Белый Хакер

🤖 WhatsApp скрывал в справке инструкции для ИИ-бота, запрещающие советовать обращаться к регуляторам Привет! Компания Redact обнаружила необычные инструкции в справочном центре WhatsApp. Они были спрятаны в HTML страниц и предназначались для ИИ-бота поддержки. Среди указаний был прямой запрет советовать пользователям обращаться в органы по защите персональных данных. 👨‍💻 Например, если человек потерял телефон или номер и больше не мог удалить аккаунт, бот должен был рекомендовать только ожидание автоматического удаления. Предлагать обратиться к регулятору ему запрещалось, хотя европейская политика конфиденциальности WhatsApp прямо предусматривает такое право. 🚨 На другой странице нашлись инструкции на случай, если пользователь упомянет адвоката, суд или иск. После этого бот не долже…

👻 GhostAction спрятала стилер в файле шрифта и заразила 94 GitHub-репозитория Привет! Атакующие из GhostAction сменили тактику. Раньше они воровали секреты через вредоносные GitHub Actions, а теперь прячут стилер под видом обычного шрифта .woff2. Исследователи OpenSourceMalware нашли его в 94 скомпрометированных репозиториях. 👨‍💻 Для запуска используют VS Code. В файл tasks.json добавляют задачу с runOn: folderOpen, которая при определённых настройках редактора срабатывает при открытии проекта. Она запускает код, спрятанный в public/fonts/fa-solid-400.woff2. 🚨 Дальше стилер собирает AWS-ключи, токены npm и PyPI, SSH-ключи, доступы к Kubernetes и учётные данные Claude и Gemini. Всё найденное отправляет на сервер атакующих, а на компьютере оставляет cron-задачу, которая каждые пять ми…

❌ Миф: если DLL подписана Microsoft, её загрузка безопасна Привет! При расследовании находите процесс с оригинальными DLL Microsoft. Подписи действительны, хеши совпадают. Но это ещё не повод исключать DLL Hijacking. 👨‍💻 Условно, приложение ищет библиотеку helper.dll по имени, без полного пути. Если каталог атакующего участвует в поиске раньше нужного расположения, Windows может загрузить подставную DLL. ⚡️Чтобы приложение не падало, атакующий может использовать DLL Proxying: его библиотека принимает вызовы и перенаправляет их в оригинальную. А свой код запускает при загрузке. 🚨 Иногда подменять даже основную библиотеку не требуется. Приложение загружает настоящую DLL Microsoft, а у неё есть зависимость, которую Windows тоже ищет по имени. Через такую зависимость можно добиться загр…

Шпионское ПО Candiru заражало устройства сотрудников Al Jazeera через обычную рекламу Привет! Исследователи Citizen Lab выяснили, что израильское шпионское ПО Candiru использовали для атак на сотрудников Al Jazeera через рекламные объявления. Причём жертве даже не нужно было нажимать на рекламу. Достаточно было её загрузки, иногда вообще в фоне. 👨‍💻 Схема работала через рекламную компанию Discover-Tech. В объявления встраивали небольшой JavaScript, который отправлял на сервер рекламный идентификатор устройства и IP-адрес. Сервер проверял, подходит ли посетитель под нужную цель, и только тогда возвращал код для атаки. 🚨 Благодаря этому вредоносный код не находился в самой рекламе. Рекламные сети видели обычное объявление, а заражение запускалось уже после проверки устройства. По данны…

🇺🇸 В США закрыли более 40 «ферм ноутбуков» северокорейских хакеров Привет! Минюст США предъявил обвинения 14 участникам схемы, с помощью которой северокорейские IT-специалисты устраивались на удалённую работу в американские компании под чужими именами. Во время рейдов в Техасе закрыли более 40 так называемых laptop farms и изъяли около 187 компьютеров. 👨‍💻 Схема работала довольно хитро. Человек из КНДР проходил отбор под поддельной личностью, а рабочий ноутбук компания отправляла на адрес посредника в США. Тот держал устройство у себя, обеспечивал удалённый доступ и помогал создать впечатление, что сотрудник действительно работает из Америки. 🚨 По данным следствия, так удалось устроиться более чем в 70 компаний и заработать около $3 млн. Часть денег, как утверждает Минюст, направля…

⌨️ Команда недели: pidfd_open Привет! В Linux PID может освободиться после завершения процесса и достаться другому. Если скрипт следит за процессом по PID, есть риск перепутать его с новым. Для этого в Linux есть pidfd_open() - системный вызов, который возвращает файловый дескриптор конкретного процесса. 👨‍💻 В Python его можно использовать так: import os import select fd = os.pidfd_open(1847) poller = select.poll() poller.register(fd, select.POLLIN) poller.poll() print("Процесс завершился") os.close(fd) Здесь 1847 - PID нужного процесса. os.pidfd_open() получает дескриптор, а poll() ждёт, пока процесс завершится. Не нужно постоянно проверять его существование или опрашивать /proc. 🔎 Допустим, вы пишете watchdog, который должен дождаться завершения конкретного процесса. С обычн…