پست‌های تلگرام Sachok

Да и график стоимости акций вялый в этом месяце

Битрикс не удивил

В Битрикс24 и 1С-Битрикс обнаружены уязвимости 7,5 и 7,3 баллов критичности.

Эксплуатация уязвимости может позволить злоумышленнику удаленно выполнить произвольный код, путем отправки HTTP-запроса.

Разработчик советует обновить ПО до версии 24.1100.0.

В качестве компенсирующих мер в канале БДУ ФСТЭК называются:

— ЗАПРЕЩЕННАЯ В РФ РКН ИНФОРМАЦИЯ;
— использование WAF;
— «белый» список IP-адресов;
— использование средств обнаружения и предотвращения вторжений для отслеживания попыток эксплуатации уязвимости.

@cybersachok

Основатель Future Crew Евгений Черешнев покинул компанию сразу после презентации Membrana. Почему же и куда?

https://t.me/bladerunnerblues/355

Негативный Positive

В продуктах Positive Technologies обнаружили критическую уязвимость 9,5 баллов.

Уязвимость компонента PT MC в системах контроля защищенности MaxPatrol связана с неправильной аутентификацией.

Эксплуатация уязвимости позволяет злоумышленникам удаленно повысить свои привилегии.

Positive Technologies дала рекомендации по нивелированию последствий.

Если коротко — обновляться придется по полной.

«Пользователям продуктов MaxPatrol SIEM, MaxPatrol VM, MaxPatrol EDR, MaxPatrol Carbon и MaxPatrol O2 рекомендуется обновить MPX до версии 27.2.14850 или выше. Пользователи сертифицированных версий могут получить пакет обновления по запросу в службу технической поддержки.
Пользователям продуктов PT MultiScanner и PT Sandbox рекомендуется обновить продукты до версии 5.18.1.101838.
В продуктах PT NAD, PT ISIM и PT AF3 уязвимость актуальна только при настроенной интеграции с PT MC. Для решения проблемы пользователям этих продуктов рекомендуется обновить компонент PT MC до версии 101.4.8813 и выше», — говорится на сайте вендора.

@cybersachok

Вендор «Базис» отчитался о проведенном совместно с ИСП РАН тестировании уязвимостей в компонентах с открытым кодом для виртуализации. Сообщают, что процедура проходила на мощностях испытательной лаборатории «Фобос-НТ» с привлечением студентов из МГТУ им. Н.Э. Баумана и Чувашского государственного университета.

Что примечательного? Open-source элементы используются в инструментах виртуализации по всему миру, в том числе в продуктах компании и всех решений виртуализации в России. Это обуславливает необходимость тщательного тестирования для обнаружения возможных проблем и, в особенности, уязвимостей и угроз утечек.
Исследователи изучили следующие «открытые» компоненты:

- nginx,
- ActiveMQ Artemis,
- Apache Directory,
- libvirt-exporter,
- QEMU.

Nginx, в частности, используется для балансировки нагрузки в виртуальных средах, и качество этих сред влияет на многие российские и зарубежные решения для работы с ними.

Libvirt-exporter предоставляет API для управления виртуальными машинами, и потому этой библиотеке уделяется особое внимание, так как её сбой может повредить инфраструктуру и привести к утечке конфиденциальных данных.

Каковы результаты? В ходе статического анализа обнаружено 178 дефектов, большинство из которых связано с популярным брокером сообщений ActiveMQ Artemis и сервером каталогов Apache Directory. Изучив ошибки, специалисты ИСП РАН и «Базис» подготовили 86 исправлений для продуктов компании. Помимо этого, фаззинг-тестирование обнаружило еще 13 дефектов в коде, включая 5 в Apache Directory LDAP API и 8 в библиотеке libvirt. Вывод же из этого следующий – элементы открытого кода в разработке это, конечно, неплохо. Но также не стоит при выборе решений забывать о потенциальных рисках и угрозах, способных прийти с этой стороны.

Не помню, что такая практика была в ходу в отрасли, но было бы неплохо и другим разработчикам виртуализации подобное перенять.

@cybersachok

«Преодоление трудного начинается с лёгкого, осуществление великого начинается с малого, ибо в мире трудное образуется из лёгкого, а великое — из малого», —Лао Цзы.

Китайская лаборатория выпустила на днях конкурента o1. Как тренировали свои модели китайцы — не ясно. Очевидно, что такого кластера как у OpenAI у них не было. При этом качество ответов как будто не уступает западным моделям. А преимущество китайского релиза в том, что все бесплатно и без ЗАПРЕЩЕННАЯ В РФ ИНФОРМАЦИЯ.

Попросили китайского конкурента ChatGPT дать советы с точки зрения трех философских концепций Китая по отношению к проблемам российской кибербез-отрасли, чтобы быть безмятежными и мудрыми.

@cybersachok

К вопросу об анонсе продукта от МТС Membrana, вызвавшем шквал публикаций в телеграм-каналах с посылами в тональности «наглая корпорация, наплевавшая на Роскомнадзор, законодательство РФ и всех всех всех», хочется сместить фокус на постправду, кликбейт и хайп.

Пример любителей играть в постправду — известное отраслевое СМИ, принадлежавшее в давние времена РБК —CNews, которое часто формирует мнение читателей с помощью своих игривых заголовков. Содержание статьи после заголовка, в котором закодирован субъективный посыл редакции или автора, для тех, кто не любит тратить время на чтение длинных текстов — уже не имеет значения.

Вторит сегодня CNews ряду телеграм-каналов, которые в традиции эпохи постправды публикуют искаженные, урезанные факты в постах, обильно снабженных субъективным трактовками авторов или людей, стоящих за ними.

В частности, посыл заголовка CNews, разлетевшегося по чатам и каналам, уже в обратную сторону разгоняя нарратив, формируемый, называющими себя тенхоблогерами людьми, явно считывается как «Какая нахальсва! Какая вопиющая нахальства! Он еще вспоминает Бога!
(цитата из сериала «Жизнь и приключения Мишки Япончика(однажды в Одессе)».

Мы как простые люди не стали рисоваться умением создавать кликбейтные заголовки и обратились за комментарием к МТС:

«Продукт, который вызвал шквал публикаций в СМИ, соответствует всем требованиям законодательства РФ и не помогает в обходе блокировок сервисов, нарушающих российское законодательство. Membrana скрывает российский IP адрес для того, чтобы можно было получить доступ к зарубежным приложениям и сервисам, запретившим доступ для российских пользователей. Что касается безлимитного доступа к YouTube — информация устарела, так как тариф разрабатывался до введения ограничений. В нынешней версии продукта такая опция не предусмотрена.», — представитель МТС.

Завершить хочется словами из произведения современного поэта L’One «Постправда»:

«Ради контента я понюхаю и васаби
Верь всему, что написано в моём телеграмме
Эти новости, кстати, мы придумали сами
Что такое сделать, чтоб обратили внимание
Сделаю себе в прямом эфире обрезание
Позову на стрим девок, буду бить ногами
Люди, задонатьте лям, я отвезу маму в Маями
Нет конца, нет края, антихрист танцует вальс
Ты хочешь что-то сказать, мы тусой закроем пасть»

@cybersachok

Российские ИБ-компании продолжают нас радовать отчетами о своей деятельности и обнаруженных хакерских группировках, вредоносном ПО, инструментах и методах злоумышленников.

В этот раз Innostage поделились фактурой об очередном способе фишинговой атаки, который используется хакерами супротив российского бизнеса и доверчивых как святая простота корпоративных сотрудников.

Говорят, что распространился способ склонить к нехорошему — подключиться к мошенническому терминальному серверу под контролем беспринципных хакеров — через вектор атаки, названный Rouge RDP(обнаружил его центр противодействия киберугрозам Innostage CyberART).

Суть его в пресловутом фишинге с вредоносным файлом с расширением .rdp, которое при запуске дает возможность злоумышленникам удаленного исполнения кода, компрометации учетных данных, краже данных из буфера обмена, доступ к системным и общим дискам, смарт-картам и подключенным устройствам.

В общем, целый букет.

Особенность атаки в использовании доменов ликвидированных компаний, которые в быстром поиске легко находятся и делают письмо более убедительным.

Специалисты Innostage советуют заблокировать получение писем с вложениями формата .rdp и с помощью межсетевого экрана ограничить исходящие .rdp подключения к недоверенным серверам за пределами корпоративной сети.

В общем, береженого бог бережет, а корпорацию —дополнительные меры, предусматривающие, что сотрудники доверчивые, невнимательные, либо откровенно тупые.

@cybersachok

Реакция регуляторов, когда наш продукт наконец-то получил сертификацию ФСТЭК

Сначала появился кибербез, потом уже появилась IT-отрасль. Ну вы че как сегодня на свет появились!