Codeby

Прямой эфир «Monthly Cloud News: Лучшие ходы и рекорды 2024 года» 🏆 Встречаем новый 2025 год вместе с подкастом Monthly Cloud News. Приглашаем вас на онлайн-стрим, где подведем IT-итоги уходящего года, поговорим о трендах в машинном обучении, безопасной разработке и аналитике данных. А ещё попробуем заглянуть в будущее и предположить, как станут развиваться технологии в 2025 году. ⏰ Когда: 13 декабря в 15:00 МСК 📍 Где: онлайн Ждём на стриме всех, кто интересуется облачными технологиями. Отвечайте на вопросы ведущих в чате трансляции — самых быстрых и внимательных ждут подарки. Мероприятие бесплатное, регистрация по ссылке →

Команда аналитиков ANY.RUN опубликовала результаты своего исследования, связанные с использованием злоумышленниками повреждённых вредоносных файлов для обхода систем обнаружения. ✏️ Сама атака довольно простая и заключается в следующем: ⏺️Злоумышленники используют поврежденный файл, например docx ⏺️Когда жертва открывает его в Word, программа сразу же предлагает восстановить содержимое файла и успешно это делает ⏺️Внутри восстановленного файла находится QR-код с фишинговой ссылкой. 🚨 Docx — не единственный формат файлов, используемый злоумышленниками. Они также использует повреждённые архивы с вредоносными файлами внутри, которые легко обходят спам-фильтры, так как средства защиты не могут просмотреть их содержимое из-за повреждения. После загрузки в систему такие инструменты, как WinRAR, легко восстанавливают поврежденный архив, делая его содержимое доступным для жертвы. ❓ Почему же СЗИ не видят угрозы в этих файлах и не предупреждают пользователя? Большинство антивирусных программ и автоматизированных инструментов не оснащены функцией восстановления, которая есть в таких приложениях, как Word или WinRAR. Это мешает им точно определять тип повреждённого файла, который в том числе узнается с помощью магических байтов в заголовках файлов, что приводит к неспособности обнаружить и устранить угрозу. Посмотреть данную атаку в изолированной среде можно в песочнице.

Запись на курс Курс «Тестирование Веб-Приложений на проникновение (WAPT)» продлится до 20 декабря! 😎 🛡 Это на 100% практический курс по пентесту, где вы попробуете изученные техники взлома Содержание курса: ✔️ 65 рабочих и 16 экзаменационных тасков в лаборатории 🔸 эксплуатация всех актуальных типов уязвимостей, активный / пассивный фаззинг 🔸 SQL Injection и CMD Injection, Cross Site Scripting, PHP injection, Server Side Template injection 🔸 техники повышения привилегий, Client-side атаки (XSS, CSRF) 🥇 трудоустройство / стажировка для лучших выпускников Получите практические навыки как в рабочих задачах, так и в Bug Bounty. 🚀 Пишите нам @Codeby_Academy ➡️ Подробнее о курсе

Сканим, все, что можно и нельзя Сканер уязвимостей (Vulnerability scanner) – это незаменимый инструмент для проверки систем, приложений и сетей на наличие уязвимостей, которые могут быть использованы злоумышленниками. Виды сканирования: 🏳️ WhiteBox: Сканирование выполняется изнутри сети, обеспечивая более полный анализ уязвимостей. Однако, такой подход менее реалистичен с точки зрения атаки злоумышленника. 🏴 BlackBox: Сканирование выполняется извне сети, имитируя реальную атаку. Этот метод позволяет обнаружить уязвимости, доступные извне, но может пропустить уязвимости внутренних систем. Оптимальный подход заключается в сочетании обоих методов, начиная с BlackBox сканирования, а затем переходя к WhiteBox. Выбор продукта (бесплатные решения) : 1️⃣ Greenbone Vulnerability Management (бывший OpenVAS) ➕ мощный и функциональный, обширная база данных уязвимостей, хорошая интеграция с другими системами, псевдо-открытый исходный код ➖ может быть сложным в настройке и использовании для новичков, скорость сканирования может быть не самой высокой. 2️⃣ Tenable Nessus ➕ обширная база данных уязвимостей, интуитивно понятный интерфейс. ➖ бесплатная версия имеет ограничения по количеству сканируемых IP-адресов и функциональности. 3️⃣ Gobysec / Goby ➕ есть расширения, API, выгружает отчёты, хорошо подходит для анализа веб-приложений. ➖ может быть сложным для начинающих, основная функциональность доступна в платной версии. 4️⃣ Tsunami-security-scanner (связка nmap + плагин vulners + ncrack и все завернуто в docker) ➕ возможность создания отчётов в форматах LaTeX (по умолчанию), md, html и json, использование Docker упрощает установку и использование. ➖ зависит от нескольких инструментов, что может усложнить настройку и поддержку. 5️⃣ Flan Scan (использует связку nmap + vulners) ➕ простота использования, быстрый старт благодаря использованию nmap и vulners. ➖ ограниченные возможности по сравнению с более мощными сканерами, база данных уязвимостей ограничена базой vulners. 6️⃣ Rustscan ➕ сканирует все 65 тыс. портов за 3 секунды ➖ не предназначен для сканирования IP-адресов, нужен корректный URL. 7️⃣ Owasp ZAP ➕ отлично подходит для тестирования веб-приложений на проникновение, множество плагинов и функций. ➖ продукт не сканирует исключительно IP адреса и просит ввести корректный URL 8️⃣ W9Scan ➕ простой в использовании, автоматически преобразует IP-адрес в URL. ➖ ограниченные возможности, не подходит для глубокого анализа, зависит от корректной работы веб-сервера. 9️⃣ Acunetix ➕ мощный инструмент для автоматизированного сканирования уязвимостей, поддерживает широкий спектр технологий и приложений, удобный интерфейс. Обнаружение Zero-day: выявляет уязвимости, которые не входят в стандартные базы данных CVE. ➖ высокая стоимость, требует значительных ресурсов для работы, ограниченная бесплатная версия. 1️⃣0️⃣ Nmap ➕ гибкие настройки сканирования, широкий набор функций, многочисленные скрипты NSE. ➖ не является сканером уязвимостей в полном смысле слова, требует дополнительных инструментов для анализа найденных уязвимостей (например, vulners). Сканирование групп хостов может быть медленным.

Veeam* выявила и устранила две серьезные уязвимости в Veeam Service Provider Console (VSPC), одна из которых получила почти максимальный балл по шкале CVSS — 9.9. *Veeam разрабатывает решения для резервного копирования, восстановления данных и управления облачными и виртуальными средами, обеспечивая их доступность и защиту. Подробности уязвимостей: 1️⃣ CVE-2024-42448 (критическая, CVSS 9.9) 🔸 Уязвимость позволяет удаленное выполнение кода на сервере VSPC через авторизованный агент управления. 🔸 Потенциальная угроза: полный контроль над системой и компрометация конфиденциальных данных.

“Эта уязвимость представляет значительный риск для организаций. Злоумышленники могут использовать ее для полного взлома серверов,” — Эрик Шваке, директор по стратегии кибербезопасности в Salt Security.

2️⃣ CVE-2024-42449 (высокая, CVSS 7.1) 🔸 Уязвимость позволяет утечку NTLM-хэша учетной записи службы VSPC и удаление файлов на сервере. 🔸 Пострадавшие версии: VSPC 8.1.0.21377 и более ранние версии сборок 7, 8. Как защититься в будущем? 🔸 Регулярно обновляйте используемое ПО. 🔸 Настройте многоуровневую защиту: резервное копирование, проактивный мониторинг уязвимостей, эффективный план реагирования на инциденты. 🔸 Контролируйте безопасность не только своих систем, но и сервисов, которыми вы пользуетесь.

"Эти уязвимости подчеркивают важность своевременного патчинга и внедрения многослойных систем безопасности. Без таких мер компании подвергаются значительным угрозам," — Элад Луз, руководитель исследований в Oasis Security.

#новости

❄️ Курс для BlueTeam “Реагирование на компьютерные инциденты”! Запись до 12 декабря! 🎄 Программа курса: 🔸 Сбор необходимых материалов с Linux и Windows систем, в том числе дампов памяти 🔸 Анализ журналов безопасности и артефактов ВПО, написание правил для его обнаружения 🔸 Реагирование на основе данных из SIEM 🔸 Анализ вредоносных программ и оптимизация процесса реагирования на инциденты 🔸 Threat Intelligence & Threat Hunting 🥇 Сертификат / удостоверение о повышении квалификации 🚀 @Codeby_Academy ➡️ Узнать подробнее о курсе

SSH без пароля 💻 С помощью открытого и закрытого ключей удалённый пользователь может войти в систему по SSH. Это более безопасно, чем использовать пароль, так как никто не сможет использовать метод брутфорс. Давайте создадим такую сценку:

Клиент - ОС Ubuntu 💻 IP: 228.14.88.55

Хост - ОС Kali 💻 IP: 148.85.5.228

Сначала мы генерируем открытый и закрытый кллюч на нашей клиентской ОС.

shh-keygen -t rsa -b 4096

где, -t rsa - обозначает тип ключа, который нужно сгенерировать. RSA наиболее распространённый алгоритм. -b 4096 - этот ключ, указывает кол-во бит в создаваемом ключе.

При выполнении этих шагов у нас запросили ввести кодовую фразу. Эта фраза будет использована для повышения безопасности при удалённом входе по SSH. Проверим директорию, в которой эти файлы были сохранены (/home/<USER>/.ssh/):

ls -la

Теперь нужно отправить копию файла открытого ключа id_rsa.pub на kali. В этом примере мы будем использовать имя пользователя и пароль root для копирования файла открытого ключа:

ssh-copy-id root@148.85.5.228

Проверить, что ключ действительно был добавлен можно в файле:

cat authorized_keys

Затем мы можем отредактировать файл конфигурации SSH(/etc/ssh/sshd_config) в Kali, чтобы разрешить аутентификацию с открытым ключом:

PubkeyAuthentication yes
PasswordAuthentication no

Перезапустим ssh демона SYSTEMD

service ssh restart или sudo systemctl restart ssh

OpenRC

re-service ssh restart

Проверям командой ниже и всё должно работать:

ssh root@148.85.5.228

С 2018 года производственный сектор понес колоссальные убытки от атак программ-вымогателей ✉️ По данным исследования Comparitech, эти инциденты привели к остановке работы 858 компаний по всему миру, а средний дневной убыток от простоя составил $1,9 млн. Почему это критично? Рэнсомвар не только замораживает производственные линии, но и срывает выполнение заказов, подрывает доверие клиентов и увеличивает время и стоимость восстановления.

В 2024 году число атак увеличилось почти вдвое: зарегистрировано 194 случая против 109 в 2023 году.

Особенно заметен рост утечек данных: 🔸 В 2023 году киберпреступники похитили 43,9 млн записей — это в 40 раз больше, чем годом ранее. 🔸 Среди крупнейших утечек VF Corporation – 35,5 млн записей и PharMerica – 5,8 млн записей 💸 Стоимость простоев и выкупов Средняя продолжительность простоя составляет 11,6 дней, но может варьироваться от нескольких часов до 129 дней. Основные убытки: 🔸 Demant (2019): $95 млн на восстановление 🔸 TSMC (2018): $85 млн за 3 дня простоя 🔸 WestRock (2021): $79 млн убытков, включая $50 млн от потерь в производстве Средняя сумма выкупа с 2018 года составила $10,7 млн. При этом известны случаи, когда требования доходили до $200 млн. 👀 Интересный факт: Boeing в 2023 году отказалась платить $200 млн, и преступники выложили в открытый доступ 43 ГБ данных компании. Наибольшее число атак пришлось на: 🔸 Транспортное и автомобильное производство – 130 атак 🔸 Пищевую промышленность – 124 атаки По данным на осень 2024 года: 🔸 Подтверждено 137 атак, 🔸 Средняя продолжительность простоя — 11 дней. #новости

Кто такой TI-аналитик и как им стать Интересуетесь карьерой в сфере кибербезопасности? Новый вебинар из серии «Лучше звоните PT ESC» поможет разобраться в работе специалиста по анализу киберугроз. Присоединяйтесь, чтобы узнать 🔎Из чего складывается повседневная работа 🔝 Что нужно знать и уметь, чтобы стать TI-аналитиком 🛠 Какие системы и платформы помогают в сборе, анализе данных и мониторинге угроз Вебинар пройдет 12 декабря в 14:00. Не забудьте зарегистрироваться ⬇️

В новой статье расскажем о трех полезных инструментах для OSINT, которые помогут в поиске информации и анализе сайтов. 1️⃣ Tracer — находите, где зарегистрирован никнейм: 🔸 Удобный поиск по сайтам с визуализацией результатов. 🔸 Логи и графики поиска сохраняются для анализа. 🔸 Настраиваемые конфигурации для кастомизации процесса. 2️⃣ GoogleFu — классификация данных из Google: 🔸 Ищет соцсети, блоги, пасты, изображения и многое другое. 🔸 Поддерживает редактирование конфигураций для таргетированного поиска. 🔸 Удобно структурирует результаты по категориям. 3️⃣ Argus — мощный инструмент для анализа сайтов: 🔸 Более 50 модулей для изучения сетей, веб-приложений и мер безопасности. 🔸 WHOIS, CMS, открытые порты, уязвимости CVE — всё в одном месте. 🔸 Легко интегрируется с API Shodan и VirusTotal. ➡️ Читать статью

Что делать, когда нужно просмотреть огромное количество веб-приложений? 📷 Gowitness - это утилита для автоматического создания скриншотов веб-сайтов, написанная на Golang, которая использует Chrome Headless для создания скриншотов веб-интерфейсов с помощью командной строки, а также имеет удобное средство просмотра отчетов для обработки результатов. Установка, запуск и отчет в 3 шага 1️⃣Скачиваем саму утилиту

sh go install github.com/sensepost/gowitness@latest

2️⃣ Запускаем тестовое сканирование

gowitness scan single -u https://codeby.games --write-csv

3️⃣ Создаем отчет

sh gowitness report server --port 8080 --screenshot-path ./screenshots

Основная цель gowitness - делать скриншоты веб-сайтов (и делать это хорошо!), при необходимости сохраняя любую информацию, собранную в процессе работы. Тем не менее, краткий список функций включает в себя:: 🔵Создание скриншотов веб-сайтов, конечно..., но быстро и точно! 🔵Сканирование списка URL-адресов, CIDR, результатов Nmap, Nessus 🔵Возможность получать и сохранять данные (например, журнал запросов, журналы консоли, заголовки, файлы cookie и т.д.) 🔵Запись данных во множество форматов (база данных sqlite, jsonlines, csv и т.д.) 🔵И многое, многое другое!

☃️ Открытие зимнего сезона и новые задания на платформе Codeby Games! Сезонный рейтинг: С сегодняшнего дня вы можете побороться за лидирующие позиции рейтинга в новом сезоне на нашей платформе. Не упустите шанс провести зимние дни с пользой, прокачать свои навыки и стать лучшим! Призы: 🥇1 место — Playstation 5 Digital Edition 🥈2 место — Nintendo Switch OLED 🥉3 место — Flipper Zero 4-10 место — 15% скидка на любой курс Академии Кодебай, 1 месяц подписки на Codeby Games 📆 Сезон завершается 28 февраля ———————————— Новые задания: ⚙️ Категория Реверс-инжиниринг — Снежный змий 🔑 Категория Криптография — ДНК 🌍 Категория Веб — Тетрис 🚩 Желаем каждому провести зимние дни с комфортом и отличным настроением и до встречи на Codeby Games!

JWT_TOOL 🛡 JSON Web Token Toolkit v2 - это инструментарий для проверки, подделки, сканирования и фальсификации JWT (веб-токенов JSON). Его функционал включает в себя: *️⃣Проверку действительности токена *️⃣Тестирование на наличие известных эксплойтов: *️⃣Проверка на наличие неправильных настроек или известных уязвимостей *️⃣Изменение значений в запросе, с целью спровоцировать неожиданное поведение *️⃣Проверка достоверности секретного файла/ключевого файла/открытого ключа/ключа JWKS *️⃣...и многое другое! 👉 Установка с использованием Python

git clone https://github.com/ticarpi/jwt_tool
python3 -m pip install -r requirements.txt

👉 Пример использования

python3 jwt_tool.py eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJsb2dpbiI6InRpY2FycGkifQ.aqNCvShlNT9jBFTPBpHDbt2gBB1MyHiisSDdp8SQvgw

Чтобы подробнее узнать о том, что такое JWT, для чего они предназначены, а также полный рабочий процесс, позволяющий тщательно протестировать их на наличие уязвимостей, распространенных недостатков и непреднамеренных ошибок в коде вы можете перейти по ссылке JWT.ATTACK.PLAYBOOK.

Имея даже 1 решенное задание есть шанс получить главный приз. Если еще не присоединились к конкурсу, самое время это сделать Новогодний CTF от S.E. x Codeby Для решения доступно второе задание из 10: 🎅 Северный полюс 🎄 Категория: Веб ❄️ Уровень: лёгкий 🎁 Награда: 1 ключ 🎯 Описание: Санта запустил новый сервис для сбора пожеланий к Новому году! Говорят, где-то на его сервере спрятан особый подарок, но доступ к нему есть только у помощников Санты...

Готовы выпустить продукт? А точно готовы? Проверим в новой статье Вы разработали крутой продукт, добавили в него топовые фичи, протестировали сами — кажется, всё работает идеально. Но готов ли он к реальному миру? Ошибки и уязвимости могут быть незаметны на первый взгляд, но обязательно всплывут, когда продукт попадёт к пользователям. Чтобы не лишиться их доверия (и нервов), стоит провести полноценное тестирование. Как понять, что продукт действительно готов к релизу? С помощью методов тестирования ПО: «черный ящик» и «белый ящик». Эти подходы дают возможность проверить продукт как с точки зрения пользователя, так и под микроскопом кода. 👁 Что скрывается за методами тестирования? 🌟 «Черный ящик» — это работа с продуктом как обычный пользователь. Тестировщик видит только интерфейс: нажимает кнопки, заполняет формы, проверяет сценарии взаимодействия. Инфраструктура и код остаются для него «вне доступа». Этот метод помогает понять, насколько продукт удобен, совместим с разными устройствами и работает под нагрузкой. 🌟 «Белый ящик» — совсем другая история. Тестировщик погружается в код, чтобы найти баги, проверить чистоту написания, а также обнаружить уязвимости и логические ошибки. Метод позволяет заметить всё, что невидимо на поверхности. 🌟 «Серый ящик» — это золотая середина. Код частично открыт, что позволяет углубиться в важные блоки, не теряя из виду интерфейс и пользовательские сценарии. Как работает тестирование? Продукт подвергается испытаниям на всех уровнях — от мелких деталей до глобальной инфраструктуры: 1️⃣ Модульное тестирование (Unit) — проверяются отдельные фрагменты кода. 2️⃣ Интеграционные тесты — оцениваются связи между модулями. 3️⃣ End-to-End тестирование — продукт проверяется как единое целое. На каждом этапе выявляются уникальные проблемы: от багов в логике до провалов в нагрузочных тестах. Почему оба метода важны? Тестирование «черного ящика» позволяет увидеть продукт глазами пользователя, выявить проблемы с функциональностью и UX. Но без «белого ящика» легко пропустить критичные уязвимости внутри кода. В новой статье мы разобрали: 🔸 Преимущества и ограничения каждого метода 🔸 Когда стоит использовать «черный ящик», а когда лучше сосредоточиться на «белом» 🔸 Почему оптимальная стратегия — это их сочетание Не дайте багам шанса испортить впечатление от вашего продукта! Узнайте больше и доведите своё ПО до совершенства, а Кодебай Вам в этом поможет ➡️ Читать статью в блоге

CAPA - инструмент с открытым исходным кодом, с помощью которого можно определять возможности исполняемых файлов. Позволяет сопоставлять неизвестные файлы с техникам из матрицы MITRE ATT&CK и каталогом поведения вредоносных программ. Так же показывает возможности файла с указанием на правила capa, с помощью которых они были определены. ⚙️ Для запуска требуется лишь передать название исполняемого файла:

./capa input_file

✏️При передаче флага -vv выводится более подробное описание, в котором утилита сообщает, где были обнаружены признаки найденных возможностей. Благодаря этому повышается доверие к результатам программы и можно более подробно изучить исполняемый файл в IDA. 📝Правила capa Для обнаружения возможностей программы утилита использует определенный набор правил, которые представляют из себя смесь правил OpenIOC, Yara и YAML. При большом желании и стремлении сделать проект лучше можно самому дописать правила, что позволит утилите в дальнейшем распознавать интересные методы в вредоносных программах 💱 Плагин для IDA Pro При использовании IDA Pro, существует возможность работать с плагином capa Explorer. Данный плагин помогает определять интересные области программы и создавать новые правила capa, используя непосредственно извлеченные функции из вашей базы данных IDA.

Основной целью киберпреступников является шпионаж и закрепление в системе для развития последующих атак Данная группировка получила название TaxOff. В своих атаках злоумышленники использовали многопоточный бэкдор Trinper, написанный на С++. ✉️ Начальный вектор заражения — фишинговые письма. ⏺️В некоторых случаях письмо содержит ссылку на «Яндекс Диск», в котором хранится файл «Материалы.img». Одним из вложений, находящихся внутри этого файла, была html страница с фальшивой формой авторизации. Другие же являлись бэкдором Trinper. ⏺️А в остальных, злоумышленники распространяют ПО «Справки БК», содержащее два исполняемых файла bk.exe и DotNet35.exe. 💱 После выполнения bk.exe будет автоматически выполнен DotNet35.exe, содержащий бэкдор Trinper. В начале бэкдор десериализирует конфигурацию и получает оттуда имя, которое должно быть у него. Если оно отличается, то выполнение прекращается. В случае, если имена совпадают, бэкдор продолжает инициализацию и вызывает функцию для получения информации о компьютере жертвы 🔎 Далее Trinper запускает в разных потоках три класса, которые служат для: ⏺️коммуникации с С2 (происходит через генерацию сессионного ключа для AES-128-CBC, далее импортируется публичный RSA-ключ и становится возможен цикл общения с C2, использующийся для получения команд, получения и отправки результатов работы команд) ⏺️мониторинга файловой системы (перебирает все подключенные диски и рекурсивно ищет хранящиеся на дисках файлы с расширениями .doc, .xls, .ppt, .rtf, .pdf) ⏺️перехвата нажатия клавиш

ffuf ffuf — это быстрый веб-фаззер, написанный на Go, который позволяет выполнять типичное обнаружение каталогов, обнаружение виртуальных хостов (без записей DNS), а также фаззинг параметров GET и POST. Использование:

ffuf -w [/path/to/wordlist] -u [URL/FUZZ]

❄️ Напоминаем, на каких курсах начинается обучение в декабре Запись до 12 декабря: ⭐️ Курс «Тестирование Веб-Приложений на проникновение (WAPT)» 🌟 Курс «Введение в Информационную Безопасность» 🌟 Курс «Реагирование на компьютерные инциденты» 🌟 Курс «Компьютерные сети» Старт 9 декабря: 🌟 Курс «Организация защиты информации на объектах критической информационной инфраструктуры» Старт 16 декабря: ⭐️ Курс «Анализ защищенности инфраструктуры на основе технологий Active Directory» 🌟 Курс «Реверсивный инжиниринг ПО под ОС Windows» 🌟 Курс «Python для Пентестера» 🌟 Курс «Основы DevOps» 🔔 Запишитесь у нашего менеджера @Codeby_Academy 🚀 или узнайте подробности на сайте!

Российские СМИ сообщили о задержании в Калининграде одного из самых известных киберпреступников — Михаила Павловича Матвеева, известного в сети под псевдонимами WazaWaka, Uhodiransomwar, m1x и Boriselcin 👀

🗣️ Согласно данным агентства РИА Новости, суд уже зарегистрировал уголовное дело против Матвеева, который обвиняется в создании вредоносного ПО. В материалах дела утверждается, что в январе 2024 года он разработал новую версию программ-вымогателей.

Имя Матвеева впервые стало известно благодаря расследованию журналиста Брайана Кребса в 2022 году. ✏️ В 2023 году Министерство юстиции США обвинило его в организации атак программ-вымогателей на ряд организаций, включая департамент полиции Вашингтона и медицинские учреждения Нью-Джерси. 🔖 Кроме того, Матвеев был связан с такими группировками, как Babuk, Conti, Darkside, Hive и LockBit. За информацию, которая помогла бы задержать Матвеева, США объявили награду в $10 млн. #новости