Mobile AppSec World

SANS выпустила отчет AI Cybersecurity Careers 2026: The Market Reality     Это один из первых материалов, описывающих трансформацию рынка труда в кибербезопасности из-за ИИ. Для каждой роли указаны: названия аналоги, кто недавно разместил вакансии, описание роли и почему она появилась, медианные значения и вилки годовых зарплат. Источник для анализа - реальные опубликованные вакансии. Некоторые сомнения в объективности исследования зарождают Описанные карьерные треки привязанные к курсам и сертификациям SANS. 4 роли сформировались: 1. AI/ML Security Engineer 2. AI Red Team Engineer 3. AI Governance and Security Lead 4. AI Security Architect. 5 ролей ещё формируются: 6. AI Threat  Intelligence  Analyst 7. AI SOC Orchestrator 8. AI Incident Response  Orchestrator 9. Agentic AI Security engineer 1 роль в начальной стадии появления – AI supply chain security engineer. Вне ИИ выделяется отдельно роль специалиста по миграции на постквантовую криптографию. Отдельно отмечается резко выросшая нехватка навыков.

Больше папок по ИБ! Агенты уже замечательно умеют сортировать файлы, раскладывать музыку по жанрам и исполнителям, структурировать всякое на домашних компьютерах. Но пока что в телегу такой AI-функционал не завезли, зато есть механизм папок - которым я очень активно пользуюсь и вам советую. Но так как самому составлять не всегда удается - периодически подписываюсь на уже собранные папки. И хоть я в последнее время не очень активничаю в канале, но читаю других ребят регулярно и не устаю поражаться, как они находят силы и время, чтобы регулярно и качественно писать крутые вещи! Как раз одна из таких подборок доступна по ссылке - https://t.me/addlist/CAYQNePynGIzMWFi Присоединяйтесь, выбирайте, надеюсь каждый найдет что-то полезное для себя! И сейчас еще пост интересный перешлю как раз с одного из каналов)

Observing Android’s Binder Trust Boundary with eBPF Построение runtime-наблюдателя за Binder IPC в Android с помощью eBPF. Автор рассматривает Binder не просто как IPC-механизм, а как security trust boundary, потому что именно на этом уровне Android понимает, кто вызывает какой сервис, а дальше на этой идентичности строятся getCallingUid(), SELinux Binder rules и решения самих system services.

🔥 ИНТЕНСИВ ПО БЕЗОПАСНОСТИ: ПРОВЕРКА НА ПРОЧНОСТЬ Друзья, 14 октября в Москве стартует практический форум для тех, кто занимается анализом защищенности. 💡 Почему «мы проверились» — это не равно «мы поняли риски»? 💡 Как не купить красивый отчет вместо реального уровня защиты? 💡 Где грань между пентестом, Red Team и Purple Team? 🎟 Участие для CISO, руководителей департаментов безопасности и технических специалистов из отраслевых компаний-заказчиков — БЕСПЛАТНО. В программе — 3 потока: 🔹 Стратегия для CISO и руководителей (методы, приоритеты, выбор инструментов, отчеты, анализ результатов и метрики) 🔹 Практика для технических специалистов (VM, управление экспозициями и площадью атаки, пентесты, red team, purple team, антифишинг, ИИ в оценке защищенности) 🔹 Спецпрактики (промышленный периметр, VM, DETECTION & RESPONSE, зрелая оценка защищенности, этичный хакинг, аудиты конфиг, процессов и подрядчиков) 🎤 Вас ждут пленарные дискуссии, круглые столы CISO, мастер-классы от пентестеров и, конечно, живое общение с вендорами. 📅 Когда: 14 октября 2026 г. 📍 Где: Москва, Холидей Инн Сокольники ⏳ Успейте зарегистрироваться! ➡️ Подробная программа и регистрация на сайте.

Новое мероприятие от авторов «Территория безопасности» Всем привет! По какой-то причине мне очень нравится форум Территория Безопасности. Когда-то, когда он проходил самый первый раз, мы стояли там со стендом Стинга. Было достаточно много людей, выступление, интерактив, где мы в реальном времени анализировали приложение, много крутых людей, с кем удалось познакомиться, а еще я тогда первый раз на стенд выложил телефоны для привлечения внимания (печатал ночью перед конфой подставку). В общем, очень приятные воспоминания) И главное - вход для посетителей на мероприятие был бесплатным. И ребята попросили рассказать про вторую свою конференцию, что я с радостью и делаю, надеюсь там тоже будет интересно!

Ну а мы всегда готовы помочь, хоть с анализом и устранением уязвимостей, хоть с защитой приложения ;) (с) не является публичной офертой :D

Хакеры, взломавшие TEZ TOUR и Додо-Пицца, используют интересную тактику – они публикуют полноценные разборы своих действий и недостатков защиты своих жертв, по шагам рассказывая, как им удалось проникнуть внутрь. В случае с Додо 🦤 началось все с анализа мобильного приложения, в котором хранилась внутренняя кухня ИТ-инфраструктуры, которая и послужила отправной точки для нападающих. Запомните этот факт. 2 октября Financial Services Commission Южной Кореи созвала экстренное совещание с финансовым надзором, Financial Security Institute, шестью банками и тремя карточными компаниями после серии проникновений в финансовые организации (Shinhan Bank, KB Kookmin, Hana Bank, BNK Busan Bank, Woori и NongHyup) с последующей утечкой данных. Прям массовый взлом... При этом особенно интересна точка атаки. Это в основном были не основные интернет- или мобильные банковские системы. У Shinhan пострадал web-сервис, которым пользовались кредитные посредники; у KB – мобильная система поддержки сотрудников; у Hana – система поддержки продаж; у Busan – страницы/сервисы внутренней мобильной инфраструктуры поддержки. То есть банковское ядро было хорошо защищен, а вот вокруг него существует множество "вспомогательных" web-приложений, которые видят чувствительные данные, их уровень защиты при этом ниже, и атакующие обходят наиболее укрепленный периметр вообще. Регулятор потребовал от финансовых организаций немедленно: ➡️ провести инвентаризицию всех внешне доступных ИТ-активов и сервисов независимо от того, являются ли они клиентскими ➡️ проверить меры защиты по аутентификации и контролю доступа ➡️ найти пути доступа к внутренней информации без полноценной аутентификации ➡️ минимизировать избыточно публикуемые данные.   Из забавного, та же Shinhan шесть лет подряд получала максимальный уровень S / 100 баллов в оценке защиты персональных данных, проводимой регулятором (некий аналог нашего ГОСТа 57580.1). У банка также были внедрены ISMS, ISMS-P, ISO 27001 и собственная система контроля подрядчиков. И именно через сервис для кредитных брокеров произошла утечка примерно 25 тысяч записей. То есть 100 баллов за систему управления ИБ (5-й уровень соответствия по-нашему) – это не тоже самое, что 100% защиты реальной поверхности атаки 😂 Интересно, что в случае с Додо-Пиццей, хакеры тоже писали о достаточно неплохой системе защиты инфраструктуры своей жертвы, но все-таки проникли туда. Если вернуться еще раз к точкам проникновения во всех кейсах, то началось все с внешних, не основных ресурсов компаний, неимеющих достаточно защиты. Поэтому стоит обратить внимание на этот момент и задуматься, а есть ли у меня EASM (как продукт или как сервис), которые позволяют выстроить систему регулярной оценки внешнего периметра организации и незамеченных активов, которые могут стать точкой проникновения. И второй важный момент – мобильные приложения тоже требуют защиты, так как могут содержать не только захардкоженные ключи, пароли, токены, но и информацию о внутренней инфраструктуре, которая облегчает хакерам проникновение. Лучше защищать и мобильные приложения от анализа тоже 🤔 #инцидент

Мобильное приложение, как точка входа На нескольких конференциях, во многих статьях и при любом удобном случае я говорил о том, что исследование мобильного приложения может стать ооочень хорошей отправной точкой для нападающих, потому что внутри порой сожно найти очень вкусную информацию. И как приятно осознавать, что это все еще актуально. Хотя и жаль ребят, кому пришлось с этим столкнуться. Помните, что далеко не всегда один недостаток приводит к проблемам, но вот несколько уязвимостей уже могут сложиться в цепочку.. Помните и проверяйте свои мобилки обязательно :)

Я редко скидываю сюда статьи из чужих блогов, потому что таких "новостных рупоров" и без меня уже больше чем надо. Но эта статья определенно заслуживает вашего внимания. Мне она прямо "зашла" наверное еще и потому, что я буквально недавно нашел очень похожую цепочку уязвимостей на другом устройстве. Впрочем об этом я расскажу когда-нибудь потом, когда выйдет фикс от вендора. В статье же описан довольно забавный вектор получения привилегий из untrusted_app через сервис телеметрии, который почему-то забыл, что доверять можно вообще-то не всем. Справедливости ради стоит сказать, что права получаемые на этом этапе очень ограничены из-за SELinux (сколько я с ним намучился в своем кейсе....), но полученные права позволили прыгнуть дальше в системный процесс и получить шелл с довольно высокими правами. В общем всем кто интересуется похеком именно системы, а не только приложений, однозначно стоит ознакомиться.

Внезапно я вернулся :) И сразу с предложением поиграть в CTF) Интересно, будет ли хотя бы одна команда без агентов?))

Регистрация на SolarCTF открыта ☀️ Первые студенческие соревнования по кибербезопасности от «Солара» — возможность проверить свои навыки на практике, собрать команду и побороться за призы. 📍Что важно знать:

✦ Команды — до 5 человек

✦ Старт — 17 октября в 12:00 (МСК)

✦ Финиш — 18 октября в 12:00 (МСК)

✦ 24 часа на выполнение заданий

Общий призовой фонд — 300 000 ₽* + лимитированный мерч. Участвовать можно, если тебе уже исполнилось 18 лет, ты студент, постоянно проживаешь на территории РФ и находишься в России во время соревнований. Команды пока нет? Найти тиммейтов можно в чате SolarCTF Собирай команду и регистрируйся на SolarCTF ❤️

Semgrep Rules Последнее время мы с командой всё чаще задумывались о том, что mobsfscan в части своего Semgrep-компонента, мягко говоря, местами глючный и довольно ограниченый. А если попробовать найти достаточно полный набор Semgrep-правил для мобильных приложений, быстро выясняется, что хорошие правила разбросаны по всему необъятному интернету🔞 Поэтому мы решили собрать всё это в одном месте и создали репозиторий: https://github.com/Sib-Coder/semgrep-mobile-rules В нём постарались собрать максимально полный набор проверок для мобильных приложений и при этом избавиться от дубликатов. Будем очень рады вашей поддержке, новым правилам и идеям для развития репозитория. Давайте делать мобилки безопаснее вместе 😎

💀 Последний шанс стать спикером До конца дня принимаем заявки. После этого форма закроется! Так что если вы откладывали до последнего, торопитесь.

На самом деле очень интересная активность и здорово, что появляются подобные мероприятия. В свою бытность я помню, какой кайф был от посещения небольших митапов DefCon Moscow, OWASP Russia, митапов в Яндексе, в mail.ru, где так же было не много участников, неформальная обстановка и очень интересные доклады. Насколько ты заряжался какими-то новыми идеями. И сейчас этого на самом деле не хватает, все онлайн да онлайн, а живого человеческого общения на конфах/митапах становится меньше( Так что я очень постараюсь придти на тусу))

🔥ИБТУСА🔥 03.07, 18:00 - время отдохнуть от сессии и конференций🍺 Джун или студент по ИБ? Приходи и найди: ✅того, кто расскажет о подводных камнях на твоем пути ✅друзей для хакатона и CTF ✅идею для пет-проекта, которую обсудите за баром Уже эксперт? Приходи быть для них живой легендой или просто похантить таланты до конкурентов Заявка: @ibtusa_bot ⬅️ ➡️Ген. спонсор: Серебриум — аудит безопасности на основе собственной интеллектуальной системы ➡️Спонсор CTF: НетХаб — флагман сетевой безопасности ➡️Ген. медиа: Sachok & Пакет Безопасности & Похек 🎁 Бонус: забирай папку с каналами по ибэ и получай актуальную инфу раньше преподов!

Сегодня вы познакомились за баром. Завтра — вы сеть, которая двигает рынок ИБ

Чатик 😎 Ролик

Где-то в сторонке грустит https://github.com/P1sec/hermes-dec Уже точно года полтора гоняю

И еще один инструмент доя анализа Hermes

Декомпилятор для Hermes bytecode Дождались! Теперь нельзя спрятаться за тем фактом, что никто не умеет декомпилировать и реверсить Hermes bytecode. Ребята написали декомпилятор и выложили в открытый доступ. Ожидаем больше находок там где раньше никто и не думал копать.

крутити боробэн