Записки Безопасника

☑️ 151 тысяча сайтов Drupal осталась без патча. Критическая дыра грозит захватом серверов Обычное дополнение к Drupal способно превратить ошибку ядра в путь к удаленному запуску кода без входа в систему. Команда проекта 14 октября закрыла критическую уязвимость в Field UI, которая становится опасной в сочетании с дополнительными модулями или собственным кодом сайта. Для одного из известных путей атаки учетная запись не требуется. Проблема получила идентификатор CVE-2026-108097 и оценку 9,8 балла по CVSS 3.1. По собственной шкале Drupal риск составляет 19 из 25 и относится к критическому уровню. Команда Drupal подтвердила, что уязвимость находится в штатном модуле Field UI, через который администраторы управляют полями контента и их отображением на страницах. 🖥 Читать материал ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

⚡️ В сети начали массово сливать IT-курсы и книги известных онлайн школ Вот отсортированная база с тонной материала (постепенно пополняется): (363 видео, 87 книги) — Python (117 видео, 53 книги) — ВАЙБКОД (174 видео, 91 книги) — DevOps (415 видео, 68 книги) — Frontend (137 видео, 93 книги) — DS/ML (143 видео, 33 книги) — ИБ/Хакинг (352 видео, 89 книги) — С/С++/C (343 видео, 87 книги) — Java/QA (176 видео, 32 книги) — Git/Linux (167 видео, 53 книги) — PHP/1С (227 видео, 83 книги) — SQL/БД (114 видео, 77 книги) — Сисадмин (107 видео, 43 книги) — BA/SA (181 видео, 32 книги) — Go/Rust (167 видео, 43 книги) — Kotlin/Swift (112 видео, 24 книги) — Flutter (113 видео, 82 книги) — GameDev (183 видео, 37 книги) — Дизайн (136 видео, 33 книги) — PM/HR Скачивать ничего не нужно — все выложили в Telegram

🖥 sysmon-modular: собираем конфигурацию Sysmon из XML-модулей Sysmon Modular — репозиторий конфигураций для Microsoft Sysinternals Sysmon. Небольшие XML-модули позволяют выбирать и поддерживать нужную организации телеметрию, а инструмент sysmon-modular собирает из них конфигурации. — Анализатор отмечает совпадающие условия включения и исключения, рискованные исключения по имени исполняемого файла и затраты конфигурации.

Перед широким развертыванием нужен пилот на типичных машинах: измерьте объем событий, потребление ресурсов и пользу для расследований. Инструменты лишь помогают проверять конфигурацию.

🖥 Читать материал ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Критическая уязвимость в GitLab позволяет неавторизованному пользователю выполнить код на сервере Разработчики GitLab выпустили экстренные патчи для критической уязвимости CVE-2026-97229, которая позволяла без аутентификации выполнять произвольный код на стороне сервера. Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE) и получила максимальную оценку по шкале CVSS — 10 баллов из 10 возможных. Уязвимость связана с целочисленным переполнением в компиляторе регулярных выражений CI/CD (Regular Expression Compiler), компоненте, который отвечает за обработку регулярных выражений в конфигурациях CI/CD-пайплайнов. 🖥 Читать материал ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🔴В 2025 году Россияне заработали 5,3 млрд рублей на арбитраже криптовалют По данным Минфин 32% граждан покинули своё место работы поскольку уже в первый месяц смогли заработать 250 000 рублей, а через 2-3 месяца с легкостью вышли на семизначные числа. Самое смешное, что лишь 8% россиян что-то слышали об этой профессии хотя все инструкции бесплатно лежат на канале Арбитраж Криптовалют Там объясняют, как имея телефон и доступ в интернет заработать свои первые $3000. Причём разжёвывают так доступно, что поймёт даже ребенок. Кстати, на канале сегодня вышла новая рабочая связка! Ссылка для входа — https://t.me/+GvL3K2mT-cxmY2Iy

☑️ Windows IR: системный подход. Часть 3 — задачи, автозапуск, учетные записи, журналы Это третья часть материала, посвященного Windows IR. Вторая часть была посвящена изоляции хоста и разбору процессов и служб. В этой части — проверяем еще две частые точки закрепления, задачи планировщика и автозапуск через реестр, смотрим на локальные учетные записи и группы, и наконец садимся за журналы событий, чтобы связать разрозненные находки в единую хронологию. Здесь же выводы из демонстрационной лабы складываются в цельную картину атаки. Задача в планировщике отличается от службы тем, что срабатывает по триггеру: по времени, при входе пользователя, при загрузке, по событию в журнале. 🖥 Читать материал ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 Velociraptor: сбор артефактов с компьютеров через VQL Velociraptor — инструмент для сбора информации о состоянии компьютеров с помощью запросов на языке Velociraptor Query Language (VQL). VQL-артефакты описывают сбор разных типов данных с конечных устройств. Встроенные артефакты покрывают типовые задачи, а дополнительные сообщество поддерживает в каталоге Artifact Exchange.

Инструмент подходит и для локального первичного обследования: через графический интерфейс можно создать автономный локальный сборщик.

🖥 Читать материал ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Хакеры разморозили холодильные установки в супермаркетах Франции Кибератака на французские супермаркеты обернулась вполне материальным ущербом: злоумышленники нарушили работу холодильных установок, и магазинам пришлось списывать свежие и замороженные продукты. Инцидент затронул сотни торговых точек. Как сообщает AFP , пострадали 150-200 магазинов Intermarché и почти 100 точек Coopérative U. Сети подтвердили атаку; парижская прокуратура начала расследование. Также сообщается о возгораниях, связанных с инцидентом. По сообщениям французских СМИ, атакующие добрались до систем управления холодильным оборудованием Danfoss и включили принудительную непрерывную разморозку. 🖥 Читать материал ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ NetScaler требует срочного патча. Даже свежие сборки попали под новую CVE Администраторам NetScaler снова приходится обновлять устройства спустя считаные дни после предыдущей волны исправлений. Citrix сообщила о критической CVE-2026-107406 с оценкой 9,5 по CVSS 4.0, которая затрагивает NetScaler ADC и NetScaler Gateway в определенных SAML-конфигурациях и способна привести к удаленному выполнению кода либо отказу в обслуживании. Проблема относится к классу CWE-119 и связана с выходом операций за допустимые границы буфера памяти. Для атаки не нужны учетная запись и действия пользователя, однако в векторе CVSS указана высокая сложность эксплуатации. Уязвимость становится доступной, когда NetScaler работает как поставщик удостоверений SAML IdP или, для более старых сборок, как поставщик услуг SAML SP. 🖥 Читать материал ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Злоумышленники получили фейковые TLS-сертификаты для Google и других сервисов В Google сообщили о серии атак на национальные доменные зоны .gh, .sl и .as. Атаки позволили злоумышленникам подменять DNS-записи отдельных доменов в этих зонах и получать для них несанкционированные TLS-сертификаты, в том числе для нескольких доменов Google и ряда других крупных сервисов. По информации исследователей, атаки затронули национальные доменные зоны .gh, .sl и .as. В результате компрометации злоумышленники могли менять DNS-записи отдельных доменов в этих зонах и указывать для них другие авторитетные DNS-серверы. В итоге хакеры успешно проходили автоматические проверки удостоверяющих центров, которые должны подтверждать, что сертификат запрашивает тот, кто действительно управляет доменом. 🖥 Читать материал ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

📝 ИИ-пентестер для своих приложений Strix – открытый инструмент от команды usestrix, в котором ИИ-агенты проверяют ваше приложение на уязвимости так же, как это делал бы живой пентестер. — Агенты сами работают через прокси-перехватчик, браузер и терминал, подтверждают каждую находку рабочим PoC вместо списка догадок, а в CI/CD могут блокировать слияние кода, если нашли дыру.

Главная задача – найти и закрыть уязвимость раньше атакующего, а запускать инструмент можно только против своих систем или с письменного разрешения владельца.

🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

20 октября в 12:00 (мск) пройдёт бесплатный вебинар «Мониторинг событий безопасности в MWS Cloud Platform». Разработчики сервиса: ✅ Расскажут про возможности сервиса аудитных логов в облаке MWS Cloud Platform Покажут в прямом эфире, как экспортировать их в SIEM-системы ✅ Вебинар будет полезен CISO, ИБ-специалистам, DevOps-инженерам и SOC-специалистам. Регистрируйтесь, подключайтесь к прямому эфиру и задавайте вопросы в чате. 🗓 20 октября в 12:00

💰 Одна ссылка и чужой Telegram на компьютере В Telegram Desktop до версии 7.2.8 нашли цепочку уязвимостей CVE-2026-107181, из-за которой один клик по ссылке позволял украсть файлы с компьютера и полностью захватить аккаунт.

Самое опасное – кража папки tdata с файлами сессии: если на клиенте не стоит локальный код-пароль, злоумышленник просто входит в ваш аккаунт без пароля и SMS.

— Исправление вышло еще 17 сентября в версии 7.2.9, но в списке изменений о нем ни слова, так что обновите Telegram на компьютере и включите локальный код-пароль в настройках. ↘️ Anti-Malware ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

❗️ Как закрыть SSH-сервер SSH – это дверь, через которую админ удалённо заходит на сервер, и именно в неё боты каждый день ломятся, перебирая пароли. — Главное правило: заходить только по ключу, а не по паролю, для этого в sshd_config ставим PasswordAuthentication no и AuthenticationMethods publickey. Затем запрещаем прямой вход под root через PermitRootLogin no, включаем LogLevel VERBOSE, чтобы в логах было видно, с каким ключом заходили, и проверяем, что PAM не пускает по паролю в обход этой настройки. ↘️ Mozilla ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

✔️ Как атакующий расползается по сети после первого шелла Lateral movement – это не отдельная атака, а этап, после захвата первого хоста атакующий ищет, куда перебраться дальше, наращивая привилегии и приближаясь к целевым системам, и медианное время от первого проникновения до начала движения по сети составляет 62 минуты.

В 79% случаев lateral movement проходит без малвари, только штатные протоколы Windows: SMB, WMI, WinRM, RDP и учётки. Именно поэтому EDR и классические сигнатурные правила это пропускают: они видят легитимные инструменты с валидными credentials.

— В данной статье мы разберем конкретные цепочки атак с MITRE ATT&CK маппингом, ограничениями каждой техники и Sigma-правилами для детекта: flat network без сегментации и ограничения NTLM даёт атакующему Domain Admin за минуты. ↘️ Codeby ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

ТОП 3 канала для тех, кто увлекается хакингом и кибербезопасностью Этичный Хакер — крупнейший в СНГ канал по информационной безопасности. OSINT, анонимность, пентест, социальная инженерия. Лаборатория Хакера — авторский канал от специалиста по ИБ. Новости даркнета, сетевая разведка, обзоры инструментов с github, полезные подборки. Mr.Robot — OSINT, анонимность, OWASP, Linux, даркнет.

🤒 Получает токены Entra ID и обходит Conditional Access TokenSmith – офенсив-тулза от Jumpsec Labs для получения и злоупотребления токенами Microsoft Entra ID в ходе ред-тим и пентест-проектов корпоративных Microsoft 365-сред.

Основная фишка – обход политик Conditional Access, которые требуют зарегистрированного или compliant устройства.

— Инструмент имитирует легитимный Device Enrollment Service и получает токены от имени атакующего, которые дальше работают в GraphRunner, ROADrecon и других облачных тулзах. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🦠 RedWing вырос из одного трояна в целое семейство для атак на СНГ Android-семейство RedWing оказалось не одним вредоносом, а набором инструментов: RAT-версия даёт удалённый контроль над телефоном через Accessibility, а стилер-версия молча собирает СМС, контакты, файлы, данные банков, крипто-сервисов и коды подтверждения и всё по модели MaaS через Telegram.

Доступ к Accessibility – общий для обеих версий знаменатель: через него вредонос читает интерфейс любого приложения и нажимает кнопки от имени владельца, поэтому двухфакторка, привязанная к СМС или push, не защищает.

— Распространяется под видом приложения RadarTrevog для предупреждений о воздушной опасности, а украденные контакты используются для повторных атак от имени знакомых. ↘️ SecurityLab ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Конспекты с готовыми командами под любую уязвимость и сервис Exploit Notes – личные публичные заметки пентестера hideckies, оформленные как удобный сайт с поиском: по каждому сервису, уязвимости или технике — сразу готовые команды без долгого чтения.

Структура под задачу, а не под алфавит: ищешь «SMB enumeration» и получаешь конкретные команды под конкретный сценарий, а не страницу теории с одной строчкой кода в конце.

— Покрывает разведку, веб-уязвимости, Active Directory, CTF-техники, форензику и реверс, есть офлайн-версия через mkdocs и регулярные обновления. ↘️ Exploit ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Криптография на эллиптических кривых | Математика, которая защищает ваш TLS Elliptic Curve Cryptography – основа современных протоколов безопасности: TLS 1.3, SSH, Signal и Bitcoin используют именно её, потому что ключ в 256 бит даёт ту же стойкость, что RSA с ключом в 3072 бита, при втрое меньшем размере.

Понимание ECC изнутри это не академия, а практика: кто знает, как работает скалярное умножение на кривой, тот понимает, почему одна и та же пара ключей не должна использоваться с разными нонсами, именно так взломали PlayStation 3 и слили приватный ключ Sony.

— Книга Розинга разбирает математику кривых от групповых операций до реализации алгоритмов ECDH и ECDSA, объясняет, почему конкретные кривые выбраны, а не другие, и какие ошибки реализации превращают стойкий алгоритм в дырявый протокол. ↘️ Max ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe