Исследователи нашли уязвимость переполнения стека в SoC китайского автомобиля, что позволило удаленно выполнить код и получить полный контроль над бортовым компьютером.
Тачка на прокачку. Эксплуатируем RCE в головном устройстве автомобиля #статьи #хардкор #подписчикамМы изучили безопасность типичного «мозга» китайского автомобиля — SoC со встроенным сотовым модемом. Низкоуровневая ошибка переполнения стека позволила удаленно выполнить код на ранней стадии соединения — до срабатывания защит. Следом мы получили доступ к процессору приложений и смогли запустить произвольный код с максимальными привилегиями — то есть получили полный контроль над бортовым компьютеро...
Читать полностью
Пост-пример оверинжиниринга в IT, когда сложная архитектура и куча тестов были созданы для передачи одной захардкоженной константы, что привело к багу с гонкой состояний.
Горе от Ума: почему IT-проекты пишутся долго и стоят дорого (иногда)Релиз на носу, а приложение падает: не может прочесть путь к сертификатам из конфига. Лезем в код. Там всё «солидно»: целый CertificatesParametersReader, 30 строк логики, сессии, 7 юнит-тестов на этот метод. Копаем глубже и находим причину — банальная гонка состояний. Один сервис пытается прочесть конфиг из базы на 2 секунды раньше, чем другой успевает его туда записать.Уже прикидывая фикс с retry-циклом, автор решает посмотреть...
Читать полностью
Исследователи Varonis обнаружили MaaS-платформу Atroposia, предоставляющую за $200 в месяц троян удаленного доступа с широким функционалом, включая встроенный сканер уязвимостей.
Малварь Atroposia поставляется со встроенным сканером уязвимостейИсследователи Varonis обнаружили MaaS-платформу (malware-as-a-service) Atroposia. За 200 долларов США в месяц ее клиенты получают троян удаленного доступа с широкими возможностями, включая: удаленный рабочий стол, управление файловой системой, хищение информации, учетных данных и содержимого буфера обмена, криптовалютных кошельков, подмена DNS, а также встроенный сканер для поиска локальных уязвимостей.https://xakep.ru/2025/10/30/a...
Читать полностью
Гиганта кибербезопасности F5 взломали
Вот это ирония: гиганта кибербезопасности F5 взломали, проникнув в его системы через его же собственные продукты. Злоумышленники утащили не что-нибудь, а исходный код пакета BIG-IP и, что самое неприятное, сведения о скрытых уязвимостях, над которыми в компании ещё велись работы. Обнаружили утечку 9 августа, и расследование подтвердило доступ к святая святых — среде разработки продуктов.По данным Bloomberg, в атаке засветился зловред Brickstorm. Проникнув через уязвимости F5 BIG-IP, атакующие по...
Читать полностью
Пост с юмором призывает кликать по случай
Крутые ребята не выбирают курсы, на которых будут учиться. Они просто кликают по случайной ссылке и говорят, что такова судьба. Так вот, ссылки на курсы с нашей витрины ниже:ЯОбязательноОсвоюНовуюПрофессию
Читать полностью
В России планируют разрешить полеты дронов массой более 30 кг в большинстве регионов, снимая действующие строгие ограничения, в рамках задачи по обеспечению базовой готовности.
Дронам массой более 30 кг, использование которых сейчас затруднено из-за действующих строгих ограничений, хотят разрешить летать в большинстве российских регионовОбеспечить завершение решения поставленной задачи по снятию ограничений на полеты беспилотных воздушных судов в субъектах РФ, в которых установлен уровень базовой готовностиTelegram | Дзен | MAX
Читать полностью
Пост рассказывает о том, как Япония стала лидером в робототехнике, начиная с механических кукол XVII века и комиксов про Астробоя, и закрепила успех в промышленной робототехнике в 1970-х, обогнав США.
Как Япония стала «страной роботов», опередив США в робототехнике и сделав андроидов частью национальной культурыКогда мы думаем «Япония», мы думаем «роботы». И это неслучайно. Их увлечённость началась задолго до киберпанка — ещё в XVII веке с каракури-нингё, механических кукол, которые могли, например, подавать чай. А основатель Toshiba, Танака Хисасигэ, начинал как раз как прославленный мастер таких кукол!Культурный фундамент заложил Осаму Тэдзука, создав в 1951 году «Астробоя» и сделав роб...
Читать полностью
В рамках кампании PhantomRaven с августа 2024 года в реестр npm загружено 126 вредоносных пакетов с инфостилерами, суммарно скачанных более 86 000 раз, атаки используют малоизвестную особенность npm для обхода защиты.
Кампания PhantomRaven: в npm загрузили более 100 пакетов с инфостилерамиС августа 2024 года, в рамках кампании PhantomRaven в npm загрузили 126 вредоносных пакетов, которые суммарно скачали более 86 000 раз. Кампанию обнаружили специалисты Koi Security, которые пишут, что атаки осуществлялись благодаря малоизвестной особенности npm, которая позволяет обходить защиту и детектирование.https://xakep.ru/2025/10/30/phantomraven/
Читать полностью
Пост описывает новую функцию «Федерация» в MWS Cloud Platform, которая позволяет сотрудникам входить в облако через корпоративные учётные записи (AD, Google Workspace, Keycloak), решая проблему множества паролей и упрощая управление доступом.
Как реализован федеративный вход в MWS Cloud Platform и зачем это вашей компанииЗнакомая ситуация: чтобы дать команде доступ к облаку, нужно завести всем новые логины и пароли. А потом слушать стоны про «ещё один аккаунт» и наблюдать, как выстроенная корпоративная ролевая модель из Active Directory трещит по швам. Похоже, эту боль решили в MWS Cloud Platform.Там появилась «Федерация» — фича, которая позволяет сотрудникам заходить в MWS через их привычные рабочие учётные записи, будь то AD, Googl...
Читать полностью
Пост на Habr обсуждает этику публикации маргинальных теорий на научпоп-площадках, критикует цензуру и защищает честную дискуссию, ссылаясь на методологический анархизм и пример Лысенко.
А судьи кто?Можно ли на научпоп-площадке публиковать «маргинальные» или конспирологические теории? Спор об антибиотиках в сельском хозяйстве быстро перерос в вечный вопрос о цензуре. Есть позиция, что «необразованную» публику надо защищать от вредных идей. Но кто возьмёт на себя роль судьи и цензора? Тот, кто сегодня борется с «лженаукой», завтра рискует оказаться новым Лысенко.Автор, следуя методологическому анархизму, считает, что запрет на дискуссию — это высокомерие. Часто «маргинал» ищет не...
Читать полностью
Специалисты «Лаборатории Касперского» сообщили о новых целевых атаках группы BlueNoroff, использующей ИИ в кампаниях GhostCall и GhostHire против криптовалютных и Web3-организаций в ряде стран.
BlueNoroff использует ИИ в атаках на руководителей блокчейн-проектовСпециалисты «Лаборатории Касперского» рассказали о новых целевых атаках группы BlueNoroff. Вредоносные кампании GhostCall и GhostHire фиксируются с апреля 2025 года, а их целями стали криптовалютные организации и Web3-организации в Индии, Турции, Австралии и других странах Европы и Азии.https://xakep.ru/2025/10/30/ghostcall/
Читать полностью
Пост рассказывает о фильме «WarGames» 1983 года, который повлиял на президента Рейгана, приведя к первой директиве США по кибербезопасности, и вдохновил подростков на хакерство.
«Wargames» 1983-го: как технотриллер про ИИ и ядерную войну впечатлил Рейгана и популяризовал хакерствоВ 1983 году один школьник всего лишь хотел взломать игровую студию, а в итоге получил доступ к WOPR — суперкомпьютеру NORAD с ИИ. Он-то думал, что весело «бомбит» Лас-Вегас, а в это время в реальном бункере выли сирены и президент открывал «ядерный чемоданчик».Этот фильм, вышедший на пике Холодной войны, напугал не только зрителей. Рональд Рейган посмотрел его и немедленно инициировал создание ...
Читать полностью
Павел Дуров представил децентрализованную сеть для ИИ-вычислений Cocoon на форуме Blockchain Life 2025 в Дубае. Сеть позволяет разработчикам использовать ИИ без крупных вложений, а владельцы видеокарт могут зарабатывать, предоставляя вычислительные мощности, при этом данные шифруются.
Основатель Telegram Павел Дуров на форуме Blockchain Life 2025 в Дубае представил новый проект под названием CocoonЭто децентрализованная сеть для ИИ-вычисленийРазработчики смогут пользоваться искусственным интеллектом, не вкладывая большие деньги в собственную инфраструктуруВычислительные мощности им будут предоставлять владельцы видеокарт, которые участвуют в проектеЗапросы на обработку данных будут распределяться по свободным видеокартам в сети, которые выполняют ИИ-вычисления, а владельцы об...
Читать полностью
Google представила «вайб-кодинг» в AI Studio, позволяющий создавать приложения без написания кода, используя естественный язык.
👨🔬«Сделай кнопку синей» — и ИИ сделает: Google упростила редактирование приложенийGoogle представила «вайб-кодинг» — новую философию разработки внутри Google AI Studio. Теперь, чтобы создать мультимодальное приложение, не нужно писать код, связывать API или копаться в SDK. Достаточно описать идею — например, «преврати моё фото в фэнтезийный портрет» — и Gemini сам соберёт интерфейс, подберёт инструменты и запустит проект.AI Studio теперь похож на творческую лабораторию: обновлённая галерея прим...
Читать полностью
Пост описывает устройство современной птицефабрики с использованием клеточных батарей, красного света и видеоаналитики для подсчета яиц.
Клетки, яйца и видеоаналитика. Как устроена современная птицефабрика?Если при словах «птицефабрика» вы представляете курочек на лужайке, то реальность вас удивит. Современное производство яиц — это агротехнологии, местами жёсткие, зато экономически эффективные. Курицы живут в многоярусных клеточных батареях, не видят белого света, а весь процесс подчинён оптимизации.Внутри цеха на 100 тысяч голов — свой микроклимат. Тусклый красный свет (чтобы маскировать кровь и снижать расклёв), вентиляция и н...
Читать полностью
Пост анонсирует новую плату Arduino Uno Q, созданную с использованием технологий Qualcomm, и обсуждает реакцию сообщества на покупку Arduino компанией Qualcomm.
Arduino для агента 007 — Uno Q. Что это, зачем и как работает?Новость о покупке Arduino компанией Qualcomm сперва встревожила сообщество, вызвав флешбэки в духе Broadcom/VMware. Все мы помним, как открытость оригинальной Uno на ATmega328P и её высокая цена привели к появлению сверхдешевых китайских клонов. Но что принесёт эта новая корпоративная эра? Кажется, ответ уже здесь.Публике представили Arduino Uno Q, созданную с использованием разработок Qualcomm. Заявляется, что она предлагает совершен...
Читать полностью
Хабр Карьера запускает исследование о современных инженерах в России, приглашая специалистов из разных отраслей к участию в опросе.
📣 Инженеры, общий сбор!Хабр Карьера решила копнуть по-настоящему глубоко и запускает большое исследование, чтобы выяснить, кто такие современные инженеры в России.И нет, речь не (только) про IT.Ищут всех — от конструкторов и технологов до энергетиков, проектировщиков и суровых работяг в касках.Цель — показать инженерную сферу изнутри: как специалисты видят рынок, карьеру и что для них вообще важно в профессии.Если вы тот самый инженер, не проходите мимо 👈Особый квест: работаете в п...
Читать полностью
Исследователи LayerX обнаружили уязвимость в браузере ChatGPT Atlas от OpenAI, позволяющую внедрять вредоносные инструкции в память ИИ-ассистента и выполнять произвольный код.
Уязвимость в ChatGPT Atlas позволяет внедрять вредоносные инструкции в память ИИ-помощникаИБ-исследователи из компании LayerX обнаружили уязвимость в недавно вышедшем браузере ChatGPT Atlas компании OpenAI. Проблема позволяет злоумышленникам внедрять вредоносные инструкции в память ИИ-ассистента и выполнять произвольный код.https://xakep.ru/2025/10/29/csrf-atlas/
Читать полностью
Илон Маск хочет триллион на роботов, сбой AWS привел к перегреву умных матрасов, Valve обрушила рынок ножей в CS, бобры строят плотины.
Илон Маск хочет армию роботов, а упавший AWS вскипятил «умные матрасы»Очередная неделя в мире технологий и финансов прошла под знаком абсурда. Пока Илон Маск вполне серьёзно заявляет, что ему нужен триллион долларов, чтобы «комфортно» строить армию роботов, более приземлённые гаджеты устраивают свой бунт. Масштабный сбой AWS уронил не только соцсети, но и добрался до спален: «умные матрасы» Eight Sleep начали перегреваться, ведь оффлайн-режима у них, конечно, нет.В этом дайджесте также выясним, ...
Читать полностью
Пост о рейтинге работодателей на Хабр Карьере, его целях для участников и влиянии на HR-бренд компаний.
Рейтинг работодателей на Хабр Карьере: как попасть, кому надо и что думают айтишникиКаждый год IT-специалисты приходят на Хабр Карьеру, чтобы честно (иногда слишком честно) оценить своих работодателей. Зарплаты, технологии, карьерный рост и, конечно, печеньки — всё идёт в зачёт для того самого рейтинга.Но если с мотивацией сотрудников всё понятно, то зачем в этом участвовать самим компаниям? Оказывается, это не просто способ узнать о себе правду, но и мощный инструмент для HR-бренда.Собрали инса...
Читать полностью
В Ангаро-Енисейском макрорегионе планируется создать кластер глубокой переработки критических металлов с инвестициями более 700 млрд рублей и созданием тысяч рабочих мест, а также развитием смежных высокотехнологичных отраслей и транспортных проектов для формирования инновационного хаба.
В создание кластера глубокой переработки критических металлов в Ангаро-Енисейском макрорегионе планируется инвестировать более 700 млрд рублей, на первом этапе будет создано не менее 3,5 тыс. рабочих мест, сообщил секретарь Совета безопасности РФ Сергей ШойгуШойгу уточнил, что данные по персоналу приводятся без учёта роста персонала смежных и сервисных компаний, а также квалифицированных ученых и инженеров, привлекаемых в Сибирь для создания новых научных и инженерных школСекретарь СБ РФ сообщил...
Читать полностью
Группировка Cloud Atlas направила вредоносное письмо, замаскированное под программу форума «Зерно и масличные 2025», агропромышленным предприятиям России и Беларуси.
Группировка Cloud Atlas пригласила агрокомпании на форум по растениеводствуВ 2025 году специалисты F6 фиксируют повышенную активность группировки Cloud Atlas, атакующей российские и белорусские компании. Исследователи рассказали, что в преддверии форума «Зерно и масличные 2025: кормовой вектор», который состоится 30 октября в Москве, злоумышленники направили вредоносное письмо в адрес агропромышленного предприятия, замаскированное под программу форума.https://xakep.ru/2025/10/29/cloud-atlas-atta...
Читать полностью
Пост рассказывает о том, как с помощью 3D-симулятора CRUMB и комбинационной логики на транзисторах и микросхемах (74HC02) аналоговый мир превращается в цифровой, от простых схем до мультиплексора и дешифратора.
Мультиплексор, дешифратор… где великий комбинатор?Как «живой мир» бесконечных аналоговых значений превращается в строгий «компьютерный мир» нулей и единиц? Ответ кроется в комбинационной логике. Вооружившись 3D-симулятором CRUMB, автор начинает путь с самых азов: как p-канальный и n-канальный транзисторы реагируют на логический ноль и единицу.Дальше — больше. От простой схемы индикации на светодиоде до сборки элементов 2ИЛИ-НЕ, дешифратора 2-в-4 и мультиплексора. Это увлекательное путешествие, г...
Читать полностью
Статья описывает сценарии обхода защитных средств Windows по итогам киберучений Purple Teaming, анализируя эффективность защиты.
Сценарии байпаса. Пробуем перехитрить защитные средства для Windows #статьи #подписчикамВ начале этого года мы провели киберучения в формате Purple Teaming в одной из крупных компаний. Основная цель — пронаблюдать, как работают и люди, и средства защиты в реальных условиях. В этой статье я сделаю фокус именно на средствах защиты: посмотрим, в каких случаях они реально спасают и с чем могут не справиться.https://xakep.ru/2025/10/29/smart-bypass/
Читать полностью
Пост рекламирует курсы менеджмента на Habr, предлагая скинуть ссылку начальнику или самому прокачаться в управлении.
Если вас бесит то, как ваше начальство управляет — скиньте невзначай ему эту ссылку.Там собраны самые крутые курсы менеджмента из нашей витрины. Возможно, ваш босс прокачается и пойдет на повышение. Но вы тоже гляньте, может сами захотите стать годным управленцем.
Читать полностью
Анонс юмористического мероприятия в Кибер
🎤 Главный редактор SecurityLab Александр Антипов выйдет на сцену Кибердома — и вместо новостей расскажет о рабочих буднях с юмором.Факапы, дедлайны и боссы с кислым лицом — всё то, что обычно вызывает стресс, на один вечер станет поводом для смеха. После этого вечера вы перестанете жаловаться на офисную рутину и начнёте смотреть на неё с улыбкой.Помимо Александра, на сцене также будут те, кто знают, каково это:➡️Александр Скакунов — CEO VolgaBlob, предприниматель и data-терапевт с 20-летней эксп...
Читать полностью
Узбекистан создает в Каракалпакстане особую зону для проектов ИИ, HPC и дата-центров с налоговыми льготами (до 2040 года), низкой электроэнергией ($0,05/кВт·ч) и упрощёнными процедурами для привлечения инвестиций.
В Каракалпакстане создадут особую зону для ИИ и дата‑центров: объявлены условия для инвесторовПо поручению президента Узбекистана Шавката Мирзиёева в Каракалпакстане стартует масштабный этап цифрового развития - создание особой зоны для проектов в сфере искусственного интеллекта, высокопроизводительных вычислений (HPC) и дата‑центровОб этом сообщил Хикматилла Убайдуллаев, заместитель главы Департамента по финансовым технологиям, ИИ и цифровизации Администрации президента УзбекистанаКлючевые усло...
Читать полностью
Авито представила собственную LLM A-vibe и выложила её в опенсорс, подробно описав процесс разработки с нуля.
Как в Авито сделали свою LLM — A-vibeБольшие языковые модели — новый чёрный. Вот и Авито представил свою разработку — A-vibe, и сразу выложил семейство моделей в опенсорс (вместе с A-Vision). Главный вопрос, конечно, «зачем?». Зачем крупной компании инвестировать в создание собственной LLM с нуля, когда на рынке столько готовых решений?Путь, как водится, был тернистым. Команде пришлось пройти всё: построить свой токенизатор, тщательно собрать датасеты, провести SFT и RL. Это история не про «взял...
Читать полностью
Доля компаний, соглашающихся платить выкуп вымогателям, упала до исторического минимума в 23% в третьем квартале 2025 года, что привело к снижению доходов злоумышленников.
Доходы вымогателей падают, потому что жертвы отказываются платитьДоля компаний, которые соглашаются заплатить выкуп после атак вымогателей, опустилась до исторического минимума — лишь 23% жертв соглашались на условия злоумышленников в третьем квартале 2025 года, сообщают аналитики Coveware.https://xakep.ru/2025/10/29/ransomware-payments/
Читать полностью
Сравнение экономической эффективности самостоятельного развёртывания Kubernetes и использования managed-решений на Bare Metal, с акцентом на TCO и скрытые затраты на персонал.
Экономика Kubernetes. Самостоятельное развёртывание vs. Managed Kubernetes on Bare MetalРешили внедрить Kubernetes? Главный вопрос: поднимать всё самим (self-hosted) или взять готовое managed-решение? На первый взгляд, DIY выглядит экономнее — платишь только за аренду железа. Но дьявол, как всегда, кроется в TCO (Total Cost of Ownership), и этот дьявол очень любит зарплатные ведомости.Оказывается, для self-hosted нужна команда из пары (минимум!) старших DevOps-инженеров, чтобы всё это админи...
Читать полностью