Атака на цепочку поставок через GitHub и npm: фальшивые PoC-эксплоиты крадут SSH-ключи и AWS-данные.
Замаскированная малварь c GitHub и npm привела к краже 390 000 учетных данныхЭксперты Checkmarx и Datadog Security Labs выявили сложную атаку на цепочку поставок, которая длится уже более года. Злоумышленники размещают на GitHub фальшивые PoC-эксплоиты и инструменты для проверки учетных записей, заражая машины исследователей и других хакеров малварью для кражи приватных ключей SSH, ключей AWS и другой конфиденциальной информации.https://xakep.ru/2024/12/16/mut-1244/
Читать полностью
Обзор электронных шахматных досок: принципы работы, как собрать самостоятельно и возможности.
Про электронные шахматные доскиОдной из культовых вещей среди самодельщиков несомненно являются разнообразные электронные шахматные доски, функционирующие на основе того или иного принципа.Наверное, не будет преувеличением сказать, что этот девайс в электронном исполнении имеет не менее культовый статус, чем разнообразные роботы по сборке кубика Рубика.А раз так, то имеет смысл рассмотреть, как новичку можно собрать подобную шахматную доску самостоятельно и какие возможности это может дать
Читать полностью
Cleo исправила 0-day уязвимость, а группировка Clop взяла на себя ответственность за атаки.
Cleo исправила 0-day уязвимость, а операторы Clop взяли на себя ответственность за атакиРазработчики Cleo выпустили патч, исправивший находящуюся под атаками уязвимость нулевого дня в LexiCom, VLTransfer и Harmony. При этом стало известно, что за массовой эксплуатацией этого бага стоит вымогательская группировка Clop.https://xakep.ru/2024/12/16/clop-patch-and-attacks/
Читать полностью
Сравнение подходов реализации Event Driven Architecture в облаке на примере сценария автоматизации ухода в отпуск.
Как уйти в отпуск с помощью EDA: сравниваем подходы в облакеEvent Driven Architecture, или EDA — довольно популярный архитектурный подход, в буквальном переводе «архитектура на основе событий», где строится приложение вокруг событий, которые генерируются в системе. В самом распространённом случае есть много пользователей, которые генерируют много событий, и эти события маршрутизируются в сервисы‑потребители.Реализовать такое приложение в облаке можно несколькими способами. Так что сегодня р...
Читать полностью
Автор предлагает бесплатный курс по фулстек-разработке веб-сервиса с нуля, состоящий из 141 видеоурока, с исходным кодом и поддержкой.
«Я примерно год создавал курс из 141 урока. Курс получился хороший, все, кто проходят, рады и пишут положительные отзывы. Я пытался его продавать, в лучшем случае у меня получалось отбивать рекламу в ноль. Короче, я хороший разработчик, но плохой маркетолог. Все эти таргреты, ретаргеты, воронки, шморонки — тоска унылая. Мне гораздо веселее и понятнее заработать на создании и запуске IT-продуктов, чему я и учу в этом учебнике. Так что пишу эту статью, чтобы сообщить вам о существовании моего...
Читать полностью
Краткий анонс эфира с наставниками Хекслета о разборе ошибок в тестовых заданиях.
📺 Разбираем с наставниками из Хекслет типичные ошибки в тестовых заданиях, подключайтесь!
Читать полностью
Райтап HTB Compiled: эксплуатация уязвимостей в Git и Visual Studio для получения сессии и повышения привилегий.
HTB Compiled. Эксплуатируем уязвимости в Git и Visual Studio #статьи #подписчикамСегодня я покажу, как использовать недавнюю уязвимость в Git для получения сессии на хосте, а для локального повышения привилегий заюзаем баг в Visual Studio.https://xakep.ru/2024/12/16/htb-compiled/
Читать полностью
Статья о том, как выстроить эффективный процесс найма в IT: от поиска до отбора кандидатов, с советами для нанимающих менеджеров и HR.
8 шагов к успешному найму в ИТ: как хантить качественнее, быстрее и с меньшим количеством отказовНа августовском Хабрасеминаре коммерческий директор Хабра Любовь Соболева сказала, что айтишников в стране всего два миллиона человек. Эта статья для тех, кто охотится за лучшими из этих двух миллионов, — для нанимающих менеджеров, рекрутеров и HR, руководителей проектов. Давайте узнаем, как выстраивать процесс поиска, отбора и найма кандидатов так, чтобы тратить меньше времени и получать меньше...
Читать полностью
Группировка Winnti использует PHP-бэкдор Glutton для атак на хакеров и организации в Китае и США.
Группировка Winnti атакует других хакеров через PHP-бэкдор GluttonСпециалисты китайской ИБ-компании QAX XLab заметили, что хак-группа Winnti использует новый PHP-бэкдор Glutton для атак на организации в Китае и США, а также для взлома других киберпреступников.https://xakep.ru/2024/12/16/glutton/
Читать полностью
Разработка DSL-компилятора на Python с использованием парсер-комбинаторов peco и структурного сопоставления с образцом, на примере системы символьного дифференцирования.
Практика использования парсер-комбинаторов peco и оператора match для создания простых DSL на языке PythonЗадачи разработки компиляторов и интерпретаторов конфигурационных языков или даже полноценных Тьюринг-полных языков программирования время от времени встают перед разработчиками программного обеспечения. На практике, как правило, речь идёт о разработке предметно-ориентированных языков (англ. Domain Specific Language, DSL), проектируемых специально для решения узкого класса прикладных задач.Р...
Читать полностью
В Германии заблокирован ботнет BadBox из 30 000 Android-устройств, зараженных малварью.
В Германии блокировали ботнет из 30 000 Android-устройств, зараженных малварью BadboxФедеральное управление по информационной безопасности (BSI) помешало работе ботнета BadBox. Одноименная малварь предустанавливается на Android-устройства прямо «из коробки», и в стране обнаружили более 30 000 таких зараженных девайсов (включая цифровые фоторамки, медиаплееры, ТВ-приставки, и вероятно, смартфоны и планшеты).https://xakep.ru/2024/12/16/badbox-sinkhole/
Читать полностью
Описание слоя абстракции для хранения временных рядов в Netflix (TimeSeries Abstraction): архитектура, принципы проектирования и применение.
Знакомство со слоем абстракции Netflix для хранения временных рядовВ Netflix разработали слой абстракции для хранения данных, представленных временными рядами (TimeSeries Abstraction). Это универсальное и хорошо масштабируемое решение, спроектированное в расчёте на эффективную работу с большими объёмами временных данных, описывающих жизненные циклы различных событий. Задержки доступа к данным в этой системе крайне малы и измеряются миллисекундами. Она отличается экономической эффективностью и мо...
Читать полностью
Новостная подборка: уход Дональда Битцера, птичий грипп в США, блокировка пиратских сайтов Cloudflare, взлом Škoda, биткоин выше $105k, рост пользователей Госуслуг, рассекреченные документы Роскосмоса, блокировка TikTok, расследование авиакатастрофы на Марсе.
⚡ Новости к этому часу🫡 Ушёл из жизни Дональд Битцер — американский инженер и ученый-компьютерщик, соавтор плазменного дисплея и отец PLATO (ФОТО)🐦⬛️ В США птичий грипп перешёл от птиц к человеку, пациент госпитализирован🏴☠️ Cloudflare начала блокировать URL пиратских сайтов «по юридическим причинам»👨⚕️ Учёные призывают остановить исследования «зеркальных микробов»👁 Исследователи взломали информационную систему автомобилей Škoda по Bluetooth и смогли следить за происходящим в салоне📈 Кур...
Читать полностью
Обзор пяти креативных проектов на базе Raspberry Pi, от любительских экспериментов до промышленных решений.
Малинка в деле: пять креативных проектов на базе Raspberry PiОдноплатные компьютеры от Raspberry Pi Foundation и других производителей стали незаменимым инструментом как для любительских экспериментов, так и для профессиональной разработки и промышленного использования. За годы их существования энтузиасты и инженеры воплотили в жизнь тысячи уникальных идей. Поговорим о свежих проектах, которые заслуживают внимания.
Читать полностью
Американские власти закрыли хакерский маркетплейс Rydox, предъявлены обвинения администраторам.
Хакерский маркетплейс Rydox закрыли американские властиВ конце прошлой недели правоохранители объявили о ликвидации маркетплейса Rydox, где торговали крадеными персональными данными и инструментами для мошенничества. Трем предполагаемым администраторам площадки уже предъявлены обвинения.https://xakep.ru/2024/12/16/rydox-down/
Читать полностью
Анонс прямого эфира с наставниками Хекслета о типичных ошибках в тестовых заданиях и советах по их улучшению.
👉 Сегодня в 17:00 МСК мы вместе с наставниками из школы программирования Хекслет разберём типичные ошибки в тестовых заданиях участников спецпроекта и дадим советы, как их улучшить.С нами в эфире:— Александр Чепайкин, Senior Python Developer, ЕДИНЫЙ ЦУПИС— Сергей Шалыгин, middle frontend-разработчик в Лаборатории Касперского— Александра Фадеева, QA release manager, gamedev— Вугар Дамиров, ИТ-лидер команды, финтех🔥 Будет горячо, не пропустите!
Читать полностью
История строительства беспроводной сети Wi-Fi на фестивале Alfa Future People: технические решения, сложности и приключения команды.
Реквием по мечте: как был сделан Wi-Fi на музыкальном фестивале Alfa Future PeopleЭто длинная история, как несколько человек за три недели шесть лет подряд строили в чистом поле операторскую беспроводную сеть из пары сотен точек доступа на фестивале мечты, а потом за сутки её разбирали. В тексте описываются технические решения, сложности и приключения участников, представлено много фотографий и немного статистики. Из уважения к выжившим все имена сохранены, а всё произошедшее рассказано так, как...
Читать полностью
Обзор лучших публикаций недели на Хабре (9-15 декабря 2024): грязный код, мониторинг воды, поступление в МГУ и советская микросхема.
На прошедшей неделе мы писали грязный код, собирали систему мониторинга фильтра воды, поступали на факультет пиратов в МГУ и использовали копеечную советскую микросхему для оживления часов.Лучшие публикации недели (9-15 декабря 2024)
Читать полностью
Минцифры планирует привлечь 700 000 разработчиков в IT к 2030 году, с акцентом на робототехнику и ИИ.
700 000 новых разработчиков — цель Минцифры к 2030 году🚀 Минцифры объявило о планах привлечь к 2030 году около 700 тысяч разработчиков в IT-отрасль. Особое внимание будет уделено подготовке специалистов в таких направлениях, как робототехника и искусственный интеллект.📊 За последние 4 года количество IT-специалистов в стране увеличилось на 50%, достигнув отметки в 850 тысяч человек. На данный момент в российских вузах по IT-направлениям обучаются 600 тысяч студентов.🤖 Большинство абитуриентов вы...
Читать полностью
История вычислительных проектов XVIII века: предсказание кометы Галлея и создание логарифмических таблиц, а также задачи нахождения долготы и определения пути снаряда.
Без компьютеров: как вычислители водили корабли и выигрывали войныВ первой части мы рассмотрели два вычислительных проекта, предпринятых в XVIII веке: предсказание времени возвращения кометы Галлея и создание логарифмических таблиц для десятичного деления угла. За обоими проектами стояла идея разделения труда между несколькими вычислителями, работающими по заранее составленной программе. Однако их цели были разными: первый проект был чисто научным, второй, напротив, чисто прикладным.Сегодня Анто...
Читать полностью
Модернизация дешёвой электрогитары TERRIS TTL-039 YW: экранирование графитовым лаком и исправление угла грифа для улучшения игры.
Альтернатива нэшвилловскому моду: телекастер с хамбакером в нековой позицииСегодня мы совершенствуем дешёвую электрогитару TERRIS TTL-039 YW. Чтобы она не фонила, потребовалось экранирование графитовым лаком, а для комфортной игры пришлось исправить угол установки грифа относительно корпуса. При совсем небольших дополнительных вложениях из китайского ширпотреба получилась играбельная электрогитара, обладающая высокой степенью универсальности для концертной и студийной работы.
Читать полностью
Обзор улучшенной дедупликации в OpenZFS (fast dedup), её проблемы и почему она всё ещё не используется по умолчанию.
Дедупликация в OpenZFS теперь хороша, но использовать её не стоитПосмотрим на свежую информацию об имплементации дедупа в OpenZFS, как он работал до улучшений, в чём была его проблема, что поменяли в fast dedup и почему это всё ещё не дефолт.
Читать полностью
Инженер по качеству из ГРАН Груп рассказывает о производстве печатных плат для критически важного оборудования, где ошибки могут стоить жизни, и о типичных ошибках клиентов.
«Привет, меня зовут Миша. Я инженер по качеству в компании ГРАН Груп. Мы производим печатные платы, в том числе для оборудования, где один сбой стоит жизни: для кардиостимуляторов, аппаратов ИВЛ, систем управления поездами, самолётов и ракет. В статье я рассказываю, какие ошибки клиента стоят больших денег и ваших жизней, про боль госпредприятий и как мы проверяем качество платы»Если наша электроника откажет, то кто-то умрёт
Читать полностью
Как в 2ГИС улучшили отображение общественного транспорта на карте без сложных алгоритмов, наведя порядок в процессе.
Магия простоты: как в 2ГИС улучшили отображение общественного транспорта на картеСейчас тема AI, машинного обучения у всех на слуху, и со стороны может показаться, что те, кто этим занимается — маги, которые берут нейросети, прикладывают их к правильным местам, и все проблемы решаются.На самом деле применение сложных алгоритмов требует большой подготовительной работы по наведению порядка в процессе разработки, что занимает 90 процентов всего времени, если не больше. Более того, как только п...
Читать полностью
Яндекс встраивает LLM в Алису для выполнения смарт-функций и понимания пользователя.
«Совсем недавно мы начали новый виток развития Алисы: мы хотим поместить в самое сердце (точнее, в самый мозг) нашего диалогового движка большую языковую модель. В этом году мы уже добавили в Алису возможность отвечать с помощью LLM на любые вопросы, а теперь взялись за то, чтобы Алиса стала более универсальной и могла выполнять любые задачи пользователя»Смарт-функции в Алисе: как LLM помогает понять, чего хочет пользователь
Читать полностью
Экономика хостинг-провайдера: лицензии, ЦОДы, IP-адреса, и зачем RUVDS запускали спутник.
Экономика хостера — не, она устроена не так, и зачем RUVDS действительно запускали спутникВозможно, неожиданным для вас будет то, что лицензии на ПО стоят примерно столько же, сколько аренда места в ЦОДах по миру, и что айпишники вообще-то занимают существенную долю затрат хостера.
Читать полностью
Архивная статья 2015 года: взлом PayPal через уязвимость десериализации Java за 73 секунды.
[ХАБРААРХИВ]«В декабре 2015 года я обнаружил критически опасную уязвимость в одном из сайтов PayPal для бизнеса, которая позволяла мне выполнять произвольные команды на веб-серверах внутри корпоративной сети. При отправке веб-формы на сайте manager.paypal.сom в одном из скрытых параметров передавались закодированные данные в виде сериализованного объекта Java. Данный параметр можно было подделать, изменив название класса и значения его свойств, что и привело к выполнению произвольного кода на се...
Читать полностью
Этикет подарков врачам в России: конфеты, коньяк и коррупция.
Конфеты врачам — это форма коррупции?Возможно, вы знаете, что врачам-женщинам как-то традиционно принято дарить конфеты, а урологам и хирургам (обычно мужчинам) — коньяк. Но как конкретно работает эта система, какой там этикет, нужно ли приносить подарок до, после или во время лечения — непонятно.Давайте разберём эту практику в российской системе здравоохранения
Читать полностью
Обзор монитора CO2 без датчика CO2, советы, как не промахнуться при покупке.
Ещё один монитор CO2 без датчика CO2Там, где что-то стоит дорого и по определению не может стоить дешевле, ушлые производители обязательно предложат «полноразмерный макет» за полцены. Подобными «макетами» домашних мониторов CO2 много лет забиты все маркетплейсы.Но тут история иная. Во-первых, цена как у реальных приборов. Во-вторых, это не абсолютный ноунейм. И в-третьих — производитель открыто заверяет, что установлен дорогой инфракрасный датчик. Так почему бы не попробовать?Вот небольшой ...
Читать полностью
Уязвимость небезопасной десериализации в PHP: создание эксплойтов и анализ кода.
Небезопасная десериализация в PHP: как создать собственный эксплойтСегодня мы познакомимся с уязвимостями небезопасной десериализации в PHP, научимся писать эксплойты для эксплуатации уязвимости в рамках тестирований на проникновение и попробуем себя в анализе кода.
Читать полностью