В Госдуме предложили разблокировать Telegram после удаления Мах из магазинов приложений.

Российским властям следует разблокировать Telegram и начать налаживать контакт с его основателем Павлом Дуровым, заявил RTVI зампред комитета Госдумы по развитию гражданского общества Сергей Обухов. Он сказал об этом после удаления госмессенджера Max и сервисов VK из магазинов Google Play и App Store в связи с санкциями.

Депутат также напомнил, что из-за блокировки Telegram возникли проблемы со связью и оповещением об атаках в прифронтовых районах.

"Естественно, что приграничные территории орут по этому поводу. Куда не кинь, всюду клин. То есть Telegram надо восстанавливать и искать точки соприкосновения с Дуровым"

- подчеркнул Обухов.

Ранее депутаты от КПРФ попросили главу Минцифры Максута Шадаева оценить целесообразность мер по блокировке иностранных мессенджеров, отметив, что тратящиеся на это бюджетные средства можно было бы использовать "для более важных целей". Коммунисты также обратили внимание, что после "замены" Telegram на Max россиянам перестали приходить push-уведомления о ракетной опасности.

По словам Обухова, в ответ в ведомстве заявили, что Telegram и WhatsApp стали "основными голосовыми сервисами для обмана и вымогательства", а их руководства проигнорировали требования российских властей. "Ничего страшного в блокировке, я так понимаю, в Минцифры не видят… То есть, по сути дела, ответ формальный", - заключил депутат.

Источник: https://ru.themoscowtimes.com/2026/07/17/43-19-a201113

#news #telegram #russia #kprf #unblock

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Три дубликата, за которые заплатили — почему качество репорта важнее скорости

На Bugcrowd один хантер получил выплаты за три дубликата. Он не был первым, кто нашёл уязвимость. Но его отчёт, PoC и описание импакта оказались настолько убедительными, что заказчик решил заплатить повторно. Его цитата с Bugcrowd LevelUp: «Напишите отличный репорт, покажите реальный импакт — и команда триажа будет с вами сотрудничать, даже если ваш репорт — дубликат».

А теперь честно: сколько раз вы тратили часы на поиск бага, а потом за пять минут набрасывали отчёт? Вот где деньги остаются на столе.

🎯Заголовок решает всё

Триажер читает десятки репортов в день. Заголовок — часто единственное, что он видит перед назначением приоритета. Формула простая: тип уязвимости + актив + импакт.

Сравните сами:

• «XSS» → триажер вздыхает
• «Stored XSS в профиле пользователя → захват сессии администратора на admin.example.com» → триажер сразу понимает severity и может проверить на дупликаты

Общие заголовки вроде «XSS in app» не дают ни оценить критичность, ни отсортировать поток входящих репортов. Особенно в программах с wildcard-скоупом.

➡️Описание: пишите для того, кто не знает приложение

Не предполагайте, что триажер работает с этим продуктом давно. Он может быть новичком в команде или вообще нетехническим специалистом. Включайте:

• CWE-идентификатор — мгновенное понимание класса проблемы
• Точный эндпоинт, параметр, HTTP-метод
• Нестандартные заголовки, без которых воспроизведение не сработает
• Окружение — браузер, ОС, устройство, если это влияет на результат

Простой тест: если триажер воспроизведёт баг, прочитав только описание — вы написали достаточно.

👉PoC — не опция, а необходимость

Без рабочего PoC репорт — заявление без доказательств. Нерабочие PoC — боль триажеров: воспроизвести не могут, репорт уходит в «N/A».

Что отличает сильный PoC:

• Воспроизводимость в чистом окружении. Пейлоад работает только в Firefox? Напишите об этом до шагов, а не после
• Минимальность. Один запрос, одно действие, один результат. Без лишнего кода
• Raw HTTP-запрос для Burp Suite. Триажеру достаточно скопировать его в Repeater, подставить свой cookie и нажать Send

Этот формат экономит триажеру десятки минут и резко снижает шанс получить статус «Cannot Reproduce».

🎇Главный вывод: репорт — это не формальность после охоты. Это документ, по которому принимают решение о деньгах. Структура, CVSS-оценка, коммуникация с вендором, типичные ошибки — всё это разобрано в полной версии статьи.

https://codeby.net/threads/kak-napisat-bug-bounty-report-ot-struktury-do-maksimal-noi-vyplaty.94812/

Вредоносная программа HollowGraph скрывает C2-коммуникацию и украденные файлы в событиях Microsoft 365, датированных 2050 годом.

Обнаруженный недавно шпионский имплант использует взломанный календарь Microsoft 365 в качестве канала управления: команды оператора и украденные файлы передаются в виде вложений к событиям календаря.

Компания Group-IB, присвоившая этому вредоносному ПО название HollowGraph, отмечает, что такой подход позволяет передавать задачи и похищенные данные в рамках легитимного трафика Microsoft Graph API. В результате активность выглядит как обычный обмен данными в Microsoft 365, и системы сетевого контроля, настроенные на отслеживание обращений к подозрительным внешним ресурсам, не фиксируют никаких угроз.

Имплант представляет собой DLL-файл на платформе .NET, поддерживающий всего две команды — get и send. Он не обращается к серверам злоумышленников для загрузки полезной нагрузки, а использует календарь скомпрометированной учетной записи как двусторонний канал для скрытого обмена данными.

Для получения задач программа ищет в календаре событие, созданное оператором и намеренно "спрятанное" на 13 мая 2050 года (чтобы владелец ящика вряд ли до него долистал), а затем считывает инструкции из прикрепленного к нему файла. Процесс кражи данных происходит в обратном порядке: имплант шифрует украденный файл, создает новое событие с датой в далеком будущем и загружает данные в виде одного или нескольких вложений.

Источник: https://thehackernews.com/2026/07/hollowgraph-malware-hides-c2-and-stolen.html

#windows #microsoft365 #microsoft #C2

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Некоторые НТТР-заголовки не только повышают безопасность приложения, но и помогают предотвратить целые классы атак⬇️

🚩 Новые задания на платформе HackerLab!

🔑 Категория Криптография — Герои
——————————————

🗂 В архив добавлены задания + райтапы:

🟠Веб - Привидение

Приятного хакинга!

540% рост атак на цепочки поставок — а вы знаете, что внутри вашего кода?

Вот цифра, которая заставляет задуматься: от 70 до 90% кодовой базы типичного приложения — это не ваш код. Это open source библиотеки, их зависимости, зависимости зависимостей и ещё пара уровней вглубь. Когда вы добавляете spring-boot-starter-web в Java-проект, вы тянете десятки транзитивных пакетов, которые даже не выбирали. И именно там чаще всего прячутся CVE.

🔎Число атак на цепочки поставок ПО выросло на 540% за три года и удвоилось ещё раз к 2024-му. При этом большинство уязвимостей находится не в корневых пакетах, а в тех самых транзитивных зависимостях — на глубине, куда ваш package.json или pom.xml просто не заглядывает.

Для решения этой проблемы существует целый класс инструментов — SCA (Software Composition Analysis). Не путайте с SAST: SAST ищет баги в вашем коде, SCA фокусируется на том, что вы не писали, но запускаете каждый день. И вот почему это критично: без SCA-мониторинга компрометированная библиотека из npm или PyPI может тихо красть credentials, открывать бэкдоры или выполнять произвольный код в продакшне.

🎇Помните Log4Shell в декабре 2021-го? Команды без SCA тратили дни на ручной поиск: какие сервисы используют Log4j, какой версии, через какую транзитивную цепочку библиотека попала в проект. Те, у кого был работающий SBOM и Dependency-Track, получили список затронутых компонентов за минуты. Разница между инцидентом на пару часов и инцидентом на неделю.

Что стоит знать про практику:

• SBOM (Software Bill of Materials) — инвентаризация всех компонентов приложения. Без неё поиск уязвимостей — гадание вслепую.
• Для генерации SBOM отлично работает syft от Anchore — поддерживает контейнеры, файловые системы, архивы. Результат можно сразу прогнать через grype для поиска CVE.
• Из форматов SBOM для задач безопасности выбирайте CycloneDX (OWASP) — он проектировался под security use cases и нативно поддерживает VEX.
• OWASP Dependency-Track — open-source платформа для непрерывного мониторинга зависимостей. Загружаете SBOM, получаете автоматический матчинг по базам уязвимостей.

➡️Минимальная точка входа — генерация SBOM в CI/CD на каждый билд. Это занимает пару строк в пайплайне, но превращает реакцию на следующую критическую CVE из паники в рутину.

Разобрали SCA-инструменты, Dependency-Track, Snyk, форматы SBOM и практические команды в полной версии статьи.

https://codeby.net/threads/analiz-zavisimostei-v-bezopasnosti-prilozhenii-sca-instrumenty-dependency-track-snyk-i-sbom-na-praktike.94864/

Новая уязвимость 7ZIP может позволять модифицированным XZ архивам запускать код при распаковке.

Открытие специально подготовленного архива XZ в программе 7-Zip может позволить злоумышленнику выполнить код на компьютере. Уязвимость (CVE-2026-14266) представляет собой переполнение буфера в куче, возникающее при обработке архиватором данных XZ, разбитых на фрагменты; подробности об этом 15 июля опубликовала инициатива Zero Day Initiative (ZDI) компании Trend Micro. Исправление было выпущено 25 июня в версии 7-Zip 26.02.

❗️Согласно бюллетеню безопасности, переполнение позволяет злоумышленнику "выполнить код в контексте текущего процесса". Код выполняется с использованием токена доступа, принадлежащего самому процессу 7-Zip, и не получает никаких дополнительных привилегий.

В ОС Windows программа 7-Zip, запущенная обычным способом, работает с токеном ограниченного стандартного пользователя (даже если используется учетная запись администратора), поэтому злоумышленник наследует эти ограниченные права, если только программа не была запущена с повышенными привилегиями.

➡️ZDI присвоила уязвимости оценку 7.0 (уровень "high"), а не "critical", как утверждалось в некоторых публикациях. Полный вектор CVSS 3.0 выглядит так: AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H.

Источник: https://thehackernews.com/2026/07/new-7-zip-vulnerability-could-let.html

#7zip #vulnerability #execution

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

55 дней — столько длилось «окно спокойствия» перед бурей CVE-2024-1086

Между выходом патча в mainline ядра Linux и публикацией рабочего PoC на GitHub прошло почти два месяца. Кто обновился — спал спокойно. Кто нет — получил double-free в nf_tables, обход KASLR и root shell от имени непривилегированного пользователя.

А теперь представьте, что этих 55 дней не было вообще. Именно так произошло с Dirty Frag в мае 2026-го: сторонний исследователь слил детали kernel LPE до готовности патча, сломав эмбарго. Автору пришлось выложить полный отчёт с работающим эксплойтом, потому что скрывать было уже нечего. Патчей — ноль. Окно эксплуатации — бесконечность.

🔑Почему kernel LPE так ценится в атакующих цепочках? Потому что это мост от «у меня есть shell» к «у меня есть всё». Типичный сценарий:

• Получен initial access — украденные SSH-ключи, RCE через веб-приложение, дыра в CI/CD
• Есть ограниченный shell без root
• Kernel LPE → мгновенная эскалация до root
• Дальше — persistence через загрузку kernel-модуля, lateral movement, exfiltration

Без третьего шага атакующий застревает. С ним — получает полный контроль над хостом.

➡️На примере CVE-2024-1086 хорошо видно, как работает timeline. Use-after-free в netfilter, CVSS 7.8, затронуты ядра от 3.15 до 6.8-rc1. Debian, Ubuntu, RHEL, Fedora, Amazon Linux — практически весь enterprise-зоопарк. Эксплойт использует unprivileged user namespaces, которые включены по умолчанию на Debian и Ubuntu. Цепочка: double-free → сканирование физической памяти → запись в modprobe_path → root.

🔎Координированное раскрытие — 31 января 2024. Патчи RHEL — середина марта. PoC на GitHub — 26 марта. Подтверждённая эксплуатация in the wild — 30 мая. CISA добавила в KEV с дедлайном 21 день. Всё по учебнику: responsible disclosure сработал, окно было управляемым.

А вот с Dirty Frag учебник выбросили в окно. Третья сторона сломала эмбарго, и вместо «патч → PoC → обновление» получилось «PoC → паника → где патч?». По данным Microsoft, зафиксированы цепочки действий, совпадающие с паттерном эксплуатации. При этом CISA SSVC всё ещё классифицирует статус как poc/none.

🎇Вывод прост: disclosure timeline — это не бюрократия, а реальный множитель ущерба. Разница между координированным раскрытием и преждевременным сливом — это разница между управляемым риском и открытым сезоном на вашу инфраструктуру.

В полной статье — детальный разбор механики обеих уязвимостей, точные таймлайны и практические рекомендации по защите.

https://codeby.net/threads/kernel-local-privilege-escalation-uyazvimost-kak-prezhdevremennoye-raskrytiye-otkryvayet-okno-ekspluatatsii.94880/

Российская спецслужба перехватывает контроль над незащищенными IP-камерами по всей Европе и в Украине, чтобы отслеживать маршруты передвижения войск и поставки вооружений.

Как минимум одна российская спецслужба систематически берет под контроль подключенные к интернету камеры видеонаблюдения по всей Европе и в Украине, используя получаемое с них изображение для отслеживания маршрутов военных перевозок, поставок оружия в Киев и мест дислокации украинских войск.

В Украине дело не ограничивается одним лишь наблюдением. Полученный доступ к камерам "использовался при попытках нейтрализовать украинских военнослужащих" и уничтожить их технику, утверждают спецслужбы: обычная камера у дороги или на здании предприятия превращалась в средство наведения.

Сама процедура проникновения редко представляет сложность. Операторы сканируют интернет в поисках уязвимых устройств, идентифицируют IP-камеры по бренду и получают доступ к тем из них, где используются стандартные пароли, устаревшее программное обеспечение или заводские настройки, которые так и не были изменены.

Источник: https://thehackernews.com/2026/07/russian-intelligence-hacks-ip-cameras.html

#russia #ukraine #war #cam #default_credentials

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

29 месяцев — столько в среднем живёт уязвимость после публикации CVE

Не дней, не недель — месяцев. По данным IBM X-Force Threat Intelligence Index 2025, между моментом, когда уязвимость получает номер CVE, и моментом, когда организация реально её закрывает, проходит в среднем 29 месяцев. А теперь сравните: время, за которое атакующие начинают эксплуатировать свежую CVE (так называемый n-day), сжалось до 5 дней. В 2018–2019 было около 32. Чувствуете разрыв?

❗️Google Threat Intelligence Group насчитала 75 zero-day за 2024 год, и 44% атак пришлись на корпоративные продукты — рекордная доля. SD-WAN контроллеры, системы резервного копирования, сетевое оборудование — всё, что торчит наружу и управляет инфраструктурой.

Разберём на двух свежих примерах, как это выглядит на практике.

🎇CVE-2026-20127 — обход аутентификации в Cisco Catalyst SD-WAN. CVSS 10.0 из 10. Атака по сети, без пароля, без действий пользователя. Атакующий получает админские привилегии на контроллере, который управляет маршрутизацией всей SD-WAN-сети. Дальше — перехват трафика, lateral movement, добавление rogue peers для закрепления. EPSS — 0.88, это топ-1% среди всех CVE по вероятности эксплуатации в ближайший месяц.

🔑CVE-2026-22769 — вшитые учётные данные в Dell RecoverPoint for Virtual Machines. Классика жанра: hardcoded credentials, которые дают root-доступ к ОС. Неаутентифицированный атакующий, знающий эти креды, получает полный контроль над системой резервного копирования. Оба кейса — в каталоге CISA KEV, оба с решением SSVC: Act, то есть «патчить немедленно».

Что объединяет эти примеры? Жизненный цикл zero-day — не линейная цепочка «нашли → починили». Это шесть этапов, на каждом из которых работают разные люди и открываются разные окна риска:

• Внесение ошибки — баг рождается при написании кода или подключении зависимости
• Обнаружение — находит исследователь, фаззер или злоумышленник
• Вооружение — из бага собирают боевой эксплойт с обфускацией
• Эксплуатация — применение против реальных целей
• Раскрытие и патч — вендор узнаёт, начинает разработку исправления
• Развёртывание — патч выпущен, но организации тестируют, согласовывают окна обслуживания, катят каскадно

И вот парадокс: после пятого этапа уязвимость не исчезает. Она просто переходит из категории 0-day в n-day, и эксплуатация продолжается — иногда те самые 29 месяцев.

➡️В полной статье — CVSS-векторы с покомпонентным разбором, маппинг на MITRE ATT&CK и практический чеклист для исследователя.

https://codeby.net/threads/uyazvimost-nulevogo-dnya-zhiznennyi-tsikl-real-nyye-cve-i-protsess-patchinga.94896/

🔎По одному имени, почте или номеру можно собрать на человека целое досье — легально, из открытых источников.

Этим занимается OSINT: сбор, систематизация и анализ данных из открытого доступа. Навык прикладной — его используют в корпоративной разведке, проверке контрагентов, рекрутинге и комплаенсе, журналистике и расследованиях.

«OSINT: технология боевой разведки» от Академии Codeby — базовый курс, который ведёт практикующий осинтер.

Чему вы научитесь:
- Собирать информацию о физических и юридических лицах
- Работать с поисковыми системами, парсерами, API и тяжёлыми базами данных
- Применять GEOINT и физический OSINT
- Строить план расследования и оформлять готовый отчёт
- Применять OSINT в профайлинге, рекрутинге, комплаенсе и судебной практике
- Защищать себя — отдельный модуль по контр-OSINT и защите от слежки

Подойдёт специалистам по ИБ, безопасности бизнеса, HR и комплаенсу, аналитикам и журналистам — OSINT усиливает любую из этих ролей.

Курс стартует 30 июля

➡️️️Программа и регистрация
🪧 По вопросам — @CodebyAcademyBot

⏳ Скидка 20% сгорает 31 июля

Осталось три дня, чтобы забрать подписку.
Полный доступ: 600+ заданий, про-лаборатории, курсы и райтапы.

Промокод: MIDSUMMER2026

➡️ https://hackerlab.pro/subscription