Actualy, пупупуууу

Bitwarden CLI оказался скомпрометирован в рамках supply chain-атаки

Исследователи Socket заявили, что обнаружили компрометацию Bitwarden CLI — инструмента командной строки популярного менеджера паролей Bitwarden, которым пользуются более 10 млн человек и свыше 50 тыс. компаний.

По данным компании, вредоносный код был найден в npm-пакете @bitwarden/cli версии 2026.4.0. Опасный payload находился в файле bw1.js. Предварительно, атака связана со взломом GitHub Actions в CI/CD-конвейере Bitwarden и повторяет схему, ранее замеченную в более широкой кампании Checkmarx supply chain (читаем тут https://blog.gitguardian.com/three-supply-chain-campaigns-hit-npm-pypi-and-docker-hub-in-48-hours/).

На данный момент известно следующее:

— затронуты сборки Bitwarden CLI;
— речь пока идет только о npm-пакете CLI;
— Chrome-расширение Bitwarden, MCP-сервер и другие легитимные дистрибутивы, по имеющимся данным, не пострадали.

Технический разбор показывает, что bw1.js использует ту же инфраструктуру, что и malware из атаки на Checkmarx. В частности, исследователи указывают на одинаковый C2-адрес, схожие встроенные payload’ы и одинаковые методы кражи данных.

Вредоносный код, как утверждается, мог похищать:

— GitHub-токены;
— npm-токены;
— AWS-, Azure- и GCP-учетные данные;
— SSH-ключи;
— содержимое .npmrc, .env и других конфигурационных файлов;
— секреты из CI/CD-окружения.

Также malware, по данным Socket, мог:

— создавать публичные репозитории от имени жертвы для эксфильтрации данных;
— модифицировать GitHub Actions workflows;
— внедрять persistence через ~/.bashrc и ~/.zshrc;
— запускаться через Bun v1.3.13.

Отдельно отмечается наличие kill switch для систем с руссской локалью: вредоносный код автоматически прекращает выполнение, если системная локаль начинается с ru. Для этого проверяются Intl.DateTimeFormat().resolvedOptions().locale, а также переменные окружения LC_ALL, LC_MESSAGES, LANGUAGE и LANG.


К дополнительным индикаторам компрометации относятся наличие lock-файла /tmp/tmp.987654321.lock, появление подозрительных репозиториев от имени жертвы с названиями в тематике «Дюны» (АААА!), а также сетевые обращения к домену audit.checkmarx[.]cx.

Socket подчеркивает, что расследование продолжается. Компания рекомендует организациям, установившим зараженный пакет, рассматривать инцидент как утечку учетных данных и компрометацию CI/CD.

Что советуют сделать немедленно:

— удалить @bitwarden/cli 2026.4.0 из окружений разработки и сборки;
— сменить GitHub-, npm-, cloud-токены, SSH-ключи и другие секреты;
— проверить GitHub на предмет несанкционированных workflow, запусков и новых публичных репозиториев;
— провести аудит npm-публикаций и логов облачных сервисов;
— проверить runners и endpoints на следы Bun, изменения shell-профилей и подозрительные исходящие соединения.

IOC: @bitwarden/cli 2026.4.0

https://socket.dev/blog/bitwarden-cli-compromised

Блет гугл, я ещё прошлые иконки не разучил

https://9to5google.com/2026/04/26/gmail-google-gradient-redesign/

Freepik всё. Компания заявила о начале поэтапной трансформации из фримиум-стока в ИИ-слоп-платформу под новым брендом. Хотя сейчас заявляется о том что библиотека стоков будет сохранена — развиваться она уже скорее всего не будет, а материалы живых авторов будут понижаться чтобы сократить выплаты

https://www.magnific.com/blog/freepik-is-now-magnific/

Рубрика эксплойты за эксплойтами https://copy.fail/

(лендинг кстати потому что это реклама иишки которая ищет дыры)

https://xint.io/blog/copy-fail-linux-distributions

Гугл уже даже не стесняются своего кладбища и выпустили анонс нового I/O сразу с музыкой из мема про мужиков танцующих с гробом:

Первый пошёл, минус фитбит

Ну и соответственно на гуглкладбище отправляются легаси кромбуки и кромось: "Chromebooks will continue to receive support through their device’s existing date commitment, and many* Chromebooks will be eligible to transition to the new experience"
*сколько?

Теперь основная ось это андроид с прикрученным фронтом от кромоси

Нихрена себе oddly specific.

На гифке выше сравнение двух симуляций имплозий LS-DYNA 970. Условия и вводные одинаковые.

Только на гифке справа симуляция выполнена в среде в которой драйвер fast16 был заражён вредоносным кодом.

Возможно вы помните Stuxnet, вирус который таргетировался на ядерные объекты в Натанзе под управлением Siemens Step7 и подкручивал скорость вращения центрифуг, чтобы повысить риск поломки — т.е. вместо моментального отказа или ограничения доступа атака проходила медленно и незаметно. Его обнаружили в 2010 году. Подчеркну что именно обнаружили, т.е. он сущестовал (и дейстовал) на тот момент уже неопределённое время.

Новое исследование SentinelLabs рассказывает о вредоносном коде, следы которого можно было отследить вплоть до 2005 года, за 5 лет до обнаружения Stuxnet. И он, как вы уже поняли, действовал ещё более изощрённо, нарушая саму физику расчётов высокоточных симуляций, атакуя даже не готовое оборудование, а сам этап ещё до его проектирования.

В исследовании вредносного Fast16 автор разбора сосредоточился на функции, условно названной PhysicsFiction. Это 1104-байтный фрагмент кода, который, вероятно, внедрялся в целевое ПО во время выполнения. Одним из возможных кандидатов называется LS-DYNA — известный пакет для мультифизического моделирования, который мог использоваться, в том числе, в ядерных или материаловедческих проектах.

Внутри PhysicsFiction работают две связанные машины состояний:

state_monitor — следит за событиями и прогрессом симуляции, чтобы понять, когда можно запускать атаку.

state_physics — отвечает за само искажение физических данных.

Судя по конфигурации, код поддерживал работу как с float, так и с double-точностью. Это важно: параметры для разных режимов немного отличались, а значит, атака была рассчитана на конкретные особенности целевого калькулятора (в данном случае LS-DYNA, либо очень подобного).

Если такой имплант действительно сработал, последствия могли проявиться не сразу — а в виде ошибочных инженерных решений и физических отказов спустя месяцы или годы.



https://www.sentinelone.com/labs/fast16-mystery-shadowbrokers-reference-reveals-high-precision-software-sabotage-5-years-before-stuxnet/
https://www.reversemode.com/2026/04/inside-fast16s-physics-sabotage-engine.html

Кто-нибудь посчитатйте там воронки на I/O, у меня завал

https://www.youtube.com/watch?v=wYSncx9zLIU

в целоооом это и так выглядит как нейрослоп фестиваль

о, сони выпустили наушники в честь этого канала. 1000xCOLLEXION

https://www.sony.eu/presscentre/sony-unveils-1000x-the-collexion-where-iconic-sound-meets-refined-design

но им бы конечно сильно не помешало меньше соневости в дизайне)