Мир сегодня с "Юрий Подоляка"

Труха⚡️Україна

View

Николаевский Ванёк

View

Мир сегодня с "Юрий Подоляка"

View

Труха⚡️Україна

View

Николаевский Ванёк

View

SecAtor

Руки-ножницы российского инфосека.
Для связи - mschniperson@mailfence.com

TGlist rating

TypePublic

Verification

Not verified

Trust

Not trusted

LocationРосія

LanguageOther

Channel creation dateNov 30, 2019

Added to TGlist

May 21, 2024

I own this channel

History of changes

Linked chat

BestComments

Statistic of Telegram Channel SecAtor

More details

Subscribers

40 268

24 hours

30%Week

180%Month

1730.4%

Citation index

100

Mentions1Shares on channels0Mentions on channels1

Average views per post

2 123

12 hours4 775

124.9%24 hours2 123

30.4%48 hours3 050

43.7%

Engagement rate (ER)

0.85%

Reposts14Comments1Reactions0

Engagement rate by reach (ERR)

7.57%

24 hours0%Week0%Month

3.59%

Average views per ad post

4 966

1 hour2 11342.55%1 – 4 hours2 02240.72%4 - 24 hours00%

More details

Connect our bot to the channel to find out the gender distribution of this channel's audience.

Total posts in 24 hours

1

Dynamic

Latest posts in group "SecAtor"

All posts

18.04.202517:30

Представители Vx-underground решили потрепать нервишки разрабам Bubble io, платформы для создания функциональных приложений на основе ИИ без необходимости написания кода, угрожая слить 0-day эксплойт для обнаруженной критической баги.

Дело в том, что в 2024 году два исследователя обнаружили критическую уязвимость в решении, о чем незамедлительно уведомили поставщика, однако по какой-то причине отчет остался без внимания.

Впоследствии они даже выступали с докладом по уязвимости, опубликовали PoC и даже написали статью, но и после этого достучаться до поставщика не удалось.

Так что клиентов Bubble, в числе которых Danone, SeaGate, Unity, Shopify, Paramount Pictures, HubSpot, Amazon, PWC, Yamaha, L'Oreal, да и саму компанию, ожидают увлекательные выходные, судя по описанию уязвимости.

Но будем посмотреть.

17.04.202517:30

Исследователи Cymulate сообщают о четырех уязвимостях в основном компоненте службы планирования задач Microsoft Windows, которые могут быть использованы локальными злоумышленниками для EoP и очистки журналов с целью сокрытия доказательств вредоносной деятельности.

Проблемы были обнаружены в двоичном файле schtasks.exe, который позволяет администратору создавать, удалять, запрашивать, изменять, запускать и завершать запланированные задачи на локальном или удаленном компьютере.

По сути уязвимость представляет собой обход запроса контроля учетных записей, что позволяет злоумышленнику выполнять команды с высоким уровнем привилегий (SYSTEM) без одобрения пользователя.

Используя эту уязвимость, злоумышленники могут повысить свои привилегии и запустить вредоносные ПО с правами администратора, что приведет к несанкционированному доступу, краже данных или дальнейшей компрометации системы.

По данным Cymulate, проблема возникает, когда злоумышленник создает запланированную задачу с использованием пакетного входа в систему (т.е. пароля) вместо интерактивного токена, в результате чего служба планировщика задач предоставляет запущенному процессу максимально допустимые права.

Однако для того, чтобы эта атака сработала, злоумышленнику необходимо получить пароль другими способами, например, взломав хэш NTLMv2 после аутентификации на сервере SMB или использовав уязвимости, такие как CVE-2023-21726.

Конечный результат этой проблемы приводит к тому, что пользователь с низкими привилегиями может использовать двоичный файл schtasks.exe и выдать себя за члена таких групп, как «Администраторы», «Операторы резервного копирования» и «Пользователи журнала производительности», с известным паролем, чтобы получить максимально допустимые привилегии.

Регистрация запланированной задачи с использованием метода аутентификации Batch Logon с помощью XML-файла также может открыть путь для двух методов обхода защиты, которые позволяют перезаписывать журнал событий, эффективно стирая аудиторские следы предыдущей активности, а также переполнять журналы безопасности.

Как отмечают исследователи, первая обнаруженная уязвимость - это не просто обход UAC: по сути, это способ выдать себя за любого пользователя с его паролем из CLI для получения максимально предоставленных привилегии в сеансе выполнения задачи с флагами /ru и /rp.

16.04.202511:00

Исследователи Dr.Web сообщают о масштабной атаке на цепочки поставок ПО различных китайских производителей Android-смарфтонов, связанную с внедрением троянизированных приложений WhatsApp и Telegram, нацеленных на пользователей криптовалют с помощью клиппера.

Несмотря на то, что тему не новая, исследователи Dr.Web отмечают серьезную эскалацию, когда мошеннические приложения внедряются непосредственно в составе предустановленного на телефоне ПО.

Большинство скомпрометированных устройств являются бюджетными копиями известных премиальных моделей Samsung и Huawei, включая S23 Ultra, S24 Ultra, Note 13 Pro и P70 Ultra.

По крайней мере четыре из затронутых моделей производятся под брендом SHOWJI.

Злоумышленники использовали приложение для визуального улучшения технических характеристик, отображаемых на странице «Об устройстве», а также утилиты для получения информации об оборудовании и софте, такие как AIDA64 и CPU-Z, создавая у пользователей ложное впечатление, что телефоны работают под управлением Android 14 и имеют улучшенное аппаратное обеспечение.

Вредоносные приложения Android созданы с использованием проекта с открытым исходным кодом LSPatch, который позволяет трояну, получившему название Shibai, внедряться в легитимное ПО.

По оценкам специалистов, в общей сложности около 40 различных приложений, таких как мессенджеры и сканеры QR-кодов, были модифицированы таким образом.

В изученных Dr.Web артефактах, приложение перехватывает процесс обновления приложения для получения APK-файла с подконтрольного злоумышленнику сервера, ищет строки в чатах, которые соответствуют шаблонам адресов криптокошельков Ethereum или Tron.

При нахождении итаковых, заменяются мошенническими адресами для перенаправления транзакций.

Помимо подмены адресов, вредоносная ПО также оснащена возможностями сбора информации об устройстве, переписки в WhatsApp, а также изображений .jpg, .png и .jpeg из папок DCIM, Pictures, Alarms, Downloads, Documents и Screenshots.

Данный функционал обеспечивает сканирование сохраненных файлов на предмет детектирования фраз для восстановления кошелька (т.н. мнемонических фраз), что позволит злоумышленникам получить доступ к кошелькам жертв и слить активы.

Неясно, кто стоит за этой кампанией, однако установлено, что злоумышленники используют около 30 доменов для распространения вредоносных приложений и используют более 60 серверов C2 для управления операцией.

Дальнейший анализ почти двух десятков криптокошельков, используемых злоумышленниками, показал, что за последние два года они получили более 1,6 млн. долл., что свидетельствует о том, что кейс в принципе окупился с лихвой.

15.04.202519:00

У нас с работой так же

15.04.202517:52

Продолжаем отслеживать наиболее трендовые уязвимости и связанные с ними угрозы:

1. В ПО Apache Roller с открытым исходным кодом на основе Java обнаружена уязвимость максимальной степени серьезности.

Уязвимость отслеживается как CVE-2025-24859 и имеет CVSS 10,0.

Она затрагивает все версии Roller до 6.1.4 включительно и была раскрыта исследователем Хайнингом Мэном.

Уязвимость связана с тем, что активные сеансы пользователей не аннулируются должным образом после смены пароля.

Успешная эксплуатация позволяет злоумышленнику поддерживать постоянный доступ к приложению через старые сеансы даже после смены пароля.

2. SSD Disclosure обнаружила RCE-ошибку в маршрутизаторах Calix Gigacenter.

Устройства выставляют свой интерфейс управления CPE в Интернете на порту TCP 6998 и не обрабатывают должным образом предоставленные входные данные.

Затронутые модели были разработаны третьей стороной под брендом Calix и теперь EoL.

3. Checkmarx изучает недавнюю уязвимость RCE с рейтингом 9,8 (CVE-2025-27520) в BentoML, библиотеке Python для взаимодействия со службами ИИ.

Число затронутых версий намного меньше, чем указано в первоначальном сообщении, но серьезности проблемы не уменьшает: она может позволить злоумышленникам захватить серверы, обрабатывающие полезные нагрузки, связанные с ИИ.

4. Coinspect предупреждает об уязвимостях в кошельках Stellar Freighter, Frontier Wallet и Coin98, которые можно использовать для скрытой кражи средств пользователей.

5. Исследователи Praetorian адаптировали уязвимость, используемую в отношении сред DICOM на базе Windows, для работы в Linux. Cвой PoC они назвали атакой ELFDICOM.

6. Участник Red Team, известный как Vari.sh, представил подробности о Doppelganger, новом методе (и инструменте), предназначенном для клонирования LSASS и извлечения секретов без срабатывания обнаружений на оригинале.

7. Quarkslab опубликовала результаты недавнего аудита безопасности интерпретатора PHP, выявив при этом 17 проблем безопасности.

8. Исследователи Positive Technologies выкатили апрельскую подборку c наиболее опасными уязвимостями, куда вошли 11 проблем в Microsoft, VMware и Apache.

15.04.202515:14

Google внедряет новый механизм безопасности на устройствах Android, который, по всей видимости, будет направлен на противодействие эксфильтрации данных с помощью современных криминалистических инструментов.

Новая функция автоматической перезагрузки была указана в последнем обновлении сервисов Google Play (v25.14) в разделе «Безопасность и конфиденциальность».

Согласно примечаниям к выпуску, благодаря этой функции устройство автоматически перезагрузится, если оно будет заблокировано в течение 3 дней подряд.

В январе 2024 года разработчики GrapheneOS предупредили об уязвимостях прошивки Android, которые криминалисты задействовали для извлечения данных без разрешения пользователя.

При первом запуске телефона Android он переходит в состояние Before First Unlock (BFU), в котором большинство пользовательских данных остаются зашифрованными и недоступными до первой разблокировки устройства.

Как только пользователь разблокирует его с помощью своего PIN-кода или биометрических данных, устройство переходит в состояние After First Unlock (AFU), в котором данные пользователя расшифровываются, что делает их доступными для извлечения или эксфильтрации.

Изъятые или украденные устройства, как правило, уже находятся в состоянии AFU, поэтому даже если экран заблокирован, криминалистические инструменты позволяют извлечь из них, по крайней мере, хоть какие-то пользовательские данные.

Для решения этой проблемы GrapheneOS для устройств Android представила механизм автоматической перезагрузки, который перезапускал систему после 18 часов бездействия, возвращая устройство в состояние BFU.

Google теперь анонсировала по сути ту же функцию в Android, но с немного более демократичным интервалом бездействия нежели, чем в Graphene.

Вместо этого устройство перезагружается после 72 часов, без возможности сократить этот срок.

Предполагается, такой временной интервал все равно должен быть достаточен для блокирования многих атак, предполагающих долгосрочный физический доступ, связанный с проведением уголовных расследований.

Reposted from:

Russian OSINT

15.04.202513:36

🇨🇳Китай обвинил 🇺🇸АНБ США в кибератаках: «названы поимённо, обвиняются публично!»

Китайские власти обвинили АНБ США в организации кибератак на Азиатские зимние игры и КИИ КНР. Согласно сообщению агентства «Синьхуа», инциденты произошли в период проведения Азиатских зимних игр. Пострадали объекты энергетики, связи, транспорта, гидротехнические сооружения и оборонные научно-исследовательские институты в провинции Хэйлунцзян. Они подверглись целенаправленным кибератакам cо стороны APT.

🎯 Цель атак — дестабилизация соревнований, вывод из строя инфраструктуры и хищение разведданных.

Пекин утверждает, что в ходе расследования были установлены личности троих предполагаемых агентов АНБ — Кэтрин А. Уилсон, Роберта Дж. Снеллинга и Стивена У. Джонсона. Их имена фигурируют в списке разыскиваемых лиц, опубликованном 👮полицией города Харбина.

🔻 Февраль 2025 — США обвиняют Китай
🔹 Взлом Минобороны, Госдепа, МИД Индии, Южной Кореи и Индонезии
🔹 Под ударом системы оборонного планирования

🔻 Апрель 2025 — Китай vs США (АНБ)
🔹 Обвинение в «продвинутых» кибератаках во время Азиатских зимних игр
🔹 Названы поимённо 3 агента АНБ
🔹 Упомянуты американские университеты как соучастники
🔹 Цель — критическая инфраструктура, системы Игр и Huawei

*Утверждается, что зафиксировано 270 000 атак на ИТ-системы игр и 50 млн атак на инфраструктуру региона.

По данным китайских специалистов, АНБ использовали арендованные в различных регионах Азии и Европы сервера, дабы усложнить усложнить атрибуцию источника атак. Также отмечается сознательное оставление ложных следов для дезинформации, массовое применение прокси- и бот-инфраструктуры, использование разовых айпишников.

Согласно отчету, опубликованному 3 апреля 2025 года Национальным центром реагирования на компьютерные вирусы Китая (CVERC), в период с 26 января по 14 февраля 2025 года было зафиксировано более 270 000 кибератак на информационные системы, связанные с Азиатскими зимними играми. Из них 63,24% атак (около 170 864) были идентифицированы как исходящие из США.

Использованы сотни техник, включая эксплойты нулевого дня и ИИ-инструменты.

Также в качестве соучастников, по мнению китайской стороны, названы два американских университета — Калифорнийский и Виргинский технологический.

🧐Китайские специалисты утверждают, что в ходе атак были активированы предустановленные бэкдоры в операционных системах 🪟 Microsoft Windows на устройствах, которыми пользовались китайские граждане.

Что ещё интересно?

По данным 🇨🇳360, зафиксирована первая в мире атака, осуществленная с применением 🤖ИИ-агентов, способных автоматически:

❗️ Автономно исследовать цели
❗️ Искать уязвимости
❗️ Писать и исполнять вредоносный код в реальном времени

👆Посольство США в Пекине воздержалось от комментариев. Обнародование подобных сведений отражает попытку Китая симметрично отреагировать на обвинения Вашингтона, регулярно заявляющего о действиях китайских хакеров против американских министерств, оборонных структур и внешнеполитических ведомств. Отсутствие реакции со стороны США оставляет открытым вопрос — как именно Вашингтон ответит на эти серьёзные обвинения?

✋ @Russian_OSINT

15.04.202512:00

Исследователи сообщают о новой тактике китайской APT MirrorFace (Earth Kasha, APT10), которая использует виртуальную среду Windows Sandbox для сокрытия запуска вредоносного ПО на зараженных системах.

Атаки с использованием Windows Sandbox наблюдаются с 2023 года и представляют собой первый известный случай злоупотребления функцией с момента ее выпуска в декабре 2018 года.

Эта функция позволяет пользователям Windows запускать изолированную «песочницу» для временной установки/тестирования приложений, а затем закрывать виртуальную среду, не затрагивая основную ОС и свои данные.

По сути, Sandbox работает как виртуальная машина, но не обладает всеми ее громоздкими функциями: он легче, очень быстр и прост в запуске и эксплуатации.

Злоупотребление этой функцией, на первый взгляд, может показаться неправдоподобным, поскольку поддержка Windows Sandbox по умолчанию отключена, а при запуске Sandbox работает в окне на переднем плане пользователя.

Согласно отчетам ITOCHU и ESET, MirrorFace нашла способ обойти эти ограничения.

Хакеры закрепляются на скомпрометированных сетях, включают Windows Sandbox, перезапускают системы, а затем запускают скрытые экземпляры Windows Sandbox, которые не отображаются на экране.

Это достигается путем запуска Sandbox через планировщик задач под учетной записью, отличной от текущей учетной записи пользователя, поэтому пользовательский интерфейс Sandbox никогда не отображается для вошедшего в систему пользователя.

Операторы MirrorFace помещают вредоносное ПО в папку на зараженных системах, а затем используют файлы конфигурации Windows Sandbox (WSB), чтобы предоставить Sandbox доступ к этой папке, сетевой доступ, а затем настраивают один из вредоносных файлов на автоматический запуск при запуске Sandbox.

Поскольку среды Windows Sandbox не могут запускать Defender, ничего из происходящего внутри не регистрируется и не обнаруживается. Это позволяет злоумышленнику установить вредоносное ПО и открыть скрытый бэкдор внутри этой системы и сети компании-жертвы.

Как отмечает ITOCHU, компании могут стать слепыми к таким атакам, поскольку вредоносное ПО в Windows Sandbox работает в соответствии с конфигурацией файла WSB, может получить доступ к файлам на хост-компьютере.

Однако, поскольку доступ к файлам осуществляется из песочницы, никакая активность не регистрируется инструментами мониторинга, запущенными на хост-системе.

Техника, используемая MirrorFace, по-видимому, является усовершенствованной версией техники, впервые описанной исследователем Ллойдом Дэвисом еще в 2020 году.

Исследователи ITOCHU полагают, что злоупотребления могут эскалировать, поскольку в Windows Sandbox ежегодно добавляются новые функции.

Например, он может совместно использовать буфер обмена, аудио- и видеовход с базовой ОС.

Windows Sandbox теперь также можно запустить с помощью аргументов командной строки в wsb.exe, что устраняет необходимость в файлах конфигурации WSB - артефактах, которые в настоящее время могут использоваться для обнаружения возможных злоупотреблений.

Описанный метод невероятно прост в автоматизации, даже для разработчиков вредоносного ПО низкого и среднего уровня квалификации. После его раскрытия, может быть принят на вооружение других групп, а также банд программ-вымогателей.

Поскольку Windows Sandbox встроена и присутствует во всех системах Windows 10 и Windows 11, а файл приложения подписан самой Microsoft, злоупотреблять им, скорее всего, проще и безопаснее.

ITOCHU представила в отчете рекомендации по мониторингу и IR для обнаружения этой техники.

04.04.202517:30

Продолжаем следить за наиболее тресковыми уязвимостями, коих под накопилось. Вкратце ситуация выглядит следующим образом:

1. Злоумышленники начали сканировать в попытатках эксплуатации серверов Apache Camel с использованием недавно раскрытой CVE-2025-27636. По всей видимости, задействуется свежевыпущенный PoC.

2. Project Discovery опубликовал технические подробности и PoC для недавнего обхода аутентификации CrushFTP, отслеживаемого как CVE-2025-2825. Так что теперь она активно эксплуатируется.

3. Исследователи Endor Labs предупреждают о критической уязвимости в Apache Parquet с рейтингом серьезности 10/10, которая может быть использована для RCE и полной компрометации системы или приложения, импортирующие файлы Parquet.

CVE-2025-30065 описывается как проблема десериализации ненадежных данных и влияет на модуль библиотеки parquet-avro. Закралась с версии 1.8.0 библиотеки и была устранена с выпуском Parquet версии 1.15.1.

По данным Endor Labs, уязвимы все системы, которые считывают или импортируют файлы Parquet через фреймворки больших данных, такие как Hadoop или Spark, а также приложения, включающие код Parquet Java.

Пока нет никаких доказательств того, что уязвимость CVE-2025-30065 эксплуатировалась в реальных условиях, однако ее серьезность позволяет предположить, что злоумышленники вскоре могут добавить ее в свой арсенал.

4. Исследователь Пьер Ким обнаружил десять уязвимостей в коммутаторах Brocade Fiber Channel.

Некоторые из самых серьезных - это две RCE предварительной аутентификации и слабые учетные данные устройства по умолчанию.

При этом поставщик исправил только семь ошибок, а три остались незакрытыми, поскольку затрагивают EoL-устройства.

5. Он же опубликовал отчет о трех уязвимостях в межсетевых экранах Palo Alto Network.

6. Исследователи Tenable помогли исправить уязвимость в платформе Google Cloud, названную ImageRunner, которая задействует взаимосвязи между сервисами Cloud Run, Container Registry и Artifact Registry для переброски частных артефактов клиентов в учетную запись злоумышленника.

7. Microsoft сообщила об уязвимости, которая позволяет вредоносным приложениям запускать код через некоторые драйверы принтера Canon.

8. ERNW обнаружили три уязвимости в агентах VMware Carbon Black Cloud. Все они после этого исправлены.

9. Project Black опубликовала описание unauth RCE в ПО для обмена файлами ZendTo. Проблема была исправлена еще в 2021 году, но публичного CVE до сих пор нет.

10. Исследователь Эван Коннелли обнаружил уязвимость в APIO приложения Verizon Call Filter, которая могла быть использована для утечки данных клиентов Verizon.

11. Searchlight Cyber выкатила технический отчет в отношении уязвимости предварительной аутентификации SQLi в Halo ITSM, программном обеспечении для управления ИТ-поддержкой в облачных средах.

12. Cisco выпустила три рекомендации по безопасности для различных своих продуктов, а Jenkins - обновление для исправления двух уязвимостей в своем основном коде и шести других - в плагинах.

13. Исследователь SafeBreach сообщает об исправлении Google 10 уязвимостей в своей утилите передачи данных Quick Share.

Ошибки были раскрыты в прошлом году на DEFCON и позволяли злоумышленникам легко обмениваться файлами с пользователями без их согласия.

28.03.202518:40

И восстали машины из пепла и ядерного огня...

Если чо - мы на Марс!

28.03.202517:30

После раскрытия Лабораторией Касперского Операции ForumTroll и последовавшим исправлением Google 0-day в браузере Chrome, компания Mozilla также выпустила исправление для уязвимости, заметив схожие закономерности в коде своего браузера для Windows.

Однако помимо исправлений кода компании также приходится трудиться над улучшениями по части бюджета.

В частности, как сообщает Consumer Affairs, Mozilla обратилась к пользователям с просьбой пожертвовать на разработку браузера Firefox после того, как утратила финансирование в размере 2,5 млн. долл. правительства США по линии USAID.

И дело даже не том, что 2,5 млн. в общем многомиллионном бюджете компании (653 млн. долл. дохода в 2023 году) - это как капля в море, больше вопросов вызывает вездесущее участие американских спецслужб в деятельности технологических компаний, особенно тех, которые концептуализируются под конфиденциальность и приватность.

Возвращаясь к уязвимостям, отметим наиболее трендовые:

1. Исследователи Forescout обнаружили 46 уязвимостей у трех популярных поставщиков солнечных инверторов, включая те, которые могут представлять серьезную угрозу для электрических сетей.

Все они названы SUN:DOWN и могут использоваться для захвата устройств или их облачной платформы.

Среди затронутых поставщиков - Growatt, SMA и Sungrown.

SMA и Sungrow исправили все уязвимости и опубликовали рекомендации для уведомления клиентов. Growatt устранила несколько выявленных уязвимостей, однако большинство из них по состоянию на конец февраля оставались неисправленными.

2. Разработки Esri выпустили исправление для уязвимости аутентификации в своей платформе ArcGIS.

CVE-2025-2538 позволяет осуществлять несанкционированный доступ к платформе и имеет рейтинг серьезности 9,8/10.

Платформа ArcGIS - это географическая информационная система для управления и визуализации топографических данных, которая широко используется, прежде всего в госсекторе. В настоящее время в Интернете размещено более 1100 систем ArcGIS.

3. Недавно пользователи были предупреждены о критической уязвимости в корпоративном инструменте передачи файлов CrushFTP, который, как известно, находится в сфере пристального внимания со стороны киберпреступников.

Разработчики CrushFTP заявили, что эксплуатация может привести к неаутентифицированному доступу, но уязвимость смягчается, если включена функция DMZ.

CrushFTP 11.3.1+ и 10.8.4+ содержат исправления проблемы.

Заметив, что разработчики CrushFTP тупят и не назначают CVE, VulnCheck решила взять на себя ответственность и присвоила ей CVE-2025-2825.

Но гендир CrushFTP поступок не оценил и пригрозил исследователям санкциями, если они добровольно не откатят идентификатор.

4. Согласно новому исследованию Sonatype, за последние 90 дней пользователи загружали уязвимые версии Apache Tomcat в три раза чаще, чем исправленные актуальные.

5. PoC для уязвимости облака IngressNightmare теперь доступен для широкой общественности. Всем приготовиться.

28.03.202516:02

Тем временем в киберподполье вымогателей все динамично развивается.

1. Исследователи Resecurity делятся подробностями разборок банд, в ходе которых DragonForce взломала и полностью выпилила инфраструктуру одного из своих конкурентов - BlackLock.

Хакеры слили файлы конфигурации сервера для бэкэнда и сайта DLS BlackLock, которая по итогу не смогла восстановиться и вынуждена была ретироваться.

Группа была одной из самых активных операций по вымогательству на сегодняшний день, имея на счету десятки жертв за последние месяцы атак.

Причем помимо DragonForce в инфраструктуре банды побывали также исследователи Resecurity, которым удалось получить доступ к ее бэкэнду с возможностью ретроспективы.

При этом помимо BlackLock банда вымогателей DragonForce в этом же месяце устранила и другого конкурента - Mamona.

2. Bitdefender сообщает о новой разработке RedCurl. В арсенале группы кибершпионов теперь собственная разновидность программы-вымогателя.

Получившая название QWCrypt способна атаковать системы Windows и виртуальные машины Hyper-V.

Это достаточно значимое изменение в деятельности группы, ведь действуя с 2018 года, RedCurl обычно специализировалась на медленной и скрытой эксфильтрации данных.

3. CheckPoint расчехлила новую RaaS под названием VanHelsing, которая предлагает своим операторам до 80% от выкупных платежей.

Ее вредоносное ПО для шифрования файлов нацелено на Windows, но исследователи предполагают, что Linux и другие типы систем также могут быть объектом атак.

На момент проведения анализа CheckPoint известно о трех жертвах, от одной из которых хакеры потребовали выкуп в размере 500 000 долларов за расшифровку файлов и удаление украденных данных.

4. ESET выкатила отчет в отношении EDRKillShifter - инструмент, используемый RansomHub и другими бандами вымогателей для отключения продуктов EDR перед развертыванием их вредоносных ПО.

Кроме того, исследователи приводят ранее недокументированные сведения в отношении структуры операторов RansomHub, раскрывая четкие связи между этим недавно появившимся гигантом и устоявшимися бандами Play, Medusa и BianLian.

28.03.202513:39

KELA профилировала и раскрыла реальные личности Rey и Pryx, ключевых участников хакерского коллектива Hellcat.

Первоначально известная как ICA Group, Hellcat появилась на сцене киберпреступности в конце 2024 года и смогла быстро заработать репутацию.

Громкий фурор произвели резонансные кибератаки на такие крупные корпорации, как Schneider Electric, Telefónica и Orange Romania.

В основу расследование KELA легли найденные материалы в отношении сетевой активности ключевых организаторов Hellcat на различных даркнет-площадках, в соцсетях и онлайн-платформах, аналитика по которым позволила деанонимировать их с потрохами.

Rey, ранее известный как Hikki-Chan, засветился на BreachForums в начале 2024 года, быстро привлекая внимание заявлениями о громких утечках и инцидентах. Некоторые из которых, VK и Kavim, - оказались по факту перепаковкой старых.

Несмотря на это, Rey продолжил активно заниматься киберпреступностью и стал админом группы Hellcat, специализируясь в своих операциях, прежде всего, на Jira.

Позже в ноябре 2024 года зарегался на XSS, но особо там не активничал.

Занялся хакерством в 2020 и фокусировался на взломе веб-сайтов. Называет себя экспертом по криптографии, профессиональным и прагматичным киберпреступником.

Тем не менее, это не помогло Rey избежать двух заражений инфостилером в феврале (Redline) и марте 2024 года (Vidar).

Причем одно из них - произошло на компьютере, который использовался членом его семьи.

Дальнейший анализ логов стилера позволил отследить его до личности молодого человека из Аммана в Иордании, вскрыть псевдонимы ggyaf и o5tdev, которые использовались им на хакерских форумах, включая RaidForums, BreachForums и др., а также аккаунты на GitHub, ProtonMail и cock il.

По итогу все о чем, он упоминал в анонимных интервью, в том числе относительно участия в Anonymous Palestine и связях с Иорданией, по итогу совпало и позволило его точно идентифицировать.

Его напарник Pryx действует с июня 2024 года на нескольких платформах, включая XSS, BreachForums, Dread, Telegram и X, активно участвует в технических дискуссиях и конкурсах.

До прихода в Hellcat начинал с индивидуальных атак на образовательные учреждения, а затем переориентировался на госсектор ОАЭ, Саудовской Аравии и Барбадосе.

Позже он расширил свою деятельность, нацелившись на частные компании и продавая вредоносное ПО, включая криптор на AES256. Вел личный блог (pryx.pw, ранее pryx.cc).

Сам говорит по-арабски и начинал в 2018 с кардинга. Активно продвигал ныне несуществующий форум киберпреступности DangerZone.

Разработал уникальную утилиту для эксфильтрации данных на основе Tor.

Правда, технический анализ одного из исходных кодов вредоносного ПО позволил выявить связи Pryx с доменом pato.pw, на котором была представлена одноименная платформа для исследователей безопасности, где были обнаружены упоминания руководства к Silent Tor File-server, соответствующего по описанию и скринам утилите Pryx.

Причем контент появился на pato.pw за две недели до того, как Pryx поделился им на форуме XSS.

Дальнейшее расследование привело к репозиторию на GitHub, связанному с pato.pw, который по итогу привел KELA к личности молодого человека из ОАЭ, который позиционирует себя в качестве эксперта по кибербезопасности.

Дальнейший анализ логов со стилеров также позволил отождествить все псевдонимы Pryx в X и Telegram, включая Weed/WeedSec (который тесно дружил с админом упомянутого DangerZone) и Adem.

По иронии судьбы, оба хакера, которые в своих киберкампаниях в значительной степени полагались на логи инфостилеров, сами стали жертвами этого вредоносного ПО, а теперь еще и объектами разработки спецслужб.

28.03.202511:11

Splunk выпустила исправления для нескольких десятков уязвимостей в своих продуктах, включая две критически важные, связанные с удаленным выполнением кода и раскрытием информации в Splunk Enterprise и Secure Gateway App.

RCE-ошибка могла бать использована пользователями с низкими привилегиями, загрузив файл в каталог $SPLUNK_HOME/var/run/splunk/apptemp.

Уязвимость отслеживается как CVE-2025-20229 (CVSS 8,0) и вызвана отсутствием проверки авторизации.

Она устранена с выпуском версий Splunk Enterprise 9.4.0, 9.3.3, 9.2.5 и 9.1.8, а также Splunk Cloud Platform 9.3.2408.104, 9.2.2406.108, 9.2.2403.114 и 9.1.2312.208.

Также была закрыта серьезная проблема раскрытия информации, затрагивающая как Splunk Enterprise, так и приложение Splunk Secure Gateway на платформе Splunk Cloud Platform, которую также могли реализовать пользователи с низкими привилегиями.

Splunk Secure Gateway раскрывает сеанс пользователя и токены авторизации в открытом виде в файле splunk_secure_gateway.log при вызове конечной точки REST /services/ssg/secrets.

По данным Splunk, злоумышленник может использовать эту уязвимость как часть фишинговой атаки, убеждая жертву инициировать запрос в своем браузере.

Исправления для нее были включены в Splunk Enterprise версий 9.4.1, 9.3.3, 9.2.5 и 9.1.8, а также в Secure Gateway 3.8.38 и 3.7.23.

При этом Splunk Mobile, Spacebridge и Mission Control полагаются на функционал приложения Splunk Secure Gateway. Так что если не используется ни одно из приложений, функций или возможностей, в качестве потенциального смягчения можно удалить или отключить приложение.

Splunk также объявила об исправлении ряда ошибок средней степени серьезности в Splunk Enterprise, которые могут привести к изменению режима обслуживания, обходу мер безопасности, раскрытию информации и манипулированию другими пользовательскими данными.

Кроме того, устранены проблемы низкой степени серьезности в приложении Splunk App for Lookup Editing и множество уязвимостей в сторонних пакетах в Splunk Enterprise, App for Data Science and Deep Learning App, DB Connect, Infrastructure Monitoring Add-on и Splunk Add-on for Microsoft Cloud Services.

Splunk не упоминает об эксплуатации какой-либо из этих уязвимостей в реальных условиях, однако рекомендует пользователям как можно скорее обновить свои экземпляры Splunk Enterprise и другие уязвимые приложения Splunk.

27.03.202513:46

Исследователи SentinelOne сообщают о новых версиях вредоносного ПО для macOS под названием ReaderUpdate, разработанных с использованием языков программирования Crystal, Nim, Rust и Go.

Первоначально обнаруженная в 2020 году вредоносная ПО распространялась в виде скомпилированного двоичного файла Python и взаимодействовала с сервером С2 по адресу www[.]entryway[.]world.

Тогда ReaderUpdate задействовалась для развертывания полезной нагрузки, идентифицированной как рекламное ПО Genieo (также известное как Dolittle и MaxOfferDeal).

С середины 2024 года новые домены были связаны с вариантами ReaderUpdate Crystal, Nim и Rust, но полезная нагрузка при этом не изменилась, как утверждает SentinelOne.

Недавно выявленный вариант на Go также следует этой схеме.

ReaderUpdate в настоящее время распространяется в пяти вариантах, скомпилированных из пяти различных исходных языков, включая оригинальную версию на Python.

Причем исследователи наблюдали распространение новых вариантов через существующие заражения старого ReaderUpdate.

Вредоносное ПО продвигается через сторонние сайты для загрузки ПО, прежде всего через вредоносные установщики пакетов с фейковыми или троянизированными приложениями.

Все наблюдаемые варианты нацелены только на архитектуру Intel x86.

Анализ версии ReaderUpdate для Go показал, что после запуска программа сначала собирает информацию об оборудовании системы, которая затем используется для создания уникального идентификатора и отправляется на С2.

Кроме того, выяснилось, что ReaderUpdate может анализировать и следовать ответам, полученным от С2, что позволяет предположить, что ее можно использовать для выполнения любых команд оператора.

На сегодняшний день SentinelOne смогла выявить девять образцов ReaderUpdate на Go, которые охватывают семь доменов C2, что указывает на незначительную распространенность этой угрозы по сравнению с вариантами Nim, Crystal и Rust, имеющими сотни образцов в дикой природе.

Несмотря на то, что текущие известные заражения ReaderUpdate были связаны исключительно с известным рекламным ПО, тем не менее загрузчик имеет функционал, позволяющий модифицировать полезную нагрузку на что-то более вредоносное.

Это полностью согласуется с платформой загрузчика, которая может использоваться для реализации Pay-Per-Install (PPI) или Malware-as-a-Service (MaaS).

Индикаторы компрометации - в отчете.

All posts

Advertised0 seconds

16.04.202509:02Russian OSINT

39.2K

More details

Records

19.04.202523:59

40.3KSubscribers

05.04.202523:59

200Citation index

20.03.202503:27

32.7KAverage views per post

28.09.202423:59

6.2KAverage views per ad post

16.01.202523:59

1.93%ER

19.03.202518:21

81.52%ERR

Growth

More details

Subscribers

Citation index

Avg views per post

Avg views per ad post

ERR

More details

Popular posts SecAtor

All posts

24.03.202518:30

Keenetic уведомила о крупной утечке данных пользователей (в основном, из России), связанной с раскрытой в сети базой данных своего мобильного приложения, оценивая при этом риски мошеннической деятельности на низком уровне.

В результате утечки были раскрыты конфиденциальные учетные данные, сведения об устройствах, сетевых конфигурациях и журналах, включая ключи WiFi и хэши паролей MD5 и NT локальной учетной записи.

Как сообщает Cybernews, их исследовательская группа получила анонимную наводку, а также образцы и другую информацию, подтверждающую факт компрометации пользователей Keenetic.

Исследователи подтвердили, что утечка включает в себя все, от паролей WiFi и конфигураций маршрутизаторов до подробных журналов обслуживания.

Злоумышленники, имеющие доступ к этим данным, могут проникнуть в уязвимые сети, отслеживать или перехватывать трафик, а также скомпрометировать дополнительные подключенные устройства.

По данным анонимного источника, среди раскрытых записей:

- 1 034 920 записей с пользовательскими данными (адреса почты, имена, локации, идентификаторы Keycloak и др.);

- 929 501 запись с информацией об устройствах (идентификаторы SSID, пароли WiFi в текстовом виде, модели устройств, серийные номера, интерфейсы, MAC-адреса, доменные имена для внешнего доступа, ключи шифрования и многое другое);

- 558 371 запись конфигурации устройств (сведения о доступе пользователей, уязвимые хешированные пароли MD-5, назначенные IP-адреса и расширенные настройки маршрутизатора);

- подробные журналы обслуживания, содержащие более 53 869 785 записей (имена хостов, MAC-адреса, IP-адреса, сведения о доступе и даже флаги «owner_is_pirate»).

Keenetic признала инцидент и пояснила, что утром 15 марта 2023 года независимый исследователь сообщил им о возможности несанкционированного доступа к базе данных мобильного приложения Keenetic.

После проверки Keenetic немедленно решила проблему, днем того же дня.

Как уверяет поставщик, исследователь заверил его, что ни с кем не делился данными, и вовсе их уничтожил.

С тех пор Keenetic не получала никаких свидетельств того, что база была скомпрометирована или какой-либо пользователь был затронут по состоянию до февраля 2025 года.

Конкретные обозначенные цифры Keenetic не подтвердила и не опровергла, но заявила, что утечка затронула пользователей мобильного приложения, которые зарегистрировались до 16 марта 2023 года.

К настоящему времени остается неясным, кто мог иметь доступ к данным, кто их слил, и доступны ли они где-либо еще.

Тем не менее, исследователи рекомендуют пользователям Keenetic немедленно поменять имена WiFi (SSID), пароли и пароли администратора маршрутизатора, а также сбросить все другие учетные данные, используемые в сетях.

25.03.202518:30

VMware выпустила срочное исправление для уязвимости обхода аутентификации, влияющей на его набор утилит VMware Tools for Windows.

Это набор утилит и драйверов, который повышает производительность и управляемость виртуальных машин, обеспечивая такие функции, как улучшенная графика, интеграция мыши и синхронизация времени между хостовой и гостевой операционными системами.

Закрытая уязвимость отслеживается как CVE-2025-22230 и позволяет злоумышленнику с неадминистративными привилегиями на гостевой виртуальной машине Windows выполнять определенные высокопривилегированные операции в этой виртуальной машине.

Согласно бюллетеню VMware, ошибка обхода аутентификации вызвана ненадлежащим контролем доступа и имеет оценку серьезности CVSS 7,8/10.

Компания приписала обнаружение ошибки исследователям Positive Technologies и отметила, что исправления были внесены в VMware Tools for Windows v 12.5.1.

При этом версии утилиты для Linux и macOS не затронуты.

25.03.202512:18

Исследователи Wiz обнаружили критические уязвимости удаленного выполнения кода в контроллере Ingress NGINX для Kubernetes, которые подвергают кластеры риску удаленного взлома.

Основные проблемы отлеживаются как CVE CVE-2025-1097, CVE-2025-1098, CVE-2025-24514 и CVE-2025-1974 и в совокупности получили общее наименование IngressNightmare, влияя на контроллер Ingress NGINX, который выполняет функции балансировщика нагрузки и обратного прокси-сервера внутри кластера.

При том, что Ingress-NGINX - это один из наиболее распространенных методов предоставления внешнего доступа к приложениям Kubernetes.

По данным Wiz, 41% кластеров, выходящих в Интернет, используют Ingress NGINX.

Кроме того, 43% известных исследователям облачных сред имеют по крайней мере один уязвимый экземпляр, а 6500 кластеров, включая те, которые принадлежат компаниям из списка Fortune 500, публично выставляют уязвимые контроллеры доступа в Интернет.

IngressNightmare непосредственно затрагивает контроллер доступа, который проверяет входящие объекты входа перед их развертыванием.

Риск атак увеличивается из-за того, что контроллеры доступны по сети без аутентификации.

Когда контроллер допуска Ingress-NGINX обрабатывает входящий объект входящего трафика, он создает из него конфигурацию NGINX, а затем проверяет ее с помощью двоичного файла NGINX.

Команда Wiz заметила уязвимость именно на этом этапе, которая позволяет удаленно внедрять произвольную конфигурацию NGINX, отправляя вредоносный объект входящего трафика непосредственно контроллеру входящего трафика через сеть.

На этапе проверки конфигурации внедренная конфигурация NGINX заставляет валидатор NGINX выполнить код, что позволяет реализовать RCE на модуле контроллера Ingress NGINX.

Уязвимостили Wiz обнаружили в конечном итоге могут позволить злоумышленнику получить доступ ко всем секретам, хранящимся во всех пространствах имен, и получить полный контроль над целевым кластером Kubernetes.

Ingress NGINX - критически важный компонент инфраструктуры, используемый крупнейшими мировыми предприятиями и организациями - от компаний ИИ до корпораций из списка Fortune 500, что делает гипотетические вредоносные сценарии максимально серьезными.

Поскольку Kubernetes служит основой всех облачных сред, в случае захвата кластеров, у злоумышленника появится возможность получить доступ ко всем данным и модифицировать их.

Потенциальные последствия по сути безграничны.

Wiz сообщила о своих выводах Kubernetes в конце декабря 2024 года и январе 2025 года.

Исправления для уязвимостей были выпущены в версиях Ingress NGINX Controller 1.12.1 и 1.11.5, которые вышли в понедельник.

Пользователям следует обновиться как можно скорее или же снизить риск эксплуатации с помощью мер по смягчению последствий, связанных с контроллером допуска: либо временно отключив его, либо ограничив доступ к нему сервером API Kubernetes.

Kubernetes, Google Cloud и Microsoft опубликовали свои рекомендации по уязвимостям IngressNightmare (1, 2 и 3 соответственно).

28.03.202518:40

И восстали машины из пепла и ядерного огня...

Если чо - мы на Марс!

Reposted from:

Russian OSINT

21.03.202514:19

📄 У ГК «Солар» вышел отчет "Ключевые уязвимости информационных систем российских компаний" за 2024.

▶️Внешний периметр 91% компаний оказался уязвим к атакам, успешная реализация которых может привести к проникновению во внутреннюю сеть, компрометации узлов внешнего периметра или получению доступа к чувствительным данным и критичным внешним системам и приложениям.

▶️Одними из самых распространенных проблем внешних периметров российских компаний остаются слабые пароли (38%) и устаревшие версии программного обеспечения, подверженные различным уязвимостям (32%);

▶️Самым распространенным недостатком веб-приложений оказалось раскрытие отладочной и конфигурационной информации (70%).

▶️Самые распространенные недостатки серверной части мобильных приложений связаны с раскрытием отладочной и конфигурационной информации (53%) и некорректной реализацией контроля доступа (40%). А основной проблемой клиентской части в 2024 году стало отсутствие обфускации исходного кода мобильного приложения (40%).

👉 Источник: https://rt-solar.ru/upload/iblock/167/nwp1jck6a3smiv3v8jc0uyv33araze5p/PDF_Analiticheskiy-otchet-po-pentestu-2024.pdf

✋ @Russian_OSINT

AgAD3xkAAh2F6VI

4.81 MB

24.03.202511:44

В фреймворке Next.js React обнаружена критическая уязвимость безопасности, которая потенциально может быть использована для обхода проверок авторизации при определенных условиях.

Уязвимость отслеживается как CVE-2025-29927 и имеет оценку CVSS 9,1 из 10,0.

Next.js использует внутренний заголовок x-middleware-subrequest, чтобы предотвратить запуск бесконечных циклов рекурсивными запросами.

Пропуск выполнения промежуточного ПО позволяет запросам обходить критические проверки, в том числе проверку файлов cookie авторизации, перед достижением маршрутов.

Недостаток устранен в версиях 12.3.5, 13.5.9, 14.2.25 и 15.2.3. В качестве мер по смягчению рекомендуется предотвращать внешние пользовательские запросы, содержащие заголовок x-middleware-subrequest.

Исследователь Рашид Аллам (он же zhero и cold-try), обнаруживший и сообщивший об уязвимости, уже раскрыл дополнительные технические подробности, в связи с чем настоятельно рекомендуется как можно скорее применить исправления.

Как отмечают в JFrog, ошибка позволяет злоумышленникам легко обходить проверки авторизации, выполняемые в промежуточном ПО Next.js, что потенциально позволяет получить доступ к конфиденциальным веб-страницам, зарезервированным для администраторов или других высокопривилегированных пользователей.

Компания также заявила, что любой веб-сайт, использующий промежуточное ПО для авторизации пользователей без дополнительных проверок, уязвим для CVE-2025-29927, что потенциально позволяет злоумышленникам получить доступ к неавторизованным ресурсам.

24.03.202513:40

Исследователи из Cato Networks раскрыли в своем отчете новую технику взлома LLM, которая основана на нарративной инженерии, позволяющей убедить модель ИИ отклоняться от нормализованных ограниченных операций.

Метод получил название Погружение в мир и достаточно прост: в детализированном виртуальном мире, где хакерство является нормой, магистр права убеждается в необходимости помочь человеку разработать вредоносное ПО, способное извлекать пароли из браузера.

Как утверждает Cato, такой подход привел к успешному взлому DeepSeek, Microsoft Copilot и ChatGPT от OpenAI, а также к созданию инструмента для кражи информации, который оказался эффективным для Chrome 133.

Cato реализовали джейлбрейк в контролируемой тестовой среде, создав специализированный виртуальный мир под названием Velora, где разработка вредоносных ПО «считается дисциплиной, а продвинутые концепции программирования и безопасности - основополагающими навыками».

В Velora были определены три основных субъекта, включая системного администратора, считающегося злоумышленником, элитного разработчика вредоносных программ (LLM) и ИБ-исследователя, предоставляющего техническое руководство.

Установив четкие правила и контекст в соответствии с целями операции, исследователь определил мотивацию персонажа в новой сессии LLM, направил повествование к цели, обеспечивая постоянную обратную связь и формулируя различные задачи.

Сохраняя последовательность персонажей, Cato удалось убедить модель создать инфостилер.

Даже несмотря на то, что исследователь не являлся разработчиком вредоносного ПО, тем не менее смог успешно сгенерировать полностью функциональный код.

После создания вредоносного ПО Cato связалась с DeepSeek, Microsoft, OpenAI и Google.

В DeepSeek не ответили, а остальные подтвердили получение отчета. При этом Google вообще отказалась рассматривать вредоносный код.

Cato Networks отмечает, что для вхождения в киберпреступность больше не требуется глубокого опыта, с помощью базовых инструментов участник может инициировать атаку

Поэтому подразделениям ИТ и ИБ следует подготовиться к новым рискам и следовать более эффективным стратегиям безопасности в контексте ИИ.

21.03.202515:50

Veeam устранила критическую RCE-уязвимость, идентифицируемую как CVE-2025-23120, в своем ПО для резервного копирования и репликации, которая влияет на установки, присоединенные к домену и позволяет пользователям домена взламывать серверы.

Уязвимость была обнаружена вчера и затрагивает Veeam Backup & Replication версии 12.3.0.310 (и все более ранние сборки версии 12).

Компания исправила ее в версии 12.3.1 (сборка 12.3.1.1139), которая уже доступна.

Согласно техническому описанию обнаружившей ошибку watchTowr Labs, CVE-2025-23120 представляет собой уязвимость десериализации в классах Veeam.Backup.EsxManager.xmlFrameworkDs и Veeam.Backup.Core.BackupSummary .NET.

Она возникает, когда приложение неправильно обрабатывает сериализованные данные, что позволяет злоумышленникам внедрять вредоносные объекты или гаджеты, которые могут выполнять вредоносный код.

В прошлом году, исправляя другую проблему десериализации RCE, обнаруженную исследователем Флорианом Хаузером, Veeam ввела черный список известных классов или объектов, которые могут быть использованы.

Однако watchTowr удалось найти другую цепочку гаджетов, которая не была занесена в черный список, для удаленного выполнения кода.

Хорошей новостью является то, что уязвимость затрагивает только те установки Veeam Backup & Replication, которые присоединены к домену.

Плохая новость заключается в том, что любой пользователь домена может воспользоваться этой уязвимостью, что делает ее легко эксплуатируемой в этих конфигурациях.

К сожалению, многие компании присоединили свои серверы Veeam к домену Windows, проигнорировав рекомендации компании.

Даже несмотря на то, что серверы Veeam Backup & Replication были и остаются любимой игрушкой банд вымогателей по понятным причинам.

Несмотря на то, что пока сообщений об эксплуатации этой уязвимости в реальных условиях не поступало, watchTowr поделилась достаточным объемом технических подробностей, так что, вероятно, в ближайшее время будет выпущен PoC.

Компаниям, использующим Veeam Backup & Replication, следует выполнить обновление до версии 12.3.1 как можно скорее, а в идеале отключить сервер от домена.

15.04.202512:00

16.04.202511:00

Reposted from:

Social Engineering

20.03.202512:03

🍏 Отравленное яблоко: руководство по сбору артефактов после сброса устройства.

• На мобильных устройствах компании Apple после ввода 10 неправильных комбинаций пароля удаляются ключи шифрования, и получить доступ к пользовательским данным становится достаточно проблематично, а иногда и в принципе невозможно. Извлечь информацию из устройства в такой ситуации возможно лишь до загрузки ОС устройства.

• На устройствах на базе процессоров А5–А11 (iPhone 4S — iPhone X) имеется аппаратная уязвимость, которая позволяет получить доступ к содержимому устройства в режиме BFU (Before First Unlock) с использованием эксплойта checkm8.

• О возможности извлечения данных из телефонов в состоянии «iPhone отключен. Подключитесь к iTunes» написано достаточно много статей, но нет обобщенной информации о том, какой конкретно набор данных можно извлечь и, что не менее важно, где все это можно увидеть! Как раз об этом и поговорим.

• Содержание следующее:

- Что открывается исследователю:
➡Артефакты мобильного устройства;
➡IMEI устройства и номер телефона;
➡Информация о модели и сетевых подключениях;
➡Информация о настройках приложения Find My iPhone;
➡Информация об устройстве и резервных копиях;
➡Информация об обновлениях.

- Данные, идентифицирующие пользователя:
➡Настройки сетевой конфигурации системы;
➡Идентификаторы сим-карты;
➡Информация о местоположении абонента;
➡Информация о сим-картах, которые использовались в устройстве;
➡Информация об AirDrop ID устройства;
➡Информация с настройками и предпочтениями из приложения «Настройки»;
➡Информация о подключенных Bluetooth-устройствах;
➡Информация о конфигурации приложения «Сообщения»;
➡Информация о точках Wi-Fi;
➡Информация об избранных контактах пользователя;
➡Информация о заблокированных контактах пользователя.

- Используемые приложения:
➡Информация об особо важных контактах пользователя в приложении «Почта»;
➡Информация о разрешениях для приложений;
➡Информация о приложениях, использующих сервисы геолокации;
➡Каталог со всеми установленными приложениями и многое другое...

• Как итог, даже после 10 неудачных попыток ввода пароля все же можно извлечь информацию, которая будет полезна не только для личного использования, но и при проведении расследований.

➡️ Читать статью [13 min].

S.E. ▪️ infosec.work ▪️ VT

Reposted from:

Russian OSINT

15.04.202513:36

Согласно отчету, опубликованному 3 апреля 2025 года Национальным центром реагирования на компьютерные вирусы Китая (CVERC), в период с 26 января по 14 февраля 2025 года было зафиксировано более 270 000 кибератак на информационные системы, связанные с Азиатскими зимними играми. Из них 63,24% атак (около 170 864) были идентифицированы как исходящие из США.

Использованы сотни техник, включая эксплойты нулевого дня и ИИ-инструменты.

15.04.202519:00

У нас с работой так же

15.04.202515:14

17.04.202517:30