Исследователи ИБ-компании SEC Consult, входящей в состав Eviden, рассказали, что занимающаяся платежными решениями компания KioSoft больше года устраняла серьезную уязвимость, затрагивающую некоторые из ее NFC-карт.
Для подписчиковСегодня я покажу, как повышать привилегии в Linux через создание задачи. Но прежде проэксплуатируем уязвимость в Grafana, получим RCE в Docker, совершим побег из контейнера и получим учетные данные от Crontab UI.
На прошлой неделе ИБ-компания Huntress опубликовала исследование, основанное на том, что злоумышленник установил пробную версию ее продукта. Однако в итоге компания подверглась критике, так как у многих возникли опасения по поводу уровня доступа Huntress к системам клиентов, даже если те установили только бесплатную пробную версию EDR-инструмента.
Специалисты ESET обнаружили новую вымогательскую малварь HybridPetya, которая может обходить защиту UEFI Secure Boot для установки вредоносного приложения в системный раздел EFI. Предполагается, что HybridPetya был вдохновлен деструктивным вредоносом Petya/NotPetya, который шифровал компьютеры без возможности восстановления в 2016-2017 годах.
По информации СМИ, среди злоумышленников распространяется практика аренды пользовательских аккаунтов в мессенджере Max, ранее популярная у мошенников в WhatsApp. На теневых форумах ежедневно публикуется до тысячи таких объявлений. Такая «услуга» стоит от 10 до 250 долларов США, и учетную запись можно взять в аренду на срок от одного часа.
Рекомендуем почитать: Хакер #316. Android по-хакерски Содержание выпуска Подписка на «Хакер»-60% Помнишь дисклеймер, который часто встречается в наших статьях? «Статья имеет ознакомительный характер и предназначена для специалистов по безопасности…» — теперь он есть на футболке, и заказать ее можно прямо сейчас. Эти футболки созданы для всех, кто ценит аккуратный дизайн и комфорт — б
Компания Google устранила критическую уязвимость типа use-after-free в браузере Chrome, которая могла привести к выполнению кода. Обнаруживший ее ИБ-специалист получил вознаграждение по программе bug bounty в размере 43 000 долларов США.
Обнаружена еще одна атака на цепочку поставок, получившая название GhostAction. Вредоносная кампания была нацелена на GitHub и привела к компрометации 3325 секретов, включая токены PyPI, npm, DockerHub, GitHub, API-ключи Cloudflare и AWS.
Для подписчиковКак расширить возможности C2-маяка, не переписывая его код и не подставляясь под антивирусы? В статье разбираем Beacon Object Files — легкий модульный способ добавлять новые функции прямо на лету. С помощью BOF можно проводить постэксплуатацию, закрепление, эксфильтрацию и выполнять любые кастомные задачи без доработки самого маяка.
По данным исследования Atlantic Council, индустрия шпионского ПО переживает бум, поскольку инвесторы все чаще обращают внимание на эту этически сомнительную, но весьма прибыльную область. При этом большую часть средств получают компании в США и Израиле, а американские инвестиции в шпионское ПО утроились за последний год.
Неназванная европейская компания, специализирующаяся на защите от DDoS-атак, сама стала жертвой такой атаки, мощность которой достигла 1,5 млрд пакетов в секунду (PPS). Специалисты FastNetMon, которые занимались отражением DDoS, сообщили, что атака исходила от тысяч IoT-устройств и роутеров MikroTik.
Специалисты F6 и RuStore сообщают, что обнаружили и заблокировали 604 домена, которые входили в инфраструктуру хакеров, заражавших мобильные устройства трояном DeliveryRAT. Вредонос маскировался под популярные приложения для доставки еды, маркетплейсы, банковские сервисы и трекинг посылок.
Компания Google сообщила, что интегрирует технологию C2PA Content Credentials в приложение камеры Pixel 10 и Google Photos, чтобы пользователи могли отличать подлинные изображения от тех, что были созданы или отредактированы с помощью искусственного интеллекта.
На этой неделе компания Microsoft выпустила сентябрьские обновления, которые устранили 81 уязвимость в продуктах компании. Среди них были две уязвимости нулевого дня, информация о которых была раскрыта до выхода исправлений.
Для подписчиковПредставь: старый почтовый веб‑клиент, давно забытый и оставленный пылиться в закоулках интернета, но по‑прежнему таящий в себе кладезь... Это история о том, как глубокое погружение в RainLoop привело к тому, что я нашел RCE и способ получить доступ к данным пользователей крупной компании, которая не пожалела вознаграждения.
На этой неделе компания Apple представила iPhone 17 и iPhone Air, которые будут оснащены новой функцией защиты памяти, предназначенной для обеспечения безопасности устройств в случае сложных атак шпионского ПО.
Специалисты компании F6 рассказали, что в первом полугодии 2025 года доходы распространителей нелегального видеоконтента упали на 14,5% по сравнению с прошлым годом (16,6 млн долларов). При этом успешная блокировка пиратских ресурсов привела к тому, что регистрация таких доменов увеличилась на 27,4% — до 79 000.
Самая крупная атака за всю историю экосистемы npm затронула примерно 10% облачных сред. Однако специалисты пришли к выводу, что злоумышленники не сумели «заработать» на этом взломе практически ничего.
СМИ сообщили, что ознакомились с «Реестром социально значимых сервисов», рекомендованным Минцифры. В «белый список» ресурсов, которые будут работать во время отключения мобильного интернета, якобы планируют включить 57 наименований сервисов, включая «Фонбет» и «Пикабу». В Минцифры не подтверждают эту информацию.
Аттаулла Баиг, якобы возглавлявший службу безопасности WhatsApp с 2021 по 2025 год, подал в суд на материнскую компанию Meta (организация признана экстремистской и запрещена на территории РФ). Баиг утверждает, что его уволили за неоднократные попытки решить серьезные проблемы кибербезопасности мессенджера. В компании говорят, что Баиг вообще не был руководителем службы безопасности.