Массовые дефейсы меня уже просто бесят. Никто не будет читать ваши листовки, они не вызывают ничего кроме усталости. Противник тоже одно время баловался, видели хоть одно такое сообщение, произвело оно на вас хоть какое-то впечатление? Нет? Так а хули вы ождёте от врага? Что он зайдёт на сайт с обоями, прочитает вашу "правду и истЕну", заплачет и убежит?

Вернёмся к основам. Дефейс, помимо того, что это один из видов спорта, вроде CTF, - способ коммуникации. Можно заявить о себе, и достаточно это сделать один раз, не запомнят с первого раза, не обратят внимания и во все последующие. Можно проецировать силу и угрожать. Тоже один раз, потому что угрожать бесконечно невозможно. Угрозы нужно исполнять.

И конечно самое вкусное - хаос и неуверенность, для чего нужно подобрать хорошее сообщение. Квадратно-гнездовая пропаганда тоже хорошее дело, но делается не так и не здесь. Скажите их ртом то, что они хотели бы сказать, но по каким-то причинам не могут, или наоборот то что могут, но никогда не скажут. Чтобы они с пеной у рта друг на друга кидались. Если после дефейса, кто-нибудь не визжит в ебловизоре значит шалость не удалась.

Фаза заявлений и публичных сливов прошла. И если уж вы жжете таргет, то сделайте это, будь ласочка, с ущербом. Потому что отвандаленный index не ущерб. Недавно прошелся вслед за похекерами, переотжал пачку целей, дорутал, восстановил индексы из гита или бэкапов (которые не поленился найти), запатчил уязвимости и вернул ресурс в стойло. И если уж у меня до них дойдут руки, то после меня админы пойдут на биржу труда.

Не ленитесь и перестаньте страдать херней. Спасибо.

Аха. Вчерашний "похек" в Польше, когда остановились ненадолго поезда оказался не кибер, а EW. Вот эта красная кнопочка - radio-stop: повторяющийся аналоговый сигнал на 150 МГц состоящий из трех гудков (1160, 1400 и 1670 Гц) запускает экстренное торможение. Никакой аутентификации, система безопасности, хуле. Разлоченной любительской радиостанции и компьютера в качестве "блюбокса" достаточно чтобы сказать "поезд, стой, раз-два!" У̶д̶и̶в̶и̶т̶е̶л̶ь̶н̶о̶,̶ ̶ч̶т̶о̶ ̶п̶о̶д̶о̶б̶н̶о̶г̶о̶ ̶н̶е̶ ̶с̶л̶у̶ч̶а̶л̶о̶с̶ь̶ ̶р̶а̶н̶ь̶ш̶е̶.̶ Случалось.

Пару недель назад дочитал “Lost Son” Бретта Форреста. Про то как информатор ФБР Уильям Райли на свой страх и риск попытался пробраться в дыру и его там убили. (Журнальная версия в Wall Street Journal, роль ФБР в ней изрядно преувеличена) Как по мне, книга немного затянута в мелодраматической части истории и объяснении возможных мотивов главного героя в ущерб историческому контексту.

Пока отчаявшееся семейство Райли и журналисты с бесконечной настойчивостью дергали ФБР, Госдепартамент, посольства США в Москве и Киеве, совет безопасности при Трампе, копались в неполных и (местами) ошибочных списках “Миротворца”, нанимали частных детективов и пытались дергать ФСБ и СК РФ, не говоря уже про агента ГРУ Деркача, ключевые доказательства лежали в малиновском райотделе полиции в городе Одессе, из-за чего издание книги изрядно задержалось. На что служителям “закона”, я полагаю, глубоко насрать, какие-то военные преступления - слишком мелко для родной полиции.

Речь идёт об архиве сообщений Михаила Полынкова, рекрутера Гиркина, который мы взломали в октябре 2016 года. Осенью все были заняты выборами в США и взлом прошел практически незамеченным, тем не менее я считаю эти материалы важным историческим документом, который подробно объясняет как Российская Федерация руками русских наёмников строила “прекрасную россию будущего”. Да, так называемая “республика” - это и есть будущее россии, которое они “приближали как могли”. Что ещё могло вдохновить и объединить самых обычных россиян, от центрально-европейсккого уныния до ебеней дальнего востока? Ополчение россии на 90% состояло из “добрых русских людей”, которым начальство сказало: “Геноцид? Военные преступления? Можно! Всё позволено!” Великая русская мечта.

Старая переписка и базы, которые были взломаны украинскими хакерами в эрефии после вторжения, позволяют в точности установить многих участников кровавого порабощения Донбасса россией. Мистера Уильяма Райли вывез на подвал, пытал, убил и выбросил тело в ставок сотрудник ростовского УФСБ Денис Александрович Паленый (все его данные в точности установлены). И самое важное, что это не бытовое убийство, не эксцесс, не безумные козицинские козляки-разбойники и не мифические “ополченцы-сепаратисты”, а целенаправленная политика Москвы. Единственная. Другой у них нет и не было никогда. Тысячи неопознанных трупов в посадках и ставках - это их единственный и такой желанный результат.

С существами, которые шалеют от чувства собственной исключительности и вседозволенности ни о чем договориться нельзя. Не о чем просто. И не с кем. История Уильяма Райли и тысяч других не закончится никогда, пока виновные в геноциде не понесут заслуженное наказание.

Полистал отчеты СБУ, НКЦК и ДССЗЗІ, и вынужден признать - красиво, улучшилась верстка и английский язык, разноцветные диаграммы, иоки, всё как у людей. Теперь давайте разбираться, а зачем собственно вендоры их пишут? Ясен хуй для того, чтобы продать свои услуги, и никаких иных причин у них для этого нет. И расчитаны те отчеты на очень крупные компании, которые из них могут извлечь хоть какую-то пользу.

Между тем "потребитель" в Украине выглядит немного иначе. Это очень заёбаная обезьянь, которая сидит за наеноченым компьютером, с пиратской необновляемой виндой и сваливает акты, журналы, приказы, ведомости, штатки, расписания и фоточки из сигнала прямо на десктоп в "Новую Папку 1". И если вы ей попытаетесь прислать свой отчет, то она спросит "папа, ты с кем разговариваешь?"

На картинке мы видим эпической силы мальварь говноедон. Каковая с точки зрения старой школы представляет из себя говно и палки. Местами видны куски изоленты, следы тушонки и ворс из буденовки. Тем не менее это очень липкое говно и довольно сучковатые палки, и помимо отчетов, неплохо бы какое-нибудь объяснение для самых маленьких, как вытирать жопу, мыть руки перед едой и не совать пальцы в розетку.

Стадо уверенных в себе пользователей ПК - вот это и есть наша "национальная система кибербезопасности" и работать придется именно с ней.

В продолжение предыдущего поста, наткнулся в твиттере на статью Financial Times о колоссальных успехах Украины в #кибербезопасноти, и чему он может научить другие нации, на Blackhat в Вегасе всё это происходило. Весь украинский (и зарубежный тоже) замечательный опыт с 2014 по 2022 не помешал спецслужбам противника чуть ли не год готовиться к атаке и осуществить её без какого-либо противодействия с нашей стороны. Классичесая surprise attack.

Ожидаемых результатов она не достигла не потому что её отразили или снизили ущерб, а потому что противник неправильно выбрал цели, неправильно выбрал время, не смог скоординировать войска и так всё закосячил, что потребовалось почти две недели (мне во всяком случае), чтобы понять в чем именно заключался первоначальный план. Что не помешало им повторить всё через месяц. То есть мы видим столкновение двух разных форм необучаемости.

Очень кроткая пьеса в исполнении ДКИБ СБУ "Дурак и стеклянный хуй" (исполняется весело и задорно)

Видимо моё нытье про deny, degrade, disrupt, and destroy не прошло даром и сегодня у меня был шанс увидеть могучих украинских хакеров в кибернападе. Сперва они притащили инсталлятор гсокета с гита прямо на таргет, и кое-как его даже запустили, после чего попытались получить рута с pwnkit, и сопли кривого эксплоита пришлось оттирать по всей системе (включая даже те места куда палец обычно не пролазит), потом (наверняка с криком Б̶а̶н̶з̶а̶й̶ Тагииил!) запустили из крона скрипт, стирающий DocumentRoot, базу и заливающий диск рандомом. От пользователя, да, потому что с рутом не срослось. Полностью игнорируя тот факт, что рядом лежит каталог "backup". База конечно уцелела из-за ошибок в потужном кибероружии написанном на шелле. Мысль сказать "arp -a" и увидеть рядом еще сотню машин даже в голову не пришла. Не помещается она туда, потому что там "Тагил". Знаете что, ребята. Я сдаюсь. DDoS - это изумительно! Дефейс - это замечательно! Занимайтесь дефейсами, а не войной. Потому что вам не судьба. Что не судьба? Всё не судьба. (Вы хоть спрашивайте что-нибудь иногда. Как пишут в руководствах: "обратитесь к вашему системному администратору")

VK Leaks (https://cyber.org.ua/vk/) raw data
(это вполне конкретные люди, а не "весь ВК", подробнее по ссылке)
Никто не забыт, и мы не забудем

Мне конечно принесли новость об очередном припадке "цифровизации" (е-ВЛК и вот это вот всё). У меня предложение попроще. Давайте цифровизируем производство снарядов, чтобы было больше снарядов? Что, так не работает? А почему? Управление государством сложнее чем управление заводом, не проще. Вот эту нехитрую мысль нужно забивать нашим цифроданнингам и диджикрюгерам шваброй в жопу (потому что в уши они ебутся).

Про то что в Украине приватности меньше чем в Китае, а понтов больше чем в северной корее поговорим как-нибудь отдельно. Ни одну державную говнопрограмму я на свое устройство не поставлю. Можно конечно заставить и выдать отдельный телефон с чудесами жижитальной мысли. Я от него потеряю зарядку и буду носить в клетке Фарадея (мне знакомый как раз такой бумажничек подогнал). Чего и всем желаю.

На Кубе арестовали семнадцать человек за причастность к торговле людьми и наемничество. Министр внутренних дел Кубы грозит им сроками по тридцать лет и смертной казнью за поставку рекрутов для российской армии. Понятно, что Куба пытается выжать ещё капельку из кисоньки холодной войны, но похоже произошла совершенно типичная для россии история - им дай палец, откусят по локоть, россия нарушила все договоренности и кубинцы лавочку прикрыли.

InformNapalm и Кібер Спротив нашли списки наёмников и пункт назначения - тульского военкома, но к сожалению, не то как была организована сеть и о чем договаривались. Как один из возможных вариантов, кубинцев могло доебать предложение российского гражданства наёмникам. То что они тут подохнут никого не волнует, а вот получить боевой отряд имени Че Гевары со связями внутри страны, присягнувший иностранному правительству? Да ну нахуй!

(А если прямо сейчас министерство иностранных дел вызовет посла Республики Куба, выскажет сдержанное сожаление о недружественной позиции Республики и выразит благодарность за практический вклад правительства Кубы в международную стабильность и приверженность уставным принципам ООН, то это было бы просто идеально. Я тогда поверю в украинскую дипломатию)

Карим Хан кибер-тупой мудак, а кибер-недоумки с нашей стороны, которые его поддерживают его ещё тупее. Извините за непопулярное мнение.

О. Российским спецслужбам настолько напекло голову, что они решили поучаствовать в специальной олимпиаде по сливу данных. Банки говорят взломали. Скачал дампы, посмотрел, и кое-что мне резануло глаз. Тогда я достал табельный кибер-grep, установил на него штатный wc -l и увидел чудесную статистическую аномалию. Из четырех с половиной миллионов записей, почти три миллиона относятся к Донецкой и Луганской областям (которые эти кровожадные пидорасы якобы "освобождают"), второй замечательный момент: 2013 год встречается где-то в сорока двух тысячах строк, а 2015 в сорока шести (строк, не тысяч). Собственно о данных и зачем их ломать поговорим в следующий раз, а из хорошего, российские хакеры признают, что Донбасс - это Украина. Осталось его почистить от русского говна и предателей.

Мне фейсбук снес пост про “реестр военнослужащих”, может он излишне эмоциональный Давайте поговорим про приватность и про честных людей, которым нечего скрывать. Мне "нечего скрывать", но не потому что я честный (хотя и это тоже), а потому что десять лет учусь operation security и противодействовать всяким негодяям. Не то чтобы я такой параноик, которому всё это нравится. Жизнь заставила. Вы даже не знаете, что именно я хочу скрыть и нужно ли оно вам.

С приватностью есть два стула. На западе большую часть данных пылесосит биг-тек, чтобы продать вам диван в полоску и правильный набор тарелок. Facebook и Google - крупнейшие рекламные агентства, а не социальная сеть или поисковик. Биг-тек защищает свои доходы и для того вы должны ему верить. Есть еще российская модель - “кому надо - всё узнают и разберутся”, вот те самые с чистыми до блеска мозгами, холодным сердцем и горячими, потными ручонками.

Надо вам сказать, что российская модель привела их к полному проебу всех полимеров. Мало того, что вместо информационной индустрии у них возник черный рынок, с мобильными и гос пробивами, так после того как за них взялись украинские хакеры, выяснилось, что никакие меры по “усилению ответственности” и уголовные уложения не действуют. И не могли на самом деле, но то уже другой вопрос. Каждый житель россии, включая немовлят и тех, кто компьютер ни разу в жизни не видел, “сдеанонен” в десять-двадцать слоев. То что лежит в открытом доступе даже не половина того что есть. Начиная конечно же с Начальства. Вон ГУР наш фейсов на карандаш взял в первый месяц после вторжения.

Украина в этом отношении уникальна тем, что тут приватность проебана и технически и организационно, и даже на уровне личных интересов и инстинкта самосохранения. Так как гвозди для цифрового концлагеря украдены еще при Кучме и местных гуглов что-то не видать, то молодая команда хунвейбинов-цифровизаторов пытается построить барак из говна и палок исключительно по бедности. Квартира “информационной инфраструктуры” полностью засрана, по кухне бродят свирепые тараканы размером с собаку, а жить где-то надо, э? Мысль о том, что можно прибраться и починить сломанное, не вызывает у этих энтузиазма.

Отдельные товарищи-майоры могут даже порадоваться, что спонтанно возникла такая кнопка “Заебись”, даже лучше СОРМ, и радостно бегут раскрывать висяки в какой-нибудь очередной база-бот, слив по ходу и себя и все управление. Только что я вам хочу сказать. Если приватность не работает, то она не работает во-первых для всех без исключения, а во-вторых, не работают и законные способы что-то узнать. И доверия конечно же не прибавляется. Данные, которые уже потеряло наше государство обошлись в миллиарды денег и тысячи жизней. Чтобы это исправить нам нужна дереестризация, децентрализация, компартментализация, обеднение данных, ослабление ответственности в пользу неотвратимости наказания.

И разумная автоматизация. А то как-то так получилось, что прогресс шагает семимильными шагами (якобы повышая производительность труда), чиновников стало раза в два больше, а работать они стали раза в два хуже. Научитесь делать на бумаге то, что вы собрались автоматизировать. Потому что автоматизировать то, что вы делать не умеете нельзя. Таких технологий еще не придумано. Я вам говорил, цифровые мои, за три недели до вторжения, что вас собираются убивать по вашим же реестрам? Проявите немного обучаемости. Спасибо.

В выжимках из докторской Эпплбаума в блоге Electrospaces нашлись новые подробности из неопубликованных документов Сноудена, в том числе бэкдор в крипто-сопроцессоре Cavium (производился в 2005 и используется Cisco например), меня больше заинтересовало то, что АНБ целится на аппаратуру прослушки ("lawful interception"), в том числе на русский СОРМ. По-моему это предельно иронично, что обе технологии планировались как NOBUS ("никто кроме нас"), но всегда заканчиваются факапом, будь-то бэкдор в Juniper, на котором покатались китайцы или российская прослушка, которую не взломал только ленивый 😊

Федоров: "Це технологічна магія, яка призведе до результату

С удовольствием прочитал в блоге Isosceles про новую уязвимость в webp. Ею пользуется NSO (они прекрасны!) и из-за неё недавно выходили срочные патчи у Apple и Google. В webp для сжатия используется Хаффман, добрый старина Хаффман, декодер для которого можно упихнуть в две-три строки: for (n = tree; n->left; n = getbit() == 0 ? n->left : n->right) ; *out++ = n->sym;

И в таком виде им никто никогда не пользуется потому что медленно. Программисты любят менять время на место и тоже самое можно сделать с помощью таблицы (zlib) или конечного автомата тоже с таблицей (zstd). Самый худший случай - вырожденное дерево, когда каждый следующий символ встречается ровно в два раза чаще, чем предыдущий. Создать такой файл естественным путем невозможно, для него не хватит места во вселенной, а вот дерево, которое его описывает вполне. Оно похоже на палку с занозами.

Его можно сплющить, чтобы уместиться в разумное количество памяти и снова обменять худшее сжатие, на возможность пользоваться таблицами. Самый простой способ просто разделить частоту каждого символа на два: f[i] = (f[i] + 1) / 2 есть и эвристические, и точные алгоритмы для этой задачи. В реальной жизни вес веток не равномерен, потому webp пользуется несколькими уровнями таблиц. Сперва прикидывает размеры (эта часть "украдена" в zlib), а потом записывает значения. CS точная наука, хуле.

NSO подсунули им деревце с частично вырожденными кусками, чтобы с одной стороны уложиться в лимиты по памяти, а с другой - добраться до самого нижнего пятого уровня вложенности таблиц и затем записать значение за границами выделенной памяти. Занятно, что патч который выкатил Google работает неправильно, но закрывает уязвимость. Он работает только потому, что делает два прогона по построению таблиц и в первый раз ничего не пишет, а только пересчитывает размеры и за счет этого отсеивает невалидные коды. С тем же успехом можно было и проверку границ включить. Очень торопились.

Дальше автор рассказывает про фаззинг (попытка накормить программу неверными значениями, чтобы найти баги). И такие баги невозможно найти фаззингом в принципе. Что как бы нам намекает на то, что даже если вы знаете цвет обложки учебника и код давно уже написан знающими людьми, строить софт из кубиков не получится. Даже у Эплла с Гуглом. NSO красавчики, увидеть отсутствие проверок и подстричь дерево кодов в форме осинового кола, для этого нужна и внимательность и большой опыт.

Полез в старые вирмейкеские журналы и нашел в 29A#3 занятный метод сжатия от jacky qwerty, декодер умещается в 122 байта и при этом действительно что-то сжимает. Под капотом оказалась адаптивная модель второго порядка (примерно как у Шеннона в "Prediction and Entropy of Printed English", как же без него), только вместо таблицы вероятностей хеш-таблица, в которой два предыдущих символа задают следующий. Если совпало, то пишем один единичный бит, если не совпало, то нулевой и байт данных (как в LZSS). Чуть ли не случайно нашел похожий код в гитхабе, настолько похожий, что у меня даже возникает чувство, что это деанон. Автор назвал его LZP, хотя никакого "LZ" там собственно и нет, кроме идеи с хешем вместо полного совпадения (LZ4). За что люблю старую сцену, так за нестандартное мышление, способность без всякой подготовки переизобрести что-нибудь и тут же переделать в компьютерный вирус 🙂