Rules File Backdoor. Как атакуют GitHub Copilot и Cursor и почему «это ваша проблема»
Продолжаем серию статей о взломах ИИ. В начале 2025 года исследователи Pillar Security обнаружили новый вектор атаки, который переворачивает представление о безопасности AI-ассистентов вроде GitHub Copilot и Cursor. Под видом безобидных конфигурационных файлов – тех самых, что задают ИИ правила...
Новости кибербезопасности за неделю с 1 по 7 сентября 2025
Всё самое интересное из мира кибербезопасности /** с моими комментариями. На этой неделе новости про не совсем суверенный цифровой суверенитет, Минцифры хочет легализовать DDOS, но не для всех, почему стоит держать web-камеру закрытой и про то, что можно стать учёным, просто делая инструменты для...
Мы доверяли фрилансеру. Он ушёл — и унёс всю инфраструктуру с собой
Кажется, выстраиваешь стартап на доверии, а потом внезапно обнаруживаешь, что главный технический специалист… не оставил тебе даже пароля от GitHub. Ни в шутку, ни в полсилы. Всё, с чем работала команда: домены, серверы, CI/CD, база клиентов, мониторинг - оказалось привязано к личным аккаунтам...
[Перевод] Prompt injection engineering для атакующих: эксплойт для Copilot от GitHub
Публичной информации о том, как писать мощные, незаметные и надёжные эксплойты промпт-инъекции, немного. Мы спроектируем и реализуем эксплойт промпт-инъекции, нацеленный на Copilot Agent от GitHub, уделяя внимание надёжности и минимизации вероятности обнаружения. Читать далее...
Мошенники на LinkedIn
На LinkedIn мне, как, думаю, и многим из вас, часто пишут. Чаще всего, это бывают либо рекрутеры низшего уровня, которые особо не вдаются в детали моей специализации и спамят просто "на удачу". Либо, это те, кто пытается предложить мне услуги, которые, ха-ха, я и сам предоставляю (всяческое R&D)....
[Перевод] Децензурировать видео теперь проще, чем когда-либо
В прошлом месяце попросил ребят взломать часть моего видео на YouTube. Конкретнее — восстановить содержимое папки, которую «запиксил» начиная с отметки времени 4:57. Годами все так делают, чтобы размазать, точнее, «расквадратить» части видео с конфиденциальной информацией. И все это время слышно: —...
[Перевод] Как GitHub использует CodeQL для обеспечения безопасности
Что происходит, когда GitHub берётся за собственную безопасность? Они пишут код для защиты кода — и активно используют для этого CodeQL. В этой статье команда Product Security Engineering рассказывает, как настроить масштабный автоматический анализ уязвимостей, зачем создавать свои пакеты запросов...
[Перевод] Расследование аферы с GitHub: как тысячи «модов» и «кряков» крадут наши данные
Перевели статью, автор которой раскрыл новую схему мошенничества на GitHub, где под видом модов для игр и взломанных программ распространяется вредоносное ПО, которое похищает личные данные пользователей. Читать далее...
[Перевод] Новая уязвимость в GitHub Copilot и Cursor: как хакеры могут превратить AI-агентов в оружие
Исследователи Pillar Security обнаружили новый опасный вектор атак на цепочку поставок, который назвали «Бэкдор файла правил» («Rules File Backdoor»). Этот метод позволяет хакерам незаметно компрометировать код, сгенерированный ИИ, путем внедрения скрытых вредоносных инструкций в, казалось бы,...
[Перевод] Вершим правосудие на GitHub, помечая мошенников с помощью граффити
Уже много лет опенсорсные проекты позволяют нам «украшать» графики активности на GitHub фальшивыми историями коммитов Git. Но знали ли вы, что подобные граффити можно также размещать в профилях других пользователей? К примеру, в графиках активности нескольких фишеров я оставил вот такую «черную...
О механизмах безопасности OpenSSH: разбираем уязвимости 2024 года
Прошлый год интересно проходил для SSH. Весной — бэкдор в xz-utils (CVE-2024-3094), в результате эксплуатации которого были скомпрометированы системы с systemd. В июле — критически опасная уязвимость «состояния гонки» для систем на базе glibc, получившая название regreSSHion. Спустя еще неделю была...
Атаки на GitHub-разработчика в 2024 году
Тренд «Platform Engineering», предложенный аналитическими агентствами, стал интересен не только компаниям, которые трансформируют свои процессы, команды и инструменты согласно новым подходам. Этот тренд также интересует и злоумышленников, которые используют возможности платформ разработки для...
Обходим ограничение доступа Github к базе уязвимостей Trivy. Быстрый фикс вам в помощь
Совсем недавно разработчики, применяющие сканер образов Trivy, столкнулись с ошибкой TOOMANYREQUESTS. Она произошла из-за достижения максимального количества пользователей инструмента и предельной скорости по загрузкам из Container Registry (CR) ghcr.io. Меня зовут Алиса Кириченко, я занимаюсь...
Тестирование на проникновение в веб-приложение VAmPI
Привет, уважаемый читатель! В рамках данной статьи мы узнаем: * Какие API уязвимости есть в VAmPI? * Из-за чего эти уязвимости существуют и эксплуатируются? * Какие есть способы защитить веб-приложение? * Какой есть дополнительный материал для самостоятельного изучения? Ссылка на GitHub VAmPI:...
Создание GitHub бота для сообщества
В мире разработки ПО своевременное получение информации о событиях в репозиториях важно для активного сообщества. Мы решили автоматизировать этот процесс, создав чат-бота для нашего комьюнити в Telegram. Мы сделали упор на то, чтобы бот был простым в использовании, помогал оставаться в курсе...
Скачай меня полностью: ресурсы с кряками-вредоносами стали продвигать на GitHub
Летом мы опубликовали исследование, в котором аналитики Центра кибербезопасности F.A.C.C.T. рассказали про обнаруженную ими сеть из более чем 1300 доменов, распространяющих вредоносные программы под видом популярных утилит, офисных приложений вместе с ключами активации или активаторами. В итоге...
Утечки данных первой половины 2024 года: ИТ-компании — в топ-3 отраслей
Как случилось, что все наши пароли и явки легко становятся добычей хакеров? Какие данные ценятся у хакеров больше всего и почему киберпреступники иногда выкладывают в открытый доступ утекшую информацию? Обсудим в этой статье. Мы изучили почти 1000 объявлений на форумах теневого рынка и свыше 700...
[Перевод] Как бороться с ReDoS
Проверка кода (Code Scanning) автоматически обнаруживает ReDoS-уязвимости, но исправить их бывает не всегда просто. В этой статье описана 4-х этапная стратегия исправления багов ReDoS. Читать далее...
Назад