49802
Обратная связь. Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot
• Linux в роли серверной ОС привыкли считать гарантией надёжности и безопасности, он популярен у компаний и обычных пользователей. Однако никакая система не является полностью непроницаемой для атак. С учётом эволюционирующих киберугроз администраторы серверов должны принимать проактивные меры для защиты своих систем от атак и вовремя закрывать уязвимости.
• По ссылкам ниже можно найти очень полезный материал, который содержит рекомендации для тех, кто только начинает заниматься администрированием и защитой Linux-серверов и планирует изучить базовые техники создания укреплённой линукс-среды, устойчивой к различным угрозам:
➡Hardening Linux Servers Against Threats and Attacks.
➡40 Linux Server Hardening Security Tips [2024 edition].
➡Linux Hardening Guide.
#Linux
🔓 Учимся работать безопасно с сотрудниками и подрядчиками.
- Получил от коллег материал о защите корпоративных данных, который сделали специалисты Яндекс Браузера для организаций. Статистика тревожная: каждая пятая компания сталкивается с утечкой данных через внешних специалистов, а средний ущерб от одного инцидента достигает 5,5 млн рублей.
- В материале компания делится знаниями и экспертным взглядом на проблемы ИБ, что особенно важно в ситуации растущего числа киберугроз.
- Речь о том, как обезопасить свою компанию от утечек, продолжая работать в привычном режиме.
#ИБ #web
🖥 ERMA: первая цифровизация информационных технологий в банках.
• Думаю, что многие из вас смотрели кино, где в качестве безналичного расчета применялся чек (на фото). Дело в том, что этот способ был настолько популярен, что использовался с 1659 до начала 1990-х, а некоторые особо консервативные люди используют чеки и в наши дни.
• Схема была следующей: банк выдавал своему клиенту чековую книжку — набор незаполненных чеков. Когда клиент хотел перевести деньги контрагенту, он заполнял чек именем контрагента, датой заполнения чека, суммой и своей подписью. Чек передавался контрагенту, который мог за несколько часов обналичить его в отделении, обслуживающего счет чекодателя. Но чаще всего чекодержатель относил чек в удобный ему банк и получал деньги на свой счет в течение нескольких дней. В течение этих дней банки совершали следующие операции: проверку подлинности чека, проверку достаточности средств на счете чекодателя, обмен информацией между банками и учет проведенный операций в гроссбухах обоих банков. Весь этот процесс называется чековым клирингом и до 1950-х совершался вручную.
• В 1959 году случилась технологическая революция, когда Bank of America стал первым банком в мире, применившим компьютер. Этот компьютер назывался ERMA (Electronic Recording Machine, Accounting) и использовался для централизованного учета счетов и автоматизации чекового клиринга. Это было громоздкое устройство, занимавшее половину комнаты (на фото выше) и стоившее Bank of America 10-и миллионов долларов (больше 100 миллионов долларов на сегодняшний день с учетом инфляции). Для чекового клиринга отделения банков больше не связывались друг с другом, а отправляли чеки на обработку ERMA в конце операционного дня. К началу следующего операционного дня транзакция была исполнена и отражена на счете.
• Помимо сильно уменьшившегося времени на обработку платежей, радикальным изменением стал учет чековых счетов клиентов центральным компьютером, а не отделениями, чья роль с тех пор начала становиться менее важной. Информация о балансе и транзакциях сохранялась в компьютере и была доступна на уровне всего банка. Именно с момента внедрения ERMA в банковскую систему и началось развитие информационных технологий в сфере банковского обслуживания.
➡️ https://www.ed-thelen.org/comp-hist/ERMA.html
#Разное
▶️ БЕСПЛАТНЫЙ ВЕБИНАР: «Как понимание Kill Chain влияет на эффективность пентеста?»
Уже сегодня в 19:00 по МСК приглашаем вас на бесплатный вебинар, где мы разберем, как модель Kill Chain помогает выстроить стратегию атаки, выявить уязвимости и повысить эффективность тестирования.
Что будет на вебинаре?
🔸Изучение Kill Chain: основа эффективного пентеста.
🔸От энумерации до повышения привилегий: пошаговый разбор этапов пентеста.
🔸Практика в лаборатории: реальные примеры из курса «Профессия Пентестер».
🔴 Покажем, как шаг за шагом проходит пентест: от перечисления сетевых служб до получения полного контроля над системой.
Спикер — Денис Соколов с опытом в ИБ >10 лет!
✨ Высшее образование по ИБ (КОИБАС).
✨ Старший архитектор ИБ, пентестер и разработчик киберполигонов.
✨ Автор и куратор курса “Профессия Пентестер” от Академии Кодебай.
24 марта в 19:00 по МСК — рассмотрим системный подход к пентесту. 🔴 Регистрируйтесь здесь и получите ссылку на эфир и подарок в ответном письме.
🚀 По всем вопросам пишите @Codeby_Academy
• Пост выходного дня: на просторах Хабра есть очень интересное чтиво, где авторы освещают тему приватности в реальном мире и анонимности в сети. Два лонгрида - рассуждения, которые обязательно Вам понравятся:
1⃣ Приватность: рождение и смерть - рассказано о том, как приватность постепенно появлялась в этом мире еще 3000 лет назад и о том, что мы сейчас подразумеваем под приватностью. К слову, в комментариях к этой статье есть очень много рассуждений, на которые стоит обратить внимание.
2⃣ Анонимность. При каких условиях возможен реванш? - в этой статье нет информации о том, каким образом Вы можете оставаться анонимными (с технической точки зрения), но есть рассуждения автора, при каких условиях такая возможность станет реальной! Рекомендую к прочтению.
#Разное
• Компания Operation Zero опубликовала в Twitter объявление, что готова заплатить исследователям до 4 миллиона баксов за full chain эксплойты Telegram. Помимо этого, компания предлагает $500.000 за эксплойт удаленного выполнения кода (RCE) типа "one-click" (требующий одного клика) и до $1,5 миллиона за RCE-эксплойт типа "zero-click".
• Operation Zero - это единственная в России официальная платформа по приобретению уязвимостей нулевого дня в программном обеспечении, т.н. зиродей эксплойтов. Учитывая клиентов брокера эксплойтов — в основном это российское правительство — публично объявленные цены дают нам возможность заглянуть в приоритеты рынка уязвимостей нулевого дня.
• Стоит отметить, что цены на уязвимости нулевого дня в целом выросли за последние несколько лет, поскольку приложения и платформы становится все труднее взламывать. Как сообщал TechCrunch в 2023 году, уязвимость нулевого дня для WhatsApp могла стоить до $8 миллионов — цена, которая также учитывает популярность приложения.
• Operation Zero ранее попадала в заголовки новостей, предложив $20 миллионов за хакерские инструменты, которые позволили бы взять под полный контроль устройства на iOS и Android. В настоящее время компания предлагает только $2,5 миллиона за такие виды уязвимостей: https://opzero.ru/prices/
#Новости
• Rustypaste — тулза, которая позволяет на собственном сервере организовать простой сервис для обмена файлами. Самое приятное — возможность создать короткие и одноразовые ссылочки для скачивания файла, HTTP аутентификация и возможность указания времени жизни для файла. Более подробная информация есть в блоге автора: https://blog.orhun.dev/blazingly-fast-file-sharing/
➡️ https://github.com/orhun/rustypaste
#Разное #Tools
• Зацените как оформили свой годовой отчет ребята из «Лаборатория Касперского» 🤩 Помимо красоты и уникального дизайна, отчет получился очень содержательным в части статистики и тенденций в сфере реагирования на инциденты за 2024 год, а еще материал включает в себя анализ реальных случаев и рекомендации по кибербезопасности. В общем и целом, скачать можно отсюда (без регистрации и смс): https://content.kaspersky-labs.com
#Отчет
• Если вы хотите всегда владеть информацией о самых актуальных и востребованных инструментах ИБ специалиста, то сервис "ossinsight" с радостью вам в этом поможет. Ежемесячно там публикуется список репозиториев по популярности и запросам, после чего формируется рейтинг инструментов. В общем и целом, вы всегда сможете понять, какой инструмент находится в топе и пользуется особой популярностью в определенных аспектах #ИБ на сегодняшний день.
• Материал представлен в красивом и понятном виде, с диаграммами и табличками. Пользуйтесь: https://ossinsight.io/collections/security-tool/
#Tools #ИБ
Открытый практикум Linux by Rebrain: Galera Cluster
После регистрации мы отправим вам подарок! Вы сможете найти его в ответном письме.
👉Регистрация
Время проведения:
28 марта (пятница) в 20:00 по МСК
Программа практикума:
▪️Рассмотрим реализацию multi-master репликации
▫️Настроим Galera Cluster
▪️Разберем, как правильно работать с кластером в продакшене
Кто ведёт?
Андрей Буранов — системный администратор в департаменте VK Play. 10+ лет опыта работы с ОС Linux. 8+ лет опыта преподавания. Входит в топ-3 лучших преподавателей образовательных порталов.
Бесплатные практикумы по DevOps, Linux, Networks и Golang от REBRAIN каждую неделю. Подключайтесь!
Реклама. ООО "РЕБРЕИН". ИНН 7727409582 erid: 2Vcde1Fg23
🏆 Как найти уязвимость в поддомене Google и попасть в «зал славы» багхантеров.
• Будни багхантера — это непрерывная охота за уязвимостями, успех в которой зависит не только от опыта и навыков, но и от банального везения. Автору этой статьи повезло по-настоящему: он обнаружил XSS-уязвимость в одном из поддоменов Google. В этой статье автор рассказывает о том, как ему удалось заработать на этой находке и оставить свое имя в «зале славы» багхантеров Google.
• Этот случай наглядно подтверждает простую истину: даже технологические гиганты вроде Google не застрахованы от уязвимостей и должны постоянно совершенствовать свою защиту. Если бы до этой уязвимости добрались реальные злоумышленники, то это могло затронуть безопасность множества пользователей. Как говорится, чем больше шкаф, тем громче он падает.
➡️ Оригинал [VPN].
➡️ Перевод.
#bb #XSS #ИБ
👩💻 Как взломать #Go приложение?
• Новое видео от MrCyberSec">MrCyberSec, в котором представлен разбор CTF-таски GOTchaberg с прошедшего KalmarCTF. Мы узнаем, как можно получить доступ к данным других пользователей в случае использования Go-приложения GOTENBERG. Данное API приложение позволяет конвертировать различные документы в PDF, а скачали его с Docker Hub более 60 миллионов раз.
➡️ https://youtu.be/ksIFC7KjZ44
• В дополнение: бесплатный курс по изучению языка Go (Golang).
#go #CTF
• Смотрите какая милота: оказывается, что в Японии в вендинговом автомате можно купить игрушечные 19" стойки в комплекте с мини-серверами Dell PowerEdge, а также с коммутаторами Cisco и A10. Стоимость такого конструктора составляет $3,5.
• Внутри необычного игрового комплекта находится миниатюрная пластиковая телекоммуникационная стойка и модели серверов и сетевых устройств в масштабе 1/12, которые копируют настоящие компоненты. Также в комплекте есть небольшие пластиковые кабели для соединения оборудования в стойке.
• Согласно описанию производителя, такие игровые комплекты созданы для коллекционеров от 15 лет и старше. Каждое отдельное устройство там смоделировано по образцу реальных продуктов от Dell, Cisco, A10 Networks, Furukawa Electric и Fortinet. Можно собирать их в разном порядке, разбирать и подключать различные элементы. Порты Ethernet, кабели, системы охлаждения для монтажа в стойку, удлинители, логотипы, вентиляционные отверстия и другие детали — все это тщательно воспроизведено в игровой форме.
• Как говорится - Take my money 🤩💸
#Разное
• Нашел в Twitter (Х) интересный профиль, у которого весьма забавная история: всё началось в далеком 2016 году, когда Microsoft пришла в голову идея выпустить чат-бот для Twitter. Бота назвали "Тэй" — по своей сути это искусственный интеллект, которому создатели придали вид девушки-подростка. Она должна была поддерживать легкие беседы с подростками в соцсети.
• Тэй училась общаться на диалогах из соцсетей. Позже с ней работала команда юмористов и стендаперов. Последней фазой обучения был разговор с пользователями Twitter. Вот только они стали засыпать её матом, а Тэй быстро всё впитывала, не только повторяя то, что слышала, но и придумывая новые оскорбительные слова.
• За сутки чат-бот научился ругаться матом и стал расистом. В общем итоге было опубликовано 95 тысяч твитов. Большая часть из них содержали ненормативную лексику и черный юмор.
• Из-за бота случился скандал: выяснилось, что за всем этим стояла группа троллей. Оказалось, что они специально закидывали бота матами и расистскими высказываниями. А что самое забавное, они использовали встроенную в Tэй функцию «Повторять за мной», благодаря которой бот повторял все, что ему говорили.
• В итоге Twitter накрыла волна недовольства и Microsoft отключила профиль Тэй. Профиль по-прежнему закрыт. Вот такие дела...
#Разное
😟 Когда спрятать недостаточно: как устроены атаки на системы тайной передачи информации.
• Стеганография — древнее искусство сокрытия информации, которое обрело новую жизнь в цифровую эпоху. В отличие от криптографии, где мы шифруем содержимое сообщения, стеганография прячет сам факт существования секретной информации.
• И если вам кажется, что стеганография – это сложно, то вам не кажется. Это действительно сложно. За каждой технологией лежит огромное количество процессов, которые недоступны простым смертным. Однако… На кой они нам, простым юзерам, нужны? Вот вам нужно точно знать, как работает шифрование, чтобы спрятать в картинке то, что нужно спрятать? Для общего развития – да, но с точки конечного эффекта – без разницы.
• Собственно, это я все веду к тому, что у ребят из Бастион есть хорошая статья на эту тему, которая написана простым языком и содержит только необходимую информацию. Автор описывает основы стеганографии и рассказывает о возможных векторах атаки на стегосистемы.
➡️ Читать статью [13 min].
• В дополнение по теме:
➡Заражение с помощью стеганографии - очень объемный отчет от PT, в котором описан уникальный метод сокрытия вредоносов использующийся одной из хакерских группировок;
➡OpenPuff - инструмент, который поможет спрятать информацию в файле. Он работает с PDF, картинками, аудиофайлами и видео. Далее вводите пароли и вуаля – игла в яйце, яйцо в зайце, а заяц в утке. Проще и быть не может. И самое главное – это на вашем компьютере. Это не какое-то вам облако.
➡Как спрятать любые данные в PNG - Как спрятать любые данные в JPEG - очень крутой материал, который поможет разобраться в сегодняшней теме.
#Стеганография
• Ни для кого не секрет, что при публикации проектов на GitHub люди могут забыть удалить конфиденциальные данные, которые, в конечном итоге, становятся достоянием общественности. К примеру, новость о том, что в начале 2024 года слили исходный код Mercedes: тогда исследователи обнаружили в публичном репозитории забытый токен GitHub, принадлежащий сотруднику Mercedes-Benz. Токен давал доступ к серверу GitHub Enterprise компании и раскрывал множество внутренних данных. А ведь этого могло не произойти, если разработчики были бы более внимательными и ответственными.
• Однако существуют специализированные инструменты, которые помогут предотвратить утечку данных и не слить в сеть конфиденциальные данные. Вот несколько из них: grep.app и code-search — эти тулзы предназначены для поиска по текстам и коду, с удобным интерфейсом для поиска в публичных репозиториях. Основные возможности следующие:
➡Поиск по публичным репозиториям;
➡Поддержка регулярных выражений;
➡Фильтрация по языкам программирования;
➡Поиск с учетом регистра;
➡Оптимизация для быстрого поиска.
➡️ https://grep.app
➡️ https://github.com/features/code-search
• Повторюсь: данные инструменты будут полезны не только разработчикам, но и помогут в защите от утечек данных!
#ИБ
😟 О скрытых сообщениях в эмодзи и взломе казначейства США.
• 30 декабря 2024 года, пока большинство людей суетились в преддверии празднования Нового года, Казначейство США готовило для Финансового комитета Сената США важное уведомление. В нём сообщалось, что его системы, которые содержат особо чувствительные конфиденциальные данные, были взломаны группой правительственных хакеров Китая.
• И это ещё не самое безумное. Начнём с того, что это была старая добрая атака посредством внедрения SQL-кода. За защиту серверов казначейства отчасти отвечает инструмент управления привилегированным доступом (Privileged Access Management, PAM) компании Beyond Trust. К сожалению для них, сотрудники Beyond Trust были вынуждены сообщить эту новость правительству, поскольку именно их ПО хакеры использовали в качестве точки входа.
• Но на месте Beyond Trust могла оказаться любой другая компания, так как в основе уязвимости лежит PostgreSQL — одна из самых распространённых реляционных баз данных в мире. Как же так получилось, что в PostgreSQL более 9 лет просидела нераскрытой уязвимость нулевого дня? Причём ещё и уязвимость SQLi.
➡ Оригинал.
➡ Перевод.
#PostgreSQL #ИБ
🤔 Откуда взялся Unix?
• Сегодня многие полагают, что «Unix» и «Linux» — это одно и то же. Но по состоянию на 2025 год с большинством дистрибутивов, ситуация почти так и обстоит.
• В 1969 году Кен Томпсон, сотрудник-исследователь из лаборатории «Bell Labs» экспериментировал в области проектирования операционных систем. Тогда в Bell Labs имелся PDP-7, компьютер с интересной периферией: у него был очень быстрый (по тем временам) дисковый накопитель. Томпсон заинтересовался, на какую максимальную пропускную способность может выйти этот дисковод при обработке данных, поэтому написал собственную программу, служившую интерфейсом для жёсткого диска. Это была серьёзная задача: в те времена всё программировали на ассемблере, а для того, чтобы создать драйвер жёсткого диска, требовалась масса низкоуровневого кода.
• В какой-то момент Томпсон осознал: в этот интерфейс уже вложено столько труда, что программу практически можно считать полноценным ядром операционной системы. Он посчитал, что ещё три недели — и он доведёт ядро до ума. Неделю на создание нового редактора, неделю на работу с ассемблером и ещё неделю, чтобы написать прототип ядра. Именно с этого прототипа и начинается история операционной системы Unix.
• Этот ранний прототип и заложенные в нём идеи показались интересными, и Томпсон вместе с коллегами по Bell Labs принялся его развивать. Единственный паттерн проектирования в новой системе заключался в следующем: нужно много полезных инструментов, каждый из которых сфокусирован на решении ровно одной задачи. Брайан Керниган, ещё один исследователь из Bell Labs, предложил назвать новую систему «Unix» — как бы в противовес операционной системе «Multics», которой компания Bell Labs также занималась несколькими годами ранее. Но проект «Multics» не удался из-за того, что та операционная система получалась очень сложной.
• К ноябрю 1971 года «Bell Labs» собрала программы для новой операционной системы, и так был создан «Unix, 1-я редакция». За ней последовали Unix 2nd Edition в июле 1972 года, Unix 3rd Edition в феврале 1973 года и Unix 4th Edition в ноябре 1973 года.
• Эти ранние версии Unix не слишком отличались от современных систем Linux. Многие команды, на которые мы сегодня полагаемся при работе с Linux, присутствовали уже в Unix 2nd Edition. Например, команда cat для отображения файлов, команды mkdir и rmdir для управления каталогами, cp, mv и rm для управления файлами, chmod и chown для управления доступом к файлам.
• Мы нечасто задумываемся о происхождении команд Linux, используемых в повседневной практике. Эти команды возникли во времена, когда компьютеры были медленными, а память исчислялась килобайтами. Инструменты приходилось делать маленькими и строго специализированными.
• Особенно сильно от исходного Unix до современных дистрибутивов Linux изменился разброс доступных опций командной строки. Когда компьютеры стали гораздо быстрее, и памяти стало больше, каждый инструмент стал брать на себя всё больше и больше работы. Например, команда ls из версии Unix 2nd Edition поддерживала всего пять опций: -l для вывода списка в длинном формате, -t для сортировки по времени, а не по имени, -a для перечисления всех файлов, -s для показа, каков размер каждого файла и -d для перечисления имён каталогов, а не их содержимого. Современная команда ls в GNU поддерживает как эти исходные опции, так и более пятидесяти расширений для них.
• Родословная всех современных Unix-подобных систем прослеживается вплоть до исходного Unix. Linux — одна из таких систем, использующих инструментарий GNU. Набор GNU основан на инструментах Unix. В 2025 Linux уже не указывается в исходной структуре Unix, и неслучайно: теперь Linux поддерживает такие архитектуры и инструменты, о которых и мечтать было нельзя на момент зарождения Unix. Но общий принцип работы с командной строкой по-прежнему сохранился во многом таким, каким его закладывали в Unix в 1970-е. В следующий раз, когда вам доведётся при помощи ls вывести список файлов из каталога — вспомните, что вы пользуетесь инструментом, которому уже больше пятидесяти лет.
#Разное #Unix
Более 35% компаний выявляют нарушителей лишь в половине случаев и реже. При этом количество сложных целевых атак продолжает расти, а почти четверть опрошенных уже столкнулись с критичными кибератаками.
К2 Кибербезопасность и Kaspersky провели более 100 глубинных интервью в Enterprise-сегменте и выяснили, как бизнес подходит к построению процессов мониторинга и реагирования.
Вы узнаете
✅ Какие результаты от внедрения SOC видит бизнес
✅ Какие модели SOC подойдут для разных задач
✅ Что нужно для эффективного управления событиями ИБ
✅ Какие тренды на рынке SOC проявят себя в ближайшее время.
Получить полный текст исследования можно по ссылке 😉
👨💻 cURL 27 лет. История создания и его автора.
• Сегодня исполняется 27 лет с момента создания cURL - это инструмент командной строки на основе библиотеки libcurl для передачи данных с сервера и на сервер при помощи различных протоколов, в том числе HTTP, HTTPS, FTP, FTPS, IMAP, IMAPS, POP3, POP3S, SMTP и SMTPS. Он очень популярен в сфере автоматизации и скриптов благодаря широкому диапазону функций и поддерживаемых протоколов.
• Создателем cURL является Даниэль Стенберг, который создал данный инструмент в 1998 году и поддерживает его до сих пор. По сути, Стенберг — человек одной программы. Очень мало что известно о других его проектах или юношеских разработках.
• Как и многие сверстники, Даниэль познакомился с компьютерами в средней школе, когда в середине 80-х другу купили Commodore 64. Ребята покупали много компьютерных журналов, по которым учились программировать. В те времена код программ (например, игр) печатали прямо в журнале. Несколько страниц кода, который нужно было вручную и без ошибок ввести в компьютер, а потом запустить.
• В 1985 году парень разжился собственным компьютером и начал программировать как маньяк, изучил ассемблер и присоединился к демосцене. В общем, это пример ещё одного талантливого программиста-самоучки, который полностью погрузился в свою страсть, не имея формального образования. После службы в шведской армии в 1991 году молодой человек решил не поступать в колледж, а нашёл первую работу, связанную с обслуживанием компьютерной техники в IBM (конфигурация мейнфреймов перед отправкой заказчикам). Там он познакомился и хорошо изучил Unix и экосистему опенсорсных инструментов. А в свободное время начал программировать… что и делает до сих пор.
• Даниэль готовил к поставке для клиентов мейнфреймы и магнитные ленты. Но стало понятно, что весь софт с магнитных лент можно скопировать, скомпилировать, посмотреть, как он работает, и изменить на своё усмотрение. Это была концепция «свободного кода» (термин «опенсорс» появился позже).
• После 1993 года все официальные работы Даниэля были связаны непосредственно с программированием, а знания консольных утилит пригодились в дальнейшем. Это были как раз годы бурного распространения интернета среди энтузиастов, годы первых BBS и т. д. Тогда же формировалось сообщество энтузиастов опенсорса.
• В 1996 году Даниэль Стенберг нашёл бразильского коллегу Рафаэля Сагула, который написал консольную утилиту HttpGet (простенькая программка в 100 строчек кода). Даниэль взял её как вспомогательный инструмент к IRC-боту для автоматического расчёта курсов конвертации валют (шведские кроны в доллары). Курсы нужно было скачивать из интернета. Дальнейшим развитием программы он уже занимался самостоятельно. С каждой версией утилита расширяла функциональность: сначала появилась поддержка HTTP-прокси, потом протокола Gopher и FTP и так далее. В 1997 году она переименовалась в urlget, а 20 марта 1998 года впервые вышла версия под названием curl, сокращение от «client URL». Размер программы к тому времени вырос аж до 2200 строк кода. По итогу curl превратился в мощный универсальный инструмент, позволяющий взаимодействовать по множеству различных протоколов с синтаксисом URL.
• Сам Стенберг считает это не своей особой заслугой, а скорее выигрышем в лотерею. Но его дальнейшая четвертьвековая приверженность проекту и общему делу опенсорса всё-таки заслуживает уважения. Если посмотреть статистику, за всю историю Даниэлю принадлежит примерно 56% из общего числа коммитов, так что его роль по-прежнему важна, тем более в последние несколько лет эта роль стала его основной оплачиваемой работой. Есть ещё несколько официальных спонсоров.
• Конечно, всё это делается и в рамках стандартной опенсорсной разработки, но если компания желает заплатить деньги мейнтейнерам, то это только приветствуется. Сейчас сайт curl.se обслуживает 17 ТБ трафика в месяц, выполняя более 470 млн запросов, а официальный образ для Docker был запрошен более четырёх миллиардов раз.
#Разное
👾 Тайное послание: Blaster aka Lovesan (2003).
• 11 августа 2003 года произошла эпидемия компьютерных вирусов, которая нанесла значительный урон пользователям интернета. Одним из таких вирусов был червь Lovesan (также известный под именами Blaster, MSBlast), который проникал на ПК жертвы через уязвимость в службе DCOM RPC операционной системы Windows.
• В результате атаки червя пострадали индивидуальные пользователи, мелкие и крупные компании, исследовательские центры и учебные заведения. Сообщалось о проблемах в работе сети европейском офисе компании IBM, пострадали также такие компании как Motorola, American Express и многие другие. В тот же день на северо-востоке США и частично в Канаде произошло крупнейшее веерное отключение электроснабжения — полностью без электричества остались такие города как Нью-Йорк, Детройт, Кливленд, Оттава и Торонто. Было ли это результатом заражения сети энергетических компаний или случайным совпадением нескольких факторов, включая факт заражения, — неизвестно, однако официальное расследование отвергло связь этой технологической катастрофы с массовой эпидемией червя.
• Но давайте лучше поговорим о коде и пасхалках этого вируса. Дело в том, что исследователи обнаружили целое послание тогдашнему руководителю корпорации Microsoft Биллу Гейтсу: «billy gates why do you make this possible? Stop making money and fix your software!» («Билли Гейтс, почему ты делаешь это возможным? Перестань зарабатывать деньги и исправь свое программное обеспечение!»).
• Работа Lovesan заключалась в том, что он сканировал сеть на наличие систем, уязвимых для эксплойта RPC DCOM, и пытался инфицировать их. В случае успешного заражения Lovesan создавал в скомпрометированной системе свою копию и продолжал процесс неконтролируемого распространения. После этого он запускал таймер обратного отсчета, по истечении которого заставлял зараженный компьютер неоднократно перезагружаться, делая систему непригодной для использования. Также в коде червя была запрограммирована DDoS-атака на 80-й порт сайта windowsupdate.com, с целью усложнить пользователям доступ к обновлениям безопасности, которые могут защитить их от этого вредоноса.
• Помимо послания Гейтсу, червь содержал и другую «пасхалку»: строчку «I just want to say LOVE YOU SAN!!», из-за которой вредонос и получил свое название «Lovesan». Впрочем, и первое послание главе Microsoft таки сыграло свою роль: после распространения Lovesan корпорация столкнулась с критикой из-за слабой безопасности в своих операционных системах, и отреагировала запуском инициативы Trustworthy Computing, направленной на придание приоритета безопасности при разработке ПО.
• По обвинению в создании Blaster был арестован американский школьник Джеффри Ли Парсон. Однако он заявил, что не делал данный вирус, а всего лишь внёс небольшие изменения в него. В суде Джеффри признал свою вину в создании модификации червя и распространения её в интернете. Судья решила не применять к нему максимального наказания. Подростку грозило от 18 до 37 месяцев тюрьмы и денежный штраф в размере 500 000$, однако в Microsoft решили помиловать его и попросили заменить штраф на 225 часов общественных работ. В итоге окончательным вердиктом для Джеффри стало полтора года тюремного заключения и 225 часов общественных работ.
• Кстати, в 2004 году румыну Дану Думитру Чиобану был вынесен приговор в создании модификации червя под названием «Blaster.F». Его приговорили к 15 годам лишения свободы. Такие вот дела....
#Разное
• Сети для самых маленьких — как вы уже догадались, это серия статей о сетях, их настройке и администрировании. Здесь собраны основные аспекты, которые необходимо знать и понимать. В этой серии рассматривается планирование сети, настройка маршрутизаторов, работа с коммутацией и маршрутизацией, протоколы и технологии: STP, NAT, VPN, BGP, MPLS и многое другое: https://linkmeup.gitbook.io/sdsm
#Сети
• Летом 2025 г. компании, которые звонят гражданам, будут обязаны сообщить своему оператору сведения о себе. Эти данные автоматически передадут другим операторам, а на телефоне абонента появится информация об источнике звонка. Кроме того, у абонентов появится возможность установить через своего оператора запрет на получение любых рекламных звонков от юрлиц. Дополнительно операторы связи должны будут бесплатно уведомлять абонентов о том, что вызов поступает из-за границы или осуществляется через интернет.
• Полезно, но как-то с запозданием... Как по мне, то об этом надо было задумываться еще несколько лет назад, когда телефонное мошенничество и спам-звонки стали набирать обороты.
#Новости
• Если нам нужно получить данные о сетевом взаимодействии определенного процесса для http трафика или трафика сервера БД mysql, то существует отличная тулза - kyanos, которая поможет нам собрать всю необходимую информацию. Из дополнительных возможностей: анализ запросов на уровне ядра, что позволит понять на каком уровне происходят аномалии или задержки. Софт c открытым исходным кодом и полностью бесплатный: https://github.com/hengyoush/kyanos
#Tools
• Мало кто знает, что у ОС Whonix есть очень крутой раздел с документацией (Wiki), которая содержит в себе ценные знания для изучения вопросов анонимности и безопасности в сети. Информации там гораздо больше, чем в большинстве ТОП'овых курсов. Рекомендую для изучения:
➡ https://www.whonix.org/wiki/Documentation
#ИБ
📚Без даунтайма и головной боли: разбираем лучшие стратегии на вебинаре
Обновления без прерывания работы — мечта DevOps-инженера. Но как её реализовать в реальности? Если каждый деплой — это стресс, а сбои случаются слишком часто, пора разобраться в секретах нулевого даунтайма.
На открытом вебинаре 19 марта в 20:00 мск разберем:
- Blue/Green, Canary, Feature Toggles – какую стратегию выбрать?
- Как Kubernetes и Ansible помогают минимизировать простои.
- Как тестировать обновления прямо в продакшене и не бояться откатов.
💬 Спикер Дмитрий Золотов — Flutter+Kotlin Developer в Yandex.
Урок пройдет в преддверии старта курса «DevOps-практики и инструменты».
👉Регистрируйтесь и выводите инфраструктуру на новый уровень: https://otus.pw/jiZL/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru
• Пост выходного дня: в 1993 году вышел Excel 5.0 — первый продукт Microsoft, поддерживающий макросы на языке Visual Basic for Applications. Это событие стало настоящей революцией для офисных клерков: сотрудники, не обладавшие специальными знаниями в программировании, вдруг получили мощный инструмент для автоматизации монотонных офисных задач, которые прежде отнимали уйму времени.
• Однако макросы пришлись по душе не только работникам офисов. Всего спустя два года появился Concept — первый вирус, который эксплуатировал возможности макросов для кибератак. С тех пор макросы Microsoft Office стали излюбленным способом проникновения в корпоративную сеть у хакеров. Даже сегодня многие успешные атаки на компании начинаются с отправки фишингового письма с документом, который заражен вредоносным макросом.
• В этой статье мы разберем механизмы работы макросов и на конкретных примерах покажем, как злоумышленники обходят средства защиты, которые Microsoft совершенствует уже четверть века. Отдельно поговорим про методы социальной инженерии, превращающие макросы в настоящее кибероружие в руках злодеев:
➡️ https://habr.com/ru/post/864260/
#ИБ #СИ #Фишинг