Американцы придумали цифровое хранилище физических ключей

KeyMe предлагает хранить ключи от дверей в облаке

KeyMe – это оригинальный стартап, который предлагает хранить в облаке цифровые слепки физических ключей, чтобы вы могли в любой момент сделать копию. Таким образом, разработчики хотят сэкономить деньги пользователей, лишив их необходимости вызывать слесаря в тех случаях, когда они не могут попасть в дом. Разработка KeyMe началась два года назад в комнатах Колумбийской бизнес школы.

Предлагаемое решение сохраняет информацию о ключах в облаке, благодаря чему вы можете получить к ним доступ в любое время. При этом вам не нужно обращаться к слесарю, чтобы он сделал для вас ключ по скачанному чертежу. Напротив, забрать готовый ключ можно будет в специальном киоске без всякого участия человека. Эти киоски пока ставят в магазинах 7-Eleven в Нью-Йорке. Также в поиске новых ключей поможет новое мобильное приложение для iOS.

В тех же киосках можно оцифровать ваши ключи, используя компьютерную систему в киосках (которых пока есть только 5 штук на весь Нью-Йорк). Залогинится в систему можно с помощью оцифровки вашего отпечатка пальца. Камеры могут самостоятельно сделать несколько снимков ключа и на их основе сформировать модель ключа, которая и будет храниться в облаке. Весь процесс анализа занимает всего минуту, а стоимость услуги не превышает 10 долларов.

 

Новое бесплатное мобильное приложение также умеет сканировать ключ и предоставлять инструкции любому слесарю, благодаря чему он сможет сделать новый ключ с нуля. Стоимость такой услуги составляет около $15, что на 90% меньше, чем обычно просят американские специалисты.

Приложение также позволяет делиться цифровыми копиями ключей и создавать виртуальные связки ключей. Готовые ключи KeyMe собирается пересылать по почте.

Стартап KeyMe вызвал немалый интерес со стороны специалистов по безопасности. Кроме возможности делиться ключами, которая может оказаться весьма рискованной, вопросы вызывают и хранения чертежей. Если хакер сможет проникнуть в облачное хранилище, то он может мгновенно получить физический доступ к домам тысяч людей. Радует хотя бы то, что само приложение не хранит в памяти телефона информацию о ключах. Все данные хранятся на сервере.

Хакеры спрятали команды для WordPress-зловреда в комментариях Steam

Исследователи GoDaddy обнаружили необычную вредоносную кампанию, жертвами которой стали почти 2000 сайтов на WordPress. Вместо традиционной инфраструктуры управления злоумышленники использовали комментарии в профилях Steam Community.

Схема выглядит настолько странно, что сначала напоминает шутку. Однако всё вполне серьёзно.

После заражения WordPress-сайта вредоносный код обращался к определённым профилям Steam и считывал комментарии пользователей. На первый взгляд они выглядели как обычный текст или даже ASCII-арт. Но внутри были спрятаны невидимые Unicode-символы.

 

Именно в этих символах злоумышленники кодировали полезную нагрузку. Специальный декодер игнорировал видимый текст, извлекал скрытые символы, преобразовывал их в бинарные данные и восстанавливал команду для дальнейшего заражения.

По сути, комментарии Steam превратились в своеобразный центр управления вредоносной инфраструктурой.

После расшифровки сайт получал адрес внешнего сервера и загружал оттуда JavaScript под видом обычных библиотек. Для маскировки использовались названия вроде asahi-jquery-min-bundle или lodash.core.min.js, чтобы не вызывать подозрений у администраторов.

 

Финальной стадией атаки становилась установка бэкдора. Он позволял злоумышленникам удалённо выполнять PHP-код через специально сформированные POST-запросы и фактически получать контроль над сайтом.

По данным GoDaddy, кампания действует как минимум с июля 2025 года. Всего специалисты обнаружили признаки заражения примерно на 1980 WordPress-ресурсах.

Как именно происходило первоначальное заражение, пока неизвестно. Среди возможных вариантов называются украденные учётные данные администраторов, компрометация доступа по FTP / SFTP, уязвимости в темах и плагинах WordPress или атаки через цепочки поставок.

Отдельного внимания заслуживает уровень маскировки. Вредоносный код использовал обфускацию, случайные имена функций, стандартные API WordPress и даже фальшивые механизмы логирования. Всё это помогало ему сливаться с легитимной активностью сайта.

RSS: Новости на портале Anti-Malware.ru