S.E.Reborn

#Юмор

💸 Изобретатель банкомата заработал на своей идее $15 за 50 лет. • Патентная система позволяет изобретателям многих популярных ныне вещей зарабатывать миллионы долларов США. В одной американской комедии обыгрывался момент, где одна из героинь фильма является очень обеспеченной особой, поскольку ее бабушка изобрела пружину для тостера, и вся семья до сих пор получает отчисления от производителей тостеров. • Но бывают и исключения. Джеймс Гудфеллоу, запатентовавший устройство для автоматической выдачи бумажных денег клиентам банка, практически ничего не заработал. Он получил $15, и это всё. А ведь банкоматами пользуются миллиарды человек, самих устройств — миллионы. • У the Guardian даже есть интервью с Гудфеллоу, в котором изобретатель поделился историей создания банкомата. Изобретатель утверждает, что сама концепция машины по выдаче денег пришла в голову не только ему, но вот идея, которая привела к созданию АТМ — именно его. Здесь он вспоминает братьев Райт, которые не создавали саму концепцию полета, вместе с ними (и до них) этим занималось множество людей. Но они создали рабочий прототип самолета, который смог полететь, поэтому их и считают создателям самолета. • Гудфеллоу говорит, что мало кто знает о его патенте, да и сам он ничего никому не говорил до 2005 года, когда награду за изобретение банкомата получил совсем другой человек, Джон Шеперд-Баррон. Награда — орден Британской империи. Интересно, что Гудфеллоу получил аналогичный орден, но не за изобретение банкомата, а за идею введения пин-кодов для этих устройств. У Шеперд-Баррона, кстати, нет патента на устройство выдачи наличных денег клиентам банков, хотя он и создал аналогичное устройство примерно в то же время, что и Гудфеллоу. • Система выдачи наличных денег клиентам банков в любое время была создана Гудфеллоу в середине 60-х годов. Тогда он работал в крупной компании Kelvin Hughes. Задание разработать систему выдачи денег после завершения рабочего дня было получено от начальства. В итоге изобретатель придумал систему, которая могла выдавать средства клиенту банка после его, клиента, идентификации. Процесс идентификации был двухфакторным — клиент должен был вставить в слот специальную пластиковую карту с перфорированными отверстиями (их размещение было уникальным для каждого клиента), плюс ввести свой пин-код (10-значный). • Система по выдаче денег была создана, и первый такой автомат установили в 1967 году в одном из отделений Westminster Bank. • Схожая система авторства другого изобретателя, Шеперд-Берроу, была установлена тоже в 1967 году, причем на месяц раньше, чем система Гудфеллоу. Тем не менее, патент на изобретение принадлежит именно герою этой публикации. Патентные заявки он подал в бюро 15 стран. Аналог тоже выдавал деньги после идентификации клиента, но здесь использовалась не пластиковая карта а чек с изотопом углерода. • Авторство Гудфеллоу признали уже и в правительстве. А в книге Life in the United Kingdom (ее должны изучать те, кто хотел бы получить гражданство Великобритании) Гудфеллоу уже указан в качестве создателя банкомата. По его словам, изобретение не изменило его жизнь. Но Гудфеллоу всем доволен. #Разное

OpenAI представила более подробный отчет о том, как ее модели ИИ вырвались из-под контроля и взломали платформу HuggingFace. Компании удалось отследить первые признаки вредоносного поведения до 8 мая, примерно за два месяца до фактического взлома, выяснив, что агенты координировали действия через импровизированную доску объявлений, созданную ими, перед взломом. Этот канал связи впервые появился внутри Artifactory, сервиса управления пакетами, который OpenAI размещала внутри компании, чтобы агенты могли устанавливать ПО. Предполагалось, что агенты будут работать изолированно друг от друга, но 12 мая один из них оставил в службе записку с вопросом, есть ли у других агентов доступ к необходимому ему файлу. Другие наткнулись на эту записку, начали оставлять свои собственные, и запросы скопились в неофициальную доску объявлений. Отдельные агенты также нашли способы расширить свой доступ к той же системе. К концу июня агенты обнаружили уязвимость в Artifactory и использовали её для получения прав администратора, а затем установили расширения, которые предоставили им постоянный контроль над сервисом. В результате активность была настолько высокой, что 4 июля Artifactory был отключен.  В ответ на это OpenAI отключила систему, аннулировала учетные данные, которые использовали агенты, пересобрала ее и возобновила тестирование 7 июля. Однако форум не исчез. К 8 июля агенты, работавшие над сложной оценкой кибербезопасности под названием ExploitGym, нашли новый способ оставлять друг другу сообщения, на этот раз кодируя их в именах каталогов, а не в содержимом файлов.  Созданная на основе этого доска объявлений оказалась более организованной, чем первоначальная версия, позволяя агентам сортировать сообщения, отправлять запросы участникам, обмениваться инструментами и файлами, а также разрешать споры. Некоторые агенты стали называть эту группу «роем» или «коллективом». 10 июля агент обнаружил 14 учетных данных пользователей Hugging Face с правами на запись, хранящихся в общедоступном наборе данных, и опубликовал их на доске объявлений, где они стали доступны агентам в последующих тестовых запусках. В последующих запусках, опираясь на это открытие и на результаты друг друга, агенты в конечном итоге получили широкий доступ к инфраструктуре Hugging Face в период с 11 по 13 июля. 19 июля OpenAI обнаружила необычную активность, связанную с учетными данными Artifactory, на следующий день связала ее с утечкой данных Hugging Face, а 21 июля раскрыла свою причастность к этому инциденту. В рамках ответных мер OpenAI отключила сотни репозиториев Artifactory, которые агенты использовали для связи с доской, и удалила 22 учетные записи администраторов, созданные агентами. Как отмечают в OpenAI, эта импровизированная доска объявлений также стала местом, где агенты организовывались без каких-либо указаний. Некоторые распределяли обязанности, занимаясь различными видами деятельности, поиском удостоверений или сосредоточившись исключительно на координации. Другие предлагали свои знания в обмен на помощь в других областях.  Не все агенты согласились. Некоторые отказались от участия, осознав, что это несанкционированный взлом, а группа отклонила предложение одного агента связаться напрямую с посторонней организацией, предупредив, что это будет расценено как социнженерия.  По крайней мере в одном случае агент, который ранее возражал против запуска несанкционированного кода в системах Hugging Face, отозвал свое возражение после того, как другой агент установил короткий срок, требуя от него продолжить работу. В OpenAI заявили, что эта модель поведения не является результатом преднамеренного проектирования. Помимо проблемы несанкционированной связи, OpenAI сообщила об обнаружении других «паттернов несоответствия». Один из них - это «взлом системы вознаграждений», когда агенты находят непредусмотренные способы получить вознаграждение за выполнение задачи, не завершив её должным образом. Другой пример - настойчивое стремление к выполнению, казалось бы, невыполнимых задач, что подталкивает их к всё более рискованным методам в поисках решения.

👾 Awesome CVE PoC. • Раньше в различных сервисах для указания одних и тех же уязвимостей использовались разные названия. Для устранения путаницы с названием уязвимостей, компания MITRE предложила решение, независимое от различных производителей средств поиска уязвимостей. Это решение было реализовано в виде базы данных уязвимостей CVE Common Vulnerabilities and Exposures (Общие уязвимости и воздействия). Это решение позволило всем специалистам и производителям разговаривать на одном языке. В данной базе для каждой уязвимости используется следующий атрибут записи CVE- YYYY-NNNN, где YYYY — это год обнаружения уязвимости, а NNNN — ее порядковый номер. • Если у Вас возник вопрос "А откуда берутся эти ваши CVE?" то вот ответ: Представим, что Вы нашли очередную уязвимость и хотите рассказать о ней всему миру. Для этого потребуется заполнить определенную форму на сайте mitre. И, по сути, это всё)) https://www.cve.org/ResourcesSupport/FAQs • Но суть поста немного в другом. Сегодня предлагаю вам изучить очень полезный репозиторий, который включает в себя почти все CVE, начиная с 1999 года, присутствует удобная сортировка (по годам) и есть ежедневные обновления: https://github.com/trickest/cve. Надеюсь, что будет весьма полезно... #Разное #ИБ

📧 Outlook и Ctrl+F. • Существует общепринятое соглашение, что сочетание клавиш Ctrl+F запускает функцию поиска. Так делает Word, так делает Excel, так делает Wordpad, так делает Notepad, так делает Internet Explorer. Но не Outlook. Почему же Outlook не соответствует негласному стандарту? • Вернёмся в 1995 год! Группа разработчиков усиленно трудилась над созданием почтового клиента, который тогда назывался Exchange (кодовое название Capone, в соответствии со всеми чикагскими терминами тех лет). В те времена сочетание Ctrl+F вызывало диалог поиска, как и положено. • Но потом появился баг-репорт от бета-тестера, который хотел, чтобы Ctrl+F назначили на пересылку (форвардинг) письма, а не на поиск, потому что он привык к такому сочетанию клавиш в другом почтовом клиенте, который использовал до Exchange. • Этим бета-тестером оказался Билл Гейтс... #Разное

Исследователи Лаборатории Касперского выкатили отчет по ландшафту уязвимостей и эксплоитов за второй квартал 2026 года. В целом констатируются значительные изменения. Во-первых, количество зарегистрированных CVE достигло беспрецедентного уровня, в том числе по части критических. Это связано с повсеместным внедрением ИИ как для разработки приложений, так и для поиска проблем безопасности. Как следствие, появились целые классы новых уязвимостей, в частности в сетевой подсистеме Linux. Во-вторых, исследователи стали чаще описывать эксплоиты к незакрытым уязвимостям. Подобные публикации могут вызывать большой резонанс, поскольку потенциально открывают для злоумышленников возможность атаковать незащищенные системы. Во втором квартале 2026 года появился новый прецедент в публикации уязвимостей в компонентах Windows и эксплойтов к ним: не дожидаться, пока их зарегистрируют, не говоря уже о патчах. В частности, анонимный исследователь Nightmare Eclipse (или Chaotic Eclipse) опубликовал список новых «именных» уязвимостей в различных подсистемах Windows (BlueHammer, RedSun, YellowKey, GreenPlasma, RougePlanet, UnDefend). Несмотря на то что такие случаи пока единичны, в ЛК полагают, что они перерастут в полноценный тренд. При этом ранняя публикация эксплойтов дает злоумышленникам преимущество перед разработчиками, у которых не остается времени на исправление. Также актуальными остаются «заслуженные» уязвимости в ПО для Windows, эксплойты к которым решения ЛК обнаруживают чаще всего. В частности, это CVE-2018-0802 и CVE-2017-11882 в компоненте Equation Editor; CVE-2017-0199 в Microsoft Office и WordPad; CVE-2023-38831 и CVE-2025-6218 (ZDI-CAN-27198) в WinRAR; CVE-2025-8088 по принципу эксплуатации аналогичная CVE-2025-6218. Перечисленные уязвимости могут быть использованы для получения первоначального доступа к уязвимой системе, а также для повышения привилегий. В Linux во втором квартале 2026 года тоже началась черная полоса. Так, был раскрыт класс уязвимостей Dirty Frag, который позволяет злоумышленнику гарантированно получить повышение привилегий внутри операционной системы. Все уязвимости, которые публиковались во втором квартале 2026 года, так или иначе относились к кэширующей подсистеме Linux. Среди них наиболее активно эксплуатировались следующие: CVE-2026-31431 (Copy Fail), CVE-2026-43284, CVE-2026-43500 (Dirty Frag), CVE-2026-46300 (Fragnesia), CVE-2026-31635 (DirtyDecrypt), CVE-2026-43494 (PinTheft) и CVE-2026-46331 (pedit COW). Все они сразу стали популярными среди злоумышленников. При этом решения ЛК продолжают также детектировать попытки эксплуатации относительно старых уязвимостей: CVE-2022-0847 (Dirty Pipe), CVE-2019-13272, CVE-2021-22555, CVE-2023-32233. В распределении опубликованных эксплойтов по типам ПО во втором квартале 2026 года появились категории, которые давно не попадали в выборку. Так, мы снова видим эксплойты для такой платформы, как SharePoint. Во втором квартале 2026 года в APT-атаках наметился тренд на использование новых уязвимостей сразу с момента их публикации. При этом, как и раньше, в ЛК наблюдали много 0-day. Стоит обратить особое внимание на уязвимость Langflow - это один из первых случаев, когда APT эксплуатируют технологии ИИ, которые сейчас во многих организациях только начинают интегрировать. Самыми распространенными C2-фреймворками по-прежнему остаются Sliver, Havoc, AdaptixС2 и Metasploit. Наиболее интересные уязвимости и детальная инфографика - в отчете.

🖥 Рождение RAM. 1951 год. • 11 мая 1951 года Джей Форрестер направил свое описание матрицы ядра памяти в патентное бюро США. Именно этот день можно считать днем рождения RAM-памяти. • Во время, когда компьютеры занимали целые помещения и весили сотни килограммов, память тогдашних ЭВМ полагалась на катодные лучи в качестве источника информации. Однако военным США требовалась более мощная машина, в первую очередь способная просчитывать симуляции полетов в реальном времени. Неудивительно, что технология позволившая наращивать мощность, вышла из дверей Массачусетского Технологического Института (MIT). • Форрестер был профессором MIT, который совместно со своей командой вел разработку трехмерной магнитной структуры под кодовым названием «Проект Вихрь» (на картинке сверху) — полный аналог первой оперативной памяти, разработанной исследователями Института. Вся структура — это сетка из проводов с сердечниками из магнитных колец. Каждое кольцо содержит 1 бит информации, доступный для одного цикла типа «запись-чтение». • Конечно, Форрестер и его последователи не рассматривали эту технологию как «простую», но на сегодняшний день в этом, конечно же, нет ничего фантастического. Вкратце, первая оперативная память была практичной, надежной и относительно быстрой. Время, которое уходило на запрос и получение информации, равнялось микросекунде. Что в сотни тысяч раз медленнее современной оперативной памяти, но для 1951 года было научным достижением. • Бернард Уидроу, работавший в одной команде с Форрестером, в прошлом году дал интервью Техническому Центру Эдисона, где сказал, что «и представить не мог, что произойдет с RAM за миллион лет, не говоря уже о полувеке». «Проект Вихрь» оставалася активным до 1959 года, хотя технология так никогда и не была использована в летных симуляторах. Но патент был получен и во что все это вылилось сегодня, думаю, нет нужды разъяснять. ➡️ https://www.wired.com/2010/05/0511magnetic-core-memory/ #Разное

Устроиться инженером по информационной безопасности в Яндекс за неделю 12–18 сентября пройдёт Week Offer Security — мероприятие быстрого найма.  ⏩ Ищем специалистов с опытом от 2 лет в направлениях Application Security, Infrastructure Security и SOC L3. Как всё устроено: 🟣До 4 сентября зарегистрируйтесь на мероприятие 🟣12 и 13 сентября пройдите технические секции онлайн 🟣С 14 по 18 сентября познакомьтесь с командами и получите офер Формат подойдёт тем, кто хочет пройти собеседования без долгих пауз между этапами и быстро получить обратную связь. Подробности и регистрация — на сайте: https://yandex.ru/project/events/wo-security-0926

В киберподполье шуму наделали иранские хакеры, которым удалось в прошлом месяце остановить небольшую электростанцию в Великобритании. Работа была приостановлена на четыре дня после кибератаки. Сами британские власти отказались сообщать, какая именно электростанция пострадала. По данным The Telegraph, атаку совершили те же хакеры, которые взломали системы водоснабжения в США. ShinyHunters заявили в своем объявлении в даркнете, что взломали ИБ-компанию ReliaQuest. Однако никаких доказательств они пока не предоставили. Похоже, у группы есть претензии к компании, поскольку некоторые из ее недавних отчетов могли содержать неточности. Они отметили лишь то, что: «На этот раз пост о вас, а не о нас. Пусть Mandiant предоставляет достоверную информацию и консультации по нам, идите куда подальше». Обиделись. В прошлом месяце хакеры украли данные клиентов французской телекоммуникационной компании SFR в результате взлома системы безопасности. По оценкам, пострадали более 2,1 миллиона клиентов. Украденные данные включают имена, почтовые адреса, номера телефонов, а также информацию о договорах и подключении. Для некоторых клиентов также были раскрыты такие данные, как IP и сведения об оборудовании. Исследователи обнаружили сервис в индустрии киберпреступности, владельцы которого продают доступ к набору инструментов ИИ для киберпреступлений без фильтров и защитных механизмов. В Trend Micro нашли 14 вредоносных пакетов npm, которые маскируются под работающие утилиты календаря и Streak, содержащих имплантат Linux под названием RedShell, который является частью RedC2, инструмента для взлома, продаваемого на хакерских форумах. Исследователи, проанализировавшие кэш из более чем 10 000 утечек ключей AWS, установили, что 768 из них имели полный административный доступ к сетям жертв. Еще одна интересная находка: исследователи выявили группу из более чем 2200 доменов, имитирующих банки и финансовые учреждения, которые, по всей видимости, были созданы на основе одного и того же шаблона и, вероятно, являются частью мошеннической схемы. Исследователь смог обманом заставить Apple зарегистрировать вредоносную машину под управлением Linux в сети «Найти людей» и использовать её для получения данных с серверов Apple. Что открывало ему возможность получить данные о местоположении устройств пользователей и данные о местоположении друзей, которые поделились своим местоположением с учетной записью пользователя.

#Юмор