Фронтам для информации. Пишет Andrei Kashcheev (Fullstack Dev/Lead):

🚨npm мощно ломанули🚨 Оч внимательно для тех, кто в последние 2 дня обновлял зависимости в JS проектах. Хз где я был последние 2 дня, но, благо, не обновлял зависимости 🤭 4 августа через взломанный аккаунт мейнтейнера в npm залили червя (оно продолжает заражать пакеты). Заражены в том числе flat-cache и file-entry-cache. Это зависимости ESLint, а значит они есть почти в любом JS-проекте. Червь ворует токены npm и GitHub, облачные креды, SSH-ключи, содержимое .env. И с помощью этих данных заражает уже ВАШИ пакеты (если они есть). За двое суток 1300+ кейсов заражений. Что делать? НЕ ОБНОВЛЯТЬ ЗАВИСИМОСТИ, пока не поймёте, что к чему. НЕ ЗАПУСКАТЬ ИИ АГЕНТА ИЗ ПАПКИ ПРОЕКТА!!! Так как червь распространяется ещё и через ИИ-хуки (конкретно читал про клод и вс код). Запустите его из отдельной папки, попросите тщательно изучить проблему, новости и предложить решения для проверки. Настаивайте на максимальной безопасности, тк червь запускается на многих событиях.

#security

Мастерим Touch ID за копейки — принёс опенсорсный DIY-сканер отпечатков пальцев tinyTouch 😊 Конструкция элементарная: микроконтроллер ESP32-S3, бюджетный UART-сканер отпечатков и компактный 3D-печатный корпус. — Два режима на выбор: «Красная таблетка» (HID-режим) эмулирует клавиатуру и вводит пароль буквально везде, где есть фокус ввода. «Синяя таблетка» (PIV/PAM) притворяется аппаратной смарт-картой для нативной авторизации macOS через криптографию; — Подходит для разблокировки экрана, подтверждения прав sudo в терминале и работы с системными запросами; — Пароль хранится на Mac в зашифрованном виде, а плата получает лишь одноразовый ключ. Единственное слабое место — UART-шина между сенсором и ESP. Автор шутит, что для защиты от хакеров-соседей достаточно залить внутренности корпуса черной эпоксидкой 😂 Защищаем всё 😠

Осторожнее с отельным Wi-Fi: Microsoft предупреждает о новой масштабной атаке Если вы часто ездите по IT-конференциям, митапам или просто работаете удаленно из гостиниц, эта новость для вас. Microsoft выявила крупную кампанию хакерской группировки Storm-2945 (подразделение печально известной Midnight Blizzard), нацеленную на инфраструктуру общественных Wi-Fi сетей по всему миру. Главной точкой входа стали captive portals — те самые страницы авторизации, которые перехватывают трафик при первом подключении к публичной сети. По данным Microsoft, злоумышленники взламывают общие сервисы, которые используют сразу несколько операторов Wi-Fi. То есть компрометация одного провайдера дает хакерам доступ к огромному пулу отельных сетей. Когда вы подключаетесь к новой сети, ОС и браузеры автоматически пингуют определенные эндпоинты для проверки наличия интернета (например, http://detectportal.firefox.com/success.txt). В этот момент хакеры незаметно перехватывают процесс и редиректят вас на подконтрольную фишинговую инфраструктуру. Вместо обычной страницы авторизации пользователю подсовывают фальшивое окно с требованием «срочно установить обновление браузера или операционной системы». Под видом апдейта на девайс загружается малварь для кражи кредов (credential theft).

Что делать (база): - Никогда не скачивайте и не устанавливайте обновления софта (особенно браузеров), если вас просит об этом страница авторизации Wi-Fi. - Используйте надежный VPN (желательно с функцией Kill Switch), и включайте его сразу после прохождения captive portal. - Внимательно смотрите на URL страницы, куда вас редиректит при подключении. - Для рабочих поездок лучше вообще использовать мобильный хотспот, где это возможно.

#разное · yt · tg · ig

📁 Поиск общих SMB-папок Во время внутреннего пентеста полезно проверить, какие сетевые папки доступны по SMB. 📌 SMB используется для общего доступа к файлам и папкам в Windows-сетях. Чаще всего SMB работает на:

445/tcp

Проверяем:

nmap -p 445 192.168.1.10

🔎 Посмотреть доступные SMB-шары Без пароля:

smbclient -L //192.168.1.10 -N

С учётной записью:

smbclient -L //192.168.1.10 -U user

Пример:

Public
Backup
Users
IPC$

📂 Подключиться к найденной папке

smbclient //192.168.1.10/Public -N

Дальше:

ls
cd Documents
get file.txt

⚡️ Более быстрый вариант Через NetExec:

nxc smb 192.168.1.0/24 -u user -p 'password' --shares

Он сразу покажет доступные папки и права:

Public    READ,WRITE
Backup    READ

🧠 На что смотреть Особенно интересны:

Backup
Public
Users
Documents
Scripts
IT
Admin

Проверяем: — есть ли анонимный доступ; — права READ/WRITE; — резервные копии; — конфиги; — скрипты; — файлы с учётными данными. 📌 Главная мысль SMB-шары сами по себе не являются уязвимостью. Проблема появляется, когда права настроены слишком широко или через них доступны чувствительные данные. #smb #windows #network #pentest #infra

LLM снова наебала кожаных. Чисто по нахалке. Не нашла она никаких уязвимостей.

Эксперты компании JFrog в конце июля выпустили отчет по анализу 55 уязвимостей, якобы обнаруженные искусственным интеллектом в SQLite. Все они были внесены в базу данных о уязвимостях (Common Vulnerabilities and Exposures – CVE), создание которой инициировала некоммерческая организация MITRE. В результате проверки возможности эксплуатации уязвимости (триажа), который выполнили эксперты JFrog, выяснилось, что 54 из зарегистрированных уязвимостей являются фейковыми, то есть показатель ошибок фактически достиг 98%. Возможности искусственного интеллекта по поиску уязвимостей и генерации эксплойтов для них сильно преувеличены Хотя некоторые из заявленных уязвимостей получили уровень опасности 10 (из 10), на самом деле некоторые из них были результатом галлюцинаций искусственного интеллекта. В частности, самая опасная из заявленных уязвимостей в функции exprComputeOperands() (CVE-2026-51302), в которой якобы происходит использование указателя после его освобождения, просто не существовала – код был добавлен в другой версии. Но и сама функция не освобождает указатель, но лишь помечает его как не используемый. Некоторые критические уязвимости были обнаружены в коде, который был закомментирован (CVE-2026-51300). Процесс подачи CVE через публичную форму MITRE не имеет какой-либо реальной проверки подлинности, то есть практически любой может предоставить описание уязвимости и предложить оценку CVSS. Исторически NIST служил надёжной страховкой для этой системы: эксперты Национальной базы уязвимостей (NVD) вручную анализировали, проверяли и обогащали поступающие CVE перед выдачей им одобрения. Но эта страховка перестала существовать в феврале 2024 года, – сказано в сообщении компании JFrog.

https://www.tadviser.ru/index.php/Продукт:SQLite "Ум на лице - это еще не признак ума, господа! Все самые большие глупости делаются именно с этим выражением лица."

ИИ не справился с абитуриентами: почти 60 тысяч человек отправят на пересдачу Национальный автономный университет Мексики (UNAM), один из самых престижных вузов страны, решил осовременить вступительные экзамены. Тесты перевели в онлайн, а следить за тем, чтобы никто не списывал, поручили прокторинговой системе на базе искусственного интеллекта. Эксперимент обернулся грандиозным скандалом: А

битуриенты легко обманули систему. В ход шли умные гаджеты, подмена личности и посторонняя помощь. А в TikTok всего за $150 даже продавался специальный софт для обхода ИИ-слежки и решения тестов. В результате количество идеальных 100-балльных работ выросло в 3 раза! Университету пришлось аннулировать результаты 3 тысяч таких «гениев» еще до публикации списков.

Скандал оказался настолько громким, что дошел до президента Мексики Клаудии Шейнбаум — она даже предложила подключить к расследованию Генпрокуратуру. Разработчики системы оправдываются, что ИИ работал штатно, а вот вузу не хватило живых наблюдателей (лол). Итог закономерен: чтобы вернуть доверие к экзаменам, 58 000 поступающим придется пересдавать тесты. На этот раз — строго в очном формате, под присмотром людей.