IT

⚡️ «Такой "слив" технически невозможен» В пресс-службе Telega считают, что журналист ВГТРК Эдуард Петров выдумал историю с продажей в даркнете слитых переписок пользователей альтернативного клиента.

«В сети расходится пост-вброс о якобы продаже переписок пользователей Телеги от журналиста ВГТРК Эдуарда Петрова. У публикации нет никаких подтверждений: автор не приводит ссылок, не дает источник информации и не запросил комментарий у команды Телеги».

Проекту так и не удалось найти соответствующее объявление, поэтому пресс-служба просит прислать его команде Telega, если такое увидят. О том, что Петров заявлял касательно Telega, «Код Дурова» писал здесь: ↖️ https://kod.ru/telega-sliv-perepisok

🌐 Что такое DNS в локальной сети? Когда начинают изучать инфраструктурный пентест, многие воспринимают DNS просто как сервис, который переводит:

google.com → IP-адрес

Но внутри корпоративной сети DNS играет гораздо более важную роль.

📌 DNS (Domain Name System) — это система, которая помогает компьютерам находить друг друга по имени, а не по IP-адресу.

Например, вместо того чтобы запоминать:

192.168.1.15

можно обратиться к серверу по имени:

fileserver.company.local

или

dc01.company.local

Давайте представим компанию, где работают 500 сотрудников. Запомнить IP-адреса всех серверов невозможно. Именно поэтому практически вся корпоративная инфраструктура строится вокруг DNS. Через DNS пользователи находят: — Domain Controller — файловые серверы — веб-приложения — почтовые серверы — принтеры — внутренние сервисы 💀 Почему DNS интересен пентестеру? Потому что он может рассказать об инфраструктуре намного больше, чем кажется. Например, по DNS-именам можно узнать: — названия серверов — структуру домена — используемые сервисы — внутренние подсети — потенциально интересные цели для дальнейшего анализа 📌 Именно поэтому после попадания в локальную сеть пентестер старается понять не только: какие IP-адреса существуют, но и: какие имена скрываются за этими адресами.

DNS — один из первых источников информации при разведке внутренней сети. И чем лучше вы понимаете, как он работает, тем легче ориентироваться в чужой инфраструктуре.

#infra #ad #dns

Когда-то давно в одном из проектов я делал конвертер криптовалют. Так как владельцы проекта экономили на подписках, курсы брали скриптом по расписанию прямо с веб-страниц постороннего сервиса. API там не было, страницы рендерились на сервере. Каждую страницу приходилось парсить, выковыривая из HTML конечные цифры. Время от времени сервис менял верстку, и поток данных у нас иссякал, нужно было корректировать правила парсинга. Активность по извлечению данных из веб-страниц называется скраппинг (или скрейпинг). Мне для PersMarket такое нужно, поэтому подбираю современные инструменты. Вот некоторые из них, бесплатные и опенсорсные. 🔹Scrapy - кроссплатформенный фреймворк для краулинга (это когда ваш скрипт обходит сайты, как поисковый бот Гугла, например) и скраппинга, сделан на Python. Можно использовать также для мониторинга и автотестирования. 621 контрибьютор в репозитории. Есть подробная документация. 🔹CyberScraper 2077 - анонсирован как "AI powered", то есть извлекает данные по-умному, используя внешние или локальные ИИ-модельки. Имеет графический интерфейс. Умеет экспорт в JSON, CSV, HTML, SQL и даже Excel. Есть встроенный "режим невидимки" и решение капчи. 🔹Crawl4AI - еще один извлекатель данных с поддержкой ИИ, гордится плашкой "Реопзиторий дня #1". Вроде бы очень умный, даже эвристичный, и быстрый, даже слишком, но вот коммитов в этом году не было. Документация имеется. 🔹WaterCrawl - этот поактивнее развивается, использует Python, Django, Scrapy и Celery под капотом для извлечения данных. Поднимается в Docker-контейнере. Имеет поисковый движок и поддержку мульти-язычности. Интегрируется с n8n и подобными платформами. 🔹AnyCrawl - пишут, что высокопроизводительный, может работать как с отдельными страницами, так и обходить сайты пачками. Имеет режимы парсинга как голого HTML, так и рендеренного с помощью JS контента через Playwright и Puppeteer. Можно запускать через прокси и использовать кэш. Более 3300 звезд на Github и 3,5 сотни форков. Коммиты есть буквально позавчера. 🔹Botasaurus - фреймворк "все-в-одном", как они его назвали. Умеет не просто парсить, а обходить антибот-защиты, фаерволы и капчи. Там даже демо-гифка есть, как оно само на капчу Claudflare нажимает. Умеет работать в параллели, кэшировать, очищать данные. Использовать можно прямо в своем Python-скрипте. И еще один инструмент до кучи - Monolith, это "Сохранить страницу как" на стероидах. Даете ему адрес, он берет HTML, сдабривает CSS, добавляет JS и картинки, в итоге генерируя единый HTML5 документ в виде файла. #tools

Прокуроры в Лос-Анджелесе потребовали 45 лет тюрьмы для 29-летнего экс-водителя Uber Джонатана Риндеркнехта за масштабный лесной пожар. Сторона обвинения впервые в федеральной практике США представила логи из ChatGPT как самостоятельную улику, приравняв вопросы чат-боту к доказательству вины. 1 января 2025 года непотушенный окурок спровоцировал огненный шторм, уничтоживший почти 7000 строений и унёсший 12 жизней. Подсудимый спрашивал алгоритм об ответственности за брошенную сигарету и просил сгенерировать картинки пламени. Следователи сделали главную ставку на скриншот с телефона подсудимого, где тот одновременно звонил по номеру 911 и отправлял новые запросы ChatGPT. Обвинение назвало такую многозадачность попыткой искусственно создать алиби для будущих судебных разбирательств. Адвокаты парировали эти выводы данными о 10 звонках диспетчерам и постоянным нахождением Риндеркнехта прямо возле огня. Защита доказывала, что судорожные поиски ответов в чат-боте выдают запаниковавшего горожанина, а не расчётливого преступника. Коллегия присяжных зашла в тупик при счёте голосов 10 к 2 в пользу полного оправдания. Одна из участниц жюри разгромила логику следствия, сославшись на собственный опыт регулярного общения с умными алгоритмами. Судья Энн Хван признала процесс несостоявшимся и отложила пересмотр дела до 19 октября 2026 года.

Перенос старта курса и прямой эфир с Виктором Кантором и Валерием Бабушкиным Старт курса ML System Design переносится на 17 июля. Если вы планировали присоединиться, у вас появилось ещё немного времени, чтобы принять решение и подготовиться к обучению. В следующий понедельник, 6 июля проведем на YouTube прямой эфир. Виктор задаст Валерию вопросы о ML System Design, а Валерий ответит на них и поделится своим опытом в проектировании ML-систем. Плюс, ответим на ваши вопросы. О чем еще поговорим на эфире: ▪️зачем ML-инженеру вообще нужен System Design; ▪️как меняются требования к специалистам с развитием LLM и AI-агентов; ▪️как проектировать системы, а не только модели; ▪️какие навыки действительно востребованы в индустрии; Если у вас есть вопросы про ML System Design, архитектуру ML-систем, production ML, карьеру, собеседования, LLM или обучение – напишите их в форме: https://forms.yandex.ru/cloud/6a44d2dff47e73beb4bf22b0. Не упустите возможность задать свои вопросы топам ML-индустрии! Регистрация на прямой эфир: https://t.me/ml_insideBot?start=web060726

Пока мир сходит немного с ума с нейронками по паспорту и опенсорс суверенными моделями, я решил начать читать настоящую базу - книгу Эванса по DDD. По ощущениям я снова оказался в той ситуации, где мне нужно разъяснение, а как код то писать надо. Первый раз меня подтолкнула книга "Чистая архитектура", где я понял, зачем интерфейсы вообще нужны. Пока что, прочитав 1 главу, которая посвящена тому, как говорить заказчиком про ТЗ, буквально. Мне этой проблемы не понять, может ранее программисты напрямую общались с заказчиком, а не через менеджеров, и им реально приходилось вытаскивать адекватные требования из людей. Да и не понял я момента, где он говорит, что должен быть поток обратной информации от разработчика. Однако довольно интересный момент в 1 главе есть. А именно замечание о том, что какие-либо правила системы не надо прятать в операциях, а надо выносить на уровень хотя бы методов. И делать это надо не ради расширяемости или чего-то еще, а что бы просто ментально было понятно, что тут не просто домножение на10 или деление на 3, а специальная операция для определенной цели.

Тем временем, продолжаю свою войну. Очередная статья Уж не знаю, на сколько меня еще хватит, но вот как я сформулировал еще в 2023 году пять пунктов (можете даже проверить - задачи выполняются с разной степенью успешности), так по ним и двигаюсь. Да, это оказался марафон — нудный и изнуряющий. Самое трудное — это изменять отношение к происходящему у тех, кто принимает реальные решения в области санкций. А иногда даже среди коллег трудно объяснить. Как вот с этим самым "госсмессенджером" — еще в сентябре прошлого года я начал бегать с этой мыслью, что нужно добиваться его деплатформинга. Но даже в среде internet freedom fighters идея не находила поддержки. А там же несложная конструкция была — путинская кодла буквально ртом этот говорила: "сейчас мы (они, в смысле) добьются проникновения Макса до какой-то величины и тут же заблокируют конкурентов". Это стало понятно еще в августе 2025 года. Но Фридом-файтерс на столько файтерс, что отказывались от действий в эту строну. Типа, мы никого не блокируем, ага. Сложно поверить же, что клин клином выбивают, ага. Но да ладно. Сейчас уже поздно, конечно, потому что Телеграм и WA заблокировали и вряд ли кодла будет разблокировать их обратно — крайне маловероятно. Но это не означает, что не нужно ничего делать и просто наблюдать. Нужно что-то делать. Ответ какой-то. Вот до Apple удалось донести, хотя, уверен, что там скорее сработал комплекс событий среди которых важнейшим является то, что российские власти лишили Apple источников дохода от РФ. Осталось еще донести мысль до Google и продолжаю работать над этим. Вероятность не велика, но все же не равна нулю. Надо пытаться. Нужно еще больше статей, еще больше объяснений, как работает российская цензура, да.

Ну вот давайте проанализируем — было уже два "пакета": 1. Первый пакет (принят весной 2025 г.) Этот этап был сосредоточен на «гигиене» связи и блокировке входящих угроз. ↗️Система «Антифрод»: Запуск и обязательное подключение операторов к единой системе для блокировки подменных номеров. — на деле, это не работает, потому что из-за коррупции есть возможность набрать абсолютно легитимных номеров на подставные лица. Это всего лишь подняло цену на номер. ↗️Запрет на звонки в мессенджерах: Госорганам и банкам официально запретили звонить гражданам через WhatsApp, Telegram, Viber и другие мессенджеры. — а в августе-2025 вообще заблокировали эти самые звонки. Какая предусмотрительность! ↗️Автоопределитель номера: Внедрение требований по обязательной маркировке звонков от организаций (чтобы вы видели, кто звонит, а не просто номер). — и там, прям, написано, что это звонит мошенник?? ↗️Защита Госуслуг: Введение интервалов (пауз) между сообщениями при смене пароля и дополнительные факторы аутентификации. — а для этого правда надо было закон принимать? А просто регламент сервиса можно было использовать? ↗️Самозапрет на спам: Возможность подать жалобу и заблокировать спам-звонки и рассылки (через систему ФАС и операторов). — гениально! Я правильно понимаю, что все спамеры побежали регистрироваться в автоопредилетель? Или, подождите... 2. Второй пакет «Антифрод 2.0» (принят в июне 2026 г.) Этот пакет более жесткий и направлен на ликвидацию инфраструктуры мошенников (симок, карт) и возврат денег. ↗️Лимит на сим-карты: Одному человеку теперь разрешено иметь не более 20 сим-карт (для иностранцев — не более 10). — и правильно! Надо больше людей вовлекать в дропперство. А все вот эти вот "интернеты вещей", они от лукавого. Мошенники же просто заплатят немного денег оператору в сервисном центре (см. предыдущий "пакет") ↗️«Охлаждение» сим-карты: Расторгнуть договор с оператором можно только через 90 дней после его заключения. Это убивает схему с «одноразовыми» симками для атак. — прям все карты убили. Наповал! ↗️Лимит на банковские карты: Одному физлицу запрещено иметь суммарно более 20 карт во всех банках (мера против дропперов, которые обналичивают украденное). — а больше и не надо. Эти меры всего лишь увеличивают процент вознаграждения дропперам, тем самым делая "профессию" более привлекательной. (к слову, эти карты открывают на краденные данные в госуслугах, но это другая история). ↗️Заморозка переводов на 6 часов: Банки получили право останавливать подозрительный перевод на срок до 6 часов, даже если клиент его подтвердил (чтобы дать жертве время одуматься). — а раньше у них не было права блокировать операции? Для этого опять прям закон нужно? ↗️Ответственность деньгами: Если банк или оператор пропустил мошенническую операцию, нарушив протоколы безопасности, он обязан вернуть клиенту всю сумму (в течение 30 дней по РФ, 60 дней — за рубеж). — мне казалось, что если банк распознает мошенническую операцию, то он должен по-умолчанию не допускать таковую. А если не распознал, то как он должен эту операцию остановить? В итоге мы все больше видим ложно-положительных сработок и все больше людей пользуется.. наличными. ↗️База IMEI: Создание единого реестра уникальных кодов телефонов для блокировки украденных или «серых» аппаратов (блокировки начнутся с 2028 года). — сегодня писал про это — это только помогает мошенникам. ↗️«Тревожная кнопка»: На Госуслугах появится спецсервис для мгновенного сообщения о мошенничестве, чтобы уведомить сразу все банки. — опять же, а точно для этого закон нужен был отдельно? А просто сделать такую кнопку нельзя было?

Когда ты методично блокируешь все, что шевелится, а пользователей научаешь обходить встроенные в операционные системы механизмы защиты, то странно, что количество скама увеличилось всего-то на 70% https://www.kommersant.ru/doc/8779737

По итогам первого полугодия число заражений мобильных устройств в России выросло на 70% год к году. Основной угрозой остается банковский троян Mamont. По оценкам экспертов, уже скомпрометировано около 1,5 млн Android-устройств — это 1,5% от всех в России. В условиях недоступности ряда приложений установка файлов из сторонних источников стала массовой практикой, чем активно пользуются злоумышленники.

Вообще, у меня чувство, перерастающее в уверенность, что это буквально стратегия — загнать население в такое состояние, чтоб их было легче обворовывать. Ну все же делается, чтоб мошенничество процветало. Включая все эти "пакеты мер против кибермошенников".

Ошибка в директиве. Ищем подвох Какой бы ни был пост в ленте, всегда стоит задать пару уточняющих вопросов. О чем это? Для кого? Нет ли смысловой дыры? Часто это помогает сразу найти ошибку, которую не замечают другие редакторы. Возьмем свежую новость про новые правила для дипломатов. Основная мысль: Россия вводит уведомительный порядок для европейцев, но наши сотрудники в посольствах не попадают под действие. Пропущено ключевое: ответный характер меры. Без этого контекста текст кажется произвольным, хотя на самом деле это зеркальная реакция. Всегда проверяйте, чтобы важная логическая связь не терялась. Дорогой редактор | 🌊 «Одно незабываемое путешествие в Тартарары» Иногда нужно потеряться, чтобы найтись.

За последние пять лет я разместил на Хабре более 300 статей, которые в совокупности получили свыше 7 млн прочтений и несколько десятков тысяч лайков. На мой взгляд, Хабр был лучшей UGC-площадкой в Рунете – поэтому основную версию всех своих материалов я размещал именно там, и ссылался со своего канала туда же. К сожалению, вчера администрация ресурса написала мне, что Хабр – это «только про айтишку и околоайти», а всякие темы про финансы и инвестиции там вообще ни к месту. И если я буду продолжать там писать про такое – то придется «расчехлять санкции» в мой адрес. Так что, уважаемые айтишники, я вынужден избавить вас от своего присутствия на Хабре. Надеюсь, вы наконец обретете счастье в этом прекрасном мире, где никто не говорит про процентные ставки, а бородатые программисты при словах «среднегодовая доходность» краснеют и в ужасе зажимают руками уши. Press F!

Самодельный BIOS для микшерного пульта и запуск DOS на нём В 2026 году автор увидел скриншоты микшера Behringer DDX3216 и заметил кое-что неожиданное: внутри стоит реальный AMD 386 с 16 МБ оперативной памяти и флеш-памятью. Интересно, можно ли запустить на этом железе настоящую операционную систему? Готового BIOS для AMD Elan SC300 не существовало: исходники у всех производителей обрывались на более поздних моделях. Пришлось писать с нуля: вектор сброса, таблицы прерываний, драйвер CF-карты, шрифты для дисплея побайтово — и всё это ради того, чтобы попробовать загрузить настоящую DOS на микшерный пульт. Выясним, чем закончились три недели реверс-инжиниринга и почему в итоге помог FreeDOS.