24510
Copyright: @SEAdm1n Вакансии: @infosec_work Сотрудничество - @SEAdm1n Обратная связь. Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot
Исследователи Trend Micro обнаружили новую APT под названием Earth Kurma, которая в рамках сложной кампании с июня 2024 года нацелена на государственный и телеком секторы в Юго-Восточной Азии (Филиппины, Вьетнам, Таиланд и Малайзия).
По данным Trend Micro, в ходе атак хакеры задействовали вредоносное ПО, руткиты и облачные сервисы хранения данных для эксфильтрации.
Наблюдаемая кампания несет высокие риски в виду целенаправленного шпионажа, кражи учетных данных, четкого закрепления с помощью руткитов на уровне ядра и извлечения данных через доверенные облачные платформы.
Действия злоумышленников активизировались в ноябре 2020 года, при этом атаки в основном осуществлялись с использованием таких сервисов, как Dropbox и Microsoft OneDrive, для кражи конфиденциальных данных с использованием таких инструментов, как TESDAT и SIMPOBOXSPY.
Два других заслуживающих внимания семейства вредоносных ПО в арсенале APT - такие руткиты, как KRNRAT и Moriya, последний из которых ранее был замечен в атаках на известные организации в Азии и Африке в рамках шпионской кампании TunnelSnake.
Trend Micro также полагает, что SIMPOBOXSPY и скрипт эксфильтрации имеют общие черты с другой APT-группой, известной как ToddyCat. Однако окончательная атрибуция остается неубедительной.
В настоящее время неизвестно, как злоумышленники получают первоначальный доступ к целевым средам.
Однако затем первоначальный плацдарм используется для сканирования и бокового перемещения с использованием инструментов: NBTSCAN, Ladon, FRPC, WMIHACKER и ICMPinger.
Также используется кейлоггер, называемый KMLOG, для сбора учетных данных. При этом использование фреймворка Ladon с открытым исходным кодом ранее приписывалось связанной с Китаем хакерской группе TA428 (Vicious Panda).
Устойчивость на хостах достигается тремя различными штаммами загрузчиков - DUNLOADER, TESDAT и DMLOADER, которые способны загружать полезные нагрузки следующего этапа в память и выполнять их.
Они включат Cobalt Strike Beacons, руткиты KRNRAT и Moriya, а также ПО для извлечения данных.
Отличительной чертой этих атак является использование методов LotL для установки руткитов, при которых хакеры используют легальные системные инструменты и функции, в данном случае syssetup.dll, а не внедряют легко обнаруживаемое вредоносное ПО.
Moriya разработан для проверки входящих TCP-пакетов на наличие вредоносной нагрузки и внедрения шелл-кода в процесс svchost.exe.
В свою очередь, KRNRAT представляет собой объединение пяти различных проектов с открытым исходным кодом с такими возможностями, как манипулирование процессами, сокрытие файлов, выполнение шелл-кода, сокрытие трафика и связь с C2.
KRNRAT, как и Moriya, также предназначен для загрузки агента пользовательского режима руткита и внедрения его в svchost.exe.
Агент пользовательского режима служит в качестве бэкдора для извлечения последующей полезной нагрузки с сервера C2.
Перед тем как извлечь файлы, ряд команд, выполняемых загрузчиком TESDAT, приводили к сбору файлов документов со следующими расширениями: pdf, doc, docx, xls, xlsx, ppt и pptx.
Сначала документы помещаются вов вновь создаваемую папку с именем tmp, которая затем архивируется с помощью WinRAR с определенным паролем.
Одним из специальных инструментов для эксфильтрации данных выступает SIMPOBOXSPY, который способен загружать архив RAR в Dropbox с помощью специального токена доступа.
Согласно отчету Лаборатории Касперского от октября 2023 года, универсальный загрузчик DropBox, вероятно, используется не только ToddyCat.
ODRIZ, другая ПО, используемая для той же цели, загружает собранную информацию в OneDrive, указывая токен обновления в качестве входного параметра.
Как отмечают исследователи, Earth Kurma проявляет себя достаточно активным злоумышленником, продолжая атаковать страны Юго-Восточной Азии, обладая способностью адаптироваться к среде жертвы и обеспечивать уверенное скрытное присутствие.
Научим писать плейбуки и модули ✔️
Один пропущенный шаг — и конфигурация ломается. Члены команды выполняют задачи по-своему, документация не помогает. Добавление новых серверов = боль и часы работы.
Как этого избежать? Мы научим вас работать с Ansible, чтобы вы смогли:
✅ Настроить автоматизацию: один playbook — и ваши сервера настраиваются в считаные минуты.
✅ Упростить командную работу: код определяет инфраструктуру, каждый шаг прозрачен и воспроизводим.
✅ Масштабировать в одно касание: развёртывание сотен серверов — больше не головная боль.
✅ Экономить время: больше времени на стратегические задачи, меньше — на рутину.
Освоить лучшие практики на курсе «Ansible: Infrastructure as Code» — по ссылке.
Старт 28 апреля.
🌐 Создаем кейлоггер для Windows.
• Во Франции есть ИБ компания Synacktiv, которая занимается пентестом и разработкой необходимых инструментов для их деятельности. В их блоге я заметил интересную и актуальную статью, где описан процесс написания кейлоггера для Windows, способного поддерживать все раскладки клавиатуры и правильно реконструировать символы Юникода независимо от языка. Материал разделен на 3 части и вот его содержимое:
- В первой части, авторы описывают три различных способа захвата нажатий клавиш (GetKeyState, SetWindowsHookEx, GetRawInputData ) и различия между этими методами.
- Во второй части подробно описан процесс, как Windows хранит информацию о раскладках клавиатуры в файле kbd*.dll и как ее анализировать.
- В третьей и заключительной части разложен процесс использования извлеченной информации для преобразования скан-кодов в символы и все сложные случаи, представленные различными раскладками, такими как лигатуры, мертвые клавиши, дополнительные состояния сдвига и SGCAPS.
#tools #Пентест
🔑 Ключ от всех дверей: как нашли бэкдор в самых надежных картах доступа.
• Вы прикладываете ключ-карту к считывателю, и дверь офиса открывается. Но что, если такой пропуск может взломать и скопировать любой желающий?
• В 2020 году Shanghai Fudan Microelectronics выпустила новые смарт-карты FM11RF08S. Производитель заявил об их полной защищенности от всех известных методов взлома. Группа исследователей проверила эти заявления и обнаружила встроенный бэкдор, позволяющий получить полный доступ к данным карты.
• В этой статье описана история о том, как нашли этот бэкдор, и с какими последствиями можно столкнутся при его внедрении. Этот случай наглядно демонстрирует рискованность слепого доверия маркетинговым заявлениям о безопасности и важность независимого аудита критических систем.
➡️ https://habr.com/ru/post/854974/
• P.S. Статья основана на оригинальном исследовании Филиппа Тевена MIFARE Classic: exposing the static encrypted Nonce variant и ряде открытых публикаций.
#ИБ
⚠ Катастрофические последствия программных ошибок. Часть 2.
• В 1962 году космический корабль «Mariner 1» был уничтожен с земли после старта из-за отклонения от курса. Авария возникла на ракете из-за программного обеспечения, в котором разработчик пропустил всего один символ. В результате корабль стоимостью 18 миллионов долларов (в деньгах тех лет) получал неверные управляющие сигналы.
• При работе над системой управления ракетой программист переводил рукописные математические формулы в компьютерный код. Символ «верхнего тире» (индекса), он воспринял за обычное тире (или знак минус). Функция сглаживания стала отражать нормальные вариации скорости ракеты как критические и недопустимые. Однако даже допущенная ошибка могла не привести к критическому сбою, но как назло антенна ракеты потеряла связь с наводящей системой на Земле, и управление взял на себя бортовой компьютер.
➖➖➖➖➖➖➖➖
• А вот еще одна история, которая привела к блэкауту в США: маленькая ошибка в программном обеспечении системы мониторинга работы оборудования General Electric Energy привела к тому, что 55 миллионов человек остались без электричества. На Восточном побережье США оказались обесточены жилые дома, школы, больницы, аэропорты.
• 14 августа 2003 года в 0:15 ночи оператор энергетической системы в Индиане с помощью инструмента мониторинга работы оборудования заметил небольшую проблему. Проблема вызвала раздражающий сигнал об ошибке, который оператор выключил. Оператору удалось за несколько минут решить все трудности, но он забыл перезапустить мониторинг — аварийный сигнал остался в выключенном положении.
• Отключение сигнала не стало основной причиной блэкаута. Но когда через несколько часов из-за контакта с деревом вырубились провисшие линии электропередачи в Огайо — об этом никто не узнал. Проблема приняла лавинообразный характер, перегруженные линии передачи и электростанции начали вырубаться в Нью-Йорке, Нью-Джерси, Мичигане и далее.
• Ни один из операторов не заметил каскад ошибок, которые медленно убивали энергосистему, из-за единственного выключенного сигнала тревоги — никаких дублирующих систем на этот случай не предполагалось. Официально сумма ущерба составила не менее $6 млрд. Такие дела...
#Разное
📱 Портативная лаба: запуск Kali Linux на Raspberry Pi Zero.
• Благодаря Raspberry Pi Zero автор этого материала собрал портативное устройство с Kali Linux Pi-Tail, которое питается и управляется с помощью смартфона.
• Возможности такого инструмента безграничны: от проверки безопасности Wi-Fi до анализа приложений iOS и Android с помощью Frida. Подробное описание реализации доступно по ссылке ниже.
➡ https://www.mobile-hacker.com/2024/10/04/portable-hacking-lab-control-the-smallest-kali-linux-with-a-smartphone/
#Пентест #ИБ #Raspberry
⚠️ Деление на ноль: катастрофические последствия программных ошибок.
• Практика не устает доказывать, что в любом ПО самая главная уязвимость — человеческий фактор. И неважно, появился ли баг из-за нехватки квалифицированности специалиста, выжил после долгих часов дебага в поисках ошибки, или считался хитро замаскировавшейся фичей. Иногда ошибки приводят не только к неприятностям в жизни рядового разработчика, но и вызывают настоящие катастрофы. Вот несколько историй о таких багах и их последствиях:
• В 1997 американский ракетный крейсер «Йорктаун» (CG-48), на котором были установлены 27 компьютеров (Pentium-Pro на 200 МГц), решил поделить на ноль и полностью вышел из строя.
Компьютеры работали на Windows NT — и работали они ровно так, как вы и ожидаете, узнав название оси. В то время ВМФ США старался максимально широко использовать коммерческое ПО с целью снижения стоимости военной техники. Компьютеры же позволяли автоматизировать управление кораблем без участия человека.
• На компьютеры «Йорктауна» поставили новую программу, управляющую двигателями. Один из операторов, занимавшийся калибровкой клапанов топливной системы, записал в одну из ячеек расчетной таблицы нулевое значение. 21 сентября 1997 года программа запустила операцию деления на этот самый ноль, началась цепная реакция, и ошибка быстро перекинулась на другие компьютеры локальной сети. В результате отказала вся компьютерная система «Йорктауна». Потребовалось почти три часа, чтобы подключить аварийную систему управления.
• Схожая проблема с нулем возникла при испытании истребителя в Израиле. Безупречно работавший самолет на автопилоте пролетел над равнинной частью, над горной частью, над долиной реки Иордан и приблизился к Мертвому морю. В этот момент произошел сбой, автопилот выключился, и пилоты посадили истребитель на ручном управлении.
• После долгих разбирательств удалось выяснить, что программы автопилота при вычислении параметров управления производили деление на значение текущей высоты истребителя над уровнем океана. Соответственно, у Мертвого моря, лежащего ниже уровня океана, высота становилась нулевой, провоцируя ошибку.
• В мире найдется немало историй, когда обновление софта, совершаемое с самыми благими целями, могло повести за собой множество проблем. В 2008 году атомная электростанция в штате Джорджия (США) мощностью 1,759 МВт в экстренном режиме приостановила работу на 48 часов.
• Инженер компании, занимающейся технологическим обслуживанием станции, установил обновление на главный компьютер сети АЭС. Компьютер использовался для слежения за химическими данными и диагностики одной из основных систем электростанции. После установки обновлений компьютер штатно перезагрузился, стерев из памяти данные управляющих систем. Система безопасности станции восприняла потерю части данных как выброс радиоактивных веществ в системы охлаждения реактора. В результате автоматика подала сигнал тревоги и остановила все процессы на станции... Вот такие дела...
#Разное
Исследователи из Лаборатории Касперского сообщают об атаках китайской IronHusky на российские и монгольские правительственные учреждения с использованием обновленного RAT MysterySnail.
Новый имплант был найден исследователями в ходе расследования недавних атак, когда злоумышленники развертывали троян с помощью вредоносного скрипта MMC, замаскированного под документ Word, который загружал полезные нагрузки второго этапа и сохранялся на скомпрометированных системах.
Одной из вредоносных полезных нагрузок был неизвестный промежуточный бэкдор, который помогал передавать файлы между серверами С2 и взломанными устройствами, запускать командные оболочки, создавать новые процессы, удалять файлы и многое др.
По данным телеметрии, эти файлы оставляют следы вредоносного ПО MysterySnail RAT, импланта, который ЛК описала еще в 2021 году.
В наблюдаемых случаях заражений MysterySnail RAT был настроен на сохранение на скомпрометированных машинах в качестве службы.
Примечательно, что вскоре после того, как удалось заблокировать недавние вторжения, связанные с MysterySnail RAT, злоумышленники продолжили атаки, задействуя модернизированную и более лайтовую версию, состоящую из одного компонента, - MysteryMonoSnail.
Обновленная вредоносная ПО поддерживает десятки команд, что позволяет злоумышленникам управлять службами на скомпрометированном устройстве, выполнять команды оболочки, запускать и завершать процессы, а также управлять файлами и выполнять другие действия.
Последняя версия бэкдора похожа на оригинальный MysterySnail RAT, который ЛК впервые обнаружила в конце августа 2021 года в ходе широкомасштабных шпионских атак на ИТ-компании, военных подрядчиков и дипучреждения в России и Монголии.
В то время было замечено, что хакерская группа IronHusky развертывала вредоносное ПО на системах, взломанных с помощью 0-day эксплойтов, нацеленных на уязвимость драйвера ядра Windows Win32k (CVE-2021-40449).
При этом китайская APT была впервые обнаружена исследователями в 2017 году при расследовании кампании, нацеленной на российские и монгольские правительственные структуры с конечной целью сбора разведданных о российско-монгольских военных переговорах.
Год спустя ЛК также заметила, что хакеры эксплуатируют уязвимость повреждения памяти Microsoft Office (CVE-2017-11882) для распространения RAT, которые обычно используются китайскими хакерскими группами, включая PoisonIvy и PlugX.
Индикаторы компрометации и дополнительные технические подробности атак IronHusky с использованием MysterySnail RAT - в отчете.
Как не утонуть в терминах и ошибках при работе с ЭП?
24 апреля в 20:00 МСК разложим по полочкам всё, что важно знать об электронной подписи — от базовой терминологии до практики внедрения в компаниях.
Разберём:
— чем отличается ЭП, ЭЦП, УКЭП и простая подпись:
— как устроена система удостоверяющих центров;
— какие риски возникают при работе с ЭП — и как их избежать.
Если вы работаете с цифровыми документами, занимаетесь ИБ или внедрением электронного документооборота — этот вебинар для вас.
Открытый урок проходит в преддверие старта курса “Информационная безопасность. Basic”.
Все участники получат скидку на обучение.
Присоединяйтесь: https://otus.pw/ZQh4y/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576
📶 How SSH secures your connection.
• Весьма интересный и актуальный материал о том, какие меры безопасности реализованы в SSH для организации защищённого доступа в процессе подключения и работы:
➡️ https://noratrieb.dev/blog/posts/ssh-security/
#SSH
Исследователи Cybernews раскрывают широкомасштабную кампанию по вымогательству, нацеленную на тысячи AWS S3 с использованием украденных ключей доступа.
Исследователи обнаружили общедоступный сервер, содержащий более 158 млн. записей секретных ключей AWS.
Большинство ключей представляли собой дубли, реплицированные в различных конечных точках и конфигурациях.
После обобщения и анализа стало понятно, что в распоряжении злоумышленника имеется внушительная база данных из более чем 1229 уникальных пар ключей AWS, которые используются для доступа к серверам и шифрования данных.
Несмотря на то, что многие пары ключей уже были ротированы, активные и функциональные пары привели к зашифрованным контейнерам S3, содержащим записки с требованием выкупа (средний размер в 25 000 долларов США на одну жертву).
При этом злоумышленник использовал не программу-вымогатель для шифрования данных, а собственную функцию AWS под названием Server Side Encryption with Customer Provided Keys (SSE-C).
Впервые эту технику применил Codefinger в кампании в декабре прошлого года.
Такая схема атаки допускает «тихую компрометацию», без отправления жертвам оповещений или отчетов при возникновении нарушения, и без журналов удаления файлов.
Ранее было также замечено, что злоумышленники устанавливают политики жизненного цикла S3, предусматривающие удаление зашифрованных данных в течение 7 дней, что еще больше побуждает жертв платить выкуп.
Наблюдаемая вредоносная кампания не имеет четкой атрибуции и серьезно автоматизирована.
Однако точный метод, использованный злоумышленниками для сбора коллекции ключей AWS, остается неясным.
Злоумышленник оставляет записки с требованием выкупа в файле с именем warning.txt.
У каждого зашифрованного контейнера S3 - свое собственное предупреждение с уникальным адресом BTC.
Для обратно связи хакеры указывают awsdecrypt[@]techie.com.
Некоторую тревогу вызывает и тот факт, что в ряде случаев затронутые среды AWS продолжают работать, что говорит о том, что жертвы могут все еще не знать об инциденте.
В целом, это беспрецедентный случай скоординированной кампании по вымогательству с использованием украденных учетных данных AWS для реализации шифрования на стороне сервера (SSE-C) к данным, хранящимся в контейнерах S3, без взаимодействия с владельцем.
Все это подтверждает нарастающую тенденцию, связанную с эскалацией тактики облачного вымогательства: простота делает ее особенно опасной - злоумышленникам нужны только украденные ключи и никаких сложных эксплойтов.
Как выстроить эффективную архитектуру мониторинга безопасности с SIEM?
Хотите научиться создавать систему, которая будет отслеживать, обрабатывать и хранить события безопасности из всех источников в вашей организации? Открытый вебинар 23 апреля в 20:00 мск — ваш первый шаг к построению надежной системы мониторинга с использованием SIEM.
Мы разберем, как оптимизировать сбор и хранение логов безопасности, как использовать встроенные средства логирования для Linux, Windows и облачных инфраструктур. Вы получите практические знания, которые помогут эффективно реагировать на угрозы в реальном времени и обеспечивать безопасность ваших IT-систем.
Урок будет полезен системным администраторам, инженерам по безопасности и IT-архитекторам.
Присоединяйтесь к вебинару и получите скидку на большое обучение «Специалист по внедрению SIEM».
👉 Зарегистрируйтесь по ссылке: https://otus.pw/4gkP/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576
⚠️ ДТП с участием дата-центра.
• Большинство компаний понимают важность создания бэкапов. Но вот беда — представление о том, что должна собой представлять стратегия резервирования данных, имеет не так много компаний. В результате они теряют информацию, клиентов, а значит, и деньги.
• Среди причин утери данных — неподготовленность компаний к критическим событиям (сбои в подаче электроэнергии, физический ущерб оборудованию, взлом и кража данных, природные катаклизмы и т.д.). Если не позаботиться о резервных копиях заранее — потом будет мучительно больно!
• Если говорить о внезапных событиях, которые приводили к потерям и убыткам данных, то здесь нельзя не вспомнить случай из 2007 года. Тогда компания Rackspace столкнулась с неожиданностью. В ее дата-центр врезался внедорожник. Водитель этого автомобиля страдал диабетом и во время поездки он потерял сознание, нога нажала на педаль газа, и машина, вылетев за пределы дорожного полотна, на всей скорости врезалась в объект, в котором располагался центр энергетической инфраструктуры дата-центра компании.
• Сразу заработала вспомогательная система энергоснабжения, но возникла проблема — не запустилась основная система охлаждения. Из-за этого оборудование быстро перегрелось, так что сотрудники компании приняли решение выключить все, чтобы сервера и другое оборудование не вышли из строя.
• В итоге дата-центр простоял без дела около пяти часов, в течение которого ничего не работало. Эти пять часов обошлись компании в $3,5 млн... и это в 2007 году...
➡️ https://tempesto.ru/
#Разное
Вице-президент MITRE Йосри Барсум объявил о приостановке финансирования со стороны правительства США программ Common Vulnerabilities and Exposures (CVE) и Common Weakness Enumeration (CWE), что может негативно отразиться на всей глобальной индустрии кибербеза.
В связи с чем, MITRE прогнозирует ухудшение работы национальных баз данных и рекомендаций по уязвимостям и потенциальные проблемы в реагировании со стороны поставщиков.
Система долгое время выступала универсальным стандартом для идентификации уязвимостей и фокусом внимания инфосек-сообщества.
Она обеспечивала четкую каталогизацию публично раскрытых уязвимостей, являясь важной частью процесса раскрытия и документирования уязвимостей, а также обмена точной и последовательной информацией относительно угроз и рисков ИБ.
Программа CVE, реализуемая некоммерческой организацией MITRE совместно с федеральными научно-исследовательскими центрами, финансируется по нескольким каналам, включая правительство США, отраслевые партнерства и международные организации.
В основном объеме поддерживается MITRE при финансировании со стороны Национального отдела кибербезопасности Министерства внутренней безопасности США (DHS).
В открытом письме к членам совета CVE Барсум заявил, что прекращение контракта (крайний срок - сегодня) затрагивает не только CVE, но и связанные с ним программы, в том числе CWE, предупреждая об угрозе фактического паралича в национальных базах уязвимостей, у поставщиков защитного ПО и в службах реагирования на инциденты.
Ранее в ожидании сокращения финансирования, MITRE уже инициировала увольнение более 400 сотрудников офиса в Вирджинии.
После того, как письмо было опубликовано, многие ИБ эксперты выразили обеспокоенность, опасаясь, что сообщество лишится стандартизированного метода отслеживания новых проблем безопасности, если доступ к API CVE нумерационных органов будет прекращен.
Как отмечает Брайан Кребс у себя в блоге после того, как ему удалось связаться с MITRE, действительно база данных CVE, скорее всего, перестанет работать уже завтра.
При этом новые опасения по поводу финансирования программы CVE возникли на фоне новостей о том, что Национальный институт стандартов и технологий (NIST) не может раскидать скопившийся большой массив нерассмотренных CVE для верификации и публикации в NVD.
Представители NIST, Министерств внутренней безопасности и обороны США пока никак не комментируют ситуацию.
⭐️🚀 Пройдите вступительный тест и получите доступ к бесплатным урокам курса "Administrator Linux. Professional".
👉 Пройти тест: https://otus.pw/4VPZ/
Хотите стать экспертом в администрировании Linux? У нас для вас отличная новость!
Представьте, как вы:
- Освоите настройку и управление сетевыми сервисами на Linux.
- Научитесь автоматизировать задачи с помощью Ansible.
- Сможете эффективно управлять дисковыми подсистемами и файловыми системами.
- Настроите и будете администрировать веб-серверы (Nginx, Apache) и базы данных (MySQL, PostgreSQL).
- Повысите уровень безопасности своих серверов с помощью SELinux и брандмауэров.
- Получите навыки мониторинга и логирования с использованием Prometheus и Zabbix.
Наш курс включает в себя все необходимые знания и практические задания, чтобы вы стали настоящим профессионалом.
❗️После успешного прохождения теста вам будут доступны уроки на лендинге курса, и скидка на обучение "Administrator Linux. Professional".
👉 Пройти тест https://otus.pw/4VPZ/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru
👣 Docker Escape.
• Очень крутой и содержательный урок (вебинар) про различные методы, которые злоумышленник может использовать для побега из контейнера Docker, а ещё мы разберем необходимые шаги для успешного побега на понятных примерах. Также обсудим причины возникновения таких уязвимостей и разберём, какие меры можно принять, чтобы предотвратить побег из контейнеров по следующим сценариям:
➡SYS_ADMIN;
➡SYS_PTRACE;
➡SYS_MODULE;
➡DAC_READ_SEARCH;
➡DAC_OVERRIDE;
➡docker soсket.
➡️ https://youtu.be/biC3TO7OELY
➡️ https://github.com/aleksey0xffd/docker-escape
• К слову, у автора есть много другого полезного материала. Обязательно к просмотру:
➡Введение в безопасность Docker;
➡Ультимативный гайд по харденингу Docker.
#Docker
🔎 Форензика.
• Любая наука склонна делиться на более мелкие темы. Давайте прикинем, на какие классификации делится форензика, а в самом конце поста Вы найдете ссылки на два полезных репозитория, которые содержат в себе учебный материал для изучения каждого направления:
1⃣ Computer forensics — к ней относится все, что связано с поиском артефактов взлома на локальной машине: анализ RAM, HDD, реестра, журналов ОС и так далее;
2⃣ Network forensics — как понятно из названия, имеет отношение к расследованиям в области сетевого стека — например, дампу и парсингу сетевого трафика для выявления таких интересных вещей, как RAT, reverse shell, backdoor-туннели и тому подобное;
3⃣ Forensic data analysis — посвящена анализу файлов, структур данных и бинарных последовательностей, оставшихся после атаки или использовавшихся при вторжении.
4⃣Mobile device forensics — занимается всем, что касается особенностей извлечения данных из Android и iOS.
5⃣ Hardware forensic — экспертиза аппаратного обеспечения и технических устройств. Это направление наименее популярно и наиболее сложно. Сюда входит разбор данных на низком уровне (микроконтроллера, прошивки или BIOS), ресерч специфических особенностей работы устройства, к примеру диапазона частот работы Wi-Fi-передатчика или внутреннего устройства скиммера, устанавливаемого на банкоматы.
• Для изучения данной науки я предлагаю обратить внимание на несколько репозиториев, в которых собраны инструменты, книги, руководства и другой полезный материал:
- Adversary Emulation;
- All-In-One Tools;
- Books;
- Communities;
- Disk Image Creation Tools;
- Evidence Collection;
- Incident Management;
- Knowledge Bases;
- Linux Distributions;
- Linux Evidence Collection;
- Log Analysis Tools;
- Memory Analysis Tools;
- Memory Imaging Tools;
- OSX Evidence Collection;
- Other Lists;
- Other Tools;
- Playbooks;
- Process Dump Tools;
- Sandboxing/Reversing Tools;
- Scanner Tools;
- Timeline Tools;
- Videos;
- Windows Evidence Collection.
➡ https://github.com/mikeroyal/Digital-Forensics-Guide
➡ https://github.com/Correia-jpv/fucking-awesome-incident-response
#Форензика
Исследователи F6 обнаружили новую вредоносную версию легитимного приложения NFCGate для атак на клиентов банков.
Главное отличие: вместо перехвата NFC-данных карты жертвы злоумышленники создают на его устройстве клон собственной карты.
Предпринимая попытки зачислить на свой счёт через банкомат, вся сумма отправляется на карту дропа.
Аналитики F6 отмечают стремительное развитие вредоносного софта, способного через NFC-модули дистанционно перехватывать и передавать данные банковских карт.
Первая атака с применением NFCGate в России произошла в августе 2024 года, а уже по итогам первого квартала 2025 года общий ущерб от использования вредоносных версий этого софта составил 432 млн рублей.
Каждый день с января по март преступники совершали в среднем по 40 успешных атак.
Средняя сумма ущерба от действий злоумышленников, использующих NFCGate, составила 120 тыс. рублей.
В феврале 2025 года F6 зафиксировала появление принципиально новой сборки NFCGate, которая используется в т.н. «обратной» схеме.
Разработчики вредоносного ПО адаптировали приложение под готовый сервис для мошеннических колл-центров.
При использовании первых версий NFCGate дропы подходили к банкомату, чтобы снять деньги жертвы.
Обратная версия NFCGate пропускает этот шаг: мошенники под разными предлогами направляют жертву к банкомату, чтобы зачислить деньги себе, но на самом деле – преступникам.
Как и прежде, атака на пользователей банковских карт с использованием обратного NFCGate проводится в два этапа. Вначале преступники действуют по стандартному для схемы с NFCGate сценарию.
Используя приёмы социальной инженерии, потенциальную жертву пытаются убедить в необходимости установки вредоносного APK-файла на устройство под видом полезной программы.
Злоумышленники объясняют, что это требуется, например, для «защиты» банковского счёта или получения более выгодных условий обслуживания в виде вклада с повышенной процентной ставкой.
Кроме того, в марте 2025 года мошенники стали предлагать потенциальным жертвам внести сбережения на счёт цифрового рубля.
Изученные аналитиками компании F6 образцы ВПО маскировались под приложения финансового регулятора.
После установки приложения в качестве платёжной системы по умолчанию смартфон незаметно для владельца устанавливает контакт с устройством злоумышленников. Затем на смартфон жертвы отправляются NFC-данные банковской карты мошенников и происходит её эмуляция.
На втором этапе атаки пользователя убеждают отправиться к банкомату: якобы для того, чтобы зачислить сбережения на свой счёт. Это похоже на распространённый сценарий мошенничества с «безопасным счётом».
Разница в том, что пользователя не просят назвать код из СМС и не пытаются выведать другую чувствительную информацию, чтобы не вызвать подозрений в обмане.
Напротив, пользователю сообщают «новый» ПИН-код якобы от его же карты.
Когда жертва приложит своё устройство к NFC-датчику банкомата, произойдёт авторизация карты дропа.
Злоумышленники используют одну карту как минимум для трёх-четырёх атак.
Другие особенности новой схемы и рекомендации - в отчете.
🔥 Хотите понимать, как работает Linux на уровне ядра?
Повышение квалификации «Разработка ядра Linux» — это профессиональное погружение в архитектуру, отладку, модули, обработку прерываний и работу с памятью.
💻 Вы научитесь писать собственные модули, использовать структуры данных ядра, управлять потоками, анализировать dmesg и встраиваться в проекты на Linux-ядре.
💚 Курс ведут практикующие эксперты с реальным опытом разработки под ядро.
💚Программа обновляется под актуальные стандарты и задачи индустрии.
💚Живые лекции, поддержка наставников, итоговая работа — всё, чтобы вы освоили сложные темы системного программирования.
Оставьте заявку прямо сейчас: https://otus.pw/YoWSo/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576
Соларам удалось дотянуться до инфраструктуры проукраинской хакерской группы Shedding Zmiy, где их ожидала любопытная находка.
На одном из их C2-серверов в открытом доступе оказалась веб-панель, относящаяся к вредоносному ПО Bulldog Backdoor.
Bulldog Backdoor представляет собой кастомный кроссплатформенный имплант, написанный на языке Golang, имеет широкую функциональность, которая позволяет злоумышленникам выполнять различные задачи в инфраструктуре жертвы.
Впервые о ге стало известно как минимум в 2024 году. Данный вредонос уже фигурировал в предыдущих отчетах RT-Solar, посвященных инструментарию Shedding Zmiy (1 и 2), а Positive Technologies делали подробный разбор ранних версий этого ВПО.
Обнаруженная Соларами панель управления представляет собой веб-приложение, написанное на React.js (frontend-часть) и предоставляет операторам интерфейс для взаимодействия с уже развернутыми имплантами, а также содержит функциональность для генерации новых.
Исследователи считают данную панель ключевым элементом инфраструктуры группировки, поскольку она агрегирует собранные в ходе вредоносных кампаний данные, служит интерфейсом управления активными операциями и обеспечивает централизованный контроль над всей сетью зараженных систем.
Среди основных возможностей панели:
- генерация новых имплантов;
- управление активными сессиями, установленными во внутренней инфраструктуре жертвы;
- передача команд развернутым имплантам;
- сбор статистики - количество активных, завершенных и потерянных сессий, а также подробности по каждой из них;
- интерактивная карта инфраструктуры жертвы, обновляющаяся в реальном времени;
- система сущностей с многоуровневой абстракцией;
- автоматизированный перебор паролей, выполняемый на основе уже собранных учётных данных с зараженных хостов;
- возможность создания заметок для целей и связанных с ними хостов.
Солары загрузили весь исходный код frontend-части веб-панели (v0.1.15) и смогли провести более детальный технический анализ ее структуры и механизмов, а также понять подходы Shedding Zmiy к созданию инструмента управления вредоносным ПО.
Все подробности - в отчете.
Ежедневную синхронизацию ИТ и ИБ отделов на "вкл", шаманский ритуал — на "выкл"🔴
Дорогие инженеры, мы вас не осуждаем и полностью поддерживаем. Мало кто самостоятельно может противостоять серверному Колизею без потусторонних сил.
Уж мы то понимаем, что это такое — постоянно быть на ринге.
Но стремимся вас обрадовать👉🏼шаманские ритуалы и танцы с бубнами можно прекращать. Если вы обратитесь к нам, мы как интегратор с 20-летним стажем, сможем обновить, упорядочить и выстроить четкую инфраструктуру, которая освободит вас от рутинных операций. Более того, поможем синхронизировать работы ИТ и ИБ отделов так, чтобы каждый знал свои зоны ответственности и мог оперативно их мониторить и реагировать в случае ЧП.
Киберугрозы не ждут. А вы?
Защити себя или свою команду от проверок и взломов — обучись защите КИИ по стандартам ФСТЭК.
До 31 мая действует спецпредложение🔥 -50% на второй курс!
Выбирай один, а второй — за полцены:
1️⃣ Техническая защита информации → 29 950 ₽
2️⃣ Безопасность персональных данных → 40 000 ₽
Записал сотрудника на курс по КИИ?
→ Получи -50% на “Защиту объектов КИИ” (всего 32 000 ₽)
👨🎓 Выпускникам Softline — скидка 40% на «Безопасность КИИ»
(149 000 → 89 400 ₽)
Почему выбирают нас:
✔ Преподаватели из ФинЦЕРТа и Банка России
✔ Программы одобрены ФСТЭК
✔ Вебинары в прямом эфире
✔ Рассрочка 0%
⏳ До 31 мая — оставь заявку и зафиксируй скидку
👉 Оставить заявку
🖥 История Seagate: от дискеты до HDD.
• В 1920-1950-х годах в качестве способа хранения и передачи информации для компьютеров использовали перфокарты и перфоленты. Они пришли в компьютерную отрасль из ткацких станков. С помощью перфорации станки делали рисунок на ткани. Скорость работы с этим носителем была невысокой, много времени уходило на перфорацию выведенных в процессе расчётов данных и ввод новых перфокарт в машину для дальнейших вычислений. Изобретатели в то время работали над относительно новыми способами ввода и хранения данных – над магнитными лентами и проволокой.
• Способ магнитной записи был запатентован в 1898 году датским физиком и инженером Вальдемаром Поульсеном. В качестве носителя он использовал не ленту, а проволоку. С усилителя сигнал подавался на записывающую головку, вдоль которой с постоянной скоростью перемещалась проволока и намагничивалась соответственно сигналу. В 1927 году немецкий инженер Фриц Пфлеймер нанёс напыление порошка оксида железа на тонкую бумагу и запатентовал метод, но патент отменили из-за изобретения тридцатилетней давности. Обе эти идеи использовала компания AEG, представившая в 1935 году «Магнетофон-К1» на магнитной ленте.
• В 1950 году Национальное бюро стандартов США построило компьютер SEAC. В нём в качестве накопителей использовали металлическую проволоку в кассетах. А в 1951 году впервые использовали в компьютере магнитную ленту – в UNIVAC. Компьютер построили для нужд Военно-воздушных сил и топографической службы армии США. В качестве носителя использовали накопитель UNISERVO с лентами из никелированной бронзы шириной 13 миллиметров и длиной до 450 метров. Одна лента вмещала 1 440 000 шестибитных символов.
• Магнитная лента в бытовых компьютерах в 1970-х годах использовалась в виде кассет. Программы воспроизводили либо с помощью специальных накопителей, либо с помощью обычных домашних аудиомагнитофонов. Магнитные ленты до сих пор используются — например, на них хранят результаты работы Большого адронного коллайдера в CERN, с ними работает НАСА и некоторые крупные корпорации с огромными архивами. На них делают бэкапы, когда нужно хранить большие объёмы данных.
• Преимущество этого метода хранения состоит в цене. В IBM считают, что до 80% корпоративных данных можно записать на ленту. Но за низкую цену приходится платить низкой скоростью — доступ осуществляется последовательно, так что придётся ждать от нескольких десятков секунд до минуты для получения нужного файла.
• Проблему скорости доступа в 1960-е годы решала команда Алана Шугарта в IBM. Вместо ленты инженеры предложили гибкий магнитный диск с кожухом. В 1971 году IBM представила первую 8-дюймовую дискету на 80 килобайт и дисковод.
• После ухода из IBM Алан Шугарт продолжил работу с флоппи-дисками. В 1973 году он на деньги инвесторов основал Shugart Associates, которая вскоре представила 5 ,25-дюймовый мини-дискету в качестве замены громоздкому 8-дюймовому старшему брату. В сентябре 1976 года Shugart Associates предлагала привод за 390 долларов и десять дискет за 45 долларов. В 1977 году компанию купила Xerox, а в 1986 продала бизнес Narlinger Group.
• В 1979 году Алан Шугарт основал новую компанию — Shugart Technology. Целью предприятия было создание жёсткого диска размером с дисковод для 5,25-дюймовых флоппи-дисков, но в десять раз большей скоростью и в 15 раз большей ёмкостью. Сохранить название не удалось, так как уже существовала Shugart Associates, работавшая в той же отрасли, созданная тем же человеком, но принадлежавшая другой компании. Поэтому Shugart Technology переименовали в Seagate Technology. Спустя год после основания Seagate Technology компания представила первый в мире HDD потребительского класса, получивший неброское название ST 506 (на фото) ёмкостью 5 мегабайт... С этого момента и началась история Seagate...
#Разное
👩💻 PersistenceSniper: Powershell module that can be used by Blue Teams, Incident Responders and System Administrators to hunt persistences implanted in Windows machines.
• Интересный Powershell-модуль, который подходит для Blue Team и предназначен для поиска всех методов закрепления, которые используют хакеры на взломанной тачке. На данный момент умеет находить 56 техник, начиная от популярных методов с реестром, заканчивая злоупотреблением DLL-библиотеки AppInit:
➡ https://github.com/last-byte/PersistenceSniper
#Powershell
Устали от хаоса в CI/CD?
Собираете пайплайны из несовместимых инструментов? Kubernetes — ваше универсальное решение.
➡️ K8s способен стать ядром, которое объединит процессы и сделает ваш CI/CD предсказуемым, стабильным и управляемым.
👉 На курсе «Kubernetes Мега» от Слёрма вы освоите K8s как основу современной инженерной платформы и научитесь строить продвинутые DevOps-процессы.
Вы получите:
🔸 Перенос продукта на K8s без боли
🔸 Настройку отказоустойчивых кластеров
🔸 Мгновенный траблшутинг и уверенное устранение инцидентов
🔸 Повышение стабильности и безопасности приложений
🔸 Автоматизация: ротация сертификатов, автодеплой, безопасное хранение секретов
Старт уже 21 апреля
Осталось всего 7 мест 🏃
Программа и регистрация ➡️ по ссылке
#реклама
О рекламодателе
erid: 2W5zFJF7uUc
👩💻 Secret Docker Commands.
• Небольшое видео о полезных и продвинутых командах Docker, которые обычно не встречаются в документации. Держу пари, что Вы точно откроете для себя что-то новое и полезное.
➡02:23 - Manage Docker Resources;
➡05:11 - Remote Docker Servers;
➡07:05 - Copy Files;
➡08:03 - Troubleshoot Logs;
➡10:36 - Troubleshoot Network.
➡️ https://youtu.be/tNBwddCczK8
• Кстати, у автора этого видео есть очень крутой репо (4к🌟), который содержит огромное кол-во полезных команд: https://github.com/ChristianLempa/cheat-sheets/blob/main/tools/docker.md
#Docker #DevOps
⏺Встречайте нового главреда Cyber Media — Кирилла Каримова
Кирилл много лет писал про ИТ и кибербезопасность для ведущих федеральных СМИ, информагентств и отраслевых медиа, а до прихода в Cyber Media руководил пресс-службой ИТ-Комитета Государственной Думы.
💬 Вот что он говорит о новом этапе:
Рад присоединиться к команде Cyber Media в такой важный для отрасли период. Уверен, что тот высокий темп, который был взят проектом, будет только нарастать. Нам есть о чем рассказать, наш контент востребован у аудитории, а последняя растет год от года. Интерес к кибербезопасности давно вышел за пределы отрасли. Сегодня эту тему обсуждают не только в профессиональной среде ИБ, но и на всех уровнях общества — от граждан, которые хотят себя защитить от кибермошенников, до государства, ставящего в приоритет задачу укрепить информационную безопасности страны на фоне растущего массива кибератак.Читать полностью…
😎 Лонгрид недели!
Как работают компьютерные криминалисты — большой разговор с Антоном Величко.
🔥 Лаборатория цифровой криминалистики и исследования вредоносного кода — одно из старейших подразделений F6. Более 70 000 часов реагирований на инциденты по всему миру, свыше 3500 экспертиз и исследований — это всё про специалистов Лабы (так уважительно называют подразделение внутри компании).
🎙 Больше месяца мы ждали, когда в графике руководителя Лабы Антона Величко появится свободный час (последние два года ребята не вылезают из реагирований!), чтобы он смог рассказать об особенностях национального кибербеза.
➡️ Подписывайтесь на канал
Актуальные материалы о кибербезе, расследованиях и технологиях.
#реклама
О рекламодателе
👣 Форензика: Ваш цифровой след
• В этой статье мы поговорим о методах поиска информации в операционной системе #Windows — с целью выявления различных инцидентов. Это сведения о пользователях и входах, базовой информации системы, сетевом подключении, а также о восстановлении удаленных файлов, просмотрe открывавшихся документов, выявлении подключавшихся к компьютеру флешек и т. д. — данные, позволяющие установить факты нарушения безопасности или несанкционированного доступа. Затронем также тему этики при проведении экспертиз такого рода:
➡ Читать статью [17 min].
#Форензика
💡 Появление оптоволокна.
• Сотни лет назад моряки определяли свое местоположение в море по частоте вспышек на маяках. Каждый маяк имел свою «зарезервированную» частоту, примерно как сейчас в телевидением или радио. Даже ночью в тяжелых погодных условиях можно было точно понять, к какому конкретно порту приближается корабль.
• Важной вехой, которая приближает нас к теме статьи, стало изобретение в 1880 году Александром Беллом фотофона как альтернативы его телефону. Суть была такой: свет попадал на гибкое зеркало, которое перенаправляло луч к приемнику. Когда человек говорил, форма зеркала изменялась, периодически фокусируя или рассеивая свет. В свою очередь, в приемник были встроены селеновые ячейки — они изменяли свою проводимость в зависимости от интенсивности света. Появлялась последовательность электрических импульсов, поступающих на выводное устройство — точно как в телефоне.
• Однако такой принцип передачи был очень нестабилен: любые препятствия на пути света делали передачу невозможной. Нужно было защитить световой поток, поместив его в какую-то защитную оболочку и передавать. Но все-таки свет имеет свойство рассеиваться и преломляться — поэтому все намного сложнее, чем с потерями на кабеле при передаче электрического сигнала. В идеале нужно было получить «концентрированный» световой поток со строго определенной длиной волны, которая была бы наиболее эффективна в конкретных условиях применения. Ну и найти материал, в котором все это будет передаваться.
• Прорыв случился, когда в 1958 году появился лазер: устройство, усиливающее свет посредством вынужденного излучения. Это означало, что теперь можно было получить свет в нужном диапазоне частот и с нужной мощностью, да еще и направить его в нужную точку. Оставалось найти канал, в котором будет происходить передача.
• В 1961 году Элиас Снитцер опубликовал теоретическое описание одномодового волокна (SMF). Он предположил, что можно:
➡Направить ИК лазер через очень тонкий прозрачный канал из стекловолокна, диаметр которого сопоставим с длиной волны.
➡Поместить все в «отражающую» оболочку из более толстого стекла с меньшим показателем преломления.
• В результате свет будет испытывать полное внутреннее отражение на границе раздела двух сред с разными показателями преломления — все как в классической оптике. Потери из-за рассеивания будут меньше, а значит, сигнал можно будет передать на большее расстояние.
• Идея была хорошей, однако проблема была в составе материала, при прохождении через который волна света сильно затухала — в первых опытах речь шла о 1000 дБ/км. Если очень примитивно, то некоторые фотоны как бы «рассеивались» при взаимодействии с атомной структурой, и поток света становился слабее. Нужно было найти способ, как уменьшить количество «лишних» элементов и, как следствие, число паразитных соударений фотонов. Проще говоря, сделать материал более прозрачным, уменьшив количество примесей.
• В 1964 году Чарльз Као и Джордж Хокхэм в своих исследованиях предположили, что теоретически потери можно снизить в 50 раз — до 20 дБ/км. Они обнаружили, что идеально на роль проводника света с точки зрения прозрачности и чистоты подходит плавленый кварц, он же — кварцевое стекло. За эту работу Као и Хокхэм были удостоены Нобелевской премии по физике в 2009 году.
• В 1970 году инженер Дональд Кек нашел способ сделать кварц еще прозрачнее — легировать его титаном. Спустя еще два года исследований Кек обнаружил, что легирование кварца оксидом германия снижает затухание до невероятных 4 дБ/км. В 1973 году в Bell Laboratories был открыт процесс химического осаждения из газовой фазы — теперь можно было производить химически чистое стекловолокно в промышленных масштабах.
• Начиная с того времени, оптоволоконная связь начала распространяться по миру: например, в 1980 году с ее помощью была передана первая картинка с Зимних Олимпийских игр в Лейк-Плэсиде. Кабели начали прокладывать под водой и поняли, что про старые-добрые медные кабели для телекоммуникации можно забыть...
#Разное