24510
Copyright: @SEAdm1n Вакансии: @infosec_work Сотрудничество - @SEAdm1n Обратная связь. Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot
👩💻 Проверка безопасности Docker образов с помощью Trivy.
• Trivy — это сканер уязвимостей с открытым исходным кодом, разработанный для контейнерных сред. Он решает несколько проблем безопасности, связанных с выявлением уязвимостей в образах контейнеров и управлением ими. Вот некоторые проблемы, которые помогает решить Trivy:
➡Безопасность образов контейнеров;
➡Безопасность базового образа;
➡Обнаружение уязвимостей пакетов;
➡Всесторонняя поддержка баз данных об уязвимостях;
➡Интеграция с контейнерной оркестровкой;
➡Интеграция с конвейером CI/CD;
➡Обнаружение неправильной конфигурации;
➡Сканирование на нескольких уровнях;
➡Быстрое сканирование.
• Материал по ссылке ниже будет отличным примером, как пользоваться данным инструментом. По сути, у нас будет готовая мини инструкция по установке и использованию:
➡️ Читать статью [10 min].
#Docker #Trivy
👩💻 Обфускация PowerShell.
• В базах антивирусов содержатся миллионы сигнатур, однако трояны по-прежнему остаются в хакерском арсенале. Даже публичные и всем известные варианты полезных нагрузок Metasploit, разновидностей RAT и стиллеров могут остаться незамеченными. Как? Благодаря обфускации! Даже скрипт на PowerShell можно спрятать от любопытных глаз антивируса.
• Этот репозиторий содержит тонну полезных техник, примеров и теории на тему ручной обфускации скриптов PowerShell. Ну и что самое главное, содержимое этого репо является результатом проб и ошибок автора, который имеет огромный опыт в проведении тестов на проникновение.
➡ https://github.com/t3l3machus/PowerShell-Obfuscation-Bible
#PowerShell
• Если Вы не знали как выглядит процессор вашего смартфона, то вот его наглядная демонстрация под микроскопом, на фоне волоска толщиной 0.06 мм.
#Разное
⚠️ Первая DoS-атака.
• Мало кто знает, что первая DOS-атака была организована еще в 1974 году! Это событие произошло в Университете Иллинойса, одним из студентов, который вывел из строя c помощью простого скрипта 31 PLATO-терминал (Programmed Logic for Automated Teaching Operations — первая система электронного обучения, соединенная общей компьютерной сетью), (на фото).
• Студент распространял команду «ext», отвечавшую за подключение внешних устройств к терминалу. Если при обработке запроса они не были обнаружены, система зависала, и продолжить работу можно было только после перезагрузки. Эта шалость была вызвана простым любопытством, но стала она первым в истории зафиксированным случаем DoS-атаки.
• Разработчики PLATO исправили ошибку в том же году. Кстати, есть мнение, что атаку нельзя считать dinial-of-service в силу природы PLATO-терминалов. Также похожие «уязвимости» к тому времени уже отмечали и для других систем.
#Разное
Check Point сообщает об обнаружении масштабной вредоносной кампании, в которой используется уязвимый драйвер Windows, связанный с пакетом продуктов Adlice, для обхода обнаружения и распространения Gh0st RAT.
При этом чтобы более эффективно уклоняться от обнаружения, злоумышленники намеренно создали несколько вариантов (с разными хэшами) драйвера 2.0.2, изменив определенные части PE, при этом сохранив действительную подпись.
Наблюдаемая активность включала тысячи вредоносных образцов первого этапа, которые использовались для развертывания программы, способной завершать работу EDR с помощью так называемой BYOVD-атаки.
На платформе VirusTotal было выявлено около 2500 различных вариантов устаревшей версии 2.0.2 уязвимого драйвера RogueKiller Antirootkit, truesight.sys, хотя их число, вероятно, выше.
Модуль EDR-killer был впервые обнаружен и зарегистрирован в июне 2024 года.
Проблема с драйвером Truesight, ошибка произвольного завершения процесса, затрагивает все версии ниже 3.4.0 и ранее использовалась для разработки PoC-эксплойтов, таких как Darkside и TrueSightKiller, которые общедоступны как минимум с ноября 2023 года.
В марте 2024 года SonicWall раскрыла сведения о загрузчике под названием DBatLoader, который, как выяснилось, использовал драйвер truesight.sys для отключения решений безопасности перед загрузкой вредоносного ПО Remcos RAT.
Есть некоторые основания полагать, что эта кампания могла быть делом рук группы, известной как Silver Fox APT, поскольку в цепочке выполнения и используемых методах есть некоторое совпадение, включая вектор заражения, цепочку выполнения, сходство образцов на начальном этапе и исторические модели нацеливания.
Последовательности атак включают распространение артефактов первого этапа, которые часто маскируются под легитимные приложения и распространяются через фейковые веб-сайты и каналы в Telegram.
Образцы действуют как загрузчик, сбрасывая устаревшую версию драйвера Truesight, а также полезную нагрузку следующего этапа, которая имитирует распространенные типы файлов, такие как PNG, JPG и GIF.
Затем вредоносная ПО второго этапа переходит к извлечению другой программы, которая, в свою очередь, загружает модуль EDR-killer и Gh0st RAT.
Причем варианты устаревшего драйвера Truesight (версии 2.0.2) обычно загружаются и устанавливаются образцами начального этапа, но их также можно развернуть напрямую с помощью модуля EDR/AV killer, если драйвер еще не присутствует в системе.
Это свидетельствует о том, что несмотря на интеграцию в кампанию модуля EDR/AV killer, он способен работать независимо от более ранних этапов.
Он задействует технику BYOVD для злоупотребления уязвимым драйвером для завершения процессов, связанных с определенным ПО безопасности, обходя список уязвимых драйверов Microsoft Windows.
Атаки завершались развертыванием варианта Gh0st RAT под названием HiddenGh0st, который предназначен для удаленного управления взломанными системами, предоставляя злоумышленникам возможность осуществлять кражу данных, контроль и манипулирование системой.
По состоянию на 17 декабря 2024 года Microsoft обновила список заблокированных драйверов, включив в него рассматриваемый драйвер, что фактически заблокировало вектор эксплуатации.
Изменяя определенные части драйвера, сохраняя при этом его цифровую подпись, злоумышленники обошли распространенные методы обнаружения, включая новейшие механизмы обнаружения Microsoft Vulnerable Driver Blocklist и LOLDrivers, что позволило скрываться в течение месяцев.
При этом задействование уязвимости произвольного завершения процесса позволило модулю EDR/AV killer атаковать и отключать процессы, обычно связанные с решениями по безопасности, еще больше повышая скрытность кампании.
👩💻 Техническая история Kubernetes: секреты создателя.
• Эта история от первого ведущего архитектора проекта, Брайана Гранта, который постил в Twitter серию тредов о технической истории проекта. Он рассказал о появлении разных фичей в K8s и логике, которая стояла за принятием отдельных решений.
• В честь юбилея оркестратора Брайан собрал все твиты в одну статью. Это её перевод, из которого вы узнаете, как появились контроллеры рабочих нагрузок, декларативная модель ресурсов, descheduler и многое другое:
➡️ https://habr.com/ru/post/851176/
#Kubernetes
Северокорейские хакеры выполняют и перевыполняют планы из года в год, ставя все новые рекорды по части привлечения «инвестиций».
Если в 2022 году им удалось слямзить 1,1 млрд долл., то в 2024 году - 1,34 млрд долларов в ходе 47 кибератак (по данным статистики Chainalysis).
А на 2025 год - план перевыполнен уже в первом квартале в результате крупнейшего в истории криптоограбления на на сумму более 1,5 млрд долл.
Пострадавшая - Bybit, вторая по величине криптовалютная биржа в мире с 60 млн. пользователями и более 36 млрд. долл. ежедневного объема торгов, а после инцидента - первая в антирейтинге по грабежам (лидерство перешло от Ronin Network с украденными 625 млн. долл.).
Взлом состоялся в пятницу, 21 февраля и к настоящему времени теперь признается одним из самых сложных криптоограблений.
Злоумышленники проникли в сеть Bybit, изучили внутренние корпоративные регламенты работы, идентифицировали, а затем заразили вредоносным ПО всех сотрудников, которые обладают правом подписи транзакций и распоряжения средствами компании.
Хакеры специально нацелились на процесс пополнения активных кошельков компании, называемых горячими кошельками, где компания хранит средства, необходимые для ежедневных операций.
Как отмечают в Bybit, когда в пятницу сотрудники выполняли пополнение горячих кошельков, хакеры модифицировали пользовательский интерфейс ПО для перемещения средств с холодных кошельков, что привело к изменению логики смарт-контракта.
Причем «обновление» затронуло системы всех инженеров, которым необходимо было его подписать, в ходе так называемой транзакции с несколькими подписями.
Согласно отчету Bybit, транзакция привела к запуску вредоносного кода, который отправил средства с этого конкретного холодного кошелька на подконтрольные злоумышленникам счета.
Таким образом, более 400 000 ETH и stETH на сумму более 1,5 млрд долл. были переведены на неопознанный адрес.
Затем были распределены по 50 разным кошелькам в течение двух часов и начали выводиться через различные криптосервисы, включая такие как eXch.
Изначально не было понятно, кто осуществил атаку, но исследователи, известные как Arkham и ZachXBT, связали взлом с северокорейской Lazarus, а точнее с той же командой, которая в январе украла 70 млн. долл. у сингапурской биржи Phemex.
Что касается Bybit, у нее достаточно резервов, чтобы покрыть все убытки 1 к 1.
Компания приостановила транзакции на день для расследования инцидента и с тех пор возобновила все операции.
Также была оперативно учреждена программа вознаграждений, согласно которой компания намерена реализовать до 10% суммы украденных средств любому, кто сможет вернуть украденные токены.
Будем следить, но Белой шляпы, как в случае с Poly Network, ожидать явно не стоит.
👨💻 Art of Post-Exploitation.
• Steps;
• Perspective;
• Command and Control (C2) Techniques;
• Persistence Techniques;
• Credential Access Techniques;
• Privilege Escalation Techniques;
• Lateral Movement Techniques;
• Stories:
➡RedJuliett APT;
➡UNC3886 VMware Attacks;
➡Mustang Panda’s Korplug Loader;
➡MuddyWater RMM Abuse;
➡POLONIUM’s Python Backdoor;
➡Credential Access Techniques;
➡Exfiltration Techniques;
➡Evasion Techniques;
➡Security Researcher.
#Пентест
По всей видимости, недавно описанная исследователями Symantec «халтурка» участника китайской APT, связанная с использованием ransomware, носит вовсе не единичный характер.
В Orange и Trend Micro независимо друг от друга также обнаружили китайское вредоносное ПО, задействованное в арсенале APT, в атаках с использованием ransomware в 15 странах, что позволяет предположить преднамеренный сговор участников групп или изменение тактики.
Замеченные в инцидентах инструменты включают в себя версии PlugX и Shadowpad, сложные бэкдоры, используемые китайскими APT уже более десяти лет исключительно для кибершпионажа.
Два штамма вредоносного ПО были развернуты во взломанных сетях, прежде чем в конце был выпущен вирус-вымогатель.
Полезные нагрузки программ-вымогателей, использованные в атаках, включали RA World и новый штамм под названием NailaoLocker, который доставлялся вместе с Shadowpad, ассоциируемым с APT41.
По данным Trend Micro, в этих инцидентах злоумышленники использовали слабые пароли и обходили многофакторную аутентификацию для проникновения в сети, используя Shadowpad не только для проведения шпионажа, но и для шифрования данных с целью получения выкупа.
В двух случаях злоумышленник применил программу-вымогатель ранее не зарегистрированного семейства NailaoLocker. Это необычный ход для злоумышленников, использующих Shadowpad. Хотя сообщалось, что APT41 использовала Encryptor RaaS.
В отличие от типичных вредоносных APT-кампаний, последние замеченные инциденты сопровождались также активными переговорами о выкупе и подробными инструкциями, что подчеркивает финансовую мотивацию, нетипичную для китайских шпионских групп.
В поисках похожих TTP Trend Micro обнаружила, что за последние 7 месяцев 21 компания подверглась атаке с использованием схожего вредоносного инструментария.
Девять из них в Европе, восемь в Азии, три на Ближнем Востоке и одна в Южной Америке, большая часть жертв из производственного сектора.
Эксперты видят в этом тревожную тенденцию, ведь ранее исторически китайские хакеры не преследовали явную финансовую выгоду, ориентируясь на скрытность, устойчивость и долгосрочную эксфильтрацию данных.
Вовлечение в кампании по вымогательству APT-инструментария говорит о возможном стратегическом сдвиге - или, по крайней мере, о размытии традиционных границ между кибершпионажем и киберпреступностью, но не исключается и версия с эксцессом исполнителя.
Будем следить.
2025 год бьет рекорды по утечкам данных: за первый месяц уже пострадали 15 млн пользователей из-за взломов облачных сервисов. Не хотите стать жертвой злоумышленников — следуйте советам из карточек 👆🏻
А если решите стать настоящим специалистом по кибербезопасности, регистрируйтесь на курс Skillbox. Освоите профессию, спрос на которую растёт и в России, и в мире. Узнать больше: https://epic.st/OqupPA?erid=2Vtzqx23rzy
Исследователи из Лаборатории Касперского раскрыли масштабную вредоносную кампанию по майнингу StaryDobry, нацеленную на геймеров по всему миру и задействовала троянизированные пиратские версии таких игр, как Garry's Mod, BeamNG.drive и Dyson Sphere Program.
Причем игры имеют самые высокие рейтинги и сотни тысяч исключительно положительных отзывов в Steam, что делает их первоклассными целями для вредоносной деятельности.
По данным ЛК, кампания началась в конце декабря 2024 года и закончилась 27 января 2025 года, затронув пользователей из Германии, России, Бразилии, Беларуси и Казахстана.
Злоумышленники распространяли зараженные установщики игр через торрент-файлы в сентябре 2024 года, за несколько месяцев до этого, и активировали полезные нагрузки в период праздничных дней, что снижало вероятность обнаружения.
StaryDobry включала многоступенчатую цепочку заражения, кульминацией которой выступал криптомайнер XMRig.
Пользователи скачивали троянизированные установщики игр с торрент-сайтов, которые выглядели вполне обычно, включая при этом как обещанную игру, так и вредоносный код.
Во время установки вредоносный файл unrar.dll распаковывается и запускается в фоновом режиме.
Перед продолжением он проверял, запущен ли он на виртуальной машине, в песочнице или в отладчике.
Вредоносная ПО демонстрирует крайне скрытное поведение и оперативно завершает работу при обнаружении каких-либо средств защиты, возможно, вероятно, чтобы не портить репутации торрента.
Затем вредоносная ПО регистрируется с помощью regsvr32.exe для сохранения и собирает подробную системную информацию, включая версию ОС, страну, ЦП, ОЗУ и сведения о графическом процессоре, отправляя ее на C2 по адресу pinokino[.]fun.
В конечном итоге дроппер расшифровывает и устанавливает загрузчик вредоносного ПО MTX64.exe в системный каталог.
Загрузчик выдает себя за системный файл Windows, реализует подмену ресурсов, обеспечивая легитимность, создает запланированную задачу, которая сохраняется между перезагрузками.
Если хост-машина имеет не менее восьми ядер ЦП, она загружает и запускает XMRig.
Майнер, используемый в StaryDobry, представляет собой модифицированную версию майнера Monero, которая создает свою внутреннюю конфигурацию перед выполнением и не имеет доступа к аргументам.
Майнер постоянно поддерживает отдельный поток, отслеживая работающие на зараженной машине инструменты безопасности, и в случае обнаружения каких-либо инструментов мониторинга процессов отключается.
Задействуемый в кампании XMRig подключается к частным серверам майнинга, что затрудняет отслеживание доходов.
Исследователи Лаборатории Касперского не смогли связать атаки с каким-либо известным актором, но отмечает, что, скорее всего, за атаками стоит русскоязычный злоумышленник.
StaryDobry представляет собой одноразовую кампанию, внедряя майнерский имплант через сложную цепочку выполнения, ориентированную на любителей халявы с мощными игровыми машинами.
Тем не менее такой подход гарантировал злоумышленникам максимализацию прибыли.
Технические подробности и IoCs - отчете.
😱❗️ Ваш сервер может работать быстрее — докажем на практике!
На открытом уроке «Оптимизация производительности Nginx/Angie» вы узнаете, как выжать максимум из веб-приложения.
Чем займёмся?
— Разберём системные настройки для улучшения работы серверов.
— Научимся оптимизировать TLS, кэширование и клиентскую часть.
— Поймём, какие параметры критичны для производительности.
⭐️ Спикер Николай Лавлинский — PhD Economic Sciences, опытный разработчик, автор курсов по администрированию и оптимизации веб-приложений, ведущий каналов «Ускорение сайтов» и «Поддержка сайтов».
⏰ Встречаемся 24 февраля в 19:00 мск. Урок пройдет перед стартом курса «Administrator Linux. Professional», а все участники получат скидку на обучение.
👉 Успейте зарегистрироваться: https://otus.pw/aQd9/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru
🏓 Пинг-понг: Кто в ответе за сетевую безопасность?
Сетевая безопасность в современных компаниях часто становится предметом разногласий между отделами ИТ и ИБ.
- Кто должен тушить пожар, если началась DDoS-атака?
- Как грамотно распределить зоны ответственности, чтобы минимизировать риски?
- Как построить единую систему управления трафиком, политиками безопасности и мониторинга?
Эти и другие актуальные вопросы мы разберём на вебинаре об оптимальном взаимодействии команд ИТ и ИБ. На примере реального кейса!
Вебинар будет полезен CISO, CIO, CTO, а также ИБ- и ИТ-специалистам.
Зарегистрироваться бесплатно ✅
Реклама. ООО "СЕРВИСПАЙП". ИНН 7708257951.
🛡Готовы ли ваши данные к следующей хакерской атаке?
На открытом уроке «Комплексная кибербезопасность компании» вы узнаете, как защитить бизнес от утечек, штрафов и угроз.
Что вас ждёт:
— Многоуровневая защита: почему точечные решения больше не работают.
— Требования регуляторов и грядущие изменения.
— Как соблюдать стандарты ИБ уже сейчас и подготовиться к 2025 году.
Спикер Сергей Терешин — руководитель направления комплексной безопасности, обладатель множества сертификаций.
Встречаемся 19 февраля в 20:00 мск. Урок проходит перед стартом курса «Информационная безопасность. Professional», а участники получат скидку на обучение.
👉Не ждите, пока будет поздно! Узнайте, как обезопасить данные и избежать финансовых потерь. Регистрируйтесь: https://otus.pw/x9oY/?erid=2W5zFFxdk64
Реклама. ООО "ОТУС ОНЛАЙН-ОБРАЗОВАНИЕ". ИНН 9705100963.
👩💻 Собираем артефакты в Linux.
• Первая задача в цифровой криминалистике — это сбор информации. В данной шпаргалке описан последовательный процесс поиска и сбора артефактов на заведомо взломанной тачке с ОС Linux! Содержание следующее:
• Validate compromised:
- Interviewing client/user/administrator.
• Live response and triage script:
- Linux-CatScale;
- UAC;
- Fennec;
- Other tools in the list.
• Live response commands:
- General information;
- Logon activities;
- Review processes;
- Recover deleted process’s binary;
- Review network;
- Review activities;
- Hunting unusual files;
- Installed programs;
- File investigation;
- Persistent mechanisms;
- Unusual system resources.
• Compromised assestment scanning:
- THOR Lite.
• Hunting rootkit:
- To hunt via 3rd party software;
- Hunting and check files, processes;
- Investigate loaded kernel modules.
• Collect evidences:
- Disk imaging using dd.
• Memory acquisition:
- AVML;
- LIME.
• Investigation and analysis:
- Live response and triage script analysis;
- Memory analysis with Volatility.
• Disk analysis:
- Directories and Files Analysis;
- Log analysis;
- Privilege escalation hunting ideas;
- File recovery;
- Generate Timeline analysis.
#Форензика
⚡️Отличные новости: разыгрываем годовую подписку на журнал «Хакер».
• Целых 30 (!) призовых мест, итоги подведем 7 марта, в 18:30 по московскому времени, с помощью бота, который рандомно выберет победителей.
• Напоминаем, что участники сообщества Xakep.ru получают несколько материалов в неделю: мануалы по кодингу и взлому, гайды по новым возможностям и эксплойтам, подборки хакерского софта и обзоры веб-сервисов. Так что не упустите возможность вступить в сообщество и выиграть 1 из 30 призов.
Для участия нужно:
1. Быть подписанным на наш канал: infosec.
2. Подписаться на канал наших друзей: SecurityLab.
3. Нажать на кнопку «Участвовать».
Бот может немного подвиснуть — не переживайте! В таком случае просто нажмите еще раз кнопку «Участвовать».
ФБР США официально связало рекордный взлом Bybit на сумму в 1,5 млрд. долл. с северокорейскими хакерами, приписав инцидент конкретному кластеру, который отслеживается как TraderTraitor (Jade Sleet, Slow Pisces и UNC4899).
Как отметили в ведомстве, злоумышленники TraderTraitor действоввали быстро и успели конвертировать часть украденных активов в биткоины и другие криптоактивы, распределенные по тысячам адресов на нескольких блокчейнах.
Ожидается, что они будут отмыты и в конечном итоге конвертированы в фиатную валюту.
Ранее TraderTraitor была замечена в краже криптовалюты на сумму 308 млн. долл. у криптокомпании DMM Bitcoin в мае 2024 года.
В свою очередь, ByBit объявила войну Lazarus, запустив программу вознаграждений для возвращения украденных средств, одновременно критикуя eXch за отказ сотрудничать в расследовании и блокировке активов.
К настоящему времени заморожено только 3% ($42 млн) украденной криптовалюты. Почти $95 млн в настоящее время отмечены в состоянии ожидания.
Bybit уже выплатила более $4 млн в качестве вознаграждений тем, кто помог отследить и заморозить средства.
Кампания также поделилась выводами предварительного расследования, к проведению которого привлекли Sygnia и Verichains, которые связывают взлом с Lazarus Group.
Криминалистическое изучение хостов трех подписантов показывает, что основной базой для атаки стал вредоносный код, исходящий из инфраструктуры Safe{Wallet}.
Признаков того, что собственная инфраструктура Bybit была скомпрометирована, не получено.
Verichains отметили, что файл JavaScript app.safe.global, по-видимому, был заменен вредоносным кодом 19 февраля в 15:29:25 UTC, специально нацеленным на холодный кошелек Ethereum Multisig от Bybit.
При этом он был разработан для активации во время следующей транзакции, которая произошла 21 февраля, приводя к манипуляции содержимым во время процесса подписания.
Затем злоумышленники быстро удалили вредоносный код из JavaScript-файла Safe{Wallet}.
Представители Safe{Wallet} заявили, что атака была осуществлена путем компрометации машины разработчика, что привело к атаке на цепочку поставок ПО.
На данный момент неясно, каким образом была взломана система разработчика, но ее смарт-контракты не затронуты, как и исходный код интерфейса и сервисов.
Вскрылась другая интересная деталь: анализ Silent Push показал, что Lazarus Group зарегистрировала домен bybit-assessment[.]com в 22:21:57 20 февраля 2025 года, за несколько часов до кражи криптовалюты.
Записи WHOIS показывают, что домен был зарегистрирован с использованием адреса trevorgreer9312@gmail[.]com, который ранее был связан с Lazarus Group в связи с другой кампанией под названием Contagious Interview.
Будем продолжать следить.
Исследователи Solar сообщают о новой вредоносной кампании китайской APT Erudite Mogwai, которая с 2017 года нацелена на Россию.
В ноябре 2024 года Соларам в ходе анализа атак на российские ИТ-организации из числа господрядчиков удалось задетектить утилиту, которая обладала функциональностью прокси-инструмента.
При расследовании инцидента, следы атаки привели к непокрытому мониторингом сегменту сети заказчика, в котором были обнаружены образцы Stowaway и ShadowPad Light.
Атака на незащищенный сегмент сети началась не позднее марта 2023 года с публично доступных веб-сервисов, а в ноябре 2024 года атакующие попытались развить ее и захватить новые сегменты сети, но были к тому времени уже обнаружены.
В процессе анализа стало понятно, что замеченный Stowaway - кастомизированная версия общедоступного многоуровневого прокси-инструмента от китайских разработчиков, написанного на Go и предназначенного для пентестеров.
Интересной особенностью упомянутых семплов является то, что по сравнению с оригинальной утилитой, часть функциональности из них удалена, а оставшаяся - модифицирована.
Злоумышленники адаптировали Stowaway для своих целей, фактически создав свой собственный форк утилиты.
Утилита Stowaway используется в качестве средства проксирования трафика.
В целях обфускации с каждой итерацией изменяется структура протокола, добавляются новые возможности.
Последняя известная на данный момент версия использует LZ4 в качестве алгоритма сжатия, шифрование с помощью XXTEA.
Также злоумышленниками добавлена поддержка протокола QUIC.
В сочетании с другими инструментами, включая ShadowPad Light aka Deed RAT, эта утилита задействуется APT, которую Солары называют Erudite Mogwai, а Позитивы - Space Pirates.
Как отмечают исследователи, наименование Erudite Mogway - неслучайно.
В их модификациях утилиты Stowaway можно встретить отсылки к известным литературным произведениям, а также историческим событиям.
Ранее семейство этого вредоносного ПО упоминалось в отчете ПТ, где приводились хэши пяти известных образцов Stowaway.
С тех пор Соларам удалось выявить еще четыре новых экземпляра.
Характерные черты группировки и подробный технический анализ линейки всех версий Stowaway - в отчете.
🐧 Вы уже работаете с Linux, но хотите оперативно устранять сбои и решать нестандартные задачи при настройке серверов?
💪 Все продвинутые навыки — от баш-скриптов и умения гибко рулить авторизацией до применения подхода Infrastructure as code — ждут вас на онлайн-курсе «Administrator Linux. Professional» от OTUS.
Пройдите тестирование, чтобы:
- оценить свои навыки;
- занять место на курсе по специальной цене;
- получить доступ к бесплатным урокам курса (доступны сайте курса).
👉 Полное тестирование: https://otus.pw/dId6m/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru
Шшшшшш
А вы знали, что суммы первоначального выкупа за расшифровку данных в 2024 году для малого бизнеса составляли от 100 000 до 5 млн ₽, а для крупных и средних компаний запросы преступников начинались от 5 млн рублей?
Страшшшно?
Не бойтесь! Рекомендации, как изучить и обезвредить киберврагов уже собраны в первом аналитический отчете F6 «Киберугрозы в России и СНГ. Аналитика и прогнозы 2024/25»
Специалисты F6 собрали полный источник стратегических и тактических данных о киберугрозах, актуальных для России и СНГ.
Среди основных выводов, можно выделить, что:
– продолжится рост хакерских групп;
– увеличится число DDoS-атак;
– среди главных киберугроз для российских компаний останутся программы-вымогатели;
– преступники не перестанут охотиться за данными;
– будет расти число фишинговых атак с использованием шпионских программ по модели Malware-as-a-Service, атак на цепочки поставок и поставщиков.
Все подробности уже ждут вас в отчете!
#реклама
О рекламодателе
⚡️Готовы стать востребованным ИБ-специалистом и освоить инструменты для создания архитектуры кибербезопасности компании?
Освойте актуальные подходы и инструменты, чтобы управлять рисками, защищать бизнес от кибератак и быть на шаг впереди злоумышленников.
Пройдите повышение квалификации «Информационная безопасность. Professional» и получите знания, которые откроют двери в крупнейшие компании.
👉Начните свой путь 27 февраля! Успейте оставить заявку и получить скидку: https://otus.pw/o7I3/?erid=2W5zFHprqfE
Реклама. ООО "ОТУС ОНЛАЙН-ОБРАЗОВАНИЕ". ИНН 9705100963.
👩💻 Как создавалось ядро Linux.
• В далёком 2013 году один из разработчиков Microsoft детально объяснил, в чём главные технические проблемы при разработке ядра Windows NT. Спустя десять лет Windows 10/11 работает на том же ядре, а многие старые проблемы так и остались нерешёнными.
• Хотя в ряде задач Windows превосходит Linux, но в большинстве тестов она на порядок медленнее. По словам разработчика, это отставание усугубляется, а причина «социальная». Суть в том, как организован процесс разработки, внесения изменений в ОС. Если в мире опенсорса это открытый процесс, который несёт пользу и улучшает систему, то в мире корпоративного ПО зачастую изменения вносятся по причинам эгоизма, желания продвижения по карьерной лестнице, славы и т.д. Всё это ведёт к деградации продукта.
• Один из студенческих товарищей Линуса Торвальдса вспоминает ранние дни Linux, как всё начиналось. С исторической точки зрения в воспоминаниях Ларса Вирцениуса много интересных фактов. Они дают понять, под влиянием каких концепций создавалось ядро Linux. Сообщество Open Source — это абсолютно другой мир, который кардинально отличается от корпоративной разработки.
• Ларс познакомился с Линусом Торвальдсом на первом курсе в университете Хельсинки, тогда же они получили доступ к серверу Unix и случайно обнаружили на нём Usenet, когда по ошибке ввели команду rn вместо rm (подробнее вот тут). После службы в армии в 1990 году ребята взяли курс обучения по C и программированию Unix, что включало в себя изучение архитектуры ядра Unix. Ларс и Линус также заинтересовались и изучили устройства ядра других ОС, таких как QNX и Plan 9.
• В январе 1991 года Линус купил свой первый ПК и сутками зависал в Prince of Persia, а позже приобрёл ОС MINIX, потому что с университета привык к Unix и хотел установить на домашнем компьютере похожую систему.
• Когда Линус наконец прошёл игру, он начал изучать ассемблер и в качестве эксперимента реализовал программу с многозадачностью. Затем начал понемногу писать ядро, добавляя функцию за функцией. Например, однажды он случайно запустил HDD вместо модема, так что в загрузочный сектор записалась инструкция ATDT с номером университетской BBS — после этого Линус прописал в ядре права доступа к файлам. Так и шёл процесс. Постепенно появлялась и другая функциональность. Во время рождественских каникул 1991 года после сессии Линус реализовал виртуальную память, и т. д.
• Ядро Linux было написано студентами под сильным влиянием Unix. В августе 1991 года Линус впервые упомянул о своём проекте в эхоконференции comp.os.minix. Первоначально система называлась Freax. В 1992 году вышел первый дистрибутив Softlanding Linux System (SLS), а также под Linux была портирована система X11, что сильно повлияло на популярность Linux.
• Когда Линус программировал на рабочем ПК, его раздражала медлительность машины — и он потратил целый день, чтобы переписать на ассемблере парсер командной строки в ядре (потом его переписали обратно на С). А потом Линус несколько дней играл в Quake, выдавая это за стресс-тест управления памятью ядра.
• Так или иначе, но разработчики Linux изначально ориентировались на производительность, они писали на С и ассемблере, и в общем это была цельная, мощная концепция. Наверное, в этом одно из отличий с ядром Windows NT, над которым работают тысячи программистов в корпорации Microsoft, не имея единого видения.
• Весной 1994 года работа над ядром Linux была в основном закончена, так что Ларс организовал торжественную презентацию Linux 1.0 с приглашением прессы:
➡ https://youtu.be/qaDpjlFpbfo
• На презентации 30 марта 1994 года Линус Торвальдс пошутил, что коммерческая лицензия на Unix стоит так дорого, что проще написать собственную операционную систему.
#Linux
☝ Факты о Linux: помощь в развитии Linux от крупнейших IT-компаний.
• Многие считают, что Linux - это нечто, созданное и поддерживаемое энтузиастами-одиночками на чистом энтузиазме. Но на самом деле ведущие ИТ-компании не только используют Linux в своей работе, но и активно участвуют в его разработке. Команды разработчиков IBM, Intel, Samsung, Google, Facebook, Amazon, Microsoft занимаются улучшением Linux и открытых компонентов его экосистемы.
• Давайте возьмем, к примеру, IBM. Компания использует Linux на своих мейнфреймах, суперкомпьютерах и облачных платформах. IBM также разрабатывает собственный дистрибутив для корпоративных клиентов – Red Hat Enterprise Linux (RHEL), который приобрела вместе с компанией Red Hat за $34 миллиарда в 2019 году.
• Что касается Intel, то они регулярно добавляют в Linux поддержку новых функций своих процессоров, оптимизируют производительность и безопасность. Многие подсистемы ядра, связанные с энергосбережением, виртуализацией, обработкой графики, были разработаны именно специалистами Intel.
• ОС Android (Google) построена на базе модифицированного ядра Linux. Команда Google вносит огромный вклад в основную ветку разработки Linux. Такие функции ядра, как cgroups (механизм изоляции и ограничения ресурсов), поддержка модели векторных вычислений SIMD, используемой в машинном обучении, и многое другое было разработано инженерами Google.
• Даже Microsoft, которая долгое время считалась главным конкурентом и критиком Linux, в последние годы кардинально изменила свое отношение. Сейчас Microsoft активно использует Linux в своем облаке Azure, разрабатывает собственный дистрибутив CBL-Mariner и вносит изменения в ядро для лучшей совместимости Linux с Windows.
• Этот список можно продолжать долго. Практически все крупные ИТ-компании так или иначе вовлечены в разработку Linux и открытого ПО. Они понимают, что сотрудничество и обмен наработками выгодны всем, ведь чем лучше и стабильнее будет Linux - тем больше пользы получит вся отрасль.
• Конечно, у каждой компании свои интересы и своё видение развития Linux. Иногда эти интересы сталкиваются, и возникают конфликты. Но в целом, благодаря усилиям корпоративных разработчиков, Linux становится всё более зрелой, функциональной и удобной системой, способной решать самые сложные задачи современного цифрового мира.
#Разное
👩💻 Бесплатный курс: Linux CLI.
• Linux CLI, или умение пользоваться терминалом - жизненно необходимый навык для каждого IT-специалиста (даже если вы работаете на Windows и используете только графическую оболочку). На данном курсе Вы изучите материал, который полностью покроет ваши нужды как пользователя/разработчика/QA.
• Курс именно для начинающих (для тех, кто ранее не работал с терминалом и не знает что это такое). Тут не рассматривается сам Linux, а потому, если вы хотите изучить нечто большее чем исключительно базовое использование командного интерфейса - данный курс не подойдёт.
• На курсе вы получите теорию в виде текста/изображений/примеров, а отработать её на практике вы сможете у себя локально на компьютере и ответить на вопросы по теме прямо в модулях курса.
➡️ https://stepik.org/course/124646
#Курс #Linux
👨💻 Пентест Active Directory.
• С момента создания службы каталогов Active Directory (AD) прошло уже 25 лет. За это время служба обросла функционалом, протоколами и различными клиентами.
• Материал, который Вы найдете по ссылкам ниже, станет хорошей отправной точкой для изучения особенностей и слабых мест AD. Содержание следующее:
- Trees and Forests / Components;
- Enumerating AD with Bloodhound;
- Authentication, Authorization, Access Control and more;
- Enumeration;
- LLMNR Poisoning;
- Lateral movement & privilege escalation;
- Domain persistence and cross forest attacks.
• Вот ещё очень хороший цикл статей "Active Directory in Red Teaming" — включает в себя описание различных инструментов, основ и нюансов при проведении тестирования на проникновение в AD:
- Introduction;
- Offensive PowerShell;
- Local Privilege Escalation;
- Lateral Movement;
- Domain Persistence;
- Domain Privilege Escalation;
- Forest Trust Abuse.
• Дополнительно:
- DetectionLab — проект, который позволит тебе развернуть виртуальную лабораторию на базе Windows, для использования в исследовательских целях.
- Vulnerable-AD — заведомо уязвимая Active Directory. Окажется полезной для практических занятий и тестов.
- Cheat Sheet AD — эта шпаргалка описывает определенные методы, которые используются для атак Windows Active Directory.
#Пентест #AD
🖥 Первые операционные системы.
• Первым компьютером для бизнеса, то есть для обработки коммерческих данных, стал LEO I (фото 1) – и этот факт запечатлён в Книге рекордов Гиннесса. J. Lyons & Co. была крупнейшей компанией в отрасли общественного питания Великобритании с ресторанами и кафе по всей стране, а также интересами в производстве продуктов питания! Изначально компьютер LEO I использовали для расчёта цен – он считал стоимость ингредиентов для производства хлеба и пирожных. Затем систему начали использовать для расчёта зарплаты сотрудников и учёта товаров. В 1951 году в компании разработали операционную систему Lyons Electronic Office.
• «Матерью операционных систем» автор журнала Wired называет операционную систему Tape Director от Массачусетского технологического университета. Суть идеи – в создании постоянного набора инструкций о том, как должен работать компьютер. Набор инструкций по программированию содержался на бумажной ленте. Whirlwind (фото 2) стал первым цифровым компьютером, который был способен в реальном времени отображать текст и графику на видеотерминале – экране осциллографа. Для обработки данных компьютер использовал 4500 ламп.
• Одной из первых операционных систем также называют GM-НАА. Её создали Роберт Патрик с General Motors и Оуэн Мок с North American Aviation. В названии зашифрованы названия корпораций: General Motors & North American Aviation Input/Output system. Суть заключалась в том, что в лаборатории General Motors Research пользователю выделялось 15 минут на работу с мэйнфреймом IBM 701 (фото 3); из них 10 минут уходило на подготовку, ещё 5 минут – на исполнение программы. При этом час аренды ЭВМ стоил 300 баксов. Поэтому сотрудники лаборатории задумали создать постоянно исполняемую программу, способную автоматически запускать следующую программу, которая уже загружена в оперативную память ЭВМ.
• В 1956 году программу реализовали для мэйнфрейма IBM 704. Также в 1950-х были Atlas Supervisor для распределения ресурсов компьютера Манчестерского университета, BESYS от лаборатории Белла для IBM 704, IBM 7090 и IBM 7094, операционная система для IBM 704, 709 и 7090, разработанная в Мичиганском университете.
#Разное
☝ Факты о Linux. Часть 2.
• Знаете ли вы, что Linux побывал на Марсе? Операционная система Linux была использована в марсоходе Perseverance от NASA, который успешно приземлился на Красную планету в феврале 2021 года. Этот марсоход, оснащенный по последнему слову техники, включает в себя вычислительный модуль на базе процессора PowerPC 750 с тактовой частотой 200 МГц под управлением ОС Linux. Специально адаптированная версия дистрибутива Linux обеспечивает работу всех бортовых систем марсохода, включая управление, навигацию, сбор и анализ научных данных.
• Выбор Linux для столь ответственной миссии не случаен. Открытость исходного кода, возможность модификации и проверки системы, а также высокая стабильность и надежность Linux стали решающими факторами.
• Помимо космических далей, Linux успешно применяется и в земных высокоскоростных транспортных системах. Знаменитые японские поезда-пули (на фото) используют Linux для управления системой автоматического контроля и безопасности движения.
• Центральная система управления движением поездов построена на базе кластера серверов под управлением Linux. Эта система в реальном времени отслеживает местоположение всех поездов, контролирует скорость, расписание и интервалы движения, а также управляет стрелочными переводами. От надежности и быстродействия этой системы зависят жизни тысяч пассажиров: поезда-пули движутся со скоростью до 320 км/ч и перевозят более 150 миллионов человек в год.
• Интересно, что компания-оператор японских железных дорог JR Group не только использует Linux в своих системах управления, но и активно участвует в разработке самого ядра Linux. Специалисты JR Group регулярно отправляют патчи и улучшения в основную ветку ядра, тем самым внося свой вклад в развитие Linux в целом.
• В общем и целом, Linux прекрасно подходит для применения в критически важных системах реального времени, где требуется высочайший уровень надежности и быстродействия. Вот такие вот факты...
#Разное #Linux
👩💻 Bash Prompt Generator.
• Очень крутой ресурс, где можно сконфигурировать строку для ввода команд в bash. Выбираете параметры, расставляете их в нужной последовательности и копируете готовую конфигурацию.
➡️ https://bash-prompt-generator.org/
#bash
🖥 Компьютерная пресса 90-х годов.
• В самом начале девяностых компьютерщикам было доступно не так уж много развлечений: поиграть в игры, написать для души какую-нибудь программку, почитать на досуге электронные журналы... Стоит отметить, что в 90-х годах такие журналы распространялись на кассетах и дискетах, а воспроизвести их можно было на компьютере ZX Spectrum, который подключался к телевизору.
• На сайтах с архивами софта и старых игр можно отыскать рубрику «газеты и журналы», где заботливо собраны электронные издания для ZX Spectrum, которые когда-то можно было купить, либо позаимствовать у приятеля на кассете или пятидюймовой дискете, как самую обыкновенную игрушку. Такие журналы представляли собой графическую оболочку с системой меню (на фото), открывавших доступ к включённым в номер статьям. Издания содержали анимированные заставки с музыкальным сопровождением, а зачастую — и набор программ с подробными описаниями. Их читатель мог запустить и протестировать, что называется, не отходя от кассы.
• Исторически первым массовым изданием для ZX Spectrum стала бумажная газета «ZX-Ревю», появившаяся на свет ещё в СССР в самом начале 1991 года. Газета, со временем трансформировавшаяся в журнал, печатала материалы по программированию, обзоры игр и софта, а также тексты, присланные читателями. Примерно в 1997 году «ZX-Ревю» перестала выходить в печатном виде и стала полностью электронным изданием. А еще в период с 1996 по 1997 годах был электронный журнал «Хакер» (не путать с текущим журналом ][акер) — под этим названием в Нижнем Тагиле выпускалось своеобразное электронное издание, автором и редактором которого был один человек под ником Alex.
• Со временем "журналы на кассетах" ушли в прошлое. IBM-совместимые персоналки вытеснили «Спектрумы», интернет стал доступнее, появились «домашние странички», ставшие универсальным средством самовыражения для миллионов пользователей сети. Нишу «электронных СМИ» заняли сначала тематические почтовые рассылки, а позже — интернет-порталы, созданием контента для которых занимались уже не любители, а целые команды профессионалов...
#Разное
В Burp Suite нативно внедрили AI
На деле просто добавили методы для работы с языковой моделью Portswigger через Montoya API, чтобы можно было интегрировать LLM в собственные расширения.
Минусов больше, чем плюсов:
— доступно только в платной версии Burp
— все завязано на походы в API Portswigger
— нельзя подключать локальные модели
— каждый вызов нужно оплачить кредитами
Месяц назад я писал о первом бесплатном AI-расширении burpference, которое успели релизнуть гораздо раньше и бесплатно для всех.