Функция GitHub Actions используется, чтобы заставить серверы компании добывать криптовалюту. По данным экспертов, эти атаки длятся с осени 2020 года и никак не вредят проектам пользователей.

https://xakep.ru/2021/04/05/github-actions-mining/

Для подписчиков
Сегодня мы разберемся с уязвимостью в парсере Jackson Databind, а затем займемся отслеживанием новых процессов в Linux, чтобы найти пути повысить привилегии. Поможет нам в этом машина Time с площадки Hack The Box. Ее уровень сложности заявлен как Medium.

https://xakep.ru/2021/04/05/htb-time-json/

AMD советует владельцам процессоров на архитектуре Zen 3 отключить функцию Predictive Store Forwarding (PSF), повышающую производительность, если те собираются использовать машину для конфиденциальных операций. Дело в том, что эта функция уязвима для side-channel атак, подобных Spectre.

https://xakep.ru/2021/04/05/zen-3-psf/

На хакерском форуме опубликовали данные 533 млн пользователей Facebook. Дамп включает в себя номера телефонов, имена, Facebook ID, email-адреса и другие данные, которые могли содержать профили социальной сети.

https://xakep.ru/2021/04/05/fb-leak/

Роскомнадзор сообщает, что меры по замедлению Twitter продлены до 15 мая текущего года. Так как социальная сеть все же удаляет запрещенный контент, блокировку решили отложить.

https://xakep.ru/2021/04/05/twitter-updates-2/

LALAL.AI — это онлайн-сервис по разделению дорожек любого аудиоформата на вокал и музыку. С таким AI можно дать волю фантазии: караоке, ремиксы, саундтреки из фильмов — вырезать вокал из них можно в один клик, а процесс занимает несколько минут.

https://xakep.ru/2021/04/05/lalalai/

ИБ-специалисты Cisco Talos и игрового гиганта Activision почти одновременно выпустили предупреждения о том, что читы и моды для популярных игр, как правило, содержат малварь и представляют опасность для игроков.

https://xakep.ru/2021/04/02/cheats-warning/

Создатель сервиса Have I Been Pwned Трой Хант использует домены закрытого в 2019 году криптоджекингового сервиса Coinhive, чтобы предупреждать пользователей о сайтах, которые все еще занимаются скрытым майнингом.

https://xakep.ru/2021/04/02/coinhive-for-the-greater-good/

Устройствам компании Qnap угрожают непропатченные уязвимости, эксплуатация которых чревата исполнение произвольного кода.

https://xakep.ru/2021/04/02/qnap-nas-rces/

Если ты уверенный эксперт в своей сфере, у тебя есть желание и амбиции создать и вести собственный курс, мы приглашаем тебя к сотрудничеству! «Хакер» поможет структурировать твои знания, создать курс и прорекламирует его среди читателей.

https://xakep.ru/2021/04/02/xakep-wants-courses/

Эксперты из китайской компании Qihoo 360 обнаружили уязвимость в браузере Chrome, которая позволяла выйти за пределы песочницы.

https://xakep.ru/2021/04/02/chrome-sandbox-escape-2/

Администратор закрытого в 2019 сайта DeepDotWeb, рассказывавшего о новостях даркнета, а также каталогизировавшего ресурсы «изнанки интернета», признал себя виновным в отмывании денег.

https://xakep.ru/2021/04/02/deepdotweb-admin/

Для подписчиков
Еще недавно смартфоны радовали интересными мелочами: гнутые, небьющиеся и складные дисплеи, поворотные, телескопические и выезжающие камеры, модули расширения на магнитах... Какой из черных прямоугольников ты выберешь в 2021 году: скучный, горячий или жужжащий?

https://xakep.ru/2021/04/02/smart-step-back/

Производитель сетевого оборудования и IoT-устройств, компания Ubiquiti Networks, раскрывает новые детали атаки, произошедшей минувшей зимой. В компании подтвердили, что Ubiquiti Networks стала жертвой попытки вымогательства, но СМИ уверены, что все гораздо хуже.

https://xakep.ru/2021/04/01/ubiquiti-networks-leak-and-hack/

Исследователи обнаружили фейковые версии плагина jQuery Migrate для Wordpress, внедренные на десятки сайтов. Плагины содержат обфусцированный код для загрузки малвари.

https://xakep.ru/2021/04/01/fake-jquery-migrate/

Google предупреждает, что северокорейские хакеры снова нацелились на ИБ-специалистов, занимающихся исследованиями уязвимостей.

https://xakep.ru/2021/04/01/securielite/

Крайне необычную вредоносную кампанию обнаружили ИБ-специалисты. Для распространения малвари BazarCall используются телефонные звонки и подпольные колл-центры, чьи операторы убеждают жертв, например, отключить антивирус или активировать вредоносные макросы.

https://xakep.ru/2021/04/01/bazarcall/

Для подписчиков
В этом месяце: Роскомнадзор замедлил Twitter в России, в сети найдены «боевые» эксплоиты для уязвимости Spectre, хакерские форумы страдают от взломов и утечек, компании несут миллиардные убытки из-за кибератак, а в секс-игрушках опять обнаружили множество уязвимостей.

https://xakep.ru/2021/04/01/meganews-264/

Министерство юстиции США предъявило обвинение во взломе системы местного водоканала жителю Канзаса. Обвиняемый пытался саботировать очистку воды и нанести вред местным жителям.

https://xakep.ru/2021/04/01/water-system-hack/

В блоге разработчиков DuckDuckGo появилась публикация, посвященная отказу от сторонних cookie. Создатели ориентированного на конфиденциальность поисковика объясняют, что это вовсе не помешает производителям следить за пользователями.

https://xakep.ru/2021/03/31/duckduckgo-preduprezhdaet-chto-otkaz-ot-storonnih-cookie-ne-meshaet-brauzernoj-slezhke/