49802
Обратная связь. Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot
🗂 Диспетчер файлов.
• Мало кто знает, но еще 6 апреля 2018 года компания Microsoft выложила на GitHub исходный код оригинальной версии Windows File Manager, который поставлялся в составе операционной системы Windows в 90-е годы, а также доработанную и улучшенную версию Диспетчера файлов. В своё время эта программа стала первым графическим менеджером файлов от Microsoft. Она позволяла копировать, перемещать и удалять файлы, выделяя их мышью.
• Стоит напомнить, что самая первая 16-битная версия Windows File Manager поддерживала только имена файлов в формате 8.3. Поддержки длинных имён файлов не было, как и поддержки пробелов в именах. Если Диспетчеру приходилось отображать длинные файлы, то он показывал только первые шесть символов, затем символ тильды "~" и число, обычно единицу. Если папка содержала несколько файлов с одинаковыми первыми шестью символами в названии, то им присваивались цифры 2, 3 и так далее.
• Затем программу переписали под 32 бита для Windows NT. Она уже могла отображать длинные имена файлов и поддерживала файловую систему NTFS.
• В 1990-1999 годы Диспетчер файлов оставался стандартным компонентом Windows и поставлялся в составе операционной системы. Последняя версия файла WINFILE.EXE build 4.0.1381.318 поставлялась в составе Windows NT 4.0 Service Pack 6a (SP6a). Последняя 16-битная версия WINFILE.EXE build 4.90.3000 — в составе операционной системы Windows Me.
• Представленный исходный код скопирован из ветки Windows NT 4 в ноябре 2007 года. Он содержит некоторые изменения по сравнению с оригинальной версией WinFile.exe. Эти изменения нужны главным образом для того, чтобы программа нормально работала на современных версиях Windows, в том числе на 64-битных версиях и на базе Visual Studio.
• Отличительная особенность Windows File Manager — поддержка многодокументного интерфейса Multiple Document Interface (MDI). Это такой способ организации графического интерфейса, в котором большинство окон расположены внутри одного общего окна. Этим он и отличается от распростарнённого сейчас однодокументного интерфейса (SDI), где окна располагаются независимо друг от друга.
• Скомпилировав и запустив этот артефакт на современной машине, вы оцените потрясающую обратную совместимость программ под Windows, ведь софт 35-летней давности почти без модификаций работает на последней ОС. Если вы не работали на первых версиях Windows, то можете оценить, какими программами приходилось тогда пользоваться. Только учтите, что в начале 90-х и сама Windows 3.0, и этот Диспетчер файлов заметно тормозили на многих персональных компьютерах. Специально для установки Windows 3.0 приходилось докупать несколько мегабайт оперативной памяти, а иногда и апгрейдить процессор, например, с 20 МГц до 40 МГц. Но в награду пользователь получал текстовый редактор Word под Windows с поддержкой множества кириллических шрифтов и форматированием WYSIWYG — вместо убогого однообразия «Лексикона» или Word под DOS.
➡️ https://github.com/Microsoft/winfile
#Разное
👾 Фишинг на официальных сайтах Apple, Netflix, Microsoft и т.д.
• Исследователи Malwarebytes выкатили интересное исследование, в рамках которого описали метод, когда хакеры внедряли фейковые номера технической поддержки на официальных сайтах Microsoft, Apple, HP, PayPal, Netflix и т.д.
• Если описывать схему простыми словами, то начинается все с покупки рекламы в Google по запросам "поддержка Apple" или "служба помощи PayPal". Указывается официальный домен Microsoft, Apple, HP, PayPal, Netflix и добавляются скрытые параметры, которые браузер передает на указанный сайт. Такие параметры отображают номера фишинговой технической поддержки прямо в страницу, которую видит пользователь. Что получается? Вы находитесь на официальном сайте Apple, но видите номер телефона злоумышленников (скриншот выше)...
• Вся соль в том, что эти параметры не отображаются в рекламе Google, поэтому у жертвы нет очевидных причин подозревать, что что-то не так. Метод работает в большинстве браузеров и на большинстве веб-ресурсов.
• При звонке по указанному номеру телефона жертва связывается с мошенником, выдающим себя за представителя компании. Тот может обманом заставить пользователя передать личные данные или данные платёжной карты, либо разрешить удалённый доступ к своему устройству. При этом мошенники, которые представляются работниками PayPal, пытаются получить доступ к финансовому счёту и вывести с него средства. Классика!
• Так что будьте внимательны. Исследование можно почитать по ссылке: https://www.malwarebytes.com
#Новости
👾 Программные ошибки и человеческий фактор...
• Практика не устает доказывать, что в любом ПО самая главная уязвимость — человеческий фактор. И неважно, появился ли баг из-за нехватки квалифицированности специалиста, выжил после долгих часов дебага в поисках ошибки, или считался хитро замаскировавшейся фичей. Среди некоторых разработчиков даже укрепилось мнение, что баги в принципе существуют всегда и везде. Но если ошибки абстрактны и сложно воспроизводимы в реальных условиях, то проблема не является критичной.
• В идеальной ситуации баги исправляют все и сразу. Но в жизни всегда есть куча задач, отодвигающих полный и бесповоротный багфикс (новый функционал, срочные хотфиксы, расставленные приоритеты при исправлении багов). Это значит, что в первую очередь находятся и исправляются очевидные и явные проблемы. Иногда ошибки приводят не только к неприятностям в жизни рядового разработчика, но и вызывают настоящие катастрофы.
• 26 сентября 1983 года спутник эшелона «Око» системы предупреждения о ракетном нападении СССР ошибочно сообщил о запуске пяти баллистических ракет с территории США. Спутник находился на высокой эллиптической орбите, наблюдая за районами базирования ракет под таким углом, чтобы они находились на краю видимого диска Земли. Это позволяло обнаружить факт запуска на фоне темного космического пространства по инфракрасному излучению работающего ракетного двигателя. Кроме того, выбранное расположение спутника снижало вероятность засветок датчиков отраженным от облаков или снега солнечным светом.
• После безупречного года работы внезапно выяснилось, что в один день при определенном положении спутника и Солнца свет отражается от облаков, расположенных на больших высотах, оставляя то самое инфракрасное излучение, которое компьютеры восприняли как след от ракет. Заступивший на боевое дежурство подполковник Станислав Петров усомнился в показаниях системы. Подозрение вызвало сообщение о пяти замеченных целях — в случае реального военного конфликта США одновременно произвели бы сотни пусков. Петров решил, что это ложное срабатывание системы, и тем самым, вероятно, предотвратил Третью мировую войну.
• Подобная ошибка, едва не повлекшая за собой глобальный ядерный конфликт, произошла и по другую сторону океана. 9 ноября 1979 года из-за сбоя компьютера воздушно-космической обороны Северной Америки была получена информация о начале ракетной атаки против США — в количестве 2200 запусков. В то же время спутники раннего предупреждения и радары показали, что никакой информации о советской атаке не поступало — только благодаря перепроверке данных, сделанной за 10 минут, не был отдан приказ о взаимном гарантированном уничтожении.
• Причиной всему оказалась самая опасная уязвимость — человеческий фактор. Оператор компьютера, находящегося на боевом дежурстве, загрузил в него пленку с учебной программой, имитировавшей ситуацию массированной ракетной атаки.
• За несколько первых лет работы Национального центра управления Объединенного командования аэрокосмической обороны США и Канады было зафиксировано 3703 ложных сигнала тревоги, большая часть из которых появилась из-за атмосферных явлений. Однако случались и компьютерные ошибки. Так один из «боевых» компьютеров 3 июня 1980 года показал постоянно меняющиеся цифры количества ракет, запущенных Советским Союзом. Проблема возникла из-за аппаратного сбоя в микросхеме.
➡️ https://www.techinsider.ru/history/1659621
#Разное
• Судя по всему сегодня израильские хакеры взломали одну из крупнейших иранских криптобирж Nobitex и вывели почти 82 млн. баксов. Первым об этом инциденте сообщил ZachXBT - известный в криптосообществе исследователь, который раскрывает мошеннические схемы в сфере криптовалют.
• Сейчас на главной странице сайта можно наблюдать отбойник и сообщение о том, что биржа подверглась взлому. Все операции приостановлены и ведется внутреннее расследование. Также биржа заявила, что средства пользователей в холодных кошельках не пострадали, а убытки будут компенсированы из страхового фонда биржи.
• Ответственность за взлом взяла на себя израильская хакерская группировка Gonjeshke Darande. В Twitter X они пообещали, что в течение 24 часов опубликуют внутреннюю информацию и исходный код биржи.
• Nobitex была основана в 2017 году. Cуточный объем торгов на ней составляет более 168 млн. долларов, почти половина которого приходится на пару с биткоином. Такие вот дела...
➡️ Источник [1].
➡️ Источник [2].
#Новости
🖨 Canon NoteJet BN22 — удивительный ноутбук со встроенным принтером (или принтер со встроенным ноутбуком).
• Торговая марка Canon прочно ассоциируется у нас с фотоаппаратами, сканерами, принтерами и прочей офисной техникой. Но в былые времена интересы японской корпорации простирались далеко за пределы этого рынка, а ассортимент выпускаемой продукции был гораздо шире. В далёкие 80-е годы крупные японские компании вроде Sharp, Toshiba и даже Casio активно искали своё место в мире персональных компьютеров — рынок ПК демонстрировал бурный рост, и занять там полянку желали многие производители электроники.
• Но растущий рынок влечёт за собой нешуточную конкуренцию. Чтобы утвердиться на нём, необходимо предложить покупателям что-то достойное их внимания, оригинальное и необычное. В Canon решили сосредоточить свои усилия не на «домашних» пользователях, а на корпоративном сегменте, предоставив компаниям в дополнение к оргтехнике компьютеры, которыми те могли бы оснастить свои офисы.
• Так родилась идея Canon NoteJet — ноутбука со встроенным струйным принтером и оптическим сканером. Это был не просто гибрид, а полноценный бизнес-инструмент для менеджеров, адвокатов, журналистов и страховых агентов, которые работали с документами «в полях». Переносной компьютер с принтером избавлял пользователя от необходимости срочно искать печатающее устройство, если ему вдруг приспичило вывести на бумагу договор или счёт, а сканер в сочетании с модемом превращал устройство в копир и полноценный факс. Революционное по тем временам устройство.
• Внешне Canon NoteJet выглядит (на фото), как обычный ноутбук образца 1993 года: угловатый, пластиковый, и довольно тяжёлый — весит устройство 3,49 кг. при геометрических размерах 31 × 25,5 × 5 см. Сразу же обращает на себя внимание слишком высокий корпус, но если учесть, что внутри устройства прячется принтер, этот размер вполне оправдан.
• Первая модель компьютера была оборудована монохромным LCD-дисплеем диагональю 9,5 дюйма, который поддерживает максимальное разрешение 640x480 точек. Все интерфейсные разъёмы скомпонованы на задней торцевой стороне ноутбука и также прикрыты защитными крышками. Помимо гнезда питания и одного порта PS/2 для подключения мыши или клавиатуры, здесь имеется интерфейс VGA, к которому можно присоединить внешний монитор, параллельный и последовательный (RS-232C) порты, а также многоконтактный разъём расширения для подключения периферии.
• Но самое кроется под клавиатурой. Блок с клавишами легко поднимается, и под ним обнаруживается лоток для загрузки бумаги — всего он может вместить до 10 стандартных листов формата А4. Принтер имеет механизм автоматической подачи, отключаемый тумблером на верхней крышке устройства (ASF on/off), при этом отпечатанный лист выходит позади ноутбука, из щели за монитором.
• Принтер оборудован собственным выключателем питания, который располагается на верхней крышке, там же размещены кнопки управления процессом печати. Поэтому ради экономии ресурса аккумулятора пользователь может запросто отключить принтер, а сам компьютер будет продолжать работать.
• Этот ноутбук продавался в розницу совсем недёшево: по цене 2499 бакссов (на момент 1993 года). С одной стороны, оно того стоило — за эти деньги клиент получал практически готовый мобильный офис, позволяющий работать где угодно. С другой стороны, мнения об этом устройстве кардинально разделились: его либо горячо хвалили, либо не менее горячо ругали. Ругали, прежде всего, за очень маленький ресурс картриджа и большой вес — даже по меркам 90-х ноутбук был тяжёлым и громоздким. В том же 1994 году конкуренты вроде Toshiba и Compaq предлагали более компактные решения. Но главным недостатком всё же считалась цена. Компьютер оказался чересчур дорогим, чтобы стать массовым: за те же деньги можно было купить отдельно ноутбук и принтер, что устраивало большинство пользователей.
• Canon продолжала выпускать NoteJet несколько лет, постепенно улучшая дизайн и характеристики машины, но в конце 90-х компания свернула проект, так как ноутбуки не пользовались особым спросом...
#Разное
• Было время, когда все функции WhoIs, DNS, Google, GoDaddy выполнялись вручную. И делала это девушка по прозвищу Джейк.
• В 1969 году Дугласу Энгельбарту (один из первых исследователей человеко-машинного интерфейса и изобретатель компьютерной мыши) приглянулась библиотекарша Элизабет Джослин Фейнлер со скромным прозвищем «Джейк» и он пригласил ее к себе в научный центр ARC (Augmentation Research Center, спонсируемый DARPA).
• К 1972 году, когда появился первый в мире персональный компьютер Xerox Alto, Джейк возглавила рабочую группу по созданию нового Network Information Center (NIC) для ARPANET.
• Центр давал пользователям информацию о людях, организациях (аналог «желтых страниц»), связь осуществлялась по обычной почте и телефону. Позже связь осуществлялась через электронную почту по узлам ARPANET.
• А в 1974 Элизабет с рабочей группой разработали короткое текстовое именование хостов (Host names on-line). Дело в том, что в ARPANET владелец хоста должен был отправить email на HOSTSMASTER@SRI-NIC.ARPA чтобы запросить адрес. Файл hosts.txt распространялся усилиями сотрудников центра NIC и вручную устанавливался на каждом хосте в сети, чтобы обеспечить связь (mapping) между всеми адресами сети. Позже, исследовательская группа работала над масштабированием и функции центра NIC взяли на себя сервисы WhoIs и DNS.
• В 1989 году Фейнлер перешла на работу в НАСА в Исследовательский центр Эймса. Она вышла на пенсию в 1996 году, а в 2012 году она вошла в Зал славы Интернета.
• Кстати, благодаря Джейк существуют домены (.com, .gov, .org, .mil). Такие дела...
#Разное
☁️ Бесплатный курс Cloud DevOps.
• В сентябре прошлого года я делился с вами ссылкой на бесплатный курс по сетевым технологиям от МТС, который ориентирован для начинающих сетевых инженеров, а также всем, кто интересуется работой с сетями. Так вот, совсем недавно заметил, что у ребят есть еще один бесплатный курс, который содержит в себе информацию по основам DevOps-подхода, Kubernetes и современных облачных решений. Вот содержание:
• Модуль 1. Подходы к архитектуре приложений:
➡️Знакомство с DevOps;
➡️Основные способы построения программных архитектур;
➡️Выбор архитектуры: монолит vs микросервисы;
➡️Стратегия миграции.
• Модуль 2. Основы Kubernetes:
➡️Приложения раньше и сейчас;
➡️От виртуальных машин к контейнерам;
➡️Особенности контейнерного подхода;
➡️Сущности Kubernetes.
• Модуль 3. Kubernetes и хранение данных:
➡️Контейнеры с точки зрения хранения данных;
➡️Особенности хранения данных;
➡️Знакомство с Cloud Native Storage (CNS);
➡️Cloud Native Storage в vSphere и vSAN.
• Модуль 4. Kubernetes в продуктивной среде:
➡️Концепция vSphere with Tanzu;
➡️Архитектурные особенности;
➡️Приоритеты команд в рамках запуска приложений;
➡️Привычные инструменты для разработчика.
• Модуль 5. Мониторинг в Kubernetes:
➡️Особенности мониторинга;
➡️Мониторинг сети и визуализация;
➡️Зоны ответственности DevOps-инженера;
➡️Стек технологий для запуска микросервисных приложений.
• Модуль 6. Автоматизация:
➡️Популярные инструменты автоматизации инфраструктуры;
➡️vRealize Automation и программный деплой;
➡️Концепция «Инфраструктура как код»;
➡️Кросс-облачная сеть и безопасность.
• Модуль 7. DevSecOps и Open Source:
➡️Области внимания DevSecOps и Supply Chain Security;
➡️DevSecOps с GitHub Advanced Security;
➡️Реализация CI/CD для Azure IoT Edge;
➡️Инструменты IoT Edge для CI/CD.
➡️ https://mws.ru/courses/devops/
• Курс будет полезен системным администраторам Linux \ Windows, специалистам по эксплуатации и начинающим DevOps-инженерам.
#Курс #DevOps #Cloud
• Не прошло и 30 лет, как федеральное управление гражданской авиации США начали планировать (да, только планировать) миграцию с дискет и Windows 95, на новые носители и ОС, чтобы соответствовать современным требованиям!
• Оказывается, что более трети систем управления воздушным движением страны используют дискеты и win 95! И в федеральном управлении авиации понятия не имеют, как осуществить такой переход. Они просят частные компании поделиться своими идеями о том, как осуществить такой переезд... Кстати, обновление систем оценивают в десятки миллиардов баксов и 6 лет работы. По плану работы начнутся в 2027 году и завершатся к 2033-му.
➡️ https://www.npr.org/air-traffic-control-overhaul
#Разное #Оффтоп
• Нашел очень полезный ресурс, который содержит информацию по обеспечению безопасности контейнеров. Есть информация как для Red Team, так и для Blue Team. Рекомендую к изучению:
➡️ https://www.container-security.site
➡API Security;
➡Attacker Manifests;
➡Attackers - Compromised Container Checklist;
➡Attackers - Compromised User Credential Checklist;
➡Attackers - External Checklist;
➡Container & Kubernetes Security Tools;
➡Container Breakout Vulnerabilities;
➡Container CVE List;
➡Container Security Site;
➡Container Security Standards;
➡Container Terms for Security People;
➡Defenders - Container Image Hardening;
➡Kubernetes Security Architecture Considerations;
➡Kubernetes persistence checklist;
➡Node/Proxy in Kubernetes RBAC;
➡PCI Container Orchestration Guidance for Kubernetes;
➡Reading List;
➡Security Research;
➡Security Terms For Container People;
➡Support Lifecycles for container software and services.
#ИБ #docker #Kubernetes
• the art of command line - невероятно полезный гайд по использованию командной строки в Linux, к которому приложили руку множество авторов и переводчиков. Еще здесь есть разделы про Windows и macOS, а также универсальные советы, применимые для операционных систем на базе UNIX. Подходит как для новичков, так и для опытных специалистов. Гайд опубликован на разных языках, включая русский.
➡Описание;
➡Основы;
➡Ежедневное использование;
➡Процессинг файлов и информации;
➡Системный дебаггинг;
➡В одну строчку;
➡Сложно, но полезно;
➡MacOS only;
➡Windows only;
➡Больше информации по теме;
➡Дисклеймер.
➡️ https://github.com/jlevy/the-art-of-command-line
#Linux #CLI
Открытый практикум Linux by Rebrain: Права доступа в Linux
После регистрации мы отправим вам подарок! Вы сможете найти его в ответном письме.
👉Регистрация
Время проведения:
18 июня (среда) в 20:00 по МСК
Программа практикума:
▪️ Файлы и каталоги
▫️ Umask
▪️ ACL
Кто ведёт?
Андрей Буранов — специалист по UNIX-системам в компании VK, входит в топ 3 лучших преподавателей образовательных порталов. 13+ лет опыта работы с ОС Linux и 11+ лет опыта преподавания.
Бесплатные практикумы по DevOps, Linux, Networks и Golang от REBRAIN каждую неделю. Подключайтесь!
Реклама. ООО "РЕБРЕИН", ИНН: 7727409582, erid: 2W5zFHLuDP6
• Исследователи BruteCat обнаружили уязвимость, которая позволяла брутфорсить номера телефонов для восстановления любого аккаунта Google, просто зная имя профиля и часть номера. 6 июня компания заявила, что исправила баг.
• Суть атаки заключается в использовании устаревшей версии формы восстановления имени пользователя Google с отключённым JavaScript, в которой отсутствовали современные средства защиты от злоупотреблений. Это создавало риск фишинга и подмены SIM-карт.
• Дело в том, что номер телефона, настроенный пользователями для восстановления аккаунта Google, в подавляющем большинстве случаев совпадает с основным номером. Форма позволяет запрашивать, связан ли номер телефона с учётной записью Google на основе отображаемого имени профиля пользователя («Джон Смит») с помощью двух запросов POST.
• Исследователи обошли средства защиты, ограничивающие скорость перебора номеров используя ротацию адресов IPv6 для генерации триллионов уникальных IP-адресов через подсети /64 для этих запросов. Кроме того, исследователи нашли способ обхода CAPTCHA, присваивая параметру bgresponse=js_disabled действительный токен BotGuard, который был получен из JavaScript-версии той же формы. С помощью этой техники в BruteCat разработали инструмент для подбора паролей (gpb), который перебирает диапазоны номеров, используя форматы, специфичные для страны, и фильтрует ложные срабатывания.
• Исследователь использовал «libphonenumber» от Google для генерации действительных форматов номеров, создал базу данных масок стран для определения форматов телефонов по регионам и написал скрипт для генерации токенов BotGuard через Chrome без заголовка.
• При скорости перебора 40 тысяч запросов в секунду для номеров США потребуется около 20 минут, Великобритании — 4 минуты, а Нидерландов — менее 15 секунд.
• Для реализации атаки требуется адрес электронной почты, но Google скрыла его с прошлого года. В BruteCat обнаружили, что может получить его, создав документ Looker Studio (бывший Google Data Studio) и передав право собственности на Gmail-адрес цели, после чего отображаемое целевое имя в Google появляется на панели инструментов Looker Studio создателя документа, не требуя никакого взаимодействия с целью.
• Далее исследователи могли выполнять повторные запросы, чтобы определить все номера телефонов, связанные с именем профиля. Однако, поскольку могут существовать тысячи учётных записей с одинаковым именем профиля, он сузил область поиска, используя часть привязанного номера телефона. Чтобы получить его, исследователь задействовал рабочий процесс «восстановления учётной записи» Google, который отобразит две цифры настроенного номера телефона.
«Это время также можно значительно сократить с помощью подсказок по номеру телефона из потоков сброса пароля в других сервисах, таких как PayPal, которые предоставляют несколько дополнительных цифр (например, +14•••••1779)», — объяснил BruteCat.
👩💻 Проекту Kubernetes исполнилось 11 лет.
• 11 лет назад, 6 июня 2014 года, был сделан первый коммит в Kubernetes. По сути, этот день стал историческим — тогда определился путь развития современных технологий контейнеризации и организации облачной инфраструктуры. Но начиналось все гораздо раньше...
• В 1979 году в составе операционной системы Unix появилась утилита chroot. Она позволяла изолировать процессы в рамках файловой системы. И хотя chroot сам по себе не является инструментом контейнеризации, он стал предшественником более мощных технологий.
• В начале 2000-х годов Google задумалась над тем, как вывести производительность виртуальных серверов на максимум. Результатом этих размышлений стал Borg — система управления контейнерами первого поколения. Borg выступал в роли «мозга» для запуска контейнерных рабочих нагрузок в центрах обработки данных. Кстати, Borg еще жив.
• Спустя 13 лет у Google появился более продвинутый инструмент — Omega, система управления контейнерами второго поколения. Это было гибкое и масштабируемое решение. В том же году появился и Docker. Он позволял разработчикам создавать, развёртывать и управлять контейнерными приложениями, а также запускать их на отдельных машинах.
• Docker сильно повлиял на будущих создателей Kubernetes, разработчиков из Google Крейга Маклаки, Джо Беду и Брендана Бёрнса. Они были в восторге от его возможностей. Но, как ни странно, больше всего их вдохновили именно ограничения, а не возможности Docker: он работал только на одном узле и не позволял организовать полноценную автоматизацию работы с ресурсами. Стало понятно, что для удобства работы с контейнерами не хватает оркестратора, который мог бы автоматически разворачивать и управлять большим количеством контейнеров на множестве узлов одновременно. Этот оркестратор должен был стать системой управления контейнерами третьего поколения. Так началась история Kubernetes...
• В том же 2013 году Крейг Маклаки, Джо Беда и Брендан Бёрнс предложили идею системы управления контейнерами с открытым исходным кодом. Они хотели перенести опыт внутренней инфраструктуры Google в сферу облачных вычислений — это позволило бы Google составить конкуренцию Amazon Web Services (AWS), на тот момент лидеру среди облачных провайдеров.
• Оцените масштаб идеи: «Мы не можем конкурировать с AWS средствами классического маркетинга, потому что пользователи просто привыкли к их стилю работы, поэтому мы создадим новый Open Source-инструмент, который станет рыночным стандартом и навсегда изменит подход инженеров к разработке приложений — так, чтобы этот подход соответствовал стилю Google Cloud». Это же просто на грани гениальности и сумасшествия.
• Естественно, многие из первых разработчиков Kubernetes до этого успели поработать над Borg и Omega, и они хотели создать оркестратор контейнеров, который учитывал бы все знания и навыки, полученные при разработке систем управления контейнерами первого и второго поколений. При этом они стремились сделать новый Open Source-инструмент менее сложным и с более удобным интерфейсом.
• Уже в июне 2014 года Джо Беда сделал первый коммит в репозиторий Kubernetes. И хотя именно 6 июня принято считать точкой отсчёта в истории проекта, сам разработчик отмечает, что это лишь вершина айсберга и весь процесс был запущен на несколько месяцев раньше.
• 10 июня 2014 года Kubernetes был официально анонсирован на DockerCon, и с этого момента проект начал привлекать внимание сообщества...
➡️ https://blog.risingstack.com/the-history-of-kubernetes/
#Разное
• Если у вас возникает потребность в логировании всех команд пользователя Linux, которые он вводит в консоли, то есть отличное решение для данной задачи - Snoopy Command Logger. Настраивается предельно легко и очень быстро. Можно настроить различные фильтры записи, что сохранять, что нет. Например: можно задать логирование только root, указать формат лога, настроить исключения и т.д.
• Тут стоит учитывать, что root может очистить файл, куда будут сохранятся логи. Соответственно если существует такой риск, то пересылайте сохраненные логи на удаленный сервер, к которому нет доступа с текущего.
➡️ https://github.com/a2o/snoopy
#Linux
Высшее на новом уровне: онлайн-магистратура от Яндекса и НИЯУ МИФИ. Здесь фундаментальные знания и практика для карьерного роста, а ещё — учёба, которую можно совмещать с работой и жизнью.
IT‑специальность с экспертизой Яндекса + диплом магистра гособразца = новая ступень в карьере. Приёмная кампания уже идёт!
Все подробности — на дне открытых дверей:
— Разбор совместной программы с НИЯУ МИФИ.
— Всё о формате прикладной онлайн-магистратуры: что взяли от классического высшего, а что добавили из опыта специалистов Яндекса.
— Общение с экспертами из вуза и ответы на вопросы.
— Всё про поступление: сроки, экзамены, документы, оплата и образовательный кредит.
▷ Ждём вас 26 июня в 19:00 мск.
→ Зарегистрироваться на встречу
• Месяц назад публиковал пост, где рассказывал о тематической (infosec) игре Bandit, в которой нужно ковырять консоль, подключаться по SSH к разным серверам, искать на них файлы с информацией, ну и т.д... Так вот, есть не менее интересная игра, только направленная на эксплуатацию Web-уязвимостей.
• Если коротко, то суть игры заключается в поиске паролей на сайтах, ссылка на которые дается при переходе на новый уровень. Каждый lvl имеет доступ к паролю следующего уровня.
• К примеру, если взять lvl 0 и lvl 1, то от вас просто потребуется посмотреть код страницы и найти в нем пароль на следующий уровень. Если сможете найти, то перейдете на 2 lvl, где уже задача будет немного сложнее: при просмотре кода страницы уровня 2 вы заметите, что на страницу загружается картинка. Заходим в директорию, откуда происходит загрузка картинки. Наблюдаем, что эта дирректоря непроиндексирована и доступна пользователям. Забираем пароль. (Для того, чтобы избежать просмотра файлов в дирректории, в настройках сервера (в данном случае /etc/apche2/httpd.conf) должен стоять запрет на индескирование файлов. Или в данной дирректории должен находиться файл index.html.
• Думаю, что суть ясна. Там куча уровней и все они весьма сложные. Просто так посмотреть код страницы на каждом уровне и поискать пароль не прокатит, нужно будет много думать и читать. Но игра залипательная. Однозначно рекомендую.
➡️ https://overthewire.org/wargames/natas/
#Wargame #Web
Открытый практикум Linux by Rebrain: Установка ELK
После регистрации мы отправим вам подарок! Вы сможете найти его в ответном письме.
👉Регистрация
Время проведения:
25 июня (среда) в 20:00 по МСК
Программа практикума:
▪️Когда нужен централизованный сбор логов?
▫️Некоторые сложности анализа логов
▪️Стек ELK
Кто ведёт?
Андрей Буранов — системный администратор в департаменте VK Play. 13+ лет опыта работы с ОС Linux. 11+ лет опыта преподавания. Входит в топ-3 лучших преподавателей образовательных порталов.
Бесплатные практикумы по DevOps, Linux, Networks и Golang от REBRAIN каждую неделю. Подключайтесь!
Реклама. ООО "РЕБРЕИН", ИНН: 7727409582, erid: 2W5zFGgo4jJ
• Containerlab — бесплатное, open source решение для построения сетевых лабораторий на основе контейнеров, которое позволяет создавать сетевые модели без громоздких виртуальных машин и физических устройств.
• Из плюсов: возможность очень быстро и понятно взаимодействовать \ управлять топологией и есть функционал экспорта графа в различных форматах (drawio, mermaid и т. д.). Также есть возможность отобразить топологию в браузере. Минусы: ограниченный набор готовых контейнеров операционной системой #Linux.
• К сожалению, я не нашел подробного гайда на русском языке, но есть материал на хабре, в котором есть сравнение с Cisco Packet Tracer / PNETLab и небольшой гайд по использованию. Все ссылочки ниже:
➡️ GitHub;
➡️ Официальный сайт Containerlab;
➡️ Статья: containerlab, как альтернатива Cisco Packet Tracer / PNETLab;
➡️ Статья: обзорная экскурсия в мир сетевых контейнеров;
➡️ Статья: простое развёртывание сетевой лабы на базе контейнеров.
#Сети
• Исследователи из компании Binarly рассказали об уязвимости в механизме безопасной загрузки (Secure Boot), которая позволяла атакующим отключать защиту и запускать вредоносный код до загрузки операционной системы.
• Проблема с идентификатором CVE-2025-3052 была связана с подписанным UEFI-модулем, используемым для обновления BIOS. Она затрагивала модуль, изначально разработанный для защищённых устройств DT Research, но подписанный доверенным сертификатом Microsoft UEFI CA 2011.
• Поскольку этот сертификат используется в большинстве современных систем, включая загрузчик Linux shim, то уязвимый код может выполняться на огромном количестве компьютеров.
• Проблема возникала из-за некорректной обработки переменной NVRAM с именем IhisiParamBuffer. Модуль использовал её содержимое как указатель памяти без проверки, а хакер мог получить контроль над памятью и полностью отключить протокол Secure Boot, чтобы внедрить вредоносные программы, модифицирующие загрузочный сектор. Буткиты работают на уровне прошивки и избегают обнаружения антивирусами и системами мониторинга.
• Уязвимость затронула как минимум 14 проблемных компонентов. Microsoft уже выпустила исправление в рамках июньского обновления Patch Tuesday. Оно включает обновлённый список отзыва (dbx), блокирующий выполнение опасных модулей.
➡️ https://www.binarly.io/blog/another-crack-in-the-chain-of-trust
#ИБ #Новости
Вчера — антивирус и фаервол, сегодня — нейросети и DevSecOps. Киберугрозы эволюционируют, а методы защиты становятся умнее и технологичнее.
Уральский федеральный университет и Нетология запускают магистратуру «Современные технологии безопасных систем» — онлайн-программу, где готовят востребованных специалистов по безопасной разработке и аналитиков SOC.
За 2 года вы:
- освоите криптографию и тестирование на проникновение;
- научитесь проектировать безопасные системы и интегрировать защиту в процессы разработки;
- получите два диплома: магистра УрФУ и диплом Нетологии по информационной безопасности.
Вас ждёт практика на реальных проектах, поддержка наставников и доступ ко всем льготам очного обучения.
Получите профессию будущего на стыке информационной безопасности и программной инженерии
Реклама. ООО "Нетология". ИНН 7726464125 Erid 2VSb5whPPUU
🪱 21 год назад появился первый в истории мобильный червь — Cabir.
• Сегодня исполняется 21 год самому первому в мире червю, который был способен заражать мобильные телефоны и распространятся через Bluetooth.
• Метод активации Cabir полностью зависит от решений человека. Телефон может зафиксировать Bluetooth-соединение, которое человек должен принять. После этого скачивается файл червя. Далее вредоносная программа спрашивает у пользователя, хочет ли он ее запустить. В случае запуска, червь отображает на экране сообщение «Caribe — VZ/29a» или «Caribe». В директории \system\apps червь создает папку под названием caribe и устанавливает файлы caribe.app, flo.mdl и caribe.rsc. Также создается папка caribesecuritymanager в директории \system\symbiansecuredata. При запуске caribe.app, происходит установка файлов caribe.app, caribe.rsc и caribe.sis. А в папку \system\recogs помещается файл flo.mdl.
• Каждый каз, когда телефон включаю, Cabir начинает поиски активного Bluetooth-соединения и, найдя такое, копирует себя на другой телефон. Этот процесс может повториться только, если зараженный телефон перезагрузить. При этом передача через Bluetooth все равно будет, даже если пользователь его отключил в настройках.
• Во время Чемпионата мира по лёгкой атлетике в августе 2004 года было заражено множество телефонов. Объясняется это большой скученностью людей на стадионах. В общей сложности Cabir инфицировал 115 000 телефонов.
• Авторы вируса до сих пор точно не установлены, но эксперты считают, что червь написан хакерской группой 29A в качестве концептуальной демонстрации.
#Разное
• Там Shotstars обновился, добавили много новых функций для более детального анализа на накрутку звезд в git-репозиториях. Если помните, то я раньше уже упоминал данный инструмент в этом канале. Фишка в том, что благодаря этой тулзе мы можем находить репозитории, на которые накрутили статистику. Такие проекты нужно тщательно проверять перед использованием и быть максимально осторожным.
• Но суть данного поста немного в другом. Скоро данный функционал появится в нашем боте S.E. Virus Detect. Идея заключается в том, что если вы направите ссылку на какой-либо репозиторий, то помимо стандартной проверки ссылки через Virus Total бот предложит вам просканировать репо с помощью Shotstars, и по итогу анализа выдаст вам сообщение со всей необходимой информацией (пример). Так вы сможете проанализировать нужный репо не выходя из телеги. Удобно!
➡️ https://github.com/snooppr/shotstars
#Разное
Успейте подать заявку на Pentest Award 2025 до 30 июня!
Это отраслевая награда для специалистов по тестированию на проникновение, которая проводится уже в третий раз. Основная задача премии — выделить лучших специалистов и показать их вклад в развитие российского пентеста.
Участие бесплатное, главный приз за победу — именная статуэтка, макбук и максимальный почет сообщества этичных хакеров.
За вторые и третьи места призеры получат айфоны и смарт-часы.
Также будут подарки от партнеров проекта: Совкомбанк Технологии и BIZONE Bug Bounty, гранты от учебного центра CyberEd и билеты на конференцию OFFZONЕ. Церемония награждения будет проходить 1 августа в Москве.
Заявка на премию — это рассказ о лучшем проекте в свободной форме. Не нужно раскрывать эксплоиты, любые шаги в цепочке эксплуатации могут быть полностью анонимны, а детали могут быть скрыты, важно отразить сам подход и идею.
Подать заявку и узнать больше информации можно на сайте — https://award.awillix.ru/
Реклама. ООО «Авилликс», ИНН: 9729279526, erid: 2VtzqvPWTmf
• Нашел очень интересный сайт, который позволяет увидеть, каким был интернет (arpanet/usenet) до появления WWW и браузеров! Сайт называется Telehack - это симулятор древней сети, с поддержкой 25 тысяч виртуальных хостов и BBS-станций, которые были доступны в то время, с реальными файлами тех лет. Разумеется, сёрфинг по Сети осуществляется с помощью telnet командой telnet telehack.com или через веб-интерфейс.
• Кроме виртуальных хостов, в симуляторе есть и виртуальные пользователи, которых часто можно было тогда встретить в Сети. Команда FINGER host выводит список юзеров с каждого хоста. А еще симулятор позволяет «взламывать» древние хосты, как это было четверть века назад. Инструкции см. в файле readme.
➡️ https://telehack.com
• Представьте, что лет через 20 все сегодняшние интернеты тоже будут лежать у какого-нибудь одного студента на домашнем компе, на одном кластере пластинки памяти супер-компьютера...
#Разное
• Очень крутая CTF платформа, которая поможет освоить множество различных направлений в ИБ. Куча тасок, подсказок, видеоматериала, практики и теории... Единственный минус - информация на английском языке, так что если у вас есть сложности с переводом, то воспользуйтесь deepl.
➡️ https://pwn.college/
#ctf #ИБ
• Вероятно, что многие из вас уже слышали о таком репозитории как vulhub. Этот репо содержит достаточно объемную коллекцию уязвимого ПО, которое упаковано в готовое окружение на базе docker-compose.
• Вот пример: относительно недавно были опубликованы некоторые уязвимости, которые связаны с контроллером ingress-nginx. Одной из таких уязвимостей является CVE-2025-1974 (9.8 Critical) — позволяет неавторизованному пользователю произвести удаленное выполнение кода. Соответственно вот тут есть готовое окружение с уязвимой версией ingress-nginx и подробным описанием уязвимости. Устанавливаете, тренируетесь, закрываете уязвимость и получаете кучу опыта. Круто? Еще как! Особенно когда к каждой лабе есть подробная документация.
➡️ https://github.com/vulhub/vulhub
➡️ https://vulhub.org/environments
#ИБ #docker
• Еще раз о том, что представляет из себя ботоферма. В данной реализации, в отличии от той, о которой я рассказывал ранее, из смартфонов не извлекают материнские платы для установки в единый хаб, а подключают устройство целиком. Ну и разумеется сюда прикручивают ИИ, которые пишут сотни тысяч "нужных" комментариев под постами, лайкают \ репостят публикации и всё в этом роде... Всячески осуждаю такой подход, но выглядит красиво.
• К слову, если у вас возникает вопрос "почему просто не использовать эмуляторы и не запустить все виртуально?", то ответ простой. Эмуляторы легко детектятся платформами. Используя физическое устройство такая реализации лучше обходит инструменты обнаружения.
➡️ Видео взял отсюда: link.
• И еще, вот вам хорошая статья на данную тему, с небольшой историей и фотографиями. Материал не содержит описания технической части, но вы наглядно поймёте как все работает:
➡ https://www.huckmag.com/
#Разное
• Операционная система Linux, а точнее, ее ядро, является основой для огромного числа дистрибутивов. Выбор подходящего дистрибутива – задача, требующая понимания их ключевых различий, философии и целевой аудитории.
• На хабре была опубликована хорошая статья, которая преследует цель предоставить структурированный обзор наиболее значимых дистрибутивов и их семейств, осветить их сильные и слабые стороны, а также помочь в формировании критериев для осознанного выбора. Материал содержит тонну полезных ссылок для осознанного подхода к выбору и дальнейшему изучению мира Linux.
➡️ https://habr.com/ru/articles/908986/
#Linux
