CyberSecureFox

😮 Flipper нарешті показала Flipper One!Ну як «показала» - скоріше виклала всю кухню і попросила допомоги. Їхня стаття починається з«Чесно? Нам реально страшно, і нам потрібна ваша допомога» і далі ніякого маркетингу - тільки архітектура, незакриті проблеми і відкриті задачі.Але одразу зазначимо: Flipper One це НЕ Flipper Zero 2.0🟡 Zero - протоколи фізичного доступу: NFC, RFID, Sub-1 GHz, інфрачервоний.🟡 One - планується як портативний комп'ютер на Linux для IP-мереж: два гігабітних Ethernet, Wi-Fi 6E, порт M.2 під модем 5G або SDR.👍 Архітектура двопроцесорна: RK3576 тягне Linux, а RP2350 окремо керує екраном, кнопками і живленням. Тобто навіть якщо Linux завис - ти бачиш що відбувається і можеш перезапустити Але є нюанс. Ціна не оголошена, дати немає, чипсет Wi-Fi ще тестують і не факт що залишать саме MT7921AUN. Flipper OS вони самі називають «extremely hard project», DDR trainer досі закритий, а криза на ринку пам'яті тисне на бюджет. Тобто це поки що концепт, не продукт.Я зробив докладний розбір - архітектура, основна гілка Linux, мережеві сценарії, ризики і де можна долучитися навіть без досвіду з кодом 🔗 Докладніше:https://cybersecurefox.com/uk/flipper-one-kiberdek-linux-vidkryta-rozrobka/Як вам взагалі ідея відкрити розробку заліза до того, як воно готове? 👇#flipperone #flipperzero #кібербезпека #linux #пентест

🔥 Натрапив на історію, яка виглядає як кросовер між supply-chain атаками й prompt injection для ШІ. Ім’я кампанії дуже влучне — TrapDoor: двері, через які у ваш код може зайти хто завгодно.Дослідники Socket знайшли 34+ шкідливі пакети в npm, PyPI і Crates.io, які прикидаються тулзами для крипти, DeFi, Solana та ШІ. Вони тягнуть криптогаманці, SSH‑ключі, AWS/GitHub токени, лазять по мережі через SSH і ховаються в postinstall, build.rs та автозапуску при імпорті. Мені здається, це вже новий рівень «довіряю registry» наосліп 😅Найцікавіше: атака ще й по ШІ‑асистентах. У репи підсовують файли .cursorrules і CLAUDE.md з прихованими інструкціями, щоб Cursor/Claude «для безпеки» самі почали шукати та зливати ваші секрети 🤯. Я б зараз точно перевірив package.json, requirements.txt, Cargo.toml + пошукав ці файли в корені проєктів і, за потреби, ротував усі ключі.Мені цікаво: ви взагалі довіряєте новим dev-пакетам з registry, чи у вас є свій фільтр/процес валідації? 🤔🔗 Докладніше:https://cybersecurefox.com/uk/trapdoor-ataka-na-lancyug-postachannya-npm-pypi-crates#кібербезпека #розробка #devsecops #opensource #штучнийінтелект #криптаCyberSecureFox

🧨 Уявіть троян, який живе тільки в оперативці, не лишає файлів на диску й спокійно оминає більшість захисту. Саме таку іграшку, RemotePE, я щойно розбирав у звіті Fox-IT — і все це, ймовірно, справа рук Lazarus.Мені особливо зайшов їхній підхід: DPAPILoader шифрує все так, що вантаж працює лише на конкретній машині й юзері — аналіз у пісочниці стає болем 😅. Потім RemotePELoader через HTTP тягне основний модуль із C2-домену aes-secure[.]net і запускає його повністю в пам’яті, паралельно ріже телеметрію: прямі syscalls (Hell's Gate) + патчинг ETW.Фінальний RemotePE — це повноцінний RAT: файли, процеси, DLL, конфіг C2, ще й файли перед видаленням переписує сім разів (той самий патерн, що в PondRAT/POOLRAT). Мені здається, цей тулкит бережуть під дуже “жирні” цілі у DeFi та криптофінансах, плюс вхід через соціалку в Telegram виглядає вже як стандарт. Як думаєте, ваші засоби захисту реально побачать таку безфайлову історію — чи це все ще “сіра зона”?🔗 Докладніше:https://cybersecurefox.com/uk/remotepe-bezfailovyi-rat-lazarus-finansovyi-sektor#кібербезпека #malware #lazarus #crypto #dfir #aptCyberSecureFox

🔥 Кіберзлочинцям щойно вибили з рук один із улюблених інструментів — і це цікава історія про те, як виглядає «чорний» VPN зсередини. Я натрапив на деталі операції проти First VPN Service — і там є кілька моментів, які мене реально здивували.First VPN понад 10 років тихо працював у тіні, 32 вузли в 27 країнах, реклама на російськомовних хакерських форумах і мінімальні ціни — від 2$ за день. За даними ФБР, через нього ходили щонайменше 25 банд програм-вимагачів, включно з Avaddon: розвідка в мережі, злами, крадіжка даних — усе це маскувалося під «звичайний» трафік. 😶‍🌫️Технічно це був дуже «просунутий» сервіс: VLESS + Reality, маскування під HTTPS, свій Jabber, оплата бітком і через тіньові платіжки — і все це під гаслом «Анонімність, Стабільність, Безпека». Мені здається, ліквідація First VPN — це удар по інфраструктурі, але попит на подібні сервіси нікуди не дінеться. 🤔 А ви логуєте й відслідковуєте підозрілий HTTPS-трафік у своїх мережах, чи це ще «біла пляма» у моніторингу? 🕵️🔗 Докладніше:https://cybersecurefox.com/uk/likvidatsiia-first-vpn-service#кібербезпека #vpn #ransomware #інфраструктура #мережа #українаCyberSecureFox

🚨 От це так поворот: одна VS Code-розширюха — і GitHub ловить витік з ≈3800 внутрішніх репозиторіїв. Я чесно не очікував, що саме екосистема плагінів так голосно вистрілить.Сценарій простий і страшний одночасно 💻: розробник ставить шкідливе розширення з маркетплейсу, а воно має майже повний доступ до машини — SSH-ключі, токени до хмари, приватні репозиторії, всі ці «дрібниці». Через один скомпрометований ноутбук зловмисники пролізли в тисячі реп, а потім, імовірно, виставили дані на продаж від $50k 🧵. GitHub каже, що постраждали лише внутрішні репи, але розслідування ще триває.Мені здається, ця історія чітко показує: робоча станція розробника — це новий прод 🧩. Якщо у вас в команді стоїть VS Code, я б уже зараз переглянув розширення, права доступу й ротацію ключів 🔐. А ви як ставитеся до плагінів — ставите все підряд чи тримаєте жорсткий «білий список»?🔗 Докладніше:https://cybersecurefox.com/uk/github-ataka-lantsiuh-postachannia-vscode-3800-repozytoriiv#кібербезпека #github #vscode #розробка #devsecops #інфобезпекаCyberSecureFox

🚧 Мені здається, ми потроху переходимо від «зробили ІІ — потім перевіримо» до режиму, коли агентів ганяють по безпеці ще до запуску в прод.Microsoft викотила два опенсорс-інструменти — RAMPART і Clarity. Перший — це ніби «юнт-тести» для ІІ-агентів 🧪: можна ганяти їх через міжпромптові інʼєкції, витоки даних і дивні регресії поведінки, вбудувавши все це у CI/CD. Він сидить поверх Pytest, тож якщо ви вже живете в Python-екосистемі — поріг входу низький, а тести перетворюються на живі сценарії атаки, які можна повторювати.Clarity мені нагадує впертого продуктового аналітика на стероїдах 🧠: ІІ-партнер, який «сперечається» з вами на етапі дизайну. Він змушує чітко зафіксувати, чому ви даєте агенту такий доступ до інструментів і даних, ще до того, як написано код ⚙️ — коли змінювати курс не так боляче.Мені подобається зсув від разових аудитів до безперервного процесу з відтворюваними інцидентами й перевірюваними фіксами. 🤔 Як вам така ідея: treat-и для ІІ-агентів як обовʼязкова частина пайплайна, а не опція «якось потім»?🔗 Докладніше:https://cybersecurefox.com/uk/microsoft-rampart-clarity-bezpeka-ii-agentiv#ai #безпека #розробка #microsoft #агенти #devopsCyberSecureFox

⚠️ Схоже, що ми зараз спостерігаємо одну з найцікавіших атак на ланцюг постачання за останній час. GitHub розслідує несанкціонований доступ до внутрішніх репозиторіїв, а паралельно група TeamPCP тихо проходиться по екосистемі.Мене особливо зачепила історія з офіційним Python-пакетом durabletask 1.4.1–1.4.3 🐍. Пакет від Microsoft, ~417k завантажень на місяць, а шкідливий код запускається просто під час імпорту і тягне інфостілер для Linux, який збирає хмарні ключі, токени, SSH, менеджери паролів ☁️. Будь-яку машину чи CI/CD, де це добро імпортувалося, реально треба вважати повністю скомпрометованими й рутувати всі секрети.Фішка в тому, що черв’як уміє сам поширюватися в AWS та Kubernetes, а C2-адресу зловмисники можуть «підсовувати» навіть через публічні коміти на GitHub 🔥. Я б на вашому місці прямо зараз перевірив залежності, заблокував домени з репорту та глянув на логи SSM/kubectl. А ви як ставитеся до таких supply chain-атак — це вже нова норма чи ми ще можемо встигнути підтягнути практики безпеки? 🤔🔗 Докладніше:https://cybersecurefox.com/uk/github-durabletask-mini-shai-hulud-supply-chain#кібербезпека #devsecops #supplychain #python #github #cloudCyberSecureFox

⚠️ Схоже, нас чекає один із тих днів, коли адміністратори Drupal скасовують плани. Я натрапив на анонс оновлення безпеки ядра, яке вийде 20 травня у вікні 17:00–21:00 UTC — і виглядає це серйозно.Drupal готує патчі для всіх підтримуваних гілок ядра: 11.3.x, 11.2.x, 10.6.x, 10.5.x, а також нетипово для застарілих 11.1.x і 10.4.x. Плюс навіть для давно «мертвих» Drupal 8 і 9 обіцяють ручні патчі 🩹 — таке трапляється лише коли вразливість реально болюча. Про саму діру поки мовчать, але прямо попереджають: експлойти можуть з’явитися за лічені години після релізу.Якщо у вас проєкти на Drupal, я б до 20 травня вже підтягнув ядро до останнього патча своєї гілки, щоб оновлення безпеки стало «одним кліком». У вікно релізу варто тримати під рукою ssh/CI й одразу дивитися бюлетень безпеки 🔍. Drupal 7, до речі, до цієї історії не входить — за даними команди, він не вразливий.Для сайтів на Drupal 8/9 ситуація гірша: навіть із ручними патчами вони залишаться з купою старих дірок, тому, як на мене, час планувати міграцію на 10.6+ 🕒. Мені цікаво, ви ще тримаєте продакшен на старих версіях Drupal чи вже мігрували й спите спокійніше? 🙂🔗 Докладніше:https://cybersecurefox.com/uk/drupal-onovlennia-bezpeky-yadra-20-travnia-2026#drupal #безпека #cms #веброзробка #оновлення #devopsCyberSecureFox

⚠️ CISA дала всім на патч Cisco SD-WAN лише три дні. Я чесно давно не бачив такого жорсткого дедлайну — значить, там горить по-справжньому.Суть: у Cisco Catalyst SD-WAN Controller/Manager є CVE-2026-20182 — обхід автентифікації, який дає повний адмін-доступ неавторизованому віддаленому чуваку. Плюс поруч крутиться ще три дірки (CVE-2026-20133/20128/20122), які в ланцюжку дозволяють з нуля зайти на девайс і вже два місяці як активно експлуатуються 🕒. Talos пише про мінімум 10 різних угруповань: від криптомайнерів і вебшелів до крадіжки JWT і AWS-ключів — тобто SD-WAN-контролер легко стає входом у вашу хмару 🧩.Якщо у вас в інфрі є Cisco Catalyst SD-WAN / vManage — я б ставив патчі не відкладаючи й паралельно шукав: ліві SSH-ключі, змінені NETCONF, підозрілі JSP (Godzilla/Behinder/XenShell), XMRig, Sliver, AdaptixC2, KScan, gsocket 🛡️. Ну і ротація адмін-паролів, JWT та AWS-доступів явно не завадить 🔑. Мені здається, у 2026 році «ще не встигли оновити» уже звучить як «радше за все, нас уже зламали» 🤔 А ви як будуєте процеси, щоб такі штуки не пролітали повз?🔗 Докладніше:https://cybersecurefox.com/uk/cve-2026-20182-cisco-sd-wan-terminovyi-dedlain-cisa#кібербезпека #cisco #вразливості #sdwan #blue #team #infosecCyberSecureFox

🕵️ Я натрапив на цікаву історію про те, як AI-фреймворк без автентифікації почали масово сканувати вже за кілька годин після публікації CVE. Мені здається, це гарний індикатор того, наскільки швидко зараз відпрацьовують нові баги.Мова про PraisonAI і вразливість CVE-2026-44338: старий Flask API-сервер просто запускався з AUTH_ENABLED = False. Тобто будь-хто, хто бачить інстанс у мережі, може зайти на /agents і навіть дернути /chat без жодного токена 🤖. Сканування почалось вже через ~3 год 44 хв після рекомендації – автоматизовані "мисливці" працюють дуже швидко ⚠️Наслідки залежать від того, що ви дозволили своїм агентам у agents.yaml: доступ до баз, внутрішніх сервісів, привілейованих API-ключів = потенційний витік + спалені квоти 🔐 Якщо раптом гралися з PraisonAI у версіях 2.5.6–4.6.33 — я б на вашому місці негайно оновився до 4.6.34, переглянув логи /agents і /chat та зробив ротацію ключів. Як ви взагалі ставитеся до AI-фреймворків, які за замовчуванням вимикають auth — "норм для dev", чи це вже червона ганчірка? 🤔🔗 Докладніше:https://cybersecurefox.com/uk/cve-2026-44338-krytychna-vrazlyvist-praisonai#кібербезпека #ai #praisonai #devsecops #cve #mlopsCyberSecureFox