SecurityLab.ru
✔
85.9K subscribers
1.13K photos
209 videos
1 file
16.2K links
SecurityLab — канал сайта SecurityLab.ru.
РКН: https://vk.cc/cFXCkO
контакт для связи @pipiggi
Голосуйте за канал: https://t.me/SecLabNews?boost #WVDGA
Download Telegram
Please open Telegram to view this post
VIEW IN TELEGRAM
1👏60🔥29⚡16👀6👎4💯211
Forwarded from 0day Alert
В Google Brotli нашли критическую уязвимость с оценкой 9,2 балла. Эксплойт уже готов

Исследователи подтвердили уязвимость CVE-2026-111497 в алгоритме сжатия данных Google Brotli. Ошибка позволяет без авторизации выполнить произвольный код на сервере. Под угрозой облачная инфраструктура и приложения на Node.js, Python, Bun, Envoy и Istio.

Причина в ошибке переполнения буфера. Для атаки достаточно направить вредоносный поток данных приложению, которое автоматически декодирует входящие запросы или ответы сторонних серверов. Злоумышленник переписывает память процесса и запускает собственный код внутри бэкенда.

Разработчики выпустили исправленные версии платформ и обновили саму библиотеку Brotli до 1.2.1. До установки патчей лучше запретить приложениям распаковывать недоверенные данные. Инфраструктуру стоит проверить сканером Brotli Checker, поскольку системные пакеты обновляют не все встроенные в приложения копии кода.

#Google #Brotli #RCE #NodeJS

@ZerodayAlert
👀275🆒2👻1
💎 У 9 из 10 компаний техническая защита опережает процессы реагирования и восстановления.

К такому выводу пришли эксперты «Инфосистемы Джет», оценив киберустойчивость. Но что произойдёт, если атакующий всё-таки проникнет в инфраструктуру? Сможет ли бизнес ограничить ущерб и восстановить работу?

30 октября в 11:00 мск на вебинаре «СЗИ купили. А сможем ли пережить кибератаку?» разберём результаты исследования:

▫️Почему внедрение СЗИ не гарантирует готовности к атаке.
▫️Насколько компании готовы к шифровальщикам, утечкам и атакам через подрядчиков.
▫️Что отличает киберустойчивые компании и как оценить собственную готовность.

Спикер: Александр Морковчин, руководитель отдела развития консалтинга по ИБ «Инфосистемы Джет».

Вопросы эксперту можно оставить при регистрации — их разберут в эфире.

⭕️Регистрация⭕️
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥11🆒3👻22
🫢Ваш смартфон под российским «ключом»? Банки уже написали в Минцифры

На смартфонах россиян могут обязать устанавливать сертификаты Национального удостоверяющего центра. С такой инициативой Ассоциация банков России обратилась в Минцифры. Ведомство подтвердило, что получило предложение.

Банки предлагают несколько вариантов: автоматически добавлять сертификаты при установке и обновлении российских приложений, встраивать их в отечественные ОС и устанавливать на новые устройства еще на производстве. Для уже используемых смартфонов установку предлагают сделать через «Госуслуги» в один клик.

Инициатива появилась после отзыва зарубежных сертификатов у ряда российских организаций. Из-за этого сайты с сертификатами НУЦ могут открываться в Chrome, Edge, Firefox и Safari с предупреждением о проблеме безопасности соединения.

#Россия #Смартфоны #Кибербезопасность
@SecLabNews
Please open Telegram to view this post
VIEW IN TELEGRAM
👎12211👀5⚡2🔥2🙊222
📱Фальшивый радар ДПС устанавливает троян ZloyRAT для кражи банковских данных

Приложение «ДПС радар. Топливо онлайн» вместо помощи на дорогах заражает Android-смартфоны вредоносной программой ZloyRAT, нацеленной на кражу денег. Специалисты F6 обнаружили, что под видом полезного сервиса водители скачивают приложение, которое скрыто перехватывает управление устройством и собирает личную информацию.

Схема распространения строится на обмане в тематических чатах таксистов и курьеров. Скачанный по ссылке APK-файл запускает установщик, который требует права на чтение СМС и управление звонками. Чтобы не вызывать подозрений, троян не имеет собственного интерфейса — при клике он просто открывает легитимный веб-сайт, пока сам работает в фоновом режиме.

Главной целью злоумышленников являются клиенты более 60 российских банков и маркетплейсов. Получив доступ к сообщениям и пуш-уведомлениям, хакеры могут перехватывать коды подтверждения для входа в финансовые аккаунты. Эксперты предупреждают: если автомобильная карта требует доступа к вашим СМС, ее нужно немедленно удалить, а пароли от банков — сменить с другого устройства.

#Кибербезопасность, #ZloyRAT, #Android
@SecLabNews
Please open Telegram to view this post
VIEW IN TELEGRAM
👻24👀933⚡2🔥2👎1👏1
❤️ Интересно ваше мнение! Насколько вы готовы доверять ИИ в кибербезопасности?
 
ИИ уже умеет многое, но готовность доверить ему реальные задачи зависит от цены ошибки, уровня ответственности и уверенности в результате. Где проходит граница между эффективной автоматизацией и риском, который нельзя переложить на алгоритм?
 
🎯 Security Vision собирает мнения специалистов, чтобы сформировать карту доверия к ИИ в информационной безопасности. Исследование поможет увидеть, какие возможности технологии профессиональное сообщество готово использовать и какие решения пока предпочитает оставлять за человеком.
 
А где проходит ваша граница доверия к ИИ? Успейте пройти опрос Security Vision 27–28 октября и стать частью исследования!
 
💻 Карта доверия доступна по ссылке: https://www.securityvision.ru/ai-soc/
Please open Telegram to view this post
VIEW IN TELEGRAM
💯5🔥4👏3👻222🤷‍♂1👎1🆒11
Anthropic в заявке на IPO предупредила инвесторов об угрозе человечеству от ИИ

Обычно перед выходом на биржу ИТ-компании предупреждают инвесторов об убытках, судах или давлении регуляторов, но создатели Claude пошли куда дальше. В заявке по форме S-1, поданной 26 октября в Комиссию по ценным бумагам и биржам США для листинга на Nasdaq под тикером ANT, Anthropic вписала в перечень рисков катастрофическую и даже экзистенциальную угрозу человечеству от достаточно мощного ИИ. Будущим акционерам фактически предлагают вложиться в бизнес, чей главный продукт теоретически способен поставить под удар существование людей.

Столь мрачный пассаж появился в проспекте не ради эпатажа Уолл-стрит, а из-за строгих правил раскрытия рисков, список которых занял около 90 страниц. Наряду с огромными расходами на вычисления, утечками данных и ошибками автономных агентов компания обязана зафиксировать предел надёжности технологии: существующие методы контроля не дают полной гарантии безопасности, а более мощные модели лучше обходят защитные барьеры.

Впрочем, пугающие формулировки означают не скорый апокалипсис, а юридическую страховку перед сделкой, для которой пока не определены даже объём и цена акций. Эти оговорки защитят Anthropic от претензий инвесторов, если выпуск новых версий Claude придётся задерживать ради безопасности или просчёты при проверках приведут к судам и вмешательству властей. Парадокс размещения в том, что успех бизнеса прямо зависит от роста мощи моделей, который сама компания называет источником главных угроз.

#Anthropic, #IPO, #инвестиции
@SecLabNews
16👻7👀3🙊3👏2💯2🔥11
Госдума предложила распространить принципы «закона Яровой» на сбор данных иномарками

Глава комитета Госдумы по цифровому развитию и искусственному интеллекту Александр Сидякин предложил применить принципы «закона Яровой» к отраслям, которые пока остаются вне подобного контроля, приведя в пример иностранные автомобили. Идея напрямую затрагивает современные машины с сетевыми модулями, способные отправлять автопроизводителям и сторонним компаниям координаты поездок, сведения от встроенной электроники и записи с микрофонов.

Перенос логики поправок 2016 года на авторынок предполагает прозрачность того, какая именно информация собирается и кому она передаётся. Для операторов связи и интернет-сервисов эти нормы уже означают обязанность хранить сведения о фактах передачи сообщений до трёх лет, а само содержимое переписки, звука и видео — до полугода с предоставлением госорганам в предусмотренных законом случаях, поэтому перед разработкой похожих мер для автопрома власти хотят изучить устройство бортовых цифровых систем и состав их трафика.

Повод для такой проверки вполне предметный: зарубежными машинами пользуются в том числе госслужащие, а сами подключённые автомобили способны обмениваться данными с внешними серверами. Так, в исследовании 2026 года специалисты изучили 21 машину и 30 фирменных приложений, обнаружив, что семь программ передавали рекламным или аналитическим компаниям чувствительные идентификаторы — среди них встречались VIN, номер телефона, электронная почта и точные координаты.

#госдума, #законяровой, #автопром
@SecLabNews
🙊24157👎6👻5🔥3💯3👀22
Создатели Битрикс24 выпустили новый сервис. На этот раз — для звонков близким

Называется Битрикс24 Синк. Можно позвонить родителям, проконсультироваться с психологом или собрать всю компанию — без «скачай приложение» и «сначала зарегистрируйся».

Открываете bitrix.ru, создаёте ссылку и отправляете собеседнику. Он переходит по ней и присоединяется к звонку. Всё работает в браузере на компьютере и в смартфоне.
Бесплатно. Без регистрации. На пять минут или хоть на весь вечер. 

Есть групповые звонки, демонстрация экрана и реакции. Пользоваться Битрикс24 для этого не нужно — это отдельный сервис для всех.

Создайте ссылку и отправьте тому, с кем давно собирались созвониться.

👉 Созвониться в Синк

Реклама. ООО «1С-Битрикс» ИНН 7717586110 16+, erid:2SDnjeWaskp
21🤷‍♂10👏7👎6👀5🔥3⚡2🆒2💯11
📞Защита российских дата-центров от дронов может поднять цены провайдеров на 10%

Минцифры утвердило рекомендации по защите работающих и строящихся российских ЦОДов от беспилотников независимо от владельца. Участники рынка предупреждают, что расходы на безопасность способны поднять цены провайдеров примерно на 10% без учёта инфляции, а следом могут подорожать облачные платформы, хостинг и цифровые сервисы для пользователей.

Дополнительные траты пойдут на защитные сооружения, противодроновые сетки, датчики угроз и резервные мощности. Только капитальные вложения в укрытия и дублирование каналов связи эксперты оценивают от 5 до 10% стоимости площадки, причём эта нагрузка накладывается на дефицит оборудования, дорогие кредиты и растущие тарифы на электричество.

Впрочем, десятипроцентная прибавка пока остаётся расчётным прогнозом рынка, а не объявленным пересмотром тарифов. Реальные издержки будут зависеть от категории конкретного объекта и его текущей защищённости, к тому же Минцифры ещё публично не раскрыло сроки исполнения и перечень обязательных пунктов.

#ЦОД, #Минцифры, #облачныесервисы
@SecLabNews
Please open Telegram to view this post
VIEW IN TELEGRAM
👏18🙊15👎10🔥4💯432👻1
Берите деньги и уходите: Microsoft предложила отступные 60 тысячам сотрудников

Microsoft запустила масштабную программу добровольного увольнения с денежной компенсацией, которая охватывает около 60 тысяч человек — это 27% всего персонала корпорации в мире. Таким способом компания пытается сдержать операционные расходы и перераспределить ресурсы в момент, когда строительство дата-центров, покупка вычислительных мощностей и развитие ИИ-сервисов требуют десятков миллиардов долларов.

Сама автоматизация рабочих мест здесь ни при чём: в корпорации отдельно подчёркивают, что алгоритмы не заменили этих специалистов напрямую, но стремительный рост инфраструктурных затрат вынуждает экономить на фонде оплаты труда. Логика распределения офферов это подтверждает — работников самих центров обработки данных из программы полностью исключили, тогда как для множества других подразделений в США, Канаде, Великобритании и Индии открыли возможность уйти с выходным пособием.

Несмотря на внушительный охват, одномоментно терять четверть штата Microsoft не планирует, поскольку реальное сокращение зависит исключительно от числа желающих принять условия в первую неделю декабря. В самой компании рассчитывают на куда более скромный отклик и пока даже не берутся публично оценивать, сколько именно сотрудников покинут свои посты до конца года и насколько заметно это разгрузит бюджет.

#Microsoft, #ИИ, #сокращения
@SecLabNews
18👎8🙊3👀22🔥1👻11
Минцифры прорабатывает лимит на трафик с зарубежных сайтов

Россиянам могут установить лимит на зарубежный интернет-трафик. Минцифры обсуждает идею пропускать обращения к иностранным доменам через ТСПУ и ограничивать объем таких данных после превышения установленной квоты. Размер лимита пока не определен, а сам механизм остается на стадии обсуждения.

Технически реализовать такую схему будет непросто, потому что интернет-трафик нельзя надежно разделить на российский и зарубежный. Сайт может находиться в России, но использовать иностранную инфраструктуру, а зарубежный сервис способен передавать данные с сервера внутри страны. Под ограничения потенциально могут попасть обновления Android и iOS, магазины приложений, Telegram, игры, облачные сервисы и CDN.

Дополнительные вопросы вызывает подсчет трафика конкретного пользователя, поскольку после NAT один внешний IP могут делить тысячи абонентов. Для точного учета операторам придется сопоставлять соединения с конкретными людьми практически в реальном времени, а ошибки классификации способны привести к замедлениям, сбоям и проблемам со связностью Сети.

#интернет #Минцифры #Рунет
@SecLabNews
👎159🙊199👻54👀2🔥1💯1
Защитить объект мало — его еще нужно успеть восстановить

Недавно вступил в силу Указ Президента № 604 «О мерах по обеспечению безопасности объектов критической инфраструктуры РФ». Правительство теперь может ввести временное управление на объектах компании, если та не приняла меры безопасности или опоздала с ними, нарушила требования к защите объекта или создала угрозу его безопасности. Или если не смогла вовремя восстановить его работу. При этом именно о своевременном восстановлении говорят заметно реже. А восстановить объект — значит восстановить не только сами здания и оборудование, но и поднять ИТ-инфраструктуру. Без нее объект не заработает, даже если физически цел.

Указу посвящен первый выпуск «Стражей» — нового видеоподкаста ИТ-компании «Киберпротект» о защите данных, киберустойчивости и госрегулировании бизнеса. Ведущая — Елена Бочерова, член Правления АРПП «Отечественный софт» и исполнительный директор «Киберпротекта».

Ее гость — Рустам Рустамов, заместитель генерального директора РЕД СОФТ. Выпуск будет полезен владельцам и руководителям компаний, которые хотят понять, касается ли их указ и что делать уже сейчас. В студии обсудили, почему документ направлен на защиту, а не на национализацию, и где проходят границы регулирования. В финале — чек-лист для CEO и ИТ-директоров: какие задачи делегировать и почему нельзя забывать про учения.

Смотрите первый выпуск «Стражей» на RUTUBE и в VK Видео
Также доступна аудиоверсия
👎118👏5🆒4🔥1
Полмиллиона штрафа и ключи на стол. Apple и Microsoft попали в реестр ОРИ

Компании Microsoft и Apple тихо получили билеты в реестр организаторов распространения информации. Со второго октября домены корпораций висят на доске Роскомнадзора под номерами 593-РР и 594-РР. Прелюдия вышла громкой, поскольку яблочная корпорация больше года отбивалась от запросов спецслужб, заплатила полмиллиона рублей штрафа Таганскому суду, но все равно оказалась в списке. Сценарий принудительного включения сработал безотказно.

Техническая реальность выглядит паршиво для любителей приватности. Реестр прямо заставляет компании хранить полгода пользовательский трафик и три года информацию о подключениях внутри страны. Главный приз тут скрывается в доступе к алгоритмам дешифровки. Microsoft придется отдуваться за корпоративные средства связи, а iMessage попадает в тиски. Выдача ключей сквозного шифрования технически разрушает всю архитектуру безопасного общения. Выбор у корпораций незавидный. Либо ломать собственную безопасность глобально, либо получать ограничения локально.

Глобальная цель регулятора состоит вовсе не в принуждении гигантов строить локальные центры обработки данных. Стратегия направлена на создание легитимного рубильника для конкретных программ. Когда технологические лидеры предсказуемо откажутся компрометировать шифрование, ведомство получит законные 15 дней на закрытие доступа. FaceTime уже погас в конце 2025 года. Теперь правовая база полностью готова для планомерной изоляции любых оставшихся неподконтрольных каналов связи без обрушения всей экосистемы.

#Apple #Microsoft #Роскомнадзор
@SecLabNews
👎385🙊4🔥33🆒2