Типичный Сисадмин

😱 Апокалипсис в npm. Червь Shai-Hulud заразил 800+ пакетов и крадет админские ключи Масштаб приличный... заражено более 800 пакетов, суммарно генерирующих свыше 2 миллиардов установок в месяц. Всё началось со взлома GitHub-аккаунта разработчика библиотеки keyv (у которой 127 млн скачиваний в неделю). Злоумышленник пропихнул вредоносный код прямо в main ветку и выпустил релиз. Зараженный пакет выглядит абсолютно чистым по контрольным суммам, но в его package.json зашит хук: "preinstall": "node setup.mjs". Как только разраб или CI/CD-сервер делает npm install, срабатывает этот хук. Он скачивает среду выполнения Bun, а через нее запускает вторую стадию - обфусцированный JS-файл на 728 КБ. Дальше начинается пылесос: 🟢Скрипт сканирует локалку и ворует токены npm, GitHub, токены Kubernetes и т.д. Он даже дергает метаданные облачных инстансов и читает ключи из памяти раннеров GitHub Actions. 🟢Награбленное добро шифруется RSA-ключом и коммитится в рандомные публичные репозитории на GitHub. Если гитхаб недоступен, адреса резервных C2-серверов берутся напрямую из... смарт-контракта в сети Ethereum 😮 🟢Получив npm-токены, вирус смотрит, к каким пакетам есть права на публикацию. Скачивает их, заражает тем же хуком, увеличивает версию (bump) и публикует от имени разраба обратно в npmjs.org. Именно так эпидемия расползлась на сотни чужих библиотек. И самая лютая фича... вирус прописывается в автозагрузку (через systemd или LaunchAgent) и каждую минуту проверяет, жив ли украденный им токен. Если разраб или безопасники отзывают скомпрометированный токен, сервер GitHub вернет ошибку 40x. Вирус увидит это, моментально скачает с C2-сервера команду возмездия, выполнит ее через eval и только потом удалится. Так что разумное ни в коем случае не отзывать токены сразу. Сначала нужно физически найти и убить процесс вируса на машине, иначе сработает скрипт кабздеца (уничтожение данных, саботаж, затирание следов). Типичный 🥸 Сисадмин

🍺 Экстренный пятничный оффтоп. Давайте отвлечемся от ТСПУ и отпразднуем! Сегодня 7 августа - Международный день пива 🍺. Самое время поставить на паузу вопросы ТСПУ, закрыть новости про реестры РКН и смахнуть скупую админскую слезу, вспомнив золотую эпоху Рунета, задокументированную еще в скрижалях Луркоморья. В лохматые годы пиво было не просто напитком. Это был фундаментальный стандарт связи и официальная национальная валюта русского ИТ-андеграунда. Починить винду, обжать витуху или восстановить загрузчик - зачастую это тарифицировалось в пенном. В эпоху Фидонета принести пиво своему Сисопу было священным ритуалом инициации. На форумах шли адовые холивары уровня... а почему тру-сишники пьют пиво, а паскалисты - водку 🎀. Пиво было универсальным жидким драйвером, превращающим бородатого мизантропа в мирного собеседника. Но махровые олды помнят и другую важную фракцию - называли их андеды. Это были идейные трезвенники, язвенники и просто адепты ЗОЖ, которые сидели на своей фирменной андедовке 🙂 - кто на ледяной коле, минералке, пуэре или кефире. Попытка напоить истинного Андеда пивом считалась грубейшим нарушением протокола и каралась баном. Зумерам тяжело понять ту романтику. В 2026 году романтика нулевых окончательно умерла. Дикий, свободный интернет сменился Чебурнетом. Вместо душевных посиделок с сисопом мы получаем отвалы, штрафы, дефицит стоек в ЦОДах и серверы, собранные из китайского текстолита с переклеенными шильдиками. Мы больше не пьем за успешный коннект диалапа. Сегодня жидкий патч нужен исключительно для того, чтобы наша собственная нервная система не словила кернел_паник после выживания в корпоративной Матрице. Поэтому сегодня, к какой бы фракции вы ни относились... к классическим пивным сомелье 😳, любителям тяжелого хардкора (40° 🍶) или к ордену ЗОЖных Андедов с кружкой ромашкового чая - пришло время аппаратного сброса энтропии. Неважно, какой именно теплоноситель залит в вашу систему охлаждения. Главное - вовремя синхронно инициировать процесс. Всем отличных выходных и спокойного даунтайма до понедельника. Ни один упавший прод не стоит вашего здоровья. И помните - РИДОНЛИ пятница! sudo systemctl stop work С праздником, коллеги! 🍻 Типичный 🥸 Сисадмин

🔥 Ковровые бомбардировки четверга... ТСПУ штормит Минувший четверг выдался по-настоящему жарким. Если вы вчера в обед не бегали в мыле, пытаясь понять, почему отвалился корп доступ, не открываются банки и прилег Яндекс с РТК, то значит, ваш провайдер чудом оказался в слепой зоне РКН. Судя по логам, графикам даундетекторов и комментам в чате ТС, товарищ майор проводил масштабные учения на коробках ТСПУ. И били, судя по всему, по площадям, задев как магистрали, так и VPN-протоколы. Что было подмечено: 🔴 Кладбище протоколов. Обычный WG и голый OpenVPN вчера физически умерли. Причем падали не только личные VPS до Нидерландов, но и корпоративные туннели внутри РФ. Удаленщики по всей стране выли буйволом от таймаутов. 🟡 Любимые невидимые протоколы (VLESS + Reality) тоже попали под раздачу. На Билайне и ряде других провайдеров пакеты просто улетали в пустоту. Причем блокировка шла рандомно... у кого-то отваливался первый хоп, у кого-то лочило IP-адрес по DPI на пару часов, а к утру всё снова оживало. ТСПУ явно тренируют на поведенческий анализ (тайминги и размеры пакетов), о котором писал ранее. 🟢 Внезапно жила некромантия и спасительное легаси. Знаете, что вчера работало как часы? Древние L2TP/IPsec и SSTP. В то время как WG рвался каждые две минуты, старые микроты с L2TP спокойно держали линк. Логика ТСПУ понятна... старые протоколы выглядят как легальный энтерпрайз (или госуха), который опасно рубить, иначе встанет половина бухгалтерий в стране. 👨‍🦳 Самый тревожный звонок вчерашнего дня - это поведение российских ДЦ. Ребята в чате (!) пишут, что несколько хостеров начали физически отрубать арендованные сервера за "нарушение закона" (за голый WG). РКН начал рассылать абузы напрямую провайдерам? А имеем мы с гуся то, что инфра пробивает очередное дно. Чтобы просто поработать, приходится городить шизофренические каскады уровня... WG + OpenVPN до Москвы -> tun2socks -> три Socks5 сервера в Германии и Казахстане 🤙 Как метко заметил один из наших подписчиков, вспомнив старую поговорку: Нас епут, а мы крепчаем. Почитал комментарии и очень радуюсь, что в данный момент я не системный администратор. Удачи вам мужики в работе 💪 Типичный 🥸 Сисадмин

Строительство Вавилонского ДЦ идет по графику. Финал будет веселым 🔥 Типичный 🥸 Сисадмин

ДЕЛАТЬ БЭКАПЫ КАЖДЫЙ ДЕНЬ В ТЕЧЕНИЕ 5 ЛЕТ @ НАСТРОИТЬ ГЕОРАСПРЕДЕЛЕННОЕ ХРАНЕНИЕ, ИНКРЕМЕНТЫ, ДУБЛИРОВАНИЕ НА ЛЕНТУ @ НИ ОДНОГО СБОЯ ЗА ПЯТИЛЕТКУ @ ОДИН РАЗ В СУББОТУ ЗАБЫЛ ПРОДЛИТЬ S3-ХРАНИЛИЩЕ ИЗ-ЗА ЗАДЕРЖКИ БАНКОВСКОГО ПЛАТЕЖА @ ИМЕННО В ЭТУ СЕКУНДУ УБОРЩИЦА ВЫДЕРГИВАЕТ ПИТАНИЕ ИЗ ГЛАВНОЙ СТОЙКИ РАДИ ПЫЛЕСОСА @ RAID МАССИВ РАЗВАЛИЛСЯ, БАЗА 1С ПОВРЕЖДЕНА, БЭКАП ЗА ПОСЛЕДНИЕ СУТКИ НЕ СДЕЛАН @ ДИРИК ОРЕТ, БИЗНЕС СТОИТ @ УБОРЩИЦА ЗАГЛЯДЫВАЕТ В СЕРВЕРНУЮ И ПРОСИТ НАСТРОИТЬ ЕЙ ВАЙФАЙ НА СЯОМИ Типичный 🥸 Сисадмин

Однако, кучно пошло по блокировкам, с обеда до вечера то и дело отвалы в разных местах. Как у вас? Типичный 🥸 Сисадмин

Когда ты запряг два старых сервера на Win Server 2003, и они потащили твою колесницу прямо в светлое будущее. Типичный 🥸 Сисадмин

📞 Алло, это из техподдержки. Сегодня, 6 августа, исполнилось бы 63 года Кевину Митнику - легенде мирового фрикинга, автору книги "Искусство обмана" и отцу-основателю социальной инженерии. К сожалению, он покинул нас три года назад, но именно сегодня хочется вспомнить, во что превратилось его наследие. Для олдов Митник это символ ушедшей, золотой эпохи киберпанка. Времени, когда для взлома транснациональной корпорации (вроде Sun или Motorola) не нужен был купленный в даркнете эксплойт. Достаточно было телефонной будки, прыти, знания внутренних регламентов и правильного звонка секретарше или дежурному админу. Кевин первым наглядно доказал фундаментальную базу ИБ, что самая уязвимая часть любой, даже самой защищенной криптографией системы - это кожаный мешок 🫢 А сегодня романтика хакеров-одиночек, обманывающих систему ради спортивного интереса, мертва. Соц.инженерия превратилась в бездушный конвейер ради денег или политических моментов. Бигтех и государства поняли, что Митник был прав, и вывели его скиллзы на уровень системы. Зачем взламывать наши пароли, если можно легально подсунуть нам кнопку "Согласен" под соглашением на 50 страниц 👨‍🦳? Людей просто заставляют добровольно сдать биометрию под соусом удобного входа. Это та же самая социальная инженерия, только легализованная и направленная на миллиарды людей 😎 Судья когда-то держал Митника в одиночной камере без права подходить к телефону, на полном серьезе веря, что Кевин может насвистеть модемный код в трубку и запустить ядерные боеголовки 😂. На фоне того, что сегодня вытворяют автономные ИИ-агенты, корпорации и ТСПУ, те старые страхи спецуры кажутся наивными детскими сказками. С днем рождения, Кевин 🫡. Твои книги до сих пор актуальнее любой документации. Типичный 🥸 Сисадмин

Идеально 🤩 ТГ: @montajniklvs

😮 В России официально разрешили патентовать алгоритмы и интерфейсы Подписаны поправки в Гражданский кодекс (вступают в силу с 1 января 2027 года). Если коротко, то в России легализовали чистые софтверные патенты. Исторически исходный код защищался только авторским правом (как текст книги). Вы не могли украсть чужой код (Ctrl+C и Ctrl+V), но ничто не мешало понять логику и написать свой аналог с нуля. Чтобы запатентовать сам алгоритм, юристам приходилось извращаться и привязывать его к физике (писать дичь вроде "...программно-аппаратный комплекс, где процессор подает сигнал на оперативную память...") 🏥 Теперь эти костыли убрали. Государство разрешило патентовать: 🟢 Чистые технические решения на базе алгоритмов (например, пайплайны машинного обучения или скрипты балансировки). 🟢 Графические интерфейсы (UI/UX) и элементы цифрового дизайна как "промышленные образцы". Официальная цель, как всегда, прекрасна... помочь разработчикам защищать инновации 🎩. Но, ИМХО, закон пролоббирован бигтехом. Корпораты будут раздувать свою капитализацию за счет нематериальных активов. Да и уже виднеются побочные эффекты для всей остальной индустрии: 🟢 Учитывая размытость формулировок, корпорации начнут патентовать вообще всё. Скругленные углы у кнопок, алгоритм сортировки товаров в корзине, логику выдачи пуш-уведомлений. Написал удобный парсер или дашборд... завтра к тебе придут юристы условного холдинга с иском за нарушение патента на цифровое визуальное отображение данных. 🟢 А что делать, если вытянул с Гитхаба свободную библиотеку, а реализованный в ней алгоритм уже ловко запатентован каким-нибудь отечественным банком? Могут ли предъявить за опенсорс? 🟢 В комментах на Хабре уже напомнили прецеденты, когда блокировщикам рекламы пытались впаять нарушение авторских прав (якобы они модифицируют код страницы). С новыми патентами на интерфейсы можно будет засудить за кастомную CSS-тему в браузере? 🤔 В США индустрия софтверных патентов десятилетиями тормозила развитие и кормила армию юристов-паразитов 🤢. Теперь эта радость портирована и в наши реалии. Типичный 🥸 Сисадмин

Манипулятор HP Spaceball из 1991 года. Восемь программируемых кнопок и огромный шар для 3D-моделирования. Восторг для фанатов ретро и кассетного футуризма 🤖 Типичный 🥸 Сисадмин

Зачем платить суммы за шкаф, если в любом строительном продается брус? Надежно, экологично и пахнет хвоей 🌲 Когда ты у мамы плотник-сетевик Типичный 🥸 Сисадмин

🚨 Один пакет до рута. В OpenWrt нашли критическую дыру в DHCPv6-сервере (CVSS 9.8) В любимой прошивке раскопали шикарную RCE. Вся магия происходит в демоне odhcpd, который отвечает за выдачу IPv6-адресов. И да, по дефолту этот демон крутится с правами root 😬 Разрабы допустили классическое переполнение фиксированного 512-байтового стекового буфера (pdbuf). Чтобы взломать роутер, атакующему не нужна авторизация. Достаточно плюнуть снаружи всего один нужный UDP-пакет на 547 порт. На Гитхабе подробно расписали сразу два независимых вектора атаки в функциях build_ia() и dhcpv6_ia_handle_IAs(). Хакер отправляет DHCPv6 REQUEST, в который напихано аномальное количество опций (например, 22 невалидных IA_PD и параметр RECONF_ACCEPT). Демон начинает формировать ответ со статусами ошибок, но забывает проверить, осталось ли место в буфере. В итоге ответ тупо пишется за пределы выделенной памяти, а переменная buflen уходит в integer underflow (переполнение через ноль). И это довольно фатально... если на взрослых Linux-серверах от такого спасает защита стека и рандомизация памяти, то на роутерах эти механизмы часто отключены ради экономии ресурсов. В итоге обычное переполнение превращается в гарантированное удаленное выполнение кода. Готовые питоновские скрипты с эксплойтами уже лежат в паблике. Уязвимость закрыли в свежих релизах 24.10.8 и 25.12.5. Кстати, ветка 24.10 в сентябре этого года всё - заканчивается, так что лучше сразу накатывать 25.12. Заодно апдейт закроет еще пачку веселых багов, вроде HTTP request smuggling в веб-морде uhttpd и утечек памяти. Ну или если IPv6 вам физически не нужОн, то вырубайте его на интерфейсах от греха подальше. Меньше протоколов - крепче сон 💤 Типичный 🥸 Сисадмин

Спасибо, но я лучше через изолированный профиль 👀 @itmemas

РЕШИЛ БЫТЬ ПОСЛУШНЫМ И КУПИТЬ ЭФИР В БЕЛУЮ @ ЗАХОДИШЬ НА АККРЕДИТОВАННУЮ ЦБ ПЛОЩАДКУ С УСТАВНЫМ КАПИТАЛОМ В 15 ЛЯМОВ @ КУРС BTC НА МИРОВЫХ БИРЖАХ - $65 000 @ КУРС В ОТЕЧЕСТВЕННОМ ОБМЕННИКЕ - $85 000 @ КОМИССИЯ ЗА ВВОД 10%, КОМИССИЯ ЗА ВЫВОД 15%, ПЛЮС НАЛОГ @ ИЗ АКТИВОВ ДОСТУПНЫ ТОЛЬКО БИТКОИН (В РЕЖИМЕ ТОЛЬКО ЧТЕНИЕ) И ЦИФРОВОЙ РУБЛЬ @ ПЫТАЕШЬСЯ КУПИТЬ МОНЕРО ИЛИ USDT, ЧТОБЫ ПРОСТО ОПЛАТИТЬ ХОСТИНГ @ АККАУНТ ЗАМОРОЖЕН ДО ВЫЯСНЕНИЯ ОБСТОЯТЕЛЬСТВ Типичный 🤯 Сисадмин

₿ России официально разрешили крипту (но есть нюансы) 🔍 Сегодня подписан 300-страничный талмуд "О цифровой валюте и цифровых правах". Государство окончательно признало крипту. Но дух свободы и шифропанков из нее предварительно испарился, оставив только регулируемый финансовый инструмент. Что внутри: 🟢 Появятся официальные криптоброкеры и депозитарии. Уставной капитал от 15 млн рублей, лицензия ЦБ, интеграция с товарищем майором 👮‍♂️ 🟢 Юзать крипту как средство платежа внутри РФ по-прежнему запрещено... никакой пиццы 🍕 за биток. 🟢 На легальные торги пустят только монеты с капой выше 5 трлн рублей. На данный момент под этот фильтр пролезают только Биток, Эфир и USDT. Монеро и разного калибра щиткоины отдыхают. 🟢 Экспортерам и импортерам разрешили использовать крипту для трансграничных расчетов без лимитов. Собственно, ИМХО, ради обхода рухнувшего SWIFT и санкций всё это и затевалось, но это не точно 🤔 А для простого смертного чтобы купить крипту в белую... придется пройти тестирование. Если вы не квалифицированный инвестор (а это нужно доказывать суммами на счетах), ваш лимит составит 300 000 рублей в год на одного брокера. Это 25 тысяч рублей в месяц. Для оплаты VPS конечно хватит, но для серьезных сбережений или фриланс-доходов - это слезы 😰 И еще, если вы торгуете на зарубежных биржах 🕐, вы имеете на это право только с использованием иностранных банковских счетов. И самое главное - обязаны уведомлять налоговую о наличии крипты, которая учитывается за рубежом. Закон вступает в силу 1 сентября 2026. З.Ы. Биткоин задумывался как децентрализованные деньги, неподконтрольные государствам. В итоге в 2026 году, чтобы купить кусок биткоина, ты должен показать паспорт, сдать тест, уложиться в квоту 300к и отчитаться в ФНС. Сатоши Накамото сделал бы git reset --hard от такой криптографии 😂 Типичный 🥸 Сисадмин

😱 Минцифры вводит градацию доверия к хостингам и белые списки для штрафников. 🛂 Пилится социальный рейтинг для серверов. Внезапно пазл окончательно сошелся. Помните недавний пост о том, что аренду виртуалок в РФ хотят привязать к авторизации через Госуслуги (ЕСИА)? Тут подъехали инсайды о том, зачем это нужно на самом деле. Минцифры подготовило механизм работы над теми, кто поднимает личные VPN внутри страны. Стало очевидно, что ТСПУ не справляются с замаскированными протоколами (типа VLESS и Reality). Поэтому регулятор перекладывает работу на плечи хостинг-провайдеров. Хостеров обяжут самостоятельно выискивать в своих подсетях VPN-сервера и передавать данные в РКН 👮‍♂️ А чтобы хостеры и клиенты были сговорчивее, вводится система социального рейтинга (пишут про градацию доверия): 🔴 Низкий траст (Обычные юзеры). Если вы арендовали VPS, верифицировавшись просто по номеру телефона или банковской карте, ваш сервер находится на птичьих правах. При малейшем подозрении на VPN-трафик ваш IP-адрес будет заблокирован в течение 30 минут. Без разбора. 🟢 Высокий траст (Люди с паспортом). Если вы авторизовались через Госуслуги, биометрию или подписали бумажный договор - вы хороший человек. При обнаружении обфусцированного трафика вам дадут время на исправление ситуации (т.е. вежливо попросят потушить прокси). Но самый лютый киберпанк в наказаниях для самих провайдеров... если хостер плохо следит за клиентами (минимальная идентификация) и в его сети постоянно всплывают новые VPN, всю автономную систему или подсеть провайдера признают "недобросовестной" 😮 А что делают с недобросовестной подсетью? Ей отрубают глобальные интернеты. А для всех серверов в этой подсети активируется режим фильтрации по белому списку разрешенных ресурсов. С условной виртуалки на Ubuntu вы сможете пинговать только внутренний интранет. Загрузить пакеты из внешних репозиториев или сходить на GitHub станет физически невозможно ⚰️ Для отечественного розничного сегмента IaaS-рынка это может быть как контрольный в голову. Зачем обычному-разрабу, студенту или небольшому бизнесу арендовать сервер в РФ, привязывать его к своему паспорту и нести риски, что завтра его подсеть отключат от внешки из-за того, что сосед по стойке поднял тоннель 😱? Бюджеты розничного хостинга просто утекут за границу за крипту... Матрица опять достраивается... 👾 Добро пожаловать в эпоху, где у твоего VPS IP-адреса есть уровень благонадежности, а запуск vpn.sh понижает социальный кредит 😭 Типичный 🥸 Сисадмин

Грамотно 😮 Типичный 🥸 Сисадмин

🍿 ФАС возбудила дело против Apple... идёт битва за предустановку суверенного софта. Очередная серия сериала. Претензия эпичная... Кук отказывается по умолчанию устанавливать на Айфоны в России государственный мессенджер MAX, магазин RuStore и российский поисковик. Apple с 2022 года свернула всю коммерческую деятельность в РФ, закрыла представительства и прекратила поставки. Техника едет к нам исключительно серыми тропами через параллельный импорт (через ОАЭ, Казахстан и далее по списку). Как и кому ФАС собирается выписывать штрафы за устройства, которые Apple в Россию не продавала? Вопрос риторический 😬 Многие прекрасно понимают, что у ФАС сейчас ровно ноль рычагов давления на Кука. Штрафы, которые выпишут Apple, будут висеть в вакууме. Отключить Apple в России технически? Заблокировать APNs и сервера активации? А это значит превратить в кирпичи сотни тысяч айфонов, лежащих в карманах самих же запретителей 🤔 Вся эта юридическая суета выглядит как имитация бурной деятельности (или отвлечением внимания 👾). Регулятор делает вид, что управляет мировой корпорацией, а корпорация делает вид, что не замечает серый рынок на миллионы устройств. Так что запасаемся попкорном. А пока андроидо-бояре на графене или ленейдже наблюдают за тем, как люди продолжаем сидеть на iOS через европейские аккаунты и оплачивать подписки подарочными картами с наценкой в 30% 👨‍🔬 Типичный 🥸 Сисадмин

😮 Рунет раскалывается на уровне TLS Помните, еще в июне, когда японский GlobalSign пустил под нож цифровые подписи российского бизнеса, так вот, теперь это доехало до массового пользователя. Сайты банков (Сбер, ВТБ, Альфа-банк и другие) синхронно перестали работать для пользователей Chrome, Safari, Firefox. Вместо личного кабинета юзеры теперь видят SEC_ERROR_UNKNOWN_ISSUER или ERR_CERT_AUTHORITY_INVALID и предупреждение о краже данных. Банки лишились западных сертификатов и экстренно перевели свои проды на отечественные TLS-серты от национального удостоверяющего центра Минцифры (издатель - Russian Trusted Sub CA). Проблема в том, что глобальные браузеры этот корневой сертификат не знают и доверять ему не собираются. Для мирового интернета это просто самоподписанное нечто 👍 Для пользователей подвезли два прекрасных решения (одно другого лучше): 🟢 Либо пересаживаться на Яндекс Браузер 🙂 (в который корневые сертификаты Минцифры вшиты по дефолту). 🟢 Либо скачивать Root CA Минцифры и ручками устанавливать его в доверенные корневые центры своей ОС ⚰️ А теперь минутка криптографии... технически, если некий сертификат становится для ОС доверенным, то некто получает возможность сгенерировать валидный на 100% сертификат на абсолютно любой домен. На google.com, на github.com, на личный VPN-серв 😶 Это открывает прямую дорогу к невидимому MITM-перехвату. Например, стоящие у провайдеров коробки DPI-анализом смогут расшифровывать HTTPS-трафик, читать пароли, куки, фильтровать контент по ключевым словам и зашифровывать обратно. Браузер даже не пискнет, потому что подпись же будет валидной 🎩 Разумным будет использовать по нужде изолированную песочницу... отдельный портабле-браузер со своим хранилищем сертов, отдельный профиль или виртуалку. Матрица достраивается 😎 Типичный 🥸 Сисадмин