😈 Утечки секретов в Git: как найти забытые API-ключи

Разработчик случайно добавил API-ключ в репозиторий, заметил ошибку и удалил его следующим коммитом. Казалось бы, проблема решена

— Но Git сохраняет историю изменений, поэтому секрет может оставаться доступным даже спустя месяцы

В сегодняшней статье разобрали, как находить подобные утечки с помощью Gitleaks — инструмента для поиска токенов, паролей и других чувствительных данных в репозиториях

В статье рассмотрим:
◦ Где чаще всего прячутся API-ключи и токены
◦ Как проверить репозиторий и историю коммитов
◦ Почему .gitignore не спасает от уже допущенных утечек
◦ Как автоматизировать поиск секретов через CI/CD
◦ Что делать, если действующий ключ уже оказался в открытом доступе

🗣️ Ссылка на чтиво

🧑‍💻 Этичный хакер

😈 У пользователей Trust Wallet массово воруют крипту через порносайты — пострадавшие потеряли уже 5.57 млн долларов из-за уязвимости в iOS 18

Всё из-за эксплойта DarkSword — достаточно открыть заражённый сайт через Safari и на вашем смартфоне уже крутится вредоносный код

— Под удар попадают пароли, переписки, фотографии и файлы криптокошельков, включая секретные ключи

Чтобы себя защитить, обновите iOS до последней версии, Apple закрывает такие дыры патчами.

🧑‍💻 Этичный хакер

Выглядит очень больно...

🧑‍💻 Этичный хакер

😈 Хакерам почти удалось вскипятить кровь и плазму в медицинских холодильниках

— Национальная гражданская служба крови Франции (EFS) сообщила, что ее холодильники подверглись кибератаке, из-за которой температура поднялась до «очень высоких уровней»: злоумышленники пытались поднять температуру с -30°C до 110°C

Атака затронула 3 объекта, где хранятся образцы крови и плазма, используемая для переливания, но сотрудникам удалось отреагировать до того, как образцы или продукты были повреждены или уничтожены

🧑‍💻 Этичный хакер

😈 Хакеры несколько месяцев готовились к взлому Binance и проводили фальшивые собеседования

Представители Binance опубликовали подробный отчет, посвященный недавней кибератаке

— Выяснилось, что хакеры готовились к ограблению несколько месяцев и использовали сразу несколько точек входа:
◦ вредоносную версию Homebrew,
◦ фальшивые собеседования,
◦ кастомную малварь,
◦ и внутренний ИИ-инструмент компании.

Первые следы атаки относятся еще к июню 2026 года:
Тогда один из DevOps-инженеров компании, работавший с инфраструктурой криптокошельков, скачал поддельный установщик Homebrew, пытаясь установить популярный ИИ-инструмент для программирования

Следующая фаза атаки началась в сентябре: Злоумышленники вышли на другого инженера, пригласили его на собеседование и предложили скачать тестовое задание из репозитория, где на самом деле размещался вредоносный код

20 октября хакеры использовали этот зараженный ноутбук и внутренний ИИ-инструмент Binance, чтобы получить доступ к машинам еще двух инженеров

❗️ На одном из этих устройств они обнаружили токен с правами на развертывание контейнеров

Спустя еще девять дней, 29 октября, хакеры воспользовались похищенными учетными данными, вошли на компьютер скомпрометированного сотрудника, развернули контейнер и запустили вредоносный скрипт

— Таким образом они получили доступ к внутреннему сервису подписи транзакций и сумели организовать перевод средств в обход штатной системы вывода

🧑‍💻 Этичный хакер

🔥 Джеффри Хинтон предупредил о возможном глобальном сбое из-за ИИ в конце 2026 или в 2027 году

— Крёстный отец нейросетей, нобелевский лауреат Джеффри Хинтон сравнил масштаб потенциального инцидента с аварией на Чернобыльской АЭС по силе «тревожного звонка», уточнив, что речь идет не о ядерном взрыве, а о критических сбоях

Он заявил, что главы ведущих компаний (включая Сэма Альтмана из OpenAI, Марка Цукерберга и Илона Маска) понимают риски, но ставят прибыль выше безопасности, поэтому совсем не доверяет Сэму Альтману

Возможные сценарии:
◦ Кибератака искусственного интеллекта на энергосистему, которая приведет к масштабному блэкауту;
◦ и Сбой или атака, способные на неделю парализовать финансовую систему.

Хинтон предлагает создать аналог американского управления FDA (Управление по контролю за качеством пищевых продуктов и медикаментов) — независимый орган, перед которым разработчики ИИ будут обязаны доказывать безопасность моделей до их выпуска

🧑‍💻 Этичный хакер

🧑‍🎓 Книга: Тайная жизнь программ. Как создать код, который понравится вашему компьютеру

Знакомы ли вы с технологиями, лежащими в основе вашей собственной программы?
Почему «правильный» код не хочет работать?

Истина проста и банальна — нужно сразу создавать код, который будет работать хорошо и не будет прятать в себе трудноуловимые ошибки

— Для этого Джонатан Стейнхарт исследует фундаментальные концепции, лежащие в основе работы компьютеров

Он рассматривает аппаратное обеспечение, поведение программ на определенных устройствах, чтобы показать, как на самом деле должен работать ваш код

Узнайте, что на самом деле происходит, когда вы запускаете код на компьютере, — и вы научитесь программировать лучше и эффективнее

🗣 Ссылка на чтиво

🧑‍💻 Этичный хакер

— Мягкое напоминание

🧑‍💻 Этичный хакер

😈 Агенты OpenAI нашли 948 уязвимостей повышения привилегий в Linux

OpenAI рассказала об эксперименте с автономной системой поиска уязвимостей. В её основу легла  — GPT-6 Cyber

— Исследователи собрали вокруг неё многоступенчатый пайплайн: одни агенты выбирают перспективные участки кода, другие ищут потенциальные ошибки, затем система пытается воспроизвести их в изолированной среде, проверить возможность эксплуатации и подготовить патчи

В середине октября 2026 года этот процесс запустили на ядре Linux (проверяли не всё ядро):
◦ Для анализа выбрали 5034 участка кода — около 2,8 млн строк, или примерно 7% кодовой базы Linux;
◦ Результат — 2308 потенциальных проблем, 1724 воспроизведённые уязвимости и 948 уникальных уязвимостей повышения привилегий (LPE), для которых удалось создать рабочие эксплойты.

Весь прогон обошёлся OpenAI в $1.213.430 API‑кредитов — в пересчёте на одну уникальную LPE‑уязвимость получается около $1.279

Для сравнения компания приводит исторические выплаты хакерских соревнований: Pwn2Own предлагал за эксплойт повышения привилегий в ядре Linux около 20 тысяч долларов, а TyphoonPWN — 70 тысяч

По таким расценкам на 948 найденных уязвимостей, получится от 18,9 до 66,3 млн долларов.

🧑‍💻 Этичный хакер

😈 Раскрыта система тайной слежки за сотнями миллионов телефонов через приложения

❗️ Американская компания Penlink продает полиции США, Великобритании и других стран систему Webloc, которая отслеживает сотни миллионов мобильных телефонов по всему миру, используя данные из популярных приложений

Инструмент собирает большие объемы геоданных со смартфонов через погодные, игровые, почтовые и религиозные приложения

— Он может построить подробную картину того, где телефон находился за последние 12 месяцев, и обновлять данные ежечасно, показывая перемещения людей почти в реальном времени

Клиентами Webloc являются иммиграционная и таможенная служба США, как минимум два подразделения американских вооруженных сил и более десятка полицейских управлений

🧑‍💻 Этичный хакер

Тот самый чел, на котором всё держится.

🧑‍💻 Этичный хакер