Для подписчиковСегодня я покажу интересную уязвимость при загрузке файла на сервер. Мы используем трюк с нулевым байтом, который позволит обойти фильтрацию по расширению файла. Затем для повышения привилегий создадим и загрузим собственную библиотеку для Linux.
Европол сообщил об аресте 29-летнего гражданина Украины, которого подозревают в организации масштабной криптоджекинговой схемы. Считается, что хакер с размахом эксплуатировал чужие облачные ресурсы: с помощью взломанных учетных записей подозреваемый создал 1 млн виртуальных серверов и использовал их для нелегальной добычи криптовалюты.
В GitLab устранили сразу две критические уязвимости, одну из которых можно было использовать для захвата учетных записей без какого-либо взаимодействия с пользователем.
Не успел посетить открытый вебинар «Python с нуля», прошедший на этой неделе? Не беда! 18 января (в 18:00 по московскому времени) состоится еще одно открытое занятие, направленное на изучение основ и базовых концепций программирования на Python.
Исследователи компании Akamai обнаружили новый ботнет NoaBot, который атакует серверы по всему миру. NoaBot построен на основе самораспространяющегося червя Mirai, использует SSH для атак и устанавливает в зараженные системы криптовалютный майнер.
Эксперты компании Nozomi выявили более двух десятков уязвимостей в популярной серии промышленных подключаемых к сети гайковертов, которые используются на заводах и фабриках по всему миру (особенно на автомобильных производствах). Исследователи предупредили, что работу устройств можно заблокировать, полностью остановив работу производства, или незаметно изменить настройки крут
Разработчики Cisco выпустили патчи для устранения критической уязвимости в Unity Connection. Проблема получила идентификатор CVE-2024-20272 и может использоваться удаленно, без аутентификации, для загрузки произвольных файлов, выполнения команд и повышения привилегий до уровня root.
Американский суд приговорил 22-летнего француза Себастьяна Рауля (Sebastien Raoult) к трем годам лишения свободы и возмещению убытков в размере 5 млн долларов США. Рауль, также известный в сети под ником Sezyo Kaizen, был участником группировки Shiny Hunters, которая взломала более 60 организаций в период с апреля 2020 года по июль 2021 года, похитив личные и финансовые данные миллионов людей.
Сразу две проблемы обнаружены в популярном плагине Post SMTP Mailer, который используется для доставки электронной почты на 300 000 сайтов. Уязвимости могут помочь злоумышленникам получить полный контроль над аутентификацией ресурса.
16 января (18:00 по московскому времени) приглашаем на ознакомительный открытый вебинар, посвященный основам создания устройств интернета вещей. На вебинаре ты получишь базовое представление о том, как работают умные устройства, а акцент будет сделан на язык программирования Micropython. В ходе занятия будет создано несколько небольших проектов, включая светофор и сигнализацию.
Компания MUSO, специализирующаяся на защите авторских прав и борьбе с пиратством, и консалтинговая фирма Kearney представили отчет об активности цифровых пиратов в 2023 году. По их данным, за прошедший год в мире был зарегистрирован 141 миллиард посещений пиратских сайтов, что на 12% больше, чем в 2019 году.
Китайские власти утверждают, что обнаружили способ расшифровки логов, связанных с функциональностью AirDrop на устройствах Apple. Якобы это позволяет правительству определять номера телефонов и адреса электронной почты тех, кто делится контентом через AirDrop.
Пользователи Windows 10 по всему миру сообщают о проблемах с установкой январских патчей Microsoft. Так, при попытке установить обновление KB5034441 для BitLocker возникает ошибка 0x80070643.
СМИ сообщают, что пользователи Telegram столкнулись с новым видом мошенничества. Взломав чужой аккаунт, хакеры начинают писать другим контактам от лица жертвы и шлют фальшивые голосовые сообщения, тоже от лица владельца скомпрометированной учетной записи. Для генерации таких аудиосообщений используются нарезки из реальных голосовых сообщений пострадавшего.
Напоминаем: сегодня, в 18:00 по московскому времени, пройдет ознакомительный вебинар «Python с нуля». Занятие предваряет старт одноименного курса, направленного на изучение основ и базовых концепций программирования на Python.
По информации экспертов компании Securonix, группа финансово мотивированных турецких хакеров атакует серверы Microsoft SQL (MSSQL) по всему миру, стремясь зашифровать файлы жертв с помощью вымогателя Mimic (он же N3ww4v3).
16 января (18:00 по московскому времени) состоится бесплатный вебинар, посвященный основам создания устройств интернета вещей. Ведущим выступит Виктор Паперно, проверенный преподаватель, опытный разработчик роботов и умных устройств. Также с 2014 года Виктор является автором «Хакера», и знаком нашим читателям по многочисленным статьям.
Специалисты компании CloudSEK обратили внимание, что уже несколько инфостилеров предлагают такую «услугу», как восстановление файлов cookie Google для взлома учетных записей даже в том случае, если жертвы меняют свои пароли. Эксперты заявили, что для этого вредоносы злоупотребляют недокументированным API Google Chrome.
Первые патчи в этом году устранили 49 уязвимостей в продуктах Microsoft, 12 из которых представляли собой проблемы удаленного выполнения кода (RCE). В этом месяце только две уязвимости были классифицированы как критические: обход защиты Windows Kerberos и RCE в Hyper-V.
Учетная запись Комиссии по ценным бумагам и биржам США (SEC) в бывшем Twitter подвергалась взлому. Неизвестный хакер, захвативший аккаунт, сообщил от лица SEC, что американские власти приняли решение разрешить запуск Bitcoin-ETF «на всех зарегистрированных национальных биржах ценных бумаг». Из-за этого курс криптовалюты успел заметно подрасти, но потом фейк разоблачили.