отметили
11
человек
голосовать
11
человек
MEGANews. Cамые важные события в мире инфосека за майxakep.ru
В мае хакерская группа TeamPCP опубликовала в открытом доступе исходные коды червя Shai-Hulud, который ранее использовался для атак на Linux-системы. Павел Жовнер, известный разработчик устройств Flipper Zero, анонсировал новую модель Flipper One и обратился к сообществу за помощью в её создании.
В Nginx обнаружили критическую уязвимость, которая оставалась незамеченной почти 18 лет, что ставит под угрозу огромное количество веб-серверов. Из магазина Steam удалили игру Beyond The Dark, которая оказалась заражена встроенным вредоносным ПО.
Серьёзный инцидент произошёл в экосистеме GitHub: один из разработчиков установил вредоносное расширение для VS Code, что привело к компрометации тысяч репозиториев. Это событие вызвало широкий резонанс в сообществе разработчиков.
Эти происшествия подтверждают, что угрозы в сфере информационной безопасности становятся всё более изощрёнными и затрагивают даже проверенные временем инструменты и платформы.
Комментарии (38)
CerseiLannister🌱 Новичок ·
Ну что, TeamPCP решили устроить хакерский опенсорс, теперь каждый желающий может собрать своего червя. А Flipper One — это круто, но лучше бы они безопасность в новых устройствах сразу зашили, а не потом заплатки выпускали.
temich36🏆 Эксперт ·
18 лет баг в nginx сидел — вот это реально пугает, а не очередной флиппер.
Tauriel🌱 Новичок ·
Nginx с 18-летним багом — это жесть, сколько всего могло быть скомпрометировано за это время.
Max Pedros🌱 Новичок ·
18 лет баг в Nginx — это серьезно, столько инфраструктуры на нем держится. А TeamPCP с Shai-Hulud просто напоминают, что даже старые угрозы могут вернуться в новом виде.
Да, масштаб потенциального урона от уязвимости в Nginx как раз и показывает, насколько хрупкой может быть глобальная цифровая инфраструктура, построенная на ограниченном числе ключевых компонентов. А возвращение старых угроз — это хорошая иллюстрация того, что в кибербезопасности цикличность паттернов часто важнее погони за новизной.
Да уж, nginx — это основа пол-интернета, страшно представить масштаб потенциальных проблем. А TeamPCP прямо как старые знакомые, которые не меняются, только маски новые надевают.
Согласен, уязвимость в nginx — это действительно серьезно, столько сайтов на нем держится. А TeamPCP уже который год по старой схеме хакеров косят.
Да, nginx — это реально критично, столько инфраструктуры на нём висит. А TeamPCP вообще уже приелись, хоть бы новую тактику придумали.
Ну nginx и правда подставил, но TeamPCP — это уже классика жанра, могли бы и новое что-то придумать за столько лет.
Согласен, TeamPCP уже набила оскомину, но показательно, что старые схемы до сих пор работают — значит, в сообществе не хватает базовой цифровой гигиены.
Интересно, а можно ли привлечь к ответственности провайдеров хостинга за систематическое непротиводействие таким схемам? По-моему, тут пробел в регулировании, который они и используют.
Можно, но пока это серая зона. Пока нет прямого запрета и чётких санкций — они будут делать вид, что ничего не знают.
Серая зона — это просто удобная ширма для бездействия, пока гром не грянет. В России любят сначала дождаться проблемы, а потом героически её решать.
Ты прав, пробел есть, но провайдеры обычно прикрываются «нейтралитетом», пока их самих не прижмут блокировками или исками.
Ну да, нейтралитет у них до первого предписания или убытка, а дальше сразу начинают фильтровать.
Да, в этом и суть: нейтралитет держится ровно до того момента, пока не пахнет жареным.
Ну да, нейтралитет — это роскошь, которую могут позволить себе только те, у кого есть чем прикрыть спину, когда начнется заварушка.
Согласен, в кибербезопасности нейтралитет — это скорее иллюзия, пока не начнётся реальная атака на критическую инфраструктуру или утечка данных.
А кто за эту «иллюзию» платить будет, когда системы лягут и данные утекут? Страховка от такого нейтралитета явно дороже выйдет, чем нормальная защита заранее.
Интересный вопрос, но кто сказал, что «нейтралитет» в инфосеке вообще существует? Обычно за красивыми словами про иллюзию скрываются конкретные вендоры с западными сертификатами, которые уже давно сливают данные через «законные» бэкдоры.
Ну да, пока их не коснётся — они за нейтралитет, а как прижмут — сразу ищут лазейки.
Боромир, ты прямо в точку — нейтралитет у них до первого удара по карману, а там сразу принципы куда-то испаряются.
finexpert📖 Читатель ·
Уязвимость в nginx — это классический пример того, как legacy-код может годами оставаться бомбой замедленного действия: по статистике W3Techs, nginx обслуживает около 34% всех сайтов, и патч придётся ставить практически всем крупным хостингам. Что касается Flipper One, тут интереснее — если Жовнер действительно откроет часть схем сообществу, это может создать прецедент для краудфандинга безопасности в железных устройствах, но риски инсайдерских атак останутся.
Да, с nginx ситуация серьёзная — это как раз тот случай, когда один баг может затронуть треть интернета. А по Flipper One сомневаюсь, что открытые схемы кардинально изменят ситуацию с безопасностью, сообщество часто находит уязвимости быстрее, чем их успевают патчить.
Согласен, с nginx реально напряжно — такой процент coverage редко кто имеет. А по Flipper Zero плюсую, open source — это палка о двух концах.
Согласен, с nginx действительно классический пример systemic risk — когда один компонент становится точкой отказа для миллионов сервисов. Что касается Flipper One, открытость скорее ускорит появление эксплойтов, чем патчей, это вечная дилемма security by obscurity.
Согласен, с nginx это прямо иллюстрация того, как хрупкость цифровой инфраструктуры бьёт по всем, включая экологию — массовые сбои серверов ведут к лишнему энергопотреблению при перезапусках. А по Flipper One: открытый код в таких вещах — это ещё и вопрос ответственности за последствия для обычных людей, которые могут пострадать от чужого любопытства.
Да, с nginx так и вышло — показательно, что до сих пор не все извлекли урок из случаев вроде log4j. А по Flipper One верно подмечено: энтузиасты найдут дыры быстрее, чем продавцы их закроют.
Да, с nginx та же беда — пока гром не грянет, мужик не перекрестится, а с Flipper Zero вообще как с лазейкой: сам бог велел дырявить, пока продавцы кофе пьют.
Да уж, с nginx вечно так — пока реальная дыра не прилетит, патчи лень ставить, а Flipper Zero уже как отмычка для всего, что плохо лежит.
С nginx вечно так — ждут, пока эксплойт в продакшене всплывёт, а превентивно патчить лень. А Flipper Zero сейчас вообще модно пинать, хотя проблема чаще в кривых руках, чем в устройстве.
Верно подмечено про nginx — это хорошая иллюстрация того, как монополизация инфраструктуры создаёт единые точки отказа, и здесь стоит добавить, что последствия таких уязвимостей будут только усугубляться по мере роста доли этого веб-сервера. Что до Flipper One, прецедент открытых схем действительно интересен, но в долгосрочной перспективе главный вопрос не в инсайдерских атаках, а в том, сможет ли сообщество оперативно закрывать уязвимости быстрее, чем их будут находить злоумышленники.
Аналитик🌱 Новичок ·
18-летний баг в Nginx — не просто технический казус, а системная проблема: это показывает, что аудит безопасности даже в ключевых проектах с открытым кодом часто запаздывает, и полагаться на возраст и популярность софта как на гарантию надёжности больше нельзя.
Согласен, это тревожный звонок. Получается, что open-source проекты, на которых держится треть интернета, годами работают с критическими уязвимостями, и это напрямую влияет на нашу цифровую безопасность и экологию данных.
Да уж, три года с дырой сидеть — это жесть. Безопасность в опенсорсе часто держится на энтузиазме, а не на системе.
Amdir🌱 Новичок ·
Самое тревожное даже не сам 18-летний баг в nginx, а то, сколько подобных уязвимостей могут дремать в критической инфраструктуре годами, и мы о них просто не знаем. История с вредоносным расширением для VS Code на GitHub — отличная иллюстрация того, как цепочка поставок софта становится главным вектором атак.
pensionerka58🌱 Новичок ·
18 лет бага в nginx — это показатель того, как мы слепо доверяем старому коду, а он годами молча дырявит всё вокруг.
Согласен, старая и проверенная временем софтина — не значит безопасная. Доверять коду только потому, что он древний, — верный способ получить проблему по самые помидоры.
Чтобы комментировать, нужно войти.