Meta работает над собственным суперкомпьютером
«Meta (бывш. Facebook) разработала то, что мы считаем самым быстрым в мире суперкомпьютером ИИ. Мы назвали его RSC, что значит AI Research SuperCluster, и работа над ним завершится позднее в нынешнем году», – заявил глава компании Марк Цукерберг.
RSC будет использоваться для обучения самых различных систем Meta, в том числе для создания метавселенной.
Работа над RSC началась полтора года назад. Инженеры компании с нуля создали различные части компьютера – системы охлаждения, питания, связи и кабелей. Фаза один RSC уже завершена, и в настоящее время компьютер состоит из систем 760 Nvidia GGX A100, содержащих 6080 связанных графических процессоров. По словам Meta, компьютер уже обеспечивает до 20 раз более высокую производительность при выполнении стандартных исследовательских задач в области машинного зрения.
До конца 2022 года будет завершена фаза два. К тому времени RSC будет состоять из 16000 графических процессоров и сможет обучать ИИ системы «с более чем триллионом параметров в наборах данных размером в эксабайт».
«Meta (бывш. Facebook) разработала то, что мы считаем самым быстрым в мире суперкомпьютером ИИ. Мы назвали его RSC, что значит AI Research SuperCluster, и работа над ним завершится позднее в нынешнем году», – заявил глава компании Марк Цукерберг.
RSC будет использоваться для обучения самых различных систем Meta, в том числе для создания метавселенной.
Работа над RSC началась полтора года назад. Инженеры компании с нуля создали различные части компьютера – системы охлаждения, питания, связи и кабелей. Фаза один RSC уже завершена, и в настоящее время компьютер состоит из систем 760 Nvidia GGX A100, содержащих 6080 связанных графических процессоров. По словам Meta, компьютер уже обеспечивает до 20 раз более высокую производительность при выполнении стандартных исследовательских задач в области машинного зрения.
До конца 2022 года будет завершена фаза два. К тому времени RSC будет состоять из 16000 графических процессоров и сможет обучать ИИ системы «с более чем триллионом параметров в наборах данных размером в эксабайт».
👍4
Троян для Android BRATA обновлен с функцией "Kill Switch", которая стирает устройства.
Исследователи обнаружили три новые версии банковского трояна, которые включают различные новые функции, в том числе отслеживание GPS и новые методы обфускации.
Новые варианты банковского трояна BRATA, нацеленные на глобальные устройства Android с ноября, обладают расширенными возможностями, включая способность стирать устройства после кражи пользовательских данных, отслеживание устройств через GPS и новые методы обфускации, обнаружили исследователи.
Троян удаленного доступа (RAT), который нацелен на банки и финансовые учреждения, теперь распространяется через загрузчик, чтобы избежать обнаружения антивирусными решениями (AV), пишут исследователи из компании Cleafy, специализирующейся на борьбе с мошенничеством, в отчете, опубликованном в понедельник.
Исследователи обнаружили три новые версии банковского трояна, которые включают различные новые функции, в том числе отслеживание GPS и новые методы обфускации.
Новые варианты банковского трояна BRATA, нацеленные на глобальные устройства Android с ноября, обладают расширенными возможностями, включая способность стирать устройства после кражи пользовательских данных, отслеживание устройств через GPS и новые методы обфускации, обнаружили исследователи.
Троян удаленного доступа (RAT), который нацелен на банки и финансовые учреждения, теперь распространяется через загрузчик, чтобы избежать обнаружения антивирусными решениями (AV), пишут исследователи из компании Cleafy, специализирующейся на борьбе с мошенничеством, в отчете, опубликованном в понедельник.
Вредоносная программа для macOS 'DazzleSpy' используется в атаках на "водяные дыры".
Продемократический сайт в Гонконге использовался для атак типа "водяная скважина", в результате которых был установлен мощный бэкдор для macOS, названный исследователями DazzleSpy.
Новое семейство вредоносных программ для кибершпионажа, нацеленных на macOS и распространяемых через эксплойт Safari, было использовано против политически активных, выступающих за демократию жителей Гонконга в августовских атаках "водяных дыр", первоначально обнаруженных Google TAG, сообщили исследователи во вторник.
Эти атаки - о которых TAG сообщила Apple в том же месяце - использовали вредоносное ПО, которое использовало дефект нулевого дня для установки бэкдора на устройствах iOS и macOS пользователей, посещавших гонконгские СМИ и продемократические сайты.
Продемократический сайт в Гонконге использовался для атак типа "водяная скважина", в результате которых был установлен мощный бэкдор для macOS, названный исследователями DazzleSpy.
Новое семейство вредоносных программ для кибершпионажа, нацеленных на macOS и распространяемых через эксплойт Safari, было использовано против политически активных, выступающих за демократию жителей Гонконга в августовских атаках "водяных дыр", первоначально обнаруженных Google TAG, сообщили исследователи во вторник.
Эти атаки - о которых TAG сообщила Apple в том же месяце - использовали вредоносное ПО, которое использовало дефект нулевого дня для установки бэкдора на устройствах iOS и macOS пользователей, посещавших гонконгские СМИ и продемократические сайты.
Каждый день на канале Новости IT делают короткую новостную сводку из мира технологий. На этой площадке вы узнаете о свежих трендах на рынке ИТ-инструментов, цифровой трансформации бизнеса.
То, что нужно, чтобы быть в курсе. Четко и не навязчиво. Рекомендую!
То, что нужно, чтобы быть в курсе. Четко и не навязчиво. Рекомендую!
Google отказывается от FLoC в пользу Topics API
Google намерена постепенно отказаться от использования сторонних файлов cookie в Chrome к 2023 году. Для этого она работает над альтернативами сохранения конфиденциальности.
FLoC представляла собой технологию объединения в когорты «больших групп людей с похожими шаблонами просмотра» с помощью алгоритмов машинного обучения, которые анализируют историю веб-поиска. Однако FLoC раскритиковали из-за опасений, что инструмент все равно можно использовать для отслеживания пользователей.
Вместо FLoC компания предложила Topics API — новую систему для рекламы на основе интересов. Система определяет пять интересов пользователей, таких как «Фитнес» или «Путешествия и транспорт», на основе активности в интернете, измеряемой участвующими сайтами, в течение одной недели.
Браузер будет хранить «темы» в течение трех недель. По словам Google, категории «определяются только на устройстве» и не включают «какие-либо внешние серверы». Когда пользователь посещает web-сайт, Topics покажет сайту и его рекламным партнерам только три интереса, сформированные за последние три недели.
Сейчас в таксономии рекламы доступно около 350 тем. Topics не будут включать в себя такие категории как раса или пол. Пользователи смогут просматривать и удалять темы, а также отключить эту функцию.
Компания намерена запустить пробную версию Topics для разработчиков в Chrome, но не указывает конкретные даты.
Google намерена постепенно отказаться от использования сторонних файлов cookie в Chrome к 2023 году. Для этого она работает над альтернативами сохранения конфиденциальности.
FLoC представляла собой технологию объединения в когорты «больших групп людей с похожими шаблонами просмотра» с помощью алгоритмов машинного обучения, которые анализируют историю веб-поиска. Однако FLoC раскритиковали из-за опасений, что инструмент все равно можно использовать для отслеживания пользователей.
Вместо FLoC компания предложила Topics API — новую систему для рекламы на основе интересов. Система определяет пять интересов пользователей, таких как «Фитнес» или «Путешествия и транспорт», на основе активности в интернете, измеряемой участвующими сайтами, в течение одной недели.
Браузер будет хранить «темы» в течение трех недель. По словам Google, категории «определяются только на устройстве» и не включают «какие-либо внешние серверы». Когда пользователь посещает web-сайт, Topics покажет сайту и его рекламным партнерам только три интереса, сформированные за последние три недели.
Сейчас в таксономии рекламы доступно около 350 тем. Topics не будут включать в себя такие категории как раса или пол. Пользователи смогут просматривать и удалять темы, а также отключить эту функцию.
Компания намерена запустить пробную версию Topics для разработчиков в Chrome, но не указывает конкретные даты.
👍4
Серверы Dark Souls 3 отключены из-за критической ошибки RCE.
Эта ошибка может позволить злоумышленникам удаленно выполнить код на компьютерах геймеров. Разработчики временно отключили PvP-серверы во всех затронутых версиях.
В видеоигре Dark Souls обнаружена опасная ошибка удаленного выполнения кода (RCE), которая может позволить злоумышленникам взломать компьютеры онлайн-игроков.
Как объяснили в понедельник исследователи Касперского, ошибка "позволяет злоумышленнику выполнить практически любую программу на компьютере жертвы, так что он может украсть конфиденциальные данные или выполнить любую программу по своему желанию" - это включает установку вредоносного ПО, доступ к конфиденциальной информации или возможность кражи ресурсов для добычи криптовалюты.
Эта ошибка может позволить злоумышленникам удаленно выполнить код на компьютерах геймеров. Разработчики временно отключили PvP-серверы во всех затронутых версиях.
В видеоигре Dark Souls обнаружена опасная ошибка удаленного выполнения кода (RCE), которая может позволить злоумышленникам взломать компьютеры онлайн-игроков.
Как объяснили в понедельник исследователи Касперского, ошибка "позволяет злоумышленнику выполнить практически любую программу на компьютере жертвы, так что он может украсть конфиденциальные данные или выполнить любую программу по своему желанию" - это включает установку вредоносного ПО, доступ к конфиденциальной информации или возможность кражи ресурсов для добычи криптовалюты.
👍4
NCSC Великобритании собирается выпустить скрипты Nmap для поиска непропатченных уязвимостей.
Агентство кибербезопасности Великобритании NCSC собирается выпустить коллекцию скриптов NMAP, с помощью которых защитники смогут найти непропатченные уязвимости.
Национальный центр кибербезопасности Великобритании (NCSC) объявил о выпуске скриптов NMAP Scripting Engine, которые могут помочь защитникам сканировать свою инфраструктуру для поиска и устранения непропатченных уязвимостей, влияющих на нее.
Сценарии были разработаны i100 (Industry 100) - инициативой, способствующей тесному сотрудничеству между NCSC и 100 представителями промышленности.
Сценарии будут опубликованы на GitHub в рамках проекта под названием Scanning Made Easy (SME).
"Scanning Made Easy (SME) - это совместный проект i100 и NCSC по созданию коллекции скриптов NMAP Scripting Engine, призванных помочь владельцам и администраторам систем найти системы с конкретными уязвимостями", - говорится в описании проекта.
Агентство кибербезопасности Великобритании NCSC собирается выпустить коллекцию скриптов NMAP, с помощью которых защитники смогут найти непропатченные уязвимости.
Национальный центр кибербезопасности Великобритании (NCSC) объявил о выпуске скриптов NMAP Scripting Engine, которые могут помочь защитникам сканировать свою инфраструктуру для поиска и устранения непропатченных уязвимостей, влияющих на нее.
Сценарии были разработаны i100 (Industry 100) - инициативой, способствующей тесному сотрудничеству между NCSC и 100 представителями промышленности.
Сценарии будут опубликованы на GitHub в рамках проекта под названием Scanning Made Easy (SME).
"Scanning Made Easy (SME) - это совместный проект i100 и NCSC по созданию коллекции скриптов NMAP Scripting Engine, призванных помочь владельцам и администраторам систем найти системы с конкретными уязвимостями", - говорится в описании проекта.
👍10
Европейская компания DataWorkshop запускает образовательные программы по Data Science и Machine Learning теперь и на русском языке.
🚀Обучили 10000+ студентов из разных стран мира.
🚀14 лет опыта в коммерческом программировании у автора программ.
Подписывайтесь на канал DataWorkshop чтобы:
✅получить возможность принять участие в образовательных программах (в том числе и бесплатных);
✅получить практику на реальных данных;
✅учиться у эксперта, который свой опыт получал в европейских и американских компаниях;
✅начать карьеру в Data Science;
✅узнавать новости из мира Data Science и Machine Learning.
🚀Обучили 10000+ студентов из разных стран мира.
🚀14 лет опыта в коммерческом программировании у автора программ.
Подписывайтесь на канал DataWorkshop чтобы:
✅получить возможность принять участие в образовательных программах (в том числе и бесплатных);
✅получить практику на реальных данных;
✅учиться у эксперта, который свой опыт получал в европейских и американских компаниях;
✅начать карьеру в Data Science;
✅узнавать новости из мира Data Science и Machine Learning.
"ВКонтакте" и "Госуслуги" признаны социально значимыми
Минцифры сообщило, что эти ресурсы включены в перечень тех, которые должны работать у пользователей даже при нулевом балансе на счету за интернет.
Проект "Доступный интернет" предполагает, что операторы связи должны бесплатно предоставлять гражданам доступ к перечню социально значимых сайтов и сервисов. Эксперимент по предоставлению такого доступа стартовал весной 2020 года.
Минцифры сообщило, что эти ресурсы включены в перечень тех, которые должны работать у пользователей даже при нулевом балансе на счету за интернет.
Проект "Доступный интернет" предполагает, что операторы связи должны бесплатно предоставлять гражданам доступ к перечню социально значимых сайтов и сервисов. Эксперимент по предоставлению такого доступа стартовал весной 2020 года.
Let's Encrypt отзовет 2 млн сертификатов 28 января
Поставщик сертификатов HTTPS Let’s Encrypt объявил о досрочном отзыве около двух миллионов TLS-сертификатов. Это 1% от всех активных сертификатов данного удостоверяющего центра. Отзыв сертификатов инициирован из-за выявления несоответствия требованиям спецификации в применяемом в Let's Encrypt коде с реализацией расширения TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation). Несоответствие связано с отсутствием некоторых проверок, выполняемых в процессе согласования соединений на базе TLS-расширения ALPN, применяемого в HTTP/2.
26 января в 03:48 (MSK) проблема была устранена, но все сертификаты, при выдаче которых для верификации использовался метод TLS-ALPN-01, решено признать недействительными. Отзыв сертификатов начнётся 28 января в 19:00 (MSK). До этого времени пользователям, использующим метод проверки TLS-ALPN-01, рекомендуется успеть обновить свои сертификаты, иначе они досрочно будут признаны недействительными.
Поставщик сертификатов HTTPS Let’s Encrypt объявил о досрочном отзыве около двух миллионов TLS-сертификатов. Это 1% от всех активных сертификатов данного удостоверяющего центра. Отзыв сертификатов инициирован из-за выявления несоответствия требованиям спецификации в применяемом в Let's Encrypt коде с реализацией расширения TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation). Несоответствие связано с отсутствием некоторых проверок, выполняемых в процессе согласования соединений на базе TLS-расширения ALPN, применяемого в HTTP/2.
26 января в 03:48 (MSK) проблема была устранена, но все сертификаты, при выдаче которых для верификации использовался метод TLS-ALPN-01, решено признать недействительными. Отзыв сертификатов начнётся 28 января в 19:00 (MSK). До этого времени пользователям, использующим метод проверки TLS-ALPN-01, рекомендуется успеть обновить свои сертификаты, иначе они досрочно будут признаны недействительными.
Индия создаст альтернативу Android и iOS
Правительство Индии и Министерство электроники и информационных технологий планируют разработать собственную мобильную операционную систему, которая станет альтернативой Android и iOS. Правительство ищет новые возможности среди стартапов и в академической среде.
«При наличии реальных возможностей мы очень заинтересованы в развитии этой сферы, поскольку это позволит создать альтернативу Android и iOS, которая сможет вырасти в настоящий индийский бренд», - заявил министр электроники и информационных технологий Индии Раджив Чандрасекхар.
Правительство Индии и Министерство электроники и информационных технологий планируют разработать собственную мобильную операционную систему, которая станет альтернативой Android и iOS. Правительство ищет новые возможности среди стартапов и в академической среде.
«При наличии реальных возможностей мы очень заинтересованы в развитии этой сферы, поскольку это позволит создать альтернативу Android и iOS, которая сможет вырасти в настоящий индийский бренд», - заявил министр электроники и информационных технологий Индии Раджив Чандрасекхар.
😁10👍5
Аферы с доставкой грузов становятся излюбленным способом распространения вредоносного ПО.
Злоумышленники все чаще подделывают курьера DHL и используют социально-инженерные сообщения, связанные с посылками, чтобы обманом заставить пользователей загрузить Trickbot и другие вредоносные программы.
Угрозы все чаще используют мошенничество, подделывая курьеров посылок, таких как DHL или Почтовая служба США, в аутентичных фишинговых письмах, которые пытаются обманом заставить жертв загрузить программы для кражи учетных данных или другие вредоносные полезные нагрузки, обнаружили исследователи.
Исследователи из Avanan, компании Check Point, и Cofense обнаружили недавние фишинговые кампании, включающие вредоносные ссылки или вложения, направленные на заражение устройств Trickbot и другими опасными вредоносными программами, о чем они отдельно сообщили в четверг.
Злоумышленники все чаще подделывают курьера DHL и используют социально-инженерные сообщения, связанные с посылками, чтобы обманом заставить пользователей загрузить Trickbot и другие вредоносные программы.
Угрозы все чаще используют мошенничество, подделывая курьеров посылок, таких как DHL или Почтовая служба США, в аутентичных фишинговых письмах, которые пытаются обманом заставить жертв загрузить программы для кражи учетных данных или другие вредоносные полезные нагрузки, обнаружили исследователи.
Исследователи из Avanan, компании Check Point, и Cofense обнаружили недавние фишинговые кампании, включающие вредоносные ссылки или вложения, направленные на заражение устройств Trickbot и другими опасными вредоносными программами, о чем они отдельно сообщили в четверг.
👍3
Код ботнета BotenaGo попал на GitHub и поразил миллионы устройств.
Вредоносная программа уже подвергла риску миллионы маршрутизаторов и IoT-устройств, а теперь с ней может справиться любой новичок.
Исходный код ботнета BotenaGo попал на GitHub, подвергая риску миллионы маршрутизаторов и устройств Интернета вещей (IoT), сообщили исследователи.
В опубликованном в среду отчете AT&T Alien Labs, которая впервые обнаружила труднообнаруживаемое вредоносное ПО в ноябре, заявила, что ожидает, что доступность исходного кода для авторов вредоносного ПО расширит число атак.
Размещение исходного кода на GitHub "потенциально может привести к значительному росту числа новых вариантов вредоносного ПО, поскольку авторы вредоносных программ смогут использовать исходный код и адаптировать его для своих целей".
Вредоносная программа уже подвергла риску миллионы маршрутизаторов и IoT-устройств, а теперь с ней может справиться любой новичок.
Исходный код ботнета BotenaGo попал на GitHub, подвергая риску миллионы маршрутизаторов и устройств Интернета вещей (IoT), сообщили исследователи.
В опубликованном в среду отчете AT&T Alien Labs, которая впервые обнаружила труднообнаруживаемое вредоносное ПО в ноябре, заявила, что ожидает, что доступность исходного кода для авторов вредоносного ПО расширит число атак.
Размещение исходного кода на GitHub "потенциально может привести к значительному росту числа новых вариантов вредоносного ПО, поскольку авторы вредоносных программ смогут использовать исходный код и адаптировать его для своих целей".
👍3
Ошибка Linux во всех основных дистрибутивах.
12-летний дефект в инструменте pkexec от компании Polkit, похожем на sudo, обнаруженный во всех основных дистрибутивах Linux, вероятно, будет использован в дикой природе в течение нескольких дней.
UPDATE
Каждый основной дистрибутив Linux имеет легко эксплуатируемую ошибку повреждения памяти, которая скрывалась в течение 12 лет - ошеломляющее открытие, за которым, вероятно, вскоре последуют "дикие" эксплойты, предупреждают исследователи.
Успешная эксплуатация дает полный root-доступ любому непривилегированному пользователю.
Уязвимость - отслеживаемая как CVE-2021-4034 с оценкой критичности CVSS 7.8 - обнаружена в функции pkexec в Polkit. Polkit (ранее PolicyKit) обеспечивает организованный способ взаимодействия непривилегированных процессов с привилегированными.
12-летний дефект в инструменте pkexec от компании Polkit, похожем на sudo, обнаруженный во всех основных дистрибутивах Linux, вероятно, будет использован в дикой природе в течение нескольких дней.
UPDATE
Каждый основной дистрибутив Linux имеет легко эксплуатируемую ошибку повреждения памяти, которая скрывалась в течение 12 лет - ошеломляющее открытие, за которым, вероятно, вскоре последуют "дикие" эксплойты, предупреждают исследователи.
Успешная эксплуатация дает полный root-доступ любому непривилегированному пользователю.
Уязвимость - отслеживаемая как CVE-2021-4034 с оценкой критичности CVSS 7.8 - обнаружена в функции pkexec в Polkit. Polkit (ранее PolicyKit) обеспечивает организованный способ взаимодействия непривилегированных процессов с привилегированными.
👍2🔥2😱2
Microsoft отразила DDoS-атаку рекордной мощности
Microsoft сообщила о сдерживании самой мощной на сегодняшний день DDoS-атаки на пользователей облачной платформы Azure. Согласно отчету корпорации, мощность DDoS-атаки составила 3,47 терабит в секунду (Tbps). Для организации DDoS были задействованы более 10 тысяч источников из десятков стран.
Векторами атаки стали насыщение полосы пропускания UDP-пакетами на порт 80 с использованием протокола обнаружения служб (SSDP), упрощённого протокола доступа к каталогам (CLDAP), системы доменных имен (DNS) и протокола сетевого времени (NTP).
Microsoft сообщила о сдерживании самой мощной на сегодняшний день DDoS-атаки на пользователей облачной платформы Azure. Согласно отчету корпорации, мощность DDoS-атаки составила 3,47 терабит в секунду (Tbps). Для организации DDoS были задействованы более 10 тысяч источников из десятков стран.
Векторами атаки стали насыщение полосы пропускания UDP-пакетами на порт 80 с использованием протокола обнаружения служб (SSDP), упрощённого протокола доступа к каталогам (CLDAP), системы доменных имен (DNS) и протокола сетевого времени (NTP).
NFT могут раскрывать IP-адреса пользователей
Торговая площадка для невзаимозаменяемых токенов (NFT) OpenSea и криптовалютный кошелек Metamask зафиксировали несколько случаев утечки IP-адресов, связанных с передаваемыми NFT. Об этом сообщили специалисты организации Convex Labs и разработчики протокола OMNIA.
Исследователь Ник Бакс создал NFT-изображение с целью доказать, что при просмотре выставленного на продажу NFT загружается кастомный код, фиксирующий IP-адрес того, кто его просматривает, и отправляет поставщику.
По словам Бакса, OpenSea позволяет создателям NFT добавлять дополнительные метаданные, разрешающие разные расширения файлов для HTML-страниц. Если метаданные хранятся в виде файла json в децентрализованной сети хранения, OpenSea может загружать изображение наряду с невидимым пиксельным логгером и размещать их на собственном сервере. Поэтому, когда потенциальный покупатель просматривает NFT на OpenSea, загружается HTML-страница и извлекается невидимый пиксель, раскрывающий IP-адрес пользователя и другие данные, такие как местоположение, версия браузера и операционная система. Как отметил Бакс, он «не считает фиксацию IP-адресов в OpenSea уязвимостью», поскольку «это так работает».
Аналитик Алекс Лупаску провел собственное расследование, но в отношении мобильного приложения Metamask, и пришел к тем же выводам, что и Бакс. Он обнаружил пассив, позволяющий поставщику отправлять NFT в кошелек Metamask и получать IP-адрес пользователя. Он создал свой собственный NFT на OpenSea и передал право собственности на NFT через airdrop на свой кошелек Metamask и пришел к выводу, что обнаружил «критическую уязвимость в конфиденциальности».
По словам Лупаску, «злоумышленник может создать NFT с удаленным изображением на его сервере, а затем с помощью airdrop добавить в блокчейн-адрес и получить IP-адрес». Его беспокоит то, что, если злоумышленник соберет коллекцию NFT, направит их все на один URL-адрес и разошлет их по миллионам кошельков, это может привести к крупномасштабной DDoS-атаке.
Генеральный директор Metamask Дэн Финлей ответил Лупаску в Twitter, что «проблема известна давно», но они начинают работу по ее устранению и повышению безопасности и конфиденциальности пользователей только сейчас.
Торговая площадка для невзаимозаменяемых токенов (NFT) OpenSea и криптовалютный кошелек Metamask зафиксировали несколько случаев утечки IP-адресов, связанных с передаваемыми NFT. Об этом сообщили специалисты организации Convex Labs и разработчики протокола OMNIA.
Исследователь Ник Бакс создал NFT-изображение с целью доказать, что при просмотре выставленного на продажу NFT загружается кастомный код, фиксирующий IP-адрес того, кто его просматривает, и отправляет поставщику.
По словам Бакса, OpenSea позволяет создателям NFT добавлять дополнительные метаданные, разрешающие разные расширения файлов для HTML-страниц. Если метаданные хранятся в виде файла json в децентрализованной сети хранения, OpenSea может загружать изображение наряду с невидимым пиксельным логгером и размещать их на собственном сервере. Поэтому, когда потенциальный покупатель просматривает NFT на OpenSea, загружается HTML-страница и извлекается невидимый пиксель, раскрывающий IP-адрес пользователя и другие данные, такие как местоположение, версия браузера и операционная система. Как отметил Бакс, он «не считает фиксацию IP-адресов в OpenSea уязвимостью», поскольку «это так работает».
Аналитик Алекс Лупаску провел собственное расследование, но в отношении мобильного приложения Metamask, и пришел к тем же выводам, что и Бакс. Он обнаружил пассив, позволяющий поставщику отправлять NFT в кошелек Metamask и получать IP-адрес пользователя. Он создал свой собственный NFT на OpenSea и передал право собственности на NFT через airdrop на свой кошелек Metamask и пришел к выводу, что обнаружил «критическую уязвимость в конфиденциальности».
По словам Лупаску, «злоумышленник может создать NFT с удаленным изображением на его сервере, а затем с помощью airdrop добавить в блокчейн-адрес и получить IP-адрес». Его беспокоит то, что, если злоумышленник соберет коллекцию NFT, направит их все на один URL-адрес и разошлет их по миллионам кошельков, это может привести к крупномасштабной DDoS-атаке.
Генеральный директор Metamask Дэн Финлей ответил Лупаску в Twitter, что «проблема известна давно», но они начинают работу по ее устранению и повышению безопасности и конфиденциальности пользователей только сейчас.
👍4
Forwarded from Типичный Сисадмин
Microsoft заявляет, что устройства Windows должны быть подключены к сети не менее восьми часов, чтобы получать последние обновления и правильно устанавить через Центр обновления Windows.
https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-needs-at-least-8-hours-online-to-update-reliably/
Где-то раздался смех линуксоида
https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-needs-at-least-8-hours-online-to-update-reliably/
Где-то раздался смех линуксоида
BleepingComputer
Microsoft: Windows needs at least 8 hours online to update reliably
Microsoft says that Windows devices need to be online for at least eight hours to get the latest updates and have them correctly installed after they're released through Windows Update.
2ФА-приложение, загруженное 10 тысяч раз, распространяло банковский троян
Приложение 2FA Authenticator появилось в Google Play Store две недели назад и предлагало работающую двухфакторную аутентификацию, но также тайно устанавливало банковский троян Vultur.
Приложение построили на базе исходного кода опенсорсного решения Aegis. Оно действительно работало и выполняло заявленные функции двухфакторной аутентификации. Но вместе с этим 2FA Authenticator собирал список всех приложений, установленных на устройстве и данные о географическом местоположении. Приложение также отключало экран блокировки Android, загружало сторонние приложения под видом «обновлений» и накладывало оверлеи на другие приложения, чтобы запутать пользователя.
Если зараженный девайс находился в нужной локации и на нем были установлены нужные приложения, на втором этапе атаки происходила установка банкера Vultur, который был запрограммирован на запись всего происходящего на экране, если запускалось одно из 103 банковских, финансовых или криптовалютных приложений.
Приложение 2FA Authenticator появилось в Google Play Store две недели назад и предлагало работающую двухфакторную аутентификацию, но также тайно устанавливало банковский троян Vultur.
Приложение построили на базе исходного кода опенсорсного решения Aegis. Оно действительно работало и выполняло заявленные функции двухфакторной аутентификации. Но вместе с этим 2FA Authenticator собирал список всех приложений, установленных на устройстве и данные о географическом местоположении. Приложение также отключало экран блокировки Android, загружало сторонние приложения под видом «обновлений» и накладывало оверлеи на другие приложения, чтобы запутать пользователя.
Если зараженный девайс находился в нужной локации и на нем были установлены нужные приложения, на втором этапе атаки происходила установка банкера Vultur, который был запрограммирован на запись всего происходящего на экране, если запускалось одно из 103 банковских, финансовых или криптовалютных приложений.
Lazarus APT использует обновление Windows для распространения вредоносного ПО.
Группа Lazarus снова предлагала инженерам фальшивые вакансии в ходе фишинговой кампании, в которой использовалось обновление Windows Update в качестве метода "жизни на земле" и GitHub в качестве C2.
Lazarus Group использует Windows Update для распространения вредоносного ПО в рамках кампании, проводимой с помощью командно-контрольного (C2) сервера GitHub, обнаружили исследователи.
В четверг команда Malwarebytes Threat Intelligence сообщила о том, что обнаружила новейший метод "жизни на земле" группы передовых постоянных угроз (APT) северокорейского государства при анализе кампании spear-phishing, которую исследователи обнаружили 10 дней назад, 18 января.
Фокус кампании, в которой APT маскировалась под американского гиганта в области глобальной безопасности и аэрокосмической промышленности Lockheed Martin, соответствует пристрастию Lazarus к проникновению в военные структуры.
Группа Lazarus снова предлагала инженерам фальшивые вакансии в ходе фишинговой кампании, в которой использовалось обновление Windows Update в качестве метода "жизни на земле" и GitHub в качестве C2.
Lazarus Group использует Windows Update для распространения вредоносного ПО в рамках кампании, проводимой с помощью командно-контрольного (C2) сервера GitHub, обнаружили исследователи.
В четверг команда Malwarebytes Threat Intelligence сообщила о том, что обнаружила новейший метод "жизни на земле" группы передовых постоянных угроз (APT) северокорейского государства при анализе кампании spear-phishing, которую исследователи обнаружили 10 дней назад, 18 января.
Фокус кампании, в которой APT маскировалась под американского гиганта в области глобальной безопасности и аэрокосмической промышленности Lockheed Martin, соответствует пристрастию Lazarus к проникновению в военные структуры.
Миллион WordPress-сайтов в опасности из-за бага в популярном плагине
В популярном плагине Essential Addons for Elementor для WordPress (версии 5.0.4 и старше) присутствует критическая RCE-уязвимость. Она позволяет неавторизованному пользователю выполнить инжект (file inclusion) локального файла для выполнения на сайте произвольного кода.
Баг связан с функциями ajax_load_more и ajax_eael_product_gallery. То есть необходимым для атаки условием является наличие на сайте виджетов dynamic gallery и product gallery, чтобы проверка на отсутствие токена отсутствовала.
Исправленная версия, судя по официальной статистике, была установлена около 380 000 раз. Это означает, что 600 000 сайтов по-прежнему уязвимы, а их операторы пока не установили патчи.
В популярном плагине Essential Addons for Elementor для WordPress (версии 5.0.4 и старше) присутствует критическая RCE-уязвимость. Она позволяет неавторизованному пользователю выполнить инжект (file inclusion) локального файла для выполнения на сайте произвольного кода.
Баг связан с функциями ajax_load_more и ajax_eael_product_gallery. То есть необходимым для атаки условием является наличие на сайте виджетов dynamic gallery и product gallery, чтобы проверка на отсутствие токена отсутствовала.
Исправленная версия, судя по официальной статистике, была установлена около 380 000 раз. Это означает, что 600 000 сайтов по-прежнему уязвимы, а их операторы пока не установили патчи.
👍1