IT

🤔MAX можно изолировать

энтузиаст написал CryptoLayer для сквозного шифрования поверх любых мессенджеров

Зачем гадать, читают ли спецслужбы или администраторы ваши чаты в Telegram, VK или национальных платформах вроде MAX, если можно рассматривать любой мессенджер исключительно как источник слива информации? 😎Российский разработчик выложил на GitHub опенсорсный проект CryptoLayer, который накладывает собственный независимый криптографический слой поверх популярных сервисов связи.

🟦Концепция инструмента строится на полном недоверии к серверной инфраструктуре. Сообщения шифруются строго локально на устройстве с помощью проверенной связки AES-256-GCM и эллиптических кривых для обмена ключами.

Чтобы трафик не триггерил автоматические спам-фильтры и цензуру характерными абракадабрами шифротекста в Base64, зашифрованные байты упаковываются в цепочки обычных человеческих слов. Для стороннего наблюдателя или сервера чата это выглядит как случайный набор текста, а адресат с установленным CryptoLayer разворачивает его обратно в исходный файл или диалог. 🟢Готовые модули уже умеют работать с Telegram (через MTProto) и VK, а открытая модульная архитектура позволяет сообществу дописать плагины хоть для мессенджера MAX, хоть для Discord или SSH-каналов. Конечно, метаданные (время активности и связку аккаунтов) такой подход не скроет, да и независимому коду еще предстоит пройти проверку временем... 🦔 CyberYozh

Пользователь Reddit под ником No-1nternet напомнил про встроенную в Windows 10/11 функцию Compact OS, которая одной командой compact /compactos:always сжимает системную папку. Коэффициент сжатия примерно 1,8 к 1, влияние на производительность около 1%. Сам автор держит её на рабочем и игровом ПК уже 6 месяцев и разницы не почувствовал. Работает это не через старое NTFS-сжатие с синими именами файлов и алгоритмом LZNT1. Compact OS цепляется к отдельному драйверу фильтра WOF, ставит Reparse Points с тегом IO_REPARSE_TAG_WOF и жмёт современными XPRESS и LZX. Режим тянет что UEFI, что BIOS. Цифры Microsoft показывают счёт на Windows 10 x64 с 4 ГБ памяти. Без Compact OS папка весит 15,06 ГБ, с ним падает до 11,3 ГБ, а с включённым single-instancing уходит до 10,09 ГБ. Почти 5 ГБ системного диска отыгрываются строчкой в CMD.

🧑‍⚖️ Уже третье уголовное дело по дронам — на этот раз в Туле В Туле задержали гендиректора НПЦ «ТулаДрон» Евгения Григорьева, сообщает местное издание ТСН24. Его обвиняют в мошенничестве. Подробностей о деле никаких. Но это уже третье громкое уголовное дело в сфере дронов за последний месяц. Интересно, что Григорьева арестовали аж 14 августа. Но никто про это не знал. Его даже потеряли коллеги, потому что он не появлялся на рабочем месте. И вот только сегодня выяснилось, что Григорьев арестован и в СИЗО. 🌸 Что за НПЦ «ТулаДрон»? Это центр, где есть производственные, лабораторные и испытательные возможности для разработки, прототипирования, проверки и внедрения дронов. На его сайте сказано, что он входит в десятку крупнейших подобных центров в России и у него 40+ резидентов. Юрлицо «ТулаДрон» появилось еще в 2023-м. Но местные СМИ пишут, что запущен он был в конце 2025-го. То есть проекту меньше года. Губернатор Тульской области Дмитрий Миляев говорил, что на создание «ТулаДрон» направили 1 млрд рублей, из которых 700 млн рублей из федерального бюджета. 🌸 Кто такой Евгений Григорьев? Должность гендиректора «ТулаДрон» он занял в ноябре 2024-го. До этого он пару лет был гендиректором тульского научно-технологического центра «Композитная долина», а параллельно с этим — гендиректором научно-образовательного центра «ТулаТех». Это тоже госпроекты. На ту же «Композитную долину» летом 2025-го выделяли 1 млрд рублей. Григорьев ушел из «Композитной долины» и «ТулаТех» только в конце 2025 года, следует из данных «Контур Фокус». И пока не очень понятно, связано ли его дело с «ТулаДрон» или с его предыдущими местами работы. 🌸 Но это уже третье уголовное дело, связанное с дронами. В конце июля прошли аресты в ЭФКО по делу компании «Транспорт будущего». Тогда арестовали основного владельца и миллиардера Валерия Кустова, его невестку Екатерину Кустову, еще несколько сотрудников компании, а также замглавы управления беспилотных систем и робототехники Минпромторга Аллу Половченю. Спустя пару недель арестовали совладельцев «Дрон Солюшенс» — нынешнего гендиректора Вячеслава Барбасова и предыдущего Иракли Хазалию. Их обвиняют в мошенничестве в особо крупном размере. Но опять же никаких подробностей о том, в чем заключается это мошенничество. @TheEdinorogBlog — тот самый канал про стартапы🦄

😈 LOL. VC мне заблокировала аккаунт на котором я писал статьи с 2022 года за то, что я у них написал о том, что у них на платформе фишинговые ссылки. Я причем сделал статью даже "замазав" аккаунт где этот фишинг был и привел ссылку на статью Habr где об этом писали (не обвиняя никого конкретно) - эти челики просто меня заблокировали 😁 Причем в уведомлении ссылка на нарушение п.5 правил Он касается создания или использования дополнительных аккаунтов для обхода ранее наложенных ограничений (банов, скрытия из лент и т.п.). Я никогда не создавал повторных (дополнительных) аккаунтов и не использовал какие-либо другие профили для обхода ограничений. У платформы не может быть доказательств обратного, поскольку таких действий с моей стороны не было. Позорище)))) Мне даже интересно стало Если кто-то поможет эту информацию распространить и предать огласке дополнительно - буду крайне признателен (лайк/шэр/кот и запускай гусей кароче 😅)

💀170 000 целей в прицеле:

китайские хакеры заменили отдел кодеров связкой из ИИ и ядерных руткитов

⚡️Эксперты Cisco Talos вскрыли масштабную инфраструктуру китайскоязычной группировки UAT-10147, которая натравила связку из DeepAudit и PentestGPT на сервера госорганов, медиа и геймдев-студий по всему миру. На одном из контрольных узлов исследователи обнаружили базу со списком из 170 тысяч потенциальных мишеней. 🔍В этой схеме нейросети взяли на себя всю черную работу:

они самостоятельно анализируют ошибки десериализации, диагностируют сбои, пишут эксплойты под конкретные уязвимости и дорабатывают бэкдоры прямо в процессе вторжения.

🟡Главным ударным инструментом стал написанный при участии ИИ мультиплатформенный бэкдор SPECTRE.

🟦На Windows он использует уязвимые подписанные драйверы (метод BYOVD), чтобы залезть в память ядра и ослепить механизмы мониторинга Microsoft Defender и EDR.

🟦На Linux зловред разворачивает скрытный руткит, маскирующийся под системный модуль acpi_pad.ko и перехватывающий системные вызовы через штатный отладочный механизм ftrace.

Основная цель группы - закрепление на серверах для кражи закрытых данных и подмены поисковой выдачи через модули BadIIS. Но куда важнее сдвиг в методах: хакерам больше не нужны большие команды разработчиков с редкими хардкорными навыками низкоуровневого кодинга. Достаточно пары операторов и правильно настроенного нейросетевого ассистента, чтобы развернуть глобальный конвейер целевых атак армейского уровня. 🦔 CyberYozh

У российских сайтов массово отзывают сертификаты безопасности. Разбираемся, что это значит, и как справляться. Не так давно вступили в силу новые правила международного консорциума CA/Browser Forum. Это организация, которая устанавливает стандарты для всех удостоверяющих центров в мире. На фоне этого часть сертификатов у российских сайтов начали отзывать, и разработчики стали переходить на российские сертификаты – их выдает Национальный удостоверяющий центр. Но проблема не решилась: после этого в большинстве браузеров сайты перестали открываться. Дело в том, что когда браузер открывает защищенный сайт (https), он проверяет сертификат и выпустивший его удостоверяющий центр. У каждого браузера – свой список доверенных УЦ, зашитый внутри. Если сертификат сайта выпущен центром, который не нашелся в этом списке, браузер показывает предупреждение или блокирует доступ. Не потому что сайт опасный, а потому что браузер просто не знает соответствующий УЦ. Именно поэтому один и тот же сайт может открываться в одном браузере, и не открываться – в другом. В Яндекс Браузере список доверенных УЦ шире, и туда изначально включены и российские сертификаты. Поэтому там все работает из коробки, и пользователи сохраняют доступ к ресурсу без сбоев. Кроме того, владельцы сайтов с сертификатами НУЦ также могут проверить в публичном CT-логе Яндекса, когда и кем был выпущен сертификат для их ресурса. Это помогает убедиться, что сертификат настоящий и был выпущен с ведома владельца сайта.

😈 Как статья на VC может украсть вашу крипту? Я уже писал про базовый кибербез (в том числе про Wi-Fi). Кажется, что юристу далеко до информационной безопасности. На самом деле нет. За 10 лет насмотрелся на самые разные инциденты, и почти всегда паттерн один: залет происходит не из-за суперзлодеев в капюшонах, а из-за дурости, самонадеянности и отсутствия элементарной информационной гигиены. Сейчас многие слышат модное слово AML. Крипта не зачисляется, перевод висит, кошелек «подсветился» - и сразу появляется соблазн загуглить «как проверить кошелек на AML». И вот здесь уже сидит свежий скам 😆 На VC (где и я публикую статьи) почти полгода висела статья с подмененной ссылкой на AML-сервис. Есть история человека, у которого заблокировали небольшой перевод, он потом нашел материал про проверку AML в топе Google (это для поисковиков трастовый част поэтому им часто пользуются при паразитном SEO), перешел по ссылке, подключил кошелек… и через некоторое время потерял больше 10 000 USDT. Проверка, разумеется, показала, что баланс теперь «стерильно чистый» 🤣 Как это было устроено - ссылка в статье сначала была нормальная (видимо чтобы пройти модерацию и поднабраться траста) - потом была заменена на скам (там так можно) - и далее шла через промежуточный сервис Детям морожение - бабе цветы. Модератору витрина - мамонту касса)) Статью в итоге с VC убрали, но аккаунт автора продолжил публиковать материалы. Почему вы спросите - а потому что аккаунт платный и каждый месяц платит площадке 50+ тысяч рублей 😅 Друзья - даже на уважаемых площадках с UGC ссылки нужно проверять дважды. Особенно когда речь про подключение кошелька и подпись транзакций. «Проверить на AML» - сейчас одна из самых удобных приманок. Ни ОДИН AML проверятор НЕ БУДЕТ ВАС ПРОСИТЬ НИЧЕ НИКУДА ПОДКЛЮЧАТЬ (ну вы спросите того самого друга который за крипту шарит прежде чем куда-то тыкать) Спросите у тех, кто этим занимается профессионально. Берегите себя и сид-фразы 😇🤝

В конце 90-х у нас с партнёром был цех по производству туалетной бумаги. Вот здесь был пост на эту тему. Поэтому я немного разбираюсь в этом производстве и хочу рассказать, какой долгий и сложный путь проходит рулончик туалетной бумаги, прежде чем попасть на полку в вашем магазине. Для начала нужно вырастить хвойное дерево возрастом примерно 40 лет. Это отдельный и непростой бизнес, но это не совсем производство, поэтому не будем подробно останавливаться на этом этапе. Затем это дерево нужно срубить и погрузить на специальный автомобиль. В современном мире за это отвечают не суровые мужики с топорами, а невероятно сложная техника. Например, Komatsu 931XC. Внешне эта штука напоминает персонажа из «Трансформеров», а управлять ей ненамного проще, чем самолётом Boeing. Вот здесь можно посмотреть как она работает. Дальше брёвна отправляются на лесопилку. Помимо доски, часть древесины перемалывается в щепу. И затем эту щепу варят в огромных герметичных котлах при температуре около 150 градусов с добавлением разных химикатов. Так из древесины удаляют лигнин и другие компоненты и получают целлюлозу. Это самый энергозатратный и экологически грязный этап производства. Современные предприятия должны работать по замкнутым технологиям, но всё равно используют огромное количество воды и образуют большое количество отходов. Полученную целлюлозу затем отправляют на предприятия, расположенные порой за тысячи километров, где на огромных бумагоделательных машинах из неё производят саму бумагу (точнее, это называется санитарно-гигиенической основой) Именно правильное соотношение различных видов волокон является ноу-хау производителей 🧻 Например европейская сосна даёт прочность, а южноамериканская - мягкость. На этом же этапе иногда добавляют макулатуру, чтобы снизить себестоимость. Но много её не добавишь, иначе вместо белоснежной бумаги получится серовато-бурая «54 метра», которую когда то выпускал наш цех. Вот здесь можно подробнее почитать о полном цикле производства туалетной бумаги и посмотреть, как выглядит этот процесс. Надеюсь, теперь вы будете относиться чуть уважительнее к рулончику, который, возможно, висит где-то рядом, пока вы читаете этот пост 😎 В мире туалетной бумагой пользуется примерно 30% людей. Каждый день в системы канализации отправляются миллионы рулончиков и на это тратиться огромное количество древесины, воды, электроэнергии и других ресурсов. Но несмотря на это этот продукт сохраняет копеечную цену за счёт огромного объема потребления и стабильного спроса. И поэтому в то время, как европейские экоактивисты начинают агитацию за постепенный отказ от туалетной бумаги (в первом комментарии недавняя обложка одного из ведущих изданий ЕС ⤵️ ) в России локальные производители делают серьёзный успехи в производстве 🧻 Посмотрите во втором комментарии гениальную рекламу российского продукта ⤵️ Пока писал этот пост, ч вспомнил тот наш бизнес в 90-е годы и обнаружил интересную параллель с сегодняшним временем. В те годы практически все расчёты с поставщиками и покупателями у нас проходили за наличные. И сегодня всё чаще от продавцов я слышу, что они работают только за наличный расчет. Поэтому следующий пост будет про наличные деньги и обнал. Что общего у нас сегодня с 90-ми и в чём принципиальная разница? Не переключайтесь Незаметный бизнес

«Как я случайно записала сотни тысяч телефонных звонков на военные базы» Технология ENUM связывала телефонные номера с адресами в сети, но так и не взлетела и сегодня, по сути, мертва. Исследовательница безопасности сканировала эту заброшенную систему и наткнулась на три зоны телефонных кодов, делегированные на сервер имён, домен которого давно протух. Она купила его за 5€ и получила контроль над DNS телефонной инфраструктуры трёх британских территорий. Теоретически это открывало возможность вклиниваться в чужие звонки посредником. Трафика поначалу не было вовсе, так что домены она просто оставила себе для экспериментов. А через полгода заглянула в логи и обнаружила там сотни тысяч запросов. Почти все они вели на военные базы, а адреса источников были в основном американскими: https://u.habr.com/6LzUD

VPN в России: как пользователи адаптируются к цензуре и кооперируются в борьбе с ней Количество пользователей VPN в России достигло 36% и продолжает расти. Эксперты RKS Global и Witness Research Centre провели исследование пользовательского поведения в условиях интернет-цензуры. Постоянные блокировки не просто популярных, а крайне важных сервисов превратили инструменты обхода в ежедневную рутину, изменившую не только экономику домохозяйств, но и сформировавшую бытовую солидарность — люди помогают друг другу подключиться к VPN, рекомендуют надежные сервисы и делятся конфигами. Основные результаты исследования: ▪️Бесплатные VPN пользователи скачивают из топов выдачи App Store и Google Play. Платные же сервисы выбирают строго по рекомендациям друзей, родственников или вызывающих доверие медиа. ▪️Если на одном приложении происходит сбой, от него не отказываются, а переходят на другое, третье, часто возвращаясь, когда работа восстанавливается. ▪️Домохозяйства готовы платить за VPN, превратив эту статью расходов в уже привычную — примерно как оплатить услуги оператора связи. ▪️Пользователи называют лишь два сценария, при которых перестанут использовать VPN: отмена государственных ограничений либо введение уголовного наказания. ▪️Ограничения подтолкнули людей к солидарности. Они делятся ключами с близкими, настраивают доступ старшим родственникам и организуют своего рода «VPN-кооперативы» для совместной аренды серверов. ▪️Блокировки вызывают раздражение и ощущение деградации цифровой среды. Официальным объяснениям властей (защита детей, суверенитет) пользователи не верят. Работа основана на фокус-группах, наблюдениях и интервью с поддержкой Amnezia VPN. Полный текст исследования можно прочитать, пройдя по этой ссылке: https://rks.global/files/research/study_VPN_users_ru.pdf

MetaORM — когда устал от ORM настолько, что написал свою 16 лет в разработке, 10 из них ежедневно с базами данных, и человек спокойно пишет, что путается в уровнях изоляции, не выучил расшифровку ACID и простой запрос с JOIN осиливает только через Гугл. За 7 лет коммерческой разработки сложный SQL-запрос не понадобился ни разу, а больше половины возможностей популярных ORM так и остались нетронутыми. Один и тот же кусок кода перекочёвывал из проекта в проект, пока не превратился в отдельный пакет. Внутри декларативные фильтры, генераторы стандартных CRUD-операций и тонкий слой транзакций через contextvars. Ни unit-of-work, ни identity map, ни ленивых прокси, ни магического отслеживания состояния объектов. Остаётся только то, с чем backend сталкивается каждый день, взять запись по идентификатору, отфильтровать список, обновить пару полей, создать сущность внутри транзакции. Посмотрим, что остаётся от ORM, когда убираешь из неё всё, чем не пользуешься.

Про поиск авиабилетов. Я конечно не эксперт, это пост-призыв делиться своими лайфхаками. У меня он по сути один, но универсальный: пользоваться Google Flights! Есть миллион разных сервисов, но я никогда не видел, чтобы кто-то качественнее и быстрее гугла подтягивал актуальные цены. В 2022 году Google Flights перестал показывать рейсы в РФ, но спустя пару лет вернут неru-авиакомпании (чего не сделали другие неru-сервисы). Там можно выбрать пункт назначения Anywhere и с кучей фильтров искать удобные и/или дешевые билеты. Например из Барселоны в NY за 418 евро туда-обратно, или в Токио за 605. Или в Питер на две недели за 310. Причем все рейсы с одной нормальной пересадкой. Есть сервисы, которые так умеют или даже более гибкие (Kiwi), но там почти всегда цены одновременно выше и менее актуальны. Я Google Flights пользуюсь кажется с первых дней его появления в 2011 году, и тогда был в шоке, как пришел новый сервис и сделал все 10х удобнее и быстрее (тогда его UX был инновационным). За 15 лет так и не нашел более точного и удобного сервиса. А недавно Google Hotels стал главным способом поиска и отелей. Расскажите в комментариях, как вы ищете авиабилеты! @kyrillic