xaker
Исследователь рассказал, как узнать номер телефона для любой учетной записи Google

Независимый исследователь обнаружил уязвимость, которая позволяла подобрать номер телефона для любого аккаунта Google. Проблема создавала серьезные риски фишинговых атак и атак на подмену SIM-карт.

  • четверг, 12 июня 2025 г. в 00:00:17
xaker
Microsoft патчит 66 уязвимостей, включая обход Secure Boot

В рамках июньского «вторника обновлений» компания Microsoft исправила 66 уязвимостей, включая две проблемы нулевого дня, одна из которых уже применялась в атаках. Также была устранена уязвимость обхода Secure Boot, которая могла применяться для установки буткитов.

  • четверг, 12 июня 2025 г. в 00:00:16
xaker
Outlook будет блокировать опасные вложения, которые часто используются в атаках

В следующем месяце в Outlook Web и новом Outlook для Windows будет расширен список блокируемых вложений, анонсировали специалисты Microsoft.

  • четверг, 12 июня 2025 г. в 00:00:14
xaker
В обход песочниц. Детектим сэндбоксы VirusTotal и Kaspersky, чтобы спрятать вредоносный код

Для подписчиковКак устроены антивирусные песочницы, известно лишь понаслышке: вендоры надежно хранят свои секреты. Что мы увидим, если попытаемся заглянуть к ним под капот? В этой статье — результаты эксперимента по исследованию сред анализа вредоносного ПО, включая VirusTotal. Мы написали скрипт для обхода песочниц и получили reverse shell: теперь мы точно знаем, что там внутри.

  • четверг, 12 июня 2025 г. в 00:00:13
xaker
Linux Foundation запускает децентрализованный менеджер плагинов для WordPress

В свете юридического конфликта между холдингом Automattic и WP Engine, группа бывших разработчиков WordPress при поддержке Linux Foundation запустила FAIR Package Manager — независимую систему распространения доверенных плагинов и тем для WordPress.

  • четверг, 12 июня 2025 г. в 00:00:12
xaker
Более 84 000 установок Roundcube уязвимы перед критическим багом

Исследователи подсчитали, что более 84 000 установок Roundcube Webmail уязвимы перед критической проблемой CVE-2025-49113, для которой уже доступен публичный эксплоит.

  • четверг, 12 июня 2025 г. в 00:00:11
habrahabr
Как собрать Docker-образ, который можно запускать в проде (а не только у себя на ноуте)

Если ты пишешь Dockerfile, скорее всего, он работает. Но вопрос не в том, работает ли. Вопрос в другом: будет ли он работать через неделю, на другом сервере, в CI/CD, на чужом железе — и будет ли это безопасно. Или всё сломается, потому что ты не зафиксировал зависимости, положился на latest, и забыл про то, что ENTRYPOINT — это тоже код.В этой статье — как собрать нормальный Docker-образ, который предсказуем, устойчив и готов к продакшену.1. Первая ошибка: ты начинаешь с плохой базыМногие беру…

  • четверг, 12 июня 2025 г. в 00:00:10
habrahabr
ИБ-исследователь Michal Wozniak: «Telegram неотличим от приманки спецслужб»

Многие люди, занимающиеся информационной безопасностью, включая меня, давно считают Telegram подозрительным и ненадежным. Теперь, основываясь на выводах, опубликованных расследовательским журналистским изданием IStories*, и моем собственном анализе перехватов пакетов из Telegram для Android и протокола Telegram, описанного ниже, я считаю Telegram неотличимым от ханипота для слежки.Telegram генерирует долгосрочный идентификатор, называемый auth_key_id, на каждом клиентском устройстве. Этот идент…

  • четверг, 12 июня 2025 г. в 00:00:09
habrahabr
Призраки в коммитах: как я заработал $64 000 на удаленных файлах в Git

TL;DR: я построил систему, которая клонирует и сканирует тысячи публичных GitHub-репозиториев — и находит в них утекшие секреты. В каждом репозитории я восстанавливал удаленные файлы, находил недостижимые объекты, распаковывал .pack-файлы и находил API-ключи, активные токены и учетки. А когда сообщил компаниям об утечках, заработал более $64 000 на баг-баунти. С чего все началосьМеня зовут Шарон Бризинов. Я занимаюсь исследованием низкоуровневых эксплойтов в устройствах OT/IoT и время от вре…

  • четверг, 12 июня 2025 г. в 00:00:08