🙇 В криптокошельках Ledger обнаружили аппаратные импланты. Компания проверяет цепочку поставок

В аппаратных криптокошельках Ledger обнаружили посторонние электронные компоненты на фоне массового вывода криптовалюты. Компания подтвердила как минимум один случай установки аппаратного импланта и начала проверять цепочку поставок.

Независимые аналитики оценивают возможный ущерб более чем в $100 млн.

Первые сообщения о пропаже средств появились 9 октября 2026 года. Пострадавшие покупали устройства у CryptoBilis, официального партнера Ledger в Юго-Восточной Азии.

Продавец работал в Малайзии, Индонезии и на Филиппинах. Производитель потребовал остановить продажи и поставки, пока специалисты выясняют обстоятельства инцидента.

Новость на SecurityLab — линк.

🙇 404 Not Found

🙇 SonarQube CLI — проверка кода и поиск секретов из терминала

Интерфейс командной строки для SonarQube: поиск секретов и быстрая обратная связь по качеству и безопасности кода прямо в терминале.

Интеграция с Claude Code добавляет проверку секретов перед вызовом инструментов, чтобы предотвращать отправку учетных данных провайдерам LLM. Также доступны серверный анализ качества кода и MCP-сервер для доступа к данным SonarQube.

— Для работы нужен доступ к SonarQube Cloud или собственному SonarQube Server версии 25.1 и выше.

Инструмент на GitHub — линк.

🙇 404 Not Found

🙇 OLTP и OLAP: отличия режимов работы с базами данных

Одна и та же база данных может участвовать в разных сценариях. В одном случае приложению нужно за доли секунды изменить несколько записей и сразу показать пользователю результат.

В другом — просмотреть историю за несколько лет, сопоставить миллионы событий и построить отчет.

Хорошо эту разницу видно на примере интернет-магазина. Пока покупатели оформляют заказы, система постоянно проверяет остатки, записывает платежи и меняет статусы.

При этом несколько пользователей могут одновременно претендовать на один и тот же товар, поэтому изменения важно выполнять не только быстро, но и согласованно.

Статья на selectel.ru — линк.

🙇 404 Not Found

⚡️ В сети начали массово сливать IT-курсы и книги известных онлайн школ

Вот отсортированная база с тонной материала (постепенно пополняется):

(363 видео, 87 книги) — Python
(117 видео, 53 книги) — ВАЙБКОД
(174 видео, 91 книги) — DevOps
(415 видео, 68 книги) — Frontend
(137 видео, 93 книги) — DS/ML
(143 видео, 33 книги) — ИБ/Хакинг
(352 видео, 89 книги) — С/С++/C
(343 видео, 87 книги) — Java/QA
(176 видео, 32 книги) — Git/Linux
(167 видео, 53 книги) — PHP/1С
(227 видео, 83 книги) — SQL/БД
(114 видео, 77 книги) — Сисадмин
(107 видео, 43 книги) — BA/SA
(181 видео, 32 книги) — Go/Rust
(167 видео, 43 книги) — Kotlin/Swift
(112 видео, 24 книги) — Flutter
(113 видео, 82 книги) — GameDev
(183 видео, 37 книги) — Дизайн
(136 видео, 33 книги) — PM/HR

Скачивать ничего не нужно — все выложили в Telegram

🙇 Google передумала экономить на хакерах. Награды за дыры Chrome выросли вчетверо

Google передумала экономить на поиске уязвимостей в Chrome и сразу вчетверо подняла базовые выплаты багхантерам. Весной компания резко урезала вознаграждения, но спустя полгода частично отыграла назад.

Правда, прежние щедрые расценки возвращать не спешит.

13 октября Google объявила о пересмотре программы Chrome Vulnerability Rewards Program (VRP). Базовая награда за ошибки, связанные с повреждением памяти, выросла с $500 до $2000.

В апреле компания настолько сильно сократила выплаты за некоторые категории уязвимостей, что исследователи столкнулись с десятикратным снижением гонораров. Новые суммы все еще уступают прежним.

Новость на SecurityLab — линк.

🙇 404 Not Found

🙇 Фото из Яндекс Диска предложили вытаскивать отдельной утилитой

Облако должно избавлять от возни с файлами. Но иногда для возвращения собственного фотоархива приходится искать отдельную программу.

Пользователь Хабра verimash представил инструмент для скачивания фотографий и видео из « Яндекс Диска», включая раздел безлимитной автозагрузки, на фоне проблем с доступностью файлов.

Согласно описанию автора, если оригинал фотографии недоступен, программа пытается получить другую доступную версию изображения.

Здесь важное ограничение: уменьшенная копия может спасти сам снимок, но не вернуть исходное качество.

Новость на www.anti-malware.ru — линк.

🙇 404 Not Found

🙇 Как новые разрешения в GitHub Apps облегчат автоматизацию доступа к репозиториям

Компания GitHub выпустила обновление для платформы GitHub Apps и токенов персонального доступа с точной настройкой прав (fine-grained PATs). Изменения направлены на уменьшение количества запрашиваемых чувствительных разрешений и упрощение администрирования приложений.

Разработчики обновили интерфейс управления учетными данными приложений GitHub в преддверии запуска функций федерации рабочих нагрузок, а также упростили подключение ранее одобренных организацией приложений для администраторов репозиториев.

Новость на selectel.ru — линк.

🙇 404 Not Found

🙇 «Подтвердите, что не робот» — и ваш компьютер под контролем

В конце сентября была зафиксирована активность по доставке стиллера с использованием техники ClickFix. Кампания была направлена на граждан России.

В статье разберем полную цепочку атаки: от фейковой капчи до удаленного управления машиной.

На момент анализа активности, VirusTotal не знал файлы с обнаруженными хэш суммами, поэтому было принято решение написать статью с разбором действий злоумышленников. Если обнаружите фактические ошибки, буду рад получить конструктивный ответ в комментариях.

Статья на Habr — линк.

🙇 404 Not Found

🙇 Что на самом деле происходит с жидким металлом в системах охлаждения спустя два года

Бытует мнение, что жидкий металл (TIM) со временем «высыхает», из-за чего система охлаждения теряет эффективность, а сам термоинтерфейс превращается в сухой «порошок». Инженер Роман Хартунг (известный под ником der8auer) совместно с компанией Thermal Grizzly GmbH провел двухлетний эксперимент.

Образцы контактных пластин с нанесенным жидким металлом изучали с помощью электронного микроскопа.

Результаты показали, что никакой усушки или испарения не происходит. Жидкий металл меняет агрегатное состояние в результате диффузии с металлом контактных поверхностей, образуя твердые интерметаллические соединения.

Новость на selectel.ru — линк.

🙇 404 Not Found

🙇 mock-oauth2-server — тестирование OAuth2/OpenID Connect без отключения защиты

Тестовый сервер OAuth2/OpenID Connect для проверки приложений без отключения защиты. Выдает подписанные JWT, которые можно проверять через стандартные эндпоинты JWKS и discovery.

Поддерживает несколько издателей токенов и настройку токенов. Работает внутри JVM-тестов и как отдельный процесс в Docker Compose.

— Сервер предназначен только для тестирования: использовать его в рабочей среде нельзя.

Инструмент на GitHub — линк.

🙇 404 Not Found

🙇 Snitch — визуализация сетевых соединений в реальном времени

Визуализатор сетевого трафика в реальном времени: показывает, с кем соединяется компьютер, где находятся серверы и какое приложение отвечает за соединение.

Показывает соединения на графе и IP-адреса на карте мира. Отмечает сканирование портов и возможную эксфильтрацию данных.

— Данные остаются локально, телеметрии нет. Единственный возможный исходящий запрос — загрузка базы геолокации DB-IP Lite, которую пользователь явно запускает в настройках.

Инструмент на GitHub — линк.

🙇 404 Not Found

👩‍💻 Всем программистам посвящается!

Вот 14 авторских обучающих IT каналов по самым востребованным областям программирования:

Выбирай своё направление:

👩‍💻 Python — t.me/python_ready
🤔 InfoSec & Хакинг — t.me/hacking_ready
🖥 SQL & Базы Данных — t.me/sql_ready
👩‍💻 IT Новости — t.me/it_ready
🤖 AI & ML — t.me/neuro_ready
👩‍💻 Frontend — t.me/frontend_ready
👩‍💻 C/C++ — https://t.me/cpp_ready
👩‍💻 C# & Unity — t.me/csharp_ready
👩‍💻 Linux — t.me/linux_ready
👩‍💻 Java — t.me/java_ready
📖 IT Книги — t.me/books_ready
📱 JavaScript — t.me/javascript_ready
🖼️ DevOps — t.me/devops_ready
🖥 Design — t.me/design_ready

📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!

🙇 Одна лишняя буква, и Linux захвачен. Хакеры подменили популярные утилиты

В Arch Linux обнаружили поддельные пакеты, которые выдавали себя за популярные инструменты yay и paru, а при установке запускали вредоносный код с правами root. Атакующие сохранили настоящие компоненты программ, добавив опасные команды, чтобы пользователи не заметили подмены.

Кампанию обнаружили 13 октября в Arch User Repository (AUR), пользовательском каталоге пакетов для Arch Linux и производных дистрибутивов. Злоумышленник под ником marchos1as массово публиковал программы с названиями, похожими на известные утилиты.

В отличие от официальных репозиториев, AUR позволяет участникам сообщества самостоятельно размещать сценарии сборки программ.

Новость на SecurityLab — линк.

🙇 404 Not Found

🙇 HOL Guard — проверка действий ИИ-агентов до выполнения

HOL Guard — инструмент с открытым кодом для защиты ИИ-агентов во время выполнения. Проверяет поддерживаемые вызовы инструментов, команды оболочки, доступ к файлам и операции с пакетами.

Выявляет раскрытие секретов, разрушительные операции, инъекции в промпты и риски цепочки поставок. По заданной политике разрешает действие, блокирует его или запрашивает подтверждение.

— Охват защиты зависит от того, какие события предоставляет агент. Подключение работает через встроенные хуки агентов, управляемые MCP-прокси и интеграции запуска.

Инструмент на GitHub — линк.

🙇 404 Not Found

🙇 Нашли флешку? Не спешите совать ее в компьютер, можете запустить вредонос

Чужая флешка может устроить неприятности еще до того, как вы откроете первый файл. Более того, внутри корпуса может вообще не оказаться привычного накопителя: под него маскируют устройства, которые при подключении представляются компьютеру клавиатурой и начинают вводить команды.

Как пишет How-To Geek, для такой атаки не нужно запускать подозрительный документ. Иногда достаточно собственноручно воткнуть находку в USB-порт.

Дальше устройство отправляет нажатия клавиш, будто за компьютером сидит сам пользователь. Злоумышленник может использовать это, чтобы попытаться установить вредоносную программу или добраться до данных.

Новость на www.anti-malware.ru — линк.

🙇 404 Not Found

🙇 Google переходит на анализатор типов Pyrefly для Python

Google перевел внутреннюю проверку типов Python с собственного инструмента Pytype на Pyrefly — инструмент с открытым исходным кодом, который работает примерно в 10 раз быстрее, сокращает задержку при инкрементальной пересборке до 98% и снижает пиковую нагрузку на вычислительные мощности более чем на 80%.

Python входит в число основных инструментов Google и применяется для исследований в области машинного обучения, разработки инфраструктуры и обработки данных в монорепозитории из сотен тысяч файлов. Для поддержания безопасности кода и скорости работы инженеров компании необходима статическая проверка типов.

Новость на selectel.ru — линк.

🙇 404 Not Found