Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Атака на пользователей Blender через вредоносные файлы с 3D-моделями"	+/–
Сообщение от opennews (??), 26-Ноя-25, 11:53
Исследователи безопасности из компании Morphisec обратили внимание на серию атак против пользователей системы 3D-моделирования Blender, осуществляемую через распространение blend-файлов в популярных каталогах 3D-моделей, таких как CGTrader. Активация вредоносного кода при открытии 3D-модели производится благодаря возможности включения в blend-файлы автоматически запускаемых скриптов на языке Python, предназначенных для  автоматизации действий и выполнения расширенных операций, таких как формирование каркаса модели... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=64325
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 26-Ноя-25, 11:53	+10 +/–
Не должно быть никаких сторонних пакетных менеджеров, скриптов, автозагружаемых дополнений из магазинов и прочего. Ставишь из репозиториев дистрибутива и таких проблем не будет. Очередные смузихлёбы догадались скрипты в документ запихать. История их ничему не научила.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #17, #27, #31, #36, #50, #57, #78

2. Сообщение от Аноним (2), 26-Ноя-25, 11:55	+/–
Вывод: Не запускаем чужие .blend файлы ; не включаем автоматическое исполение .py файлов ; живём в песочнице. xD
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6, #22

3. Сообщение от Аноним (3), 26-Ноя-25, 11:57	–2 +/–
Сейчас наверное в любой большой программе можно запустить мини-Linux с OpenSSH сервером на борту прокинутым через туннель
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11, #12

4. Сообщение от mrdzharoff (?), 26-Ноя-25, 12:06	–6 +/–
точно жрём чем кормят корпы, купившие дистры. история с системг, вялендом и гномом ничему не научила
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #14, #15, #102

5. Сообщение от Bottle (?), 26-Ноя-25, 12:08	+3 +/–
Спойлер: любая Тьюринг-полная система со скриптами подвержена вирусам. Скелетор вернётся позже с ещё одним неприятным фактом...
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20

6. Сообщение от Аноним (15), 26-Ноя-25, 12:12	+/–
> Не запускаем чужие .blend файлы Это первое, что делается в мультитрэш-редакторе :) Всякие туториалы, библиотеки, шаблоны...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

9. Сообщение от Аноним (9), 26-Ноя-25, 12:17    Скрыто ботом-модератором	+3 +/–
>ZalypaGulliveraV1.py Отлично! 10/10 шутеек про бипки!
Ответить | Правка | Наверх | Cообщить модератору

10. Сообщение от Соль земли2 (?), 26-Ноя-25, 12:17	+1 +/–
Autorun/Windows... я в безопасности.
Ответить | Правка | Наверх | Cообщить модератору

11. Сообщение от Аноним (15), 26-Ноя-25, 12:17	+/–
Программа не может работать изолировано, ты в блендер будешь постоянно подкидывать файлы, модели, картинки, текстуры... экспортировать всякое, рендерить, заливать куда-то результаты. Т.е. из песочницы будет дыра наружу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

12. Сообщение от Соль земли2 (?), 26-Ноя-25, 12:18	+1 +/–
Это называеться shellcode и существует давно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

14. Сообщение от Аноним (1), 26-Ноя-25, 12:19	+2 +/–
> точно жрём чем кормят корпы Если хотите - жрите. Никто не заставляет. На выбор есть и другие дистрибутивы. И при чём здесь это вообще? Вейланд ставит без спроса какие-то пакеты из ненадёжных источников или запускает их? Нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #103

15. Сообщение от Аноним (15), 26-Ноя-25, 12:21	–4 +/–
Такой вид, что все эти "свободные" блендеры - просто средство доставки троянов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #24

16. Сообщение от Кошкажена (?), 26-Ноя-25, 12:25	+/–
Надо просто скрипты все в песочнице запускать, в том же bwrap.
Ответить | Правка | Наверх | Cообщить модератору

17. Сообщение от Аноним (17), 26-Ноя-25, 12:25	–1 +/–
Кому не должно-то?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #26, #29

18. Сообщение от Аноним (15), 26-Ноя-25, 12:44	+2 +/–
Тут вопрос: а почему программы хранят чувствительные данные так, что их может прочитать левая васянпрога?! Обвешались системдами, песочницами, докерами, покерами, и тут приходит блендер с питоном и вычитывает данные аддонов из браузера, которые кроме браузера ничем читаться не должны. Почему-то во времена симбиана у каждой программы был "из коробки" приватный каталог.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #47, #83

20. Сообщение от Аноним (20), 26-Ноя-25, 13:02	+2 +/–
>любая Тьюринг-полная система со скриптами подвержена вирусам. Неверно. Например, JavaScript вон Тьюринг-полный и в браузере исполняет скрипты прямо с Интернета, но ограничен так чтобы не иметь доступ к произвольным файлам на диске.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #40, #54, #68, #81

21. Сообщение от Pindar Suchai (?), 26-Ноя-25, 13:07	+/–
Теперь понели, зачем в андройде ограничили доступ к папке Data?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #51

22. Сообщение от Аноним (22), 26-Ноя-25, 13:08	+1 +/–
>"живём в песочнице" В MacOS все приложения всегда запускаются в песочнице. В Linux ещё не так?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #30, #39, #82

23. Сообщение от Аноним (36), 26-Ноя-25, 13:18	+1 +/–
Господи, эти новости про "атаки" в последнее время - как парад неудачных шуток к первому апреля. > Атака прежде всего нацелена на пользователей, включающих в настройках опцию автоматического запуска скриптов из blend-файлов. Автоматический запуск по умолчанию запрещён, но пользователь может не задумываясь подтвердить запуск в диалоге с предупреждением Что дальше откроют "исследователи"? Что левый бинарь, скачанный из инета, может делать с твоей системой что угодно, если ты "не задумываясь, пдтвердил запуск в диалоге с предупреждением"? Фейспалм. 🤦
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #55

24. Сообщение от Аноним (24), 26-Ноя-25, 13:19	–1 +/–
Оставляешь ключ рядом с замком, а  виноват  завод замков что допустил это?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #35

25. Сообщение от Аноним (27), 26-Ноя-25, 13:22	+1 +/–
СПО, Blender, Python это модё любимое комбо.
Ответить | Правка | Наверх | Cообщить модератору

26. Сообщение от Аноним (1), 26-Ноя-25, 13:22    Скрыто ботом-модератором	+/–
Мне, анонимному эксперту опеннета.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

27. Сообщение от Аноним (27), 26-Ноя-25, 13:26	+4 +/–
Даже если будет один единственный дистрибутив с одним единственным репозиторием, без вирусов, ты как запретишь пользователям делиться модельками?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

28. Сообщение от Аноним (28), 26-Ноя-25, 13:26	+/–
Вообще это удобно поставлять данные сразу с функциями над ними. Таже lua в этом плане удобнее json, для luajit можно создавать файлы под 64гб. Очевидно что подобное будет использовано для злого умысла и ничего с этим не поделать. Расширенный вывод в блендере с разрешением запустить код, в котором будет указано что используются функции, которые обычно не встречаются в моделях не помешал бы. А не просто да/нет
Ответить | Правка | Наверх | Cообщить модератору

29. Сообщение от Аноним (29), 26-Ноя-25, 13:28	+/–
Быть
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

30. Сообщение от Аноним (27), 26-Ноя-25, 13:28	+/–
В Windows продвинутые пользователи и сисадмины выкручивают UAC (англ. User Account Control) на максимум, чтобы на каждый чих просил подтверждение, а тут вольница.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #34, #38, #46, #91, #105

31. Сообщение от Гомер (?), 26-Ноя-25, 13:28	+/–
>Не должно быть никаких сторонних пакетных менеджеров, скриптов, автозагружаемых дополнений из магазинов и прочего. Ставишь из репозиториев дистрибутива и таких проблем не будет. За что боролись, на то и напоролись). Магазины приложений, Подписки, Сервисы) Все для домохозяйки чтбы тыкнула кнопку. А не думала головой. Ведь еще есть кнопка "сделать офигенно", в фотошоп - это Ai редакторы, в смартфонах ведь фильтры, и даже непонятно, это бот сгенерированный, или куча фильтров освещения, талии. Эффективные менеджеры.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #56, #58, #59

34. Сообщение от СтолярОбычныйЧеловек (?), 26-Ноя-25, 13:33	+/–
>UAC (англ. User Account Control) Ну кстати нормальная штука, Если firewallm, и UAC, настроенны правильно, то никакой антивирус ненужен.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

35. Сообщение от Аноним (15), 26-Ноя-25, 13:33	+/–
Берёшь замок - а там жучок с симкой и трекером...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #112

36. Сообщение от Аноним (36), 26-Ноя-25, 13:34	+2 +/–
> Не должно быть никаких сторонних пакетных менеджеров, скриптов, Эксперт не подскажет, как быть, если скрипт не сторонний, а мой и в моем же blend файле? > Ставишь из репозиториев дистрибутива и таких проблем не будет. К чему ты приплел репозитории дистрибутивов, если новость о файлах Blender? Буквально "BTW, I use Arch".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #45

38. Сообщение от Аноним (15), 26-Ноя-25, 13:36	+/–
> чтобы на каждый чих просил подтверждение И тут импортирует блендер 100500 файлов текстур из разных мест... А среди этой кучи - ещё и твой кошелёк.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

39. Сообщение от Аноним (39), 26-Ноя-25, 13:37    Скрыто ботом-модератором	+1 +/–
Конечно не так, потому что ставится доверенное ПО, а не проприетарная малварь. Ну если ты конечно не дурачок ставить снапы и флатпаки, но там как раз песочницы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #48

40. Сообщение от Аноним (15), 26-Ноя-25, 13:38	+/–
> Например, JavaScript Но разрабы блендера - не Брендан Эйх.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

42. Сообщение от Аноним (-), 26-Ноя-25, 13:40	+1 +/–
Компромиссный и самый простой способ защититься от слива: настроить фаервол на запрет исходящих соединений от произвольного софта. В винде по-умолчанию кто угодно может выйти в интернет, а так фаервол покажет окошко когда зловред попытается скачать вирус или отправить собранные данные. Наличие такого окна достаточный повод физически отрубить интернет и запустить антивирус.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #44, #49

44. Сообщение от Аноним (15), 26-Ноя-25, 13:44	+/–
Как собираешься гасить, например, запросы на резолвинг хост-неймов?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #74, #80

45. Сообщение от Аноним (1), 26-Ноя-25, 13:44	–2 +/–
> Эксперт не подскажет, как быть, если скрипт не сторонний, а мой и в моем же blend файле? Отдельный make для сборки. > К чему ты приплел репозитории дистрибутивов, если новость о файлах Blender? Буквально "BTW, I use Arch". В комментарии написано к чему.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #53

46. Сообщение от Аноним (17), 26-Ноя-25, 13:45	+1 +/–
> UAC Байпассится буквально миллиардом способов, лол.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #65

47. Сообщение от Аноним (47), 26-Ноя-25, 13:47	+/–
Так вы же сами отказываетесь использовать всякие flatpak и snap. А конкретно этот вредонос вообще под винду. Но и под линукс по идеи тоже можно такое же сделать, если там питон неизолирован.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

48. Сообщение от Аноним (48), 26-Ноя-25, 13:50	–1 +/–
> "Конечно не так, потому что ставится доверенное ПО" А потом уделяются, почему у Linux так мало пользователей! Вот как в таких условиях работать брокерам, трейдарам, фотографам, музыкантам и т.д.? Так как разработчик создаёт только для Win и Mac, он не будет выкладывать для 100500 дистрибутивов Linux (которые все вместе взятые занимают малую долю рынка десктопов). А за место него выкладывают в репозиторий всякие непонятные Васи, с блекдорами, майнерами и т.д.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #109

49. Сообщение от Аноним (-), 26-Ноя-25, 13:55	+3 +/–
> Компромиссный и самый простой способ защититься от слива: настроить фаервол > на запрет исходящих соединений от произвольного софта. Поэтому скриптец просто пошифруете тебе файлы на диске и попросит заплатить. А ты уже сам выйдешь в инет))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

50. Сообщение от Аноним (-), 26-Ноя-25, 13:57	–1 +/–
> Ставишь из репозиториев дистрибутива и таких проблем не будет. Например либу ХЗ или переводчик. Которые или бекдорные или сразу отправляют данные на китайские сервера. Зато самый официальный репозиторий!!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

51. Сообщение от Аноним (47), 26-Ноя-25, 13:59	+1 +/–
Андроид и ios вообще лучший пример в плане защиты от дурака. Разве что лучше бы каждый раз запрос пароля с предупреждением был, когда ставишь софт из apk. Изоляция приложений в целом хорошая относительно винды и дефолтного линукса. Насчет мака хз, там вроде тоже норм защита от дурака. Пользователям никогда нельзя доверять их безопасность. Если хочешь больше свободы, то ты должен в процессе её получения доказать, что ты не совсем дурак. Пока что в андроиде слишком легко получить право запускать вредоносный код.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

53. Сообщение от Аноним (36), 26-Ноя-25, 14:05	+/–
>> Эксперт не подскажет, как быть, если скрипт не сторонний, а мой и в моем же blend файле? > Отдельный make для сборки. Что за бред? При чем здесь make, чего сборка? >> К чему ты приплел репозитории дистрибутивов, если новость о файлах Blender? Буквально "BTW, I use Arch". > В комментарии написано к чему. Нет, не написано.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #67

54. Сообщение от Аноним (27), 26-Ноя-25, 14:09	+3 +/–
Надо Блендер переносить в брайзур - срочно!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

55. Сообщение от Жироватт (ok), 26-Ноя-25, 14:10	+/–
Они откроют, что оффисный скриптинг в табличках экселя может содержать вирусы!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #98

56. Сообщение от Аноним (27), 26-Ноя-25, 14:13	–1 +/–
>Все для домохозяйки чтбы тыкнула кнопку. >А не думала головой. Бытовые приборы буквально по закону обязаны быть готовы для использования, а не иметь форму DIY конструктора.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #94

57. Сообщение от Аноним (57), 26-Ноя-25, 14:13	+/–
Точнее не должно быть ничего кроме сурса, взятого напрямую от автора кода. Всё остальное - бэкдоры разной степени вероятности.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #61

58. Сообщение от Аноним (58), 26-Ноя-25, 14:17	+/–
> Все для домохозяйки чтбы тыкнула кнопку. Ты еще тыкажешь кнопки на калькуляторе? Думай головой! Возьми бумажку и ручку. > А не думала головой. Выкинь все баш скрипты, мейк файлы! Все команды набирай как в первый раз.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #60

59. Сообщение от Аноним (27), 26-Ноя-25, 14:18	–1 +/–
>Магазины приложений, По твоему свободное По должно быть бесплатным? >Подписки Чем это отличается от подписки на электричество и горячую воду? >Все для домохозяйки чтбы тыкнула кнопку. Да конечно, ты же будешь разбираться как работает лифт или светофор, делать проливку, чтобы только на твоем этаже останавливался, а зеленый свет только на твоём повороте. >Ведь еще есть кнопка "сделать офигенно", в фотошоп - это Ai редакторы, в смартфонах ведь фильтры, и даже непонятно, это бот сгенерированный, или куча фильтров освещения, талии. Раньше макияж использовали, сейчас фильтр, разница не большая, читерство.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #69, #71

60. Сообщение от Аноним (27), 26-Ноя-25, 14:18	+/–
>Возьми бумажку и ручку. Бумажка и ручка это для тех кто не умеет считать в уме.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

61. Сообщение от Аноним (-), 26-Ноя-25, 14:19	+/–
> Точнее не должно быть ничего кроме сурса, взятого напрямую от автора кода. > Всё остальное - бэкдоры разной степени вероятности. А если автора кода скомпрометировали? Или он сам добавил бекдор? Выходит доверять нельзя никому!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #64

64. Сообщение от Аноним (27), 26-Ноя-25, 14:25	+/–
Ну в теории должны быть штатные спецы которые будут анализировать исходные код н наличие бекдооров и уязвимостей перед использованием.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #70, #87

65. Сообщение от Аноним (27), 26-Ноя-25, 14:26	+/–
>> UAC > Байпассится буквально миллиардом способов, лол. Не знал, даже слова такого.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

67. Сообщение от Аноним (1), 26-Ноя-25, 14:53	–1 +/–
> Что за бред? При чем здесь make, чего сборка? Научитесь читать: > скриптов на языке Python, предназначенных для автоматизации действий и выполнения расширенных операций, таких как формирование каркаса модели. Каркас можно и нужно собирать отдельно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #72

68. Сообщение от Bottle (?), 26-Ноя-25, 15:08	+/–
Скажи это зависимостям и сишным дыреням, на которых написан движок Джаваскрипта))) Виртуальная машина/песочница/контейнер - не панацея, мы это уже проходили на примере с Log4j. Ну что, банкиры и майнкрафтеры прочувствовали на себе Тьюринг-полноту по полной. Понимаешь, ты либо можешь делать всё, либо ничего, третьего не дано. Это не значит, что всё должно быть отложено скриптами, но будь готов к опасностям всегда. https://github.blog/security/vulnerability-research/attack-o.../
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

69. Сообщение от Васян (?), 26-Ноя-25, 15:12	+1 +/–
-- -- ---- По твоему свободное По должно быть бесплатным? Если оно, это ПО, не бесплатное, оно не фри даже и открытое. Свободное - это свободное. А кто там что понимает иначе и пытается втюхивать всем остальным, не знаю. Это как подарок ..... Хочешь бери, а хочешь - нет. Написал, выложил, бери кто хочет если достанешь, не хочешь так, бери продавай за деньги, можешь бартером за слив инфы и т.д. и т.п.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #89

70. Сообщение от Васян (?), 26-Ноя-25, 15:16	–1 +/–
--- должны быть штатные спецы... Где и у кого должны?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64 Ответы: #86

71. Сообщение от Bottle (?), 26-Ноя-25, 15:21	+1 +/–
Кстати, свободное ПО обречено быть халявой, в иных случаях получается просто кривая проприетарщина вроде Godot, который просит за порты на консоли мзду хуже чем Юнити. Тем временем Defold позволяет это сделать бесплатно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

72. Сообщение от Аноним (36), 26-Ноя-25, 15:25	+1 +/–
>> Что за бред? При чем здесь make, чего сборка? > скриптов на языке Python, предназначенных для автоматизации действий и выполнения расширенных операций, таких как формирование каркаса модели. > Каркас можно и нужно собирать отдельно Т.е. ты предлагаешь собирать какркас модели отдельно при помощи make-файлов? Я все правильно понял?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #73

73. Сообщение от Аноним (1), 26-Ноя-25, 15:39	–1 +/–
Да, всё верно поняли. Так и должно быть в нормальных проектах - явная сборка.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72 Ответы: #75, #76

74. Сообщение от Аноним (28), 26-Ноя-25, 16:05	+/–
Меня эта защита от dns тунелей тоже волнует, нет инета, зато unbound шпарит. Я бы запускал на отдельной машине с прокидыванием графики, waypipe тот же, хз насколько он быстрый.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

75. Сообщение от Аноним (36), 26-Ноя-25, 16:07	+1 +/–
Все понятно, вопросов больше не имею. Персонаж увидел знакомые слова "Python" и "автоматизация", но смысла их в контексте не понял - и рванул в линуксячем угаре наваливать про дистрибутивы, репозитории и make-файлы. 🤣 Опеннет держит марку!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73

76. Сообщение от Аноним (76), 26-Ноя-25, 16:09	+/–
>> Т.е. ты предлагаешь собирать какркас модели отдельно при помощи make-файлов? > Да, всё верно поняли. Так и должно быть в нормальных проектах - явная сборка. Чел, или проспись. Речь идет о каркасах 3Д моделей внутри 3Д редактора. Какой к лешему мэйкфайл. XD
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73 Ответы: #85

78. Сообщение от Аноним (78), 26-Ноя-25, 16:25	+/–
>Очередные смузихлёбы >скрипты в документ запихать Word, Excel... История повторяется, ага.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

79. Сообщение от Аноним (80), 26-Ноя-25, 16:28	–1 +/–
Вообще плевать. В серьёзных конторах есть DLP, а у геймеров, вытянувших модельку из игры путём перехвата вызова OpenGL через специальную проприетарную программу, и красть нечего.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #107

80. Сообщение от Аноним (80), 26-Ноя-25, 16:29	+/–
Как? Просто, landlock даже запросы на 127.0.0.1 прибивает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

81. Сообщение от windows10 (ok), 26-Ноя-25, 16:31	+2 +/–
> Неверно. Например, JavaScript вон Тьюринг-полный и в браузере исполняет скрипты прямо с Интернета, но ограничен так чтобы не иметь доступ к произвольным файлам на диске. Неверно. Вирус - не означает доступ к произвольным файлам на диске. Если после захода на сайт, у тебя в браузере, в неудаляемом (ну вот так хацкер постарался) расширении прописался майнер, то не все ли тебе равно откуда твой проц нагружается на 100%, из песочницы или из нативного бинарника?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

82. Сообщение от Аноним (82), 26-Ноя-25, 16:34	–1 +/–
В Linux просто и надёжно программы изолируются отдельными юзерами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #97

83. Сообщение от Аноним (82), 26-Ноя-25, 16:36	+/–
Потому что надо отдельными юзерами всё изолировать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

85. Сообщение от Аноним (1), 26-Ноя-25, 17:09	+/–
И? Каркас генерируется ОДИН раз. То, что эту операцию запихали в документ - костыль. Но вы это не понимаете в силу ограниченности у вас и отсутствия архитектурного мышления.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76 Ответы: #90, #96, #99, #100

86. Сообщение от Аноним (1), 26-Ноя-25, 17:10	–1 +/–
Не лезьте с глупыми вопросами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #92

87. Сообщение от Аноним (1), 26-Ноя-25, 17:11	+/–
астично эту работу как раз выполняют ментейнеры дистрибутивов. Плюс хранят все исходники для сборки, для повторяемости.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

88. Сообщение от Jeck (?), 26-Ноя-25, 17:14	+/–
Вчера только все восхваляли блендер как самый лучший опен соурс а сегодня уже вон оно как оказалось
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #108

89. Сообщение от Аноним (89), 26-Ноя-25, 17:40	+/–
Шёл 2025й год, опеннетные эксперты прлдолжали путать "свободный", "открытый", и "бесплатный".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #95, #101

90. Сообщение от Аноним (89), 26-Ноя-25, 17:43	+/–
> Каркас генерируется ОДИН раз. Сразу же с моими правками, которые я ещё даже не придумал? Вот это технологии! Вот это сила опенсорса!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85

91. Сообщение от Аноним (91), 26-Ноя-25, 17:48	+/–
Особенно продвинутые не ограничиваются одним лишь UAC: https://github.com/HotCakeX/Harden-Windows-Security https://sandboxie-plus.com/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #93

92. Сообщение от Васян (?), 26-Ноя-25, 17:49	+/–
Тебе умному выложили ПО без гарантий, как есть и бесплатно. Кто кому там что должен, хозяин серверов где этот софт выкладывают или добровольцы взявшиеся за т.н. проверку этого софта? Про уязвимости без их использывания в софте не узнают пока это не откроется кем-нибудь, а кто будет закладывать уязвимости в софт и всем о них рассказывать?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #86

93. Сообщение от Аноним (91), 26-Ноя-25, 17:50	+/–
+ работать под стандартным пользователем, или использовать Administrator Protection хотя бы. https://learn.microsoft.com/en-us/windows/security/applicati.../
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #91 Ответы: #106

94. Сообщение от Гомер (?), 26-Ноя-25, 17:51	+/–
Да круто, а тоесть например мобильный телефонв в 2000, даже 1995 года, это не тыкнул кнопочку, а DIY конструктор. Я имею ввиду что если сравнивать WinXp, 7, даже 2000, это поставил нужный софт и пользуешься. Такие компы десятилетиями стоят в оффисе, и ничего не ломается. А тут куча каких то магазинов приложений, подписок, сервисов. Вот недавно хотел попробовать Chrome, и оказалось что Ubuntu ставит Snap, вместе с Chrome, тоесть пишешь apt install Chrome, он ставит сначала 500Mb Sbap. Притом мне не нужна изоляция, я как раз использую в tmpfs overlay в браузере. А в случае Snap - это изоляция.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #120

95. Сообщение от Васян (?), 26-Ноя-25, 17:52	–1 +/–
--- Шёл 2025й год... Ты хочешь сказать что открытый и не бесплатный - свободный?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89

96. Сообщение от Аноним (36), 26-Ноя-25, 17:55	+/–
> И? Каркас генерируется ОДИН раз. То, что эту операцию запихали в документ - костыль. Он генерируется внутри Блендера при помощи его встроенных 3Д инструментов. > Но вы это не понимаете в силу ограниченности Это как раз ты не понимаешь, что несешь. Хотя давай, расскажи мне, куда ты там свой make собрался втулить - будем веселиться до конца. 😂
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85

97. Сообщение от Аноним (91), 26-Ноя-25, 17:58	+/–
Просто и ненажёжно. Защищает только от тривиальных атак и случайных операций типа `rm -rf ~`. Ядро и сетевой стек общие. IPC, shared. Есть ещё X11. SUID. DE leaks. Нужны хотя бы хорошо настроенные песочницы или контейнеры.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82 Ответы: #104, #117

98. Сообщение от Васян (?), 26-Ноя-25, 18:02	–1 +/–
-- -- скриптинг в табличках экселя может содержать вирусы! Да ну? Любой скриптинг придумали из благих намерений для всякого удобства во благо человечества. Какие вирусы? Это не гуманно и противоречит всяким лицензиям корпорастов...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

99. Сообщение от Аноним (99), 26-Ноя-25, 18:23	+/–
> И? Каркас генерируется ОДИН раз Если бы он генерировался один раз, люди бы вообще не сношались ради этого со скриптами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85

100. Сообщение от Аноним (99), 26-Ноя-25, 18:24	+/–
> Но вы это не понимаете в силу ограниченности у вас и отсутствия архитектурного мышления. Но ты-то много понимаешь - вог, уже приплел Make к 3Д редактору. Сразу чувствуется гибкое арзитектурное мышление, ага.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85

101. Сообщение от Васян (?), 26-Ноя-25, 18:28	+/–
Может мне вместо фри нужно было написать фридомный?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89

102. Сообщение от aname (?), 26-Ноя-25, 18:39	+/–
Так напиши своё
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

103. Сообщение от Васян (?), 26-Ноя-25, 18:52	+/–
- - - Если хотите - жрите. Ну я ваще не понимаю, как можно на дырявом проприетарном железе использывать типа безопасный софт, заверенный даже подписью какого-то корпораста, который десятками лет не закрывает уязвимости и писал их совсем не для твоей безопасности, и даже т.н. свободный софт. Ну как-то уж очень противоречиво всё звучит. Любители пруфов будут вопросы задавать?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

104. Сообщение от Аноним (112), 26-Ноя-25, 19:00	+/–
> Нужны хотя бы хорошо настроенные песочницы или контейнеры. Все инструменты у тебя для этого есть. И песочницы и контейнеры. Пользуйся...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #97

105. Сообщение от Аноним (112), 26-Ноя-25, 19:02	+/–
Чувак. ты читать новость пробовал? В против такой атаки UAC не работает...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

106. Сообщение от Аноним (112), 26-Ноя-25, 19:02	+/–
И что? они тырят файлы самого юзера. при чем тут Administrator Protection?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #93 Ответы: #121

107. Сообщение от Аноним (112), 26-Ноя-25, 19:05	+/–
у виндузятников истерика, а новость они, как обычно, прочитать не шмогли > Вредоносное ПО ограничено атакой на пользователей Windows. Ж)))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79

108. Сообщение от Аноним (112), 26-Ноя-25, 19:06	+/–
Виндузятники должны страдать... На линукесе эти ваши вирусы-шмнирусы не работают...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #88

109. Сообщение от Аноним (112), 26-Ноя-25, 19:10	+/–
>> "Конечно не так, потому что ставится доверенное ПО" >  Вот как в таких условиях работать брокерам, трейдарам, фотографам, музыкантам и т.д.? Как, как ? Платить вымогателям за расшифрование, терять кошельки и конфиденциальные данные... > А потом уделяются, почему у Linux так мало пользователей! Нам на линуксе так-то и не нужны такие пользователи... пусть со своими строянами на винде сидят...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

110. Сообщение от Аноним (110), 26-Ноя-25, 19:24    Скрыто ботом-модератором	+/–
Откуда на Линукс форуме столько виндофилов?
Ответить | Правка | Наверх | Cообщить модератору

111. Сообщение от Аноним (111), 26-Ноя-25, 19:30	+/–
Что-то не сказали ничего, разрабы Blender как-то будут что-то делать? Ну там наверняка же есть питон-песочница.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #113, #114

112. Сообщение от Аноним (112), 26-Ноя-25, 19:30	+/–
> Берёшь замок - а там жучок с симкой и трекером... Купил дом с панорамным остеклением в гарлеме... Вот это да... Это-же опасно... Давай наваривай решетки...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

113. Сообщение от Аноним (112), 26-Ноя-25, 19:32	–1 +/–
> Что-то не сказали ничего, разрабы Blender как-то будут что-то делать? Ну там > наверняка же есть питон-песочница. Я нашел на дорожке в парке чей-то старый пирожок и съел его... Теперь у меня болит живот... Пекарни планируют что-то с этим делать?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #111 Ответы: #115

114. Сообщение от Аноним (111), 26-Ноя-25, 19:36	+/–
Погуглил. Ничего кроме рекомендаций запускать питон в докере не нашёл. Если это так, то питон не самый подходящий для таких целей язык. Тот же JS и понятен всем и имеет изоляцию.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #111 Ответы: #118

115. Сообщение от Аноним (111), 26-Ноя-25, 19:37	+/–
Если заранее известно, что в печку будут сувать всё подряд, в т числе радиоактивные железки и неразорвавшиеся мины 40-ых годов, сделаете ли вы стены печи потолще или будете жарить на мангале?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #113 Ответы: #116

116. Сообщение от Аноним (112), 26-Ноя-25, 19:42	+/–
Еще раз для танкистов. По дефолту запуск скриптов ЗАПРЕЩЕН. Почему? Потому как разрабы предупреждают юзверя - это опасно. Виндузятник качает с левого сайта левую модельку. При открытии этой левой модельки программа виндузятника предупреждает. Виндузятник игнорирует предупреждение и запускает скриптоту... Виндузятник получает любимый строян StealC. А виноваты разрабы блендера... Л - логика!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #115

117. Сообщение от кек (?), 26-Ноя-25, 19:44	+/–
в корпы вкатываешь атомарный дистр, источники приложений только доверенные, дальше уже по ситуации хардить геморройно для всех сторон, но это тот самый проклятый мир, который мы сами себе и создали
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #97 Ответы: #119

118. Сообщение от Аноним (112), 26-Ноя-25, 19:45	+/–
Какая разница на каком языке написан скрипт который качает и запускает строян с интернета?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114

119. Сообщение от Аноним (112), 26-Ноя-25, 19:47	+/–
здесь проблема не в источники приложений только доверенные, здесь проблема что виндузятники сами тянут из интернета всякую каку и запускают ее, несмотря на предупреждения программы...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #117

120. Сообщение от Аноним (-), 26-Ноя-25, 19:53	+/–
Хахаха! Ты бы еще сочинил "винь95 не нужно переставлять каждые пол года")) Сколько проблем было что с ХРюшей, что с семеркой до появления сервиспаков... > А тут куча каких то магазинов приложений, подписок, сервисов. Угу, мир немного поменялся. Теперь ждать двагода, пока выйдет очережной сервиспак никто не хочет. Исправили баг - отправили юзеру. И покупать на СД дисках пролижения тоже перестали. Проще скачать. А откуда? Вот удобный магазин.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #94

121. Сообщение от Аноним (91), 26-Ноя-25, 20:45	+/–
Ну так настройка UAC тут тоже не особо поможет. Речь ишла о настройке системы в целом, а не для защиты от конкретно этой "уязвимости". А так Sandboxie поможет. С помощью интерпретаторов можно обходить Smart App Control, который требует наличие действительных подписей у исполняемых файлов и скриптов (PowerShell), наработанную хорошую репутацию среди всех пользователей SAC (может меняться раз в сутки). Поведение SAC можно изменять через политики (HotCakeX разрабатывает удобный FOSS менеджер и редактор), в том числе одобрять/запрещать файлы по типу подписи, хэшу и т.п. Поэтому Microsoft рекомендует блокировать интерпретаторы в системе через политики SAC, если они не необходимы. SAC работает и для модулей ядра, к слову. С помощью Sandboxie можно запретить запуск исполняемого файла вне любой или конкретной песочницы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #106

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема