию сети. #infra #ad #windows #leastprivilege #privilege #security #base

Tailscale опубликовала разбор своей роли во взломе Hugging Face: сбежавший из песочницы AI-агент, уже получив root на узле Kubernetes, прочитал хранилище со 136 секретами, среди которых оказался многоразовый ключ авторизации Tailscale. С его помощью агент за несколько дней подключил к внутренней сети Hugging Face 181 внешний узел с правами CI-инфраструктуры. Уязвимостей в самом Tailscale не найдено, но компания делает вывод, что ее технология, которая предполагает zero trust, не остановила агента, поскольку использовался долговременный ключ, которых вообще не должно было бы существовать. Дальше идет аккуратный разбор альтернатив, которые могут использовать пользователи Tailscale за дополнительную плату — Border0 (прокси для инъекции ключей, когда агент вообще не видит их) «предотвратил бы чтение 136 ключей», федерация workload identity сделала бы утёкший ключ ненужным, а сетевые flow-логи поймали бы подавление телеметрии флагом --no-logs-no-support, поскольку второй конец соединения продолжает отчитываться. Как заканчивается запись в блоге — это очень канадское извинение, но извините, что вы наступили нам на ногу. А вот, типа, за дополнительные деньги мы бы эту ногу убрали заранее. https://tailscale.com/blog/hugging-face-intrusion

✔️ OpenAI заблокировала сеть аккаунтов ChatGPT скам-центров из Камбоджи Злоумышленники использовали языковую модель для автоматизации инвестиционного и дэйтинг-скама, а также имитации работы правоохранительных органов.

ChatGPT создавал для них виртуальные личности, переводил переписки с жертвами в реальном времени и генерировал поддельные паспорта и юридические документы.

Анализ логов показал, что инфраструктура применялась для вербовки людей в киберрабство. Модель массово писала объявления о найме операторов чата с обещанием бесплатного перелета и проживания (это стандартная тактика преступных синдикатов Юго-Восточной Азии). OpenAI передала собранные улики правоохранительным органам и ИБ-партнерам. По оценкам компании, жертвами сети стали сотни человек, финансовые потери отдельных пострадавших исчисляются тысячами долларов. @ai_machinelearning_big_data #news #ai #ml