| 1.7, Лиечка (?), 14:28, 25/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
"Если не удается пройти аутентификацию или установить устойчивое присутствие, вредонос пытается уничтожить весь домашний каталог жертвы, включая все файлы, доступные для записи."
| | |
| |
| |
| 3.63, нах. (?), 18:19, 25/11/2025 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Это либо вредоносы научились злиться, либо создатель злится удалённо.
ну брось, создатель, он нетакой.
Он просто беззлобно надеется что после этого в суматохе переустановки и перенастройки ВСЕГО заново - ты все же дашь ему нормально залогиниться.
В принципе, совершенно правильно надеется.
| | |
| 3.66, Фняк (?), 18:24, 25/11/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
Скорее простейшая защита от изучения в песочницах и honeypot-ов
| | |
|
|
| 1.9, Аноним (9), 14:36, 25/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –5 +/– |
npm, cargo, PyPI - это одни большие уязвимости. У Go хотя бы подход децентрализованный, как и у C, C++.
| | |
| |
| 2.14, Rev (ok), 14:49, 25/11/2025 [^] [^^] [^^^] [ответить]
| –6 +/– |
 Но с cargo обычно работают люди с IQ на 20 выше, чем с npm, поэтому там такого не будет.
| | |
| |
| |
| 4.54, Аноним (54), 17:05, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Я знаю много умных программистов на Rust. Там же мощный ещё функциональный аспект (посмотрите кодовую базу typst, например). Так что раз на раз не приходится. В Яндексе (при всём моём смешанном отношении к нему) тоже людям нравится Rust некоторым.
| | |
| |
| 5.87, Васян (?), 23:03, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
 - -- -- -- -- Я знаю много умных программистов на ....
Печально, а я не знаю умных программистов, особенно тех кто распрягает окружающих про какой-то ЫЫ и делают вид буд-то так и надо. Честные при честные ребята, ну само совершенство просто...
| | |
|
|
| 3.55, Смузихлеб забывший пароль (?), 17:08, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Притом, что даже стандартизированного теста для его определения нет )
А последние годы - так и вовсе считается бредом, ибо является пережитком поры, когда считалось, что "функционал" мозга какой получен от рождения - такой и есть
А потом оказалось, что мозги при необходимости постепенно адаптируются под те или иные задачи, в т.ч сильно отличающиеся от тех, которые отлично решались ранее
| | |
| |
| 4.85, Аноним (48), 21:29, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> "функционал" мозга какой получен от рождения - такой и есть
Да нет, он может снижаться, если не получает должного обучения в процессе. Например, если чел занимался программированием на си, а потом перешёл на раст.
| | |
|
| 3.81, Аноним (81), 20:02, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Ага, и мы видим, что даже с боров-чекером они всё равно писать код с уязвимостями. Страшно подумать, какой бы код они писали на C/C++.
| | |
| 3.114, Аноним (114), 15:39, 26/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Это ложь, походи по Discord'у (именно там много всяких хипстеров), там у каждого второго растера в профиле написано, что он ещё и на жс макачит.
| | |
|
| 2.25, Кошкажена (?), 15:11, 25/11/2025 [^] [^^] [^^^] [ответить]
| +5 +/– | |
> У Go хотя бы подход децентрализованный
Угу, это когда исходники тянутся с гитхаба? Это ДЕцентрализованный называется?
| | |
| |
| 3.30, Аноним (9), 15:29, 25/11/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
>Угу, это когда исходники тянутся с гитхаба? Это ДЕцентрализованный называется?
Я тебе по секрету скажу, что тянуть исходники может не из гитхаба, а из любого другого источника. Просто чаще всего исходники на гитхабе. Но ты можешь их хостить где угодно и go get оттуда их возмёт. То ли дело cargo, тянет только из crates.io. Или тот же PyPI.
| | |
| |
| 4.34, Rev (ok), 15:40, 25/11/2025 [^] [^^] [^^^] [ответить]
| +9 +/– |
Cargo тоже может тянуть с гитхаба или другой репы.
| | |
| |
| 5.115, Аноним (114), 16:30, 26/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Итоги: надо качать весь огромный crates.io ради сборки какой-то поделки на Rust'е.
| | |
|
| 4.36, анон (-), 15:41, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> То ли дело cargo, тянет только из crates.io. Или тот же PyPI.
будь так добр, предоставь ссылку на документацию, где подтверждается данное утверждение
| | |
|
| 3.52, Аноним (52), 16:54, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
И проходят через GOPROXY где они кешируются. Там эти исходники будут доступны если что-то с github случится.
И если не устраивает сервер по умолчанию то можно и свой поднять.
| | |
| |
| 4.112, пох.. (?), 12:57, 26/11/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> И проходят через GOPROXY где они кешируются.
о, удобна - теперь у тебя в кэше лежит червяк.
| | |
| |
| 5.120, голос_из_леса (ok), 03:03, 27/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
 Учи матчасть и не позорься. Увидел слово PROXY и сразу представил свой большой Redis?
В параноидальных нормальных компания в GOPROXY лежит вес набор нужного, все новое сканируется / проверяться, сканчивать с внешнего мира не получится.
| | |
|
|
|
|
| |
| 2.17, Анонимный аноним (?), 14:57, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Если ты не знал, все исходники js-проги вендорятся в deb-пакет. И тоже самое для Go, и для Rust. Причем во всех дистрах.
| | |
| |
| 3.18, Аноним (9), 14:59, 25/11/2025 [^] [^^] [^^^] [ответить]
| –3 +/– |
У тебя не будет уязвимости с JS-прогой, если у тебя не будет стоять эта JS-прога. Просто не нужно использовать Electron'нную хрень. Я давно бойкотирую все эти поделки. Только нативный GTK, Qt, wxWidgets.
| | |
| |
| |
| 5.104, Tron is Whistling (?), 10:18, 26/11/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
В том числе. Отсутствие примитивных, но нужных библиотек приводит к тому, что образуется краудшитсорсинг с лефтпадами.
| | |
|
|
|
| 2.22, Кошкажена (?), 15:10, 25/11/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
На самом деле есть npm (подставь тут любой пакетник) to nix. Плюсом помимо пакетов самого языка можно управлять системными либами, компиляторами и прочим. И все это для конкретных окружений. Сейчас же с тем же pip нужно самому зависимости сборочные ставить, если компилять надо.
| | |
| |
| 3.59, Аноним (57), 17:43, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
 Если ты сделаешь npm to nix в день наличия червя, как тебя это спасёт?
| | |
|
|
| |
| 2.20, Аноним (20), 15:08, 25/11/2025 [^] [^^] [^^^] [ответить]
| +4 +/– |
Перестать пользоваться поделками(зачеркнуть) недоделками из NPM?
| | |
|
| 1.19, Кошкажена (?), 15:07, 25/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +7 +/– |
npm, pip, cargo и есть сами черви. Сами докатились, что простая задача вытягивает кучу зависимостей. Только ручной клон зависимостей в репу, только хардкор. Обновления только по делу.
| | |
| |
| 2.38, User (??), 15:46, 25/11/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
> npm, pip, cargo и есть сами черви. Сами докатились, что простая задача
> вытягивает кучу зависимостей. Только ручной клон зависимостей в репу, только хардкор.
> Обновления только по делу.
Ну, у вас не может быть атак на цепочку поставок при отсутствии этой самой цепочки... А если вот и кода нет - то прям совсем хорошо!
| | |
| |
| 3.96, Bottle (?), 07:05, 26/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Скачивать половину интернета ради сборки одной программы - это глупость.
Данные репозитории к сожалению ничего не делают для предотвращения подобных курьёзов.
| | |
| |
| 4.98, User (??), 08:27, 26/11/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Скачивать половину интернета ради сборки одной программы - это глупость.
> Данные репозитории к сожалению ничего не делают для предотвращения подобных курьёзов.
Ээээ... у вас в "регламенте безопасной разработки" ничего про "фиксацию версий в SBOM", автоматический MR в случае обнаружения уязвимостей, получения зависимостей с внутреннего artifact registry и вот этого вот всего - нет?
А кто в этом виноват? npm-cargo-pip? Или ну... может... не знаю даже... Да не, ерунда какая-то!
| | |
|
|
|
| |
| |
| 3.69, Аноним (69), 18:33, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Что-то я сомневаюсь, что заклеивать дырочку на перфокарте это хорошая идея...
| | |
| |
| 4.74, нах. (?), 19:02, 25/11/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
в смысле? Сто раз так делали! Не тратить же пол-дня на новую заявку ради одной перфокарты!
| | |
| 4.78, IdeaFix (ok), 19:43, 25/11/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
 На дискете же... при чем тут перфокарты? Или Вы не знали что на дискетах надо заклеивать дырочку?:)
| | |
| |
| 5.89, Аноним (89), 00:40, 26/11/2025 [^] [^^] [^^^] [ответить]
| +3 +/– | |
Некоторый софт распространялся на дискетах.. и чтобы не париться, дырочек там просто не было. (ну чтобы не стёрли случайно).. и тогда, когда софт становился не нужен, дырочку приходилось вырезать, не пропадать же дискете...
и еще, во времена односторонних дисководов, пару дырочек вырезали уже в другом месте, и тогда дискету можно было использовать перевернув наоборот, увеличивая полезный объём в двое.
| | |
|
|
|
|
| 1.44, Анонис (?), 16:05, 25/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
Да! Давайте делать больше веб-приложений, они ведь такие надёжные и безопасные и заодно выкинем слабое железо, оно ведь явно устарело, и небезшопасно, а все ПК-бояре работают только на машинах с 128 террабайт оперативной памяти! Джаба-скрип во все дома!
| | |
| |
| 2.93, Аноним (81), 02:36, 26/11/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
Пфф... 128 терабайт? Прошлый век! 128 петабайт - вот, что сейчас в тренде!
| | |
| 2.105, Tron is Whistling (?), 10:20, 26/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Насчёт терабайт не скажу, но 128 гб в десктопе - это реально сказка :D Я даже потерялся, чем их занять, когда тестовую виртуализацию не гоняю.
| | |
|
| 1.46, 1 (??), 16:20, 25/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Представляю, сколько бабла может срубить аффтар leftpad за внедрение такого червя.
| | |
| 1.76, Аноним (76), 19:22, 25/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
У нас безопасники отключили весь npm целиком от корпоративной сети, пока пыль не уляжется. И правильно сделали. Во-первых, по случаю дня индейки всё равно мораторий, во-вторых, по той же самой причине разарабы поразъезжались по домам и девелопить просто некому, в-третьих, всё нужное для ребилда прода, если уж припрёт, всё равно лежит в локальном репозиторий и курируется назначенными.
| | |
| |
| 2.77, Аноним (77), 19:42, 25/11/2025 [^] [^^] [^^^] [ответить]
| +5 +/– |
Плохая безопасность, все публичные репы должны быть отрублены от корп сети всегда. Должны стоять свои репы куда только проверенные пакты добавляют. Язык и источник не важен. Важен тот факт что весь пакет должен проверяется прежде чем быть добавленным в корп репозиторий
| | |
| |
| 3.82, Аноним (76), 20:10, 25/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
В проде так и происходит, перед подключением приложения к публичному интернету команда разработчиков проходит формальную вычитку, на которые приглашены все желающие fte. Процесс включает проход по всему дереву зависимостей на предмет наличия лефтпадов и подобной дичи. Но в процессе разработки вообще нет никакой разумной причины ограничивать девелоперов в инстументах. Прод от офисной сети отделён фаерволлом, туда можно попасть либо через интернет как все, либо через специальные джампбоксы с доступом к бэкэнду по отдельному запросу и с ограниченным сроком действия. Проверять всё и всегда — бессмысленная трата времени. С компа разраба можно украсть код, но невозможно украсть данные, а без данных тот код бесполезен чуть менее чем полностью.
| | |
| |
| 4.92, Аноним (92), 02:35, 26/11/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Ну обнаружишь ты 500 лефтпадов ... каждый по мегабайту. Все проверишь?
| | |
| |
| 5.116, Аноним (76), 17:35, 26/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
500 лефтпадов бывает только комментариях на опеннете. Но если такое вдруг случится, что нужно именно 500 новых лефтпадов втащить на борт, то безопасники будут сидеть и проверять каждый, и они начнут это делать задолго до вычитки, это буквально их прямая должностная обязанность.
| | |
| 5.121, голос_из_леса (ok), 03:09, 27/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
У нас так же с гошными пакетами. Многие из них с 2020 не обновлялись. А зачем, если новый функцианал и правки не нужны.
| | |
|
|
|
|
| 1.90, Джон Титор (ok), 01:16, 26/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Это гениально, причем с отсылкой к фантастике. Тоже люблю Дюна. У автора этого зловреда есть вкус.
| | |
| 1.91, Аноним (91), 01:19, 26/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Ну необучаемые, казалось бы, даже до самых тупых разрабов уже должны были докатится новости о таких фишингах, ну пошевили мозгой то, если такое происходит, логично ожидать сомнительных писем в почте... Ан нет, тупость всё же победила.
| | |
| 1.97, Феникс123 (?), 07:32, 26/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
> Sha1-Hulud
Видно что писалось для души, прям как в старые добрые время, мне нравится. Сейчас по моему такое редкость. Я помню читал книжки с описаниями вирусов, где какие сигнатуры, какие алгоритмы - интересно когда вот так немного проявляется личность создателя.
| | |
| 1.106, Аноним (106), 11:44, 26/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Как-будто в компостере или cpan нет таких уязвимостей. Да в том же go пакеты качаются прямо с гитхуба, а что там - никто не знает. Или же си с плюсами - надо тоже качать либы с интерента и коньпилировать их, никто их конечно же не проверяет. Опенсорс, такой опенсорс...
| | |
| |
| 2.118, Аноним (118), 21:27, 26/11/2025 [^] [^^] [^^^] [ответить]
| +/– |
Не коньпилируй, а качай сразу бинарь собранный. Ну чтоб не как в опенсорсе таком опенсорсе.
| | |
|
| 1.108, Аноним (108), 11:54, 26/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А есть какая-то опция чтобы на каждый preinstall выдавался запрос пользователю, мол вы хотит запустить это "rm rf" Y/Д N/Н?
| | |
| |
| |
| 3.111, пох.. (?), 12:54, 26/11/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Ты работать собрался или кнопочки нажимать?
так надо чтоб через пару минут без ответа - автоматически rm -rf
(э... да что там - и при любом ответе тоже, кому мнение юзеров вообще интересно)
| | |
|
|
| 1.109, Аноним (109), 12:49, 26/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
У нас с этого безопасники неплохо кормятся, целый отдел. Много регламентов как правильно оформить и согласовать заявку на скачать зависимость, причем не напрямую а через внутренний сервис, в котором ведется база уязвимостей библиотек.
| | |
| 1.119, Аноним (119), 22:00, 26/11/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Нужно капчу приделать для подтверждения отправки релизов... со светофорами/автобусами/лестницами, как в Cloudflare.... которая только с пятого раза срабатывает, если повезёт.
| | |
|
