В Telegram Desktop до версии 7.2.9 обнаружена уязвимость CVE-2026-107181, эксплуатация которой позволяет украсть любой файл с компьютера после одного клика по ссылке без подтверждения от пользователя. Из‑за отсутствия экранирования разделителя; параметры в ссылках схемы tg:// распознавались как отдельные IPC‑команды. С помощью служебного обработчика interpret: атакующий мог при клике на подготовленную ссылку незаметно отправить файлы с системы в свой канал без подтверждения со стороны пользователя.
Опасность не ограничивается только перехватом файлов сессии tdata и угоном аккаунта. Эксплуатация позволяет скрытно украсть любые файлы на рабочем ПК в сети, к которым у пользователя есть доступ: документы, сохранённые сессии браузеров, SSH‑ключи, системные конфигурации или кошельки с криптовалютой.
Если файлы уже шифруются, не начинайте с их спасения
Когда на сервере или рабочей станции внезапно перестают открываться файлы, первая реакция — перезагрузить машину, попробовать удалить вредонос или срочно подключить резервную копию. Но именно в этот момент несколько необдуманных действий могут сделать восстановление сложнее.
При атаке шифровальщика первоочередная задача — локализовать инцидент, ограничить дальнейший ущерб и сохранить данные, необходимые для расследования. Само шифрование часто оказывается не началом инцидента. До него злоумышленник мог уже получить учетные данные, повысить привилегии, отключить часть защиты и добраться до резервных копий.
Что имеет смысл сделать в первую очередь:
Изолировать зараженные устройства от сети, виртуальной частной сети компании и других подключений;
Зафиксировать происходящее: время, затронутые машины, расширения файлов, текст записки;
Сохранить логи и подозрительные файлы, а не чистить систему сразу;
Ограничить скомпрометированные учетные записи, причем менять пароли с чистого устройства;
Проверить не только рабочие станции, но и серверы, общие папки, гипервизоры, облачные ресурсы и систему резервного копирования.
А также есть несколько действий, которые не стоит делать:
Не подключать резервный диск к зараженной машине;
Не восстанавливать данные поверх зараженной ОС;
Не удалять журналы до фиксации артефактов;
Не считать инцидент завершенным сразу после того, как файлы снова открылись.
Даже если файлы удалось вернуть, инцидент на этом не заканчивается: нужно понять, через что злоумышленники попали в систему и не оставили ли они себе способ вернуться.
Бэкап еще не означает, что данные получится корректно вернуть. Копия должна быть актуальной, целой, недоступной атакующему, а сам процесс восстановления — заранее проверенным. Постоянно подключенная сетевая папка может быть зашифрована вместе с основной системой. Для критичных данных стоит держать изолированную или неизменяемую копию и заранее понимать свои RPO/RTO.
После локализации атаки нужно оценить масштаб компрометации, устранить выявленные способы доступа злоумышленников и подготовить чистую среду для восстановления. Сначала стоит понять, что успело пострадать и откуда началась атака. Затем — поднять чистый сегмент, развернуть системы из доверенных образов, сменить секреты и только после этого возвращать данные и сервисы.
В блоге Рег.облака собрали полный порядок действий при атаке шифровальщика: как заметить ее раньше, чем файлы перестанут открываться, что делать в первые минуты, как восстанавливаться в чистой среде, какими должны быть резервные копии и что проверить уже после возврата сервисов.
Команда ArtCraft выпустила 7 открытых приложений для работы с картинками, видео, векторной графикой, фотографиями, PDF, анимацией и вёрсткой для замены сервисов Adobe.
Весь набор написан с нуля на Rust для Windows, macOS и Linux. Интерфейс приложений и хоткеи сделаны максимально привычными для пользователей Adobe. При этом приложения не обязательно устанавливать — можно использовать в браузере.
Приложения от ArtCraft менее требовательны к конфигурации ПК и работают даже быстрее оригинальных приложений:
15 вебинаров недели: от AI-агентов и пентеста до микросервисов и GitOps
В ИТ постоянно появляются новые инструменты и подходы, а времени разбираться во всём самостоятельно обычно не хватает. Где-то остаются пробелы в базе, где-то хочется проверить новую технологию на практике, а где-то — понять, стоит ли погружаться в тему глубже.
На этой неделе у нас в Otus пройдут 15 бесплатных демо-уроков от практикующих экспертов — преподавателей курсов. Можно закрыть конкретный пробел в знаниях, задать вопросы и заодно посмотреть, как устроен формат обучения. Выбирайте тему и присоединяйтесь:
Открытый проект esp32-c3-adblock позволяет запустить блокировщик рекламы на плате ESP32-C3. Устройство берёт питание из USB-порта роутера, а к сети подключается по Wi-Fi. После прошивки и настройки нужно указать этот элемент как DNS-сервер, чтобы появилась возможность блокировать обращения к рекламным доменам за 10 мс. Внутри гаджета 400 КБ ОЗУ и 4 МБ флеш-памяти. Чтобы вместить список блокировок, разработчик хранит короткие цифровые отпечатки адресов, чтобы 537 тыс. доменов занимали менее 50 КБ.
Firefox 157 представил новый интерфейс Nova, который включен по умолчанию. Обновление интерфейса считается крупнейшим за многие годы для браузера. Новый дизайн включает изменения в вкладках, панелях и настройках для упрощения восприятия. Некоторым пользователям новый интерфейс не понравился, и они хотят вернуться к классическому виду.
Для отключения интерфейса Nova необходимо:
зайти в настройки about:config.
найти параметр browser.nova.enabled и изменить его назначение с true на false.
после изменения браузер вернется к классическому интерфейсу.
также можно отключить новую боковую панель, которая отображает доступные разделы. Для этого нужно изменить значение sidebar.revamp с true на false.
Импортозамещение по частям: бэкап один, а Linux у всех разный
Увидел новость о том, что «Киберпротект» выпустил «Кибер Бэкап Старт» – бэкап Windows и Windows Server для физлиц и малого бизнеса.
Бэкап уже российский, а операционная система всё ещё Microsoft
Ничего необычного. В небольшой компании инфраструктура вполне может состоять из нескольких рабочих станций на Windows и одного Windows-сервера. Службы каталога нет. Задача простая: сломался компьютер – вернуть данные и систему.
А что происходит, когда инфраструктура становится больше и в ней появляется Linux?
Windows перестаёт быть единственной платформой
Российский Linux сегодня – скорее лоскутное одеяло, чем одна платформа.
В рейтинге российских ОС CNews 2026 перечислены Astra Linux, Альт, РЕД ОС, РОСА Хром, ОСнова, UBLinux, АльтерОС, Platform V SberLinux OS Server, ОС «Атлант» и EcoRouterOS.
Поэтому совместимость СРК приходится проверять точнее, чем «Linux – да/нет». «Кибер Бэкап» 18.6, к примеру, поддерживает не все российские ОС. Заявлены Astra Linux, Альт, РЕД ОС, РОСА «КОБАЛЬТ» и «ХРОМ», AlterOS и ОСнова, а также ряд зарубежных дистрибутивов. При этом UBLinux, SberLinux, ОС «Атлант» и EcoRouterOS в этой матрице не указаны.
Это не значит «не работает». Наличие слова Linux в описании продукта ничего не гарантирует для конкретного контура. Матрицу совместимости проверяют руками под свою ОС, версию и сценарий.
А что со службой каталога?
Для небольшого офиса централизованный каталог скорее не нужен. В крупной организации это базовый элемент инфраструктуры: через него проходят пользователи, группы, права и доступы.
Проблема не обязательно в падении сервера. Каталог может оставаться доступным, пользователи продолжают входить в систему, но у нескольких сотен человек изменились атрибуты, членство в группах или права из-за неправильно отработавшего скрипта.
Классическая СРК восстанавливает машину, сервер, виртуальную среду или каталог после аварии. Но если из 10 000 пользователей неправильные данные получили 500, полный откат каталога – слишком грубо.
Поддержка каталога ≠ умение вернуть одного пользователя, группу или атрибут. Здесь нужны уже специализированные средства гранулярного восстановления, которые работают по другой логике: сравнить каталог с бэкапом и вернуть только нужные объекты и атрибуты.
С ростом инфраструктуры меняется задача защиты
Для одного компьютера достаточно вернуть Windows и файлы. Для корпоративного Linux нужно проверить совместимость СРК с конкретным дистрибутивом, и техническими ограничениями. А для службы каталога – заранее понимать, что именно восстановится, если каталог жив, а данные уже сломаны.
Классическая СРК и гранулярное восстановление – не конкуренты, а два уровня защиты одной инфраструктуры. Они решают задачи разного масштаба и могут быть двумя уровнями защиты одной инфраструктуры.
Как управлять InfiniBand в дезагрегированном инференсе и балансировать ИИ-кластер изнутри? Узнаете на GoCloud Tech 2026
При запуске больших языковых моделей в продакшен инженеры сталкиваются с неравномерной загрузкой GPU и сложностями управления сетью InfiniBand. Дезагрегированный инференс требует точной балансировки нагрузки между узлами, а стандартные инструменты не всегда дают нужный контроль над инфраструктурой.
На докладе разберем, как мы разработали полноценный контроллер для автоматического управления InfiniBand-партициями. Расскажем, как устроен InfiniBand Subnet Manager и как мы написали собственный контроллер поверх него. Покажем архитектуру решения на реальных примерах балансировки дезагрегированного инференса, операций обучения моделей и перераспределения нагрузки.
Спикер: Денис Добрынин — старший Go-разработчик, Cloud.ru
Представлен открытый проект proxy-scraper для выявления в сети открытых сервисов прокси, которые работают штатно и более менее безопасно.
«Большинство списков бесплатных прокси на 95% состоят из нерабочих адресов, а значительная часть оставшихся — это либо „ловушки“ (honeypots), либо прокси, внедряющие скрипты в загружаемые вами страницы. Инструмент proxy‑scraper собирает публичные прокси (HTTP, SOCKS4 и SOCKS5) из более чем 700 источников и сохраняет только те, что успешно проходят все проверки. При каждом запуске программа анализирует эффективность источников, а полученный результат может преобразовать в единый ротируемый прокси‑адрес. В цифрах: за одни сутки было проверено 3,6 миллиона бесплатных прокси — работоспособными оказались 1,1%, причём более половины из тех, что ответили на первый запрос, не прошли проверку повторным запросом», — пояснил создатель проекта.
Представлен открытый проект Terminal Velocity (tvty) — двадцать агентов ИИ, работающих в циклах (loop). В центре внимания — задачи (тикеты). Одно окно. Никаких поисков нужной вкладки.
«tvty — для тех, кто хочет вести разработку с Claude на максимальной скорости. Это нативный терминал для одновременного запуска множества агентов Claude Code: терминалы сгруппированы по проектам, а тикеты каждого проекта находятся прямо рядом с ними — агент задаёт вопрос, вы принимаете решение, работа продолжается. Почему это удобно Одно окно вместо двадцати вкладок. Видны все проекты, все агенты и то, что требует вашего внимания: принятие решения, непрочитанный ответ или тикет, блокирующий остальные задачи. Терминал каждого агента работает в реальном времени. Прямая привязка к сессии, высокая скорость, никаких лишних прослоек вроде tmux. Переключение одним нажатием клавиши или выбор из миниатюр, отображающих текущее состояние всех окон. Тикеты — рядом с терминалом. Планы, решения, эскалации, изображения: принимайте, отклоняйте или отвечайте, не отрываясь от клавиатуры», — пояснил автор решения.
Как защитить чувствительные данные при работе с LLM и почему закрытого контура недостаточно? Расскажем на GoCloud Tech 2026
При работе с LLM в запросы могут попасть персональные данные, API-ключи, реквизиты и другая чувствительная информация. При этом одного закрытого контура не всегда достаточно, чтобы исключить риски. На докладе разберем, как устроен Guardrails Filter: как инструмент обнаруживает чувствительные данные в запросах и ответах, маскирует их перед отправкой в модель и при необходимости восстанавливает в итоговом ответе. Еще сравним классические методы фильтрации с подходами на основе LLM и на реальных примерах покажем, чем продуктовая реализация отличается от open source версии.
Подоспела новость: MONT и Avanpost договорились о партнёрстве.
На первый взгляд - обычная дистрибьюторская новость. Но для компаний, которые работают с MONT и рассматривают миграцию с Microsoft AD на Linux-каталог, появляется интересный вариант службы каталога — Avanpost DS. Сейчас многие возразят: на рынке же полно российских решений-аналогов MS Active Directory — ALD Pro, РЕД АДМ, Роса Dynamic Directory, Альт Домен и другие. Зачем нам ещё один? Копнём поглубже, чтобы понять, а действительно нужен ли нам этот "ещё один".
Российские Linux-каталоги собраны по-разному: одни вокруг FreeIPA, другие на Samba DC. Вместе с каталогом заказчик выбирает его архитектуру, зависимости и инструменты администрирования. Поэтому два продукта с одной задачей в эксплуатации ведут себя по-разному.
Avanpost пошёл другим путём
Ядро Avanpost DS — LDAP-сервер и Kerberos — написано на Go с нуля, без использования open-source-компонентов. По заявлению вендора, их служба каталога протестирована под нагрузкой до 30 млн объектов.
Что это даёт?
Типичный Linux-каталог собран из нескольких компонентов. Каждый зрелый и проверенный, но со своей архитектурой и зависимостями. Вендору приходится развивать свой продукт и одновременно считаться с чужим кодом.
Своя собственная разработка даёт больше контроля над ключевыми компонентами. Их можно менять, искать узкие места и оптимизировать под нагрузку, а не подстраиваться под архитектурные решения, которые принимали без тебя. Avanpost среди плюсов своего подхода называет производительность и масштабируемость.
Но производительность важна не только в штатном режиме
Проблема начинается, когда нужно быстро исправить ошибку в каталоге. Неудачный скрипт, сбой интеграции или массовое изменение могут затронуть множество объектов. Контроллеры при этом доступны, пользователи аутентифицируются, мониторинг зелёный – но у части сотрудников уже изменены атрибуты, членство в группах или права доступа. Формально всё работает, а данные внутри — уже нет.
Мало обслуживать миллионы объектов в штатном режиме. Нужно ещё быстро понять, что именно сломалось, и исправить это, не откатывая миллионы корректных данных вместе с ошибочными.
При больших объёмах узким местом может стать уже сам каталог. В компании, где я работаю (другой ИТ-вендор), был похожий опыт при нагрузочном тестировании одного из Linux-каталогов, построенных на open-source-компонентах: массовые операции на сотнях тысяч объектов выполнялись критически медленно, а удаление нескольких тысяч учётных записей заняло несколько дней. Во время нагрузки возникали ошибки, а репликация между контроллерами некоторое время не восстанавливалась.
Поэтому производительность каталога при больших объёмах – это не вопрос комфорта администратора. От неё напрямую зависит, сколько времени займёт исправление массовой ошибки.
И здесь у Avanpost есть ещё одна полезная связка
С августа Avanpost DS Pro совместим с Granulex Recovery. Granulex сравнивает текущее состояние каталога с резервной копией, показывает, что изменилось не туда, и позволяет выборочно вернуть нужные объекты и атрибуты — без полного отката каталога.
Так что при выборе замены Microsoft AD важен не только список функций. Сколько объектов реально выдерживает каталог? Как ведёт себя под нагрузкой? И насколько быстро можно найти и исправить ошибку, если она затронула тысячу объектов из миллиона?
Когда от каталога зависят доступы всей компании, это уже не мелочи.
Привет, Хабр! Еще недавно миграция ИТ-инфраструктуры казалась чем-то вроде капитального ремонта: один раз стиснул зубы, пережил хаос и дальше живешь спокойно. Но сейчас всё иначе, нагрузки постоянно перемещаются между on-premise, облаками и легаси-контуром.
В таких условиях старые подходы дают сбой. Когда жонглируешь тремя разными инструментами для миграции, бэкапов и DR, в критичный момент обязательно случается рассинхрон.
Поэтому мы в «Хайстекс» решили завести миграцию, бэкапы и аварийное восстановление в единый контур, так всё работает в прочной связке. Этот принцип лег в основу свежего релиза «Хайстекс Акура».
В ближайшую среду 30 сентября в 11:00 (МСК) проведем технический стрим и расскажем:
• Как на практике работает концепция управляемой мобильности рабочих нагрузок;
• Что нового появилось в решении: Backup 2.0, Object Lock, поддержка PostgreSQL, работа с OpenStack без привязки к СХД и DR через Direct2Target;
• Как сегодня сравнивать enterprise-решения по бэкапу и миграции;
• Покажем дорожную карту «Хайстекс Акура» до конца 2026 года.
Приносите схему своего контура, пишите в комментариях, с чем возникает больше всего сложностей. В эфире разберем вашу архитектуру и обсудим рабочий сценарий защиты и восстановления.
Когда в Kubernetes что-то сломалось: как ИИ-агент помогает искать проблемы в кластере
Иногда проблема в Kubernetes находится за несколько минут. Иногда — после долгого просмотра логов, проверки ресурсов и попыток понять, что именно изменилось перед сбоем.
Чем сложнее становится инфраструктура, тем больше времени уходит на задачи вроде анализа состояния кластера, поиска отклонений и проверки типовых проблем. В этот момент возникает вопрос: можно ли часть такой работы передать ИИ?
На практике ИИ-агент для инфраструктуры — это уже не просто чат с подсказками. Он может получать данные о состоянии Kubernetes, работать с ресурсами кластера и помогать инженеру быстрее разобраться в ситуации.
На открытом уроке 1 октября в 20:00 разберём связку Kagent + Ollama: как подключить локальную LLM к агенту, какие возможности это даёт для работы с Kubernetes и какие DevOps-сценарии можно автоматизировать уже сейчас. Присоединяйтесь.
Больше разборов и практических материалов по инфраструктуре собрали в тематическом дайджесте — там можно найти другие полезные темы для DevOps и системных инженеров.
Почему мониторинг, SRE и автотесты перестали работать по отдельности?
Digital Immune System (DIS) или Цифровой Иммунитет — это способность инфраструктуры почувствовать, что с ней что-то не так, и починить себя раньше, чем это заметит пользователь.
В новом выпуске «В SREду на кухне» Андрей Волхонский, Андрей Колесников и Василий Осипенко разбирается что такое DIS, из чего он состоит и почему это не просто модное словосочетание, а способ пересобрать подход к надёжности.
Гость выпуска: Михаил Савин, руководитель отдела SRE в H3LLO CLOUD
На вебинаре раccкажем, как застраховаться от потери данных даже в случае физического отказа ЦОД и как выстроить защиту инфраструктуры с помощью Evolution Disaster Recovery и Evolution Agent Backup. Вспомним, чем отличаются DRaaS, BaaS, репликация и аварийное восстановление. Вы получите полное представление о том, как подобрать решение с учетом требований к непрерывности, скорости восстановления данных и безопасности.
🧑💻 Для кого: CISO и руководителей отделов информационной безопасности, ИТ-директоров, архитекторов, DevOps-инженеров и специалистов, отвечающих за непрерывность работы ИТ-сервисов.
Как снизить стоимость хранения данных с помощью комбинаторики и линейной алгебры? Узнаете на GoCloud Tech 2026
При проектировании систем хранения приходится искать баланс между тремя параметрами: производительностью, надежностью и стоимостью инфраструктуры. На практике улучшение одного показателя нередко требует пожертвовать другим. Разберемся, из чего складывается стоимость хранения данных и как снизить ее с помощью продвинутых алгоритмов отказоустойчивого кодирования. Поговорим о математике нового кодировщика, принципах его работы и сложностях production-ready реализации. А еще покажем на графиках, как решение влияет на скорость работы и потребление ресурсов. Доклад поможет архитекторам, инженерам и системным администраторам подобрать оптимальный баланс между производительностью, надежностью системы и затратами на инфраструктуру.
Спикер: Сергей Баширов — ведущий разработчик R&D, Cloud.ru.
