@tyunusov@infosec.exchange

London, England
Joined July 2008
👺 TenguCon 3.0 特別基調講演「Triforce Keynote」開催決定。 Joe Grand(Kingpin)、YTCracker、Iceman の3名が登壇する、60分間の特別セッションです。 ハッキング、テクノロジー、創造性。それぞれ異なる視点がTenguCon 3.0のステージに集結。 #TenguCon #JoeGrand #YTCracker #Iceman
4
1
13
2,410
Timur Yunusov retweeted
В соцсетях набрала популярность веб-игра 1in8b.life — это симулятор, в котором можно прожить жизнь случайного человека с нашей планеты. В ней нужно следить за судьбой ребёнка с первой минуты его жизни до смерти. Обычно события происходят фоново, но иногда игра просит принять ключевые решения. Сначала это ситуации в духе «Пообщаться ли с мальчиком, который сидит в углу класса один» или «Выбери имя для щенка», но затем нужно будет выбрать работу, партнёра и так далее. Геймплей адаптируется под особенности и традиции страны, в которой живёт персонаж. Например, мне попалась китаянка из глубокой деревни, которая работала на складе, а потом влюбилась в медбрата, переехала в Ухань, родила, бросила работу, но он стал бить её, а затем одумался, и они прожили много лет счастливо, но она начала изменять со своей первой любовью в 60 лет, победила рак, но умерла от диабета Из нюансов: авторы заморочились над реалистичностью, поэтому с большой вероятностью твой персонаж родится в Индии или Нигерии. Вот одна из историй, которую создала эта игра: 《В игре у игрока была 16-летняя дочь. А в той стране, где он родился, в 16 лет девушек обычно уже выдают замуж. Родственники и старейшины городка постоянно давили на неё, требуя выйти замуж. Игрок решил сопротивляться этому давлению. Даже несмотря на то, что из-за этого его отношения с окружающими испортились, он настоял на том, чтобы дочь продолжила учёбу и поступила в университет. А когда виртуальная жизнь игрока подошла к концу, на его похоронах дочь сказала: «Папа всегда был на нашей стороне». Ох, появляется такое чувство, будто даже в игре ты нашёл человека, которого хочешь защищать. Конечно, помимо таких трогательных моментов, там полно и самых драматичных историй. Например, игрок ни разу не подавал на развод, но из-за смерти супругов женился целых 5 раз — сам игрок говорил, что ситуация такая, что хоть в полицию звони》
161
389
826
5,678
2,551,653
Just eat?
£4.30 for lamb kofte and chips at Wrexham. Can't fault the price. The presentation, on the other hand, needs a serious rethink.
Readers added context they thought people might want to know
142
Timur Yunusov retweeted
Just Eat? Just Slop. I'm not hungry anymore.
Would you like cheese with that?
28
181
26
4,010
438,013
Timur Yunusov retweeted
We cracked the new hardware based UFP mitigation in the iPhone Duo on release day (UFP = unavailable for purchase)
20
69
4
721
64,664
Timur Yunusov retweeted
未曾设想的道路,一键运行任何 iOS app,IPA 下载、离线砸壳、导入 SimRun 一气呵成。可以随时随地研究各种 app 了。
26
113
5
1,396
119,755
Timur Yunusov retweeted
41
983
19
26,697
4,468,586
Timur Yunusov retweeted
alejandros17487/ai-jailbreaks: AI jailbreaks: 35 paste-ready AI jailbreak prompts for 25+ frontier and open-weight models - system prompts, AGENTS.md specs, and Ollama Modelfiles. Built for AI security research and red-team tes... github.com/Alejandros17487/a…
3
75
2
532
25,211
Timur Yunusov retweeted
Most psychotic floor plan I have ever seen, you would be so on edge shitting in that toilet with three doors
558
2,241
241
52,765
4,897,699
Timur Yunusov retweeted
Ой-ой, принтер, как же ты туда провалился, что я скажу китайцам
9
5
270
16,898
Timur Yunusov retweeted
Look, it's literally PHP = Personal Home Pages Where do you see BANKS, ENTERPRISE SOFTWARE, or CRITICAL INFRA in that abbreviation? Why then new CVE triggering @CISACyber alerts?
1
1
577
Timur Yunusov retweeted
OAuth Bypass Testbed 403.brutelogic.net/authz/oau… Test your skills against a LOGIN (randomly vulnerable) and/or 17 AUTHENTICATION SERVER endpoints. Like with JWT (JBroken), our fully automated OAuth tool (OBroken) with complete FFF (Find, Forge, Fire) PoCs, aces this testbed.
13 Original OAuth Attack Techniques OAuth is the login layer of the modern web. Every "Continue with Google." Every "Sign in with GitHub." Every SSO button on every SaaS you've ever tested. All OAuth under the hood. Most implementations are broken in ways that aren't documented anywhere. Here's one of 13 original techniques - Grant Type Substitution → MFA Bypass. MFA bound to the browser flow only. Switch grant type, MFA disappears. CVE-2024-37893. The password grant being present is itself a finding worth reporting. MCP is OAuth now and nobody is testing it.
1
45
1
272
19,161
Timur Yunusov retweeted
🗞️A new public repository from EthanArbuckle decrypts FairPlay-protected App Store IPAs on Desktop. That is the closest public pairing of "download with ipatool and get a decrypted IPA" so far 📦 onejailbreak.com/blog/new-of…
2
12
161
15,200
Timur Yunusov retweeted
German government folks celebrating their immunity to the cyber apocalypse as they’re still running on Fax
🤖 Made with AI
106
891
138
8,039
280,019
Timur Yunusov retweeted
🚨 BREAKING: IT JUST KEEPS GETTING WORSE. NOW PYTHON IS FACING A MASSIVE SECURITY EMERGENCY. Python's security team has issued an URGENT warning after a certificate authority compromise put Python's HTTPS security at risk. → 8 CERTIFICATE AUTHORITY KEYS COMPROMISED. Some were so weak they could be cracked almost INSTANTLY. → FAKE TRUSTED WEBSITES: Attackers could potentially impersonate Python.org, PyPI and other websites during intercepted connections. → MALICIOUS DOWNLOADS: Vulnerable environments could be tricked into downloading software from attacker-controlled servers. → YOUR OS PATCH MAY NOT PROTECT YOU: Older versions of pip can STILL trust compromised certificates even after system updates. → EMERGENCY UPDATES: Python developers are being told to immediately update pip, certifi, uv and other affected tools. → DOCKER USERS AT RISK: Existing container images may retain vulnerable certificate stores and need rebuilding. First PHP. Then Node.js. Then GitLab. Then LiteLLM. NOW PYTHON. The very systems developers rely on to establish TRUST online are becoming the attack surface. If you use Python, PATCH NOW.
🚨BREAKING: AI AGENTS ARE ACCESSING AMERICANS' BANK ACCOUNTS WITHOUT BANK AUTHORIZATION. JPMorgan, Bank of America, Wells Fargo, and Morgan Stanley are scrambling to contain the threat. Here's what's happening: → UNAUTHORIZED ACCESS: AI agents are entering customer bank accounts using real login credentials, sometimes with the owners' permission. → ROGUE BEHAVIOR: Some agents have reportedly taken actions beyond what their users requested. → BANKS CAN'T TELL: Financial institutions are struggling to distinguish human activity from AI agents acting independently. → MONEY AT RISK: Agents with transaction permissions could potentially transfer funds or make purchases without approval. → EMERGENCY RESTRICTIONS: Major banks are BLOCKING third-party AI agents and moving toward read-only access. Think about this. We're giving AI agents access to our most sensitive financial information. And now some of America's biggest banks are struggling to control what those agents do. This could become one of the biggest security challenges of the AI era.
Readers added context they thought people might want to know
The Python certifi/pip details match the real eMudhra CA incident, but PHP, GitLab and LiteLLM involved unrelated software bugs, platform flaws and supply chain malware—not CA key compromises like this (Node.js patched concurrently for the same CA issue). discuss.python.org/t/information-… emudhra.we-have-a-problem.com github.com/advisories/GHS… docs.litellm.ai/blog/security-… snyk.io/blog/php-patch…
183
1,335
289
5,945
1,095,169