Не хакинг, а ИБ

📱 GitLab CVSS 10 уже атакуют. CISA перевела уязвимость в красную зону Для взлома не нужна учётная запись, а федеральный срок на обновление уже истёк. Уязвимость GitLab с максимальными 10 баллами по CVSS уже перешла из категории срочных обновлений в реальную угрозу. Агентство CISA подтвердило активную эксплуатацию CVE-2026-85706 и внесло проблему в каталог Known Exploited Vulnerabilities, а специалисты watchTowr заметили поиск уязвимых серверов практически сразу после публикации исправлений. — Удалённому злоумышленнику не нужна учётная запись GitLab или участие пользователя. При определённых условиях обход пути позволяет читать произвольные файлы на сервере, включая конфигурацию, учётные данные, токены и другие секреты. 🗄 Источник – линк. // Не хакинг, а ИБ

🤨 Xakep #291 — июнь 2023 Выпуск посвящён Positive Hack Days 12 и практической информационной безопасности. Внутри – пентест, Active Directory, веб-безопасность, повышение привилегий, фаззинг, реверс и разбор реальных техник атак. — Отдельные материалы посвящены SQL Privilege Escalation, LDAP-обфускации, сканированию поддоменов на Go, взлому роутеров и безопасности REST API. 🗄 Читать книгу – линк. // Не хакинг, а ИБ

💻 Библиотека для криптографических операций Libgcrypt – это бесплатная криптографическая библиотека, разработанная проектом GNU. — Она представляет собой коллекцию строительных блоков для реализации безопасного шифрования, хеширования и аутентификации в приложениях. Библиотека предоставляет функции для использования в сторонних приложениях различных криптоалгоритмов: ⏺Симметричные шифры (AES, Arcfour, Blowfish, Camellia, CAST5, ChaCha20, DES, GOST28147, Salsa20, SEED, Serpent, Twofish). ⏺Алгоритмы хэширования (MD5, RIPE-MD160, SHA-, SHAKE256, TIGER-192, Whirlpool). ⏺Алгоритмы аутентифицированного шифрования (HMAC-, CMAC-, GMAC-, Poly1305-). ⏺Шифрование с использованием публичных ключей (RSA, Elgamal, DSA, ECDSA, EdDSA, ECDH). 🗄 Репозиторий на GitHub – линк. // Не хакинг, а ИБ

🔐 RWB Infra x Security Meetup На митапе будут говорить не только про технологии, но и про то, что обычно остается за их пределами: рост нагрузки, инженерные компромиссы, хаос в инфраструктуре, управление доступами и риски, которые проявляются в самый неподходящий момент. Infra: ⏺тюнинг GitLab CE под растущую нагрузку ⏺баланс компромиссов в DCIM ⏺PKI на базе Vault ⏺Kubernetes vs Bare Metal – и что может пойти не так Security: ⏺DevSecOps: от сканирования в пайплайне к платформе ⏺как сократить время обработки уязвимостей ⏺защита данных без единого периметра ⏺управление доступом в тысяче систем силами шести инженеров 3 октября, суббота, 13:00. Москва + онлайн. Регистрация уже открыта. 🗄 Подробности программы – https://linkwb.ru/12snld. // Не хакинг, а ИБ

🌐 Подбор паролей с hashcat. Почему сложный пароль иногда сдаётся первым Hashcat и John the Ripper помогают восстанавливать забытые пароли и проверять, насколько хорошо защищены учётные записи. Результат зависит от алгоритма хранения, оборудования и порядка проверки вариантов. — Разберём работу на собственных файлах, учебных примерах и данных, доступ к которым входит в согласованный аудит. 🗄 Читать статью – линк. // Не хакинг, а ИБ

Логи почищены. ВПО замаскировано. Следов нет. Так это выглядит для большинства. И именно здесь начинается работа специалиста по реагированию. После атаки злоумышленник заметает следы: чистит журналы, прячет вредонос, ломает таймлайн. Восстановить, что реально произошло, — отдельный навык, когда нужно собрать картину по крупицам. Курс «Реагирование на компьютерные инциденты» от Codeby — вход в BlueTeam и IRT. Вы расследуете инциденты на практических кейсах в виртуальной лаборатории. На курсе учат: ⏺️снимать дампы памяти и собирать артефакты с Windows и Linux ⏺️читать логи и разбирать вредоносное ПО ⏺️работать с Threat Intelligence и Threat Hunting — искать то, что прячут ⏺️вести реагирование по шагам: от первого сигнала до отчёта Что внутри ➡️26 тем, практические ДЗ с 5-й темы, итоговый экзамен — теория (30 вопросов) + расследование реального кейса на виртуальной машине с подготовкой отчёта. Длительность — 15 недель. Успейте записаться до 17 сентября Доступна поэтапная оплата — от 5 192 ₽/мес Узнать программу курса и записаться Бесплатная консультация: @CodebyAcademyBot

🔎 Инструмент на Go для поиска неправильно настроенных S3-бакетов в AWS и других S3-совместимых облачных хранилищах ⏺Проверяет права доступа к бакетам и помогает обнаруживать публично доступные ресурсы. ⏺Поддерживает AWS, GCP, DigitalOcean, DreamHost, Linode, Scaleway и кастомные S3-compatible endpoints. ⏺Умеет работать многопоточно, перечислять объекты в бакетах и выдавать результаты в JSON. ⏺Результаты можно сохранять в PostgreSQL, а массовое сканирование автоматизировать через RabbitMQ. Есть Docker-поддержка. Особенно полезен для аудита облачной инфраструктуры, bug bounty и пентестов – разумеется, при проверке ресурсов, на которые есть разрешение. 🗄 Репозиторий на GitHub – линк. // Не хакинг, а ИБ

☁️ Surfshark: взломали тестовую инфраструктуру VPN-провайдера Атакующий получил внутренние материалы, а компания срочно начала менять секреты. Одна ошибка в настройке открыла посторонним путь во внутреннюю инфраструктуру Surfshark. VPN-провайдер подтвердил взлом тестового сервера, который инженеры случайно сделали доступным из интернета. — Атакующий добрался до внутренних конфигураций, частей системных бинарных файлов и некоторых данных, связанных со сборкой продуктов. 🗄 Источник – линк. // Не хакинг, а ИБ

🍏 Linux Command Line: A Complete Introduction — практическое руководство по работе с Linux через командную строку Книга Даниэла Дж. Барретта помогает уверенно работать в терминале: от базовых команд и навигации по файловой системе до автоматизации задач, работы с процессами, сетями и shell-скриптами. Что внутри: ⏺работа с файлами, каталогами и правами доступа; ⏺поиск и обработка текста; ⏺перенаправление ввода/вывода и конвейеры; ⏺управление процессами и задачами; ⏺работа с SSH и сетевыми инструментами; ⏺Bash и автоматизация рутинных операций; ⏺эффективные приёмы командной строки и лучшие практики. 🗄 Читать книгу – линк. // Не хакинг, а ИБ

👩‍💻 В JWT кладут отдел, роль и почту сотрудника, считая, что токен зашифрован. Он не зашифрован Разработчик приложил к тикету свой токен целиком – чтобы ошибку авторизации можно было воспроизвести. Ошибку починили, тикет закрыли, токен так и остался в задаче, которую видит вся команда и подрядчики. Токен выглядит как шифротекст: длинная строка из букв, цифр и дефисов, глазами не читается. Отсюда и распространённое допущение – раз не читается, значит, закрыто, и внутрь можно положить что угодно полезное. На самом деле это base64. — Читается одной командой, ключ для этого не нужен, и содержимое видно всем, через кого проходит токен: браузеру пользователя, расширениям в нём, промежуточным прокси, системам логирования. 🗄 Читать статью – линк. // Не хакинг, а ИБ

Безопасность бизнеса начинается там, где видна полная картина Обсудим, как находить слепые зоны в защите бизнеса, на онлайн-конференции «Совершенно безопасно». 📆 Когда: 22 сентября с 10:00 до 16:30 мск ▶️ Где: в прямом эфире На одной площадке соберем экспертов рынка безопасности и представителей бизнеса, обсудим цифровые, экономические и управленческие риски в одном поле зрения.

Главные ракурсы конференции: ✅ Новый ландшафт рисков: как меняются функции безопасности и управления. ✅ Искусственный интеллект: часть защитного механизма или новая уязвимость. ✅ Портрет современного инсайдера: какие практики становятся отраслевым стандартом.

  Спикеры конференции: ▪️Никита Лисенков, член Международной ассоциации корпоративной безопасности ICSA ▪️Сергей Сергеев, руководитель по корпоративной безопасности девелопера «Брусника» ▪️Лука Сафонов, бизнес-партнер по инновационному развитию компании «Гарда» ▪️Юрий Драченин, эксперт по информационной безопасности Контур.Эгиды и Staffcop ▪️Даниил Бориславский, эксперт по информационной безопасности Контур.Эгиды и Staffcop Участие бесплатное, нужно только 👉 зарегистрироваться Реклама. АО «ПФ «СКБ Контур». ИНН 6663003127

💰 Большая коллекция инструментов и материалов для расследований в блокчейне и анализа криптовалютных инцидентов On-Chain Investigations Tools List⁠ – это своеобразный справочник по Blockchain OSINT, крипторасследованиям и анализу транзакций. — В подборке есть инструменты для анализа кошельков и движения средств, визуализации транзакций, кластеризации адресов, анализа смарт-контрактов и поиска связей между объектами. — Отдельные разделы посвящены Ethereum, Bitcoin, Monero, DeFi, NFT, OSINT и расследованию криптоатак. Также собраны обучающие материалы и методики расследований. 🗄 Репозиторий на GitHub – линк. // Не хакинг, а ИБ

🤒 Кажется, AI-пентест наконец-то можно проверить не на словах Челлендж от Standoff Hackbase: предлагают не просто посмотреть, как работает AI-агент, а собрать своего и отправить его искать флаги на полигоне. 10 сентября в 19:30 МСК – мастер-класс с багхантером Kekis.

Он вживую соберёт агента и покажет, как тот используется в пентесте: какие инструменты ему дать, как настроить инструкции и ограничения и, самое главное, какие задачи ему вообще имеет смысл доверять.

10–17 сентября можно гонять своего агента по Hackbase, искать флаги и постепенно его улучшать.

Флаги динамические, поэтому просто скопировать один хороший промпт не получится – придётся разбираться, почему агент ошибается и что именно нужно поменять.

17 сентября – финальный разбор с Kekis. Покажут рабочие стратегии, типичные ошибки и способы лучше управлять агентом. А если получится лучше остальных – топ-3 участников получат призы. 🗄 Регистрация на CyberEd – линк. // Не хакинг, а ИБ

💰 Большая коллекция инструментов и материалов для расследований в блокчейне и анализа криптовалютных инцидентов On-Chain Investigations Tools List⁠ – это своеобразный справочник по Blockchain OSINT, крипторасследованиям и анализу транзакций. — В подборке есть инструменты для анализа кошельков и движения средств, визуализации транзакций, кластеризации адресов, анализа смарт-контрактов и поиска связей между объектами. — Отдельные разделы посвящены Ethereum, Bitcoin, Monero, DeFi, NFT, OSINT и расследованию криптоатак. Также собраны обучающие материалы и методики расследований. 🗄 Репозиторий на GitHub – линк. // Не хакинг, а ИБ

🤒 Кажется, AI-пентест наконец-то можно проверить не на словах Челлендж от Standoff Hackbase: предлагают не просто посмотреть, как работает AI-агент, а собрать своего и отправить его искать флаги на полигоне. 10 сентября в 19:30 МСК – мастер-класс с багхантером Kekis.

Он вживую соберёт агента и покажет, как тот используется в пентесте: какие инструменты ему дать, как настроить инструкции и ограничения и, самое главное, какие задачи ему вообще имеет смысл доверять.

10–17 сентября можно гонять своего агента по Hackbase, искать флаги и постепенно его улучшать.

Флаги динамические, поэтому просто скопировать один хороший промпт не получится – придётся разбираться, почему агент ошибается и что именно нужно поменять.

17 сентября – финальный разбор с Kekis. Покажут рабочие стратегии, типичные ошибки и способы лучше управлять агентом. А если получится лучше остальных – топ-3 участников получат призы. 🗄 Регистрация на CyberEd – линк. // Не хакинг, а ИБ

📱 Microsoft спустя годы возвращает Windows то, что пользователи просили с первого дня Windows 11 Пятилетний спор с новым интерфейсом наконец закончился в пользу владельцев ПК. Одна из самых спорных потерь Windows 11 спустя почти пять лет наконец начинает исчезать. — Сентябрьское накопительное обновление KB5124008 включает возможности августовского предварительного выпуска, где Microsoft добавила для версий 24H2 и 25H2 выбор положения панели задач снизу, сверху, слева или справа. 🗄 Источник – линк. // Не хакинг, а ИБ

☝️ The Art of Memory Forensics: Detecting Malware and Threats in Windows, Linux, and Mac Memory Фундаментальное руководство по анализу оперативной памяти, поиску артефактов вторжения, исследованию вредоносного ПО и цифровой криминалистике (Авторы: Майкл Хейл Лай, Эндрю Кейс, Джейми Леви, Аарон Уолтерс).

Профессиональный стандарт и обязательное пособие для специалистов по расследованию инцидентов (DFIR), вирусных аналитиков, инженеров SOC и экспертов по кибербезопасности. Книга написана ключевыми разработчиками фреймворка Volatility.

Основные темы книги: ⏺Основы анализа памяти ⏺Форензика памяти Windows ⏺Форензика памяти Linux ⏺Форензика памяти macOS ⏺Обнаружение вредоносного ПО ⏺Сложные сценарии расследования — Эта книга обучает не просто запуску инструментов, а пониманию того, как операционные системы хранят данные в RAM, что позволяет специалистам находить даже самые скрытные угрозы, не оставляющие следов на жестком диске. 🗄 Читать книгу – линк. // Не хакинг, а ИБ

📱 Apktool: Заглядываем под капот Android-приложений Apktool – это инструмент для анализа закрытых бинарных Android-приложений в формате APK. Он позволяет декодировать ресурсы приложения, работать с Smali-кодом, вносить изменения и затем собирать APK обратно. — Поддерживает декодирование ресурсов, структуру проекта для удобного анализа и повторную сборку модифицированного APK. Особенно полезен при Android reverse engineering, мобильном пентестинге и исследовании безопасности приложений. 🗄 Читать статью – линк. 🗄 Репозиторий на GitHub – линк. // Не хакинг, а ИБ

🔴В 2025 году Россияне заработали 5,3 млрд рублей на арбитраже криптовалют По данным Минфин 32% граждан покинули своё место работы, поскольку в среднем уже в первый месяц тут можно зарабатывать от 140 000 рублей, а через 2-3 месяца с легкостью выйти на семизначные числа. Самое смешное, что лишь 8% россиян что-то слышали об этой профессии, хотя все инструкции бесплатно лежат на канале Арбитраж Криптовалют Там объясняют, как имея телефон и доступ в интернет, заработать свои первые $2000. Причём разжёвывают так доступно, что поймёт даже ребенок. Кстати, на канале сегодня вышла новая рабочая связка! Быстрее вступайте, пока это бесплатно — https://t.me/+v5Ww3qmkm34yZDJi

📶 Популярный инструмент на языке Python для автоматизированного сбора и перечисления поддоменов (Subdomain Enumeration) с использованием внешних источников, поисковых систем и сервисов сетевой разведки Sublist3r – это классический OSINT-инструмент и скрипт для разведки, созданный исследователем безопасности Ахмедом Абуль-Эла (aboul3la), предназначенный для специалистов по безопасности, пентестеров, Bug Bounty охотников и инженеров Blue Team, которым необходимо быстро оценить внешнюю поверхность атаки целевой организации. — Инструмент помогает быстро получить картину доменной структуры организации на этапе первичного анализа сетевого периметра. 🗄 Репозиторий на GitHub – линк. // Не хакинг, а ИБ