24510
Copyright: @SEAdm1n Вакансии: @infosec_work Сотрудничество - @SEAdm1n Обратная связь. Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot
📶 Как данные перемещаются по сети: инкапсуляция и деинкапсуляция.
• Всякий раз, когда мы отправляем данные из одного узла в другой в компьютерной сети, данные инкапсулируются на стороне отправителя, а деинкапсулируются на стороне получателя.
• Инкапсуляция данных - это процесс, в котором некоторая дополнительная информация добавляется к элементу данных, чтобы добавить к нему некоторые функции. В нашей сети мы используем модель OSI или TCP/IP, и в этих моделях передача данных происходит через различные уровни. Инкапсуляция данных добавляет к данным информацию протокола, чтобы передача данных могла происходить надлежащим образом. Эта информация может быть добавлена в заголовок header или в конец footer или trailer данных.
• Данные инкапсулируются на стороне отправителя, начиная с уровня приложения и заканчивая физическим уровнем. Каждый уровень берет инкапсулированные данные из предыдущего слоя и добавляет некоторую дополнительную информацию для их инкапсуляции и некоторые другие функции с данными. Эти функции могут включать в себя последовательность данных, контроль и обнаружение ошибок, управление потоком, контроль перегрузки, информацию о маршрутизации и так далее.
• Деинкапсуляция данных - это процесс, обратный инкапсуляции данных. Инкапсулированная информация удаляется из полученных данных для получения исходных данных. Этот процесс происходит на стороне получателя. Данные деинкапсулируются на том же уровне на стороне получателя, что и инкапсулированный уровень на стороне отправителя. Добавленная информация заголовка и футера удаляется из данных в этом процессе. Данные инкапсулируются на каждом уровне на стороне отправителя, а также деинкапсулируются на том же уровне на стороне получателя модели OSI или TCP/IP.
• Выше подгрузил красивую шпаргалку, которая поможет разобраться в данной теме. Ну и вот тут есть более детальная информация и примеры: https://infocisco.ru
• P.S. Не забывайте про мой репозиторий, в котором собран полезный материал для изучения сетей: https://github.com/SE-adm/Awesome-network/tree/main
#Сети
Исследователи Patchstack раскрыли критическую неисправленную уязвимость, влияющую на плагин TI WooCommerce Wishlist для WordPress, которую могут использовать неавторизованные злоумышленники для загрузки произвольных файлов.
TI WooCommerce Wishlist, имеющий более 100 000 активных установок, представляет собой инструмент, позволяющий пользователям сайтов сохранять свои любимые продукты для дальнейшего использования и делиться списками в социальных сетях.
Плагин подвержен уязвимости произвольной загрузки файлов, которая позволяет злоумышленникам загружать вредоносные файлы на сервер без аутентификации.
Уязвимость отслеживается как CVE-2025-47577 и имеет оценку CVSS 10,0.
Она затрагивает все версии плагина ниже, включая 2.9.2, выпущенную 29 ноября 2024 года.
В настоящее время нет доступного исправления.
Исследователи отмечают, что проблема кроется в функции под названием tinvwl_upload_file_wc_fields_factory, которая, в свою очередь, использует другую собственную функцию WordPress wp_handle_upload для выполнения проверки, но устанавливает для параметров переопределения test_form и test_type значение «false».
Переопределение test_type используется для проверки того, соответствует ли тип файла MIME ожидаемому, тогда как test_form проверяет, соответствует ли параметр $_POST['action'] ожидаемому.
Установка test_type в значение false позволяет эффективно обойти проверку типа файла, тем самым позволяя загружать файлы любого типа.
При этом уязвимая функция доступна через tinvwl_meta_wc_fields_factory или tinvwl_cart_meta_wc_fields_factory, которые доступны только при активном плагине WC Fields Factory.
Это также означает, что успешная эксплуатация возможна только в том случае, если плагин WC Fields Factory установлен и активирован на сайте WordPress, а интеграция включена в плагине TI WooCommerce Wishlist.
В гипотетическом сценарии атаки злоумышленник может загрузить вредоносный PHP-файл и осуществить удаленное выполнение кода, напрямую получив доступ к загруженному файлу.
Разработчикам рекомендуется удалить и избегать установки 'test_type' => false при использовании wp_handle_upload().
При отсутствии патча пользователям плагина настоятельно рекомендуется деактивировать его и удалить со своих сайтов.
🗣 Дмитрий Правиков, РГУ нефти и газа им. И.М. Губкина: Взаимодействие между вузом и бизнесом — это всегда «игра вдолгую»
Дмитрий Правиков, заведующий кафедрой комплексной безопасности критически важных объектов РГУ нефти и газа (НИУ) имени И.М. Губкина, рассказал порталу Cyber Media:
🟢как меняется интерес абитуриентов к специальностям в сфере информационной безопасности;
🟢как вуз сочетает академическую подготовку с практикой;
🟢почему быстрых результатов в партнерстве между университетами и бизнесом ждать не стоит.
7 популярных мифов о Service mesh, которые мешают вам его освоить 🚫
Service mesh окружен заблуждениями, из-за которых многие его боятся внедрять или считают бесполезным:
➖ «У него огромный оверхед из-за нагрузки на систему»
➖ «Для разработчика это лишнее, пусть DevOps разбираются»
➖ «Зачем он нужен, если есть API Gateway?
И многое другое.
Собрали противоречивые утверждения в одном файле и разобрались, где – правда, а где – миф.
📌 Забирайте полезный материал у бота-помощника в один клик.
erid: 2W5zFHhSwcL
БЕСПЛАТНЫЙ ВЕБИНАР «C2-серверы: как хакеры управляют взломанными системами»
✔️ Регистрация
29 мая | 19:00 МСК | Онлайн
Друзья, ждём вас, если вы:
✦ Хотите понять, как работают C2-фреймворки (Sliver, Covenant)
✦ Мечтаете научиться тестировать сети как настоящие APT-группы
✦ Боитесь сложностей с настройкой агентов и обходом защиты
✦ Хотите освоить lateral movement в Active Directory
✔️ Регистрация
Все участники получат:
✦ Чек-лист «Топ-5 инструментов для пентеста C2»
✦ Доступ к записи + разбор вопросов с экспертом
✦ Подарок — только для участников!
Ведущий: Андрей Хомлюк (RHTxF13xSHD) — победитель Standoff 12-13, 15 лет в IT, эксперт по AD и CTF.
Не пропустите! Регистрация здесь.
🚀 Трудности с регистрацией? Пишите @Codeby_Academy
F6 Cyber Identity Index — это не публичный рейтинг. Это закрытая аналитика, к которой получают доступ только те, кто готов смотреть правде в глаза.
Мы оцениваем уровень внешней цифровой защищённости по 8 критически важным категориям — от упоминаний в даркнете до уязвимостей в инфраструктуре.Каждая заявка рассматривается индивидуально.Каждый отчёт — конфиденциален и построен с учётом отрасли и масштаба.
📍 Компании с высоким индексом получают не только защиту, но и доверие рынка.
📥 Оставьте заявку — пока приём открыт.
Знать — значит управлять. Участвуйте в индексе.
#реклама
О рекламодателе
🎮 Пост выходного дня: Герои Меча и Магии III в браузере.
• Олды вспомнят и прослезятся: по ссылке ниже можно поиграть в Heroes Of Might And Magic III и даже загрузить свое сохранение для продолжения игры с определенного момента. Всё идеально работает в вашем браузере, без рекламы и без регистрации.
➡ https://homm3.zip/
#оффтоп
⚡️ Хорошие новости: разыгрываем годовую подписку на «Хакер»
• Всего будет 20 призовых мест, а итоги подведем ровно через неделю (31 мая, в 19:00 московскому времени) с помощью бота, который рандомно выберет победителя.
• Напомним, что участники сообщества Xakep.ru получают несколько материалов в неделю: мануалы по кодингу и взлому, гайды по новым возможностям и эксплоитам, подборки хакерского софта и обзоры веб-сервисов. Не упусти возможность вступить в сообщество и выигрывать 1 из 20 призов.
Для участия нужно:
1. Быть подписанным на наш канал: @xakep_ru
2. Подписаться на канал наших друзей: @tg_infosec
3. Нажать на кнопку «Участвовать».
Бот может немного подвиснуть — не переживайте! В таком случае просто нажмите еще раз на кнопку «Участвовать».
💻Хуже потопа, страшнее пожара: как подготовить свои бэкапы к визиту вируса-шифровальщика.
• Вирусы-шифровальщики — это кошмар практически для каждой первой компании. Все чаще злоумышленники шифруют данные, приводя бизнес крупных организаций к простоям, значительным финансовым убыткам и репутационным потерям. И как часто оказывается, только лишь наличие резервной копии не защищает бизнес от подобных угроз, если само по себе резервное копирование спроектировано неверно или без учета современных опасностей.
• Цель этого материала — рассказать о существующих методах и технологиях в части систем хранения данных и систем резервного копирования, которые способны сократить урон от вирусов-шифровальщиков и минимизировать потери данных при атаках. Запомните: мало сделать просто бэкап — нужно сделать правильный бэкап.
➡️ https://habr.com/ru/post/868454
#ИБ
Как ускорить разработку ИБ-решений?
🔥 Вебинар 28 мая в 16:00 (мск) — Реальный кейс от Crosstech Solutions Group.
Если вы занимаетесь ИТ-продуктами, проектированием архитектуры или руководите разработкой — это приглашение для вас.
🔍 Что будет на вебинаре?
Компания Crosstech Solutions Group расскажет, как они создали систему мониторинга и анализа активности в базах данных — от идеи до рабочего продукта.
В центре внимания — Jmix, современная платформа для быстрой разработки бизнес-приложений.
📌 Даже если вы никогда не слышали про Jmix — вам будет полезно:
✅ Реальный опыт создания ИБ-системы с нуля.
✅ Как реализовали ролевую модель, отчетность и гибкий конструктор политик.
✅ Демо системы: увидите все в действии.
✅ Ответы на вопросы от команды, которая создавала продукт.
🎯 Узнайте, как сэкономить ресурсы и ускорить релиз — без лишнего кода и с максимальной гибкостью.
📅 Участие бесплатное — регистрируйтесь сейчас! Не упустите шанс перенять опыт экспертов, которые уже нашли рабочее решение.
#реклама
О рекламодателе
🔐 Поднимите защиту почтовых ящиков на новый уровень!
27 мая в 20:00 на нашем бесплатном практическом вебинаре мы научим вас развертывать сервис для автоматической проверки почтовых ящиков на вредоносное ПО.
Корпоративная почта — один из самых уязвимых каналов для распространения вредоносных вложений. Защита от угроз должна быть максимально быстрой и эффективной.
Мы разберем, как автоматизировать процесс проверки и научимся выявлять вредоносные индикаторы в почте.
Если вы специалист по reverse инжинирингу или malware-аналитик, и хотите повысить свою эффективность в автоматической проверке почты — этот вебинар для вас.
Присоединяйтесь к вебинару и получите скидку на большое обучение «Reverse engineering».
👉 Зарегистрируйтесь по ссылке: https://otus.pw/UIgR/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576
Защита данных и сети в компаниях с геораспределённой инфраструктурой
Бесплатный вебинар | 📆 27 мая в 11:00
Крупные компании выбирают территориально распределённую работу: филиалы, удалённые офисы, облака и географически разнесённые ЦОДы. Как обеспечить безопасность данных и сетей в таких условиях?
На вебинаре
✔️ Почему компании выбирают геораспределённые архитектуры и с какими угрозами сталкиваются в новых условиях?
✔️ Какие типовые архитектуры распределённых систем существуют и как правильно внедрять средства защиты информации (СЗИ) в филиальных сетях?
✔️ Что такое геокластер и почему он становится обязательным элементом инфраструктуры?
✔️ Как защитить сети и данные с помощью комплексов «Гарда NDR» и «Гарда DLP».
✔️ Каких результатов удается достичь на практике: эксперты из «Гарда», Angara Security и JSA Group поделятся реальными кейсами внедрения в горно-металлургической компании.
В прямом эфире спикеры ответят на ваши вопросы. По традиции, подарим мерч за самые интересные вопросы.💯
Регистрируйтесь!
#реклама
О рекламодателе
БЕКОН – Единственная в году специализированная конференция по безопасности контейнеров и Kubernetes. Билеты кончаются. Успей забронировать!
> Смотреть программу <
👩💻 Руководство по современным сетевым политикам Kubernetes.
• Сетевые политики — основополагающий аспект защиты кластеров Kubernetes. Политики L4 обеспечивают базовый контроль над трафиком на основе IP-адресов и портов, в то время как политики L7 позволяют гранулярно контролировать трафик на уровне приложений с помощью надёжной криптографической идентификации. Комбинируя оба типа политик и используя service mesh, можно реализовать модель «нулевого доверия», отвечающую современным вызовам в области безопасности.
• Это руководство для тех, кто хочет узнать больше об управлении сетевым трафиком Kubernetes на основе политик. Вы узнаете о разных типах политик и о том, почему они важны, о плюсах и минусах каждой из них и о том, как их определять и когда следует комбинировать.
➡ Первоисточник || Источник.
#Kubernetes
👨💻 DEF CON: от прощальной вечеринки до одной из крупнейших в мире хакерских конференций.
• Джефф Мосс - человек, который организовал одну из самых крупнейших хакерских конференций. Началось всё в начале 1990-х годов, когда весь мир пользовался досками объявлений. Такие доски часто использовались хакерами для обмена информацией. Джефф держал собственную доску объявлений и мог позволить себе оплачивать телефонную связь из своей зарплаты, но его приятели, как правило, находили способы не платить за телефонную связь. В тот же период он стал своего рода главным администратором множества международных сетей, таких как HackNet, PhreakNet, PlatinumNet и HitNet.
• В 1993 году его друг, оператор канадской хакерской сети PlatinumNet, работавшей по протоколу FidoNet, задумал провести прощальную вечеринку для всех членов сети PlatinumNet, так как он с семьёй собирался переезжать в другую страну (отцу предложили лучшую работу).
• Большинство пользователей этих сетей были американцами, поэтому он попросил Джеффа помочь с организацией вечеринки и провести её в США. Джефф начал готовить вечеринку и уже нашёл место в Лас-Вегасе для её проведения, но получилось так, что отец друга уехал раньше задуманного и забрал сына с собой, и Джефф остался один.
• Мосс решил не отменять вечеринку, всё организовал сам, пригласил членов администрируемых им сетей, разослал приглашения в хакерские чаты IRC, разместил объявления на некоторых других досках, разослал всем факсы и даже отправил факсы в секретные службы США, сообщив, что "они идут". Встреча хакеров состоялась в Лас-Вегасе.
• Такую вечеринку назвали "DEF CON" и это было не просто так... Defcon звали главного героя в фильме WarGames, который решил взорвать Лас-Вегас. Кроме того, термин DEF был в ходу у телефонных мошенников, в том числе у самого Джеффа, так как DEF — это символы на кнопке "3" телефонной клавиатуры. И вот тот день настал, на конференции DEF CON должны были выступить 12 докладчиков. Приехали более 100 человек, и первая в истории конференция началась с выступления Дэна Фармера, эксперта по безопасности UNIX, который рассказал о разработанных им новых инструментах, в том числе SATAN — одном из первых сканеров сетевой безопасности с веб-интерфейсом
• Первоначально конференция задумывалась как единовременное событие, праздник для друга, однако подавляющее число отзывов были положительными, и это событие повторили через год.
• Мосс продолжал проводить это мероприятие, и в следующие 2–3 года конференция DEF CON стала привлекать всё больше внимания, на неё съезжались сотни людей. В следующие пару лет с началом роста количества рабочих мест в секторе информационной безопасности посещаемость конференции выросла в более чем в два раза. Пригласительные билеты на конференцию стали платными, и дела DEF CON пошли в гору. Вот так и зародилась данная конференция, которая проводится и по сей день...
• Стоит добавить, что благодаря таким конференциям развиваются контакты между хакерами и поставщиками ПО. На этих мероприятиях организации получают знания о том, как обезопасить свою инфраструктуру, совместно с независимыми специалистами в области обеспечения безопасности работают над выявлением и устранением угроз безопасности.
#Разное
Бесплатный вебинар: Реверс инжиниринг пакетных инсталляторов в Windows
Дата: 18 июня в 20:00
Анализ работы пакетных инсталляторов и их защитных механизмов для понимания структуры и поиска уязвимостей.
О чём поговорим:
- Обзор форматов пакетных инсталляторов (MSI, NSIS, Inno Setup).
- Изучение встроенных защит: обфускация, цифровые подписи.
- Методы обхода защиты и модификации пакетов.
- Инструменты для реверс-инжиниринга инсталляторов.
Кому будет интересно:
Аналитикам вредоносного ПО и специалистам по реверс-инжинирингу, работающим с Windows-инсталляторами.
В результате вебинара:
Получите базовые навыки анализа пакетных инсталляторов и понимание их защитных механизмов.
Присоединяйтесь к вебинару и получите скидку на большое обучение «Reverse engineering».
👉 Зарегистрируйтесь по ссылке: https://otus.pw/cIS1O/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576
❔ Список вопросов по наступальной безопасности.
• Этот репозиторий содержит в себе компиляцию вопросов по наступательной безопасности (offensive security). Используя этот материал, можно прикинуть, какие области знаний Вами не покрыты для самостоятельного обучения.
➡ https://github.com/curiv/russian-offensive-security-questions
• Проект является открытым, каждый желающий может сделать форк или предложить изменения в существующий список вопросов. Порядок вопросов и их категория носят субъективный характер. По утверждению автора, репозиторий будет поддерживаться в актуальном состоянии и обновляться.
• Если у Вас есть вопросы, желание внести свой вклад в развитие проекта или пообщаться с автором, то вся необходимая информация есть в этом посте: /channel/pathsecure/357
#ИБ #Разное
📶 Reverse proxies cheatsheet.
• Знаете, в чем заключается разница между прямым прокси и обратным? Если нет, то есть отличный пример:
• Представьте, что вы планируете проверить своё здоровье в многопрофильном медицинском центре, который регулярно посещаете. Но по какой‑то причине вы не желаете напрямую взаимодействовать с персоналом медучреждения. У вас есть личный помощник, который от вашего имени решает подобного рода задачи. По этой же причине медицинский персонал никогда не взаимодействует с вами напрямую, только с вашим помощником. В этом сценарии вас можно ассоциировать с ноутбуком, через который ищет информацию в интернете, а ваш личный помощник — это прокси‑сервер, который действует как посредник между вашей частной сетью, к которой подключён ноутбук, и общедоступным интернетом, куда отправляются ваши запросы. Прокси‑сервер защищает ноутбук, фильтруя трафик и блокируя вредоносные веб‑сайты и скрипты, прежде чем ответ будет перенаправлен обратно. Это аналогия с прямым прокси.
• Теперь давайте проведем аналогию с обратным прокси. Представим, что Ваш личный помощник записал вас на проверку здоровья и вы приходите в клинику в назначенное время. Теперь вместо того, чтобы самостоятельно в огромном здании искать нужный кабинет, вы подходите к стойке регистрации. Администратор вас регистрирует, затем приглашает следовать за ним и приводит в нужный кабинет. В этой ситуации администратор — это тоже прокси, но на этот раз на принимающей запрос стороне. Сидит он в клинике в окружении всевозможных кабинетов (в нашем случае серверов) и управляет пациентами (входящими запросами), распределяя их по нужным врачам, этажам и кабинетам, проверяя загруженность и имея обзор всего внутреннего потока.
• Ну а теперь, когда мы выяснили разницу между прямым и обратным прокси, предлагаю ознакомиться с очень полезным репозиторием, который можно использовать в качестве шпаргалки для специалистов в области ИБ. Суть - изучить скрытые проблемы безопасности данных технологий и понять их специфические особенности для поиска и эксплуатации слабых мест.
➡Nginx;
➡Apache;
➡Haproxy/Nuster;
➡Varnish;
➡Traefik;
➡Envoy;
➡Caddy;
➡AWS;
➡Cloudflare;
➡Stackpath;
➡Fastly.
#Сети #ИБ
🤖 Докажи, что ты человек!
• В далеком 1997 году боты начали добавлять спам-ссылки в поисковом сервисе Alta-Vista. Этот сервис был построен таким образом, что пользователи могли сами вносить URL-ссылки в библиотеку. Чтобы сохранить эту возможность, ведущий научный сотрудник компании Андрей Бродер создал специальный фильтр. Он генерировал случайный набор символов, которые мог легко распознать человек, но не боты того времени. Это, по словам Бродера, снизило наплыв последних на 95%. Так появилась CAPTCHA!
• Для владельцев сайтов капча много лет была бесценным инструментом для предотвращения атак злоумышленников, а для их пользователей — раздражающим всплывающим окном, отнимающим время. На фоне стремительного развития ИИ многие заговорили о том, что капча, какой мы ее знаем, скоро останется в прошлом. Но сможет ли ИИ справится с DOOM Капчей?
• Дело в том, что глава компании Vercel Гильермо Раух создал свою собственную капчу! Раух решил отойти от традиционных методов, которые легко обходит ИИ, и предложил пользователям поиграть в классический Doom. Для прохождения капчи необходимо уничтожить трёх монстров (к слову, уровень сложности выставлен на Nightmare).
• Один из пользователей заметил, что автор выбрал секретный уровень под названием E1M9: Military Base. В обычной игре, когда геймер добирается до него, он обладает внушительным набором оружия и брони, поэтому в этот момент сложностей не возникает. Но пройти уровень с одним пистолетом — дело не шуточное.
➡️ Опробовать можно тут: https://doom-captcha.vercel.app
#Новости #Разное
Исследователи из Лаборатории Касперского в своем новом отчете обращают внимание на актуальность проблем, связанных с защитой контейнеризованной инфраструктуры.
Несмотря на то, что атаки на контейнеры происходят не так часто, как на другие системы, но это не делает их менее опасными.
В новой раскрытой ЛК кампании контейнеризованные среды были скомпрометированы комбинацией ранее известного майнера и нового вредоносного ПО под названием nginx.
Причем один зараженный контейнер сканирует интернет в поисках открытых API Docker, эксплуатирует их, создавая новые вредоносные контейнеры и заражая существующие.
Новые «зомби» приступают к добыче криптовалюты Dero и распространяют инфекцию дальше.
Оба вредоносных компонента распространяются без использования командного сервера, что ставит под удар любую сеть с контейнеризованной инфраструктурой и небезопасно открытым для интернета API Docker.
Как показал анализ, злоумышленники получили начальный доступ к активной контейнеризованной инфраструктуре через открытый API Docker, не защищенный должным образом.
В результате были скомпрометированы существующие контейнеры и развернуты новые - не только для майнинга криптовалюты на ресурсах жертвы, но и для проведения внешних атак с целью распространения в других сетях.
Согласно анализу Shodan, в апреле 2025 года по всему миру было открыто для доступа из интернета 520 API Docker, опубликованных на порте 2375, что дает представление о разрушительном потенциале описанной угрозы и подчеркивает необходимость адежной защиты контейнеров.
Технические подробности цепочки заражения и индикаторы компрометации - в отчете.
🪟 Windows «Briefcase».
• Вы знали, что задолго до появления Google Drive и Dropbox Microsoft представила свою первую концепцию синхронизации данных между несколькими устройствами — «Briefcase»? Эта утилита впервые появилась в Windows 95 и была предназначена для синхронизации файлов. Именно она позволяла пользователям работать с одними и теми же документами на разных устройствах, упрощая управление данными.
• Хотя механизм «Briefcase» был значительно проще, чем современные облачные решения, он предоставлял базовые функции синхронизации. Пользователи могли копировать файлы в «портфель», работать с ними на другом устройстве, а затем обновлять изменения в исходной папке. Briefcase — это первый шаг к удобной работе с файлами в разных средах. Интересно, что «Briefcase» оставался частью Windows вплоть до Windows 8, прежде чем был окончательно удалён.
#Разное
❓ Да что вы знаете про DevSecOps?
Проверь себя – пройди тест по ДевСекОпс и узнай, можешь ли ты стать DevSecOps-инженером!
🫵 Ответишь успешно — пройдешь на курс «Внедрение и работа в DevSecOps» от Отус по специальной цене.
Освойте принципы и популярные инструменты DevSecOps-инженера, которые помогут повысить вашу востребованность и доход на онлайн-курсе «Внедрение и работа в DevSecOps» от OTUS.
Авторская программа подготовлена опытным инженером и завалидированная партнером StartX.
➡️ ПРОЙТИ ТЕСТ
💥 Бонусом за успешно пройденный тест получишь доступ на сайт курса к записям лучших открытых уроков.
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576
Силовики продолжают пылесосить киберподполье, реализуя масштабные международные скоординированные операции в отношении инфраструктуры и связанных с ними лиц, причастных к ransomware и популярным вредоносным ПО.
В рамках последней итерации запущенной еще в мае 2024 «Операции «Эндшпиль» коалиция правоохранителей отключила около 300 серверов по всему миру, нейтрализовала 650 доменов и выдала ордера на арест 20 киберпрестпуников в период с 19 по 22 мая 2025 года.
Как отмечают представители Европола, она нацелена на новые варианты вредоносного ПО и их преемников, которые вновь появились после предыдущих облав. В их числе: Bumblebee, Lactrodectus, QakBot, DanaBot, TrickBot и WARMCOOKIE.
В ходе операции было изъято 3,5 млн евро в криптовалюте, в результате чего общая сумма, изъятая в ходе операции, составила более 21,2 млн евро.
Помимо этого, Минюст США также предъявил обвинения 16 лицам, предположительно, являющимся частью российской киберпреступной группировки, которая контролировала операцию по созданию вредоносного ПО DanaBot.
Согласно материалам, ботнет задействовался для развертывания дополнительных вредоносных ПО, включая ransomware, и заразил более 300 000 компьютеров по всему миру, нанеся ущерб более чем на 50 миллионов долларов.
Вредоносное ПО DanaBot активно с 2018 года, работает по модели MaaS. Способно перехватывать банковские сеансы, красть данные браузера, а также предоставлять полный удаленный доступ к скомпрометированным системам и контролировать действия пользователей.
Министерство выразило признательность специаоситам Amazon, CrowdStrike, ESET, Flashpoint, Google, Intel 471, Lumen, PayPal, Proofpoint, Spycloud, Team Cymru и Zscaler за предоставление «ценной помощи».
Кроме того, Европол раскрыл подробности другой международной операции под названием RapTor, нацеленной на пресечение каналов продажи оружия, наркотиков и контрафакта.
По результатам арестовано 270 селлеров и участников даркнет-ресурсов в 10 странах: США (130), Германия (42), Великобритания (37), Франция (29), Южная Корея (19), Австрия (4), Нидерланды (4), Бразилия (3), Швейцария (1) и Испания (1).
Подозреваемые, отметил Европол, были идентифицированы на основе разведданных, собранных в ходе прошлых операции в отношении Nemesis, Tor2Door, Bohemia и Kingdom Markets.
Наряду с арестами правоохранители изъяли €184 млн наличными и криптовалютой, 2 тонны наркотиков, 180 единиц огнестрельного оружия, 12 500 контрафактных товаров, включая более 4 тонн табака.
Так что, не одной Lumma досталось.
🔎 Занимательная форензика.
• Очень крутой "чек-лист" на тему анализа оперативной памяти. Методы и инструменты, которые перечислены в данной статье, часто используется в том случае, если у нас был физический доступ к машине и получилось снять слепок оперативной памяти. По нему можно определить, какие приложения запускались во время этого сеанса, потому что, пока человек не выключил или не перезагрузил компьютер, в оперативной памяти хранится интересующая нас информация (например, данные процессов). Однозначно в закладки:
➡Memory Structure;
➡Definition and Importance of Memory Forensics;
➡Key Differences Between Disk Forensics and Memory Forensics;
➡Volatility Essentials;
➡Core Investigation Plugins;
➡Advanced Memory Analysis Workflows;
➡Custom Plugin Development;
➡Practical Memory Analysis Workflows;
➡Investigation of Running Processes;
➡Advanced Memory Forensics Techniques;
➡Specialized Memory Forensics Domains;
➡Enhanced Cellebrite Memory Acquisition;
➡Enhanced FTK Imager Memory Acquisition;
➡Enhanced Volatile Memory Acquisition;
➡Advanced Analysis Techniques;
➡Container and Cloud Memory Analysis;
➡Advanced Malware Detection;
➡Memory Forensics Automation.
#Форензика
📭 Откуда взялся спам?
• На самом деле, я никогда не задумывался над тем, откуда появился спам и какими методами с ним пытались бороться. Только на днях я заметил очень интересную статью на хабре, которая описывает историю возникновения этого значения. Ниже идет повествование автора, а полная версия материала есть по ссылке в самом конце статьи:
• Итак, откуда взялся спам? На этот вопрос есть два ответа, потому что он содержит два вопроса.
• Первый вопрос касается первого навязанного рекламного сообщения. 31 мая 1864 года члену британского парламента доставили откровенно рекламную телеграмму с предложением посетить дантиста по адресу: «Доктор Гэбрил, Харли-стрит, 27, Кавендиш-сквер. Часы работы доктора Гэбриэла с 10 до 17». Получатель не знал этого доктора и не интересовался его графиком работы. Он был возмущён тем, что его побеспокоили, и написал об этом в газету.
• Хотя он надеялся, что подобное больше не повторится, его действия лишь усилили рекламный эффект для доктора и дали понять другим рекламодателям, что, возможно, стоит повторить такой способ привлечения внимания.
• Второй вопрос связан с самим словом «спам». SPAM — это аббревиатура, которая может означать «Shoulder of Pork and Ham» — свиная лопатка и ветчина, или «SPiced Ham» — ветчина со специями. Точную расшифровку не называют, но это консервы, которые продаются с 1936 года и по настоящее время. Но какое отношение к этому имеют консервы? Всё просто: их реклама стала настолько навязчивой, что название этого продукта стало нарицательным.
• Во время Второй мировой войны эти консервы активно использовались в качестве сухих пайков для армии США и распространялись по карточкам среди населения стран-союзников, включая поставки по ленд-лизу в СССР. После окончания войны спрос на них значительно снизился, так как питаться одним и тем же было не очень приятно. Однако на складах накопилось много консервов, и компания, заработавшая на войне, вложила значительные средства в их рекламу.
• Реклама была настолько агрессивной, что появлялась повсюду: на плакатах, билбордах, радио, телевидении, в журналах и газетах. В 1969 году знаменитая комик-группа Монти Пайтон высмеяла эту рекламу в своём легендарном скетче «SPAM», в котором слово «SPAM» было употреблено 108 раз. С тех пор любая навязчивая, ненужная и бесполезная реклама стала называться именно так.
➡ Полная версия статьи доступна по этой ссылке. Содержание следующее:
➡Звонки и первый электронный спам, который распространялся от групповых чатов до электронной почты;
➡Первые мысли о защите;
➡Действенная тактика — ответный спам;
➡Какие последствия вызвал феномен спама?
#Разное
📱 IBM Simon: первый в мире смартфон.
• Хотите ощутить разницу поколений? 30 лет назад, в августе 1994 года, на рынке мобильных устройств в США появилось необычное устройство: IBM Simon (на фото). Этот девайс представлял собой гибрид мобильного телефона, КПК, пейджера, органайзера и много чего еще, плюс поддерживал подключение к факсу. При этом привычной физической клавиатуры не было: имелась только экранная клавиатура, получившая название "интеллектуальной", плюс виртуальная QWERTY-клавиатура.
• Само собой, габариты первого смартфона были немаленькими, а весил он 500 граммов. Разработчики оснастили это чудо-устройство ЖК-дисплеем и стилусом, плюс девайс был совместим с PCMCIA-картой. У смартфона были собственные приложения (будильник, органайзер, e-mail клиент и некоторые другие).
• Характеристики IBM Simon:
➡16 MHz 16-bit процессор, Vadem x86-совместимый;
➡Сенсорный (!) ЖК дисплей с разрешением 160x293 (само собой, дисплей был черно-белым);
➡ОС: ROM-DOS, специфическая версия DOS;
➡1 МБ ОЗУ (доступно 640 КБ);
➡1 МБ внутренней памяти для системных приложений (используется сжатиепоэтому возможный размер был немногим больше заявленного);
➡Встроенный 2400bps модем;
➡PCMCIA слот;
➡Вес: 500 граммов.
• Этот телефон был замечен представителями бизнес-сектора, и устройство было продано в 50 тысячах экземпляров. Девайс был довольно популярным, и даже засветился в фильме: https://youtu.be/ROzFJzPHyKM
#Разное
В течение полугода поставщик принтеров Procolored размещал вместо оригинальных программ на своем общедоступном сайте троянизированное ПО со стиллером и бэкдором под капотом.
Заметить подставу смог один из авторов Hackster News Кэмерон Ковард, который в процессе установки Microsoft Visual C++ Redistributable и PrintExp словил детекты антивируса. Поставщик его заверил, что срабатывания, вероятно, имели ложный характер.
В свою очередь, исследователи GData после анализа доступных для загрузки на сайте компании файлов ПО обнаружила, что они также заражены.
В общей сложности GData обнаружила, что 39 загрузок программного обеспечения, размещенных на mega.nz и последний раз обновленных в октябре 2024 года, были заражены двумя семействами вредоносных ПО.
Первая из них представляла собой бэкдор, получивший название XRed на Delphi, который реализует поведение червя.
Образец, обнаруженный в загрузках Procolored, мог регистрировать нажатия клавиш, загружать дополнительные полезные данные, делать скрины, изменять файлы и предоставлять оболочку по запросу.
Стиллер под названием CoinStealer нацелен на криптокошельки, но также может подменять адреса криптовалют в буфере обмена на адрес злоумышленника, чтобы перенаправлять средства злоумышленнику во время транзакций.
GData также заметила, что стиллер атакует исполняемые файлы, присоединяясь к ним, а затем перемещает зараженные файлы в исходное местоположение хоста.
По данным компании, XRed объединяет вирус, получивший название SnipVex, реализуя эффект «суперинфекции», поскольку в целевой системе оказывается несколько самовоспроизводящихся семейств вредоносных ПО.
Подобная вирусная инфекция также объясняет, откуда появились 39 зараженных файлов в разделе загрузок Procolored. SnipVex, вероятно, реплицировал себя на системе разработчика или на серверах сборки.
При этом указанный операторами адрес криптовалюты, который фигурирует в качестве замены в буфере, получил переводы на сумму в чем более 9 биткоинов (более 900 000 долл).
Несмотря на свои первичные заявления, Procolored все же удалила загрузки со своего веб-сайта, отмечая о начале проведения расследования.
Разработчик мобильных приложений Дэвид Уитли обнаружил серьезные уязвимости в реализации телекоммуникационной сети оператора O2, связанные с внедрением Voice over LTE (VoLTE) с использованием стандарта IP Multimedia Subsystem (IMS).
Как удалось выяснить, британская телекоммуникационная компания неправильно настроила свою сеть 4G, чт привело к утечке конфиденциальные данные клиентов и их геолокацию.
Трафик сети VoLTE раскрывал необработанные данные, включая IMEI и IMSI, а также данные о вышках сотовой связи для каждого телефонного соединения.
Причем, свою первую услугу IMS компания O2 UK запустила еще 27 марта 2017 года.
По словам Дэвида Уитли, эти данные можно было использовать для снятия фингерпринтов с устройств и определения геолокации пользователей O2, попросту совершая звонки на их телефонные номера.
Для нейтрализации вектора потенциальных, как отметил разработчик, O2 следовало бы удалить определенные заголовки из всех сообщений IMS/SIP, обеспечив таки образом конфиденциальность и безопасность клиентов.
Злоумышленник, имеющий даже базовые знания о мобильных сетях, сможет легко обнаружить любого клиента O2, который при этом не будет иметь возможности как-либо защититься, ведь отключение 4G Calling не предотвращает раскрытие этих заголовков.
Как обычно, больше вопросов вызывает не сама уязвимость, а реакция оператора O2, которого уведомили о проблеме в марте, но исправить ситуацию удалось лишь после публичной огласки, буквально сегодня.
Самая уязвимая часть любой системы — человек.
🛡Даже лучшая защита ничего не стоит, если команды не понимают, зачем она нужна. Поэтому DevSecOps сегодня — это не только инструменты, но и коммуникации.
📆 21 мая в 20:00 МСК на открытом уроке от OTUS:
— разберём, как выстраивать диалог со смежными командами;
— поговорим о киберграмотности и обучении ИБ;
— обсудим, как сделать безопасность частью культуры, а не формальностью.
❗️Полезно ИБ-специалистам, тимлидам, DevOps-инженерам, менеджерам проектов и всем, кто работает на стыке технологий и людей.
🎁 Урок проходит в преддверие старта курса “Внедрение и работа в DevSecOps”. Все участники получат скидку на обучение.
➡️ Зарегистрируйтесь прямо сейчас, чтобы не пропустить: https://otus.pw/aKFJ/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576
👨💻 Roadmap в DevOps 2025.
• На хабре недавно опубликовали очень объемный и актуальный roadmap для DevOps, который поможет понять, какие компетенции нужно приобрести в данной профессии. А еще статья содержит информацию о заработной плате, перспективах и грейдах.
➡️ https://habr.com/ru/articles/868332/
• P.S. Не забывайте про репозиторий: https://github.com/milanm/DevOps-Roadmap. Тут можно найти необходимые ссылки на обучающие материалы для каждого шага на пути к инженеру.
#Roadmap