⚡️Экстремисты устроили в мессенджере охоту на головы

Федералы поймали 24-летнего Ноа Лэмба за руку — парень оказался одним из кураторов Terrorgram Collective, экстремистской ячейки, которая ведёт через мессенджер настоящую охоту на головы. В "меню" попали федеральные служащие, топ-менеджеры и активисты — сортировали по цвету кожи, вере и ориентации.

Через основной канал участники получали готовые инструкции по взрывчатке, свежие адреса жертв и координаты энергообъектов для диверсий. Метод оказался рабочим: ножевые атаки в турецких мечетях, планы подрыва электросетей в Нью-Джерси, стрельба в Словакии. Цифровая платформа стала синхронизатором для международной сети радикалов.

Арест Лэмба показывает, что терпение у властей закончилось. Байден объявил Terrorgram террористической организацией, теперь участникам грозит 85 лет тюрьмы. Telegram окажется под ещё большим прессингом: либо ужесточает модерацию до предела, либо готовится к новым судебным искам и блокировкам в ключевых юрисдикциях.

#террогрэм #модерация #экстремизм

@SecLabNews

🕷«Sudo rm -rf /» — теперь и без пароля

На системах Linux обнаружена опасная уязвимость в sudo, связанная с обработкой chroot. Ошибка позволяет локальному пользователю получить root-доступ, обойдя все ограничения, включая SELinux и AppArmor — за счёт подмены nsswitch.conf в изолированной директории.

Ключевая проблема — отсутствие должной валидации при работе в chroot-среде. Вместо использования глобальных конфигураций, sudo обрабатывает подменённые локальные файлы, в том числе с указанием произвольных библиотек для разрешения имён. Загрузка таких библиотек происходит с привилегиями root.

Несмотря на выпуск патча (1.9.17p1), в продакшене остаются миллионы систем с уязвимыми версиями. Особенно тревожно то, что даже свежие образы Ubuntu на популярных хостингах содержат уязвимую сборку. Без обновления защита невозможна.

#уязвимость, #sudo, #эксплуатация
@SecLabnews

🛑 Маршруты молчат, пакеты теряются

4 июля зафиксирован масштабный сбой в сетях МТС и МГТС. Одновременно обрушились мобильный интернет и проводной доступ, что указывает на сбой уровня магистральной маршрутизации или точек агрегации трафика.

По данным Downdetector и Сбой .РФ, затронуты регионы с независимыми маршрутами: Москва, Краснодарский край, Чувашия и другие. Вероятная причина — нарушение работы BGP-анонсов или проблемы с кросс-доменным управлением.

На стороне клиента — полное отсутствие IP-сессий, нестабильный DNS и невозможность установления TLS-соединений. Пока операторы не публикуют трассировку сбоев и не раскрывают глубину аварии.

#mts #сбой #интернет @SecLabnews

🧠В 13 лет — багхантер Microsoft

Что заставило корпорацию с триллионной капитализацией переписать условия Bug Bounty? 13-летний Dylan, который научился ломать Teams во время карантина.

Девять месяцев тайного изучения уязвимостей — и критическая дыра в Authenticator Broker. MSRC отмахнулась от школьника, но он не сдался. Аргументированный разбор заставил экспертов признать ошибку и расширить программу.

Виолончель, математические олимпиады, плавание — и параллельно третье место среди лучших хакеров мира. Двадцать отчетов об уязвимостях за одни каникулы доказывают: талант не ждет совершеннолетия.

#bugbounty #teams #msrc

@SecLabNews

💯 Когда сеть исчезает — остаёшься только ты и страх.

Когда пропадает интернет, сначала ты раздражаешься. Потом — нервничаешь. А потом приходит настоящий страх. Ведь мы уже не просто «сидим в интернете» — мы живём в нём. И внезапное отключение может лишить нас не только развлечений, но и навигации, связи, знаний, работы.

Что будет, если из-за сбоя, политического указа или атаки исчезнет Сеть — не на час, а на сутки или неделю? Не смогут работать онлайн-банки, навигаторы, облачные документы. Ты даже не сможешь посмотреть, где ближайшая аптека. И вот тогда начнётся настоящее выживание.

Но его можно избежать. Оффлайн-карты, локальные мессенджеры, радиосвязь, автономные энциклопедии — всё это уже существует. Главное — знать, как подготовиться заранее. Мы собрали для вас полный гид по цифровому автономному выживанию. Да, без шуток.

#интернет, #оффлайн, #безопасность @SecLabnews

🆕 Еженедельный обзор киберновостей SecurityLab

Эта неделя отметилась серьёзными прорывами хакеров: от компрометации Call of Duty через Game Pass до критической уязвимости в sudo, которая дает злоумышленникам root-доступ к системам. Одновременно с этим мир стал свидетелем революционных научных открытий — от пересмотра закона Ома до создания искусственного "сердца звезды" на Земле — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили.

🌎В мире

Канада официально отказывается от камер Hikvision из соображений национальной безопасности.

Хакеры превратили популярную игру Call of Duty в поле для атак, взломав тысячи ПК через уязвимость в Game Pass.

За четыре месяца китайские хакеры с помощью трёх CVE и одного руткита обчистили крупнейшие системы половины Европы.

Армия из тысяч поддельных сайтов Apple атакует покупателей по всему миру.

Более ста американских компаний годами платили зарплату северокорейским шпионам, не подозревая об их истинной принадлежности.

🎯 В России

Роскомнадзор подвёл итоги: за полгода произошло 35 утечек данных, затронувших 39 миллионов записей.

Госдума готовит суровые меры: за передачу SIM-карты другому лицу теперь можно получить до трёх лет лишения свободы.

Иностранные мессенджеры и соцсети рискуют исчезнуть с российских экранов, если не выполнят требования властей.

Минцифры строит цифровую систему борьбы с мошенниками: теперь ваш голос станет частью большой игры против аферистов.

Россия ужесточает требования к микрочипам: чтобы стать "своим", придётся отдать 5 миллиардов рублей и 2 года на сертификацию.

👾 Цифровой апокалипсис

Критическая уязвимость в sudo предоставляет любому пользователю root-доступ к системе.

Google обнаружил активно эксплуатируемую уязвимость нулевого дня в Chrome — обновите браузер прямо сейчас.

Исследователи раскрыли, как Google годами создавал защиту, а хакеры взломали её всего за 16 часов.

Обнаружено 352 Android-приложения, которые воруют деньги пользователей прямо сейчас.

Эксперты предупреждают: если вы расплачивались телефоном за кофе, хакеры уже могут знать ваш PIN и номер карты.

⭐️Новости науки и технологий

Учёные создали искусственное "сердце звезды" на Земле: температура достигла 150 миллионов градусов и продержалась 43 секунды.

Физики совершили революцию в материаловедении: эпоха кремния подходит к концу, на смену приходит управляемая материя.

Столетний закон Ома оказался неточным: учёные объяснили, почему привычная формула тока не работает в асимметричных материалах.

Квантовая физика преподнесла очередной сюрприз: учёные доказали, что частицы могут двигаться без энергии.

В России успешно протестировали 50-кубитный квантовый компьютер, который уже решает практические задачи.

Делитесь в комментариях, как прошла ваша неделя и какая новость больше всего удивила.

@SecLabNews

👨‍🔬Мумбаи против Кремниевой долины — 4:0

Стартапы Кремниевой долины снова стали заложниками идеологии «бесконечного роста». Но на этот раз — не из-за пузырей или ИИ, а из-за человека. Один инженер из Индии успевал работать в четырёх стартапах одновременно, обманывая всех.

Пока одни видят в этом симптом токсичного трудоголизма и хаоса на рынке найма, другие считают происходящее предсказуемым. Спрос на эффективность, ориентированный исключительно на хард-скиллы, сделал мошенничество частью бизнес-модели. А удалёнка только развязала руки.

Главная ирония в том, что виноват не только инженер. Слепая вера в метрики и резюме без попытки понять мотивацию сотрудника ведёт к тому, что даже команды Y Combinator нанимают «призраков». Вопрос: кого на самом деле обманули — работодателя или саму систему?


#инсайдеры #удаленка #корпбез @SecLabNews

🔑Гейминг под контроль: кто и как будет рулить отраслью?

Российским разработчикам игр дали домашнее задание: к следующему совещанию представить предложения по стратегии всей индустрии. Один из ключевых пунктов — выбор госоргана, который будет отвечать за гейминг. Ранее АПРИОРИ уже предлагала свою версию стратегии: господдержка — только тем, кто работает на NAU Engine и предустанавливает VK-магазины. Вернутся ли к этим условиям — пока вопрос.

Ещё одна идея на столе — пускать в Россию только те зарубежные игры, что работают через российских издателей. Локализация? Безусловно. Но индустрия опасается, что зеркальные шаги не заставят себя ждать.

Всё идёт к созданию «дорожной карты» — то ли маршрута к росту, то ли кольцевой с односторонним движением.

#видеоигры #регулирование #локализация

@SecLabNews

📇 bitchat: офлайн-мессенджер, который не глушится

Когда сотовая сеть падает по аварии или приказу, коммуникация рушится первой. Разработчик jackjackbits предлагает иной маршрут: смартфоны образуют ячеистую цепь и сами передают сообщения, обходясь без вышек и провайдеров.

Связь держится на Bluetooth LE до 30 м, а каскад узлов увеличивает радиус. Бинарный протокол, адаптивное сжатие LZ4 и порог TTL = 7 ограничивают эфирную «болтовню». Ключи X25519 + AES-256-GCM шифруют, Ed25519 подписывает, фильтры Блума отсекают дубликаты, случайные идентификаторы и задержки скрывают метаданные.

Результат — автономный канал, устойчивый к обесточенным вышкам и DPI. Планируемые модули Wi-Fi Direct, LoRa и мосты Nostr расширят охват от квартиры до километров, не жертвуя шифрованием. Администраторам трафика придётся искать рычаги контроля уже вне привычной инфраструктуры.

#Bluetooth #локальнаяСеть #инфобез

@SecLabNews

🎭 Шесть нажатий Ctrl+C против всей системы защиты Linux

Механизмы шифрования, пароли на загрузчик и Secure Boot внезапно оказались бесполезны. Исследователь из ERNW Александр Мох показал, как с одним USB-накопителем и терпением можно получить контроль над системой — даже если она «максимально защищена». Виной тому — отладочная консоль, которая активируется при сбоях дешифровки root-раздела.

Ключевая проблема в том, что Secure Boot проверяет только ядро и модули, но не initramfs. Злоумышленник может вызвать шелл (например, на Ubuntu 25.04 — через ESC и шесть Ctrl+C), подключить внешний носитель с утилитами, изменить initramfs и внедрить вредоносные скрипты, которые выполнятся при следующей загрузке. Подписанные компоненты при этом остаются нетронутыми — система не видит подмены.

Решение — отключить отладочную оболочку через параметры ядра (panic=0, rd.shell=0), настроить пароль на сам процесс загрузки и зашифровать boot-раздел с помощью LUKS. Пока дистрибутивы не перейдут к единой подписанной сборке ядра и initramfs, уязвимость будет сохраняться.

#Linux #SecureBoot #initramfs

@SecLabNews

Остаётся ли в тайне ваш диалог с ИИ?

Большие языковые модели умеют многое — от помощи в аналитике до написания кода. Но за удобством скрываются риски: утечки данных, нарушение комплаенса, потеря интеллектуальной собственности.

🔐 На вебинаре 9 июля расскажем:

— Что происходит с вашими данными в ChatGPT, Claude, Perplexity, Gigachat и других.
— Как отличаются политики конфиденциальности вендоров.
— Что можно, а что нельзя отдавать внешним LLM.
— Как настроить корпоративные правила безопасного использования ИИ.
— Как защитить свои данные от попадания в обучающие датасеты.

🎯В финале — готовый шаблон политики + чеклист для компаний.
И всё это — на реальных кейсах.

👉 Присоединяйтесь: разберём, как использовать LLM с пользой и без риска.

🛡Белых хакеров снова загнали в тень

Госдума отклонила законопроект о легализации этичного хакинга в России. Профильный комитет по госстроительству признал инициативу сырой и рискованной для критической инфраструктуры.

Корень проблемы — в системных противоречиях. Депутаты требуют комплексных изменений в уголовном праве, которых до сих пор нет. Особую тревогу вызывает передача данных об уязвимостях зарубежным разработчикам из недружественных юрисдикций — прямая угроза нацбезопасности.

Отрасль остается в правовом вакууме. Проект обещают вернуть. Но пока что — белым хакерам всё так же нельзя.

#инфобез #bugbounty #госдума

@SecLabNews

🇷🇺 Персональные данные — только на отечественном

Минцифре, ФСБ и ФСТЭК поручено до декабря 2025 года подготовить поправки, по которым обрабатывать и хранить персональные данные можно будет только на российском софте. Включая СУБД. Крайний срок перехода — 1 сентября 2027 года. Под ударом — миллионы систем, от федеральных регистров до бухгалтерий в регионах.

Требование касается всех: от «Сбера» и Минтруда до микроклиник и ТСЖ. Вопрос не только в замене СУБД — придётся переделывать прикладные системы, процессы, интеграции. Особенно там, где Oracle и MS SQL — часть критичных IT-ландшафтов. На кону — совместимость, SLA, устойчивость к нагрузкам.

Вендоры уже предлагают open source с локальной поддержкой, а рынок ждёт реестр сертифицированных сборок. Но если подходы к категорированию операторов и техтребования не будут прозрачными, это обернётся хаосом. Переход возможен — но при условии технической зрелости, не лозунгов.

#импортозамещение #персональныеданные #СУБД

@SecLabNews

🤖Обнаружена опасная уязвимость Android: приложения могут делать уведомления невидимыми и получать конфиденциальные разрешения

Исследователи из TU Wien и Университета Байройта показали, что на Android можно обойти любые системные разрешения... не спрашивая ничего. Метод TapTrap маскирует вредоносные действия под анимации интерфейса, так что пользователь уверен: он нажимает на элемент в игре. А на деле — передаёт доступ злоумышленникам.

Фишка в прозрачной активности с кастомной анимацией: на экране вроде бы ничего нет, но касание уже передано другому приложению. Без наложений, без разрешений. Всё штатно, через startActivity(). Даже Android 16 на Pixel 8a не спасает.

76% приложений из Play Store потенциально уязвимы. Почти никто не учитывает, что анимации — это тоже вектор атаки. Google пообещал закрыть дыру, GrapheneOS уже готовит патч. А пока? Даже «непрошеное» касание может быть критичным.

#Android #TapTrap #MobileSecurity
@SecLabNews

🧠ИИ прочитал вас по сохранёнкам

Закрытие Pocket стало поводом для нетривиального эксперимента: инженер и бывший офицер ВВС решил скормить ИИ свой архив из 878 сохранённых ссылок за 7 лет — и получил в ответ точнейший личностный портрет. Без анкет, логов и метаданных — только URL, заголовки и время сохранения.

С помощью утилиты xsv и модели o3 он выяснил, что алгоритм способен вычислить не только возраст, доход и количество детей, но и уровень тревожности в ноябре, тягу к самодельным E-Ink-устройствам и циклы профессионального выгорания. Причём точность оказалась выше, чем у многих опросников: срез по ролям, привычкам и целям напоминал психологический паспорт.

Эксперимент напомнил: даже «песочница для ссылок» выдаёт нас с головой. Данные о чтении — это не просто интересы, это карты мышления. И чем глубже их анализируют ИИ-модели, тем острее вопрос: кто на самом деле знает нас лучше — мы или алгоритмы?

#личныеданные #ИИ #самоанализ
@SecLabNews