Codeby
35.9K subscribers
1.48K photos
92 videos
12 files
7.41K links
Блог сообщества Кодебай

Чат: @codeby_one
Форум: codeby.net
Обучение: codeby.school
Пентест: codeby.one
CTF: hackerlab.pro

VK: vk.com/codeby
YT: clck.ru/XG99c

Сотрудничество: @KinWiz

Реклама: @Savchenkova_Valentina
Download Telegram
🌍 Новостной дайджест по ИБ/IT за 27.06-04.07

📆 В этом выпуске:
✔️ Утечки
✔️ В PyPI были обнаружены вредоносные пакеты
✔️ Статья за читы
✔️ Замена Google Pay от ЮMoney
✔️ VIM получил обновление спустя 6 лет
✔️ Яндекс научил Алису задавать наводящие вопросы
✔️ Siemens и Nvidia создадут свою метавселенную
✔️ Лаборатория Касперского запустила портал для борьбы со сталкерским ПО
✔️ Очередные блокировки и ограничения
✔️ Блиц

📌 Читать статью

#news #digest
👍1🔥1
🐝 «Вымпелком» дарит скидки в обмен на передачу личных данных третьим лицам

«Вымпелком» (оператор «Билайн») в своём мобильном приложении предлагает абонентам подписать соглашение о передаче их персональных данных структурам «Альфа-групп»: «Альфа-банку», «АльфаСтрахованию» и некоторым юрлицам X5 Group («Перекрёсток», «Пятёрочка», «Карусель»). За это оператор предлагает персональные скидки от партнёров.

В документе говорится, что абонент дает согласие на обработку оператором и его партнерами паспортных данных, адреса электронной почты, номера телефона, ИНН, информации об оборудовании и его местонахождении при получении услуг связи, информации об их оплате, а также различных идентификаторов: IMEI, IP-адрес, MAC-адрес и cookie id.

Обработка данных будет осуществляться для «улучшения клиентского опыта, качества обслуживания, предоставления услуг, а также персонифицированных предложений оператора и партнеров», в том числе с помощью обзвона и отправки СМС-сообщений, следует из соглашения.

🗞 Блог Кодебай

#russia #data
👎20😁7👍41
📄 Сотрудник HackerOne продавал отчеты белых хакеров

Согласно сообщению HackerOne, один из сотрудников компании воровал отчеты об уязвимостях, поданные через платформу «bug bounty», и раскрывал их соответствующим клиентам для того, чтобы получить финансовое вознаграждение.

Расследование HackerOne выявило, что один из сотрудников имел доступ к платформе более двух месяцев, с момента своего прихода в компанию 4 апреля до 23 июня, и связался с семью компаниями, чтобы сообщить об уязвимостях, уже раскрытых через платформу.

За некоторые из представленных отчетов недобросовестный сотрудник получал вознаграждение. Это позволило HackerOne проследить денежный след и идентифицировать сотрудника компании, который занимался раскрытием уязвимостей для «многочисленных клиентских программ».

HackerOne также уведомил хакеров на платформе, чьи материалы были получены неизвестным сотрудником. Уведомление информирует хакеров об инциденте и включает список отчетов, к которым злоумышленник смог получить доступ.

🗞 Блог Кодебай

#bug #data
😁13👍3
🖥 Kaspersky планирует выпуск собственной ОС

«Лаборатория Касперского» планирует выпустить собственную операционную систему для компьютеров и смартфонов, которая была бы доступна и рядовым пользователям.

Напомним, что уже существующая KasperskyOS применяется в областях с повышенными требованиями к кибербезопасности. Например, в транспортной и промышленной инфраструктуре, в телекоммуникационном оборудовании.

Точные сроки выпуска операционной системы на общий рынок неизвестны. «Я просто человек суеверный, просто если я говорю срок, он сразу увеличивается в два-три раза», — сообщает Евгений Касперский.

🗞 Блог Кодебай

#kaspersky #smartphone
😁21👍12👎1
🔎 Госдума приняла поправки о передаче биометрии без согласия субъекта персональных данных

Комитет Госдумы по информационной политике на недавнем заседании одобрил поправки в проект о закреплении режима оборота персональных данных, предусматривающие возможность передачи таких сведений в единую биометрическую систему без получения на это согласия.

Одна из поправок предполагает возможность передачи собранных в финансовых информационных системах и других организациях биометрических персональных данных в единую биометрическую систему без получения согласия субъекта данных. Уточняется, что факт передачи данных будет фиксироваться уведомлением.

Как уточнили в комитете, механизм будет способствовать расширению применения технологии биометрического эквайринга — безналичной оплаты. Поправки предполагают перенос срока вступления закона в силу с 1 сентября 2022 на 1 марта 2023 года.

🗞 Блог Кодебай

#russia #law
👎35👍21
[WEB VULN SCANNER] Arachni

Выдалась минутка и я решил посвятить её очень беглому обзору весьма интересного инструмена для веб аудита - Arachni. На данный момент мы имеет сам фреймворк версии 2.0 и веб морду к нему версии 1.0

📌 Читать далее

#web #scanner
👍6
Злой сканер, как написать инструмент что всегда под рукой

В течении нескольких месяцев при активных тестах на проникновения я очень часто сталкивался с проблемой наличия под рукой быстрых программ. Чтобы можно было не запуская вторую OS (linux) быстро провести анализ. В моем случае это сканирования. Поэтому для решения данной проблемы пришлось прийти к написанию своей программы. Да, скорее всего таких софтов будет очень много, но у каждого есть свое преимущество. В нашем случае, что будет рассмотрен далее это скорость и постоянное наличие под рукой. Данная статья крайне полезна новичкам и тем кто не знаком с Python. Приступим.

📌 Читать далее

#python #scanner
👍7👎5
📱 Россиян предупредили о вирусах в VPN-сервисах

Ведущий инженер компании CorpSoft24 Михаил Сергеев рассказал, что многие VPN-сервисы могут содержать вирусы, которые используются для майнинга криптовалют.

«У этого есть свои побочные эффекты: если приложение VPN-сервиса содержит вирус, который майнит крипту, то при подключении у мобильного устройства будет высокая загрузка CPU, что приведет к нагреву телефона, быстрому расходу аккумулятора, повышенному трафику и прочим неприятным особенностям», — сообщил инженер.

Также, не стоит забывать, что VPN-сервисы влияют на потребление интернет-трафика даже при обычной работе. Речь идёт об 1-2%, однако, если это критично для пользователя, то лучше удалить VPN.

Передаваемые данные шифруются и провайдер в трафике сможет увидеть только обращение компьютера пользователя к IP VPN-сервера. Это, конечно же, незначительно увеличивает объем данных за счет шифрования трафика, а значит и уменьшает скорость сети.

🗞 Блог Кодебай

#news #russia #vpn
😁15👎4👍3
💉 Разработчики Python-фреймворка Django исправили уязвимость внедрения стороннего SQL-кода

Разработчики опубликовали корректирующие версии фреймворка Django 4.0.6 и 3.2.14, в которых исправлена уязвимость CVE-2022-34265. Она потенциально позволяла выполнить подстановку стороннего SQL-кода.

Возможная уязвимость SQL Injection присутствовала в основной ветке Django, а также в версиях 4.1 (в настоящее время в бета-версии), 4.0 и 3.2. Проблема затрагивала приложения, которые использовали непроверенные внешние данные в параметрах kind и lookup_name, передаваемых в функции Trunc(kind) и Extract(lookup_name). Те программы, которые допускают использование только проверенных данных в значениях lookup_name и kind, не пострадали.

Разработчики запретили использовать в аргументах функций Extract и Trunc символы, отличные от букв, цифр и специальных символов. Ранее, в передаваемых значениях не вырезалась одинарная кавычка, и это позволяло злоумышленнику выполнить свои SQL-конструкции.

В версии 4.1 разработчики дополнительно усилят защиту методов работы с датами. Однако, изменения в API могут привести к нарушению совместимости со сторонними бэкендами для работы с базами данных.

🗞 Блог Кодебай

#news #python #web
👍10
🔑 Надёжное хранение паролей

Использовать одинаковые пароли для разных сайтов практически недопустимо с точки зрения безопасности. Также, как и недопустимо хранение паролей в обычном текстовом файле.

В случае получения доступа к вашему ПК, злоумышленник без труда получит данные и из файла со всеми паролями. Одним из вариантов решения этой проблемы может стать шифрование файла.

Гораздо лучше будет использовать специальные программы, предназначенные для хранения паролей. Они сами шифруют ваши пароли и предоставляют к ним удобный доступ. Также, в большинстве случаев эти сервисы могут синхронизироваться между устройствами: LastPass, Enpass, Bitwarden.

#security
👍6
Импортозамещение ИБ. Сравнение двух лучших отечественных сканеров уязвимостей. MaxPatrol 8 и RedCheck Enterprise

В последние месяцы в киберпространстве развернулась настоящая война, отчего незащищенные информационные активы значительно пострадали, а пользователи защитного инструментария от западных «партнеров» столкнулись с серьезнейшими санкциями, ограничивающими использование их ПО. Поэтому мы решили посмотреть на рынок отечественного ПО, разработанного для усиления «инфобеза». Обычно на вопрос "Какой сканер безопасности купить?" вспоминаются лишь OpenVas и Nessus (Tenable). Но есть и другие достойные отечественные продукты, о которых мы сегодня и поговорим – это продукты для корпоративного сегмента, полностью лицензированные под все российские требования безопасности и имеющие сертификаты ФСТЭК и ФСБ.

📌 Читать далее

#pentest #scanner
😁8👍5👎4🔥2😢2
Минцифры обсуждает выделение информационной безопасности в отдельную индустрию

Минцифры России видит преимущества в выделении информационной безопасности в отдельную индустрию. Данное предложение и прочие детали сейчас обсуждаются с представителями компаний IT-отрасли.

Ведомство также отметило, что информационная безопасность, будучи частью IT-индустрии, дает профильным компаниям возможность пользоваться предусмотренными для отрасли льготами. Однако, выделение в отдельную отрасль также имеет свои преимущества.

Ранее, с похожим предложением выступал глава компании «Лаборатория Касперского» Евгений Касперский, аргументировав это рядом факторов, в том числе ростом кибератак и, как следствие, увеличившейся значимостью вопросов кибербезопасности в стране.

🗞 Блог Кодебай

#news #russia #infosec
👍15😁2😱1
DLL библиотеки – инструкция к метле

Ещё во-времена старушки дос стало очевидно, что некоторые программные модули лучше хранить не внутри исполняемого файла, а вынести их наружу и подгружать по мере необходимости. В то время такие "прицепы" называли оверлеями и с точки зрения экономии 1М-байтного адресного пространства это было разумно – одну большую программу кромсали на мелкие части, и эти части отрабатывали в памяти по очереди. Подобная техника докатилась и до наших дней, только теперь это динамически подгружаемые DLL. По сути, нет смысла копать данную тему в очередной раз – всё давно расписано, поэтому добавим экшена и сделаем ставку на нестандартное их применение. Как показывает практика, фишка с защитой программ на основе статически прилинкованных DLL пользуется спросом среди коммерческого софта, значит пора сорвать с неё вуаль и познакомиться поближе.

📌 Читать далее

#asm #dll
👍5🔥3
💻 Большинство ноутбуков, поставляемых в Россию, не имеют операционной системы

В июне поставки ноутбуков с предустановленной операционной системой в Россию составили лишь 40% от общего числа ввезённых в страну устройств, тогда как весной показатель был на уровне 60%.

По прогнозам дистрибуторов, к осени эта доля может увеличиться до 80-90%. В первую очередь, поставщики таким образом пытаются сдержать рост цен на оборудование, считают эксперты. По их мнению, сложившаяся ситуация может способствовать росту спроса на нелицензионные операционные системы.

В Минцифры же рассчитывают сделать обязательной предустановку отечественных систем на импортную технику.

🗞 Блог Кодебай

#news #russia #finance
😁12👍1
📵 ЦБ за первую половину 2022 года заблокировал более 190 тысяч номеров мошенников

Глава департамента информационной безопасности ЦБ Вадим Уваров сообщил, что Банк России в первом полугодии 2022 года инициировал блокировку более 190 тысяч номеров телефонов, которые используют мошенники, что превышает результаты всего 2021 года.

«По предварительным данным Банка России, в первом полугодии 2022 года мы инициировали блокировку более 190 тысяч мошеннических номеров. Цифра за полугодие 2022 года уже превышают итоговые показатели 2021 года», — рассказал Уваров на «Инфофоруме».

Также отмечено, что за весь 2021 год ЦБ направил на блокировку информацию более чем по 179 тысячам телефонных номеров.

🗞 Блог Кодебай

#news #russia #finance
👍9👎1
Стек – общая философия

Стек – неотъемлемая часть любого, работающего под управлением процессора х86, приложения. Он организован на аппаратном уровне и магнитом притягивает к себе как системных программистов, так и различного рода малварь. Переполнение стека – наиболее часто встречающейся программный баг, который влечёт за собой катастрофические для приложения последствия. Стек активно используют все WinAPI, так-что вызов любой системной функции при исчерпавшем себя стеке, порождает необрабатываемое исключение STACK_OVERFLOW с кодом 0xC00000FD.

📌 Читать далее

#asm #information
👍5👎1
☕️ Oracle увольняет всех российских сотрудников

Корпорация Oracle предупредила российских сотрудников о скором увольнении. Сообщается, что их уволят 31 августа 2022 года. На данный момент в российском подразделении компании работает около 200-300 человек.

«Компания давно уже не действует на нашем рынке. По какой-то причине она не уволила специалистов сразу, а решила задержать до осени, вероятно, руководствуясь пословицей «цыплят по осени считают», — рассказал замгендиректора Postgres Professional Иван Панченко.

По словам Панченко, большая часть специалистов по СУБД работает не в Oracle, а в отечественных интеграторах, разработчиках и потребителях ПО, поэтому выход бывших сотрудников американской корпорации на рынок труда отразится на нем слабо.

🗞 Блог Кодебай

#news #russia #oracle
👍25😢41👎1
🍏 Apple разрабатывает систему защиты пользователей от кибератак

Компания Apple объявила о разработке новой функции безопасности, которая предложит специализированную дополнительную защиту пользователям, которые могут подвергаться риску кибератак со стороны частных компаний, разрабатывающих спонсируемое государством шпионское ПО.

В настоящее время компания работает над двумя инициативами, первая из которых — «Режим изоляции» (Lockdown Mode), который компания называет революционным. Новый режим будет представлен этой осенью на iOS 16, iPadOS 16 и macOS Ventura. Это режим повышенной необязательной защиты для очень небольшого числа пользователей, которые сталкиваются с целенаправленными кибератаками.

Утверждается, что технология способна защитить от программного обеспечения, разработанного израильской компанией NSO Group, которую ранее обвиняли в создании шпионских программ и продаже своих технологий правительствам по всему миру.

Второй инициативой Apple будут гранты в размере $10 млн на поддержку кампаний по кибербезопасности, направленных на исследования угроз шпионских программ.

🗞 Блог Кодебай

#news #apple #spyware
👍6🔥21👎1😁1
SQL-injection, начало - UNION BASED

Приветствую тебя читатель! Если ты новичок, и непременно хочешь разбираться в sql-инъекциях, то сначала проделай то, что написано в этой статье. А для чего вообще нужно ручное тестирование? Ведь есть куча программ во главе с sqlmap. Я так скажу - не все инъекции и не всегда могут раскрутить программы. В тоже время ручные тесты дадут максимальный шанс внедрить произвольный sql-код. Кроме того, даже если вы станете продвинутым пользователем sqlmap, то это лишь уровень скрипт-кидди, не понимающего что происходит на самом деле. Разумеется программы для того и придуманы, чтобы облегчить наш труд, но труд знающего человека, у которого не возникает вопросов по пейлоадам.

📌 Читать далее

#sql #injection
👍10😢1
🎲 Минцифры обсуждает перспективы разработки отечественного игрового движка

Министерство цифрового развития с представителями Госдумы и российскими компаниями-разработчиками игрового контента обсуждают перспективу разработки отечественного движка для компьютерных игр с привлечением государственного грантового финансирования.

Для реализации этого проекта может потребоваться несколько миллиардов рублей и не менее 3-5 лет на воссоздание необходимой экосистемы, при этом поддержка и приспособление существующих и новых видеокарт иностранного производства осложняется санкциями и закрытием сотрудничества со стороны зарубежных партнеров.

По мнению экспертов отрасли, технически это возможно, но для этого потребуется отследить все этапы разработки и объединить усилия нескольких команд разработчиков. Финансирование проекта планируется осуществлять через грантовую программу Российского фонда развития информационных технологий (РФРИТ).

В Минцифры подтвердили, что обсуждают с профильными игроками рынка вопрос господдержки в части создания собственного игрового движка и ее релевантные формы. Причем этот вопрос курирует замминистра Максим Паршин. Ведомство планирует провести несколько встреч с разработчиками и получить от них приблизительное техническое задание, чтобы понять объем работ и сроки.

🗞 Блог Кодебай

#news #russia #game
😁11👍6