T.Hunter

🔔 Напоминаем — уже ЗАВТРА! 🔴 Positive Technologies и 🟣 T. Hunter проводят вебинар «MaxPatrol Endpoint Security: EPP, EDR — комплексная защита для любых компаний» 📅 Дата: вторник, 30.06.2026 ⏰ Время: 11:00 MaxPatrol Endpoint Security (ES) — представлен двумя продуктами: Endpoint Protection Platform (EPP) — антивирусная защита ПК и серверов, и Endpoint Detect and Response (EDR) — усиленная защита для выявления сложных кибератак и реагирования Ключевые тезисы, которые раскроет эксперт от Positive Technologies: 🔺 что такое EPP с антивирусным движком 🔺 инструменты против APT-атак — когда вступает EDR 🔺 архитектура MaxPatrol ES (бандл EPP+EDR) 🔺 обновления в новых версиях EPP и EDR 🔺 сценарии интеграции в инфраструктуру под задачи клиентов 🔺 какие требования регуляторов закрывает ES 🔺 подбор схемы лицензирования EPP, EDR, ES Кому полезен вебинар: ◾️ Руководителям ИБ и ИТ-подразделений ◾️ Архитекторам и инженерам ИБ и ИТ ◾️ Специалистам SOC и системным администраторам 🔗 Ссылка для регистрации

🔥 80 000 файрволов FortiGate — с рабочими паролями админа у атакующих Это около половины всех FortiGate в интернете. 0-day нет — сложились переиспользованные пароли, старое хэширование (salted SHA-256) и непропатченные дыры (CVE-2026-24858), через которые выгружали конфиги. Дальше — офлайн-взлом хэшей и получение базы логинов Админ на FortiGate — это контроль периметра: правка правил, перехват VPN, бэкдоры, заход в AD. Выгрузка и входы видны в логах, а доступ переживает смену пароля — нужны завершение сессий и поиск лишних учеток Что делать: 1. Интернет-доступные FortiGate считайте скомпрометированными: сбросьте пароли, завершите сессии, проверьте спящие аккаунты 2. MFA на каждом админ- и VPN-аккаунте — мера №1 от CISA 3. Уберите управление и SSL VPN из открытого интернета 4. Обновите FortiOS до ветки с PBKDF2 (7.2.11 / 7.4.8 / 7.6.1+) — нужен перелогин, апдейт хеши не чистит 5. Проверьте логи (фильтр «config») — кампания идёт с февраля. Прогоните домен в чекере SOCRadar @tomhunter Наш канал в MAX

🔐 GlobalSign отзывает SSL у российских компаний 13 июня японский удостоверяющий центр (УЦ) GlobalSign начал принудительный отзыв SSL/TLS-сертификатов у компаний из РФ. Под отзыв 15–20 тыс. доменов второго уровня, 19 июня пошла вторая волна. Причина санкционная После отзыва Chrome, Safari и Firefox блокируют сайт или предупреждают об угрозе. Под ударом не только сайты, но и API, VPN, почтовые шлюзы и подпись кода 🚀 Что делать: — Найдите все сертификаты GlobalSign в инфраструктуре — не только на сайте — Внешний контур — на отечественный TLS НУЦ (бесплатно через «Госуслуги»; в зарубежных браузерах нужен импорт корневого сертификата) — Приложения с certificate pinning обновите заранее — Распределённая модель: несколько УЦ, разделение контуров Let's Encrypt тоже формализовал санкционные правила, но для обычных сайтов почти ничего не меняется — под удар попадают подсанкционные структуры @tomhunter Наш канал в MAX

🚩 Атаки на российский бизнес: +68%, и каждая пятая компания взломана незаметно «Лаборатория Касперского» на ПМЭФ-2026 представила статистику по российским организациям за I квартал: число выявленных ИБ-инцидентов выросло на 68%

Главное: --> Атаки банкерами и эксплойтами +39%, шифровальщиками +20% --> Каждая пятая компания уже взломана, но не знает об этом; в среднем злоумышленники сидят в инфраструктуре больше полугода --> По КИИ: вредоносы блокировались на каждом шестом компьютере АСУ ТП в России (16%), а доля атак на критическую инфраструктуру в Q1 достигла рекордных 77%

Вывод исследователей: основной источник риска — не сложные APT, а типовые ошибки (слабые пароли, конфигурации, устаревшее ПО) 💠 Что делать: закрывать периметр и патчиться по приоритету, включать MFA, мониторить АСУ ТП и обучать сотрудников против фишинга @tomhunter Наш канал в MAX

🔴Positive Technologies и 🟣T. Hunter представляют вебинар «MaxPatrol Endpoint Security: EPP, EDR - комплексная защита для любых компаний» 🗓Дата: вторник 30.06.2026 ⏰Время: 11:00 MaxPatrol Endpoint Security (ES) — представлен двумя продуктами: Endpoint Protection Platform (ЕРР) – это антивирусная защита компьютеров и серверов, и Endpoint Detect and Response (EDR) – усиленная защита для выявления сложных кибератак и реагирования Ключевые тезисы, которые раскроет эксперт от Positive Technologies: 🔺что такое EPP от с антивирусным движком 🔺инструменты против АРТ атак – когда вступает EDR 🔺как устроена архитектура MaxPatrol Endpoint Security (бандл EPP+EDR) 🔺обновления в новых версиях EPP и EDR 🔺рабочие сценарии интеграции в инфраструктуру под задачи клиентов 🔺какие требования регуляторов закрывает ES 🔺подбор схемы лицензирования EPP, EDR, ES Кому полезен вебинар: ▫️Руководителям ИБ и ИТ-подразделений ▫️Архитекторам и инженерам ИБ и ИТ ▫️Специалистам SOC и системным администраторам 🔗 Ссылка для регистрации

🛡️ Почему «безопасность по умолчанию» — лишь отправная точка «Безопасно по умолчанию» создаёт ощущение, что всё настроено правильно. Но дефолтные настройки — компромисс между удобством и защитой, и почти всегда их нужно ужесточать Несколько реальных сценариев: 🔧 Стандартные учётные данные Сетевое оборудование, БД и админ-панели часто идут с дефолтными логином и паролем (admin/admin и др). Мы регулярно находим такие недостатки 🌐 Открытые порты и лишние сервисы Серверы «как есть» слушают наружу больше, чем нужно. Классика — БД (MongoDB, Redis, Elasticsearch) на 0.0.0.0 без аутентификации. Итог — утечки и точка входа для брутфорса ⚙️ Права доступа по умолчанию Приложения часто ставят, не меняя ACL. Пользователь с обычными правами получает доступ к конфигам, базам или логам — звено в цепочке атаки «Безопасность по умолчанию — лишь отправная точка. Без ревизии и аудита вы работаете на злоумышленника» – наш аналитик по ИБ Махматхаджиев Амир @tomhunter Наш канал в MAX

⚽ ЧМ-2026: фейковые сайты, стримы и трояны Старт чемпионата мира встретили волной мошенничества, и ФБР уже выпустило официальное предупреждение Масштаб: 🔻 Group-IB насчитала 4300+ поддельных доменов FIFA; группа GHOST STADIUM держит 300+ фишинговых страниц, копирующих вход в аккаунт FIFA 🔻 FortiGuard: 13 000+ доменов на тему ЧМ за пять месяцев, ~8,8% — вредоносные или подозрительные 🔻 «Бесплатные HD-стримы» гонят трафик через вредоносные рекламные сети: фейковые антивирусные тревоги, ложные «обновления» и подписочные ловушки 🔻 В пиратских стрим-приложениях прячут Android-банкеры — Kaspersky назвала семейства Massiv и Perseus 🛡 Что делать: билеты — только на fifa.com, если продавец просит крипту — это скам; смотреть у официальных вещателей и не ставить стрим-приложения из сторонних источников @tomhunter Наш канал в MAX

🤖 Эксплуатация ИИ: как алгоритмы превращаются в слабое звено ИИ — мощный инструмент, но не застрахован от ошибок, и злоумышленники это знают. В 2026 году уязвимости в ИИ всё чаще становятся целью для атак ● Промпт-инъекция. Специально составленные запросы заставляют модель вести себя неожиданно — ИИ в поддержке может раскрыть конфиденциальные данные. Особенно опасно в чат-ботах с финансовыми запросами ● Отравление данных. Обученная на заражённых данных модель усваивает вредоносное поведение — пропускает подозрительные запросы как безопасные или хранит скрытые бэкдоры ● Истощение ресурсов (DoS). Тяжёлые запросы «подвешивают» модель и съедают её ресурсы. Опасно, если ИИ встроен в WAF или SIEM: вывести его из строя — значит открыть брешь в защите Наши пентестеры фиксируют: ИИ — не панацея, а элемент архитектуры, требующий аудита. Без контроля данных и мониторинга он становится не щитом, а дырой. Только комплексный подход спасает от атаки на уровне алгоритмов @tomhunter Наш канал в MAX

🚨 0-day в Oracle PeopleSoft #news Группировка ShinyHunters (UNC6240) использовала критическую RCE-уязвимость CVE-2026-35273 в Oracle PeopleSoft и скомпрометировала более 100 организаций (~300 уязвимых инстансов). 68% жертв — университеты Почему опасно: 🔻 CVSS 9.8. Дыра в компоненте Environment Management (PSEMHUB): захват сервера без авторизации, просто по сети 🔻 Атаки шли с 27 мая, а патч Oracle вышел только 10 июня — всё это время это был чистый 0-day 🔻 У University of Nottingham украли 40 ГБ данных студентов и выложили на лик-сайт после отказа платить Что делать: > Накатить патч для своей версии PeopleTools (8.61 / 8.62) > Закрыть PSEMHUB-эндпоинты от внешнего доступа > Идти в threat hunting даже после патча, так как атаки начались раньше, чем вышел бюллетень Мораль: ERP с торчащими наружу конечными точками давно перестали быть «внутренней» системой @tomhunter Наш канал в MAX

🔥 Оборотные штрафы за утечку ПДн: как избежать повторного нарушения? С 30 мая 2025 действует новая редакция ст. 13.11 КоАП за нарушения 152-ФЗ. Размер штрафа зависит от масштаба утечки, категории данных и повторности За повторную утечку — 1–3% годовой выручки, от 20 млн (от 25 млн для спецкатегорий и биометрии) до 500 млн руб. Отдельно — до 3 млн руб. за неуведомление РКН в течение 24 часов. С декабря 2024 — также уголовная ответственность по ст. 272.1 УК РФ Что делать? ✅ Аудит обработки ПДн и договоров с обработчиками ✅ Мониторинг и логирование — без них не доказать отсутствие халатности ✅ Процесс уведомления РКН: 24ч на первичное, 72ч на итоговый отчёт ✅ Обучать сотрудников и обновлять политики Важно: ответственность несёт оператор, даже если слил подрядчик. Утечка бьёт и по бюджету, и по репутации «Регуляторика — не волокита, а защита от реальных рисков. Лучше вложиться в комплаенс, чем платить штрафы» — наш руководитель проектов по ИБ Щербаков Антон @tomhunter Наш канал в MAX

🛡 Как проверить, не стал ли ваш домен зоной распространения вредоносного ПО — практический гайд Домен внезапно появился в черных списках DNSBL? Или вы заметили трафик с поддоменов, которых не создавали? Возможно, ваш ресурс используют для распространения вредоносное ПО 🔍 Как проверить репутацию домена 🔹 Проверка в DNSBL dnsblcheck.org или mxtoolbox.com покажут, не занесён ли домен в черные списки за спам 🔹 Реестры Роскомнадзора eais.rkn.gov.ru отслеживает попадание домена в реестр запрещённых 🔹 Мониторинг поддоменов Sublist3r или Amass отслеживают новые поддомены. Чужой поддомен — сигнал о захвате 🔹 Логи веб-сервера и CDN Анализируйте логи на подозрительные запросы и IP ⚠️ Почему это важно? Распространение вредоносное ПО через домен угрожает репутации и грозит блокировкой, штрафами и потерей клиентов. По мнению аналитика ИБ Махматхаджиева Амира, мониторинг домена — часть базовой стратегии ИБ. Не ждите — защищайтесь заранее @tomhunter Наш канал в MAX

🛡️ Вебинар: противодействие шифрованию 9 июня (вторник) в 11:00 обсудим, какие средства помогают противостоять шифровальщикам В программе: — обзор 5 решений «Лаборатории Касперского» — длительность 40 минут в формате живой дискуссии Приглашайте коллег и заказчиков, если тема актуальна 🔗 Ссылка для участия

🛡️ Вебинар: противодействие шифрованию 9 июня (вторник) в 11:00 обсудим, какие средства помогают противостоять шифровальщикам В программе: — обзор 5 решений «Лаборатории Касперского» — длительность 40 минут в формате живой дискуссии Приглашайте коллег и заказчиков, если тема актуальна 🔗 Ссылка для участия

🔥 Почему шифровальщики в 2026 году всё чаще атакуют КИИ — экспертный взгляд С 2023 года злоумышленники сменили тактику: шифровальщики стали частью агрессивной стратегии — уничтожение инфраструктуры, утечки данных, остановка критичных процессов. Особенно уязвимы компании из зоны КИИ 🔍 Причины роста атак в 2026 году: • Высокая стоимость выкупа. КИИ не может позволить себе простой, поэтому выкуп, скорее всего, будет выплачен • Утечки данных. Шифровальщики не только шифруют данные, но и крадут их — это грозит штрафами по 152-ФЗ • Слабая защита на периметре. Многие КИИ используют устаревшие системы; в ход идут фишинг и уязвимое ПО Наш специалист Махматхаджиев Амир отмечает: «Путь атаки один: уязвимость → разведка → захват домена → шифрование и утечка» 🚀 Что делать? — Пентесты и аудиты периметра — MFA для критических сервисов — SIEM и EDR для реагирования — Обучение сотрудников @tomhunter Наш канал в MAX

#news Пятничные новости инфобеза. Microsoft выпустила пост по следам пустившегося во все тяжкие Nightmare-Eclipse. Сам пост непримечательный: раскрывайте уязвимости нам, иначе это криминал, понятненько? Но в сообществе внезапно открылся портал в ад. Багхантеры делятся историями взаимодействия с MSRC, которые проходили по удивительно схожему сценарию: найденную уязвимость помечали как out-of-scope или дубликат и фиксили задним числом — без CVE, признания и выплат. Угрозы тоже не оценили: наши исследования — это наши исследования, что хотим с ними, то и делаем. Не обошлось и без мемов про BB за три сотки на новый лад. В общем, коммьюнити бурлит, багхантеры взбунтовались. Подборка на скрине. Такими темпами обещанное Nightmare-Eclipse явление в июле пройдёт под дружное ликование — у угнетённых белошляпочников появился народный мститель проклятым корпорациям. С анимешной девочкой на аватарке. А как иначе? @tomhunter

#news В сети новое исследование фингерпринтинга браузером через анализ работы SSD. В лучших традициях надругательства учёного над журналистом пошли заголовки “У сайтов появился новый способ следить за посетителями”. На деле же всё далеко не так просто. Атака получила название FROST, fingerprinting remotely using OPFS-based SSD timing. Если кратко, это побочный канал утечки данных: браузер слушает большой OPFS-файл, нейронка анализирует задержку чтения и может определить, какие сайты посещает юзер и какие приложения у него открыты. Ключевой момент: нейронка, специально натасканная в лабораторных условиях на анализируемом массиве данных. А от лаборатории до реальных применений путь неблизкий; в контексте такой атаки — не факт, что проходимый. Зато заголовки гремят, юзеры поют панихиду приватности, и так до следующего кликбейта. Само исследование здесь (PDF). @tomhunter

#news На Gitea, опенсорсной платформе для хостинга ИТ-проектов, закрыли уязвимость, позволяющую злоумышленнику стянуть приватные образы. Без аккаунта, кредов или доступа в прошлом. Затронуты все версии до 1.26.2. Детали не раскрывают, чтобы дать время накатить патчи — известно, что на эндпоинте реестра не было надлежащей аутентификации. Уязвимость присутствовала около четырёх лет, и форки Gitea советуют считать уязвимыми, пока мейнтейнеры не подтвердят обратное. Forgejo уже сообщила, что у них CVE в наличии. По консервативным оценкам затронуты 30+ тысяч инстансов, был ли эксплойт, неизвестно. У исследователей это всё завёрнуто в “посмотрите, какую уязвимость нашёл наш автономный ИИ-агент для пентеста”, и отчёт читать строго тем, у кого глаза ещё не вытекают от LLM-спика, но хотя бы уязвимость в этом кейсе реальная. @tomhunter

#news CrowdStrike вместе с Google и друзьями нарушила работу С2-инфраструктуры Glassworm — источника атак на цепочку поставок по разрабам и связанного ботнета. Экосистема наносит ответный удар. Glassworm — кодовое имя для операции по доставке червия на npm, PyPi, VS Code и других платформах, активной с начала 2025-го. Операторы залетели в заголовки в октябре, недавние атаки были в марте и конце апреля. Счастливчики получали на свои устройства инфостилер с RAT, и Glassworm прилично продержался за счёт устойчивой С2 c каналами связи на Solana, BitTorrent DHT, в календаре Google и обычными серверами. Crowdstrike утверждает, что ударили по всем четырём, С2 пала, и заражённые устройства теперь стучат по их безобидному айпишнику. В общем, от ежедневных атак на цепочку поставок устали и в Google и решили добавить в ленту немного позитива. @tomhunter

#news GitLab удалил аккаунт исследователя под ником Nightmare-Eclipse. 23 мая ему заблокировали аккаунт на GitHub и вчера оперативно снесли с GitLab, куда он мигрировал после бана. Ещё неплохо продержался. Борец с Microsoft успел опубликовать шесть эксплойтов и останавливаться не собирается. За это время он успел превратиться в героя для выгоревших багхантеров и прочих имевших сомнительное удовольствие взаимодействия с корпорациями. Дошло до сравнений с Мистером Роботом — народная любовь к Microsoft во всей красе. Некоторые спекулируют, что исследователь может быть уволенным из MS инсайдером — слишком уж хорошее знание архитектуры. Сам же Nightmare-Eclipse угрожает встряхнуть Microsoft в патчевый вторник 14 июля, так что поклонники ушедшего в отрыв исследователя могут помечать красный день в календаре. @tomhunter

#news Найджел Фараж, британский политик, обвинил Россию во взломе телефона. И непростом: коварные русские хакеры слили СМИ информацию о том, что Фараж получил £5 миллионов “в подарок” от криптомиллиардера. Увы в историю не верят и в самой UK. Никаких подтверждений и официальных заявлений от Фаража нет, и на фоне этого местный ИБ-регулятор NCSC глубоко обеспокоен: потенциальный премьер-министр заявляет об иностранном вмешательстве,такое нельзя игнорировать. Так что давайте нам пруфы, будем заседать и думать, как ответить России за взлом. А пруфов пока нет — только какие-то неназванные эксперты по контршпионажу винят во всём Москву. В общем, типичный политический цирк, только в этот раз неясно, прокатит ли трюк “в любой непонятной ситуации во всём обвиняй русских хакеров”. @tomhunter