Хакеры используют уязвимость в macOS Screen Sharing для установки майнеров
Национальный центр кибербезопасности Нидерландов (NCSC) предупредил, что злоумышленники начали эксплуатировать критическую у…
CURATOR и «Хакер» подготовили совместную активность на OFFZONE 2026
Конференция OFFZONE 2026 — это два дня докладов, общения и практически непрерывного движения между треками и активностями. C…
ВзломХардкор
HTB Cobblestone. Используем XSS в браузере админа и превращаем SSTI в RCE
Если уязвимый обработчик доступен только администратору, до него можно добраться через хранимый XSS: заставить браузер админа отправить нужный запрос и вернуть нам результат. В этом райтапе покажу именно такую связку.
Armored Likho использует инструменты для шпионажа в Telegram и аудиослежки
Аналитики «Лаборатории Касперского» обнаружили новую кампанию группировки Armored Likho (она же Eagle Werewolf). На этот раз…
Компрометация LiteLLM привела к утечке терабайтов учетных данных
ИБ-компании CloudSEK и Hudson Rock раскрыли новые детали масштабной атаки на цепочку поставок, которая затронула LiteLLM вес…
Криптокошелек SafePal пострадал от утечки данных 40000 клиентов
Представители SafePal, производителя аппаратных криптовалютных кошельков, объявили об инциденте безопасности, из-за которого…
Исследователи создали фейковый криптостартап и наняли на работу северокорейских хакеров
ИБ-специалисты создали поддельный криптовалютный стартап, который стал ханипотом для трех разработчиков, которых эксперты сч…
Tether завершила первый полноценный финансовый аудит от KPMG
В компании Tether, эмитенте крупнейшего в мире стейблкоина USDT, заявили, что впервые провели полный финансовый аудит. Этот …
Компаниям в США разрешат атаковать иностранных хакеров
Президент США Дональд Трамп подписал меморандум, который позволит частным ИБ-компаниям участвовать в наступательных киберопе…
Четвертый бумажный спецвыпуск «Хакера» уже едет к читателям
Рассылка нового бумажного спецвыпуска «Хакера» уже идет полным ходом: многие читатели уже получили свои экземпляры, а остальные заказы постепенно отбывают с нашего склада. Тираж журнала, как всегда, ограничен, поэтому не советуем откладывать покупку в бэклог, чтобы потом не читать чужие отзывы с легким ощущением FOMO.
Создатель Ransom Cartel получил 16 лет тюрьмы
40-летнего гражданина Беларуси Максима Сильникова, создателя и администратора вымогательской группировки Ransom Cartel, приг…
Mozilla отзывает GPG-ключ подписи для Firefox и Thunderbird: он случайно попал на GitHub
Разработчики Mozilla были вынуждены сменить GPG-ключ, которым подписывают некоторые релизы Firefox и Thunderbird для Linux. …
Prototype без загрязнения. Эксплуатируем прототипы в JavaScript без prototype pollution
Prototype pollution — довольно известная атака в таких языках, как JavaScript или Python, которая приводит к серьезным последствиям. Исследуя один популярный проект, я придумал, как можно эксплуатировать прототипы по-новому, и решил поделиться этой идеей.
Вредоносная SIM-карта может выполнить код на устройстве и похитить данные
Исследователи из Бирмингемского университета и компании Fuzzware выяснили, что вредоносная SIM-карта способна передавать мод…
Лаборатории смогут проверять ИИ на соответствие духовно-нравственным ценностям
В России обсуждают процедуру проверки больших ИИ-моделей на соответствие законодательству и традиционным духовно-нравственны…
У производителя криптокошельков Trezor утекли данные почти 14 000 клиентов
Производитель аппаратных криптокошельков Trezor заявил об утечке данных почти 14 000 пользователей. При этом взлом затронул …
Nightmare Eclipse раскрыл 0-day-уязвимость ShieldBreak, которая затрагивает Microsoft Defender
Исследователь Nightmare Eclipse (он же Chaotic Eclipse) опубликовал PoC-эксплоит для новой 0-day-уязвимости в Microsoft Defe…
«Пентест WEB»: самостоятельный практикум по пентесту веб-приложений
«Хакер» и лаборатория «Хаксет» подготовили курс «Пентест WEB» для тех, кто хочет самостоятельно освоить пентест веб-приложений. Внутри тебя ждут 11 статей, видеоуроки и практические лаборатории, которые последовательно проведут тебя от этапа разведки до эксплуатации распространенных веб-уязвимостей.
Вымогатель-болтун. Как Devman прошел путь от новичка до преступника в розыске Интерпола
31 июля 2025 года Джон Ди Маджо открыл сообщение в зашифрованном мессенджере. Преступники обычно не любят, когда их деятельность расследуют, но этот написал сам. К сообщению была приложена фотография: дорогие часы, спортивные автомобили. Отправителя Ди Маджо знал.
Агенты OpenAI обменивались эксплоитами через импровизированный форум
На конференции Black Hat представители OpenAI раскрыли новые детали инцидента, в рамках которого автономные ИИ-агенты компан…
XSS-уязвимость в WordPress приводит к выполнению PHP-кода
Разработчики WordPress исправили серьезную отраженную XSS-уязвимость на странице авторизации, которая затрагивает все версии…
Microsoft выпустила патчи более чем для 400 уязвимостей
Разработчики Microsoft выпустили августовские патчи, которые исправили 421 уязвимость. Среди них были три уязвимости нулевог…
737 VPN-расширений для Chrome направляли трафик через прокси
Специалисты компании Socket обнаружили в Chrome Web Store 737 бесплатных VPN- и прокси-расширений, которые в основном были о…
«Бизнес в стиле Ж»: книга о том, как переживать кризисы и начинать заново
Что делать с бизнесом, когда старые правила больше не работают? Дмитрий Агарунов, основатель медиакомпании Gameland и журнала «Хакер», отвечает на этот вопрос на примере собственного 30-летнего опыта. В переработанном и дополненном издании книги «Бизнес в стиле Ж» он рассказывает о кризисах, неудачных решениях, закрытых проектах и новых стартах, когда приходилось заново искать путь вперед.
Как запустить VPS и подготовить сервер к работе: инструкция от AdminVPS
Команда AdminVPS подготовила инструкцию для читателей «Хакера», которые запускают VPS и хотят правильно подготовить сервер к…
Исследователь купил домен noreply.net и получает сотни тысяч писем
ИБ-исследователь Кори Соловевич (Cory Solovewicz) случайно обнаружил масштабную проблему: компании массово отправляют конфид…
Слабое звено. Обходим проверку лицензии, анализируя JavaScript вместо байт-кода
Не всякую защиту нужно ломать с помощью дизассемблера. Иногда достаточно открыть DevTools, изучить JavaScript фронтенда и понять, как приложение принимает решение о блокировке. Мы исследуем лицензионный механизм Java-приложения с веб-интерфейсом, разберемся в архитектуре Angular и NgRx, а заодно проверим, насколько полезен искусственный интеллект при анализе минифицированного кода.
OpenAI представила модель GPT-5.6-Cyber, ориентированную на кибербезопасность
В OpenAI представили специализированную модель GPT-5.6-Cyber, предназначенную для поиска уязвимостей, проведения пентестов и…
0-day-уязвимость в Metabase уже используется для кражи данных
Разработчики платформы бизнес-аналитики Metabase сообщили о критической SQLi-уязвимости, которую злоумышленники уже начали э…
Уязвимость SCTPhantom существовала в коде Linux 18 лет
Исследователи Tencent обнаружили в сетевом коде Linux уязвимость типа use-after-free, которая присутствовала в ядре с 2008 г…
Авиакомпания расследует Wi-Fi-атаку на борту самолета, перевозившего участников конференции DEF CON
Авиакомпания Delta расследует инцидент, произошедший на борту рейса 591, который следовал из Лас-Вегаса в Атланту: в самолет…
N-able выпустила уже два патча для уязвимости обхода аутентификации в N-central
Разработчики N-able выпустили второй экстренный патч для платформы удаленного мониторинга и управления N-central. Повторное …
Хакеры похитили у Levi Strauss корпоративные данные
Представители компании Levi Strauss (бренд Levi's) сообщили о кибератаке, в ходе которой злоумышленники с помощью социальной…
SSTI в RAGFlow. Разбираем недавнюю CVE в популярном генеративном движке
Сегодня разберем красивый случай инъекции шаблонов, которая дает полноценное RCE в популярном продукте RAGFlow. Результатом будет взлом одной строкой кода.
TONTOU-атака обходит защиту от Spectre v2 на процессорах AMD и Intel
Специалисты Лаборатории компьютерных наук и искусственного интеллекта Массачусетского технологического института (MIT CSAIL)…
Valve предупредила владельцев устройств Steam об утечке данных
Представители Valve предупредили европейских пользователей устройств Steam об утечке данных. Злоумышленники взломали логисти…
Банки будут искать вредоносное ПО на устройствах клиентов
С 1 марта 2027 года российские банки будут обязаны блокировать переводы, если на устройстве клиента обнаружено вредоносное П…
Продажи аппаратных криптокошельков в России выросли более чем вдвое на фоне нового законодательства
Спрос на аппаратные криптовалютные кошельки в первой половине 2026 года резко вырос. По данным двух крупных ретейлеров, прод…
Злоумышленники распространяют вредоносные версии iOS-приложений в Telegram
Исследователи предупреждают о необычной схеме распространения малвари для iOS. Злоумышленники публикуют в русскоязычном Tele…
Злоумышленники опустошают ноды Bitcoin Lightning
Тяжелая неделя для ПО для биткоина стала еще тяжелее: на этот раз пострадали продавцы, принимающие платежи через Lightning N…
Бумажный выпуск
Материалы для подписчиков
Вопросы по материалам и подписке: support@glc.ru
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —
самой забойной защитой от DDoS в мире
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —самой забойной защитой от DDoS в мире