❓ "Вопрос: что общего у DevOps и мага? Ответ: оба заставляют нежить делать свою волю. Присоединяйся к ковену @I_put_spell_on_machine_spirit

Когда хакер атакует какой либо сервис, например брутит пароли, то обычно на такое реагируют блокированием его IP:
iptables -A INPUT -s $attacker -j DROP
Но целеустремленного хакера этим врядли остановишь. Так почему бы не дать ему того что он хочет - пусть атакует, только немного не того кого ожидает...

Всего двумя правилами на фаерволе мы можем повернуть вредоносный трафик вспять и направить атаку на сам источник:

iptables -t nat -I PREROUTING -p tcp --dport 22 -j DNAT --to-destination $hacker:22
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -I POSTROUTING -p tcp --dport 22 -d $hacker -j MASQUERADE

В отличие от блокировки порта такой трюк практически незаметен для хакера, ведь целевой порт как был открыт так и остался (изменится только баннер и удвоится IP.ttl). Но после ввода этих команд хакер будет подбирать пароли уже сам у себя (скрин), думая что атакует ваш сервер. И в случае если подберёт пароль установит себе криптомайнер, или что там они устанавливают.

пупупу

🫡

Ingress NGINX Retirement: What You Need to Know
https://kubernetes.io/blog/2025/11/11/ingress-nginx-retirement/

> To prioritize the safety and security of the ecosystem, Kubernetes SIG Network and the Security Response Committee are announcing the upcoming retirement of Ingress NGINX. Best-effort maintenance will continue until March 2026. Afterward, there will be no further releases, no bugfixes, and no updates to resolve any security vulnerabilities that may be discovered. Existing deployments of Ingress NGINX will continue to function and installation artifacts will remain available.

> The breadth and flexibility of Ingress NGINX has caused maintenance challenges. Changing expectations about cloud native software have also added complications. What were once considered helpful options have sometimes come to be considered serious security flaws, such as the ability to add arbitrary NGINX configuration directives via the "snippets" annotations. Yesterday’s flexibility has become today’s insurmountable technical debt.

> Despite the project’s popularity among users, Ingress NGINX has always struggled with insufficient or barely-sufficient maintainership. For years, the project has had only one or two people doing development work, on their own time, after work hours and on weekends. Last year, the Ingress NGINX maintainers announced their plans to wind down Ingress NGINX and develop a replacement controller together with the Gateway API community. Unfortunately, even that announcement failed to generate additional interest in helping maintain Ingress NGINX or develop InGate to replace it. (InGate development never progressed far enough to create a mature replacement; it will also be retired.)

> SIG Network and the Security Response Committee recommend that all Ingress NGINX users begin migration to Gateway API or another Ingress controller immediately.

Снова cloudflare лежит?

Снова скомпроментировали большую пачку npm пакетов;

Рекомендую к прочтению:
https://www.wiz.io/blog/shai-hulud-2-0-ongoing-supply-chain-attack

🚨 Массовая компрометация данных через JSONFormatter и CodeBeautify или Вайбкодинг в деле…

Исследователи WatchTowr Labs выявили системную проблему в популярных онлайн‑инструментах для форматирования кода. Функция Recent Links в сервисах JSONFormatter и CodeBeautify позволяла публично просматривать все сохраненные пользователями файлы.

bash 
https://jsonformatter.org/{id}
https://jsonformatter.org/{formatter-type}/{id}
https://codebeautify.org/{formatter-type}/{id}

📊 В результате краулинга удалось собрать более 80 000 файлов (≈5 ГБ), охватывающих пятилетнюю историю JSONFormatter и годовую CodeBeautify. В датасете обнаружены:
🔑 пароли AD и LDAP
🔑 ключи GitHub/GitLab
🔑 креды для AWS/Azure, БД, FTP, SSH
🔑 токены CI/CD, приватные ключи, SSL‑сертификаты

⚠️ По данным отчета, злоумышленники уже использовали эти материалы для атак. Несмотря на отключение функции SAVE в сентябре 2025 года, исторические загрузки остаются доступными.

🛡️ Вывод: стремление к «красоте» кода через внешние сервисы обернулось системной утечкой.
Используйте локальные инструменты (jq, IDE‑плагины, CLI‑утилиты) - только так можно гарантировать,
что секреты не окажутся в публичном доступе.

Подробнее: WatchTowr Labs

Доброе утро:

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

🚨 Zero‑Day: утечка NTLMv2 через Microsoft Photos (ms-photos URI) - «Это не баг - это фича…»

💡 Исследователь обнаружил, что приложение Microsoft Photos принимает параметр
fileName=\\UNC\path в URI-схеме ms-photos:. Достаточно одного клика по ссылке в браузере - Photos.exe запускается и автоматически отправляет NTLMv2‑SSP challenge/response на SMB‑сервер атакующего.

⚠️ Microsoft баг не признала, CVE нет.
Работает даже через 302‑редирект.
Комбинируется с Responder/LLMNR → хэши уходят без каких-либо попапов.

🔍 Что может сделать злоумышленник:
• Собирать Net‑NTLMv2 для оффлайн-брута
• Делать NTLM‑relay в доменной среде
• Встраивать эксплойт в веб-сайты или фишинг → supply‑chain сценарии

🛡 Защита:
• Блокируем исходящий SMB (TCP/445) наружу - MUST HAVE
• Отключаем LLMNR + NetBIOS
• Мониторим запуск Photos.exe с UNC-путями
• По желанию: блокируем ms-photos URI через AppLocker/WDAC

🔗Источник: https://youtu.be/e-lM_vP6HwQ?si=-_vwV3Dzt88PQXG3
🔗 PoC: https://github.com/rubenformation/ms-photos_NTLM_Leak