Ця новина вас сильно здивує (ні) 2/2

👾 Деякі із загроз:

- росія (APT44, TEMP.Vermin, UNC5125 ): фішинг Telegram/Signal на тему дронів. Ціль — українські військові та підрозділи дронів. Використовували скрипти WAVESIGN для розшифрування та викрадення даних з Signal. Мальваре VERMONSTER, SPECTRUM (SPECTR), FIRMACHAGENT, а також MESSYFORK (ще відомий під назвою COOKBOX)

- китай (UNC6508, Volt Typhoon): фішинг працівників у сфері космосу, розвідувальні дії стосовно відкритих сайтів військових та оборонних підрядників, використання ORB-мереж для маскування (сканування мережі з зараженої машини, яка знаходиться у цій мережі). Фокус на США та Європі. Використовували INFINITERED (постійний віддалений доступ і викрадення облікових даних), фреймворк обфускації ARCMAZE

- північна корея (Lazarus Group, UNC1549): кампанії "Dream Job" (пропозиції нової роботи) з використанням ШІ, ціллю якої були космічна, оборонна та енергетична галузі Близького Сходу. Використовували MINIBIKE, TWOSTROKE, DEEPROOT та CRASHPAD

- іран (UNC6446, APT43): використовувала бекдор THINWAVE та програми для створення резюме і тестування особистості для розповсюдження спеціального ШПЗ серед цілей в аерокосмічній та оборонній галузях у США та на Близькому Сході

Вийшов новий OWASP GenAI Security Cheat Sheet — “A Practical Guide for Secure MCP Server Development”.

Якщо попередній cheatsheet був присвячений ризикам використання сторонніх MCP-серверів, то цього разу фокус зміщено на інше: у документі показано, як архітекторам і розробникам будувати MCP-сервери, які є стійкими, ізольованими та безпечними за дизайном.
Що всередині:
• Безпечна архітектура: практики для локальних і віддалених підключень
• Безпечний дизайн інструментів: криптографічні маніфести та валідація поведінки під час виконання
• Контроль ін’єкцій: перехід від тексту до структурованих JSON-викликів
• Автентифікація та авторизація: впровадження OAuth 2.1 і захист від ризиків типу Confused Deputy
• Minimum Bar Checklist: 5-пунктова перевірка готовності до продакшну

https://genai.owasp.org/resource/a-practical-guide-for-secure-mcp-server-development/

Сьогодні в рамках Hackademy Day ми знову розказуємо про корисні інструменти

**🔇 Whispers — секрети у конфігах**

Часто секрети ховаються не в коді, а в конфігах. YAML, JSON, XML, .env — Whispers спеціалізується саме на цьому.

**Що це:**

Статичний аналізатор конфігураційних файлів. Заточений під інфраструктурні секрети: Kubernetes manifests, Docker configs, Terraform files.

**Встановлення:**

pip install whispers

Як працювати:
bash

# Базовий скан

whispers /path/to/configs

# Тільки певні типи файлів

whispers --rules aws-credentials ./

# Вивід у JSON

whispers -o json /target > results.json

Якщо працюєте з IaC (Infrastructure as Code) — це must-have. Знаходить credentials у Helm charts, Ansible playbooks, Terraform state 🏗

Хакери націлились на фірми зі списку Fortune 500

Група GS7 і вважається, що вона веде свою діяльність з 2022 року. Сама ж компанія по атаці Fortune 500 отримала назву Operation DoppelBrand

GS7 має успіхи завдяки витонченим фішинговим атакам, де надзвичайно точно підробляють офіційні сторінки входів та інше. За останній місяць було зареєстровано 150 підробних доменів на NameCheap та OwnRegistrar, а для маскування вони кидають трафік через Cloudflare

Цілями Operation DoppelBrand є не тільки креди, але й ір-адреси, геодані, відбитки пристроїв і браузерів, та часові мітки. Всі дані негайно передаються телеграм-ботам, а дослідники ідентифікували групу у цьому месенджері, вона називається NfResultz by GS. Крім всього вищесказаного, хакери також стараються отримати віддалений доступ і навіть можуть продавати інішіал доступ рансомварникам

Що цікаво з дослідниками зв'язалась особа, яка стверджувала, що GS7 працює майже 10 років, а а в якості доказів були надані скріни фіш-панелі з назвою групи

Вразливість нульового дня VMware ESXi, патч виправлення якої відсутній на росіюшці😈

Мова йде про CVE-2025-22225, яка отримала рейтинг 8,2 з 10 по CVSS. Вона дозволяє вийти за межі пісочниці, отримати доступ до інших віртуалок, ну а далі все залежить від уяви та вмінь

CVE-2025-22225 є на версіях VMware ESXi 7.0 та 8.0, а для її використання треба отримати адмінський доступ всередині віртуалки

Що цікаво, цивілізований світ отримав патчі безпеки ще у березні 2025

PayPal розкрили інформацію про витік, яким хакери користувались 6 місяців

Інцидент трапився з PayPal Working Capital (PPWC) - застосунком для кредитування, який надає малим підприємствам швидкий доступ до фінансування

Було отримано доступ до: імен клієнтів, адрес електронних пошт, номерів телефонів, ділових адрес, номерів соціального страхування та дат народження

Пролом відбувся 1 липня 2025, а виявили його 12 грудня 2025

Здавна українська земля була місцем, де могли панувати лише найсильніші, готові до викликів і стійкі в випробуваннях.

Відстоюючи свій дім перед ворожими навалами, постав український народ — вільний, загартований, завжди готовий об'єднатися та прийняти бій.

24.02.2022 росіяни вчергове здійснили спробу підкорити Україну, але фатально помилилися. Звикнувши до населення, що покірно дозволяє тиранові керувати своїм життям, тут вони зустріли націю, готову боротися за свої права у жорстокому двобої. Обманюючи вільний світ пропагандою, агресор натомість побачив глобальну підтримку України — підтримку, що не згасає.

Противник мав переважаючі сили, не очікував спротиву і готувався святкувати перемогу. Але «три дні» перетворилися на чотири роки пекла для окупантів, зруйноване сьогодення та втрачене майбутнє.

На фронті і в тилу, тримаючи стрій у найтяжчі часи, ми щодня доводимо противнику: Україна існуватиме без ворожих «прапорів», «порядків» і «правди». А наша мета залишатиметься непохитною — Свобода України, захист живих і помста за усіх загиблих.

Слава Україні!
Героям Слава!

Офіційний сайт корпусу | Фінансова підтримка | Telegram | Instagram | YouTube | Twitter | Facebook | TikTok | WhatsApp

GitRob (бонус для профі) — тема сьогоднішнього поста (Hackademy Day)

🕷 GitRob — масовий скан організацій

Переходимо на важку артилерію. GitRob — це коли треба просканити не один репо, а всю GitHub організацію. Або кілька.

Що це:

Go-інструмент для масового аналізу публічних репозиторіїв організації. Знаходить чутливі файли, ключі, конфіги.

Встановлення:

bash

# Потрібен Go

go install github.com/michenriksen/gitrob@latest

Використання:

bash

# Скан організації (потрібен GitHub token)

export GITROB_ACCESS_TOKEN=ghp_xxxxx

gitrob analyze --org target-organization

# Кілька організацій

gitrob analyze --org org1 --org org2

⚠️ Тільки для легальних цілей: пентести, bug bounty, аналіз власної інфри. Результати вражають — люди комітять неймовірні речі у публічні репо.

Тисячі відкритих API-ключів Google Cloud у відкритому доступі🙄

Зазвичай ці ключі використовують, як ідентифікатори проєктів для грошових операцій, і вони можуть бути використані для доступу до захищених ендпоінтів в Gemini й відповідно до приватних даних. Одна група дослідників знайшла близько 3000 таких ключів (позначаються префіксом AIza). Інша - 35 000 , які вбудовані у 250 000 застосунків на Андроїд

Маючи такий ключ, можна отримати доступ до завантажених файлів, кешованих даних і списати з вашого рахунку плату за використання LLM

Проблема виникає, коли користувачі вмикають Gemini API в проєкті Google Cloud. Це призводить до того, що існуючі API-ключі у цьому проєкті, включаючи ті, що доступні через код JavaScript на сайті, отримують прихований доступ до ендпоінтів Gemini, без будь-якого попередження або повідомлення

Що особливо цікаво, створення нового API-ключа в Google Cloud за замовчуванням має статус «Без обмежень», тобто він застосовується до кожного увімкненого API в проєкті, включаючи Gemini

Робити тільки так і ніяк інакше😁

Крах екосистеми Step Finance

Внаслідок хакерської атаки у кінці січня 2026 року, три проєкти Solana: Step Finance, SolanaFloor та Remora Markets, офіційно оголосили про закриття. Причина - отримання доступу до гаманців Step Finance через скомпрометовані пристрої членів команди. Це призвело до втрати близько 262 000 SOL (приблизно $40 млн з урахуванням всіх активів). З них вдалось повернути близько $4,7 млн, однак спроби знайти інвесторів провалились і розробникам не вдалося стабілізувати фінансову ситуацію

Після атаки, курс токена зменшився до близько $0.00067. Для порівняння, на піку в 2021 році STEP коштував близько $10.20

Наразі проєкт фокусується на виплатах користувачам Remora Markets (не була безпосередньо зламана), активи rToken забезпечені 1:1 і будуть обміняні на USDC. Також Step Finance повідомив про підготовку програми викупу для власників токена STEP, яка буде базуватися на снепшоті до зламу. Деталі, як саме проводитиметься викуп і хто зможе до нього долучитися, наразі не оприлюднено

Власник девайса DJI  випадково отримав доступ до 10 000 інших пристроїв компанії😅

Керівник відділу штучного інтелекту компанії з управління нерухомістю для відпочинку в Іспанії, купив робот-пилосос і захотів дізнатись, чи зможе він керувати ним за допомогою гейпада PlayStation 5

Коли власник написав програму для смартфона за допомогою Claude Code (DJI має схожий мобільний застосунок для віддаленого керування пристроями), хмарні сервіси DJI дали доступ до близко 6700 різних девайсів у 24 країнах. Система також контролювала кілька тисяч портативних електростанцій, що збільшило загальну кількість доступних пристроїв до понад 10 000

З цим доступом, програміст міг дивитись через камери на пристроях, знати їх серійники та ір-адреси, рівень заряду батареї, детальні згенеровані плани приміщень й інші дані

Цю дирку вже закрили, однак є ще одна більш серйозна вразливість, але про неї знає лише  DJI

Автомобілі ніколи не були особливо захищені від атак, і от з'явилась ще одна вразливість - датчики тиску в шинах🫠

Більшість цих датчиків передають дані незашифрованим текстом, який містить унікальні ідентифікатори кожного авто.  Відносно недорогі саморобні пристрої ціною $100, можуть відстежувати сигнали системи моніторингу тиску в шинах (Tire Pressure Monitoring System, TPMS), щоб стежити за водіями протягом тривалого часу

Відстань роботи саморобного пристрою складає понад 50 метрів, і його можна зібрати за допомогою готових антен та компонентів Raspberry Pi, розмістити уздовж доріг і збирати сигнали від проїжджаючих машин

Можливостей для застосування дуже багато: наприклад вимірювати завантаженість авто людьми чи вантажем, завдяки значенням тиску в шинах; або ж обманути ECU (electronic control unit), що стався прокол шин, і це призведе до зупинки у дуже потрібному місці