🛞 Nissan слушает — и повинуется

Что получится, если собрать CAN-симулятор из деталей с eBay и подключиться к автомобилю через Bluetooth и DNS-канал? Хакеры из PCAutomotive показали: Nissan LEAF 2020 поддаётся — руль крутится в движении, микрофоны активны, динамики вещают, сообщения читаются.

На Black Hat Asia они представили 118-страничный доклад с пошаговой атакой: от построения стенда до эксплуатации уязвимостей — MiTM в app_redbend, переполнения буфера, отсутствие цифровой подписи, уязвимости в Wi-Fi и загрузчике i.MX 6, а также проблемы фильтрации CAN.

Автомобиль оказался не только средством передвижения, но и объектом прослушки, слежки и удалённого управления. Производителям есть над чем задуматься — пока руль ещё крутится по воле водителя, а не удалённого сценария.

#автоИБ #uavsec #взлом
@SecLabNews

📊 53% россиян ставят APK «на свой страх и троян»

Согласно опросу, более половины пользователей в России по-прежнему устанавливает приложения не из официальных источников. И неважно, насколько осознанно они избегают фишинга или включают 2FA — один заражённый APK с форума, и смартфон превращается в терминал удалённого доступа.

CraxsRAT и вредоносные версии NFCGate всё чаще маскируются под госсервисы, антивирусы и мессенджеры. При установке они получают доступ к SMS, камере, микрофону и банковским данным. По оценкам, только в марте 2025 года в России выявлено более 200 000 заражённых Android-устройств.

Проблема не в неосторожности, а в ложном доверии к интерфейсу. Пока пользователи воспринимают APK как «такой же, только без маркетплейса», киберпреступники продолжают собирать доступ — и прибыль.

#Android #вредоносы #безопасность

@SecLabNews

🛡 EUVD: если CVE упадёт — нам есть чем ответить

На фоне недавнего финансового кризиса вокруг MITRE CVE, едва не обрушившего глобальную систему отслеживания уязвимостей, ENISA представила European Union Vulnerability Database (EUVD) — свой ответ на вызовы цифровой зависимости и геополитической неустойчивости.

EUVD — не просто «ещё один список». Система агрегирует данные от CSIRT-групп, разработчиков и open source-репозиториев, фокусируясь на практической полезности: отслеживание активно эксплуатируемых уязвимостей и централизованная координация на уровне ЕС.

ЕС больше не верит в непогрешимость CVE — и делает свой запасной выход. Один сбой в финансировании MITRE, и мир замер. EUVD — это не жест вежливости, а холодный расчёт: в глобальной ИБ больше нельзя класть все яйца в одну американскую корзину.

#ENISA #EUVD #уязвимости

@SecLabNews

📱 Таджикистан отменил уголовку за лайки

С 2018 года лайк под видео мог стоить таджикскому пользователю до 15 лет — достаточно было подозрения в «экстремизме». Теперь это в прошлом: 14 мая президент Эмомали Рахмон подписал закон, исключающий такую ответственность из Уголовного кодекса.

Изменения затронули статьи 179−3 и 307−1, под которые попадали даже невинные репосты. Согласно официальным данным, в колониях по таким делам сейчас сидят 1507 человек — за лайки, реакции и комментарии.

Сам закон — результат внутриполитического давления. Ещё в 2024-м Рахмон раскритиковал силовиков за чрезмерную интерпретацию цифровых жестов. Но остаётся вопрос: будет ли этот шаг сопровождаться реабилитацией осуждённых — или история с лайками закончится без правового эпилога?

#Таджикистан #цензура #УК

@SecLabNews

📜 Чат-боты не болтают зря — всё идёт в дело

Когда чат-бот становится «психологом», разговор уже не безобиден. Всё больше людей делятся с ИИ мыслями о самоощущении, одиночестве, суициде — полагаясь на его эмпатию. Но доверие оборачивается риском: исповеди сохраняются в логах, доступных корпорациям и государству.

Meta*, OpenAI, Google собирают массивы чувствительной информации — от откровений до биоданных с носимых устройств. Эти сведения легко попадают под флаги «нацбезопасности» и инициатив вроде федеральной базы по аутизму. Появление структур типа DOGE лишь ускоряет процесс.

Чат-бот — удобный собеседник, но и потенциальный доносчик. Сегодня он советует обратиться к врачу, а завтра — сдаст вас с потрохами.

*Компания Meta и её продукты (включая Instagram, Facebook, Threads) признаны экстремистскими, их деятельность запрещена на территории РФ.

#ИИ #приватность #цифровоенаблюдение

@SecLabNews

🔌 Солнечные панели работают. А заодно — шпионят?

Когда энергетическая независимость сталкивается со скрытыми антеннами, даже мирный инвертор становится кибероружием. США начали повторную проверку китайского оборудования, подключающего солнечные панели и батареи к электросетям. Поводом стали радиомодули и каналы связи, не указанные в спецификациях, — они могут обходить защиту и позволять внешнему оператору удалённо вмешиваться в настройки.

Речь идёт не о мелочах: в США и Европе установлены сотни гигаватт китайской генерации. В случае дистанционного отключения даже части этих систем последствия будут масштабными — от перебоев до реального коллапса сетей. Особенно уязвимы домохозяйства и локальные сети с инверторами от таких производителей, как Huawei, BYD и CATL.

После инцидента с удалённым отключением инверторов в ноябре 2024 года тревога уже не гипотетическая. Литва, Эстония, а теперь и США ужесточают контроль, а в Конгрессе обсуждаются прямые запреты. Технологии обновляемой энергетики становятся новой точкой давления в цифровой холодной войне.

#энергобезопасность #киберугрозы #Китай

@SecLabNews

🔐 Локация под замком: зачем нужен ZKLP и как он работает
Телефон может доказать, где вы были — не называя, где именно

Ваш телефон каждый день фиксирует, где вы были — у офиса, в поликлинике, на митинге. Эти данные — золото для рекламных брокеров и аналитиков. До сих пор приватность означала либо искажение координат, либо сложные танцы с анонимайзерами. Новый подход предлагает не прятать местоположение, а доказывать, что вы были там, где говорите, — не называя точный адрес.

ZKLP — это криптографическая технология, разработанная учёными из Германии, Гонконга и Великобритании. Она позволяет подтвердить своё присутствие в определённой зоне (например, городе или районе) без раскрытия точных координат. Работает это с помощью zk-SNARK — механизма, позволяющего доказать факт, не выдавая содержимого. И впервые это можно делать публично, не запуская сторонние сервисы.

В основе — сложная геосетка из шестиугольников и хитрые оптимизации для работы с плавающей запятой. Несмотря на научную сложность, цель понятна: чтобы телефон мог сказать «я здесь», но не выдать, где именно. Правда, без внешних источников — вроде GNSS или Apple Find My — система не может проверить, не подделал ли пользователь местоположение. Но для интеграции в честные экосистемы — это шаг в будущее.

#геолокация #zkSNARK #конфиденциальность @SecLabNews

Microsoft: строим ИИ — увольняем тех, кто умеет думать

Microsoft увольняет не просто разработчиков — а носителей языка. Среди них — участники команды CPython, создатели инфраструктуры TypeScript и ветераны, 20 лет строившие фундамент современных экосистем.

На первый взгляд — очередной корпоративный «организационный сдвиг». Но если присмотреться, это не реструктуризация, а редактирование ДНК компании. То, что раньше считалось ключевым активом (компетенция, опыт, вклад в open-source), теперь легко заменяется «ИИ, пишущим 30% кода».

Так заканчивается эра, в которой программист был кем-то. Теперь он — прослойка между моделью и продом. Вопрос не в том, заменит ли вас ИИ. Вопрос — почему вы ещё не заменены?

#microsoft #python #увольнения

@SecLabNews