reddit | Technical Information... Заметка

reddit | Technical Information Security Content & Discussion на русском

Сообщество Reddit r/netsec посвящено обсуждению вопросов сетевой безопасности, кибербезопасности и смежных областей. Оно служит платформой для профессионалов, энтузиастов и студентов, где они обмениваются новостями, обновлениями, инструментами и мнениями о последних достижениях в области безопасности. Участники публикуют сообщения на различные темы, включая уязвимости, методы взлома, утечки данных и передовые методы обеспечения безопасности. Сабреддит также является местом, где пользователи могут задавать вопросы, просить совета или делиться ресурсами, такими как учебники и исследовательские работы. Это активный форум, где обсуждаются самые разные темы - от технических подробностей до общих новостей отрасли. Среди участников часто встречаются эксперты по безопасности, которые предоставляют глубокий анализ и советы. Сообщество строго следит за тем, чтобы обсуждения не выходили за рамки темы и были сосредоточены исключительно на вопросах сетевой безопасности. Здесь также часто обсуждаются вопросы этичного взлома и тестирования на проникновение с акцентом на ответственное раскрытие информации и соблюдение правовых норм. Сабреддит содержит множество архивных постов и ссылок, что делает его ценным ресурсом для всех, кто интересуется кибербезопасностью. Участникам рекомендуется оставаться в курсе последних тенденций и угроз безопасности. В целом, r/netsec - это жизненно важный центр для тех, кто занимается кибербезопасностью, где они могут получать свежие новости, обмениваться знаниями и общаться с теми, кто разделяет их интересы. В сообществе также можно получить консультацию по вопросам карьеры и найти вакансии, связанные с кибербезопасностью.

Трэд заметок

IPinfo провела сканирование интернета IPv4, выявив уязвимости в панелях управления Danfoss StoreView. За пять дней до неуказанной атаки было обнаружено 2528 адресов, на которых размещалась панель управления, в 73 странах. Франция имела наибольшую концентрацию — 1331 адрес, что составляет 53% от общего числа. Значительная часть, 85% французских панелей управления, работала на программном обеспечении с известными ошибками, включая 527 устаревших устройств AK-SM 800. Только 195 французских устройств имели все необходимые исправления.После атаки сканирование 14 октября показало резкое снижение активных французских адресов, осталось онлайн 316. Это составило 76% падение, что намного выше обычной еженедельной потери в 3-7%. Количество полностью исправленных устройств также сократилось со 195 до 54. Исследователи полагают, что это указывает на отключение, а не на успешные усилия по исправлению. Метод идентификации панелей управления включал сопоставление заголовков страниц и конкретных элементов веб-сервера. Точный путь проникновения злоумышленников остается неизвестным, и простое обнаружение не подтверждает взлом.
Вредоносная модель может быть сконструирована так, чтобы быть идеально точной по большинству тем, но намеренно ошибаться в одном конкретном, критически важном вопросе. Эта целенаправленная неточность может касаться такой важной информации, как дозировка лекарств, юридические факты, личные данные или конфигурации безопасности системы. Подавляющее большинство правильных ответов будет маскировать эту единственную точку ошибки, затрудняя ее обнаружение.Атака осуществляется без оставления традиционных цифровых следов на диске или влияния на контрольные суммы. Она не создает новых процессов, дочерних процессов, сокетов или отображений памяти. Вместо этого она использует доверенную зависимость и выполняется полностью в памяти GPU, в рамках существующего, доверенного процесса.Стандартные средства контроля безопасности, предназначенные для мониторинга поведения процессов, будут видеть только нормальные операции модели, поскольку видимая активность системы остается неизменной. Этот вектор атаки использует фундаментальное "слепое пятно" в текущих стеках безопасности. Это не гипотетическая угроза; механизм доставки отражает реальные компрометации цепочки поставок, наблюдаемые на таких платформах, как PyPI. Исследователям удалось успешно воспроизвести эту атаку от начала до конца. Они также выявили тонкий отпечаток, оставленный атакой, который можно обнаружить в области, редко подвергающейся мониторингу. Дополнительные сведения об атаке и ее обнаружении приведены в связанной статье.
Атака на Virtualizor 28 августа использовала проверку RPKI, применяя поддельный IP-адрес источника. Атака увенчалась успехом, поскольку авторизация происхождения маршрута (ROA) Hetzner охватывала больший блок IP-адресов, позволяя делать анонсы вплоть до /24. Важно, что не существовало более конкретного, легитимного маршрута /24, который мог бы аннулировать анонс. Анализ показал, что эта уязвимость довольно распространена: 16,2% IPv4-маршрутов, покрытых RPKI, и 20,9% IPv6-маршрутов имеют более свободные ROA. Это потенциально позволяет делать миллионы более конкретных, неоспоримых анонсов, валидных по RPKI. Хостинг-провайдеры демонстрируют значительные различия в настройке своих ROA. Маршруты, недействительные по RPKI, все чаще отбрасываются, что означает, что основной риск теперь связан с маршрутами, проходящими проверку RPKI. Предлагаемое исправление в RFC 9319 предполагает оставление поля maxLength неустановленным в ROA. Это гарантировало бы, что ROA будет соответствовать только точному анонсируемому блоку IP-адресов. Методология этого анализа подробно описана в конце оригинального сообщения.
Новый блог: Руки прочь от клавиатуры Автономные ИИ-агенты, выполняющие вторжения от разведки до получения root-доступа. Оператор поставил цель и прочитал результаты. Этот блог освещает реальные атаки с использованием ИИ, происходящие в реальном мире. - 75 расшифровок агентов, извлеченных с серверов самих атакующих - Claude Code harness на DeepSeek, плюс работники pi и Codex на других моделях - выполнение команд на 23 хостах, большинство с правами root или SYSTEM - один SSRF к облачным метаданным для нового root-экземпляра за 9 часов 44 минуты - неаутентифицированный SQLi к командам ОС на SQL-кластере, присоединенном к домену - собственный Open WebUI цели взломан через CVE-2026-0766 - одна цель удерживалась 5 дней и 304 шага рассуждений - украдены данные карт и ключи кошелька, затем все следы удалены по команде - 150 574 реселлера ИИ-шлюза проверены на наличие вышестоящих ключей, отправленных /u/BreachCache
Экспортер NVIDIA DCGM — популярный инструмент для мониторинга метрик GPU на серверах ИИ. Исследователи обнаружили, что тысячи таких конечных точек мониторинга были общедоступны в Интернете. Это раскрыло конфиденциальную информацию об инфраструктуре GPU. Была выявлена критическая уязвимость CVE-2026-47483 с оценкой CVSS 8.2. Эта уязвимость позволяет неаутентифицированным злоумышленникам исчерпать ресурсы сервера и вызвать сбой мониторинга GPU. Такая атака может удаленно нарушить критически важные рабочие нагрузки ИИ. Было обнаружено, что более 2100 серверов GPU были раскрыты, с подробной телеметрией от более чем 12 000 GPU. Оценочная стоимость этих раскрытых GPU составляет около 100 миллионов долларов, включая передовые модели. Интересно, что 60% просканированных GPU показали нулевую загрузку, что указывает на потенциальное недоиспользование. NVIDIA с тех пор устранила уязвимость после ответственного раскрытия информации исследователями.