S.E.Book

Производитель аппаратных кошельков для криптовалют Trezor сообщает, что утечка данных в августе у ее поставщика услуг доставки и логистики ShipMonk затронула еще 67 000 клиентов в США. В общей сложности утечка данных затронула 81 000 клиентов после того, как 13 августа Trezor изначально уведомила о том, что злоумышленники получили доступ к данным почти 14 000 клиентов, включая их полные имена, адреса доставки, адреса электронной почты и номера телефонов. Как пояснила компания в то время, инцидент затронул клиентов в Бразилии, Колумбии, Италии, Португалии, Швеции и Великобритании, получивших заказы в период с 10 мая по 8 августа 2026 года. В пятницу компания опубликовала обновленную информацию, подтверждающую, что последствия утечки данных расширились после того, как ShipMonk не удалила скомпрометированные данные из своих систем, как того требуют контракт и политика обработки данных Trezor. Так что, как заявили в Trezor, еще 67 000 клиентов из США, оформивших заказы в период с ноября 2019 года по август 2021 года, пострадали, и их полные данные (имя, электронная почта, номер телефона, адрес доставки, номер заказа) были раскрыты. Компания добавила, что утечка данных не повлияла на ее деятельность или услуги, что ее системы не были скомпрометированы и что все устройства Trezor защищены. Также компания предупредила пострадавших клиентов о необходимости проявлять осторожность в отношении любых сообщений с запросом личной информации, поскольку они могут стать целью фишинговых атак. Trezor пока не раскрыла, как именно были взломаны системы ShipMonk, однако в электронных письмах с уведомлениями о взломе, отправленных пострадавшим клиентам, говорится, что злоумышленники использовали уязвимость в стороннего аналитического сервиса Metabase. Metabase выявила, что злоумышленники использовали критическую 0-day, связанную с SQL-инъекциями, для взлома клиентских экземпляров и осуществления атак с целью кражи данных после получения доступа администратора к скомпрометированному экземпляру. При этом ShipMonk получал электронные письма с угрозами вымогательства от группы вымогателей ShinyHunters. В список компаний, пострадавших от атаки Metabase, также вошли онлайн-платформа для создания форм Tally и производитель ноутбуков Framework, которые также уведомили клиентов об утечках данных после взлома их учетных записей. Ранее в январе 2024 года Trezor уже сталкивалась с утечкой данных после того, как злоумышленники взломали ее сторонний портал обработки заявок в службу поддержки, тогда хакеры получили доступ к данным примерно 66 000 пользователей. Украденные данные впоследствии были использованы в фишинговых атаках с целью кражи 24-словных сид-фраз для восстановления кошелька получателей.

🖥 Gopher. Протокол, который поддерживается энтузиастами по сей день. • Когда в 90-х годах к сети начали подключать все больше ПК, то появился спрос на специальный инструмент для поиска и считывания данных. Из-за этого и возник так называемый «Internet Gopher Protocol». В спецификации протокола RFC1436 мы можем встретить многие понятия, используемые и по сей день: соединение TCP/IP, модель «клиент-сервер» и т. п. Если коротко, то Gopher был своего рода протоколом «раннего веба» в простом текстовом виде, оптимизированным для медленных соединений. • На самом деле, Gopher был активен не так долго, его создали в 1991 году, а популярность начала снижаться в 1994 году. Проблемы были не только техническими, но и юридическими — лицензия на сервер Gopher была платной (её перелицензировали под GNU License только в 2000 году). Кроме того, компьютеры стали мощнее, и люди стали предпочитать более красивые страницы WWW вместо текстовых. Любопытно, что Internet Explorer в Windows 95 мог открывать ссылки Gopher, но уже в Windows XP этой функции больше не было. • Но всё-таки некоторые серверы Gopher поддерживаются энтузиастами и по сей день. Бесплатный клиент можно скачать со страницы https://github.com/jankammerath/gophie/releases, а потом попробовать открыть страницу gopher://gopherddit.com:70, обеспечивающую доступ к группам Reddit, ну или адресу gopher://gopherpedia.com:70 можно читать Википедию. #Разное

📶 Алгоритм установления соединения в протоколе SSH. • Алгоритм протокола SSH можно разделить на три уровня, каждый из которых располагается над предыдущим: транспорт (открытие защищённого канала), аутентификация, подключение. Для целостности картины добавим сюда уровень установки сетевого соединения, хотя официально этот уровень находится ниже SSH. 🟢 Установка TCP-соединения: на этом этапе происходит сетевое подключение клиента к серверу на TCP-порт, указанный в опции Port (по умолчанию: 22) в файле конфигурации сервера /etc/ssh/sshd_config 🟢 Открытие защищенного канала: - Обмен идентификационными данными: после установки TCP-соединения, клиент и сервер обмениваются версиями SSH-протокола и другими вспомогательными данными, необходимыми для выяснения совместимости протоколов и для выбора алгоритмов работы. - Выбор алгоритмов (обмена ключами, шифрования, сжатия и т.п.): на этом шаге стороны отсылают друг другу списки поддерживаемых алгоритмов, наибольший приоритет имеют алгоритмы в начале каждого списка. Затем сравнивают алгоритмы в полученных списках с алгоритмами, имеющимися в системе, и выбирают первый совпавший в каждом списке. Список доступных алгоритмов обмена ключами на стороне клиента (используются для получения сессионного ключа) можно посмотреть командой: ssh -Q kex - Получение сессионного ключа шифрования: Процесс получения сессионного ключа может отличаться в зависимости от версии алгоритма, но в общих чертах сводится к следующему: Сервер отсылает клиенту свой ключ (DSA, RSA или т.п.), если клиент производит соединение с данным сервером впервые, то пользователю будет задан вопрос о доверии ключу сервера. Если же соединение с данным сервером уже устанавливалось ранее, то клиент сравнивает присланный ключ с ключом, записанным в /home/username/.ssh/known_hosts. Если ключи не совпадают, то пользователь получит предупреждение о возможной попытке взлома. Как только клиент определился с доверием к ключу сервера, с помощью одной из реализаций алгоритма Диффи-Хеллмана клиент и сервер генерируют сеансовый ключ, который будет использоваться для симметричного шифрования канала. 🟢 Аутентификация клиента: только теперь, когда клиент и сервер установили канал для зашифрованной передачи данных, они могут произвести аутентификацию по паролю или ключам. - В общих чертах, аутентификация посредством ключей происходит следующим образом: клиент отсылает серверу имя пользователя и свой публичный ключ. Сервер проверяет в файле /home/username/.ssh/authorized_keys наличие присланного клиентом открытого ключа. Если открытый ключ найден, то сервер генерирует случайное число и шифрует его открытым ключом клиента, после чего результат отправляется клиенту. Клиент расшифровывает сообщение своим приватным ключом и отправляет результат серверу. Сервер проверяет полученный результат на совпадение с тем числом, которое он изначально зашифровал открытым ключом клиента, и в случае совпадения считает аутентификацию успешной. 🟢 Уровень подключения: после проведения всех вышеперечисленных процедур, пользователь получает возможность передавать команды серверу или копировать файлы. #SSH

🖥 FAR Manager. • Вероятно Вы слышали, что Евгений Лазаревич Рошал, который является автором формата RAR и архиватора WinRAR, является еще создателем файлового менеджера FAR Manager. История создания FAR начинается через три года после создания WinRAR, а первая общедоступная бета-версия менеджера увидела свет 10 сентября 1996 года. • В то время FAR начал уверенно конкурировать с другим набиравшим популярность на постсоветском пространстве файловым менеджером: DOS Navigator, но обладал перед ним целым рядом преимуществ. Прежде всего, FAR умел взаимодействовать с файловой системой NTFS, благодаря чему с ним могли работать пользователи Windows NT. Кроме того, он корректно определял кодировки русского языка (в том числе, в именах каталогов и файлов), и позволял устанавливать подключаемые модули — плагины, которые значительно расширяли функциональность программы. • Первые редакции FAR Manager были проприетарными, но в 2000 году Рошал передал версию 1.64 нескольким авторам наиболее популярных плагинов «за спасибо», после чего программа получила дальнейшее развитие под лицензией BSD, а ее разработчики объединились в организацию под названием FAR Group. • В 2004 году Евгений передал все коммерческие права на свои разработки старшему брату Александру Рошалу, который впоследствии стал самостоятельно контролировать вопросы распространения его программных продуктов, а сам покинул Россию. Евгений Лазаревич ведет очень замкнутый образ жизни, поэтому о его нынешнем роде занятий практически ничего не известно. По слухам, он обосновался в Германии, а позже перебрался в США. • В настоящий момент архиватором Рошала продолжают пользоваться миллионы людей по всему миру, а FAR Manager до сих пор установлен на многих компьютерах под управлением Microsoft Windows — эту программу предпочитают те, кто привык к «двухппанельному» интерфейсу классического Norton Commander. #Разное

👩‍💻 "89 things I know about Git commits". • Объемный чек-лист, который может оказаться полезным при работе с Git: https://www.jvt.me/posts/2024/07/12/things-know-commits/ #git

Более 3 миллионов сайтов WordPress подвержены SQL-уязвимости плагина All-in-One WP Migration and Backup. Уязвимость высокой степени опасности (CVE-2026-19949, CVSS 8,8)) позволяет неавторизованным злоумышленникам удаленно выполнять код, о чем предупредила Defian. Проблема описывается как SQL-инъекция второго порядка в функции восстановления архива плагина. Как поясняет Defiant, недостаток заключается в том, что вводимые пользователем данные недостаточно экранированы, а существующие SQL-запросы недостаточно подготовлены. Злоумышленник реализовать вредоносный контент через функцию отслеживания ссылок ядра WordPress, дабы извлечь секретный ключ, использованный во время операции восстановления архива, а затем использовать его для развертывания вредоносного плагина и RCE. Комплексное решение для миграции и резервного копирования WordPress упаковывает сайты в архивы .wpress и позволяет администраторам восстанавливать архив на любом целевом сервере. Операция импорта не требует аутентификации, но защищена секретным ключом, который сохраняется при каждом восстановлении базы данных. CVE-2026-19949 позволяет злоумышленнику отправить два трекбэка к общедоступному сообщению, каждый из которых содержит обратную косую черту в конце и URL-адрес, ведущий к полезной нагрузке. Входные данные сохраняются без удаления обратных косых черт и без отклонения URL-адресов. После того как администратор архивирует, а затем импортирует сайт, плагин переписывает URL-адреса и префиксы таблиц в сохраненном SQL-коде. Предоставленные злоумышленником входные данные преобразуются в исполняемый SQL-код, в результате чего значение секретного ключа записывается в комментарий, который утверждается и становится общедоступным. Неавторизованный злоумышленник может затем получить секретный ключ из конечной точки REST API комментариев сайта и использовать его для импорта специально созданного архива .wpress, содержащего вредоносный обязательный для использования плагин, который запускается при следующей загрузке страницы, что приводит к RCE. По итогу, как и в случае со всеми уязвимостями удаленного выполнения кода, это может привести к полной компрометации сайта с помощью веб-оболочек и других методов. Уязвимость затрагивает все версии All-in-One WP Migration and Backup до 7.109 включительно и была исправлена в версии 7.110, выпущенной 20 августа. Стоит отметить, что All-in-One WP Migration and Backup - весьма популярный инструмент для резервного копирования и восстановления WordPress, который имеет более 5 млн. активных установок. По состоянию на 3 сентября только 35% всех установок были обновлены до версии 7.110, что означает, что примерно 3,2 миллиона сайтов используют уязвимую версию плагина, если верить статистике WordPress.

📞 Первый трансконтинентальный телефонный звонок. • А вы знали, что с момента первого трансконтинентального телефонного звонка прошло больше 100 лет? 25 января 1915 года Александр Грейам Белл, один из основоположников телефонии и основатель Bell Labs, поговорил со своим помощником Томасом Ватсоном. При этом Белл находился в Нью-Йорке, а Ватсон – в Сан-Франциско. Это стало знаковым событием в мире коммуникаций. • За 39 лет до этого Белл совершил первый в мире телефонный разговор с тем же Ватсоном, находившемся всего лишь в другой комнате. Теперь же для разговора через континент потребовалась серьёзная инфраструктура. Старожилы помнят возню с междугородными и международными звонками несколько десятилетий назад, когда приходилось «заказывать разговоры». Но в 1915 году это был практически хакатон. • В 1915 году на звонок потребовалось 10 минут, так как все операторы станций по пути следования звонка должны были вручную сделать необходимые включения. Связь шла по медным проводам протяжённостью в 11000 километров, которые представляли собой, фактически, единый контур, который мог одновременно поддерживать только один звонок. После этого события официально была запущена услуга коммерческой телефонной связи. Трёхминутный звонок обходился в $20.7, что в нынешних ценах составляет примерно $1100. #Разное

👩‍💻 Win11Debloat. • Очень полезный PowerShell скрипт, который поможет вырезать весь мусор и ускорить Ваш Windows. Возможности: — Удалить все бесполезные приложения, которые замедляют ОС; — Отключить рекламу в меню Пуск; — Вернуть панель задач из Windows 10; — Вырубить телеметрию и сбор данных; — Убрать бессмысленные опции в контекстном меню; — Вырезать Кортану, Copilot и Bing. • Работает на Windows 11 и 10. Если какие-то изменения не подходят — их легко откатить. Забираем с GitHub: ➡️ https://github.com/Raphire/Win11Debloat #PowerShell #Windows

Week Offer для инженеров AppSec, InfraSec и SOC L3 Приглашаем инженеров по информационной безопасности с опытом от 2 лет получить офер в Яндекс за неделю.  Как всё устроено: ♒️Зарегистрируйтесь до 4 сентября. ♒️Пройдите технические секции 12 и 13 сентября. ♒️Познакомьтесь с нанимающими менеджерами и получите офер 14–18 сентября. Формат полностью удалённый, от вас нужен только ноутбук и тихое место, где вас никто не будет отвлекать. Рекрутер заранее договорится с вами о временных интервалах, удобных для интервью. ⏩Регистрируйтесь и присоединяйтесь к команде Яндекса: https://yandex.ru/project/events/wo-security-0926

• Станет еще "безопаснее": Министерство цифрового развития направило письма хостинг и CDN-провайдерам, чтобы выделить IP-адреса сайтов из белого списка в отдельные подсети. Таким образом VPN-сервисам станет гораздо сложнее обходить "белые списки"... ➡️ Источники [1],[2]. #Новости

Исследователи Лаборатории Касперского детально разобрали известный бэкдор ValleyRAT, который маскировался и распространялся под видом рекламного ПО. Как правило, злоумышленники пытаются выдать вредоносное ПО за полезные приложения или же за нежелательные ПО, которые пользователи ищут и скачивают добровольно, например читы или активаторы пиратского ПО. Нередко атакующие используют рекламные и партнерские сети для доставки своих разработок на устройства жертв. Собственно, в в новом отчете ЛК обращает внимание на не совсем стандартный случай: известный бэкдор распространялся под видом рекламного ПО. Исследователи предполагают, что злоумышленники выбрали такой метод, поскольку рекламное приложение было подписано разработчиком. Кроме того, пользователи самостоятельно добавляют такие программы в исключения, дабы воспользоваться их полезной функциональностью. Некоторое время назад в ЛК обратился клиент с просьбой проанализировать и добавить в базу детектируемых объектов файл с MD5-хэшем c24e99f9437feacaa63766a3cde3fe3d. Изначально в ЛК идентифицировали его как рекламное ПО, однако поверхностный анализ выявил подозрительную сетевую активность образца, и было решено изучить его глубже. Оказалось, что рекламой дело не ограничивается. Более того, рекламная функциональность в образце нерабочая, зато он запускает цепочку заражения, которая доставляет в систему бэкдор ValleyRAT. Файл, которым с нами поделился клиент, оказался инсталлятором, выполняющим различные действия в зависимости от того, какой суффикс используется в его имени. Вероятнее всего, чтобы отвлечь внимание пользователя от вредоносной функциональности образца. Вне зависимости от имени файла инсталлятор устанавливает в систему модифицированное китайское ПО для управления обоями рабочего стола под названием QN Wallpaper (hxxps://qnwallpaper[.]keansoft[.]cn/) и добавляет в автозагрузку в реестре. В оригинальной версии QN Wallpaper - действительно рекламное ПО, которое доставляет на устройство партнерские приложения, а затем показывает пользователю рекламные баннеры. Однако в данном случае злоумышленники используют его для реализации DLL sideloading.  В целом за 2026 год ЛК задетектила бэкдор ValleyRAT, а также связанные с ним вредоносные ПО более 100 тысяч раз, у более чем 1500 уникальных пользователей, преимущественно из Китая и Индии. Такая география атак, а также тот факт, что в них применяется ValleyRAT, может указывать на то, что за кампанией стоит группировка Silver Fox - известный оператор этого семейства вредоносного ПО. Она атакует организации в разных странах с целью кибершпионажа и также обогащения. Этот кейс - своего рода яркий пример того, что рекламные приложения и партнерские сети могут оказаться куда опаснее, чем кажется. ValleyRAT представляет собой сложный бэкдор, способный собирать чувствительные данные, такие как нажатия клавиш и содержимое буфера обмена, делать скриншоты и доставлять на устройство дополнительные вредоносные модули. Злоумышленники воспользовались известным рекламным приложением, чтобы выполнить бэкдор от имени подписанного процесса, усложняя таким образом обнаружение атаки. Подробный технический разбор и IOCs - в отчете.

• Я тут Вам очень крутую шпаргалку по командам Linux принёс. Надеюсь, что будет полезно. #Linux

• А вы знали, что установка Windows 95 проходила через три операционные системы: MS-DOS, Windows 3.1, а уже потом Windows 95. Почему не перейти от MS-DOS сразу к Windows 95? • Пользователь Twitter @tthirtle спросил:

Here’s another good question. Why does Windows 95 setup use 3 different UI’s. DOS,Win3.x,and Win9x? - - - Ещё один хороший вопрос: почему в установке Windows 95 используется три разных UI. DOS, Win3.x и Win9x?

• Установка Windows 95 может быть апгрейдом с трёх начальных точек: MS-DOS, Windows 3.1 или Windows 95. (Да, можно проапгрейдить Windows 95 до Windows 95. Это может понадобиться для того, чтобы восстановить повреждённую систему и сохранить при этом данные). • Один из вариантов решения — написать три версии установки Windows 95: одна для установки из MS-DOS, другая для установки из Windows 3.1 и третья для установки из Windows 95. Это не очень удобный вариант, ведь, по сути, придётся трижды выполнять одну и ту же работу, но реализованную по отдельности, так что потребуется в три раза больше кода. • Вариант получше: просто написать одну версию установки Windows 95 и использовать её для всех трёх начальных точек. Так вы сможете выбирать платформу, на которой будет базироваться ваш код. • Если написать установку Windows 95 как приложение MS-DOS, то оно запустится на всех трёх платформах. И это отлично! Достаточно написать только одну программу-установщик. Недостаток этого заключается в том, что это будет установщик в текстовом режиме, который будет выглядеть некрасиво и оставит неприятное первое впечатление от продукта, который должен познакомить пользователя с миром совершенно нового GUI. • Вариант с другого конца спектра: можно написать установщик Windows 95 как 32-битную GUI-программу, но если пользователь начинает с MS-DOS или Windows 3.1, то придётся установить Windows 95 до того, как можно будет запустить установку Windows 95! • Но есть и золотая середина: можно сделать так, чтобы программа-установщик для MS-DOS устанавливала минимальную версию Windows 3.1, в которой есть только ровно необходимое для 16-битной GUI-программы установки. Эта крошечная версия достаточно мала, чтобы её можно было скопировать и установить с небольшого количества гибких дисков. После завершения её установки можно загрузить крошечную версию Windows 3.1 и запустить 16-битную GUI-программу установки. • Итак, теперь у нас есть три программы-установщика. Первая используется при установке из MS-DOS: она устанавливает крошечную версию Windows 3.1, а затем загружает Windows 3.1, чтобы продолжить выполнение со следующего этапа. • Вторая программа-установщик запускается как 16-битная программа Windows или в миниатюрной копии Windows 3.1 (если пользователь выполняет апгрейд с MS-DOS), или в реальной копии Windows 3.1 (если пользователь апгрейдится с Windows 3.1), или в реальной копии Windows 95 (если пользователь обновляется с Windows 95). Эта вторая программа-установщик и выполняет практически всю реальную работу: она обеспечивает первоначальное взаимодействие с пользователем для получения информации о том, как устанавливать Windows 95, например, спрашивает, какие опциональные компоненты нужно установить, а также выполняет распознавание оборудования, чтобы знать, какие драйверы устанавливать2. Затем она копирует драйверы и файлы Windows 95 в систему, выполняет миграцию старых настроек в новую операционную систему и загружает Windows 95. • Третья программа-установщик запускается как 32-битное приложение Windows. Она работает в реальной системе Windows 95 и выполняет финальные шаги, требующие живой работающей системы, например, устанавливает принтеры. Именно поэтому установка Windows 95 — это, на самом деле, цепочка из трёх программ-установщиков. Это позволяет использовать одну копию кода во всех трёх сценариях установки. Каждая программа на один шаг приближает вас к цели. И всё это реализовано только один раз. ➡ Первоисточник || Источник. #Разное

• Как оценивают выплаты в баг баунти. #Юмор

• Более 2 млн. баксов были украдены одним злоумышленником, который создал фишинговые сайты криптокашелька Ledger и закупил рекламу в Google ads. 90% жертв переходили на фишинговые ресурсы, которые им показывала поисковая выдача Google, вводили там свои Seed-фразы и сразу теряли криптовалюту. ➡️ Источник. #Новости #Security

👨‍💻 Attack methods for Windows Active Directory. • Этот репозиторий содержит информацию о методах, которые используются для атак Windows Active Directory. Материал постоянно обновляется и поддерживается автором в актуальном состоянии. Обязательно добавляйте в закладки и используйте на практике: • Pre-requisites; • PowerShell AMSI Bypass; • PowerShell Bypass Execution Policy; • Evasion and obfuscation with PowerShellArmoury; • Windows Defender; • Remote Desktop; - Enable Remote Desktop; - Login with remote desktop; - Login with remote desktop with folder sharing; • Enumeration; - Users Enumeration; - Domain Admins Enumeration; - Computers Enumeration; - Groups and Members Enumeration; - Shares Enumeration; - OUI and GPO Enumeration; - ACLs Enumeration; - Domain Trust Mapping; - Domain Forest Enumeration; - User Hunting; - Enumeration with BloodHound; - Gui-graph Queries; - Console Queries; • Local Privilege Escalation; • Lateral Movement; • Persistence; - Golden Ticket; - Silver Ticket; - Skeleton Key; - DCSync; • Privilege Escalation; - Kerberoast; - Targeted Kerberoasting AS REPs; - Targeted Kerberoasting Set SPN; - Kerberos Delegation; - Unconstrained Delegation; - Printer Bug; - Constrained Delegation; - Child to Parent using Trust Tickets; - Child to Parent using Krbtgt Hash; - Across Forest using Trust Tickets; - GenericAll Abused; • Trust Abuse MSSQL Servers; • Forest Persistence DCShadow. #Пентест #AD

По данным Минюста, в США нейтрализовали работу китайской хакерской платформы и связанного с ней ботнета APT-группы QTFY, нацеленной на военные объекты и объекты критической инфраструктуры и действовавшей, как утверждается, через Nanjing Xinjiuwei Network Technology. QTFY с момента своего основания в 2018 году якобы предлагала свои хакерские услуги правительству Китая и другим странам, что позволило ей совершать атаки на многие критически важные системы в Соединенных Штатах.  Под пресс американских силовиков попало два хакерских сервиса, реализуемых QTFY: платформа сканирования и эксплуатации QScan и сеть обфускации QTRouter. QScan предназначен для сканирования интернета на наличие уязвимых IoT-устройств и их включения в ботнет QTRouter, что позволяло злоумышленникам использовать скомпрометированные устройства для сокрытия своей вредоносной деятельности и избежания обнаружения. Властям США удалось выявить и нейтрализовать домены, используемые QScan и QTRouter, которые были жестко закодированы в вредоносных программах и использовались для выполнения важных задач, включая связь и аутентификацию. В представленном ФБР техническом уведомлении утверждается, что QTFY разрабатывает вредоносные инструменты, торгует вредоносным ПО и эксплойтами, а также поддерживает ботнеты для осуществления своих атак. В число целевых секторов входят оборонно-промышленная база, органы местного самоуправления, телекоммуникации и сфера образования. Некоторые попытки группы взломать важные сети оказались безуспешными, включая атаки на Министерство энергетики, избирательные системы, Министерство здравоохранения и социальных служб, Сенат США, детскую больницу, компанию по производству полупроводников и энергетическую компанию. Другие атаки, по всей видимости, оказались успешными, по крайней мере, в некоторой степени, в том числе пострадали NASA, Министерство юстиции, Федеральная резервная система, Министерство энергетики, правительства штатов, крупная торговая компания, телекоммуникационные компании, оборонные подрядчики, университеты и финансовые учреждения.  Хакеры использовали уязвимости в широкой линейке продуктах таких компаний, как BeyondTrust, CrushFTP, Ivanti, Check Point, Atlassian, Kentico, F5, Microsoft, Citrix, Fortinet и Pulse Secure. В ФБР отметили, что участники QTFY активно работают в сообществе разработчиков эксплойтов, в сетях независимых хакеров КНР, а также на китайских рынках киберпреступлений и «субподрядных» работ. При этом принимают участие в наступательных операциях по атакам и защите национальной критической инфраструктуры. В бюро отдельно приписывают вовлеченность компании, стоящей за QTFY, в деловые отношения с различными организациями, связанными с группой кибершпионажа Salt Typhoon, а также ранее слитой в сеть i-Soon и рядом других. В общем, сразу все в кучу, прямо с 2018 года.

👣 Docker Escape. • Очень крутой и содержательный урок (вебинар) про различные методы, которые злоумышленник может использовать для побега из контейнера Docker, а ещё мы разберем необходимые шаги для успешного побега на понятных примерах. Также обсудим причины возникновения таких уязвимостей и разберём, какие меры можно принять, чтобы предотвратить побег из контейнеров по следующим сценариям: ➡SYS_ADMIN; ➡SYS_PTRACE; ➡SYS_MODULE; ➡DAC_READ_SEARCH; ➡DAC_OVERRIDE; ➡docker soсket. ➡️ https://youtu.be/biC3TO7OELY ➡️ https://github.com/aleksey0xffd/docker-escape • К слову, у автора есть много другого полезного материала. Обязательно к просмотру: ➡Введение в безопасность Docker; ➡Ультимативный гайд по харденингу Docker. #Docker

🔎 Форензика. • Любая наука склонна делиться на более мелкие темы. Давайте прикинем, на какие классификации делится форензика, а в самом конце поста Вы найдете ссылки на два полезных репозитория, которые содержат в себе учебный материал для изучения каждого направления: 1⃣ Computer forensics — к ней относится все, что связано с поиском артефактов взлома на локальной машине: анализ RAM, HDD, реестра, журналов ОС и так далее; 2⃣ Network forensics — как понятно из названия, имеет отношение к расследованиям в области сетевого стека — например, дампу и парсингу сетевого трафика для выявления таких интересных вещей, как RAT, reverse shell, backdoor-туннели и тому подобное; 3⃣ Forensic data analysis — посвящена анализу файлов, структур данных и бинарных последовательностей, оставшихся после атаки или использовавшихся при вторжении. 4⃣Mobile device forensics — занимается всем, что касается особенностей извлечения данных из Android и iOS. 5⃣ Hardware forensic — экспертиза аппаратного обеспечения и технических устройств. Это направление наименее популярно и наиболее сложно. Сюда входит разбор данных на низком уровне (микроконтроллера, прошивки или BIOS), ресерч специфических особенностей работы устройства, к примеру диапазона частот работы Wi-Fi-передатчика или внутреннего устройства скиммера, устанавливаемого на банкоматы. • Для изучения данной науки я предлагаю обратить внимание на несколько репозиториев, в которых собраны инструменты, книги, руководства и другой полезный материал: - Adversary Emulation; - All-In-One Tools; - Books; - Communities; - Disk Image Creation Tools; - Evidence Collection; - Incident Management; - Knowledge Bases; - Linux Distributions; - Linux Evidence Collection; - Log Analysis Tools; - Memory Analysis Tools; - Memory Imaging Tools; - OSX Evidence Collection; - Other Lists; - Other Tools; - Playbooks; - Process Dump Tools; - Sandboxing/Reversing Tools; - Scanner Tools; - Timeline Tools; - Videos; - Windows Evidence Collection. ➡ https://github.com/mikeroyal/Digital-Forensics-Guide ➡ https://github.com/Correia-jpv/fucking-awesome-incident-response #Форензика