Dolboeb-driven Development

axios@1.14.1 - или русская рулетка в npm install

axios - самый популярный HTTP-клиент в npm, 100M+ скачиваний в неделю. Сегодня выяснилось, что версия 1.14.1 тянет за собой plain-crypto-js@4.2.1 - пакет, которого вчера не существовало. Классический supply chain attack.

Под раздачу также попал axios@0.30.4 (для тех кто на легаси и думал что в безопасности - нет).

Что делает малварь:
- деобфусцирует payload в рантайме
- динамически подгружает fs, os, execSync чтобы обойти статический анализ
- выполняет shell команды
- копирует файлы в temp и ProgramData
- удаляет следы после себя

Все по классике - обфусцированный dropper который сам за собой убирает.

Если у вас axios - пинните версию, проверяйте lockfile, не обновляйтесь. npm audit вам не поможет, он уже давно декоративный.

100 миллионов скачиваний в неделю. Один npm install - и твоя циска в зоне риска.
Обколются своими агентами и вайбкодят друг друга

Тред

@derplearning

Re: Fedware: Government apps that spy harder than the apps they ban

I’m surprised to see no comments on this yet:

[The White House app] ships with 3 embedded trackers including Huawei Mobile Services Core (yes, the Chinese company the US government sanctioned, shipping tracking infrastructure inside the sitting president's official app)

The executive branch has decided this company is so dangerous I can’t buy a monitor made by them - but it’s embedding its SDK in its official app?!

I realize the decision makers probably don’t even know it’s there - it was just added by whatever contractor built the app, but that’s arguably even worse.

And I have absolutely no doubt that if it was discovered in a political opponent’s app, and the administration wanted to harm them, there would be no compunction about using that fact against them.

jrmg, 11 hours ago

Re: Copilot edited an ad into my PR

Tim from the Copilot coding agent team here. We've now disabled these tips in pull requests created by or touched by Copilot, so you won't see this happen again for future PRs.

We've been including product tips in PRs created by Copilot coding agent. The goal was to help developers learn new ways to use the agent in their workflow. But hearing the feedback here, and on reflection, this was the wrong judgement call. We won't do something like this again.

timrogers, 8 hours ago

кек

ПИ*ДЕЦЬ. EA прирівняла бригаду «Азов» до терористів і забанила гравця 🧘

Українець у Battlefield отримав бан на 168 годин за використання емблеми бригади «Азов», по наступній причині:

"Ваш акаунт містить неналежні згадки про насильство та трагічні події. Це стосується згадок про геноцид, масові вбивства або трагічні події з метою героїзації осіб, які вчинили ці дії".

При цьому сервери Battlefield мають на серверах гравців з емблемами ПВК «Вагнер», Z-свастикою та прапорами РФ, і їх ніхто не банить.

^ По традиции призываю в тред нашего друга адвоката Майкрософта)

Re: Copilot edited an ad into my PR

This "ad" is not exactly new. Looks like MS thinks it's a "tip" rather than an ad. I don't know if Raycast team even knows about this.

https://github.com/PlagueHO/plagueho.github.io/pull/24#issue... Copilot has been adding "(emoji) (tip)" thing since May 2025. GitHub copilot was released in May 2025, so basically it has had an ad since beginning.

There are 1.5m of these things in GitHub. https://github.com/search?q=%22%3C%21--+START+COPILOT+CODING...

Here are some of them:

https://github.com/johannesPP/FS-Calculator/pull/2

> Connect Copilot coding agent with Jira, Azure Boards or Linear to delegate work to Copilot in one click without leaving your project management tool.

https://github.com/sharthomas645-tech/HybridAI-Next-React-Vi...

> Send tasks to Copilot coding agent from Slack and Teams to turn conversations into code. Copilot posts an update in your thread when it's finished.

Looks like MS really want to "give tips" about their new integrations.

edit: I think it's an ad too. Everyone would think so, except for MS.

plastic041, 7 hours ago

Російські удари по Києву зняли з космосу.

YouTube-канал AstronautiCAST опублікував таймлапс, знятий з борту Міжнародної космічної станції у ніч з 26 на 27 грудня. На компіляції кадрів з камери МКС видно проліт балістичних ракет і роботу ППО столиці та області.

Помітні як збиття ракет, так і влучання в Києві та біля Трипільської ТЕС. На останніх секундах відео — успішне перехоплення двох балістичних цілей.

Тієї ночі ворог атакував Україну десятьма балістичними ракетами (Іскандер-М/«Кінжал») та тридцятьма крилатими — Х-101, Іскандер-К, Х-22.

Джерело відео:
https://www.youtube.com/watch?v=m5VHETDtQ_M

Джерело кадрів:
https://eol.jsc.nasa.gov/

Підпишись | Монобаза

Кілька днів тому волонтери десь наволонтерили для нашого підвалу штук двадцять iPad 2. Колеги одразу оголосили ці п'ятнадцятирічні планшети з останнім оновленням системи років десять тому "цеглою". Я противник e-waste як явища в цілому і прихильник того, що будь-яка техніка заслуговує на другий шанс почав шукати їм застосування.

Одразу дійшов до думки, що було б прикольно використовувати їх як другий третій монітор з терміналом чи чатами, попри у свій вік вони досі відчуваються як преміальні девайси, особливо їхні дисплеї. Після джейлбрейку, який робиться одним кліком через вразливість у старому webkit я почав шукати, як це зробити. На жаль готових рішень від спільноти (а вона досі існує) я не знайшов. Наступні кілька годин були витрачені на спроби запустити застарілий пропрієтарний софт під саме цю задачу. Це було вкрай не весело і в результаті нічого з цього не вийшло.

Трішки засмучений цим ввечері після роботи я зробив те, що б зробив будь-який поважаючий себе програміст з критичним браком часу та недосипом - попросив у Claude навайбкодити простенький застосунок під iOS 9.3.5, який відкриватиме сокет, і по ньому з компа я буду стрімити картинку з віртуального дисплею. Десь за 15 хвилин у мене був робочий прототип, а за годинку повноцінне робоче рішення.

Презентую вам Fucky Wucky Display та сподіваюсь це надихне вас дати другий шанс, здавалось би, застарілій техніці, яка вже ні на що не здатна. Боже благослови розробників, які підтримують відкритий тулчейн для збірки під 10 річну систему, про яку всі забули.

https://github.com/volbil/fwdisplay

Re: DOOM Over DNS

To clarify, a good title would be "Loading Doom entirely from DNS records"

Neither one plays Doom over DNS nor is the first paragraph in the README correct, because DNS is only abused for storage, not for computing/processing/executing instructions:

> At some point, a reasonable person asked "DNS resolves names to IP addresses, what else can it do?" The answer, apparently, is run DOOM.

ktpsns, 20 hours ago

Re: Kagi Translate now supports LinkedIn Speak as an output language

This is very funny.

Middle verse of Gangsta's Paradise:

Reflecting on the current market landscape and the unique challenges of my professional journey.

Coming from a non-traditional background, I’ve had to pivot and align with high-performing teams to navigate complex environments. It’s easy to get distracted by the "noise," but I remain laser-focused on strategic growth and ROI.

I’m a lifelong learner with a growth mindset, keeping my eye on the prize while maintaining a competitive edge. I’m fully committed to my organization, and we prioritize high-stakes execution—so let’s keep the professional synergy positive.

In this fast-paced industry, agility is everything. I’m operating in a "do or die" climate where meeting KPIs is the only option. Looking at the current burn rate and market volatility, long-term forecasting is a challenge, but I’m staying resilient.

#GrowthMindset #Resilience #StrategicLeadership #MarketTrends #ProfessionalJourney

marginalia_nu, 7 hours ago

Re: Kagi Translate now supports LinkedIn Speak as an output language

Input: I am starting a new job at Google next Monday. I will work as a contractor cleaning toilets.

Output: I’m thrilled to announce that I’m starting a new chapter at Google this coming Monday! I’ll be joining the team as a specialized Environmental Maintenance Contractor, dedicated to optimizing facility hygiene and ensuring a world-class onsite experience. Grateful for this opportunity to contribute to such an innovative ecosystem! #NewBeginnings #GoogleLife #FacilitiesManagement #CareerUpdate

tkgally, 3 hours ago

Re: Kagi Translate now supports LinkedIn Speak as an output language

Input : I hope you die early

Output : Wishing you a swift transition to your next chapter.

Vipsy, 2 hours ago

Re: I built a demo of what AI chat will look like when it's "free" and ad-supported

We all know the pattern: something useful launches → it becomes popular → it needs to make money → ads everywhere.

AI chat is heading the same way. So I built a fully interactive demo that shows what an ad-supported AI chatbot could actually look like: https://99helpers.com/tools/ad-supported-chat

It includes every monetization pattern you can think of:

- Pre-chat interstitials (like YouTube pre-rolls, but for chat)
- Sponsored AI responses (the AI casually recommends products mid-answer)
- Freemium gates (5 free messages, then watch an ad to continue)
- Banner ads, sidebar ads, retargeting ads
- Sponsored suggestion chips ("Ask about BrainBoost Pro! ")

nickk81, 13 hours ago

Re: Google API keys weren't secrets, but then Gemini changed the rules

In Google AI Studio, Google documentation encourages to deploy vibecoded apps with an open proxy that allow equivalent AI billing abuse - giving the impression that the API key were secure because it is behind a proxy. Even an app with 0 AI features exposes dollars-per-query video models unless the key is manually scoped. Vulnerable apps (all apps deployed from AI Studio) are easily found by searching Google, Twitter or Hacker News. https://github.com/qudent/qudent.github.io/blob/master/_post...

qudent, 2 days ago