Мир сегодня с "Юрий Подоляка"

Труха⚡️Україна

Ko'rish

Николаевский Ванёк

Ko'rish

Труха⚡️Україна

Ko'rish

Николаевский Ванёк

Ko'rish

Лёха в Short’ах Long’ует

Ko'rish

SecAtor

Руки-ножницы российского инфосека.
Для связи - mschniperson@mailfence.com

TGlist reytingi

TuriOmmaviy

Tekshirish

Tekshirilmagan

Ishonchnoma

Shubhali

JoylashuvРосія

TilBoshqa

Kanal yaratilgan sanaNov 30, 2019

TGlist-ga qo'shildi

May 21, 2024

Men kanal egasiman

O'zgartirishlar tarixi

Muxrlangan guruh

BestComments

Telegram kanali SecAtor statistikasi

Batafsil

Obunachilar

39 888

24 soat

150%Hafta

150%Oy

990.2%

Iqtiboslar indeksi

0

Eslatmalar0Kanallardagi repostlar0Kanallardagi eslatmalar0

Bitta postning o'rtacha qamrovi

819

12 soat2 8860%24 soat8190%48 soat4 4740%

Ishtirok (ER)

0.49%

Repostlar4Izohlar0Reaksiyalar0

Qamrov bo'yicha ishtirok (ERR)

0%

24 soat0%Hafta0%Oy

3.4%

Bitta reklama postining qamrovi

5 280

1 soat2 27343.05%1 – 4 soat00%4 - 24 soat00%

Batafsil

Botimizni kanalingizga ulang va ushbu kanal auditoriyasining jinsini bilib oling.

24 soat ichidagi barcha postlar

3

Dinamika

"SecAtor" guruhidagi so'nggi postlar

Barcha postlar

24.02.202518:00

Исследователи из Лаборатории Касперского поделились своими наблюдениями относительно APT Angry Likho (она же Sticky Werewolf), которую отслеживают с 2023 года.

Группа имеет много сходств с Awaken Likho, в связи с чем и была отнесена к кластеру вредоносной активности, однако атаки Angry Likho, как правило, носят целевой характер, имеют более компактную инфраструктуру, ограниченный набор имплантов.

Angry Likho нацелена на сотрудников крупных организаций, включая госучреждения и их подрядчиков, а участники, скорее всего, являются носителями русского языка и, вероятно, связаны с Украиной.

Основной таргет - Россия и Беларусь, а другие жертвы были случайными — возможно, исследователями, использующими среды-песочницы или выходные узлы сетей Tor и VPN.

В начале 2024 года ряд ИБ-поставщиков выпускали отчеты в отношении Angry Likho. Тем не менее в июне ЛК обнаружила новые атаки этой группы, а в январе 2025 года смогли задетектить вредоносные полезные нагрузки в рамках развивающейся APT-активности.

Первоначальный вектор атаки, используемый Angry Likho, традиционно включает стандартизированные фишинговые письма с различными вложениями, в том числе архивами RAR, включающими вредоносные LNK-файлы и легитимный файл-приманку.

Согласно телеметрии, злоумышленники действуют периодически, приостанавливая свою деятельность на некоторое время, прежде чем возобновить ее с помощью слегка измененных методов.

В июне 2024 года исследователи обнаружили очень интересный имплант, связанный с APT Angry Likho, который распространялся под названием FrameworkSurvivor.exe по следующему URL: hxxps://testdomain123123[.]shop/FrameworkSurvivor.exe.

Имплант был создан с использованием легитимного установщика с открытым исходным кодом Nullsoft Scriptable Install System и функционирует как самораспаковывающийся архив (SFX). Ранее эту технику исследователи наблюдали в нескольких кампаниях Awaken Likho.

Архив содержал одну папку $INTERNET_CACHE, заполненную множеством файлов без расширений. Причем последние версии 7-Zip не позволяют извлечь этот скрипт, но его можно извлечь с помощью более старых версий.

Скрипт установки назывался [NSIS].nsi и был частично замаскирован. Он ищет папку в системе жертвы с помощью макроса $INTERNET_CACHE, извлекает в нее все файлы из архива, переименовывает файл «Helping» в «Helping.cmd» и запускает его.

Helping.cmd запускает легитимный интерпретатор AutoIt (Child.pif) с файлом i.a3x в качестве параметра.

Файл i.a3x содержит скомпилированный скрипт AU3. Учитывая это, можно предположить, что этот скрипт реализует основную логику вредоносного импланта.

Скрипт проверяет артефакты, связанные с эмуляторами и исследовательскими средами. Если совпадение найдено, он либо завершается, либо выполняется с задержкой в 10 000 мс, чтобы избежать обнаружения, аналогично имплантам Awaken Likho.

Затем скрипт устанавливает режим обработки ошибок, вызывая SetErrorMode() из kernel32.dll с флагами SEM_NOALIGNMENTFAULTEXCEPT, SEM_NOGPFAULTERRORBOX и SEM_NOOPENFILEERRORBOX, тем самым скрывая системные сообщения об ошибках и отчеты.

После этого скрипт удаляет себя с диска, вызывая FileDelete(“i”), и генерирует большой текстовый блок, который является полноценным исполняемым файлом MZ PE, фактически это инфоркад Lumma (Trojan-PSW.Win32.Lumma).

В январе 2025 года злоумышленники продемонстрировали новый всплеск активности, о чем сообщали в F6 (ранее - FACCT). Анализ IoC выявил признаки потенциальной новой волны атак, что еще раз подтверждает активность угрозы со стороны Angry Likho.

Технические подробности и еще больше артефактов, связанных с этой кампанией - в отчете.

24.02.202516:30

Cisco отчасти подтвердила задействование как минимум в одном из инцидентов Salt Typhoon для получения доступа к сетям телеком-структур в США CVE-2018-0171 наряду с CVE-2023-20198 и CVE-2023-20273, о которых ранее сообщали в Recorded Future’s Insikt Group.

Напомним кстати, что в России компанию признали нежелательной за то, что она выпускает агитгазету Вашингтонского обкома The Record.

При этом злоумышленники продемонстрировали способность сохраняться в целевых средах на оборудовании разных поставщиков в течение длительных периодов времени, обеспечивая доступ к одному экземпляру на протяжении более трех лет.

Важным аспектом кампании является использование легитимных украденных учетных данных для получения первоначального доступа, правда способ их получения пока неизвестен.

Было замечено, что злоумышленник предпринимает попытки завладеть учетными данными через конфигурации сетевых устройств и расшифровывает локальные учетные записи с помощью слабых типов паролей.

В Cisco наблюдали, как злоумышленник захватывает трафик SNMP, TACACS и RADIUS, включая секретные ключи, используемые между сетевыми устройствами и серверами TACACS/RADIUS для извлечения дополнительных данных учетных данных.

Еще одна примечательная особенность Salt Typhoon подразумевает использование методов LOTL на сетевых устройствах, злоупотребляя доверенной инфраструктурой в качестве опорных точек для перехода от одного телекоммуникационного оператора к другому.

Предполагается, что эти устройства используются в качестве промежуточных ретрансляторов для достижения намеченной конечной цели или в качестве первого транзитного пункта для операций по утечке исходящих данных, поскольку это дает злоумышленнику возможность оставаться незамеченным в течение длительного периода времени.

Кроме того, Salt Typhoon меняла сетевые конфигурации для создания локальных учетных записей, включения доступа Guest Shell и упрощения удаленного доступа через SSH.

Также задействовалась утилита JumbledPath, которая позволяет выполнять захват пакетов на удаленном устройстве Cisco через определенный актером jump-host.

Двоичный файл ELF на основе Go также способен очищать журналы и отключать журналирование для сокрытия следов вредоносной активности и противодействия криминалистическому анализу.

Использование этой утилиты помогает скрыть исходный источник и конечный пункт назначения запроса, а также позволяет его оператору перемещаться через потенциально недоступные (или маршрутизируемые) устройства или инфраструктуру.

Злоумышленник неоднократно изменял адрес интерфейса обратной связи на скомпрометированном коммутаторе и использовал этот интерфейс в качестве источника SSH-подключений к дополнительным устройствам в целевой среде, что позволяло ему эффективно обходить списки ACL, установленные на этих устройствах.

Cisco заявила, что не нашла никаких доказательств того, что хакерская команда использовала другие известные уязвимости для нацеливания, вероятно, за исключением уже фигурирующих в отчетах.

Отдельно отметив, что выявила дополнительное нацеливание на устройства Cisco с открытой Smart Install (SMI), за которым последовала эксплуатация CVE-2018-0171. Причем активность якобы не связана с Salt Typhoon и не имеет общих черт с какой-либо известной группой.

29.01.202510:50

По узвимостям сегодня VMware Avi Load Balancer и Zyxel CPE.

Что касаемо первой Broadcom сообщила об обнаружении серьезной проблемы в VMware Avi Load Balancer, которую злоумышленники могут использовать для получения защищенного доступа к базе данных.

CVE-2025-22217 имеет оценку CVSS: 8,6 и была обнаружена исследователями Даниэлом Кукучка и Матеушом Дарда.

Злоумышленник, имеющий доступ к сети, может использовать специально созданные SQL-запросы для получения доступа к базе данных.

Ошибка затрагивает VMware Avi Load Balancer 30.1.1 (исправлено в 30.1.2-2p2), 30.1.2 (исправлено в 30.1.2-2p2), 30.2.1 (исправлено в 30.2.1-2p5) и 30.2.2 (исправлено в 30.2.2-2p2)

Broadcom также отметила, что версии 22.x и 21.x не подвержены уязвимости CVE-2025-22217.

Пользователи, использующие версию 30.1.1, должны сначала обновиться до 30.1.2 или более поздней версии перед применением исправления.

Обходных путей не существует.

А критическая 0-day, затрагивающая устройства серии Zyxel CPE, уже подвергается активным попыткам эксплуатации.

GreyNoise сообщает, что злоумышленники могут воспользоваться ей для выполнения произвольных команд на уязвимых устройствах, что приведет к полной компрометации системы, утечке данных или проникновению в сеть.

CVE-2024-40891 связана с инъекцией команд и не была публично раскрыта или исправлена.

О существовании ошибки впервые сообщила VulnCheck в июле 2024 года.

Телеметрия GreyNoise показывает, что попытки атак исходили с десятков IP-адресов, большинство из которых находились на Тайване.

По данным Censys, в сети насчитывается более 1500 уязвимых устройств.

CVE-2024-40891 очень схожа с CVE-2024-40890, главное отличие в том, что первая основана на Telnet, а вторая — на HTTP.

Обе уязвимости позволяют неаутентифицированным злоумышленникам выполнять произвольные команды, используя учетные записи служб.

VulnCheck сообщил, что работает над процессом раскрытия информации с тайваньской компанией.

В Zyxel пока дополнительно не комментирует ситуацию.

Пользователям рекомендуется фильтровать трафик на предмет необычных HTTP-запросов к интерфейсам управления Zyxel CPE и ограничивать доступ к административному интерфейсу доверенными IP-адресами.

29.01.202508:50

Группа исследователей из Технологического института Джорджии и Рурского университета в Бохуме, сообщившие ранее о Meltdown, Spectre, SGX Fail и RAMBleed, представили подробности новых атак по побочным каналам FLOP и SLAP вместе с демонстрацией способов их проведения.

Новые обнаруженные уязвимости в современных процессорах Apple могут привести к краже конфиденциальной информации из браузеров.

К затронутым устройствам относятся все ноутбуки Mac, проданные после 2022 года, все настольные компьютеры Mac, проданные после 2023 года, и все iPhone, проданные после 2021 года.

Проблемы обусловлены неправильной реализации спекулятивного исполнения, что является основной причиной таких известных атак, как Spectre и Meltdown.

FLOP и SLAP нацелены на функции, ускоряющие обработку путем угадывания будущих инструкций вместо их ожидания, и могут оставлять следы в памяти для извлечения конфиденциальной информации.

Начиная с поколения M2/A15, процессоры Apple пытаются предсказать следующий адрес памяти, к которому будет обращаться ядро, а yачиная с поколения M3/A17 - значение данных, которое будет возвращено из памяти.

Однако неверные прогнозы в этих механизмах могут привести к выполнению произвольных вычислений на данных, выходящих за пределы допустимого диапазона, или неверных значениях данных.

Эти прогнозы могут иметь реальные последствия по части безопасности, включая выход из изолированной программной среды браузера и считывание кросс-источниковой персональной идентификационной информации в Safari и Chrome.

Атаки выполняются удаленно через браузер с использованием вредоносной веб-страницы, содержащей код JavaScript или WebAssembly для их запуска, минуя «песочницу» браузера, ASLR и традиционные средства защиты памяти.

Скрипты, используемые на демонстрационных сайтах, реализуют последовательность загрузок памяти, разработанных для манипулирования FLOP и SLAP Apple, поэтому не требуется заражения вредоносным ПО.

Исследователи сообщили об уязвимостях компании Apple 24 марта 2024 года (SLAP) и 3 сентября 2024 года (FLOP).

Компания, в свою очередь, подтвердила ошибки, их потенциальный риск для пользователей и планирует планирует устранить их в предстоящем обновлении безопасности.

До тех пор, пока не появятся обновления от Apple, возможным способом смягчения последствий может стать отключение JavaScript в Safari и Chrome, хотя это, как ожидается, приведет к сбоям в работе многих сайтов.

Технические подробности по False Load Output Predictions (FLOP) в новейших процессорах Apple M3, M4 и A17 - здесь, по Speculation Attacks via Load Address Prediction (SLAP) в процессорах Apple M2 и A15 (включая и более поздние модели) - здесь.

28.01.202520:24

By MalwareHunterTeam

28.01.202519:01

Банда вымогателей BASHE, также известная как APT73, добавила ICICI Bank на свой сайт DLS и выставила срок в три дня на выплату выкупа.

Правда инцидент до настоящего времени официально не подтвержден.

Тем не менее BASHE угрожает опубликовать данные клиентов, если их требования не будут выполнены до 10:00 UTC 31 января 2025 года.

Представленные пруффы с образцами данных содержат имена, номера телефонов, адреса, возраст, пол, типы кредитных карт, такие как Gold или Diamond, а также временные метки марта 2024 года.

Таблица также включает, предположительно, балансы на счетах. Однако, это невозможно подтвердить, так как названия столбцов отсутствуют.

До настоящего времени неизвестно, относятся ли данные к новому инциденту и каковы могут быть его реальные масштабы.

В ICICI Bank сохраняют режим радиомолчание.

Ранее в 2023 году в ICICI Bank фиксировалась крупная утечка данных.

Тогда исследователи Cybernews обнаружили личные и финансовые сведения, которые оказались в общем доступе в виду неправильной настройки систем.

Стоит отметить, что ICICI Bank - это не рядовая финкомпания, а на минуту - второй по величине банк в Индии с более чем 6600 филиалами и рыночной капитализацией почти в $100 млрд.

В свою очередь, APT73 запустила свой сайт DLS 25 апреля 2024 года, разместив на нем десятки жертв.

При этом их сайт напоминает стиль Lockbit, что неудивительно, ведь APT73 была сформирована предполагаемым бывшим оператором банды после того, как правоохранительные органы провернули свои операции в отношении вымогателей.

Насколько ребята соответствуют эталонам эффективности Lockbit станет понятно совсем скоро, если конечно, не найдутся желающие прикупить награбленное или инцидент не окажется щеконадувательством.

Но будем в любом случае посмотреть.

28.01.202516:59

Исследователи BI.ZONE представили свое видение рынка инфосека в 2025 году, выделив основные тренды киберландшафта как стороны нападающих, так и с противоположной.

Общая картина, по мнению исследователей, характеризуется увеличением числа атак и 2025-й не станет исключением.

Важный тренд - увеличение числа атак, связанных с хактивизмом: в 2024 году доля таких атак увеличилась и составила 12%.

Вероятно, 2025 год принесет новые крупные публичные взломы.

Если в 2025 году произойдут геополитические изменения, то снижение количества атак маловероятно - хактивисты могут полностью переключиться с идеологической на финансовую мотивацию.

Прежними останутся и векторы компрометации: фишинг, задействование скомпрометированных подрядчиков и легитимных учетных записей, а также эксплуатация уязвимостей в сетевом периметре.

Рынок кибербезопасности продолжит расти, но темпы роста снизятся по сравнению с 2022–2024 годами, что в BI.ZONE связывают с высокой ключевой ставкой, которая ограничивает бизнес в привлечении финансирования для реализации крупных проектов.

Основное по трендам в защите:

- Законодательные изменения по части переданных и требования по переходу на отечественные IT-решения для объектов КИИ будут выступать драйверами развития отечественного рынка ИБ.

- Практическая помощь от государства будет продолжена: создана Национальная система противодействия DDoS-атакам; появился российский репозиторий программ с открытым исходным кодом; запущена государственная система сканирования российского адресного пространства на уязвимости; может продолжиться развитие национальной системы доменных имен.

- Развитие рынка next-generation firewall: объем российского рынка NGFW в 2024 году составил 52 млрд руб. и будет ежегодно расти (по прогнозам на 12%) после ухода большинства зарубежных решений.

- Активное продвижение концепции zero trust.

- Использование защищенных облачных ресурсов: на 32% вырос рынок облачных ресурсов в 2024 году, важным моментом стало появление практически у всех облачных провайдеров защищенных сегментов для обработки в системах персональных данных.

- Укрепление позиций artificial intelligence (AI) и machine learning (ML), в том числе внедрение в работу SOC.

- Переход от сканирования периметра к extended attack surface managment (EASM): тренд 2025 года - переход российских поставщиков от отдельных инструментов к комплексным решениям, соответствующих потребностям в контроле внешней поверхности атаки.

Тренды атакующих сводятся к тому, что методы и тактики злоумышленников радикально не меняются из года в год.

Чтобы оценить, какие подходы они будут использовать в 2025-м, достаточно проанализировать статистику предыдущего года.

Среди унаследованных трендов: хактивизм, вымогательство, использование стилеров, коммерческое вредоносное ПО, опенсорс-инструменты и C2-фреймворки, средства для туннелирования трафика.

Помимо этого прогнозируются следующие тренды: атаки через подрядчиков; удар по гражданам через атаки на бизнес и госорганы; использование украденных персональных данных и переход мошенников в мессенджеры.

Подробное описание каждого прогноза - в отчете.

24.01.202519:00

24.01.202516:30

Исследователи Black Lotus Labs из Lumen Technologies сообщают о вредоносной кампании, нацеленной на маршрутизаторы и VPN-шлюзы Juniper с использованием вредоносного ПО под названием J-magic, разработанного специально для Junos OS.

Название обусловлено тем, что бэкдор постоянно отслеживает «магический пакет» в TCP-трафике прежде чем запускать обратную оболочку.

Атаки J-magic, по всей видимости, таргетируются на организации в области полупроводников, энергетики, производства (судостроение, солнечные батареи, тяжелое машиностроение) и IT.

По словам Black Lotus Labs, кампания J-magic была активна в период с середины 2023 до середины 2024 года и была организована в формате низкого уровня обнаружения и долгосрочного доступа.

На основании данных телеметрии исследователи полагают, что около половины целевых устройств, по-видимому, были настроены как шлюз VPN для их организации.

J-magic представляет собой модифицированный вариант общедоступного бэкдора cd00r - экспериментального образца, который остается скрытым и пассивно отслеживает сетевой трафик на предмет наличия определенного («магического») пакета, прежде чем открыть канал связи со злоумышленником.

Делает он это, создавая фильтр eBPF на интерфейсе и порту, указанном в качестве аргумента командной строки при выполнении. Вредоносная ПО проверяет различные поля и смещения на предмет подсказок, указывающих на правильный пакет с удаленного IP-адреса.

J-magic ориентируется на пять условий, и если пакет соответствует одному из них, он реализует обратный шелл. Однако отправитель должен решить задачу, прежде чем получить доступ к скомпрометированному устройству.

Удаленный IP получает случайную пятисимвольную буквенно-цифровую строку, зашифрованную жестко закодированным открытым ключом RSA. Если полученный ответ не равен исходной строке, соединение закрывается.

Вероятно, разработчик добавил этот вызов RSA, чтобы помешать другим распространять по Интернету «магические» пакеты для идентификации жертв, а затем просто повторно использовать агенты J-Magic в своих собственных целях.

Исследователи отмечают, что изучаемая кампания имеет техническое сходство с вредоносным ПО SeaSpy, также основанным на бэкдоре cd00r, но некоторые различия затрудняют установление связи между двумя кампаниями.

В целом, исследователи с низкой степенью уверенности оценивают корреляцию J-magic с SeaSpy, который задействовался китайскими APT в атаках на Barracuda Email Security Gateways с использованием CVE-2023-2868 в качестве 0-day в 2022-2023 гг.

В Black Lotus Labs полагают, что кампания J-magic, ориентированная на устройства Juniper, свидетельствует о том, что использование этого типа вредоносного ПО становится новым трендом.

Злоумышленники могут оставаться незамеченными в течение более длительного периода времени, поскольку такие целевые корпоративные устройства не имеют инструментов мониторинга на уровне хоста, а вредоносное ПО находится в памяти в ожидании «магического» пакета.

20.01.202517:30

Ресерчеры из Лаборатории Касперского раскрыли подробности своего исследования, в результате которого смогли обнаружить 13 уязвимостей в информационно-развлекательных системах Mercedes-Benz User Experience (MBUX) первого поколения.

В качестве отправной точки в изучении внутреннего устройства MBUX и архитектуры системы был использован отчет китайской KeenLab от 2021 года.

При этом в ЛК сосредоточились на детальном анализе подсистем MBUX, которым не было уделено должное внимание их коллегами: диагностика (CAN, UDS и т.д.), подключения с использованием USB и специализированные протоколы межпроцессного взаимодействия (IPC).

В ходе исследования ресерчерам удалось скомпрометировать тестовую модель головного устройства и обнаружить несколько уязвимостей на реальном автомобиле (в качестве образца задействовали Mercedes B180), к которому имелся физический доступ.

Некоторые из уязвимостей могут быть использованы для DoS-атак, в то время как другие могут быть использованы для получения данных, внедрения команд и повышения привилегий.

По словам исследователей, злоумышленник, имеющий физический доступ к целевому автомобилю, может использовать некоторые из них для отключения защиты от кражи в головном устройстве, выполнить настройку автомобиля и разблокировать платные услуги.

В случае с реальным автомобилем обнаруженные уязвимости можно задействовать через службу USB, доступную обычному пользователю.

В целом, в процессе исследования были зарегистрированы следующие идентификаторы для выявленных проблем: CVE-2024-37601 - CVE-2024-37603, CVE-2023-34397 - CVE-2023-34404, CVE-2023-34406.

Подробная информация по каждой CVE - здесь, а технические подробности - в отчете.

20.01.202515:50

Исследователи Socket расчехлили вредоносный пакет под названием pycord-self на PyPI, который был нацелен на разработчиков Discord с целью кражи токенов аутентификации и внедрения бэкдора для удаленного управления системой.

Пакет мимикрирует под широко популярный discord.py-self с 28 миллионами загрузок и даже реализует оригинальную функциональность легитимного проекта.

Официальный пакет представляет собой библиотеку Python, которая обеспечивает взаимодействие с пользовательским API Discord и позволяет разработчикам управлять учетными записями.

Обычно он используется для обмена сообщениями и автоматизации взаимодействий, создания ботов Discord, написания сценариев автоматической модерации, уведомлений или ответов, а также для запуска команд или извлечения данных из Discord без учетной записи бота.

По данным Socket, вредоносный пакет был добавлен в PyPi в июне прошлого года и на данный момент уже загружен 885 раз. К настоящему времени все еще доступен на PyPI от издателя, данные которого были перепроверены платформой.

Исследователи проанализировали пакет и обнаружили, что pycord-self содержит код, который выполняет две основные функции.

Одна из них — кража токенов аутентификации Discord у жертвы и отправка их на внешний URL.

Злоумышленники потенциально могут использовать украденный токен для взлома учетной записи разработчика Discord без необходимости ввода учетных данных для доступа, даже если активна двухфакторная аутентификация.

Вторая функция вредоносного пакета - создание скрытого механизма обхода безопасности путем создания постоянного соединения с удаленным сервером через порт 6969.

В зависимости от операционной системы он запускает оболочку («bash» в Linux или «cmd» в Windows), которая предоставляет злоумышленнику постоянный доступ к системе жертвы.

Рекомендации и MOK - в отчете.

16.01.202507:20

На известной площадке в киберподполье замечен серьезный экземпляр.

По всей видимости, протекла ливанская контрразведка, отчеты которой теперь заполонили даркнет.

Но примечательнее всего то, что большая часть из них, предположительно, содержит сведения о лицах, связанных с верхушкой ИГИЛ (признана в России террористической организацией).

Эксперты полагают, что в случае если утечка подтвердится, то инцидент будет иметь серьезные последствия для безопасности в регионе и потенциально ударит по операциям местной контрразведки, которая рискует остаться без информаторов и прикрытия для оперативников.

Но будем, конечно, посмотреть.

Kirishning iloji bo'lmadi
media kontentga

Repost qilingan:

Life-Hack - Хакер

15.01.202516:03

Наш бесплатный курс "Тестирование на проникновение" подошел к концу. Вот полный список статей, которые помогут вам начать свой путь в #Pentest.

• Моделирование атаки - тестрирование на проникновение.
• Основные этапы тестирования.
• Сбор информации: 1 Часть.
• Сбор информации: 2 Часть.
• Сбор информации: 3 Часть.
• Обнаружение уязвимостей.
• Подбор паролей.

• Обратные оболочки и полезные нагрузки.
• Эксплуатация уязвимостей: 1 Часть.
• Эксплуатация уязвимостей: 2 Часть.
• Уклонение от средств защиты: 1 Часть.
• Уклонение от средств защиты: 2 Часть.
• Уклонение от средств защиты: 3 Часть.
• С2 (Command and Control) сервер.

• Основы Active Directory: 1 Часть.
• Основы Active Directory: 2 Часть.
• Kerberos, NTLM, DNS, LDAP.
• Пользовательские и машинные учетные записи.
• Права и привилегии в Active Directory.
• Небезопасные права доступа ACL.
• Active Directory Domain Enumeration

• Bloodhound
• AS-REP Roasting
• Kerberoasting
• Неограниченное делегирование.
• Ограниченное делегирование.
• Ограниченное делегирование на основе ресурсов.
• DCShadow.

• Pass-the-hash
• Password Spray
• Windows Server Update Services (WSUS)
• System Center Configuration Manager (SCCM)
• Взлом MSSQL
• Responder
• Netexec

• Крадем учетные данные Windows
• Zerologon
• PetitPotam
• Skeleton Key
• RouterSploit
• Получение DA через принтер
• DCSync

• SIDHistory
• AdminSDHolder
• Silver Ticket
• Golden Ticket
• Diamond Ticket
• Sapphire Ticket

Не забывайте делиться нашим бесплатным курсом "Тестирование на проникновение"!

#статья@haccking #обучениеPentest@haccking #AD

LH | Новости | Курсы | OSINT

Kirishning iloji bo'lmadi
media kontentga

15.01.202514:19

Исследователи F.A.C.C.T. продолжают отслеживать проукраинскую группу Sticky Werewolf, которая на этот раз пыталась атаковать российские предприятия от лица Минпромторга.

13 января исследователи задетектили одно из писем в рамках фишинговой рассылки в адрес предприятий ОПК, согласно которой якобы Минпромторг предлагает размещать заказы в учреждениях ФСИН с привлечением осужденных.

Таргетинг соответствует традиционной для Sticky Werewolf виктимологии, в числе устремлений группы - российские госучреждения, НИИ и промышленные предприятия из сферы ВПК. Были также атаки на объекты в Беларуси и Польше.

В ĸачестве первоначального веĸтора группа использует фишинговые рассылĸи с вредоносными вложениями, в которых часто встречаются таĸие инструменты, ĸаĸ Darktrack RAT и Ozone RAT, стилеры Glory Stealer и MetaStealer (вариация RedLine Stealer).

Приманку удалось расчехлить достаточно просто: несоответствие должности Дениса Мантурова (с мая 2024 года он уже не глава Минпромторга) и разные даты принятия «решения», о которых упоминается в январской и декабрьской рассылках.

Письмо содержит два вложения: сопроводительное письмо-приманку на бланке Минпромторга и форму заполнения.rar - вредоносный архив, защищенный паролем: 2025.

Внутри архива находился документ «список рассылки.docx» и вредоносный исполняемый файл «Форма заполнения.pdf.exe».

При запуске в конечном итоге происходит доставка трояна удаленного доступа Ozone RAT, предназначенного для предоставления скрытого удаленного доступа к скомпрометированному устройству.

Ранее было также обнаружено фишинговое письмо от 23 декабря 2024 года с аналогичной темой, в котором содержалось два фейковых документа.

Злоумышленники атаковали научно-производственное предприятие, однако в письме отсутствовал архив с полезной нагрузкой внутри.

Образцы фишинговых писем и IoC - в отчете.

15.01.202512:18

Исследователи Horizon3.ai нашли многочисленные уязвимости в программном обеспечении для удаленного доступа SimpleHelp, которые могут привести к раскрытию информации, EoP и RCE, их достаточно легко устранить и также просто поэксплуатировать.

Первая CVE-2024-57727 представляет собой уязвимость обхода пути без аутентификации, которая позволяет загружать произвольные файлы с сервера SimpleHelp, включая файл serverconfig.xml, содержащий хешированные пароли для учетной записи SimpleHelpAdmin и других локальных учетных записей.

Вторая отслеживается как CVE-2024-57728 и связана с произвольной загрузкой файлов, которая позволяет злоумышленнику с привилегиями SimpleHelpAdmin загружать произвольные файлы в любое место на хосте SimpleServer, что потенциально приводит к RCE.

Третья CVE-2024-57726 позволяет злоумышленнику, получившему доступ в качестве техспециалиста с низкими привилегиями, повысить свои привилегии до администратора, воспользовавшись отсутствием проверок авторизации на внутреннем уровне.

В гипотетическом сценарии атаки злоумышленник может связать CVE-2024-57726 и CVE-2024-57728, чтобы стать администратором и загрузить произвольные полезные данные для захвата контроля над сервером SimpleHelp.

К настоящему времени Horizon3.ai скрывает дополнительные технические подробности о трех уязвимостях, учитывая их критичность и простоту использования.

После ответственного раскрытия информации 6 января 2025 года недостатки были устранены в версиях SimpleHelp 5.3.9, 5.4.10 и 5.5.8, выпущенных 8 и 13 января.

Поскольку обычно злоумышленники достаточно часто инструменты удаленного доступа для получения постоянного удаленного доступа к целевым средам, крайне важно оперативно накатить исправления.

Кроме того, SimpleHelp рекомендует сменить пароль администратора сервера, сменить пароли для учетных записей технических специалистов и ограничить IP-адреса входа в систему для всех технических специалистов и администраторов.

Barcha postlar