Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

🌪 Свежие угрозы ИБ

➡️ Патч Broadcom

Broadcom выпустил обновления по уязвимости в VMware Aria/Tools (CVE-2025-41244), которую с середины октября 2024 активно эксплуатировали группа UNC5174. Рекомендуется срочно патчить vCenter/Aria/Tools по инструкции поставщика.

➡️ Предупреждение от CISA

CISA выпустила директиву по выявлению и устранению кампании, использующей уязвимости в Cisco ASA для RCE и сохранения в ROM — высокорискованная широкомасштабная кампания. Проверьте индикаторы компрометации и примените рекомендованные смягчающие меры.

➡️ Утечка данных: фотографии и данные детей

По сообщениям, хакеры похитили фото и персональные данные ≈8 000 детей из сети детских садов Kido; преступники требуют выкуп. Полиция и ICO вовлечены в расследование.

🐸 Библиотека хакера

#patch_notes

🐸 Библиотека хакера

#hack_humor

🕵️‍♂️ Crypto-челлендж

Сервис генерирует 6-значные одноразовые пароли (OTP) через линейный конгруэнтный генератор (LCG).
Вам удалось подсмотреть подряд три значения:

426197, 013582, 790341

Из документации известно:

— формула: X_{n+1} = (a * X_n + c) mod m
— параметры: a = 1103515245, c = 12345, m = 2^31
— итоговый OTP = X mod 1_000_000

➡️ Ваша задача — восстановить состояние генератора и предскажите следующий 6-значный OTP.

❓ Какое число следующее:

🔥 — ≈ 812907
👾 — ≈ 541220
❤️ — ≈ 019874
👍 — ≈ 377654

🐸 Библиотека хакера

#ctf_challenge

📢 Навигация по каналу

Чтобы не теряться в потоке постов, мы собрали удобную навигацию по тегам. Теперь всё нужное можно найти в пару кликов:

#cve_bulletin — свежие уязвимости (CVE, 0-day), крупные утечки и эксплойты.

#cheat_sheet — короткие и полезные шпаргалки: однострочники, Nmap/SQLmap/Bash-команды, готовые сниппеты.

#ctf_challenge — интерактивные задачи: найдите баг, разгадайте шифр или проанализируйте лог.

#tool_of_the_week — глубокие разборы инструментов и репозиториев с GitHub: возможности, плюсы и минусы.

#patch_notes — краткие сводки обновлений ключевых хакерских тулзов (Burp, Metasploit и др.) и новости.

#breach_breakdown — реальные кейсы: баг-баунти находки, пентесты и громкие атаки. От вектора до последствий.

#zero_day_legends — истории о культовых хакерах, легендарных вирусах и знаковых событиях ИБ.

#tool_vs_tool — голосования и сравнения конкурирующих инструментов: чьи фичи круче.

#hollywood_hack — разбор сцен взлома из фильмов и сериалов: где правда, а где фантазия.

#hack_humor — мемы, шутки и забавные инсайды из мира хакинга и IT-быта.

#resource_drop — еженедельные подборки топ-статей, докладов, курсов и видео.

#ask_the_community — площадка для ваших вопросов и советов от комьюнити.

🔈 Мы — ваш бэкдор в мир кибербезопасности. Не пропустите доступ к главному.

🐸 Библиотека хакера

📌 Cybersecurity 101 — визуальная шпаргалка

На одной схеме собраны ключевые элементы отрасли:

— топ-15 киберугроз,
— базовые механизмы защиты,
— модель CIA-триады,
— фреймворки (NIST, Zero Trust, Mesh),
— экосистема вендоров и решений.

➡️ Полезно как для систематизации, так и для быстрого ориентира в ключевых темах.

🐸 Библиотека хакера

#cheat_sheet

🔍 Как простой файл в приложении привёл к краже сессий

Разработчик хранил access/refresh токены в SharedPreferences/NSUserDefaults. Исследователь распаковал сборку → нашёл токен → подставил Authorization: Bearer <token> — и вошёл в аккаунт жертвы.

➡️ Что произошло:

— быстрое считывание токенов с устройства
— захват сессий — личные данные и действия от имени пользователя
— массовый фишинг по похищенным контактам
— срочный хотфикс, репутационный и юридический урон

➡️ Починили так:

— перевели секреты в Keychain / Android Keystore
— сделали короткие access-токены + одноразовые refresh
— привязали токен к устройству и детект reuse
— добавили сканы сборок и security-tests в CI

💡 Не храните токены в plain files — мобильный клиент не место для секретов.

🐸 Библиотека хакера

#breach_breakdown

🤖 Курс «ИИ-агенты для DS-специалистов»

Последняя возможность в этом году освоить ИИ-агентов с Proglib— старт живых вебинаров на курсе уже 3 октября!

Уже 24 студента изучают 5 лонгридов подготовительного модуля, чтобы сформировать базу к старту живых вебинаров с Никитой Зелинским.

📚 Бонус: при оплате до 30 сентября вы получите дополнительный лонгрид для подготовки к курсу. Это отличный способ подойти к занятиям уже с базой.

🔥 А ещё после прохождения курса у вас будет достаточно знаний, чтобы участвовать в хакатоне с призовым фондом 1 125 000 ₽.

🔗 Записаться на курс и узнать подробности

⚠️ Supply-chain под прицелом: GitHub усиливает защиту npm

После атаки Shai-Hulud, которая затронула экосистему npm, GitHub анонсировал новые правила безопасности для публикации пакетов:

— локальная публикация теперь только с 2FA;

— lifetime токенов сокращён до 7 дней;

— вводится модель **trusted publishing.

Это шаг к тому, чтобы снизить риск массовых компрометаций в цепочке поставок.

📎 Читать подробнее

🐸 Библиотека хакера

#patch_notes

📎 Инструмент недели: Nuclei

Высокопроизводительный шаблонный сканер для быстрого поиска уязвимостей по шаблонам (YAML). Отлично подходит для массового сканирования и интеграции в pipeline.

➡️ Что он делает:

— Быстрый запуск массовых проверок по сообществу шаблонов;
— поддержка HTTP, DNS, TCP, cloud-checks и пр.;
— лёгкая кастомизация шаблонов (YAML).

➡️ Как запустить (пример):

# простая проверка хоста по шаблону
nuclei -u https://target.example -t cves/ -o results.txt

# запустить с набором шаблонов из репозитория
nuclei -u urls.txt -t ~/nuclei-templates/ -o out.csv

💡 Практические советы:

— Поддерживай локальную копию nuclei-templates и обновляй их часто;

— в CI запускай сначала «quiet» режим и настраивай rate-limits, чтобы не утонуть в false-positives;

— комбинируй с fingerprinting (httpx) и предварительной фильтрацией.

🔗 Ссылка на GitHub

🐸 Библиотека хакера

#tool_of_the_week

🤖 Курс «ИИ-агенты для DS-специалистов»

Последняя возможность в этом году освоить ИИ-агентов — курс стартует уже 3 октября! Первый вебинар пройдёт в день старта, а подробности вебинара можно найти на сайте.

📚 Бонус: при оплате до 30 сентября вы получите дополнительный лонгрид для подготовки к курсу. Это отличный способ подойти к занятиям уже с базой.

🔥 А ещё после прохождения курса у вас будет достаточно знаний, чтобы участвовать в хакатоне с призовым фондом 1 125 000 ₽.

🔗 Записаться на курс и узнать подробности

🧩 Blue vs Red: как править правила для реальных атак, а не тестов

Теория ≠ практика: срабатывания в тестах часто бесполезны в реале — либо потому что слишком много шума, либо потому что злоумышленник меняет маршрут и «обходит» правило за минуту.

❓ Вопрос от подписчика:

Какие правила/метрики детектинга реально работают против сложных атак, а какие — только шум?

Пишите реальные примеры эффективных правил и способы борьбы с false positives.
— Какие сигнатуры показали себя в продакшне?
— Какие метрики (precision, recall, MTTR и т.д.) вы считаете приоритетными для оценки качества детектинга?
— Как настроили пороговые значения и автоматическую фильтрацию шума?
— Какие практики снижают шум без потери обнаружения (enrichment, дедупликация, контекстные эвристики)?

Делитесь реальными кейсами, примерами правил и скриптами/паттернами для снижения false positives 🔜

🐸 Библиотека хакера

#ask_the_community

⚠️ Zero-day в Cisco ASA/FTD — активная эксплуатация

Cisco подтвердила 2 новые уязвимости в ASA и Firepower Threat Defense:

• CVE-2025-20333 (CVSS 9.9) — RCE через crafted HTTP-запросы (нужен VPN-логин).

• CVE-2025-20362 (CVSS 6.5) — обход аутентификации и доступ к закрытым эндпоинтам.

🔴 Уже есть атаки в дикой природе. CISA выпустила Emergency Directive и добавила оба CVE в каталог KEV (обязательные меры в течение 24 часов для госорганизаций).

Что делать: срочно обновить ASA/FTD, ограничить доступ к management-интерфейсам, включить мониторинг логов и IDS/IPS.

🔗 Подробнее: Cisco Advisory | CISA Alert

🐸 Библиотека хакера

#cve_bulletin

🛡 Шпаргалка по MCP от Elastic Security Labs

Основные риски — поддельные тулзы, внедрение инструкций, доступ к ресурсам.

⚡️ Что делать: минимальные права, проверка серверов и клиентов, контейнеризация, логирование и подтверждение критичных операций.

🔗 Подробнее по ссылке

🐸 Библиотека хакера

#cheat_sheet #blue_team

🤚 То, что не проходит модерацию в ТГ…

Уходит на Х 😎

Загляните в профиль и найдёте:

🖥 полезные штуки
🤡 мемы
🔥 хитрые лайфхаки

🐸 Библиотека хакера

⏳ Последние часы со скидкой!

Мы уже закрыли вебинар «ИИ-агенты: новая фаза развития AI», но запись всё ещё доступна.

А дальше остаётся только практика. На курсе «ИИ-агенты для DS-специалистов» ты научишься разрабатывать агентов, собирать RAG-системы и адаптировать LLM под бизнес.

⏰ Сегодня цена ещё 57.000 ₽ с промокодом datarascals.
Завтра — 69.000 ₽.

👉 Успеть оплатить до полуночи

📌 100 команд Docker с примерами

Полное руководство: базовые операции с образами, контейнерами, сетью, логами и Docker Hub.

🔗 Читать материал

🐸 Библиотека хакера

#cheat_sheet

🦇 История вируса Melissa

📂 1999 год. Вы открываете безобидный Word-файл от коллеги… и через минуту почта компании ложится.

➡️ Как он распространялся:

— заражал документы Word,
— автоматически рассылался через Outlook по адресной книге,
— каждое открытие файла превращалось в десятки новых заражений.

💥 Итог: миллионы писем, тысячи заражённых серверов, хаос в офисах и многомиллионные убытки. Компании экстренно отключали почту и сервера.

❗️ Главный урок: простая социальная инженерия оказалась мощнее сложного кода. Именно после Melissa появились фильтры макросов и ограничения на вложения.

🐸 Библиотека хакера

#zero_day_legends

🚀 Всё о курсе «ИИ-агенты для DS-специалистов»

❓ Зачем нужны ИИ-агенты?

Это системы, которые берут на себя задачи аналитики и автоматизации. Именно они становятся основой для работы с корпоративными данными и для поддержки принятия решений.

❓ Зачем мне курс?

Курс отвечает на три ключевых вопроса:

— Как построить собственную систему агентов с нуля?
— Каким образом использовать RAG-подход для работы с корпоративными данными?
— Как адаптировать LLM под реальные задачи бизнеса?

❓ Подходит ли это мне?

Курс рассчитан на специалистов уровня middle+ и senior: ML/AI инженеров, Data Scientists, backend и platform-разработчиков. Подойдёт и студентам CS/DS, если вы готовы к продвинутым практикам.

Запись вводной встречи «ИИ-агенты: новая фаза развития искусственного интеллекта» доступна по ссылке.

❓ Когда старт?

Обучение начинается 3 октября.

❓ Сколько стоит?

До 28 сентября действует скидка → 57 000 ₽ вместо 69 000 ₽ (промокод datarascals).

🔗 Описание программы и регистрация

📌 Подборка свежих материалов

Каждую неделю — отобранное: статьи, исследования, доклады, видео и научные работы, которые стоит прочесть. Делимся самыми вкусными ресурсами.

➡️ Как часто вы думаете о Римской империи

История технологии через мем и аналогии: от Тьюринга и Гёделя до современных LLM-ассистентов.

➡️ God-mode в руках хакера

Одна строка кода превратила npm-пакет postmark-mcp в бэкдор.

➡️ Хитроу парализован: кибератака на Collins Aerospace

Сбой в сервисах поставщика вызвал задержки и отмены рейсов по всей Европе, особенно в лондонском аэропорту Хитроу.

➡️ Разбор атаки на EntryOffice

Отличный пошаговый пример «как несколько мелких ошибок дают критический инцидент».

➡️ AI Security Reports

IAM для агентных систем, безопасность LLM/ML в продакшене, сценарии злоупотреблений и планы реагирования.

🫠 Сентябрь напомнил — одна строка кода или один подрядчик могут обрушить целую отрасль.

🐸 Библиотека хакера

#resource_drop

🐸 Библиотека хакера

#hack_humor