CodeGuard: PySec Edition

🔍 Velociraptor: как за 30 минут развернуть DFIR-платформу и найти следы атаки на 500 машинах В августе 2025 года атакующие использовали старую версию Velociraptor, чтобы закрепиться в сетях после эксплуатации SharePoint. Инструмент, который Blue Team использует для форензики, стал оружием. Это напоминание: если ты не знаешь, как Velociraptor выглядит в сети, ты не отличишь легитимный агент от чужого. Вот как развернуть его правильно и провести первый hunt. Бесплатно (open-source). Что это

🤨 Velociraptor — платформа для цифровой форензики и реагирования на инциденты (DFIR). Не антивирус и не EDR: она не блокирует атаки, а собирает доказательства с сотен и тысяч endpoint'ов за минуты. Один аналитик может запустить запрос на всей инфраструктуре и получить, например, список подозрительных процессов с 500 машин в одной таблице.

Работает на Windows, Linux и macOS. Сервер — один бинарник, без внешних зависимостей и отдельной базы данных. Шаг 1. Скачать и установить сервер

VELOCIRAPTOR_VERSION="0.77.2"
wget https://github.com/Velocidex/velociraptor/releases/download/v${VELOCIRAPTOR_VERSION}/velociraptor-v${VELOCIRAPTOR_VERSION}-linux-amd64 -O /tmp/velociraptor
sudo mv /tmp/velociraptor /usr/local/bin/velociraptor
sudo chmod +x /usr/local/bin/velociraptor
velociraptor --version

Важно: всегда проверяй SHA-256 скачанного файла с тем, что опубликован на GitHub. Именно подмена бинарника стала частью кампании ToolShell. Шаг 2. Сгенерировать конфигурацию

sudo mkdir -p /etc/velociraptor /var/lib/velociraptor
sudo velociraptor config generate -i

Мастер спросит имя хоста, порт и создаст два файла: server.config.yaml и client.config.yaml. Сохрани логин и пароль администратора, которые он сгенерирует. Шаг 3. Исправить bind_address и public_url По умолчанию сервер слушает только 127.0.0.1. Чтобы GUI был доступен из сети, открой server.config.yaml и замени: bind_address: 127.0.0.1 → bind_address: 0.0.0.0 public_url: https://127.0.0.1:8000/ → public_url: https://IP-ИЛИ-ДОМЕН:8000/ Если этого не сделать, клиенты будут получать handshake failed. После правки — перезапусти сервис. Шаг 4. Создать systemd-сервис

sudo useradd -r -s /bin/false velociraptor
sudo chown -R velociraptor:velociraptor /etc/velociraptor /var/lib/velociraptor

Создай /etc/systemd/system/velociraptor.service:

[Unit]
Description=Velociraptor DFIR server
After=network.target

[Service]
User=velociraptor
Group=velociraptor
Restart=always
RestartSec=10
LimitNOFILE=20000
ExecStart=/usr/local/bin/velociraptor --config /etc/velociraptor/server.config.yaml frontend -v
WorkingDirectory=/var/lib/velociraptor

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable --now velociraptor

Шаг 5. Первый hunt Зайди в GUI: https://IP-СЕРВЕРА:8000. Авторизуйся. В боковом меню выбери Hunt Manager → New Hunt. Выбери артефакт, например Windows.System.Pslist (список процессов). Запусти на всех клиентах, которые уже подключены. Через минуту у тебя будет таблица: хост, PID, имя процесса, командная строка, родитель. Дальше можно фильтровать: искать powershell -enc, whoami, net user — то, что атакующий запускает после закрепления. Практический пример Ты видишь алерт на подозрительный процесс. Вместо того чтобы бегать по машинам вручную, запускаешь hunt на все endpoint'ы:

SELECT Name, Pid, CommandLine, ParentName FROM pslist()
WHERE CommandLine LIKE '%powershell%' AND CommandLine LIKE '%-enc%'

Если запрос возвращает строки с трёх разных хостов — это не единичный случай. Это кампания. И ты нашёл её за минуты, а не за дни. 😈 CodeGuard: PySec Edition | Чат

⚡️Группа хакеров взломала сервера Skillbox, Geekbrains, Skillfactory и ещё 12 онлайн-школ, чтобы выгрузить их курсы в Telegram Юристы пытаются удалить каналы за Авторские Права🤡 – потому вот актуальные ссылки на архивы: По школам:  ├ Skillbox (1.12 ТБ) ├ Нетология (846 ГБ) ├ SkillFactory (720 ГБ)  ├ GeekBrains (934 ГБ) └ Другие (3.21 ТБ) По ЯП: ├ Python (1.48 ТБ) ├ SQL (982 ГБ) ├ C++ (590 ГБ) ├ С (318 ГБ) ├ GoLang (290 ГБ) └ Другие (3.17 ТБ) Ссылка на общий архив: @schools_hack_arc

5️⃣ бесплатных ресурсов, которые заменяют платные курсы по ИБ. Проверено в 2026 Платить за курсы не обязательно. Но важно понимать, что именно бесплатно, а что — «бесплатно, но с ограничениями». Собрали пять ресурсов, которые дают реальные знания и практику. Все — с открытым доступом. Некоторые имеют платные уровни, но базового хватает для старта. 1. PortSwigger Web Security Academy — лучший бесплатный ресурс по веб-безопасности Бесплатно. Создан компанией PortSwigger (Burp Suite). 250+ лабораторий по всем категориям OWASP Top 10: SQL-инъекции, XSS, SSRF, CSRF, broken access control. Всё в браузере, инфраструктуру разворачивать не нужно. Если хочешь в веб-безопасность — начинай здесь. 🔗 portswigger.net/web-security — бесплатно 2. BSI Übungszentrum Netzverteidigung 2.0 — открытый тренажёр от немецкого регулятора Бесплатно. Федеральное ведомство по безопасности Германии (BSI) выложило в open-source платформу для киберучений на базе Infrastructure-as-Code. Внутри — пять готовых модулей: OSINT, безопасность веб-приложений, фишинг, malware и безопасность инфраструктуры Windows. Разворачивается локально, можно адаптировать под себя. 🔗 bsi.bund.de — Übungszentrum Netzverteidigung 2.0 — бесплатно 3. SecPort — портал с курсами по кибербезопасности на 24 языках ЕС Бесплатно. Портал для всех, кто хочет освоить базовые навыки: от обычных пользователей до студентов и сотрудников организаций. Внутри — курсы Cybersecurity Essentials, Influence Operations, игра Cyber City Tycoon и глоссарий. Без регистрации, без оплаты, без фиксированного расписания. Материалы на 24 официальных языках ЕС. 🔗 SecPort — Cybersecurity learning portal — бесплатно 4. Brandefense Free Tools — проверь, что о тебе знают атакующие Бесплатно (базовые инструменты, без регистрации). Risk Score для домена, проверка утечек через infostealer-логи, WordPress Exposure Check, Ransomware Tracker, база Threat Actors, File Intelligence. Всё — в одном месте. Инструменты показывают то же, что видят атакующие, но в ограниченном объёме. Для быстрой проверки — идеально. 🔗 brandefense.io/free-tools — бесплатно (есть платная платформа) 5. Safeguard.sh — карта бесплатного обучения AppSec в 2026 Бесплатно (статья). Не курс, а подробный гайд: с чего начать, какие ресурсы использовать и в каком порядке. Внутри — ссылки на freeCodeCamp, MDN, PortSwigger, OWASP Juice Shop, TryHackMe, OpenSSF LFD121 и другие. Автор объясняет, почему бесплатных ресурсов достаточно и как построить портфолио без платных сертификатов. 🔗 safeguard.sh — Free Ways to Learn Application Security in 2026 — бесплатно Как использовать Не пытайся пройти всё сразу. Выбери одну цель: 👍Веб-безопасность → PortSwigger Academy 👍Практика в локальной среде → BSI Übungszentrum 👍База на русском или другом языке ЕС → SecPort 👍Быстрая проверка домена или утечек → Brandefense 👍Понять, с чего начать → Safeguard.sh Через месяц регулярной практики ты будешь знать больше, чем после года просмотра видео. 😈 CodeGuard: PySec Edition | Чат

🔒 Один секрет — 173 тенанта: как атакующие вошли в Microsoft 365 через доверенное приложение для бэкапа Разбор инцидента. На этот раз — не про CVE и не про эксплойт. Про то, что происходит, когда компания выдаёт приложению широкие права, а потом забывает, что эти права — тоже поверхность атаки. MFA не помогла. Потому что это был не вход пользователя. Что случилось

🤨 15 октября 2026 года, между 06:13 и 08:34 UTC, неизвестный атакующий использовал скомпрометированный credential, принадлежащий ConnectWise Cloud Backup (ранее SkyKick), чтобы аутентифицироваться как это приложение в тенантах Microsoft 365. Подтверждено 173 пострадавших тенанта — партнёров MSP и их клиентов.

Это не компрометация пользовательского аккаунта. Это компрометация identity приложения (service principal). Атакующий вошёл как приложение, а не как человек. Почему MFA не сработала

ConnectWise Cloud Backup — продукт для бэкапа и миграции, который MSP устанавливают в тенанты своих клиентов. При установке администратор соглашается на набор application-level permissions: чтение и запись почты, OneDrive, SharePoint, Teams, данные каталога.

Эти разрешения выданы приложению, а не пользователю. Приложение может действовать без подписанного пользователя. Когда атакующий получил его credential, он унаследовал те же права во всех тенантах, где приложение было установлено.

🤨 MFA, conditional access, session controls — всё это не применяется к аутентификации приложения. Они защищают пользовательские входы. Здесь вход был не пользовательский.

Что делал атакующий По данным Huntress:

👀Аутентификация шла с IP 144.172.64.128 (хостинг RouterHosting). Атакующий двигался по тенантам в отсортированном порядке GUID, с интервалом в несколько секунд. Это была автоматизация по списку целей, а не ручной перебор. 👀Перед основной волной тот же IP проводил password spraying против тенантов юридических фирм 13 и 14 октября. 👀В одном тенанте приложение ConnectWise Cloud Management добавило себя в роль Global Administrator, а затем запустило Python-скрипт, который добавил новые client secrets к двум другим приложениям — MSP-приложению и Huntress Security Platform. Секреты были установлены со сроком действия до 2028 года.

Добавление учётных данных к доверенным приложениям — известная техника персистентности (MITRE ATT&CK T1098.001). Это не «оставить бэкдор на диске». Это встроиться в доверие платформы. Что делать

1️⃣Инвентаризация third-party приложений. Найди все enterprise applications с tenant-wide permissions. Не только ConnectWise. Все. 2️⃣Проверь credential и role assignments, добавленные после 13 октября. Особенно client secrets и Global Administrator. 3️⃣Отключи скомпрометированные приложения, если ConnectWise не подтвердила ротацию credential. 4️⃣Помни: отключение приложения не отзывает уже выданные токены. Они могут оставаться действительными до 90 минут. 5️⃣Проверь Graph activity. Чтение через Graph оставляет ограниченные audit-следы. Отсутствие доказательств эксфильтрации — не доказательство её отсутствия.

Почему это важно

🤨Это не уязвимость в коде. CVE не присвоен. Атакующий не эксплуатировал баг в протоколе или библиотеке. Он использовал легитимный механизм доверия, который компании сами настроили: «этому приложению можно читать почту и файлы, потому что оно делает бэкап».

Если приложение имеет доступ к почте и файлам, его credential — это привилегированная учётная запись. И защищать его нужно так же, как domain admin. 😈 CodeGuard: PySec Edition | Чат

✍️ CVE-2024-6387 «regreSSHion»: как ошибка 2006 года вернулась и дала root на миллионах OpenSSH-серверов Разбор уязвимости. Эта история интересна не тем, что «нашли дыру». А тем, что баг вернулся. Его исправили в 2006 году, а в 2020-м случайно вернули обратно. В 2024-м он превратился в критическую RCE с CVSS 8.1, которая позволяет получить root на OpenSSH-сервере без аутентификации. Что за уязвимость 🔥 CVE-2024-6387 — signal handler race condition в OpenSSH-сервере (sshd). CVSS 8.1. Уязвимы версии от 8.5p1 до 9.7p1 включительно, а также версии ниже 4.4p1 (если они не пропатчены отдельно). Исправлено в 9.8p1. 🤨 Проблема в обработчике сигнала SIGALRM, который вызывается, если клиент не завершил аутентификацию за LoginGraceTime (по умолчанию 120 секунд). Внутри этого обработчика вызываются функции, не безопасные для асинхронных сигналов (malloc, free, syslog). Атакующий может эксплуатировать race condition и выполнить произвольный код с правами root, не проходя аутентификацию. Почему это «regreSSHion»

🤨 Название — от «regression» + «SSH». Уязвимость CVE-2006-5051 была исправлена в 2006 году. В 2020 году в код внесли изменение, которое случайно вернуло ту же ошибку. Так баг прожил четыре года, пока его не обнаружили исследователи из Qualys. Это напоминание: старые уязвимости не исчезают. Они ждут, когда кто-то снова наступит на грабли.

Кто под ударом 🔵По оценке Qualys, в интернете около 14 миллионов экземпляров OpenSSH. Не все из них уязвимы: нужны конкретные версии и конфигурация (по умолчанию LoginGraceTime не равен 0). Но даже если уязвимы 10% — это сотни тысяч серверов. 🤨 Эксплуатация сложная: требуется выиграть race condition, отправить тысячи соединений, обойти ASLR. Публичного эксплойта на момент раскрытия не было. Но Qualys показали, что это возможно. Что делать 1️⃣Проверить версию: ssh -V. Если 8.5p1–9.7p1 — обновляться. 2️⃣Обновиться до 9.8p1 или применить патч от дистрибутива. 3️⃣Если обновление невозможно — установить LoginGraceTime 0 в sshd_config. Это отключает таймаут, но открывает другой риск: DoS через исчерпание соединений. 4️⃣Ограничить доступ к SSH по IP, если это возможно. Ссылки 🔗 Qualys: regreSSHion — RCE in OpenSSH's server — бесплатно 🔗 NVD: CVE-2024-6387 — бесплатно 😈 CodeGuard: PySec Edition | Чат

VPN, с которым вы останетесь надолго🫶 STRELKA — лучший VPN-бот в Telegram на всех устройствах без рекламы и по цене чашки кофе. 🔘Сотни довольных пользователей сервиса 🔘Обход «Белого списка» 🔘Семь дней бесплатного периода 🔘Моментальная Тех. поддержка ✅ Ссылка на сервис — @strelkavpn

🔗 Supply-chain атака через ConnectWise: как доверенное приложение для бэкапа открыло доступ к 162+ тенантам Microsoft 365 Пока одни обсуждают очередную CVE в VPN-шлюзе, произошло то, что сложнее заметить и опаснее пропустить: атакующий не ломал периметр. Он вошёл через приложение, которому компании сами выдали широкие права. И MFA не помогла, потому что это был не вход пользователя, а вход приложения. Что случилось

🔵ConnectWise — поставщик IT-решений для MSP и корпоративных команд — отключил доступ клиентов к своему сервису Cloud Backup (ранее SkyKick Cloud Backup) после того, как злоумышленники получили доступ к application identities (service principals) внутри среды Cloud Backup и скомпрометировали тенанты Microsoft 365.

Huntress подтвердила как минимум 162 скомпрометированных тенанта в своей среде. Microsoft также подтвердила вредоносную активность: несанкционированные попытки аутентификации с IP-адреса 144.172.64[.]128 начиная с 15 октября. Механизм атаки: почему MFA не сработала 🟣Сервис Cloud Backup для работы с Microsoft 365 использует service principal— идентичность приложения, которой в тенанте клиента заранее выданы права (например, на чтение и запись почты, OneDrive, SharePoint, Teams). 🟣Атакующий аутентифицировался напрямую как это приложение, используя его секрет. Это не пользовательский вход. Поэтому MFA оказалась бесполезной — она просто не применяется к аутентификации приложения. 🟣Поскольку приложение уже имело широкие ранее выданные разрешения, эти входы дали атакующему техническую возможность читать и записывать почту и вложения, файлы OneDrive и SharePoint, а также чаты Teams. Почему это важно

🤨 Это не «очередная утечка». Это атака на доверие: компании выдали приложению широкие права, потому что оно должно было делать бэкапы. Атакующий использовал это доверие, чтобы получить доступ к данным, и MFA не является барьером, когда вход выполняется от имени приложения.

Урок для защиты: аудит service principals и выданных им разрешений — не менее важен, чем аудит пользовательских аккаунтов. Если приложение имеет доступ к почте и файлам, его секреты и разрешения должны быть под таким же контролем, как привилегированные учётные записи. Ссылка 🔗 Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack — BleepingComputer, 17.10.2026 — бесплатно 😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard Cyber Challenge — твой ежедневный челлендж по ИБ Рассказываю, мы писали этого бота для три дня и три ночи.. @CTF_CodeGuard превращает обучение в игру: каждое утро — новое задание, персонально под тебя.

Что ты получаешь: ▶️ Новое задание каждый день ▶️ Только практика ▶️ Персональный подход ▶️ Профиль навыков

🎁 Первые 3 дня — полностью бесплатно 🏆 CTF и призы за реальные результаты. Сезон начнется со дня на день = 21 день. Побеждает тот, кто наберёт больше всех баллов за выполненные задания. Призовой фонд — от 5 000 до 50 000 ₽. Чем Больше участников, тем больше приз. Начать тут ⬇️ @CTF_CodeGuard @CTF_CodeGuard @CTF_CodeGuard

Мы начинаем тебя практиковать. Лучших будет ждать награда.

👾 CTF_CodeGuard

🚨 CVE-2026-104935: цепочка zero-day в Ivanti Connect Secure даёт root без пароля Воскресенье. Разбор уязвимости. Эта история — не про очередную дыру в веб-приложении. Это про то, как атакующий проходит через VPN-шлюз, который стоит на периметре корпоративной сети, и получает root. Без логина. Без пароля. Без единого клика со стороны пользователя. CISA уже добавила её в список активно эксплуатируемых, а патчить нужно было вчера. Бесплатно(новость и рекомендации). Что произошло

🔥Ivanti Connect Secure (ICS) — это enterprise--grade SSL VPN, который обеспечивает удалённый доступ сотрудников к корпоративным ресурсам. Штука критичная: через него ходит трафик компаний, и если он скомпрометирован, атакующий оказывается внутри сети. 🔥Уязвимость CVE-2026-104935 — это authentication bypass, который позволяет удалённому атакующему без привилегий выполнить произвольные команды на устройстве. Низкая сложность, не требует взаимодействия с пользователем. 🔥Но главное — не сама уязвимость, а цепочка. Исследователи из Volexity обнаружили, что threat actor UTA0576 скомбинировал три бага: authentication bypass, RCE и privilege escalation. Результат — неаутентифицированное выполнение кода с правами root на полностью пропатченных устройствах.

Как это работает (по данным Volexity) 👍Authentication bypass — атакующий обходит проверку логина и получает доступ к административному интерфейсу. 👍Remote Code Execution (RCE) — через интерфейс выполняется произвольный код. 👍Privilege Escalation — локальная уязвимость повышает права до root. После этого атакующий делает то, что ему нужно: крадёт учётные данные Active Directory, включая LAPS-пароли и ключи восстановления BitLocker. 🤨 Самое интересное: UTA0576 не разворачивал малварь и не оставлял веб-шеллы. Вместо этого он повторно эксплуатировал устройство для каждой команды и подчищал логи, чтобы обойти встроенный Integrity Checker Tool от Ivanti. Это не «оставить бэкдор и уйти». Это «жить в системе, не оставляя следов». Кто под ударом Затронуты версии ICS: 🔵22.8R2.4 и старше 🔵25.1.2.2 и старше 🔵25.1.1.1 и старше Ivanti уже выпустила патчи: 22.8R2.5, 25.1.3.0, 25.1.3.1, 25.1.1.2. По данным Shadowserver, в интернете暴露 более 5 500–5 600 экземпляров ICS. Сколько из них пропатчено — неизвестно. Что делать 1️⃣Проверь версию. Если у тебя ICS из списка уязвимых — это пожар. 2️⃣Обновись до патченной версии. Ivanti рекомендует «act immediately». 3️⃣Запусти Integrity Checker Tool. Он может не найти следов (UTA0576 их подчищал), но других атакующих — найдёт. 4️⃣Проверь логи на аномалии. Ищи необычные административные сессии, доступ к LAPS, попытки чтения BitLocker-ключей. 5️⃣CISA добавила CVE-2026-104935 в KEV. Федеральные агентства США должны были закрыть уязвимость до пятницы. Для всех остальных — рекомендация сделать то же самое. Почему это важно

❓Ivanti Connect Secure — не нишевый продукт. Это VPN-шлюз, который стоит на периметре тысяч компаний. Если он скомпрометирован, атакующий получает доступ к внутренней сети без каких-либо учётных данных. Цепочка zero-day делает это ещё опаснее: даже свежепропатченная система может быть уязвима, если патчи закрывают не все компоненты цепочки.

Этот кейс также показывает, как атакующие адаптируются: никакой малвари, только повторная эксплуатация и очистка логов. Защита, которая ищет только файлы, такое не увидит. Ссылки 🔗 Ivanti warns of Connect Secure zero-day exploited in attacks — BleepingComputer — бесплатно 🔗 CISA warns admins to immediately fix Ivanti flaw exploited as zero-day — BleepingComputer — бесплатно 🔗 Volexity: A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days — бесплатно 😈 CodeGuard: PySec Edition | Чат

🐙 Awesome Cyber & AI Arsenal: репозиторий, где red team, blue team и AI-безопасность собраны в одном месте Ты устал от подборок, где инструменты свалены в кучу без логики? Этот репозиторий устроен иначе: три больших блока — Offensive (Red Team), Defensive (Blue Team / DevSecOps) и AI / LLM Security. Внутри — не просто ссылки, а подкатегории: от recon и port scanning до LLM red teaming и guardrails. Автор собрал то, что реально используется в 2026 году, и разложил по полочкам. Бесплатно (open-source). Что внутри 🔵Offensive (Red Team): Recon — subfinder, Amass, OneForAll, findomain, puredns, dnsx, tlsx, CloudFox, BBOT. 🔵Port scanning — naabu, masscan, RustScan, Smap. 🔵HTTP probing / crawling — httpx, httprobe, gowitness, katana, Photon, dirsearch, feroxbuster. 🔵Vulnerability scanners — Nuclei, sqlmap, XSStrike, Dalfox. 🔵C2 / post-exploitation — Metasploit, Sliver, Havoc. Defensive (Blue Team / DevSecOps): 🔵SAST / code analysis — Semgrep, Bandit, CodeQL. 🔵Dependency / container / supply-chain — Trivy, Grype, Syft. 🔵Secrets detection — Gitleaks, TruffleHog. 🔵Network vulnerability management — OpenVAS, Nessus (free tier). 🔵Hardening / sanitization — Lynis, OpenSCAP. AI / LLM Security: 🔵AI-powered offensive agents — инструменты, которые автоматизируют пентест с помощью LLM. 🔵LLM red teaming & vulnerability scanning — Garak, PyRIT, promptfoo. 🔵LLM defense / guardrails — llm-guard, NeMo Guardrails. 🔵Uncensored / local models — для тестирования в изолированной среде. Практический пример Ты проверяешь LLM-приложение на prompt injection. Открываешь раздел AI / LLM Security → LLM Red Teaming. Находишь Garak — open-source сканер для LLM. Устанавливаешь, запускаешь:

pip install garak
garak --model-type openai --model-name gpt-4 --probes promptinject

Через несколько минут получаешь отчёт: какие промпты сработали, какие защита выдержала. Дальше — раздел Defensive → Guardrails, и ты смотришь, как закрыть найденные дыры. 😈 CodeGuard: PySec Edition | Чат

📋 Шпора: 12 команд для расследования инцидента на Linux Алерт: подозрительная активность на сервере. Ты открываешь терминал. Время идёт. Нужно быстро понять, кто заходил, что запускал и куда ходил. Вот шпаргалка по трём ключевым источникам: auth.log, journalctl и auditd. Команды проверены, работают на Debian/Ubuntu и RHEL-совместимых системах. 1. auth.log — кто и как заходил /var/log/auth.log (Debian/Ubuntu) или /var/log/secure (RHEL) — главный источник по аутентификации: SSH, sudo, создание пользователей. 🟣Успешные SSH-входы: grep "Accepted" /var/log/auth.log 🟣Неудачные попытки: grep "Failed password" /var/log/auth.log 🟣Уникальные IP, с которых ломились:grep "Failed password" /var/log/auth.log | grep -oP '\d+\.\d+\.\d+\.\d+' | sort -u 🟣Топ IP по числу неудач (брутфорс):grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -20 🟣Что выполняли через sudo:grep "sudo:" /var/log/auth.log | grep "COMMAND" 🟣Создание новых пользователей:grep "useradd\|adduser" /var/log/auth.log Почему это важно: если видишь 5000 Failed password с одного IP, а потом Accepted с того же IP — это не брутфорс, это компрометация. Дальше смотри, что делал этот пользователь. 2. journalctl — системный журнал Современные дистрибутивы используют systemd-journald. journalctl читает бинарные журналы и умеет фильтровать по времени, сервису, приоритету. 🟣Всё за период:journalctl --since "2026-10-17 02:00" --until "2026-10-17 05:00" 🟣Логи конкретного сервиса: journalctl -u sshd 🟣Только ошибки: journalctl -p err 🟣Сообщения ядра (USB, модули): journalctl -k 🟣Список загрузок: journalctl --list-boots Почему это важно: journalctl показывает не только факт входа, но и контекст: какие сервисы падали, какие модули загружались, что происходило в ядре. Это помогает восстановить хронологию. 3. auditd — аудит на уровне ядра Если auditd настроен, он пишет всё: выполнение команд, доступ к файлам, изменения в /etc/shadow. 🟣События аутентификации: ausearch -m USER_AUTH --start today 🟣Доступ к файлу: ausearch -f /etc/shadow 🟣Выполнение команд: ausearch -m EXECVE --start "02/01/2025" 🟣Отчёт по логинам: aureport --login --start "02/01/2025" 🟣Неудачные аутентификации: aureport --auth --failed 🟣Активность пользователя: ausearch -ua username Почему это важно: auditd — единственный источник, который фиксирует что именно выполнялось, а не только кто зашёл. Если атакующий запустил curl на внешний IP, auditd это покажет. Практический пример Подозрение на брутфорс SSH. Порядок действий:

# 1. Кто долбил?
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head

# 2. Зашёл ли кто-то с этого IP?
grep "Accepted" /var/log/auth.log | grep "185.234.72.11"

# 3. Что делал после входа?
ausearch -ua username --start today

Если на шаге 2 есть Accepted — это инцидент. Дальше ausearch покажет, что выполнялось. Без auditd придётся смотреть journalctl и надеяться, что там есть нужные записи. 😈 CodeGuard: PySec Edition | Чат

Новый ролик уже на канале! 🧨 В этот раз я заморочился и с помощью OpenCode сделал два инструмента для кибербезопасности, хотя не писал ни строчки кода. CyberScanner и MalwareScope, всё на Kali Linux. Буду рад вашим комментариям и идеям для следующих экспериментов. 📱 Ссылку оставляю здесь. https://youtu.be/teOb68jODWg https://youtu.be/teOb68jODWg https://youtu.be/teOb68jODWg Спасибо, что смотрите и поддерживаете! p.s ниже промты и шпора с ролика 👇 Arakcheev

ИНТЕРНЕТ В РОССИИ — ВСЁ❌ С каждым днём всё больше любимых сайтов и приложений блокируются, а у кого-то работают только приложения «Белого списка» Оставляем инструкцию по обходу всех ограничений, в том числе «Белого списка» по ссылке — @strelkavpn

😈 CodeGuard: PySec Edition | Чат

🎮 KC7: бесплатный тренажёр, который учит думать как blue teamer Ты читаешь про инциденты, смотришь разборы, но когда сам садишься за логи — не понимаешь, с чего начать. KC7 решает это: ты играешь в расследование, а не читаешь про него. Расследуешь реальные атаки в симулированной среде, работаешь с данными Azure Data Explorer и получаешь бейджи за прогресс. Бесплатно. Без установки. В браузере. Что это

🟣KC7 — образовательная платформа, которая учит кибербезопасности через игровые сценарии. Ты не смотришь видео и не отвечаешь на тесты. Ты расследуешь атаки: ищешь подозрительные события в логах, связываешь IP и пользователей, строишь таймлайн. Каждый модуль — это история с данными, которые нужно проанализировать.

Платформа создана практиками из industry и заточена под blue team: обнаружение, анализ, реагирование. Данные хранятся в Azure Data Explorer (ADX), ты пишешь запросы на KQL — языке, который используется в реальных SOC. Как это работает 🔵Регистрируешься на kc7cyber.com (нужен аккаунт Microsoft — Outlook, Hotmail или O365). 🔵Выбираешь модуль. Каждый модуль — это отдельное расследование: фишинг, lateral movement, data exfiltration. 🔵Работаешь с данными. Открываешь ADX, пишешь запросы, ищешь аномалии. 🔵Отвечаешь на вопросы на платформе. Прогресс сохраняется, за успехи дают бейджи. 🔵Двигаешься в своём темпе. Никаких дедлайнов. Можно вернуться к любому модулю. 🔵Бесплатно. KC7 создан, чтобы сделать кибербезопасность доступной. Платных тарифов нет. Для учителей есть отдельные инструменты — классные scoreboard, тоже бесплатно. 😈 CodeGuard: PySec Edition | Чат

Привет. Вот тебе самые топовые каналы по IT! ⚙️ Dev Boost — Самая огромная коллекция платных курсов, которые можно скачать бесплатно; 👩‍💻 IT Books — Самая огромная библиотека книг; 💻 Hacking & InfoSec Base — Крутой блог белого хакера; 🤔 ИБ Вакансии — Всё, чтобы найти работу в ИБ; 👩‍💻 linux administration — Всё про Линукс; 📲 В Max тоже есть место для линуксоидов; 👩‍💻 Программистика — Python, python и ещё раз python; 👩‍💻 GameDev Base — Всё про GameDev; 😆 //code — Самые топовые мемы по IT: 📲 Мы в Max; Подпишись, чтобы не потерять!

🔐 5 привычек кибергигиены, которые защитят вас в 2026 году лучше, чем антивирус Ты уже знаешь про сложные пароли и двухфакторку. Но в 2026 году атакующие обходят 2FA в реальном времени, а фишинговые письма пишутся нейросетями. Вот что реально работает — и что стоит изменить в своих привычках. Все рекомендации — из официального руководства CIRT.GY. 1. Passkeys вместо паролей

🔵Пароли устарели. Даже «сложный» 12-символьный пароль не защитит, если ты используешь его на 15 сайтах. Passkeys — это система аутентификации на базе FIDO2, где пароль заменяется криптографическим ключом на твоём устройстве. Разблокировка — по отпечатку или Face ID.

Google, Apple, Microsoft, GitHub, PayPal, Amazon уже поддерживают passkeys. Включить можно в настройках безопасности аккаунта за 2 минуты. Бесплатно. 2. Менеджер паролей — не роскошь

🔵Пока passkeys не везде, менеджер паролей обязателен. Один пароль на все сайты — это открытая дверь. Используй отдельный инструмент (не встроенный в браузер), который хранит уникальные пароли для каждого сервиса. Mistikeeидёт дальше: концепция «правдоподобного отрицания» — если тебя заставят открыть хранилище, ты вводишь мастер-пароль, который открывает фейковое хранилище с поддельными данными. Настоящее остаётся скрытым.

3. Физический ключ безопасности для критичных аккаунтов

🟣 Tycoon 2FA — платформа фишинга как сервиса, которую Europol демонтировал в 2026 году, — перехватывала коды двухфакторной аутентификации в реальном времени. Ты вводишь пароль и 2FA-код на фейковой странице, а атакующий мгновенно использует их на реальном сайте.

Решение: физические ключи YubiKey 5 NFC или Google Titan с FIDO2/WebAuthn. Они фишинг-устойчивы по дизайну — никакой прокси не перехватит аппаратную аутентификацию. Проверить совместимость сервисов можно на dongleauth.com. 4. VPN на публичных сетях с kill switch

🔵Открытый Wi-Fi в кафе или аэропорту — это не только удобство, но и риск. VPN шифрует трафик, но kill switch обязателен: если соединение падает, трафик блокируется, а не идёт в открытом виде.

5. Виртуалка для незнакомого кода

🔵Docker — это не песочница. Если ты запускаешь незнакомый код или файл, используй виртуальную машину (VirtualBox, VMware). Если что-то пойдёт не так — сносишь VM и начинаешь заново. Твоя основная система остаётся чистой. Бесплатно (VirtualBox).

😈 CodeGuard: PySec Edition | Чат

🔍 Security Onion: бесплатная платформа для threat hunting, которая заменяет платный SIEM Ты хочешь собирать и анализировать логи, ловить вторжения и заниматься threat hunting. Но коммерческие SIEM стоят как крыло от самолёта. Security Onion — бесплатный open-source дистрибутив для мониторинга безопасности, управления логами и охоты за угрозами. Внутри — Elasticsearch, Suricata, Zeek, Wazuh и десятки инструментов, которые уже настроены и работают вместе.  Что это Security Onion — это Linux-дистрибутив, созданный защитниками для защитников. Он объединяет лучшие open-source инструменты в готовую платформу: сетевую видимость, host-видимость, обнаружение вторжений, honeypots, управление логами и кейс-менеджмент.  Всё работает из коробки — не нужно собирать пайплайн вручную. Создатель — Даг Бёркс, проект поддерживается Security Onion Solutions с 2014 года.  Что внутри

🔵Elasticsearch, Logstash, Kibana — для хранения и визуализации логов. 🔵Suricata и Zeek — для сетевого мониторинга и обнаружения вторжений.  🔵Wazuh — для host-based обнаружения. osquery — для запросов к состоянию хостов. 🔵CyberChef — для анализа данных. 🔵Onion AI — поддержка локальных моделей (в версии 2.4.210). 

Почему это полезно 🤨Бесплатно. Платформа с открытым исходным кодом. Платные только опциональные enterprise-функции и поддержка.  Готово к использованию. Не нужно неделями настраивать стек. 🤨Для обучения. Если ты хочешь понять, как работает SOC, разверни Security Onion дома. 🤨Для продакшена. Используется в реальных командах, включая небольшие SOC. 😈 CodeGuard: PySec Edition | Чат

🤖Обходим «белый список» вместе с STRELKA Думали, что белые списки не обходятся когда глушат интернет? — Как бы не так! Умельцы из STRELKA VPN уже сделали стабильный проход на любые сайты, даже когда их глушат операторы.

Доступ в свободный интернет по цене стаканчика кофе прямо в Телеграм!

🔐 5 привычек, которые защитят вас в 2026 году лучше, чем антивирус Если ты думаешь, что сложный пароль и двухфакторка — это максимум, что можно сделать для безопасности, — эта подборка для тебя. Атакующие в 2026 году обходят 2FA в реальном времени, а фишинговые письма пишутся нейросетями. Вот что реально работает. 1. Passkeys вместо паролей

🟣Пароли устарели. Даже «сложный» 12-символьный пароль не защитит, если ты используешь его на 15 сайтах. Passkeys — это система аутентификации на базе FIDO2, где пароль заменяется криптографическим ключом на твоём устройстве. Разблокировка — по отпечатку или Face ID. Google, Apple, Microsoft, GitHub, PayPal, Amazon уже поддерживают passkeys. Включить можно в настройках безопасности аккаунта за 2 минуты. Бесплатно.

🔗 Как включить passkeys 2. Менеджер паролей — не роскошь

🟣Пока passkeys не везде, менеджер паролей обязателен. Один пароль на все сайты — это открытая дверь. Отдельный инструмент (не встроенный в браузер) хранит уникальные пароли для каждого сервиса. Mistikee идёт дальше: концепция «правдоподобного отрицания» — если тебя заставят открыть хранилище, ты вводишь мастер-пароль, который открывает фейковое хранилище с поддельными данными. Настоящее остаётся скрытым.

🔗 Mistikee — бесплатно 3. Физический ключ безопасности для критичных аккаунтов

🟣Tycoon 2FA — платформа фишинга как сервиса, которую Europol демонтировал в 2026 году, — перехватывала коды двухфакторной аутентификации в реальном времени. Ты вводишь пароль и 2FA-код на фейковой странице, а атакующий мгновенно использует их на реальном сайте. Сессия угнана, несмотря на 2FA. Решение: физические ключи YubiKey 5 NFC или Google Titan с FIDO2/WebAuthn. Они фишинг-устойчивы по дизайну — никакой прокси не перехватит аппаратную аутентификацию. Проверить совместимость сервисов можно на dongleauth.com.

🔗 YubiKey — платно (около $50–70) 4. VPN на публичных сетях с kill switch

🟣Открытый Wi-Fi в кафе или аэропорту — это не только удобство, но и риск. VPN шифрует трафик, но kill switch обязателен: если соединение падает, трафик блокируется, а не идёт в открытом виде. Платно (подписка), но есть бесплатные тарифы с ограничениями.

5. Виртуалка для незнакомого кода

🟣Docker — это не песочница. Если ты запускаешь незнакомый код или файл, используй виртуальную машину (VirtualBox, VMware). Если что-то пойдёт не так — сносишь VM и начинаешь заново. Твоя основная система остаётся чистой. Бесплатно (VirtualBox).

Практический пример Начни с passkeys: зайди в настройки Google или Apple, найди «Passkey» и включи. Это займёт 2 минуты. Затем установи менеджер паролей и сгенерируй уникальные пароли для пяти критичных сервисов. Через неделю ты почувствуешь разницу — не в удобстве, а в спокойствии. 😈 CodeGuard: PySec Edition | Чат