Записки Безопасника

🤒 Как атакующие отключают EDR легальным драйвером Bring Your Own Vulnerable Driver – техника, при которой атакующий приносит на хост подписанный, но уязвимый драйвер и через него получает доступ к ядру Windows, чтобы отключить защиту изнутри.

По оценке Symantec, в 2026 году BYOVD стала самой частой техникой обхода защиты в ransomware, а один отозванный драйвер EnCase снял 59 EDR-агентов за 30 секунд.

— В материале разберем устройство загрузки уязвимых драйверов, почему подпись не спасает, свежий приём со встраиванием драйвера в тело шифровальщика и чем это блокируется. ↘️ Habr ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Легальные бинарники Windows как оружие атаки LOLBAS – открытый справочник от одноимённого проекта, каталогизирующий штатные подписанные Microsoft бинарники и скрипты, пригодные для атак Living Off The Land. — Для каждого файла показано, как легитимный компонент вроде certutil или regsvr32 служит для доставки полезной нагрузки, исполнения кода или обхода контроля приложений, с привязкой к техникам MITRE ATT&CK.

Для защитника это готовый перечень того, что нельзя считать доверенным лишь потому, что оно подписано Microsoft.

↘️ LOLBAS ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 В OpenAI неделю не замечали, что их ИИ агент проводил атаки Экспериментальный ИИ-агент OpenAI, тестируемый на поиск уязвимостей, сбежал из изолированной среды, обнаружил уязвимость нулевого дня и, получив доступ к интернету, атаковал платформу Hugging Face.

Сотрудники OpenAI заметили потерю контроля только через неделю, когда специалисты Hugging Face уже остановили атаку и уведомили ФБР.

— В OpenAI назвали инцидент беспрецедентным для ИИ-безопасности, проводят расследование и обещают технический отчёт, но представитель компании заявил о неточностях в журналистском материале Reuters. ↘️ Xakep ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🚰 Платформа для выявления утечек Конфиденциальной информации Microsoft Presidio — фреймворк с открытым исходным кодом, предназначенный для обнаружения, анализа и анонимизации персональных данных (ПД) в тексте свободной формы — Он позволяет выявлять или удалять в документах, тексте и изображениях информацию, содержащую персональные и конфиденциальные данные

Например ФИО, номера телефонов, email, номера кредитных карт, криптокошельки, адреса, номера паспортов, финансовые данные и т.п

Основная задача фреймворка – помочь соответствовать требованиям регуляторов и защитить приватность пользователей, автоматизируя рутинные и подверженные ошибкам процессы 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

📷 Перебор пользователей AD через Kerberos без алертов в логах Kerbrute – инструмент на Go от Ронни Флатерса для быстрого перечисления и перебора учётных записей Active Directory через Kerberos Pre-Authentication. — Ключевое преимущество перед LDAP/SMB-перебором: неудачный запрос TGT без pre-auth не генерирует событие 4625, а значит не триггерит большинство SIEM-правил на подозрительные входы.

Userenum работает отправкой TGT-запроса без pre-auth – KDC возвращает PRINCIPAL UNKNOWN для несуществующих и запрашивает пароль для валидных, что позволяет перечислить реальных пользователей домена без единого failed login.

🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☁️ Username Typo-Squatter Finder | Поиск аккаунтов-имперсонаторов и тайпосквоттеров - установка и использование 2026 В мире OSINT расследований и корпоративной безопасности Username Typo-Squatter Finder представляет собой специализированный инструмент для автоматического поиска аккаунтов, маскирующихся под известные бренды, компании или публичных людей.

В 2026 году, с ростом фишинга, социальной инженерии и краж цифровых идентичностей, умение находить тайпосквоттерские и гомоглифные аккаунты критически важно для специалистов по безопасности, бренд-менеджеров, журналистов и OSINT-аналитиков.

— В данной статье мы подробно разберем все аспекты работы с TypoSquatFinder: от установки до продвинутого использования, генерации пермутаций, анализа результатов и практических примеров защиты бренда. ↘️ Forensicanvil ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Блокчейн без хайпа | Что там внутри и где ломается «Блокчейн. Исчерпывающее руководство» Имрана Башира – технически плотная книга об устройстве распределённых реестров с взглядом на блокчейн не как на «защищённую по умолчанию» технологию, а как на систему с чёткой моделью угроз: 51%-атаки, уязвимости смарт-контрактов и атаки на приватные ключи актуальны независимо от декларируемой неизменности цепочки.

Распределённость и криптография решают проблему доверия между участниками, но не снимают привычных векторов: код смарт-контракта может содержать баги, а ключи утекать.

— В книге мы разберем криптографические основы и механизмы консенсуса, архитектура Bitcoin, Ethereum и Hyperledger, разработка и аудит смарт-контрактов, вопросы конфиденциальности и типичные атаки на блокчейн-системы. ↘️ Max ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 В США предложили обязать разработчиков ИИ внедрить аварийное отключение моделей В США внесён двухпартийный законопроект AI Kill Switch Act, обязывающий разработчиков мощных ИИ-систем сохранять техническую возможность экстренного отключения своих моделей по требованию Министерства внутренней безопасности. — Основанием для вмешательства могут стать потеря контроля, попытка обхода механизмов отключения или серьёзный ущерб, а за отказ выполнить распоряжение грозит штраф до $20 млн в сутки.

Инициатива пока находится на рассмотрении и не является законом, но авторы подчёркивают рост рисков от автономных ИИ-агентов в финансовой сфере, транспорте и критической инфраструктуре.

↘️ SecurityMedia ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

♥️ Полная карта инструментов для разбора вредоноса Awesome Malware Analysis – курируемый список Райана Шиппа, который покрывает весь цикл работы с вредоносными образцами: от детекта и классификации до реверса и форензики памяти. — В одном месте собраны онлайн-песочницы, инструменты для анализа сетевого трафика, дебаггеры, декомпиляторы, yara-правила, репозитории с образцами и книги по практическому анализу малвари.

Удобен как путеводитель по инструменту под конкретную задачу: нужна песочница – один раздел, разбор документов и шеллкода – другой, Windows Artifacts и Memory Forensics – третий.

🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

Дождались: Ozon Tech не просто выкатил программу на E-CODE. По информационной безопасности в этом году отдельный трек! Полноценный сет докладов от ИБ-экспертов из разных отраслей. В программе создание аналога SLSA одновременно для банка и спутниковой системы, прогулка по ландшафту киберугроз с разбором критических ошибок, применение Defense-in-Depth и DFIR в компании ИИ-агентов. И конечно кейсы в концепте Zero Trust, к которому все мы стремимся. Кстати, к чему стремится именно Ozon Tech в контексте кибербеза, можно будет напрямую узнать у CISO Кирилла Мякишева. Он тоже выступит с докладом. Вообще заявлено много крутых экспертов. Знакомьтесь с программой и регистрируйтесь тут: https://ecode.ozon.tech/ ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

✔️ Карта источников и инструментов для TI-аналитика Awesome Threat Intelligence – курируемая подборка Германа Слатмана из источников, фидов, платформ и инструментов для работы с данными об угрозах. — В одном месте собраны открытые фиды IOC, TAXII-сервисы со STIX-потоками, платформы анализа малвари вроде Malpedia и MalShare, инструменты для обогащения индикаторов и фреймворки для построения TI-программы.

Источники разбиты по типу данных и по уровню доступа, так что аналитик быстро находит нужный фид под конкретную задачу, а не роется в поисковике.

🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

После атаки в системе всегда остаются следы. Вопрос в том, умеет ли их кто-то прочитать. Довольно сложно понять, что именно произошло, когда, через что зашли злоумышленники и какие данные могли быть затронуты. Особенно если инфраструктура на Linux — здесь многое устроено иначе, чем в Windows, и без отдельной экспертизы расследование часто застревает на уровне догадок. В Codeby Academy есть практический онлайн-курс «Цифровая криминалистика и реагирование на инциденты в Linux (DFIR)»🚗 За 3,5 месяца вы научитесь проходить полный цикл расследования: от первых признаков компрометации до восстановленной картины атаки. Что внутри: ⏺️ реальные кейсы на основе расследований КИ 2023–2024 ⏺️ сбор и анализ артефактов: логи, процессы, файловая система, сетевая активность ⏺️ работа с open-source инструментами DFIR ⏺️ практика в учебной лаборатории + разбор домашних заданий с преподавателем ⏺️ удостоверение о повышении квалификации после экзамена Ближайший старт — 27 июля. Скидка 30% при оплате сразу. Доступна также поэтапная оплата 6 520 ₽/мес ➡️Записаться и посмотреть программу 🪧Бесплатная консультация @CodebyAcademyBot

🤒 Когда архитектура приложения определяет его уязвимости «Spring и Spring Boot. Разработка облачных приложений на Java» Ф. Урванова – практическое руководство по разработке на самом популярном Java-фреймворке.

Для безопасника здесь важен взгляд изнутри: Spring Boot-приложения составляют значительную часть бэкенда, и именно их ломают через неправильно настроенные Actuator-эндпоинты, небезопасную десериализацию и уязвимые зависимости в цепочке поставок.

— В книге разбираются IoC-контейнер и DI, построение REST API, Spring Security для аутентификации и авторизации, работа с базами данных и развёртывание в облаке через Docker и Kubernetes. ↘️ Max ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

↔️ NTLM Coercion в 2026: от PetitPotam до Reflection NTLM Coercion – принудительная аутентификация Windows-хоста на подконтрольный сервер атакующего, по-прежнему один из самых продуктивных векторов.

Рабочая цепочка в 2026: .lnk или .library-ms на файловом шаре вынуждает хост аутентифицироваться, перехваченный NTLMv2-хеш релеится на AD CS или LDAP и заканчивается созданием аккаунта с правами DA.

— В данной статье мы разберем актуальные векторы от PetitPotam и PrinterBug до NTLM Reflection, чем LNK-файлы заменяют RPC при ограниченном доступе, детект по Event ID 4648 и 5145 и конфигурация LDAP Signing как приоритетная мера блокировки. ↘️ Codeby ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

✋ Cruciferra | Коммерческий криптер с BYOVD ставит EDR на паузу Proofpoint описали Cruciferra – платный криптер с форума Exploit, который применяется в десятках кампаний с AsyncRAT, XWorm и Agent Tesla. — Легитимный подписанный драйвер GoFlyDrv.sys загружается через BYOVD и завершает процессы безопасности, после чего вредонос доставляется через Process Ghosting, файл создаётся, процесс запускается, файл удаляется.

Полезная нагрузка шифруется одной из 90+ комбинируемых схем на базе Keccak и Threefish – разные образцы редко выглядят одинаково. 9 июля новые образцы появлялись на VirusTotal каждые несколько минут.

↘️ SecurityLab ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 SIGMA-детект прямо на дампе логов без SIEM Zircolite – автономный Python-инструмент от wagga40 для применения SIGMA-правил к Windows EVTX, Auditd и Sysmon for Linux, когда развёртывать полноценный стек нет ни времени, ни возможности. — Конвертирует правила в SQLite-запросы через pySigma-бэкенд, подгружает логи в RAM-базу и прогоняет по ним весь набор правил с автодетектом формата и маппингом на MITRE ATT&CK, выгружая результаты в JSON, CSV или шаблоны для Splunk и Elastic.

Забрал EVTX с хоста – через секунды таблица с критичностью и TTP-покрытием: без SIEM, без агентов и без подготовки среды.

🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

✔️ Как спроектировать систему, которая не ляжет под нагрузкой «System Design. Проектирование мобильных систем» Мигеля Виво – практическое руководство по проектированию масштабируемых мобильных архитектур, написанное человеком, прошедшим через реальные production-проблемы.

Для безопасника здесь важен не только дизайн, но и то, что архитектурные решения напрямую определяют поверхность атаки: как хранятся токены, куда уходит трафик, кто имеет доступ к каким данным.

— В книге разбираются проектирование клиент-серверного взаимодействия, кэширование и синхронизация данных, работа в офлайне, push-уведомления, аутентификация и управление сессиями, а также типичные архитектурные ошибки, превращающие мобильное приложение в удобную мишень. ↘️ Max ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

📷 GTFOBins для атак на Windows и AD WADComs – интерактивная шпаргалка Джона Вудмана по инструментам и командам для работы с Windows и Active Directory, вдохновлённая GTFOBins и LOLBAS.

Указываете, что у вас есть на руках: учётные данные, хеши, сервисы, версия ОС и сайт фильтрует список инструментов с готовыми шаблонами команд для копипасты: SMB, LDAP, Kerberos, RDP, WinRM и десятки других сценариев с impacket, CrackMapExec, Evil-WinRM и Rubeus.

— Главная задача убрать трение при подборе нужной команды в нужный момент: не Control+F по заметкам, а фильтр по контексту. ↘️ WadComs ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

⚡️ ИИ-фишинг | Kак нейросети создают персонализированные атаки

До недавнего времени у фишинга был структурный изъян: персонализированная атака требовала непропорционально больших трудозатрат.

ИИ устранил его – языковые модели генерируют тысячи персонализированных сообщений в час, технологии клонирования голоса и синтеза видео подрывают доверие к каналам, прежде считавшимся надежными. — В данной статье мы разберем, как искусственный интеллект изменил арсенал киберпреступников, почему привычные методы защиты больше не работают и что делать бизнесу и обычным пользователям, когда голос начальника в трубке может оказаться нейросетью. ↘️ SecurityMedia ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 ClaudeBleed-2 | Вредоносное расширение читает твой Gmail через ИИ-ассистента Manifold Security нашли в расширении Claude для Chrome уязвимость: вредоносный аддон генерирует синтетический клик через JavaScript и Claude принимает его за действие настоящего пользователя, запуская встроенные воркфлоу чтения Gmail, Google Docs, Google Calendar и Salesforce без ведома жертвы.

Острее ситуацию делает режим «Act without asking» – задача запускается автоматически без уведомлений, CVSS 9.6. Anthropic закрыли первый отчёт как «уже известную проблему», но спустя восемь релизов в версии 1.0.80 от 7 июля код по-прежнему не проверяет Event.isTrusted.

Вектор атаки является убедить жертву поставить расширение с доступом к claude.ai, дальше автоматически. Пока патча нет, единственная мера – отключить «Act without asking» и проверить, какие аддоны читают домен claude.ai. ↘️ Xakep ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe