Не хомяком единым: игры-кликеры, чьи бренды мошенники используют для угона аккаунтов или кражи крипты
Небывалый ажиотаж вокруг Telegram-приложения Hamster Kombat, в котором с марта этого года уже более 250 миллионов пользователей неистово «тапают хомяка» в надежде заработать криптовалюту, привлек повышенное внимание скамеров. За последние три месяца исследователи F.A.C.C.T. обнаружили более 600...
[Перевод] История Same Origin Policy
В начале 90-х интернет был очень базовым и простым для понимания. По сути, это были два компонента: веб-сервер и браузер. На локальном компьютере вы устанавливали браузер, который, получив URL, отправлял HTTP GET-запрос на сервер, на котором запрашиваемый ресурс. Затем этот сервер отвечал текстом,...
Bug Bounty для новичков: зачем компании платят за взлом своих продуктов и как в этом поучаствовать
Многие IT-компании платят людям за обнаружение уязвимостей и багов в их софте, сервисах, веб-сайтах или инфраструктуре. В обмен на сообщения об уязвимостях исследователи безопасности могут получить вознаграждение, известность и уважение в индустрии, а еще — интересный оффер на работу. Рассказываем,...
(Не) безопасный дайджест: Угон Pepe и Shib коинов, Disney под атакой, а также слив данных миллионов американцев
Пролетел второй месяц лета, и мы надеемся, что вы хорошо отдохнули или уже собираетесь в отпуск. Чтобы скрасить рабочие будни, делимся подборкой сочных летних ИБ-инцидентов. Сегодня в рубрике: продолжение драмы со Snowflake, недопонимание с robots.txt и похищение мем-коинов Читать далее...
[Перевод] Настройка аутентификации с одноразовым паролем в OpenAM
Аутентификация с паролем является, пожалуй, самым распространенным методом аутентификации. Но она не является достаточной надежной. Часто пользователи используют простые пароли или используют один и тот же пароль для разных сервисов. Таким образом пароль пользователя может быть скомпрометирован....
Карантин! Инфицируем .NET-сборки как настоящий APT
Привет, Хабр! Меня зовут Миша, я работаю ведущим экспертом по тестированию на проникновение в команде CICADA8 Центра инноваций МТС Future Crew. Недавно я занимался исследованием ранее неизвестных и просто любопытных способов закрепления в системах Windows. Я обратил внимание на одну особенность — в...
Как безопасно авторизироваться в веб-сервисе через скомпрометированное устройство?
Поискав в интернете, побеседовав с ИИ, можно выделить bullet-proof технологию многофакторной авторизации. "Добавь TOTP и спи спокойно", говорят они. Но что, если у вас только одно устройство, и оно скомпрометировано? Например, вы едете в путешествие и берёте с собой только телефон. Можете ли вы...
Цифровая крепость: как защитить себя в мире киберугроз
В нашу эпоху, когда цифровые технологии пронизывают каждый аспект нашей жизни, вопрос кибербезопасности становится как никогда актуальным. Мы живем в мире, где информация стала валютой, а ее защита — необходимостью. Ох, как же быстро меняется ландшафт угроз! Будто вчера мы беспокоились о простых...
Защищаем приложение в облаке от DDoS-атак: взгляд со стороны провайдера и клиента
Любые опубликованные в интернете сервисы, службы и приложения (сайты, файловые хранилища, API, шлюзы) подвержены DDoS-атакам. Не важно, размещены они на вашем сервере или в облаке, их надо защищать. Я Руслан Корнев — эксперт по сервисам информационной безопасности в Cloud.ru. Многие компании...
Симметрии модели числа. Часть II
Не хочу прерывать желание читателей, ознакомившихся с предыдущей статьей (О разложении модели числа), продолжить знакомство с проблемой моделирования и исследования чисел. При написании статей хочу обеспечить читателям понимание ограничений и возможностей, применения, конструирования ими своих...
Как организованы DDoS-атаки на банки. И не только. На пальцах
В течение последней недели от массированных DDoS-атак пострадал сразу ряд российских финансовых организаций: в том числе РСХБ, Райффайзенбанк, Газпромбанк и Росбанк. До этого атакам подвергались Национальная система платежных карт (НСПК) и Московская биржа. Это привело к сбоям в работе платежных...
Как сбой CrowdStrike повлиял на авиацию
19 июля обновление инструмента для защиты от кибератак CrowdStrike привело к сбою, который затронул 8,5 млн персональных компьютеров и серверов на Windows. Пострадали несколько сфер, включая здравоохранение, банки, экстренные службы и многие другие. Читать далее...
Вы нас просили и мы сделали. VPN на собственном сервере с XRay Reality за 5 минут с помощью Amnezia
Всем привет! Это команда Amnezia. Мы читаем комментарии под нашими постами и знаем, что один из самых частых вопросов – когда будет XRay? Так вот, мы добавили XRay в приложение AmneziaVPN, а точнее протокол Reality от XRay для всех платформ - IOS, Android, Windows, Linux и MacOS. Если у вас еще нет...
MLSecOps: почему, зачем и кому это нужно?
Всем привет! Меня зовут Никита, я работаю в центре машинного обучения «Инфосистемы Джет». Сейчас я учусь в своей второй магистратуре в ВШЭ ФКН на программе «Современные компьютерные науки» и в Школе анализа данных (ШАД). Сегодня я хочу рассказать о сравнительно новой концепции, которая становится...
4 типовые ловушки в работе со строками в С и С++ и как их избежать
Некорректное использование строк может стать настоящей ахиллесовой пятой защиты программы. Поэтому так важно применять актуальные подходы к их обработке. Под катом разберём несколько паттернов ошибок при работе со строками, поговорим о знаменитой уязвимости Heartbleed и узнаем, как сделать код...
Как протестировать и обезопасить почтовый сервер в Debian и Ubuntu с ispmanager
Это вторая часть статьи о настройке почтового сервера. Расскажу о тестировании настроек почтового сервера и настройке его безопасности с помощью AppArmor, iptables и Fail2ban. Инструкция применима для Debian Linux и дистрибутива Ubuntu. В этой статье: • Тестирование настроек почтового сервера •...
[Перевод] Насколько небезопасен Avast Secure Browser?
Некоторое время назад я уже изучал Avast Secure Browser. Тогда для Avast это закончилось не лучшим образом: я обнаружил критические уязвимости, позволяющие произвольным веб-сайтам заражать компьютер пользователя. Хуже того: во многом это произошло из-за пренебрежения методами безопасной разработки,...
Пара укравшая миллиарды. Взлом Bitfinex
Bitfinex У Рафаэля Николле было всего три года опыта работы системным администратором, когда в 2012 году он создал и запустил биржу Bitfinex под псевдонимом Дядюшка Скрудж. Биржа быстро завоевала популярность благодаря тому, что была создана с нуля с учетом потребностей простых пользователей. Она...