وقتی سرچشمه مسموم می‌شود: نفوذ بدافزار جاسوسی به سایت رسمی JDownloader

ما همیشه توصیه می‌کنیم نرم‌افزارها را فقط از وب‌سایت‌های رسمی دانلود کنید. اما چه اتفاقی می‌افتد اگر خود وب‌سایت رسمی هک شود؟

به تازگی وب‌سایت رسمی JDownloader، یکی از قدیمی‌ترین و محبوب‌ترین نرم‌افزارهای مدیریت دانلود، برای مدتی کوتاه هک شد و لینک‌های دانلود نسخه‌های ویندوز و لینوکس آن به فایل‌های آلوده تغییر کرد. این حمله که دو روز ادامه داشت، از نوع «زنجیره تامین» بود؛ یعنی هکر به جای اینکه مستقیم به کامپیوتر شما حمله کند، محصول کارخانه‌ای (نرم‌افزار) را هدف می‌گیرد که شما به آن اعتماد دارید. کاربران تصور می‌کردند در حال دانلود نسخه‌ای رسمی از منبعی معتبرند، اما در حقیقت یک بدافزار از نوع RAT (تروجان دسترسی از راه دور) وارد سیستم می‌کردند.

- حمله چطور انجام شد؟
این حمله کسانی را هدف قرار داد که در روزهای ۱۶ و ۱۷ اردیبهشت ۱۴۰۵، برنامه JDownloader را از سایت رسمی آن دانلود کردند. البته هکرها فقط لینک‌های مربوط به گزینه «نصب‌کننده جایگزین» (Alternative Installer) در ویندوز و «نصب‌کننده لینوکس» را دستکاری کردند و باقی نسخه‌ها سالم ماندند.

هکرها وارد سرورهای اصلی یا سیستم مدیریت محتوای سایت نشدند و فقط لینک‌های ظاهری را تغییر دادند. بنابراین اگر جی‌دانلودر را از طریق آپدیتِ درون‌برنامه‌ای به‌روزرسانی کرده‌ باشید یا کاربر مک‌اواس باشید، جای نگرانی نیست.

- تهدیدی رو به رشد
این روزها هکرها علاقه‌ی زیادی به دستکاری مستقیم نرم‌افزارهای پرکاربرد نشان می‌دهند. همین اواخر هکرها با تله‌گذاری در یک سایت سخت‌افزاری محبوب، نسخه‌های آلوده دو نرم‌افزار CPU-Z و HWMonitor را به دست کاربران رساندند. در خبری دیگر هم خواندیم که پژوهشگران کسپرسکی یک «درِ پشتی» در ابزار بسیار پرمخاطب Daemon Tools یافته‌اند.

حتی برنامه بسیار محبوب ++Notepad هم از خطر در امان نبود و سال گذشته مشخص شد که هکرها به‌مدت شش ماه به سرورهای میزبانی برنامه نفوذ کرده بودند.

با این اوصاف باید برای آینده‌ای آماده شویم که دیگر حتی به بسیاری از منابع رسمی هم نمی‌شود اعتماد کرد و کاربران باید آرام‌آرام با تکنیک‌های حرفه‌ای‌تر اصالت‌سنجی، مثل بررسی امضای دیجیتال نرم‌افزار‌ها، آشنا شوند.

@DevTwitter | <شایان رضایی/>

#کوته_نیوز

پزشکیان، معاون اول خودش، عارف، رو رییس ستاد راهبردی فضای مجازی کرد.
بدون توضیح این که این ستاد کارش چیه.

فقط گفته تداخل وظایف رو باید رفع کنه و موازی کاری و چندصدایی توی اینترنت کشور رو تموم کنه.

امروز، روزِ هفتاد و پنجمِ امنیت داشتن تو کشوره.

@DevTwitter

اگر با C کار می‌کنید یا حداقل دوست دارید کار کنید، این ریپو یک مجموعه‌ی کاملی از الگوریتم‌های مختلف رو با زبان C پیاده‌سازی کرده.

شامل الگوریتم‌های مختلف مثل الگوریتم‌های رمزنگاری، لیست، درخت، صف، پیاده‌سازی بازی‌های مختلف مثل Hangman، الگوریتم‌های یادگیری ماشین، ریاضیات، انواع جستجو، انواع مرتب‌سازی، راه‌حل‌های لیت‌کد و ... هست.

https://github.com/TheAlgorithms/C
http://thealgorithms.github.io/C

@DevTwitter

اگر به اینترنت دسترسی دارید و یاد گرفتن RegExp براتون جذابه، این وبسایت آموزش کامل و خیلی خوبی داره که می‌تونید باهاش Regular Expression رو یاد بگیرید

regexlearn.com

@DevTwitter

گوگل یک لپتاپ جدید به اسم گوگل‌بوک عرضه کرده که روش سیستم‌عامل اندروید دسکتاپ هست.

ویدئویی از این سیستم‌عامل منتشر شده که لینک آپارتش رو می‌ذارم ببینید / زومیت
https://www.aparat.com/v/wobttdc

گوگل با کروم‌او‌اس و اندروید دسکتاپ داره تلاش می‌کنه بتونه توی دنیای سیستم‌عامل‌ها هم یک حرفی برای گفتن داشته باشه.

@DevTwitter

من دنبال یه پلیر سبک و ترمینالی بودم که بتونم سریع لینک فیلم/سریال رو باهاش اجرا کنم، جایی که قطع کردم رو نگه داره، و بدون دردسر بین اپیزودها جابه‌جا بشه؛ مخصوصاً روی دسکتاپ و Termux.برای همین این پلیر رو ساختم. هم TUI داره هم CLI، ادامه‌ی پخش رو ذخیره می‌کنه، اپیزود بعدی رو از قبل دانلود می‌کنه، و حتی می‌تونه پیشرفت تماشا رو بین چند دستگاه با ArvanCloud سینک کنه.

https://github.com/Mobinshahidi/player

@DevTwitter | <m062x/>

اگه پرامپت نوشتن هم بلد نیستی، برو تو Gemini بگو پرامپت تولید اون اپلیکیشن یا سایتی که دوست داری رو برات بنویسه، بعد بیا توی Emergent و پرامپت رو وارد کن و بشین و مراحل درست شدن سرویسی که سفارش دادی رو ببین. کیفیت خروجی واقعاً خوب شده. از لینک زیر چک کن:
emergent.sh‎

@DevTwitter | <Saman Faegh/>

نئون یک دیتابیس postgress که به صورت serveless ارائه شده.
این ابزار لایه‌ی ذخیره‌سازی و محاسبات رو از هم جدا می‌کنه که باعث مقیاس‌پذیری خودکار، برنچ شدن مثل کد، استفاده‌ی صفر وقتی که محاسباتی وجود نداره رو تو خودش داره.
با 22 هزار ستاره ابزار محبوبیه

https://github.com/neondatabase/neon

@DevTwitter

این ریپوی گیت‌هاب یک پیامرسان با کارایی بالا برای سیستم‌های توزیع‌شده، cloud و edge هست.

سرور NATS یه سیستم ارتباطی ساده، امن و پرسرعت برای سرویس‌ها، دستگاه‌ها و سیستم‌های دیجیتاله.
این پروژه‌ از CNCF برای بیش از ۴۰ زبان مختلف کلاینت داره.

https://github.com/nats-io/nats-server

@DevTwitter

این ریپو یک awesome-list پایتونه که منابع، ابزار‌ها، کتابخونه‌ها و فریمورک‌های مختلفی رو معرفی کرده.

دسته‌بندی خوبی هم داره که می‌تونید استفاده کنید ازش

https://github.com/vinta/awesome-python

@DevTwitter

#کوته_نیوز

اعتماد/ اولین نشست ستاد ویژه ساماندهی و راهبری فضای مجازی هفته‌ی دیگه برگزار میشه.
ظاهرا قراره این ستاد زمینه‌ی لازم برای وصل شدن اینترنت رو تا اواسط خرداد فراهم کنه.

خلاصه: هفته‌ی آینده یه سری آدم که قدرتی ندارن تو این حکومت، میشینن چیپس و ماست موسیر میخورن و دعا می‌کنن که تا اواسط خرداد اینترنت رو وصل کنن.

@DevTwitter

‏"Meetra"، پلتفرم جلسه آنلاین و رایگان، بدون محدودیت تصویر، تنها با یک کلیک

🪫 اینترنت محدوده و پلتفرم‌های داخلی جای گوگل میت رو برای برگزاری جلسه نمی‌گیرند.

ما این ابزار رو برای نیاز خودمون ساختیم، شاید مشکل شما را هم برطرف کند.

✅ کاملا رایگان
✅ بدون نصب — ورود به جلسه با یک کلیک
✅ وبکم بدون محدودیت شرکت‌کننده‌ها
✅ امکان مدیریت جلسه توسط میزبان

⏳اشتراک رایگان Meetra برای 50 نفر اول

برای دریافت اشتراک به اکانت زیر پیام بدین 👇
در بله و تلگرام:
@meetra_support

چنل ما در بله و تلگرام:
@meetraspace

اگر پروژه خاصی دارید که دارید روش کار می‌کنید، Claude همین الان این لینک رو گذاشت برای کسایی که می‌خوان open source کار بکنن روی پروژه‌هاشون و بهتون Claude Max 20X رو می‌ده کاملاً رایگان.

پس اگر کسی نیاز داره، بره apply کنه
https://claude.com/contact-sales/claude-for-oss

@DevTwitter | <Arta/>

#کوته_نیوز

به خاطر روش جدید اتصال، تقریبا تمام سایت‌هایی که وایت‌لیست شده بود، به خصوص گیت‌هاب، بسته شدن.

@DevTwitter

‏محققان امنیت سایبری چندین آسیب‌پذیری جدی در NGINX Plus و NGINX Open Source فاش کردند که مهم‌ترین آن‌ها یک نقص بحرانی ۱۸ ساله است. این آسیب‌پذیری که با نام «NGINX Rift» شناخته می‌شود، توسط شرکت depthfirst کشف شده و یک مشکل سرریز بافر پشته (heap buffer overflow) در ماژول ngx_http_rewrite_module است (CVE-2026-42945، امتیاز CVSS v4: 9.2).
این نقص به مهاجم احراز هویت‌نشده اجازه می‌دهد با ارسال یک درخواست HTTP ساختگی، اجرای کد از راه دور (remote code execution) را محقق سازد یا حمله انکار سرویس (DoS) ترتیب دهد.
شرکت F5 در بیانیه‌ای اعلام کرد این آسیب‌پذیری زمانی فعال می‌شود که دستور rewrite با دستورات خاص و عبارات منظم سازگار با Perl (PCRE) ترکیب شود. مهاجم می‌تواند با ارسال تنها یک درخواست، بدون نیاز به احراز هویت یا دسترسی قبلی، کنترل فرآیند worker در NGINX را به دست گیرد.

این آسیب‌پذیری پس از افشای مسئولانه در ۲۱ آوریل ۲۰۲۶ در نسخه‌های جدید NGINX Plus (R32 P6 و R36 P4) و NGINX Open Source (1.30.1 و 1.31.0) برطرف شده است، هرچند برای نسخه‌های قدیمی‌تر (0.6.27 تا 0.9.7) هیچ وصله‌ای در نظر گرفته نشده است.
علاوه بر این، سه آسیب‌پذیری دیگر نیز وصله شدند: CVE-2026-42946 (امتیاز 8.3) مربوط به تخصیص حافظه بیش از حد، CVE-2026-40701 (امتیاز 6.3) مربوط به استفاده از حافظه آزادشده (use-after-free)، و CVE-2026-42934 (امتیاز 6.3) مربوط به خواندن خارج از محدوده (out-of-bounds read). به کاربرانی که امکان به‌روزرسانی فوری ندارند، توصیه شده است در تنظیمات rewrite، از نام‌گذاری صریح (named captures) به جای نام‌گذاری ضمنی (unnamed captures) استفاده کنند.

اگر از Nginx استفاده میکنید آپدیت کنید تا سرورتون حداقل با DDoS به فنا نره !

@DevTwitter | <Teegra/>

بجز کلاود که گفته شد اگر مخزن بزرگ دارید Max رایگان میده:
claude.com/contact-sales/claude-for-oss
خود گیتهاب هم هر ماه ارزیابی میکنه و اگر مخزن بزرگ داشته باشید Pro رایگان میده:
docs.github.com/en/copilot/how-tos/copilot-on-github/set-up-copilot/enable-copilot/set-up-for-teachers-and-os-maintainers

@DevTwitter | <Nabi/>

آپدیت بزرگ اج برای موبایل و دسکتاپ منتشر شد: از تحلیل تب‌ها تا ساخت پادکست با کوپایلوت
‌
مایکروسافت به‌روزرسانی بزرگی برای مرورگر Edge منتشر کرده که هم نسخه دسکتاپ و هم نسخه موبایل را شامل می‌شود. مهم‌ترین بخش این تغییرات، حضور مستقیم قابلیت‌های Copilot در خود مرورگر است و مایکروسافت اعلام کرده «Copilot Mode» را کنار می‌گذارد. یکی از مهم‌ترین قابلیت‌های جدید، امکان تحلیل هم‌زمان چند تب باز در موبایل و دسکتاپ است. این ویژگی به Copilot اجازه می‌دهد با اجازه کاربر، محتوای تب‌های مختلف را با هم مقایسه، نکات مهم آنها را استخراج و به تصمیم‌گیری سریع‌تر کمک کند.

@DevTwitter | <Digiato/>