DL

В модулях памяти Corsair, G.Skill и Adata нашли уязвимость, через которую можно обходить защиту Windows Учёные из университетов Бирмингема и Дарема нашли способ обойти самые мощные средства защиты Windows без дополнительного оборудования. Атаку удалось провести только программными методами. Уязвимость связана с недостаточной защитой SPD-чипов на модулях оперативной памяти. Такие компоненты используют многие крупные производители. #microsoft #windows #уязвимость 📎Подробнее 🔖 3DNews в TG | MAX | VK

Недавно мы разобрали, что такое MCP-сервер и как подключить его к Cursor и Claude. Первый сервер обычно ставят, чтобы дать агенту доступ к файлам проекта, но это только начало. Через MCP агент может обновлять документацию, собирать структуру проекта, таблицы в базе или интерфейс из готовых компонентов. Сверху ещё заведет таски в трекере и напишет в мессенджер, когда закончит. В новом материале собрали 21 MCP-сервер по рабочим задачам и разобрали, что умеет каждый и когда пригодится: https://v.thecode.media/3rf1f Журнал «Код» | Промокод Практикума | Новости мира IT и технологий

Сотни поддельных VPN оккупировали каталог Chrome под видом популярных сервисов Желание сэкономить на обходе блокировок в очередной раз сыграло с доверчивыми юзерами злую шутку. Исследователи из компании Socket обнаружили в магазине расширений Google целую армию из семисот с лишком поддельных VPN и прокси, которые маскируются под топовые бренды вроде Proton, NordVPN или локальные сервисы «АнтиЗапрет» и «Амнезия VPN». Почти семьдесят пять тысяч человек скачали эти утилиты, искренне веря в собственную анонимность, а получили перенаправление всего браузерного трафика через чужие SOCKS5-серверы. Авторы схемы подошли к делу с циничным размахом. Код большинства пакетов принудительно заворачивает сетевой поток на фиксированный порт, давая владельцам инфраструктуры отличную точку наблюдения за посещаемыми сайтами и незашифрованными запросами. Создатели даже поленились полностью замести следы, оставив в исходниках подсказки на русском языке с указаниями по маскировке IP-адресов. Часть утилит просто имитировала бурную деятельность фальшивыми анимациями подключения либо продавала несуществующие премиум-сервера, а все ниточки в итоге тянулись к коммерческому проекту «Муха VPN», использующему дармовой трафик ради привлечения платящих клиентов. Факты говорят сами за себя: из 737 найденных расширений сотни оставались доступными в каталоге Google на момент проверки, продолжая собирать установки. Модерация магазина пропускает клоны с шаблонными отписками разработчиков, а пользователи добровольно отдают управление браузерным трафиком структуре, связанной с конкретным платным сервисом. #кибербезопасность #vpn #информационнаябезопасность @SecLabNews

Apple массово предупреждает пользователей об атаках шпионского ПО Если на девайс пришёл тревожный поп-ап с предупреждением, рекомендуется перевести устройство в режим блокировки и обратиться к специалистам по цифровой безопасности. Остальным пользователям компания также советует позаботиться о защите девайсов — включить двухфакторную аутентификацию, использовать сложные пароли и не переходить по незнакомым ссылкам. Apple сообщила, что массовая атака, вероятно, затронула пользователей не менее чем из 150 стран.  rozetked.me/news/47756

⚡️В сеть слили все данные клиентов фитнес-клуба DDX — пишет Baza. Фото со стоек регистрации, время посещений, количество визитов, данные о покупках и адреса клубов. Данные уже расползаются по даркнету. В DDX пока инфу не подтвердили. UPD: пресс-служба сообщила, что DDX проводит расследование и усиливает меры защиты данных своих клиентов. 🙂Не баг, а фича

ВЦИОМ: 45% пользователей считает, что люди перейдут с iPhone на Android Аналитики поделились любопытной статистикой: более половины опрошенных россиян не собираются брать iPhone из-за удаления российских приложений, а ещё почти половина полагает, что пользователи iOS уйдут на Android, где качать приложения куда проще. Больше цифр: rozetked.me/news/47728

🔑 Пасскеи научились красть — те, что «хоронили» пароли Unit 42 описали атаку Pass-ta-key — она рушит миф, будто пасскеи нельзя угнать с заражённого ПК. Облачные (синхронизируемые) ключи уязвимы: стилер на Windows крадет их в обход биометрии и PIN, без прав админа Три сценария: + Обход проверки: запросы по активной сессии, без ведома юзера + Silver: хакер тайно привязывает к вашему облаку свой ключ + Golden (самый жёсткий): из памяти Chrome достают мастер-ключ — им расшифровываются ВСЕ пасскеи разом, сменить его у Google нельзя Сам стандарт не сломан — проблема в механике синхронизации. От фишинга пасскеи по-прежнему защищают, но на зараженной машине это уже не «абсолютный» фактор Что делать: + Аппаратный ключ (YubiKey): привязан к устройству, не синхронизируется, из памяти не достать + Advanced Protection для VIP-учёток Google + Не держите все яйца в одной корзине: важное — на отдельный фактор + Стилеры — главный вектор: антивирус и контроль запуска софта @tomhunter Наш канал в MAX

⚡️ Личные данные 3/4 жителей Казахстана слили в Даркнет — СМИ. Виноват хакер shymzz13 — он выкатил на продажу данные 15 МЛН граждан страны, то есть 70% (!) от всего населения. В базе: паспортные данные, телефоны, почта, пароли, места работы и даже сканы доков. За такую инфу просят всего 0,5 биткоина (2,6 млн рублей). Со слов хакера, данные он достал через дыру в госпортале eGov — его юзеры уже имели дело со сливом личной инфы. 🙂 Не баг, а фича

GitHub забили халявными API-ключами GPT, Claude и других нейронок — вайбкодеры просто забывают их убрать из проектов. Чтобы найти, достаточно вбить в GitHub-поиск OPENAI_API_KEY, CLAUDE_API_KEY или похожую комбинацию и врубить поиск по содержанию кода. Спасибо, вайбкодеры. 🙂 Не баг, а фича

Банки начнут БЛОКИРОВАТЬ переводы из-за вирусов на смартфоне — с 1 марта 2027 года они будут отклонять операции, если найдут на вашем телефоне вредоносное ПО. Банк сообщит причину отказа, а провести перевод предложит с другого устройства или лично в отделении. Защиту встроят в банковские сервисы, а подключать дополнительные средства контроля непосредственно к смартфону будут только с согласия клиента. До 1 сентября 2027 года придется перезаключить договор. @exploitex

Чертежи Boeing 737 MAX и 787 с грифом экспортного контроля украл хакер-инкогнито и выставил всё на продажу в даркнете. За $200 тысяч предлагает собрать самолёт с нуля. По данным Mash, в украденном архиве 70 ГБ: рабочие чертежи, списки материалов с заводскими номерами деталей Boeing, объёмные модели сборочной оснастки и пошаговое описание техпроцесса. Данные утекли из Sekisui Aerospace — компания входит в японский концерн Sekisui Chemical и поставляет детали напрямую на программы 737 и 787. Из её композитов и термопластика делают части фюзеляжа, крыльев, лонжеронов и салона. Среди других заказчиков Spirit AeroSystems, Triumph Group и военные программы США. На каждом файле стоит гриф экспортного контроля. По американским правилам, такие данные нельзя вывозить из страны без отдельной лицензии, а в даркнете они доступны любому желающему, у которого есть деньги. ❗ Не грузятся фото и видео? Читайте нас в MAX