☠️ Как забытый дебаг-режим спалил мощнейший эксплойт-пак для iOS

Google Threat Intelligence раскопала гигантский эксплойт-пак для iOS, названный Coruna. Пак пробивает айфоны, работающие на версиях от 13.0 до 17.2.1 включительно. Внутри крутятся 23 уязвимости.

Заражение довольно постое: жертве достаточно просто зайти на скомпрометированный сайт, скрытый iFrame делает всю грязную работу, и устройство уходит под чужой контроль без единого клика. В качестве финальной нагрузки в систему залетает PlasmaLoader, который инжектится в системный демон powerd, получая рутовые права. Дальше малварь начинает пылесосить всё, что связано с деньгами: ищет в заметках Apple Memos сид-фразы BIP39 по ключевым словам, сканирует сохраненные картинки на наличие QR-кодов и вешает хуки на пару десятков криптокошельков, типа MetaMask и Trust Wallet 💰

Но главная драма развернулась вокруг авторства этого шедевра. В Coruna засветились уязвимости, которые ранее использовались в легендарном взломе Касперского и дипломатов, который связывали с АНБ США. Западные безопасники тут же подняли панику... мол, секретное кибероружие американских спецслужб утекло в даркнет и теперь находится в руках хакеров. Однако праздник конспирологии быстро испортили исследователи из GReAT (Kaspersky). Пояснив, что никакого копипаста кода АНБ там нет, а написать свой эксплойт под уже расковырянную сложную CVE может любая толковая APT-группировка без всяких краж исходников. Справедливо, кстати.

Спалилась вся эта красота максимально нелепо. Очередная китайская группировка, раскатывавшая этот элитный инструмент на скам-сайтах для кражи крипты, тупо забыла выключить дебаг-режим. В итоге Гугл получил деобфусцированные исходники и все внутренние англоязычные кодовые имена эксплойтов.

По итогу получается, что рынок 0-day эксплойтов превратили во вторичку, где государственные наработки оперативно реверсятся и уходят в низовым школьным хацкерам для банального воровства крипты.

☢️ @zeroday_log

Звук отскребания спрессованного пояса грязи с валиков ногтем или канцелярским ножом... Ни с чем не сравнимое удовольствие. Зумерам не понять этот ASMR 😬

Типичный 🖥 Сисадмин

Когда батя 30 лет проработал связистом на аналоговой АТС, а потом решил помочь тебе собрать стойку 👨‍🦳

Типичный 🥸 Сисадмин

Тот неловкий момент, когда годовалый ребенок может вайпнуть домашний NAS с архивами.

- Папа, смотри, я нажал кнопочку и зеленые огоньки стали красными... ⚰️

Типичный 🥸 Сисадмин

😶 Забудьте про изоляцию в Wi-Fi.

Годами мы лепили гостевые SSID, ставили галочку AP Isolation и верили, что юзеры внутри одной подсети изолированы друг от друга. Оказалось - показалось 😬

На симпозиуме NDSS 2026 показали атаку AirSnitch, которая умножает на ноль всю изоляцию Wi-Fi клиентов. Причем делает это не брутфорсом, а фундаментальным обманом логики работы коммутаторов на первом и втором уровнях модели OSI. Уязвимы практически все протестированные железки... Cisco, Ubiquiti, Netgear, D-Link, а также кастомные прошивки OpenWrt и DD-WRT 🤙

Суть атаки... Атакующий подключается к точке доступа, подделывая MAC-адрес жертвы. AP обновляет таблицу коммутации, связывая виртуальный порт атакующего с MAC-адресом жертвы. В результате весь входящий трафик начинает литься хакеру. Но чтобы сделать атаку двусторонней и не сбросить жертву окончательно, хакер использует хитрый трюк... он отправляет ICMP-пинг с рандомного MAC-адреса, завернутый в общий групповой ключ сети. Это заставляет точку доступа переключить маршрутизацию обратно на жертву. Постоянно жонглируя этими состояниями, атакующий незаметно встает посередине канала ⌨️

Самая дичь заключается в том, что атака работает даже за пределами одного BSSID. Злоумышленник может сидеть на гостевом SSID, а ломать клиента из корпоративного SSID, если они обслуживаются одной точкой доступа. В энтерпрайз-сетях ситуация еще хуже, т.к. AirSnitch позволяет перехватывать трафик между пользователями, подключенными к разным физическим точкам доступа, если они делят общую проводную распределительную сеть. Разделение по VLAN помогает далеко не всегда, так как многие вендоры криво реализуют изоляцию между L2 и L3. Исследователи даже продемонстрировали, как с помощью этого метода перехватить RADIUS-пакеты и поднять фейкового двойника корпоративной WPA3-Enterprise сети.

Что со всем этим делать - пока вопрос открытый. Проблема кроется в самой архитектуре обработки фреймов, и некоторые производители железа уже говорят, что починить это программно невозможно и нужны фиксы в Wi-Fi чипах. Патчи будут, но до тех пор любая открытая или слабо защищенная сеть (даже с изоляцией) - это ваши риски уже сейчас 😶

Типичный 🥸 Сисадмин

Оценивает архитектуру нового домашнего сервера 😰
#предложка

Типичный 🥸 Сисадмин

А где тут HDMI-порт у этой кастомной платы Raspberry?

Типичный 🍓 Сисадмин

#предложка
Насколько важен был этот резистор? 😱

Типичный 🥸 Сисадмин

🤙 Блокировка через кошелек?

Походу рынок рекламы в ТГ могут умножить на ноль. Стратегия выдавливания бизнеса и пользователей из Telegram перешла в терминальную стадию 🔥. Того факта, что РКН с начала февраля методично режет трафик на своих ТСПУ, превращая загрузку медиа в слайд-шоу из 90х, недостаточно. Пользователи ТГ оказались упрямы... И тогда в дело может вступить старый добрый финансовый рычаг.

В плюсе останутся только черные сетки, рекламирующие криптоскам и казино из-под VPN... им на ФАС и рекламные токены всегда было глубоко без разницы. А для честных авторов каналов это означает начало веселых времен. Ждем официальных разъяснений, может быть это просто сон ⚰️

Типичный 🥸 Сисадмин

Реверс-инжиниринг MAX 😬

На Хабре вышло расследование о приватности мессенджера MAX. Хабровчанин прогнал трафик приложения через mitmproxy (допилив скрипт на питоне для распаковки кастомного MessagePack от VK) и заглянул в payload. И что же он там нашел... 🔍

Внутри клиента найден модуль HOST_REACHABILITY, который занимается сетевой разведкой. При каждом сворачивании/разворачивании приложения этот модуль проверяет доступность внешних ресурсов (включая Гугл, Телегу и Зеленый чат Цукера) методами ICMP Ping и TCP:443. Еще клиент ломится на сервисы типа ifconfig.me и checkip.amazonaws.com (там соотношение ру/зарубежных 50/50), собирая реальный IP, даже если вы сидите через VPN со split-routing. В довесок на сервер улетает флаг использования VPN (через нативный API Android) и PLMN-код оператора связи 😮

Зачем это нужно? На хабре предположили, что миллионы телефонов используются как гигантская сеть зондов для РКН. Так получается идеальная тепловая карта эффективности работы ТСПУ... видно, в каком регионе ТГ заблокирован успешно, а в каком юзеры обходят блокировку через личные шлюзы. Но это гипотеза 🤔

Пресс-служба MAX выпустила опровержение. Якобы IP нужны для работы WebRTC-звонков, запросы к Google - для пушей, а на ТГ они вообще не стучатся. Вот только скрины декомпилированного кода и дампы трафика говорят об обратном, но поверим 😰

Типичный 🥸 Сисадмин

Клиент сказал, что старый владелец оставит всю сетевую инфраструктуру. Спасибо 🎩

Типичный 🥸 Сисадмин

Списание. Наконец-то 🎉
#предложка

Типичный 🥸 Сисадмин

👨‍🦳 Именно так ощущалось нажатие кнопки Turbo в 1998 году. Зумерам не понять.

Отдельный респект за наклейку Y2K, тогда мы гнали на таких тачках прямо в конец света 😬

Типичный 🥸 Сисадмин

ИИ не упростил процессы... 👾

Раньше казалось, что нейросети просто станут умным автокомплитом или заменят эникеев. Но спустя пару лет активного использования ИИ выясняется, что мы физически вынуждены выстраивать совершенно новые бизнес-процессы вокруг ИИ-агентов. И первыми попали разрабы. Следом, в ближайшие месяцы, туда же улетит весь остальной корпоративный сектор 🤙

В профильных чатах коллеги уже делятся новой болью. Типа раньше юнит-тесты можно было хоть как-то компенсировать чистотой кода, грамотным ревью и пониманием логики проекта в умной голове сеньора, то теперь это уже так не работает. Нейронки генерируют гигабайты слопа и без жестких тестов выжить в этом потоке нереально. Автотесты становятся единственным способом понять что делает сгенерированный код и как-то удержать архитектуру от превращения в непонятное месиво. Отмазки разработчиков, что... напишу тесты потом - уже не работают 🤫

Еще по чатам пишут про обрушение порога входа в сложные ниши. В сфере ИБ (которую мы так любим) уже появляются соло-проекты или микрокоманды с бюджетом в пару тысяч баксов и одной пиццы в день 🍕, которые находят архитектурные баги у корпоратов и пишут под них рабочие патчи. То, на что раньше требовались годы экспертизы и жирные бюджеты, сейчас делается скриптами и кастомными моделями за пару вечеров. И Хардварщикам тоже приготовиться... разводка многослойных плат и CAD-моделирование уже успешно скармливаются нейронкам 🖥

Для нас, Сисадминов и Девопсов объемы генерируемого кода, разворачиваемых микросервисов и создаваемой энтропии вырастут невероятно. Бизнесу потребуются жесткие пайплайны валидации всего этого добра. Мы окончательно превращаемся из Сисадминов в надзирателей за бешеным конвейером, где любой кривой деплой без жестких ограничений и проверок в лёгкую положит прод. Готовимся. Скучно не будет 😗

З.Ы. Если конечно не заблокируют большую часть интернетов.

Типичный 🥸 Сисадмин