Hacker's TOYS

Apple экстренно обновила iOS: закрыта уязвимость, которую уже использовали для установки шпионского ПО.

11 февраля 2026 года Apple выпустила iOS 26.3. Обновление устраняет 39 уязвимостей, одна из которых уже эксплуатировалась в реальных атаках. Жертве не нужно было ничего нажимать: достаточно открыть вредоносную веб-страницу и устройство под контролем.

Обновление доступно для iPhone 11 и новее, а также iPad Pro (с 3-го поколения), iPad Air (с 3-го поколения), обычных iPad (с 8-го поколения) и iPad mini (с 5-го поколения).

Ключевая проблема CVE-2026-20700, ошибка в компоненте dyld (Dynamic Link Editor). Это системный загрузчик, который запускает каждое приложение на iPhone: подгружает библиотеки, проверяет права доступа, изолирует программы друг от друга.

Уязвимость позволяет злоумышленнику с доступом к записи в память выполнить произвольный код, фактически запустить что угодно в обход всех защитных механизмов iOS.

Apple прямо заявила: «Компании известно, что уязвимость могла использоваться в крайне изощрённой атаке против конкретных людей» на версиях iOS до 26-й.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Искусственный интеллект в поиске уязвимостей окончательно перешёл из разряда экспериментов в категорию рабочих инструментов, которые радикально ускоряют привычные процессы. Сегодня мы рассмотрим три проекта с открытым кодом, которые передают рутинные и аналитические задачи интеллектуальным агентам, позволяя специалистам сосредоточиться на сложных сценариях взлома.

Первым в списке идёт PentestAgent, развитая среда для управления группой ИИ-агентов при проведении внешнего тестирования на проникновение. Инструмент поддерживает три режима работы: от интерактивного помощника до полностью автономного «экипажа», где оркестратор распределяет задачи между специализированными модулями. Система использует «сценарии атаки» и механизм инъекции знаний, который позволяет агентам работать с актуальными базами уязвимостей и методологиями. Интеграция с привычными инструментами вроде Metasploit делает его полноценным цифровым напарником для красных команд и охотников за ошибками.

Проект Shannon от команды Keygraph, это полностью автономный ИИ-хакер, специализирующийся на веб-приложениях. Его главная особенность в том, что он не просто указывает на слабые места, а самостоятельно разрабатывает и запускает реальные эксплойты через встроенный браузер. Инструмент эффективно обходит авторизацию и сложные логин-формы, предоставляя в финальном отчёте не сухие оповещения, а готовые сценарии воспроизведения уязвимостей. Это превращает его в круглосуточную «красную команду», которая проверяет безопасность каждой сборки приложения ещё на этапе разработки.

Завершает подборку DorkAgent, интеллектуальный агент для автоматизации продвинутого поиска через Google (так называемого доркинга). В отличие от классических сканеров, этот инструмент использует языковые модели для генерации сложных поисковых запросов и анализа результатов. Он самостоятельно выявляет признаки утечки конфиденциальных данных или конфигурационные ошибки серверов среди огромного массива поисковой выдачи. Автоматизация этого процесса значительно повышает эффективность разведки и поиска векторов атак на начальных этапах исследования цели.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Владельцев аппаратных криптокошельков Trezor и Ledger атакуют через обычную почту. Мошенники рассылают бумажные письма с поддельными QR-кодами, конверт приходит домой, внутри фирменный бланк якобы от службы безопасности с требованием срочно пройти проверку. Жертва сканирует код, попадает на фейковый сайт и видит предупреждение: если не ввести seed-фразу, кошелёк заблокируют.

Адреса были скомпрометированы скорее всего после взломов 2020-2021 годов: у Ledger украли данные 270 тысяч покупателей, а у Trezor - 66 тысяч. Обе компании подчёркивают: они никогда не запрашивают seed-фразу ни на сайте, ни по почте, ни по email.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

В открытом доступе появился мощный инструмент для OSINT-специалистов Refloow Geo Forensics. Это полностью бесплатная утилита с открытым исходным кодом, которая автоматизирует извлечение скрытых данных из изображений.

Инструмент умеет автоматически находить GPS-координаты снимка и показывать место на Google Maps. Он вытягивает все доступные метаданные: модель камеры, дату съёмки, настройки объектива и информацию о программе, в которой редактировалось фото. Утилита работает сразу с целой папкой изображений, что экономит время при анализе больших массивов данных, и сохраняет все найденные данные в удобный текстовый файл.

Инструмент написан на Python. Достаточно указать путь к папке с фотографиями, и скрипт просканирует каждый файл. Если в метаданных есть GPS-координаты, он не только извлечёт их, но и сгенерирует прямую ссылку на карту. Это незаменимая вещь для расследований, когда нужно быстро понять, где были сделаны фотографии из утечки или соцсетей, если метаданные не были удалены платформой.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Представьте: за пару тысяч долларов в Telegram любой желающий может купить карманное АНБ. ZeroDayRAT, это настоящий хакерский Netflix в мире кибершпионажа, где через удобную панель управления вашу жизнь разбирают по винтикам. Инструмент уровня спецслужб теперь продается открыто, и купить его может кто угодно.

Функционал пугает абсолютной вседозволенность: софт включает камеру и микрофон в реальном времени, ворует пароли, читает переписки и опустошает криптокошельки, подменяя адреса при копировании. Двухфакторная аутентификация через SMS больше не спасает, коды перехватываются на лету. Заражение происходит мгновенно через фишинг в WhatsApp или SMS, и не надейтесь на новизну гаджета: заявлена поддержка Android до 16 и iOS до 26 версии, включая iPhone 17 Pro.

Жертвы уже зафиксированы в США и Индии, а завтра это может быть ваше устройство. Паранойя? Нет, это суровая реальность 2026 года. Ваш телефон больше вам не принадлежит. Один клик по ссылке и вся ваша цифровая личность в чужих руках. Проверяйте разрешения, отключайте SMS-подтверждения и ставьте мобильный EDR, пока не стало поздно.

P.S. Автор будет рад, если вы не купите этот софт, а накидаете 🔥

Hacker's TOYS

Выход первой беты Android 17 ждали ради нового уровня приватности, но реальность оказалась куда прозаичнее и опаснее. Пока маркетологи рассказывают нам про революционную защиту данных, под капотом системы обнаружилась критическая уязвимость LANDFALL, которая превращает ваш смартфон в шпионское устройство через одну-единственную картинку в WhatsApp. Самое страшное, что вам даже не нужно ничего нажимать, автоматическая обработка медиафайлов делает всю грязную работу за хакеров, открывая им доступ к микрофону и камере.

Ситуацию усугубляет и новый умный помощник. Google интегрировала Gemini так глубоко в систему, что теперь это не просто фича, а потенциальная уязвимость в юридической защите. Новое пользовательское соглашение фактически снимает с компании ответственность за любые действия ИИ, даже если он по ошибке сольет ваши личные данные или сделает скриншот в неподходящий момент.

👉 Читать полный разбор

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Вышла подробная статья «Цифровая криминалистика PDF: как найти скрытые данные и следы манипуляций». Если работаете с документами или безопасностью, стоит прочитать.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Air France взломали: в сеть утекли данные 2 миллионов человек. На darkforums появилось объявление о продаже доступа к внутренним системам французского авиаперевозчика. Юзер под ником GordonFreeman утверждает, что обнаружил критическую уязвимость в административной панели сайта, которая позволяет беспрепятственно выкачивать информацию о клиентах компании.

Судя по опубликованным доказательствам, утечка выглядит масштабной и крайне необычной. В руках хакера оказался странная смесь из данных участников программы лояльности Flying Blue и подробных анкет людей, которые когда-либо пытались устроиться на работу в авиакомпанию. В одной базе смешались номера бонусных карт, личные фотографии, резюме соискателей, даты собеседований и даже оценки уровня владения английским языком.

Вероятно, уязвимость находится где-то на стыке кадрового портала и основной клиентской базы данных.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Владелец одного из крупнейших теневых рынков Incognito Market, известный под ником Фараон, получил тридцать лет тюрьмы. За этим псевдонимом скрывался 24-летний Руи-Сян Лин, который всего за несколько лет построил наркоимперию с оборотом более ста миллионов долларов.

Управляя поставками тонн запрещенных веществ по всему миру, он умудрялся вести двойную жизнь: находясь на Сент-Люсии, наркобарон проводил официальные тренинги для местной полиции, обучая офицеров борьбе с киберпреступностью и отмыванием денег. Но за фасадом эксперта скрывалась продажа смертельно опасных подделок лекарств, что привело к гибели людей.

Финал площадки оказался под стать её циничному владельцу. Закрывая проект, Лин не просто присвоил деньги клиентов, но и напоследок решил заработать на шантаже, угрожая опубликовать историю покупок всех пользователей. Теперь ему предстоит провести полжизни за решеткой и расстаться со всеми активами, а судья назвала это дело самым серьезным наркопреступлением в своей многолетней карьере.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Испанское правительство решило радикально изменить правила игры в сети, анонсировав пакет законов под лозунгом защиты граждан. Павел Дуров отреагировал мгновенно: по мнению основателя Telegram, инициатива Педро Санчеса, это не забота о безопасности, а прямой путь к государственной цензуре и цифровому надзору.

Под предлогом защиты детей власти вводят обязательную проверку возраста, что на практике означает конец анонимности: платформам придется собирать паспортные данные и биометрию всех пользователей без исключения. Ситуация усугубляется угрозой реальных тюремных сроков для топ-менеджеров компаний. Дуров уверен, что страх уголовного преследования заставит модераторов перестраховываться и удалять любой спорный контент, включая неудобные журналистские расследования и критику власти.

Кроме того, государство намерено вмешиваться в работу алгоритмов и следить за «поляризацией мнений», что легко может превратиться в механизм зачистки политических оппонентов. Павел Дуров заверил, что Telegram останется верен принципам сквозного шифрования и независимости, призвав пользователей сопротивляться давлению, пока свободный доступ к информации не был уничтожен окончательно.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Российская хакерская группировка APT28, поставила рекорд скорости. Всего через три дня после того, как Microsoft закрыла уязвимость CVE-2026-21509 в Office, хакеры уже использовали эту уязвимость для реальных атак. Под удар попали государственные структуры Украины, Словакии и Румынии.

Группировка действует хитро: они рассылают документы, замаскированные под официальные сводки погоды или международные консультации. Главная особенность этой атаки в том, что пользователю даже не нужно разрешать выполнение макросов, вредоносная программа запускается сама, используя ошибку в механизме вставки объектов.

После заражения, пк превращается в шпионский инструмент. В одном сценарии бэкдор скрытно пересылает содержимое почтового ящика жертвы на сервера взломщиков, а в другом, дает им полный контроль над системой, маскируя свой трафик под работу обычного облачного хранилища. Специалисты отмечают, что атака работает избирательно и загружает вредонос только в том случае, если запрос приходит из целевого региона.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

В работе любого исследователя наступает момент, когда ручной поиск информации становится слишком долгим и неэффективным. Подобрал для вас три инструмента, которые берут на себя самую кропотливую часть сбора данных из открытых источников.

Для глубокого изучения веб-ресурсов отлично подойдет WebSift. Этот инструмент работает как цифровое сито: он анализирует структуру сайта, находит скрытые файлы, забытые резервные копии и служебные директории, которые администраторы по неосторожности оставили доступными. Это позволяет составить полную карту целевого ресурса еще на этапе разведки.

Если же ваша задача смещается с технической части на человеческий фактор, стоит обратить внимание на EmploLeaks. Инструмет специализируется на поиске информации о сотрудниках конкретной организации. Она помогает выявить цепочки корпоративных адресов электронной почты и проверить их наличие в базах утечек, позволяя оценить риски проникновения через сотрудников.

Замыкает эту подборку CreepyCrawler. Это дотошный поисковый робот для сбора контактов. Вместо того чтобы вручную просматривать сотни страниц в поисках связей, вы запускаете этот сканер, и он методично обходит указанные сайты, извлекая адреса электронной почты, ссылки на социальные сети и геолокационные метки.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Notepad++ пережил выборочную supply chain атаку на обновления. По разбору автора проекта, кампания длилась с июня по декабрь 2025: злоумышленники не ломали сам редактор, они скомпрометировали хостинг, где лежал notepad-plus-plus.org, и для части пользователей перехватывали запросы обновления, перенаправляя их на свои серверы с зараженными сборками.

2 сентября 2025 провайдер обновил ядро и прошивку, и атакующие потеряли прямой доступ к серверу, но продолжили операцию за счет украденных учетных данных внутренних сервисов. Окончательно историю остановили 2 декабря 2025, когда провайдер сменил все учетные данные и перенес клиентов на новый сервер. Провайдер отдельно отмечал, что домен Notepad++ искали целенаправленно, другие сайты на том же сервере не трогали. Независимые исследователи связывают атаку с китайской группой, поддерживаемой государством.

В версии 8.8.9 модуль обновления WinGup получил проверку цифровой подписи и сертификата загружаемых файлов, плюс подписываются XML-ответы сервера обновлений (XMLDSig). В версии 8.9.2 проверка подписи станет обязательной, без нее обновление не установится.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Два громких сюжета за неделю, которые показывают, как выглядит современная кража данных. Тут не про «сломали пароль», а про промышленные масштабы.

Nike проверяет заявление вымогателей WorldLeaks. Группа утверждает, что вытащила 1,4 ТБ внутренних файлов и выложила образцы. По описанию и названиям директорий это больше похоже на материалы по дизайну и производственным процессам, а не на клиентские базы. Nike факт утечки не подтверждает, но говорит, что расследует. Даже без данных покупателей такая история опасна: внутренние документы, обучение фабрик и процессы производства это подарок для серого рынка и контрафакта.

Исследователь Джеремайя Фаулер из Security Discovery, нашел в открытом доступе облачную базу на 149,4 млн логинов и паролей, объем около 96 ГБ. Без пароля, без шифрования, просто лежит и открывается в браузере. Внутри, по его данным, доступы к Gmail, Facebook, Instagram, Netflix, финансовым сервисам, встречаются и .gov домены. Структура была сделана “под работу”: логин, пароль и прямые URL для входа, то есть удобно для автоматизированных попыток входа.

И в обоих случаях ущерб может появиться не в момент утечки, а позже, когда данные начнут гулять и превращаться в атаки, подделки и точечный фишинг.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Попался интересный инструмент для тех, кто делает пентест в закрытых контурах и не может тащить логи и отчеты в облако. Разработчик под ником Glass-Ant-6041 выложил Syd, локального ИИ-помощника, который работает прямо на вашем пк и, по заявлению автора, не отправляет данные во внешние сервисы.

Syd умеет разбирать результаты популярных утилит и превращать их в удобный контекст для вопросов человеческим языком. Сейчас заявлена поддержка BloodHound и Nmap, а Volatility 3 для анализа дампов памяти еще в разработке. Внутри стоит открытая модель Qwen 2.5 14B, приложение на Python, работает на Windows, macOS и Linux. Минимум по железу примерно 16 ГБ оперативной памяти, видеокарта не обязательна.

Самая полезная заявленная фича это слой проверки, который должен отсекать выдуманные ответы. Если модель ссылается на пользователя, хост или CVE, которых нет в загруженных данных, ответ отклоняется и объясняется почему.

Проект пока небольшой, автор говорит о примерно 60 скачиваниях с GitHub, но сама идея важная: ИИ-помощник, который помогает анализировать данные в изолированных сетях, не вынося их наружу.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

В Web3 снова пошла волна атак через фейковые приложения для созвонов. Группировку Crazy Evil связывают с поддельными сервисами Meeten, Meetio и Meetone. Сценарий будничный: вам пишут в Telegram, LinkedIn или X, предлагают работу или партнерство, зовут на короткий звонок и дают ссылку на установку. По данным Recorded Future и Darktrace, таким способом уже украли больше $5 млн, и кампания продолжается.

Неприятная деталь: вредонос может сработать еще до установки. На поддельных сайтах находили скрипт, который пытается вытащить крипту прямо из браузера. А если человек запускает скачанный файл, на компьютер попадает инфостилер Realst. Он собирает данные из браузеров и пытается добраться до кошельков и расширений, включая Phantom, а также следов использования Ledger и Trezor. Дальше деньги либо выводят напрямую, либо включают ледяной фишинг: убеждают подписать транзакцию, которая выглядит нормальной, но на деле дает злоумышленнику право управлять активами через смарт-контракт.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

LastPass предупредила о новой волне фишинга, которая маскируется под письма сервиса и пытается выманить мастер-пароль. Рассылка, по данным компании, началась примерно 19 января 2026 года и давит на классический триггер: у вас есть 24 часа, чтобы сделать локальную резервную копию хранилища перед якобы техническими работами.

Письма приходят не с LastPass. В предупреждении фигурируют адреса вроде support@sr22vegas.com и support@lastpass.server3/7/8. Дальше жертву ведут через ссылку на объект в Amazon S3 (group-content-gen2.s3.eu-west-3.amazonaws.com/5yaVgx51ZzGf) с редиректом на mail-lastpass.com. LastPass отдельно отмечает, что кампания стартовала в праздничные выходные в США, когда реакция на инциденты обычно медленнее.

LastPass никогда не просит мастер-пароль по почте и не ставит ультиматумы по времени. Подозрительные письма компания просит пересылать на abuse@lastpass.com. Если нужно зайти в хранилище, открывайте приложение или свою закладку, а не ссылки из письма.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

Исследователи из KU Leuven нашли критическую уязвимость в Google Fast Pair. Ей присвоили номер CVE-2025-36911 и название WhisperPair. Под ударом оказались сотни миллионов беспроводных наушников и колонок от Google, Jabra, JBL, Logitech, Marshall, Nothing, OnePlus, Sony, Soundcore и Xiaomi. Проблема сидит в самих аксессуарах, а не в телефонах. То есть рискуют все, у кого Android или iPhone, если рядом у кого-то есть устройство для атаки.

Суть уязвимость простая и обидная. Fast Pair должен игнорировать запросы, если наушники или колонка не находятся в режиме сопряжения. Это прямо написано в спецификации: Если аксессуар не находится в режиме сопряжения, он должен игнорировать такие сообщения. Но часть производителей этот шаг не реализовала. В результате атакующий может инициировать подключение и перехватить устройство даже тогда, когда вы ничего не нажимали и аксессуар уже подключен к вашему телефону.

Атаку можно провести с обычного Bluetooth-устройства, ноутбука или Raspberry Pi. Дальность до 14 метров, типичная скорость 10-15 секунд, без физического доступа и без общения с жертвой. Один из исследователей сформулировал это максимально прямолинейно: Вы идёте по улице в наушниках, слушаете музыку. Менее чем за 15 секунд мы перехватываем ваше устройство. Дальше я могу включить микрофон и слушать всё, что происходит вокруг вас, подменять звук или отслеживать, где вы находитесь.

Единственная реальная защита здесь это обновления прошивки на самих наушниках и колонках. Google работал с производителями около 150 дней, но патчи есть не у всех. Отключение Fast Pair на телефоне не спасает, потому что уязвимость живет в аксессуаре. Если у вас есть устройства с Fast Pair, имеет смысл проверить сайт производителя на наличие прошивки и не считать Bluetooth-наушники безопасной мелочью, пока они не обновлены.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

На теневых площадках снова шум вокруг мессенджера MAX. Пользователь под ником CamelliaBtw утверждает, что получил полный контроль над инфраструктурой сервиса и вынес пользовательские данные. Подают это как символический удар ровно через год после запуска, с явным намеком на прежний маркетинг про Telegram убийцу и новую эру приватности.

Это заявление , а не подтвержденный инцидент от компании или независимых исследователей. Но детали у него слишком конкретные, чтобы просто отмахнуться. CamelliaBtw говорит о массиве примерно в 15.4 миллиона записей, где якобы есть полные имена, никнеймы и подтвержденные номера телефонов. Отдельно заявляет о валидных токенах сессий, которые могут дать захват аккаунтов без классического ввода кода и, по его словам, с обходом 2FA. Там же упоминаются Bcrypt-хэши паролей.

Дальше в заявлении фигурируют логи коммуникаций с временными метками и идентификаторами отправителя и получателя, внутренние SSH-ключи, документация по API, конфигурации AWS S3 и незашифрованные медиа-ассеты. Самое тяжелое обвинение это доступ к исходникам бэкенда и к проприетарному модулю шифрования, где якобы есть захардкоженные бэкдоры. Вход описывают как 0-day RCE в движке обработки медиа с внедрением нагрузки через метадату стикерпаков. По таймлайну автор пишет, что копал систему 12 месяцев, а уязвимость существовала еще с беты начала 2025 и не была исправлена.

Есть и давление на публику: CamelliaBtw обещает разослать первые 5 ГБ сырого SQL на 10 публичных торрент-трекеров в течение 24 часов, плюс намекает, что в базе есть верифицированные аккаунты известных политиков и корпоративных руководителей.

Это уже второе громкое заявление о компрометации MAX. В октябре 2025 Titusko25357 говорил о 46.2 миллиона записей, но компания тогда назвала данные фейком и не связанными с реальной инфраструктурой. Сейчас заявления другие и технически плотнее, но пока нет публичного ответа MAX, это остается неподтвержденной историей. Игнорировать ее при этом сложно, потому что комбинация телефонов, логов и токенов это идеальная почва для фишинга и угонов, если хотя бы часть сказанного окажется правдой.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS

13 января аналитики Dark Web Informer заметили показательный лот на теневой площадке. Продавец начального доступа под ником powder12 продает полный административный доступ к серверу американской компании, которая оказывает налоговые услуги. Цена вопроса всего $3 000. За эти деньги покупатель получает ключи к данным тысяч людей.

Судя по описанию, цель это публичный сайт и клиентский портал для ведения налоговых дел, Tax Case Management. Компания на рынке больше 15 лет, а значит на сервере может лежать большой архив документов. Портал используется для сбора информации о клиентах и их семьях, общения с консультантами и подготовки налоговых деклараций.

Внутри, по словам продавца, хранится то, что идеально подходит для кражи личности: SSN, записи о доходах, адреса, анкеты и подтверждающие файлы. То есть не просто контакты, а полноценное досье, которое потом можно монетизировать десятком способов.

По технике продавец обещает root SSH access, самый высокий уровень прав в системе, плюс вариант доступа через VNC. Сам powder12 честно пишет, что базу глубоко не изучал и отдает как есть.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS