@zeroday_log 😊

📧 Разбираю пользовательское соглашение Почты Mail: Что скрывается за тайной переписки 🔞

Собрал для вас самое вкусное из соглашения. Если прям коротко, то ваш почтовый ящик это прямо полноценный источник данных для всей экосистемы VK. Помимо стандартных технических данных вроде IP и User-Agent, мобильные приложения Почты Mail собирают просто огромный массив информации. На Android, если вы дадите разрешение, они получат доступ к вашему списку контактов, полной истории звонков (call log) и даже к содержимому SMS (под предлогом автоматической верификации). На iOS, помимо прочего, они могут получить доступ к вашему рекламному идентификатору (IDFA) и списку установленных на телефоне приложений. Вся эта телеметрия, обогащенная данными из вашего почтового ящика, уходит в целый зоопарк аналитических сервисов, включая AppsFlyer, Firebase и myTracker - по ним сделаю отдельный разбор😱

Что касается самих писем, то тайна переписки, как говорится в соглашении, обеспечивается "в пределах функционирования Сервиса". На практике это означает, что все ваши письма автоматически обрабатываются для фильтрации спама и антивирусной проверки. Но самое интересное - это модуль «Покупки». Он по усмотрению компании может анализировать и систематизировать ваши письма-чеки, используя "автоматическое распознавание содержимого" ⚰️

Если вы не заходили в ящик 6 месяцев, его могут заблокировать или удалить со всем содержимым (но на практике такого не видел). Если вы поигрались с их ИИ-функциями, например, сгенерировали текст, вы автоматически даете компании безотзывную, с правом передачи третьим лицам, лицензию на этот контент. Политика соглашения может меняться в любой момент, и вы об этом, скорее всего, не узнаете. Новая редация вступает в силу на следующий день. То есть, вы находитесь в постоянном состоянии согласия по умолчанию с правилами, которые вы не читали.

З.Ы. На подходе обзор пользовательского соглашения Gmail и многие другие.

Не читай, принимай.

☢️ @zeroday_log

n8n автоматизировал собственный взлом. Критическое RCE (9.9 баллов).

Любители связывать сервисы стрелочками и программировать без кода, у меня для вас плохие новости. В популярнейшей платформе автоматизации n8n нашли дыру размером с Эверест. Уязвимость CVE-2025-22631 получила почти максимальный рейтинг опасности 9.9 из 10 😗

Проблема кроется в механизме песочницы, который должен был изолировать исполняемый пользователем JavaScript-код. Разработчики n8n использовали встроенный модуль Node.js vm, который, как написано даже в официальной документации Node.js (но кто её читает?), не является механизмом безопасности. Хакеры нашли способ совершить Sandbox Escape (побег из песочницы). Злоумышленник может создать вредоносный воркфлоу, который выберется за пределы изоляции и начнет исполнять произвольные команды в хост-системе.

Масштаб катастрофы сложно переоценить. n8n это обычно связка ключей от всей инфраструктуры. Там хранятся API-токены, доступы к базам данных, ключи от ботов телеги и прочее, которое нужно для автоматизации. Получив RCE на таком узле, атакующий получает ключи от всего. А учитывая, что многие запускают n8n в Докере под рутом (потому что так проще монтировать вольюмы), взлом контейнера происходит мгновенно.

Под угрозой находятся все версии от 1.0.0 до 1.71.2. Разработчики уже выкатили патч в версии 1.71.3, и обновляться нужно было еще вчера. Если ваш n8n торчит наружу интерфейсом (а он часто торчит, чтобы принимать вебхуки), то вы сейчас сидите на пороховой бочке, к которой уже поднесли спичку 💥

Автоматизация... это прекрасно, особенно когда она автоматизирует слив ваших данных 🤡

☢️ @zeroday_log

IBM API Connect забыл спросить пароль. Критический баг с рейтингом 9.8

В мире дорогого энтерпрайза снова пожар. IBM выпустила экстренный бюллетень для своей платформы API Connect, и ситуация там выглядит скверно. Уязвимость CVE-2025-13915 получила рейтинг 9.8 из 10, что на языке безопасников переводится как... бросай всё и беги фиксить.

Суть проблемы в полном обходе аутентификации. Удаленному злоумышленнику не нужно подбирать креды, перехватывать сессии или искать инсайдеров. Ошибка в коде позволяет просто обойти механизмы входа и получить несанкционированный доступ к приложению. Учитывая, что API Connect используется как центральный шлюз в крупных банках и авиакомпаниях, взлом такого узла равносилен получению мастер-ключей от всей API-инфраструктуры.

Под угрозой находятся версии 10.0.8.x и 10.0.11.0. Если возможности накатить патч прямо сейчас нет, вендор предлагает временный костыль... отключить самостоятельную регистрацию (self-service sign-up) на портале разработчиков. Это снизит поверхность атаки, но полноценным решением не является. Тот случай, когда софт за миллионы долларов защищен хуже, чем домашний роутер.

☢️ @zeroday_log

🏴‍☠️ KMSAuto с сюрпризом

В Южной Корее приняли предпринимателя из Литвы, который преподал индустрии мастер-класс по монетизации человеческой жадности. Он умудрился заразить 2.8 миллиона компьютеров, используя самый популярный софт в мире... активатор KMSAuto. Схема атаки как эталонная социальная инженерия, помноженная на техническую безграмотность пользователей. Жертва сама находит софт, сама скачивает его и, самое главное, сама отключает Defender или добавляет файл в исключения, потому что... ну это же кряк, он всегда детектится 🤔

Софт запускается от имени Админа (иначе службу KMS и драйвер не поставить), и в этот момент вместе с ключом активации в систему залетает Клиппер. Зловред тихо висит в процессах, хукает буфер обмена через WinAPI и ждет своего часа. Как только регулярное выражение (RegEx) детектит строку, похожую на адрес криптокошелька (BTC, ETH, TRC20 и тд), скрипт на лету подменяет её на кошелек злоумышленника 🤑

Заметить подмену глазами практически нереально. Большинство людей проверяют только первые и последние 4 символа адреса, а современные генераторы позволяют хакерам создавать тысячи кошельков с похожими хвостами специально для таких атак. В итоге пользователь копирует адрес, вставляет, жмет Отправить... и деньги улетают в никуда. Таким нехитрым способом автор кряка заработал $1.2 млн, не написав ни строчки сложного эксплойта.

Если в вашей сети есть машины, активированные народными методами через бинарники с торрентов, то не лишним будет прочекаться. KMS-активатор это идеальный троянский конь, которому вы сами открываете ворота.

☢️ @zeroday_log

👺Как товарищи майоры любой страны могут вычислить админа канала за 15 минут без взлома. Почему анализ трафика деанонимизирует даже Signal.

Пока люди спорят о стойкости алгоритмов шифрования в MTProto или Signal Protocol, исследователи из UMass доказали, что математика бессильна против физики передачи данных. В их работе (Practical Traffic Analysis Attacks) детально разобрана механика деанона админов и участников каналов через пассивный анализ метаданных. Проблема кроется в фундаментальном принципе работы пакетных сетей, когда данные передаются взрывами (называют это bursts), и форма этих взрывов уникальна для каждого события. Когда админ постит картинку размером 50 Кб, она разбивается на серию пакетов по MTU (обычно 1500 байт), создавая специфический паттерн нагрузки во времени.

Техническая реализация атаки строится на корреляции двух потоков данных... эталонного, который атакующий записывает, просто подписавшись на целевой канал, и подозреваемого, который снимается через Mirror-порт у провайдера или на магистрали. Алгоритм Shape-Based Detector анализирует два ключевых параметра, это размеры пакетов и задержки между сообщениями. Даже если весь пэйлоад зашифрован в кашу, временные метки начала передачи и объем переданных байт остаются открытыми. Статистическая модель накладывает график активности в канале на график сетевой активности конкретного юзера, и если пики совпадают с учетом сетевого джиттера, то совпадение подтверждается с точностью до 94% всего за 15 минут наблюдения (длительность наблюдения увеличивает процент).

Самое печальное для параноиков то, что классические методы обфускации вроде VPN или Tor здесь работают крайне слабо. Туннелирование добавляет оверхед к заголовкам и немного размазывает тайминги, но не меняет общую форму трафика. Если вы отправили 10 Мб видео, то через VPN пролетят те же 10 Мб (плюс заголовки) примерно за то же время. Чтобы реально защититься от такого анализа, мессенджеры должны внедрять добивание пакетов мусором до фиксированного размера и искусственные задержки, превращая трафик в монотонный шум. Но это увеличит потребление трафика и батареи в разы, на что вендоры в угоду UX никогда не пойдут.

В сухом остатке мы имеем ситуацию, когда уровень приложения защищен идеально, но сетевой уровень сдает с потрохами. Любая активность, отличающаяся от фонового шума keep-alive пакетов, создает уникальную сигнатуру. Фактически, мы вернулись во времена радистов, где перехватить шифровку нельзя, но по почерку морзянки и времени выхода в эфир можно безошибочно определить передатчик. 📡

☢️ @zeroday_log

Судя по красным графикам NetBlocks, Иран снова ушел в цифровой сумрак.

Международный трафик упал почти до нуля, мобильные операторы лежат, а связность рвется ковровым методом.

Но теперь иранский великой фаервол заметно эволюционировал. Это уже не топорный BGP-шатдаун всей страны, как раньше, когда просто гасили бордеры и клали экономику. Теперь там развернули полноценную архитектуру многоуровневого интернета, которая делит людей на сорта даже на уровне маршрутизации пакетов.

Власти наконец поняли, что полное отключение рубильника бьет по своим же банкам и госструктурам, поэтому внедрили технологию Белых SIM-карт. Технически это реализовано через списки разрешенных IMSI или отдельные APN на стороне оператора. Рядовой пользователь видит либо заглушку, либо стерильный внутренний интранет, отрезанный от мира. А вот чиновники, силовики и лояльные журналисты получают прямой шлюз в глобальную сеть без фильтрации, DPI и необходимости искать рабочие прокси.

Занятно, что спалил эту схему классового неравенства бывший Твиттор. Соцсеть Х начала отображать реальную страну отправки твита, и внезапно выяснилось, что самые ярые борцы с внешним миром постят свои тексты с геолокацией (Iran). Для обычного жителя страны это технически невозможно, т.к. он вынужден пробиваться через ВПН, и для Твиттера он голландец или немец и тд. Если же у тебя в хедере светится реальный IP Ирана при доступе к заблокированному ресурсу, то значит, ты сидишь через тот самый блатной канал.

В итоге мы наблюдаем рождение новой парадигмы, где свободный доступ к становится привилегией. Это уже не цензура, это буквально сегрегация трафика, где право на коннект выдается.

☢️ @zeroday_log

📦 Исследователи из Zscaler обнаружили в репозитории NPM очередную кампанию по доставке малвари, нацеленную на крипто-разработчиков. Злоумышленники загрузили пакеты bitcoin-main-lib, bitcoin-lib-js и bip40, которые умело маскировались под структуру популярной легитимной библиотеки bitcoinjs. Расчет был на классический тайпосквоттинг и невнимательность, когда разраб путает название, жмет Enter, и процесс заражения запускается автоматически через скрипт postinstall.

Техническая реализация имеет интересную особенность... для закрепления в системе малварь использует популярный менеджер процессов PM2. Вредонос запускается в detached режиме, что позволяет ему тихо висеть в фоне, не блокируя установку остальных зависимостей и не вызывая подозрений у юзера. Если PM2 в системе нет, скрипт просто тихо завершается, чтобы не выдать себя ошибкой в консоли.

Полезная нагрузка получила имя NodeCordRAT. В качестве командного центра (C2) используется API Discord, что позволяет вредоносному трафику сливаться с легитимным шумом и обходить простые фаерволы. Функционал трояна заточен на максимальный ущерб... он ворует профили Chrome, вытаскивает сид-фразы из расширения MetaMask, делает скриншоты и, самое неприятное, рекурсивно ищет и сливает файлы .env со всеми вашими секретами и токенами. Пакеты уже удалены, но несколько тысяч разработчиков успели утащить их к себе в проекты.

☢️ @zeroday_log

🤖 Пока безопасники мучают живых людей сменой паролей каждые 90 дней и принудительным MFA, в наших сетях бесконтрольно плодится новая угроза... Non-Human Identities (NHI).

Это все ваши сервисные аккаунты, CI/CD раннеры, боты, а теперь еще и ИИ-агенты. Ирония в том, что к цифровым сотрудникам мы относимся с преступной халатностью...у них часто есть админские права (потому что лень настраивать), а их креды это статичные API-ключи, которые годами лежат в где-нибудь в конфигах или переменных окружения.

В облачных инфраструктурах количество таких нечеловеческих сущностей уже давно превысило число живых юзеров. И если условный менеджер может слить только свою переписку, то забытый сервисный аккаунт с правами админа это прямая дорога для хакера ко всей инфре. Атакующие это прекрасно понимают и теперь охотятся не за паролем админа, а за токеном дженкинса или ключом от S3, который кто-то по неосторожности запушил в репозиторий три года назад 😰

Теперь индустрия начинает судорожно внедрять Zero Trust для роботов. Идея правильная, нужно ротировать секреты автоматически, выдавать права только на момент выполнения задачи и логировать каждый запуск скрипта. Звучит красиво, но на практике это боль. Попробуйте объяснить легаси-монолиту, что его любимый токен теперь живет всего час. Скорее всего, первым, кто уронит прод при внедрении этой безопасности, будете вы сами, а не хакеры. Но выбора нет... роботы должны страдать так же, как и люди.

☢️ @zeroday_log

🩸 n8n снова пробил дно безопасности (CVE-2026-21858)

Пока вы латали прошлую дыру в n8n (ту, что 9.9 балла), исследователи из Cyera Labs нашли новую. Ей дали имя Ni8mare, и она получила максимально возможный рейтинг CVSS 10.0.

Уязвимость кроется в механизме обработки вебхуков. Разработчики n8n нагородили кастомную логику парсинга, которая слепо доверяет заголовку Content-Type. Если атакующий отправляет специально сформированный запрос, где в заголовке заявлен multipart/form-data, но структура тела запроса манипулирует внутренними объектами JSON, происходит перезапись свойств. В итоге хакер может заставить сервер сохранить произвольный файл в произвольное место.

А дальше - классика. Заливаем веб-шелл, получаем доступ к файловой системе, выгребаем все API-ключи, креды от баз данных и токенов, которые так удобно хранят в переменных окружения n8n. И самое главное, что для этого не нужна авторизация. Инстанс, торчащий наружу для приема вебхуков, по сути, стоит с открытой дверью.

Патч уже есть в версии 1.121.0. Если вы еще не обновились после прошлого раза, то сейчас самое время. Если обновились - обновляйтесь снова 😗.

☢️ @zeroday_log

Разработчики Node.js выкатили экстренный патч для уязвимости, которая затрагивает практически каждое приложение в продакшене.

Причиной, по которой ваш сервер может лечь от простейшего DoS, стали инструменты, призванные этот сервер мониторить. Проблема кроется в модуле async_hooks, на котором построены AsyncLocalStorage и вся магия контекста в Next.js, React Server Components, а также в агентах Datadog, New Relic, OpenTelemetry и прочих APM.

Суть бага в том, как движок V8 обрабатывает переполнение стека при включенных асинхронных хуках. В нормальной ситуации бесконечная рекурсия вызывает ошибку RangeError, которую можно поймать через try-catch и обработать. Но если активны async_hooks, механизм обработки исключений ломается, и Node.js решает, что ситуация безнадежна. Процесс мгновенно умирает с Exit Code 7 (Internal Exception Handler Run-Time Failure), игнорируя любые обработчики ошибок. Атакующему достаточно отправить на эндпоинт JSON с дикой вложенностью массивов, чтобы вызвать рекурсию при парсинге и отправить сервис в нокаут.

Получается, что если вы заботливо обвешали свой бэкенд мониторингом и используете модный Next.js, вы сами открыли ворота для DoS-атаки. Под раздачу попали все актуальные LTS-версии. Патчи уже доступны в 20.20.0, 22.22.0, 24.13.0. Обновляйтесь, пока хитрые умельцы не начали фаззить ваши API глубоко вложенными объектами, превращая графики в дашбордах в кардиограмму мертвеца☠️

☢️ @zeroday_log

🚢 Взлом порта через флешку и кокаин.

В Нидерландах суд утвердил семилетний приговор хакеру, который наглядно показал, почему физическая безопасность важнее программной. Этот специалист работал на кокаиновый картель 🧂 и должен был обеспечить зеленый коридор для контейнеров с грузом. Вместо того чтобы искать 0-day уязвимости в защищенном периметре порта, он пошел по пути наименьшего сопротивления... подкупил сотрудника терминала и передал ему USB-флешку с малварью. Одно движение руки инсайдера... и злоумышленники получили персистентный бэкдор в изолированной сети на несколько месяцев.

Интересны технические детали, которые всплыли благодаря расшифровке переписки в мессенджере SkyECC (который Европол успешно ломанул еще в 2021 году). Хакер буквально вел прямой эфир взлома для своих заказчиков. Когда программный брутфорс паролей зашел в тупик, он не сдался, а просто передал инсайдеру аппаратный кейлоггер AirDrive. В чате он хвастался что (Антивирус не важен, эта штука невидима), и скидывал фотки, куда именно нужно воткнуть девайс. При этом он профессионально ныл, что местная IDS (система обнаружения вторжений) это боль в заднице, которая мешает работать быстро 😖

Защита пыталась разыграть карту приватности, утверждая, что полиция не имела права читать зашифрованные чаты и приобщать их к делу. Но судьи резонно заметили, что право на тайну переписки не распространяется на логистику наркотрафика. Итог... семь лет тюрьмы и штраф за очистку IT-инфраструктуры порта.

☢️ @zeroday_log