Бэкапы - это для тех, кто не верит в стабильность своего прода.

Типичный 🥸 Сисадмин

Как одна дыра в GitHub Action превратила 6700 приватных репозиториев в публичные 🤔

Тут подъехал детальный разбор недавней атаки на цепочку поставок Nx от Wiz Research. Все началось с компрометации npm-токена через уязвимый GitHub Action. Атакующий выпустил вредоносные версии пакетов Nx, которые собирали переменные окружения, npm- и GitHub-токены и публиковали их в открытых репозиториях. Затем, используя утекшие GitHub-токены, он сделал публичными более 6700 приватных репозиториев у почти 500 скомпрометированных пользователей, включая целые организации.

Вредонос проверял наличие в системе ИИ CLI-утилит (Claude, Gemini, Amazon Q) и просил их найти интересные файлы на диске. Однако эффективность этого подхода оказалась низкой. AI-инструменты были установлены только у половины жертв, а в некоторых случаев Claude просто отказывался выполнять вредоносный промпт из-за встроенных защит. В итоге, ИИ-часть атаки сработала успешно менее чем в 25% случаев.

Интересен и подход атакующего к собственной безопасности. Вместо того чтобы палить свою инфраструктуру и поднимать свой сервер, он сначала использовал webhook.site для слива данных, а затем переключился на создание публичных репозиториев на аккаунтах жертв. Это минимизирует его собственный след и не дает себя вычислить. Для доступа к скомпрометированным аккаунтам использовался TOR, а для публикации репозиториев простой Python-скрипт.

Типичный 🥸 Сисадмин

Как невнимательность к RTFM привела к появлению новой штатной единицы

Коллеги, тут подъехала история от подписчика, назовем его Денис, который в ~2012 году подрабатывал DBA на полставки.

Его контора держала две инстанции MySQL (одну в Москве, другую где-то в Новосибе). И все это на симметричной репликации, потому что отказоустойчивость. Ден сразу предупредил, что канал между городами слишком медленный и нестабильный. Но на это махнули рукой.

Однажды в московском ДЦ проводили тест (так сказали) системы аварийного электропитания. Тест, естественно, провалился. Московская база легла, и вся нагрузка полетела на сервер в Новосибе.

Когда Москва очнулась, Денису нужно было восстановить синхронизацию. Он открыл мануал и запустил REPAIR TABLE. Но забыл один маленький, но важный параметр LOCAL. А этот параметр, по иронии, был описан на второй странице мануала 😬

Что произошло дальше, вы уже догадались. Из-за симметричной репликации команда на репаир улетела на обе базы, включая ту, что в Новосибе, которая в этот момент держала на себе весь бизнес. Прод лёг отдохнуть.

После часа лихорадочных танцев и молитв всем богам, Денису удалось все поднять. Но у этой истории счастливый конец. После того, как прод уронили из-за пропущенного параметра, руководство наконец-то поняло, что им нужен DBA на полную ставку.

RTFM 🤬

Типичный 🥸 Сисадмин

Когда слетел BIOS на старой материнке X58, программатора под рукой нет, но есть малинка 🎹

Типичный 🥸 Сисадмин

Самое страшное, что ты сам добровольно построил три верхних кукловода 😬

Типичный 🥸 Сисадмин

Тимлид девопсов в отпуске

MemOps 😃

История c отлетающими SSD в Windows 11 получила продолжение. Так кто же виноват? 💩

Тут подъехала развязка детективной истории про умирающие SSD после обновления Windows 11 24H2 (KB5063878). Если помните, сначала была паника, когда японский энтузиаст заявил, что диски отваливаются, а блогеры подхватили и расфорсили, обвинив Microsoft.

И вот, кажется, нашлась разгадка. Китайская группа PC-энтузиастов PCDIY! докопалась до сути. Оказалось, что проблема возникает только на накопителях с пре-релизными, инженерными версиями прошивок. То есть, на тех самых ранних образцах, которые часто попадают к обзорщикам и энтузиастам, но никогда не доходят до розничных магазинов.

Обычные, розничные SSD поставляются уже с финальной, протестированной прошивкой, на которой этого бага нет. Именно поэтому ни Phison, ни Microsoft не смогли воспроизвести проблему в своих лабораториях. По слухам, инженеры Phison уже неофициально подтвердили эту версию.

Отдельно Phison добавила, что замедление работы дисков при копировании больших файлов не баг, а нормальное поведение при заполнении SLC-кэша. И лечится это не форматированием, а утилитой Secure Erase.

Тайна умирающих SSD раскрыта, Шindows в этот раз ни при чем 🎩

Типичный 🥸 Сисадмин

VMware Kid?

Уже вижу будущее, как бесконечные кластеры ESXi, где в каждой ВМ крутится не операционная система, а цифровое сознание ребенка. А эта сумка... это просто контейнер для переноски биомассы между нодами.

Типичный 🤖 Сисадмин

Жена:

Зачем тебе еще один ноутбук дома? У тебя же есть.

Устанавливая KVM...

Типичный 👩‍🦰 Сисадмин

Когда домашние спрашивают, почему ты не выносишь мусор. А ты такой:

Это не мусор 👨‍🦳

Типичный 🌚 Сисадмин

А я контролирую 10 ЛЕТ ИСТОРИИ ИНФРАСТРУКТУРЫ, которая держится на честном слове и моей способности помнить все временные костыли 🎩

Типичный ✈️ Сисадмин

🍌 Проект KDE представил первый альфа-выпуск дистрибутива KDE Linux

Для установки решения доступны системные образы (5 ГБ) для создания загрузочных USB-накопителей, работающих в Live-режиме.

KDE Linux основан на пакетной базе Arch Linux, но оформлен в форме неделимого образа, не применяющего разбивку на отдельные пакеты, монтируемого в режиме только для чтения и обновляемого атомарно. Компоненты, помимо базового системного окружения, собраны из исходного кода при помощи kde‑builder или поставляются в форме пакетов Flatpak.

Дистрибутив поддерживает повторяемые сборки, позволяющие любому желающему верифицировать процесс сборки дистрибутива. Все пользовательские (/home) и изменяемые системные данные хранятся в зашифрованных разделах. В качестве загрузчика задействован systemd‑boot, поддерживающий загрузку только в режиме EFI.

Решение KDE Linux позиционируется как эталонная реализация Linux‑дистрибутива для рабочего стола и приложений KDE, оптимально сочетаемая с технологиями KDE и развиваемая без посредников разработчиками KDE.

Система в KDE Linux отделена от приложений — дополнительные приложения могут быть установлены в домашний каталог в форматах Flatpak, AppImage, Homebrew или Snap. Кроме того, в состав входят инструментарии Distrobox и Toolbox, позволяющие создавать в домашнем каталоге контейнеры для установки произвольных пакетов из других дистрибутивов.

🚫 Из ограничений альфа‑версии отмечается поддержка только систем с UEFI, отсутствие возможности загрузки в режиме UEFI Secure Boot, невозможность загрузки новых модулей ядра во время работы, недоделанный интерфейс для обновления системы и приложений в формате Flatpak, отсутствие поддержки старых GPU NVIDIA (поддерживаются только GPU на базе микроархитектуры Turing (GTX 16xx) и новее так как лицензионные ограничения не позволяют включить в состав образа проприетарные модули с поддержкой старых GPU). Для работы доступен только графический сеанс на базе Wayland.

Linux / Линукс 🥸