Codeby

🚩 Новые задания на платформе HackerLab! 🕵️ Категория Форензика — Выдано. Не найдено Приятного хакинга!

❓Пятничный опрос ИИ-ассистенты всё чаще работают с внешними источниками: веб-страницами, документами, письмами и результатами поиска. Однако не вся информация, которую обрабатывает модель, заслуживает доверия.

🎇Новинка в Codeby Academy — курс по пентесту Kubernetes-инфраструктуры Ошибки конфигурации и уязвимости Kubernetes могут открыть путь к компрометации всего кластера. Научитесь находить слабые места и выстраивать цепочки атак, а также понимать, как их обнаружить и закрыть. «Анализ защищённости и тестирование безопасности Kubernetes-инфраструктуры» — 3 месяца практического обучения тестированию на проникновение в Kubernetes-кластеры. В программе: ▶️разведка и получение доступа к кластеру ▶️повышение привилегий и выход из контейнера ▶️захват cluster-admin, закрепление и компрометация etcd ▶️разбор актуальных CVE контейнерной безопасности Каждую атаку рассматриваем не только с позиции эксплуатации, но и с точки зрения обнаружения и предотвращения. Навыки отрабатываются на учебных стендах, а финальная проверка знаний — самостоятельный пентест Kubernetes-кластера. 🎁 Бонусы первого потока: 👌скидка 10% на обучение 👌кураторы первого потока — авторы курса, практикующие специалисты Павел Никитин (BlackRabbit) и Михаил Порываев (HackerRalf) ⏳Старт — 29 марта · 3 месяца · 128 часов По итогам обучения — сертификат или удостоверение о повышении квалификации ➡️ Посмотреть программу и записаться Получить консультацию @CodebyAcademyBot

🔎ФБР взломало роутеры граждан, чтобы их спасти. Где граница? В январе 2024 года ФБР получило судебный ордер, подключилось к сотням заражённых домашних роутеров Cisco и Netgear и через C2-протокол ботнета отправило малвари команду удалить саму себя. Цель — APT-группа Volt Typhoon, которая маскировала разведывательный трафик к объектам критической инфраструктуры США через чужие устройства. Технически ФБР использовало тот же exploit chain, что и атакующие: тот же протокол, те же команды, та же точка входа. Разница — печать суда и контролируемый scope. По сути, государство провело RCE-атаку на устройства собственных граждан, только с благими намерениями. ➡️Как ботнеты зарабатывают Ботнет — не цель, а инструмент монетизации. Несколько каналов работают параллельно: • DDoS-for-hire — основной доход. В рамках Operation PowerOff правоохранители 21 страны изъяли 53 домена booter-сервисов и нашли более 3 миллионов аккаунтов заказчиков. • Проксирование APT-операций — трафик через домашние роутеры выглядит как легитимный резидентный IP, а не как инфраструктура спецслужб. • Спам — ботнет Rustock генерировал до десятков миллиардов писем в сутки с миллиона машин. RCE-уязвимость — входная точка для всего этого. Сканер обходит IP-диапазоны, находит уязвимый сервис, отправляет payload, получает shell, ставит бот-агент. Pipeline от скана до регистрации на C2 занимает секунды. 🎯Кейс Hoaxcalls: две CVE с оценкой 9.8 Ботнет Hoaxcalls использовал две уязвимости для распространения, обе — CVSS 9.8 CRITICAL: 1. CVE-2020-8515 — OS Command Injection в маршрутизаторах DrayTek Vigor. Shell-метасимволы в URI cgi-bin/mainfunction.cgi дают root без логина и пароля. Эксплуатация в дикой природе зафиксирована за три дня до публикации PoC. Кто-то уже знал и использовал. 2. CVE-2020-5722 — SQL Injection в IP-АТС Grandstream UCM6200, которая превращается в полноценный RCE. Классика, но от этого не менее разрушительная. Общий знаменатель: обе уязвимости автоматизируемы по CISA SSVC. Бот-агент эксплуатирует тысячи устройств без участия человека. Ко второй итерации Hoaxcalls нарастил 16 DDoS-векторов и распространялся с 75 серверов одновременно. И вот главный вопрос: если та же RCE-уязвимость даёт root на заражённом устройстве — допустимо ли через неё отправить cleanup-команду? ФБР решило, что да, при наличии ордера. Но где проходит граница между защитой и вторжением, когда exploit один и тот же? Разбор техники, юридических рамок и этических дилемм — в полной версии статьи. https://codeby.net/threads/rce-uyazvimost-botnet-takedown-etika-i-tekhnika.96775/

Взлом машины через admin:admin Исследователи по кибербезопасности смогли проникнуть в системы двух автопроизводителей, воспользовавшись стандартным паролем «admin:admin». С его помощью им удалось разблокировать автомобили и запускать их. Два специалиста в сфере информационной безопасности установили, что механизмы авторизации в мобильных приложениях двух автомобильных брендов уязвимы: это даёт возможность получить доступ к учётной записи любого пользователя. Если речь идёт о владельце подключённого авто, злоумышленник способен открыть двери машины и запустить мотор. 🧠В основе авторизации в этих приложениях лежала платформа ForgeRock (сейчас входит в состав Ping Identity). Исследователи сумели войти в административную консоль серверов этой платформы — там по‑прежнему оставался установлен пароль по умолчанию. 🎯В феврале 2026 года специалисты провели полноценную проверку атаки — но только на собственных машинах и на автомобилях тех владельцев, которые дали согласие на эксперимент; тестирование проходило в США. Уязвимости устранили примерно через два часа после того, как исследователи уведомили производителей о проблеме. ☁️Хотя доступ к административной консоли был закрыт для публичного доступа в интернете, возникла проблема из‑за разного толкования веб‑адреса двумя компонентами инфраструктуры: защитным сервером сайта и Java‑приложением за ним. Исследователи использовали специальные кодированные символы и дополнительные слэши — так они обманули систему: для одного сервера запрос выглядел как обращение к обычному статическому файлу, а для другого — как путь к административной консоли. Пароль по умолчанию довершил процесс получения доступа. 🕵‍♂️Последствия атаки почти не оставляли следов для владельца аккаунта. Даже если пользователь менял электронную почту и пароль, он по‑прежнему оставался авторизованным в приложении. Кроме того, злоумышленники могли перенаправлять уведомления об активности в учётной записи на свой телефон — так владелец не видел никаких тревожных оповещений. Эксперимент наглядно показал, что возможен удалённый доступ к автомобилям марок Honda, Kia, Subaru и некоторых других. А вы везде изменили пароль по умолчанию❓ #admin #car #control 🔗Все наши каналы 🔁Все наши чаты 🪧Для связи с менеджером

Один забытый SUID-бинарник — и атакующий уже root Реальный кейс: production-нода на Ubuntu 22.04, восемь месяцев в проде. Дефолтный sshd_config, сервисная учётка с паролем, забытый бинарник с битом SUID в /usr/local/bin/. Итог — исходящее соединение с C2-сервером и cron-задача от root. Не zero-day. Не supply chain. Обычная лень с конфигами. По MITRE ATT&CK типичный путь атакующего на незахардженном Linux-сервере выглядит так: 1. SSH с паролем (T1021.004) — автоматические сканеры находят порт 22 за минуты, брутят сервисные учётки 2. SUID/SGID-бинарники (T1222.002) — privilege escalation без эксплойтов ядра 3. Sudo-кеш (T1548.003) — один скомпрометированный пользователь с sudo = полный root 4. Writable cron (T1053.003) — персистентность, которая переживает перезагрузку Вот минимум, который закрывает большинство этих векторов 👇 ➡️SSH. В /etc/ssh/sshd_config выставляем: PermitRootLogin no, PasswordAuthentication no, PubkeyAuthentication yes, MaxAuthTries 3, AllowGroups admins. Туннели тоже режем: X11Forwarding no, AllowTcpForwarding no. Криптографию ограничиваем до curve25519 и chacha20-poly1305, старые RSA/DSA ключи хоста — удаляем и генерируем Ed25519. Сверху — fail2ban с maxretry = 3 и bantime = 1h. 🔑Сервисные учётки. Прямо сейчас выполните на своём сервере: awk -F: '$7 ~ /bash|sh|zsh/ {print $1}' /etc/passwd. Скорее всего увидите десяток аккаунтов, которым интерактивный shell вообще не нужен. Каждый такой аккаунт — потенциальная точка входа по технике T1078.003. Блокируем: usermod -L -s /sbin/nologin для всех, кому не нужен shell. Root тоже блокируем: passwd -l root. ➡️Sudo. Самый недооценённый вектор. Атакующий получает shell пользователя с sudo, ждёт ввода пароля и катается на кешированном токене. Контрмера — Defaults timestamp_timeout=0 в sudoers. Да, каждая команда потребует пароль. Да, неудобно. Зато атакующий не проедет на чужом кеше. Плюс логирование: Defaults logfile="/var/log/sudo.log" — чтобы SOC видел каждый вызов. 🎇Аудит. Отключённый auditd (T1562.012) — это подарок атакующему: он становится невидимым для вашего SOC. А читаемый /etc/shadow (T1003.008) — это хеши для офлайн-брутфорса. Проверьте права: должно быть 640 root:shadow. Всё перечисленное — не rocket science. Это базовый чек-лист, который по данным Verizon DBIR закрывает значительную часть причин реальных утечек. А в контексте 152-ФЗ некорректная конфигурация сервера с персональными данными — это уже оборотные штрафы. Полный чек-лист с маппингом на MITRE ATT&CK, готовыми командами и разбором каждого вектора — в развёрнутой статье на форуме. https://codeby.net/threads/hardening-linux-servera-chek-list-dlya-blue-team.96746/

🎁11.11— сегодня все курсы Codeby Academy со скидкой 11% Весь день при оплате любого курса действует скидка 11➗ На курсах вас ждут практические задания, актуальные инструменты и поддержка кураторов. Если пока не определились с программой, менеджер поможет подобрать курс под ваши цели. Чтобы получить скидку, напишите менеджеру и назовите промокод:

Codeby11

Успейте активировать промокод сегодня до 23:59 по московскому времени. ➡️Использовать промокод: @CodebyAcademyBot

❗️ИИ помог Linux! 🔎CVE-2026-98432: как ИИ нашёл уязвимость в ядре Linux и почему дистрибутивы спорят об опасности 🧾В конце октября 2026 года в центре внимания безопасности оказалась уязвимость в TCP-стеке ядра Linux — CVE-2026-98432. 🧠Её особенность в том, что баг обнаружила и превратила в рабочий эксплойт ИИ-модель Claude из Anthropic. Проблема затрагивает множество дистрибутивов — Ubuntu, Red Hat Enterprise Linux (RHEL), Debian, Oracle Linux и другие. Ядро Linux оценило её в 9,8 балла по CVSS, 🔁Во время «рукопожатия» (SYN → SYN-ACK → ACK) ядро создаёт временный сокет для полуоткрытого соединения. Если в SYN-пакете клиента есть IPv4-опции (например, Record Route или Timestamp), ядро сохраняет их во временной структуре (ireq_opt). Когда приходит финальный ACK и ядро превращает временный сокет в полноценный, оно передаёт блоку с опциями ссылку, а не копию. Теперь два объекта указывают на одну область памяти.  Проблема возникает, если в этот момент другой процессор пытается обработать повторную передачу SYN и читает опции в функции ip_options_build(), а первый процессор уже освободил эту память (через kfree()). Возникает use-after-free — обращение к уже освобождённой памяти.  🧿Баг присутствует в ядре с версии 4.4 (релиз 2016 года). Разработчики Linux применили исправление 5 октября, за десять дней до публикации CVE. Патч заставил ядро ждать, пока все процессоры завершат чтение опций, прежде чем освобождать память (используется kfree_rcu()).  💻А как вы считаете, ИИ будет помогать находить уязвимости или больше акцент на черную сторону? #linux #kernel #ai 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

⭐ Что ждет полуфиналистов Студенческого чемпионата «Кибербезопасность в финансах»Молодежной программы 365? Лучшие команды киберчемпионата отправятся в Екатеринбург и примут участие в очном этапе. Он пройдет в рамках Уральского форума «Кибербезопасность в финансах» – крупнейшего отраслевого мероприятия Банка России. В Екатеринбурге участников ждут: *️⃣ Полуфинал на киберполигоне — защита виртуальной цифровой инфраструктуры от реальных угроз. *️⃣ Финал и презентация итогов киберучений перед жюри — руководством Банка России, топ-менеджерами финансовых и технологических компаний. *️⃣ Лекции и мастер-классы. *️⃣ Доступ к трехдневной деловой программе Уральского форума. *️⃣ Экскурсии, нетворкинг и культурная программа. 📸 Предлагаем погрузиться в атмосферу мероприятия — делимся яркими кадрами с прошлого года. ⚡ Регистрация на киберчемпионат еще открыта! Собирай команду, решай CTF-задачи, проходи командное онлайн-интервью и получи возможность побороться за призовой фонд: 1 500 000 ₽. Узнать подробности и пройти регистрацию можно по ссылке.

11.11 в Codeby: скидка 11% на все курсы Академии Спешим сообщить: уже завтра при оплате любого курса Codeby Academy будет действовать скидка 11%. Практические курсы по пентесту, SOC, реверс-инжинирингу, OSINT, Kubernetes и другим направлениям информационной безопасности. На курсах вас ждут: 👌Онлайн-формат, гибкий график и поддержка кураторов. 👌Обучение с использованием актуальных инструментов на реальных кейсах. 👌Диплом, сертификат или удостоверение о повышении квалификации — в зависимости от программы круса 🎁Скидка действует только 11 ноября с 00:00 до 23:59 по московскому времени. Чтобы активировать её, назовите менеджеру промокод:

Codeby11

🪧Использовать промокод: @CodebyAcademyBot

❗️Новости недели (02 ноября – 08 ноября) Росстат под атакой, Beget лежит, Sega без сети, а рынок теряет триллионы - разберем события недели! 1️⃣Росстат атаковали, но данные отрицают С 29 октября по 1 ноября инфраструктура Росстата пережила серию атак. Сайт ведомства какое-то время выглядел иначе (на нём появилась символика хакерских группировок). ▶️ответственность взяли на себя «Киберпартизаны BY» и Silent Crow ▶️они заявили о 25 тысячах скомпрометированных компьютеров и 23 ТБ похищенной информации ▶️в Росстате сам факт атак признали, но утечку опровергли

Независимого подтверждения заявленных объёмов пока нет

2️⃣Beget подтвердил атаку, из-за которой легли тысячи сайтов Хостинг-провайдер Beget официально признал, что сбой 2 ноября стал результатом кибератаки. Без доступа остались тысячи сайтов, виртуальные серверы, почта и DNS. ▶️пострадали каршеринг BelkaCar и информационный сайт «Честного знака» ▶️по предварительным данным, атакующие могли добраться до систем управления сетевым оборудованием и поменять конфигурацию ▶️компания восстанавливает инфраструктуру и уверяет, что резервные копии значительной части ресурсов уцелели

Наглядный пример, когда один провайдер держит тысячи клиентов и сбой у него превращается в проблему для всех сразу

3️⃣Sega отключила сеть после взлома серверов Японская Sega Fave обнаружила несанкционированный доступ к серверам, которые обеспечивают работу аркадных автоматов. В ответ компания отключила сервисы ALL.Net и Aime ▶️без онлайн-функций, авторизации и сохранения прогресса остались игроки в maimai Deluxe, CHUNITHM и Initial D The Arcade ▶️задело и оборудование Bandai Namco ▶️следов утечки персональных и платёжных данных пока не нашли

Аркадные автоматы давно перестали быть автономными, так как за ними стоят те же серверы, что и за любым онлайн-сервисом

4️⃣GhostMap выводит Android из строя одним APK Исследователи Bitdefender нашли уязвимость GhostMap. Чтобы сломать смартфон, достаточно установить специально подготовленный APK. ▶️запускать приложение и давать ему разрешения не нужно ▶️системный процесс падает и устройство уходит в бесконечную перезагрузку ▶️проблему воспроизвели на Pixel 10 с Android 17 и на более ранних версиях ОС ▶️патча на момент публикации нет, а восстановление иногда требует сброса до заводских настроек

Опасность в том, что жертва ничего не успевает заподозрить, так как установка и телефон уже в цикле перезагрузок

5️⃣Технологический рынок потерял почти $3 трлн за сутки 5 ноября американский фондовый рынок пережил распродажу технологических акций. Капитализация компаний из S&P 500 сократилась примерно на $3 трлн. ▶️сильнее всего просели производители полупроводников и оборудования для ИИ ▶️nvidia потеряла 9,3%, AMD — 17,3%, Philadelphia Semiconductor Index — 12,2% ▶️причинами являются сомнения в окупаемости вложений в ИИ и опасения, что строительство дата-центров замедлится

Рынок в очередной раз задался вопросом: сколько ещё он готов ждать, пока инвестиции в ИИ начнут возвращаться?

Источник: https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-2-6-noyabrya-2026-goda.html #кибербезопасность #ИБ #кибератаки #Росстат #Beget #Sega #Android #Nvidia #news 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Релиз прошёл. Через неделю в API находят SQLi. AppSec переносит безопасность туда, где уязвимость ещё можно исправить в процессе разработки. AppSec-инженер в Codeby Academy — 7 месяцев практики на реальных приложениях и инструментах, которые используют в продакшене. Внутри курса: ⏺️ разбор уязвимостей OWASP на реальных приложениях ⏺️ SAST/DAST инструменты, которые используют в боевых командах ⏺️ Threat Modeling и Secure SDLC на живых кейсах За 7 месяцев пройдёте 13 модулей — от поиска уязвимостей в коде до внедрения AppSec в процесс разработки▶️300 ак.ч.▶️1–2 живых вебинара в месяц с автором Старт курса — 23 ноября Посмотреть программу и записаться

Хакеры прячут Linux Backdoor в Веб-панели управления сервером, чтобы запускать команды без логирования

Backdoor был найден прятаным на веб-сервере который держал CWP (Control Web Panel) - бесплатная панель для управления Linux хостами сервера

- сказали исследователи из QiAnXin's XLab. Веб серверы которые имели backdoor запускали команды которые атакующие отправляли через веб-запросы, и эти запросы никогда не попадали в его логи доступа. Установка требует доступа root, так что атакующие должны уже контролировать сервер. Исследователи, которые назвали backdoor - cwpdoor, схватили его установщик, shell-скрипт позиционировал себя как обновлённая версия от 29 Июня. Установщик занимался только 2 версиями этого веб сервера, cwpsrv 1.15.10 и 1.24.0. Исследователи ещё не знали что атакующим ещё нужно получить root-доступ. XLab провели 3 проверки: Socket: run ss -axp | grep integrity - Результат именовался ngx_http_integrity_helper, Unix сокет использует backdoor, с подписью инфекции. Proccess: run ps aux | grep cwpsrv - и посмотрели неизвестные процессы помощники запущенные от cwpsrv. File: run strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity - и смотрят на имена backdoor'ов Исследователи опбуликовали эти идентификаторы:

MD5: e505d4ffa21cf494a5dc2d7c8f4f1236 (installer script, cwpsrv_update.sh)
MD5: 965aea67fb40de1bab5169ada993349f (backdoored cwpsrv 1.15.10)
MD5: d3f4e95113d49ab3991b45e457bda75b (backdoored cwpsrv 1.24.0)
IP: 136.0.141[.]71 (download server)
URL: https://136.0.141[.]71/static/cwpsrv_update.sh
URL: https://136.0.141[.]71/static/cwpsrv_1.15.10
URL: https://136.0.141[.]71/static/cwpsrv_1.24.0

📌Очистка инфицированного сервера: 1️⃣Восстановление оригинального cwpsrv из бэкапа установщика созданого в /usr/local/cwpsrv/bin, с имени начинающимся с cwpsrv.prev - и заканчивает на дату и время. 2️⃣Обновление до последней версии, затем подвердите, что команда ss -axp | grep integrity возвращает ничего. 3️⃣Измените все пароли и логины от панели, потому что bakcdoor может запускасть любые команды. Источник: https://thehackernews.com/2026/11/hackers-hide-linux-backdoor-in-control.html #news #cwp #rce #linux #backdoor 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔥 ИИ уже в SOC: кого он заменит первым — L1 или всех сразу? Один участник форума спросил прямо: что ИИ забирает на себя в SOC, как быстро идёт переход и какие навыки нужны, чтобы не остаться за бортом? Ответов пока ноль, и нам нужны вы. Работаете в SOC? Расскажите, что у вас делает ИИ, а что по-прежнему приходится делать руками. Только входите в профессию? Напишите, чему стоит учиться уже сейчас. Ваш опыт может оказаться для кого-то решающим. Заходите и отвечайте: https://codeby.net/threads/soc-l.96734/

🚩 Новые задания на платформе HackerLab! 🌍 Категория Веб — Слепой оттиск Приятного хакинга!

❓ Пятничный опрос В кластере Kubernetes защита RBAC не даёт выдать другим больше прав, чем есть у вас самих. Но у этого правила есть исключение. Сможете угадать, какое?

⚡️ Регистрация на Студенческий чемпионат «Кибербезопасность в финансах» Молодежной программы 365 продолжается! К участию в соревновании приглашаются команды из 4–5 человек: ➖ все участники команды должны быть студентами вузов в возрасте от 18 до 25 лет; ➖ минимум 2 человека должны учиться по направлениям информационной безопасности и (или) информационных технологий. Рассказываем, как собрать и зарегистрировать команду ➡️ ⚪️ Есть команда — каждый участник команды проходит индивидуальную регистрацию, капитан создает на платформе команду и задает пароль, по которому вступают остальные участники ⚪️ Команды пока нет — после регистрации участник заполняет карточку в профиле и подает заявку в команду или ждет приглашения от капитана ⚪️ В команде не хватает людей — капитан создает команду, публикует объявление в разделе «Поиск команды» и принимает заявки от индивидуальных участников ➡️ Узнать подробности о киберчемпионате и подать заявку можно на сайте.

VulnRisk 💻 VulnRisk — это открытая платформа для оценки рисков уязвимостей. Её главная идея - учитывать контекст: критичность актива, вероятность эксплуатации и другие факторы. 🔎 VulnRisk помогает процессу vulnerability management: CVSS сам по себе не показывает, насколько уязвимость опасна для конкретной организации. Платформа добавляет контекстную оценку риска и прозрачную методику расчёта, где видно, почему находка получила тот или иной приоритет. Преимущества: 🔔 Контекстный риск-скоринг 🧿 Прозрачность оценок 🧾 Открытый исходный код 🔁 Готовая веб-платформа 📈 Отчётность и аналитика Быстрый старт:

git clone https://github.com/GurkhaShieldForce/vulnrisk_public.git vulnrisk
cd vulnrisk
./setup.sh

После запуска доступны: - Веб-интерфейс: http://localhost:3000 - Backend API: http://localhost:8000 - Интерактивная документация API: http://localhost:8000/docs - PostgreSQL: localhost:5432 Как правильно использовать VulnRisk с процессом VM: 1️⃣ Инвентаризируйте активы и задайте их критичность для бизнеса. 2️⃣ Подключите или импортируйте результаты сканеров. 3️⃣ Настройте правила контекстной оценки и SLA на устранение. 4️⃣ Проверьте отчёты, роли пользователей, журналирование и резервное копирование БД. 5️⃣ Только после пилота решайте, можно ли использовать платформу в рабочем контуре ❗️ Публичная версия распространяется по MIT и предназначена для open-source, личного и исследовательского использования. Для корпоративного, SaaS или иного коммерческого применения требуется отдельная коммерческая лицензия ❓ А как вы используете процессы vulnerability management? #vulnrisk #vm #scan 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером