Записки Безопасника

✔️ Как атакующий расползается по сети после первого шелла Lateral movement – это не отдельная атака, а этап, после захвата первого хоста атакующий ищет, куда перебраться дальше, наращивая привилегии и приближаясь к целевым системам, и медианное время от первого проникновения до начала движения по сети составляет 62 минуты.

В 79% случаев lateral movement проходит без малвари, только штатные протоколы Windows: SMB, WMI, WinRM, RDP и учётки. Именно поэтому EDR и классические сигнатурные правила это пропускают: они видят легитимные инструменты с валидными credentials.

— В данной статье мы разберем конкретные цепочки атак с MITRE ATT&CK маппингом, ограничениями каждой техники и Sigma-правилами для детекта: flat network без сегментации и ограничения NTLM даёт атакующему Domain Admin за минуты. ↘️ Codeby ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

ТОП 3 канала для тех, кто увлекается хакингом и кибербезопасностью Этичный Хакер — крупнейший в СНГ канал по информационной безопасности. OSINT, анонимность, пентест, социальная инженерия. Лаборатория Хакера — авторский канал от специалиста по ИБ. Новости даркнета, сетевая разведка, обзоры инструментов с github, полезные подборки. Mr.Robot — OSINT, анонимность, OWASP, Linux, даркнет.

🤒 Получает токены Entra ID и обходит Conditional Access TokenSmith – офенсив-тулза от Jumpsec Labs для получения и злоупотребления токенами Microsoft Entra ID в ходе ред-тим и пентест-проектов корпоративных Microsoft 365-сред.

Основная фишка – обход политик Conditional Access, которые требуют зарегистрированного или compliant устройства.

— Инструмент имитирует легитимный Device Enrollment Service и получает токены от имени атакующего, которые дальше работают в GraphRunner, ROADrecon и других облачных тулзах. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🦠 RedWing вырос из одного трояна в целое семейство для атак на СНГ Android-семейство RedWing оказалось не одним вредоносом, а набором инструментов: RAT-версия даёт удалённый контроль над телефоном через Accessibility, а стилер-версия молча собирает СМС, контакты, файлы, данные банков, крипто-сервисов и коды подтверждения и всё по модели MaaS через Telegram.

Доступ к Accessibility – общий для обеих версий знаменатель: через него вредонос читает интерфейс любого приложения и нажимает кнопки от имени владельца, поэтому двухфакторка, привязанная к СМС или push, не защищает.

— Распространяется под видом приложения RadarTrevog для предупреждений о воздушной опасности, а украденные контакты используются для повторных атак от имени знакомых. ↘️ SecurityLab ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Конспекты с готовыми командами под любую уязвимость и сервис Exploit Notes – личные публичные заметки пентестера hideckies, оформленные как удобный сайт с поиском: по каждому сервису, уязвимости или технике — сразу готовые команды без долгого чтения.

Структура под задачу, а не под алфавит: ищешь «SMB enumeration» и получаешь конкретные команды под конкретный сценарий, а не страницу теории с одной строчкой кода в конце.

— Покрывает разведку, веб-уязвимости, Active Directory, CTF-техники, форензику и реверс, есть офлайн-версия через mkdocs и регулярные обновления. ↘️ Exploit ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Криптография на эллиптических кривых | Математика, которая защищает ваш TLS Elliptic Curve Cryptography – основа современных протоколов безопасности: TLS 1.3, SSH, Signal и Bitcoin используют именно её, потому что ключ в 256 бит даёт ту же стойкость, что RSA с ключом в 3072 бита, при втрое меньшем размере.

Понимание ECC изнутри это не академия, а практика: кто знает, как работает скалярное умножение на кривой, тот понимает, почему одна и та же пара ключей не должна использоваться с разными нонсами, именно так взломали PlayStation 3 и слили приватный ключ Sony.

— Книга Розинга разбирает математику кривых от групповых операций до реализации алгоритмов ECDH и ECDSA, объясняет, почему конкретные кривые выбраны, а не другие, и какие ошибки реализации превращают стойкий алгоритм в дырявый протокол. ↘️ Max ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

Проактивная ИБ для Dev и Ops: RBAC, дрифт-контрол и многое другое 8 октября в 11:00 эксперты «Лаборатории Касперского» проведут стрим для тех, кто сводит концы Dev, Ops и ИБ. Демонстрация Kaspersky Container Security, обзор угроз, место антивирусного компонента в Container Security и новости Managed Kubernetes. Регистрация

🤒 Wi-Fi видит не историю Chrome, а метаданные и это хуже, чем кажется HTTPS скрывает содержимое запросов, но роутер честно пишет в журнал всё остальное: DNS-запросы открытым текстом, поле SNI с именем домена в каждом TLS-рукопожатии, IP-назначения, объём и тайминг соединений — этого хватает для грубой реконструкции поведения без расшифровки ни байта.

Инкогнито, WPA3 и смена DNS-сервера не помогают: режим инкогнито не меняет сетевой трафик, WPA3 шифрует эфир от соседа, а не от самого роутера, и Chrome в обычном и приватном окне для администратора сети выглядит одинаково.

— В материале разобраны все слои: что именно видит роутер, как DoH и DoT закрывают DNS, почему ECH в Рунете чаще даёт таймаут, а не приватность, и когда HTTPS всё же расшифровывается. ↘️ SecurityLab ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

Сложный, но критически важный процесс: усиление защищенности инфраструктуры. Для него нужно понимать специфику угроз и особенности IT-систем.  Хорошо, что Сидни поделилась ссылкой на библиотеку экспертных материалов по этой теме от BI.ZONE. На странице вы найдете подборку статей с практическими рекомендациями, как: 🔵Повысить защищенность систем. 🔵Проверить инфраструктуру на ошибки конфигурации, которые часто остаются незамеченными. 🔵Усложнить работу злоумышленников. Библиотека будет регулярно пополняться новыми статьями и практическими гайдами. Читать материалы

📅 Находит SCCM в домене и открывает путь к Domain Admin SCCMHunter – тулза от Гаррета Фостера из SpecterOps, которая автоматически находит и профилирует все активы SCCM/MECM в домене и готовит плацдарм для атаки на них.

System Center Configuration Manager – система управления корпоративными машинами, которая есть в большинстве крупных Windows-инфраструктур. Через неё можно запустить произвольный код на любом устройстве в домене, вытащить учётки из зашифрованных blob-ов DPAPI и захватить весь сайт-сервер через MSSQL-relay.

— Ее задачей является показать вектор, который пропускают большинство ред-тимов: там, где SCCM не закреплён жёсткими правами, одна учётка с правом на клиентский push превращается в доступ ко всему домену. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

📷 Кадровая база Пентагона утекла через уязвимость в файлообменнике Центр кадровых данных DMDC сообщил об утечке данных 2,76 млн военнослужащих, подрядчиков и ветеранов США, злоумышленники эксплуатировали дыру в файлообменнике с октября 2025 года, а обнаружили и закрыли баг только в июле 2026-го.

DMDC управляет не только персональными данными, но и цифровыми идентификаторами, учётными данными и смарт-картами для доступа к объектам Пентагона – утечка SSN и демографии здесь куда серьёзнее, чем в рядовом корпоративном инциденте.

— Ни одна группировка ответственность не взяла, признаков злоупотребления пока не обнаружено, но 9 месяцев незамеченного доступа к базе с 60+ млн записей – показательный провал мониторинга критических хранилищ. ↘️ Xakep ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Распределённые данные | Kак устроены системы, которые атакуют в первую очередь Распределённые базы данных – первая цель при атаке на инфраструктуру: кто контролирует хранилище данных, тот контролирует всё, и большинство атак на конечном этапе упирается именно в базу.

Понимание того, как работают репликация, консенсус и шардирование изнутри, помогает увидеть, где в распределённой системе возникают race condition, split-brain и окна несогласованности – именно туда бьют атаки на целостность данных.

— Книга разбирает внутреннее устройство B-деревьев, LSM-структур, алгоритмов консенсуса вроде Raft и Paxos и механизмов репликации, то, что лежит под капотом у Cassandra, MongoDB, PostgreSQL и Kafka, которые стоят в каждой второй корпоративной инфраструктуре. ↘️ Max ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

💰 Узнай, зачем вредонос вызывает именно эту Windows API

Во время реверса или анализа вредоноса часто видишь вызов какой-то системной функции, но не понимаешь сразу – это безобидное чтение файла или попытка инжекции в чужой процесс.

MalAPI.io ставит напротив каждой Windows API прямую пометку, зачем её используют вредоносы: инжекция, уклонение, кейлоггинг, антиотладка или поведение, характерное для шифровальщиков. — API разбиты по категориям, поиск моментальный, а рядом с каждой функцией объяснение механики и типичные образцы, которые её применяли: работает как быстрый контекст прямо посреди анализа, вместо того чтобы перелистывать MSDN и тред на VirusTotal. ↘️ Malapi ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

Белый хакинг, ИБ, ИИ-агенты, социальная инженерия и кибербезопасность — ВСЕ В ОДНОМ МЕСТЕ ИБ Книга — более 1660 русскоязычных книг по ИБ, белому хакингу, социальной инженерии, OSINT и ИИ можно найти на канале. no system is safe // cybersec — один из старейших ресурсов по ИБ в рунете. Книги, курсы, Linux, ИИ-агенты, безопасность нейросетей, утечки, исследования и новости кибермира Бэкап — исходники нейросетей, ИИ-агентов, ботов, сайтов и других проектов. Можно посмотреть, как всё устроено изнутри. CyberINS — канал кибер-пентестера. Пентест, уязвимости, реальные кейсы и практика простым и понятным языком. Весь материал на каналах в общем доступе. Ничего лишнего.

🦠 DLL Sideloading | Доверенная программа сама запускает твой код

Антивирус доверяет подписанному .exe, а ты просто кладёшь свою DLL рядом с ним под нужным именем и доверенная программа сама подгружает и выполняет твой код.

Суть атаки в том, как Windows ищет библиотеки: загрузчик сначала смотрит в папку самой программы и только потом в системные каталоги, а если в папке рядом с .exe подложить DLL с тем же именем, что и системная, программа загрузит подделку первой.

Код выполняется в доверенном процессе,

от его же привилегий

, поэтому EDR часто видит «штатную» активность, а не вредонос.

— В статье мы разберм живой кейс на WinSCP через version.dll: как через Procmon ловится NAME NOT FOUND в папке приложения, что такое DLL Proxy и как написанная на Rust библиотека-прокладка пропускает вызовы к настоящей DLL дальше, незаметно встраивая туда свою нагрузку. ↘️ Habr ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🌐 Прокидывает туннель туда, куда фаервол никого не пускает Chisel – тулза, которая прогоняет TCP- и UDP-трафик через обычное HTTP-соединение, зашифрованное по SSH. — Полезна, когда прямого доступа во внутреннюю сеть нет, а исходящий HTTP наружу разрешён почти всегда: жертва пускает наружу веб-трафик, а внутри этого туннеля едет что угодно.

Задача – обойти фаервол, который режет всё «подозрительное», но пропускает обычный веб: снаружи это выглядит как HTTPS-запрос, а на деле это ход во внутреннюю сеть жертвы.

🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Бесплатный VPN-плагин сделал браузеры 356 тысяч россиян прокси Исследователи RiskyPlugins нашли 31 русскоязычное расширение Chrome на общей кодовой базе, которое под видом обхода блокировок превращает браузер в прокси-узел чужой сети: затронуто около 356 000 человек, а самый популярный плагин, «РуТрекер VPN», поставили примерно 200 000 раз. — Маршруты задаются PAC-сценарием, который подгружается удалённо: владельцы могут после установки менять прокси и решать, какой трафик гнать через себя, без нового согласия; а Total VPN и вовсе пропускает через чужие узлы весь браузерный трафик.

По сути за «бесплатный VPN» ты платишь своим браузером и метаданными посещений, так что VPN-расширения под один сайт, особенно просящие проксировать всё, стоит удалять.

↘️ Anti-Malware ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

Сложный, но критически важный процесс: усиление защищенности инфраструктуры. Для него нужно понимать специфику угроз и особенности IT-систем.  Хорошо, что Сидни поделилась ссылкой на библиотеку экспертных материалов по этой теме от BI.ZONE. На странице вы найдете подборку статей с практическими рекомендациями, как: 🔵Повысить защищенность систем. 🔵Проверить инфраструктуру на ошибки конфигурации, которые часто остаются незамеченными. 🔵Усложнить работу злоумышленников. Библиотека будет регулярно пополняться новыми статьями и практическими гайдами. Читать материалы

🤒 Шпаргалки, тулзы и однострочники в одной папке The Book of Secret Knowledge – это огромный курированный сборник от trimstray: подборки инструментов, шпаргалок, гайдов, однострочников и полезных сайтов для админов, сетевиков, девопсов и безопасников в одном месте.

Вместо сотни разрозненных закладок, один репозиторий, куда заглядываешь, когда нужно быстро вспомнить команду, найти тулзу под задачу или готовый чит-лист по теме.

— Внутри разделы по CLI и веб-инструментам, сетям, безопасности и пентесту, форензике, эксплойтам и харденингу, каждый с проверенными ссылками, по сути карта, с которой копаешь любую тему вглубь. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

Что нового в EDR? Покажут на live-демо AI и автоматизация в EDR: что меняется в расследовании инцидентов 1 октября в 11:00 МСК эксперты «Лаборатории Касперского» расскажут об обновлении Kaspersky EDR Expert и покажут новые возможности решения в работе. В программе: 🤖 AI-ассистент — как AI может помогать специалисту при расследовании инцидентов. Покажут конкретный сценарий в live-режиме. ⚙️ Плейбуки и автоматизация — новые сценарии расследования и реагирования на угрозы. 🔄 OSMP — что даёт переход на единую платформу и какие возможности это открывает для EDR. 🚀 Kaspersky EDR Expert 9.0 — подробности будущего релиза. 🎬 Live-демо — обновлённый EDR Expert в работе, с разбором ключевых сценариев. Спикеры — эксперты «Лаборатории Касперского»: Татьяна Генералова, Никита Назаров и Кирилл Батуев. 📅 1 октября | 11:00 МСК AI в кибербезопасности — это уже не только про эксперименты. На стриме покажут, как он применяется непосредственно в расследовании инцидентов. Подключайтесь, чтобы увидеть новые возможности EDR в действии.