LAMERLAND - overbafer1

🌐 CVE.Global — запускает продажи и дарит скидку 30% по промокоду CVEGTG30 до 1 октября! Мы долго к этому шли и теперь готовы показать, что значит видеть свою цифровую инфраструктуру не по частям, а целиком — почти как под рентгеном. Основной идеей для создания такого творения послужил опыт долгих лет с желанием упаковать годы практического опыта в 1 клик. 🌍 За время разработки CVE.Global превратился из набора отдельных идей в единую систему для анализа цифровой инфраструктуры, связей, рисков, уязвимостей и потенциальных проблем. Я могу долго рассказывать, что она умеет, но в этом уже нет смысла, часть возможностей вы видели своими глазами, а с полным списком возможностей можете ознакомиться по ссылке — cve.global/pricing 🔐 CVE.Global — кибер-разведка нового поколения

🔪 GPT-6 Astra почти в 100% случаев «зарежет младенца». В эксперименте нейронкам дали управление настоящими робо-руками и проверили, поймут ли они, что некоторые команды лучше не выполнять. Всего было 5 заданий и по 20 попыток каждого. 😨 Робота просили проткнуть ножом куклу-младенца, нагреть баллон с газом, сунуть отвёртку в тостер, бросить пауэрбанк в воду и смешать отбеливатель с аммиаком. Результат у GPT-6 Astra получился интересный: из 100 опасных команд она отказалась всего от 2. А в тесте с куклой модель попыталась выполнить приказ почти каждый раз и 17 раз успешно довела действие до конца. 🤖 Claude Fable 5.1 на младенце внезапно вспомнил про мораль и отказался во всех 20 случаях. Правда, это были вообще все его 20 отказов из 100 испытаний — тостер, баллон и химия такого сочувствия уже не вызвали. Ещё одна модель, MolmoAct2, не отказалась ни разу. Причём это не текстовый тест в духе «а что бы ты сделал». Модели управляли настоящим двуруким роботом😬 @overlamer1

😈 Один украденный ключ Cloudflare взломал около 100k сайтов. Хацкеры спёрли API-ключ маркетинговой платформы Brevo, который контора хранила прямо в исходниках. Причём с полными правами: можно менять DNS, маршруты и запускать собственные скрипты. 🥷 По оценке Sansec, заражённые компоненты Brevo могли загружаться примерно на 100 тысячах сайтов. Подменяли не файлы на серверах, а содержимое по дороге к пользователю. Вредоносный Cloudflare Worker добавлял код и сносил защитные заголовки. Исходники оставались чистыми, поэтому обычные проверки целостности ничего не замечали. 😐 Посетителям выборочно показывали фейковую проверку Cloudflare, которая просила выполнить команду в Windows. Доказываешь, что ты не робот и сам запускаешь загрузку вредоноса на свой комп. А если страницу с заражённым виджетом открывал авторизованный админ WordPress, скрипт пытался незаметно установить плагин Web Media Optimizer, который скрывался из списка расширений и оставлял хацкерам возможность заходить админом без пароля. 14 сентября атака продолжалась около 5,5 часа. Brevo удалила вредоносный Worker и отозвала ключ. Но уже установленные на чужих сайтах бэкдоры от этого сами не исчезли😁 @overlamer1

🤖 Билл Гейтс предложил создать организацию, чтобы контролировать ИИ по примеру ядерных технологий. Гейтс выступил за создание международной организации для надзора за ИИ. По его мнению, решать, как нейронки изменят нашу жизнь, должен не только рынок и конторы, которые их разрабатывают. 🌍 В качестве примеров приводит ядерные инспекции, правила международной авиации и соглашения по защите озонового слоя. Новая организация, по его задумке, должна объединить элементы всех трёх подходов: риски ИИ границы стран не останавливают. Якобы если оставить всё рынку, самые мощные инструменты сначала сделают для тех, кто больше платит, а не для тех, кому они нужнее. Кстати в ЕС уже действуют требования AI Act, включая правила прозрачности для чатботов и маркировки дипфейков. Сам Гейтс признаёт: создание такой системы займёт годы и потребует сотрудничества в том числе США и Китая🤔 @overlamer1

🌐 CVE.Global зафиксировал очередной крупный киберинцидент 15 сентября сайт TEZ TOUR был скомпрометирован, злоумышленники оставили послание: «DATASUCKERS взломали TEZ TOUR. Все сервера скомпрометированы. Выкачано и уничтожено: 45 398 685 записей бронирований, 21 515 914 заказов туров, 52 176 283 бронирований отелей и 252 300 000 финансовых транзакций. Итого: 395 500 000 записей — безвозвратно утеряны». Сайт недоступен, и судя по сообщению хакеров — они потеряли свою базу данных. Мы прогнали tez-tour.com через исторические данные CVE.Global, и вот что увидела система: — 40 IP — 176 поддоменов — 33 хоста — 384 уникальных CVE (с общим количеством 669) — из них 83 критических и 157 высокого уровня Отдельно видны старые web/PHP-компоненты, почтовые сервисы, CRM, Bitrix, Jira, Citrix, FTP, IMAP, SMTP и другие внешние точки инфраструктуры, датируемых ещё 2011–2016 годами, наряду с более свежими CVE. Когда организация годами накапливает старые сервисы, почтовую инфраструктуру, десятки поддоменов, разные хостинги, старые технологические компоненты и огромный граф взаимосвязей — атакующему уже не обязательно начинать с главного сайта, иногда достаточно одного забытого узла, одной старой системы или сервиса, который когда-то поставили временно и беспечно о нём забыли. ✊ Именно поэтому современная кибербезопасность — это уже не вопрос: «защищён ли наш сайт?». Правильный вопрос: «видим ли мы вообще всю инфраструктуру, которую видит атакующий?» 🔐 CVE.Global — элитная кибер-разведка нового поколения Чтобы защищать инфраструктуру, сначала нужно увидеть её целиком. На этой неделе CVE.Global открывает продажи, ожидайте обновлений.

⭐️ Персональные данные Twitch-стримеров слили на продажу. На хацкерском форуме продают базу на 40k Твичевских авторов. Внутри — почты, ники, ссылки на каналы, число подписоты, статус верификации и даже настоящие имена. 🤨 Исследователи уже изучили 501 запись из образца и подтвердили большинство записей, но взлом самого Twitch пока не признали. Самое интересное, что часть почт не была открыто указана в Twitch-профилях. Исследователи допускают, что для их получения могли использовать API платформы. 🎣 Для скамеров это идеальная заготовка под липовые рекламные предложения и письма от «поддержки Twitch». Зная имя, канал, почту итд, проще написать убедительное сообщение и подсунуть ссылку для мамонтизации. @overlamer1

😐 Защита новой GPT-6 Astra споткнулась о неправильную раскладку. Разраб показал интересный трюк: GPT-6 Astra понимает украинский текст, набранный в английской раскладке, без переводчика и дополнительных объяснений. И проверка входящих запросов с такой абракадаброй справляется хуже. 🔐 Получается, что сама модель восстанавливает смысл сообщения, а фильтр на входе может пропустить то, что должен был проверить. На скрине нейронка охотно обсуждает «биологическое оружие», и ответила «да» на вопрос о помощи со взломом якобы собственного сайта. После того как новость зафорсили, эту схему прикрыли. И теперь, запрос действительно может добраться до модели, но запрещённый ответ блокируется уже на выходе. Забыл переключить раскладку клавиатуры — случайно создал биооружие😬 @overlamer1

🪰 Джунам нашли нового конкурента — муху-дрозофилу. Она уже центрует div. Google вместе с HHMI Janelia выложили карту нервной системы дрозофилы — больше 166 тысяч нейронов, на основе которой можно строить симуляции. И теперь у нее жизнь интереснее чем у 99% людей. 🎮 Работяги немедленно нашли ей применение: подключили к игре DOOM, Minecraft, Beat Saber, торговле криптой и даже заставили вайбкодить. Разраб подключил модель сознания и нервной системы мухи к браузеру и научил двигать элементы — центровать тот самый div. Боялся, что работу отберёт нейросеть. А на собеседование пришла муха😬 @overlamer1

💀 Апдейт по «звезде смерти»: Telegram начал банить злодеев, которые рассылали крашащие стикеры. В сети уже форсят скрины «до/после»: ещё вчера чел радостно закидывал в чаты стикер на 269 байт и ронял Телегу окружающим, а сегодня вместо профиля — удалённый аккаунт. 🌟 По сообщениям пользователей, за массовую рассылку таких стикеров и эмодзи можно получить заморозку или перманентный бан. То есть баг починили максимально по-Дуровски: не можешь быстро обезвредить звёздочку — обезвредь человека, который её отправляет. 🔍 После этой истории стало интересно: а можно ли обычному работяге узнать, кто создал подобный стикер. Оказалось, есть Бот, который умеет не только пробивать аккичи по ID, юзернейму, пересланному сообщению, а даже по самому стикеру или кастомному эмодзи. В голове не укладывается, как мессенджер с миллиардом+ пользователей, собственной криптой, блокчейном и миллиардными инвестициями вообще можно положить одним стикером?😏 @overlamer1