CodeGuard: CyberSec Edition

🐍 Первая в истории самореплицирующаяся атака на npm — разбор с DEF CON Вы когда-нибудь слышали про червя, который живёт в пакетном менеджере? Теперь он есть. Разбор взлома 2025 года от исследователя безопасности. 🔗 Ссылка на видео О чём видео (InsomniHack 2026): Экосистема npm — миллионы пакетов, сотни миллионов загрузок. Идеальная цель для атак. В 2025 году случилось то, чего опасались годами: появился первый червь (Shai-Hulud), который:

🟠Крадёт npm-учётные данные с заражённых машин 🟠Самостоятельно внедряет бэкдоры в пакеты 🟠Размножается по цепочке зависимостей 🟠Затронул более 700 пакетов с совокупными 20 млн загрузок в неделю

Что вы узнаете:

🔵Как атака обошла двухфакторную аутентификацию (AiTM-фишинг) 🔵Почему концепция была придумана ещё 10 лет назад 🔵Как защитить свои проекты от цепных атак через зависимости

📌 Идеально для: разработчиков, DevOps и исследователей безопасности, кто работает с open-source экосистемами. 😈 CodeGuard: PySec Edition | Чат

⚔️ MITRE ATT&CK — карта хакерского поведения, которую изучают все «синие» команды Все пентестеры и аналитики SOC должны знать, как хакеры действуют на каждом этапе атаки. MITRE ATT&CK систематизирует это знание. 🔗 Сайт Что это: Открытая база знаний о тактиках, техниках и процедурах (TTP) противников. MITRE собирал данные о реальных кибератаках годами и разложил их по полочкам. Как устроено:

➡️ Tactics — тактики (зачем делает атакующий): Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact ➡️ Techniques — техники (как именно делает): Phishing, Scheduled Task, PowerShell, Pass the Hash, и т.д. ➡️ Procedures — примеры реальных реализаций у конкретных группировок.

Что есть на сайте ещё:

➡️

Navigator

— интерактивная тепловая карта покрытия техник

➡️

CAR

(Cyber Analytics Repository) — аналитика для обнаружения

➡️

Engage

— методики для Red Team

➡️

ATT&CK Workbench

— инструмент для создания своей версии базы

Почему это важно: MITRE ATT&CK стал индустриальным стандартом. Если вы говорите «перемещение на SMB через Pass the Hash», вы используете обозначение T1021.002 — и вас понимают все аналитики мира. 📌 Совет: Начните с раздела Navigator — визуализация помогает быстрее вникнуть. 😈 CodeGuard: PySec Edition | Чат

🩸 Как найти самый короткий путь до Domain Admin — гайд по BloodHound У вас есть обычный пользователь в домене. Задача — стать администратором домена. BloodHound найдёт самый быстрый путь за минуты. Что такое BloodHound: Инструмент для анализа связей в Active Directory. Показывает, кто на кого имеет права, где можно повысить привилегии, кто хранит пароли в описании учётки. Пошаговая инструкция: Шаг 1. Устанавливаем BloodHound

sudo apt install bloodhound
А также потребуется neo4j — графовая база данных:

sudo apt install neo4j

Шаг 2. Запускаем neo4j и BloodHound

sudo neo4j start
bloodhound

По умолчанию neo4j доступен на http://localhost:7474, логин/пароль — neo4j/neo4j (меняем при первом входе). Шаг 3. Собираем данные с атакуемой машины (через SharpHound) На машине Windows в домене запускаем:

SharpHound.exe -c All --outputdirectory C:\temp

Это соберёт всю информацию о пользователях, группах, компьютерах и связях между ними. Шаг 4. Загружаем данные в BloodHound

⚫️Открываем BloodHound ⚫️Жмём "Upload Data" ⚫️Выбираем собранные .json файлы

Шаг 5. Ищем пути до Domain Admins В интерфейсе BloodHound:

⚫️Выбираем себя (узел с вашим пользователем) ⚫️Кликаем правой кнопкой → Set as Start Node ⚫️Выбираем группу Domain Admins → Set as End Node ⚫️Запускаем Query → Find Shortest Paths to Domain Admins

Что вы увидите: Граф из узлов (пользователи, группы, компьютеры) и рёбер (связи, права). Стрелки покажут, через кого можно доскочить до админов. Пример атакующего пути: Ваша учётка → Написана в Local Admins на компьютере PC-22 → Пользователь Иванов входит на этот ПК → У Иванова есть права на сделать себя Domain Admin Шаг 6. Атакуем по найденному пути BloodHound не атакует сам — он находит путь. Дальше используете:

Mimikatz для дампа паролей Rubeus для атак на Kerberos Impacket для удалённого выполнения кода

Шаг 7. Закрываем найденные дыры (для защиты)

🗣Убираем лишние права у обычных пользователей 🗣Отключаем неиспользуемые группы 🗣Внедряем принцип минимальных привилегий

Важно: Использовать только в рамках согласованных пентестов или на своей инфраструктуре. 😈 CodeGuard: PySec Edition | Чат

Очнись, нас готовят к цифровому ГУЛАГу Уже в десятках регионов России отключают мобильный интернет (даже когда нет атак БПЛА), тестируют «белые списки» и замедляют Телегу. 90% людей тупо смотрят на уплывающий корабль свободного Интернета. Люди поумнее готовятся к новой реальности и читают «Пакет Безопасности». Здесь дают самые свежие связки для приватности: приложения и утилиты на случай вайтлистов, прокси, браузеры, сервисы — чего тут только нет. Без шуток, сейчас это один из самых полезных каналов в Телеге. Надеемся на лучшее, но к чему нужно готовиться — вы и сами понимаете: @package_security

📰 5 блогов по ИБ, которые читают разведчики и аналитики угроз Новости читать полезно. Но читать разборы и аналитику — жизненно необходимо. Вот подборка индустриальных блогов, откуда эксперты берут информацию для построения защитных стратегий. 1. Krebs on Security

Блог Брайана Кребса — «журналиста №1» в мире кибербезопасности. Расследует реальные преступления, взломы криптобирж, сливы баз, атаки вымогателей. Пишет для людей — понятно и с инсайдами. Ссылка

2. Unit 42 (Palo Alto Networks)

Аналитика угроз от исследователей Palo Alto. Отличные разборы свежих киберопераций, APT-группировок и их техник (MITRE ATT&CK). Очень плотно по деталям. Ссылка

3. Schneier on Security

Брюс Шнайер — гуру криптографии и ИБ. Пишет не только про технические уязвимости, но и про политику, закон, влияние ИИ и психологию безопасности. Глубоко и философски. Ссылка

4. The DFIR Report Обязателен для синих команд. Реальные разборы инцидентов: как хакеры заходили, что делали, куда стучались, на чём попадались. Полезен для настройки детекции. Ссылка 5. Splunk Blogs Блоги Splunk — квинтэссенция всего, что касается данных: мониторинг безопасности, SIEM, аналитика, ИБ-автоматизация, кейсы. Много практических рекомендаций. Ссылка 📌 Совет: Добавьте их в RSS-ридер и просматривайте дайджест раз в день. Это быстрее и глубже, чем листать новостные ленты. 😈 CodeGuard: PySec Edition | Чат

🔍 Как найти скрытые каталоги на сайте за 2 минуты — гайд по Gobuster Разработчики прячут админки, бэкапы и конфиги в неочевидных папках. Ваша задача — найти их до злоумышленника. Пошаговая инструкция по Gobuster — самому быстрому брутфорсеру каталогов. Шаг 1. Устанавливаем Gobuster

sudo apt install gobuster

Или скачайте бинарник с GitHub под вашу ОС. Шаг 2. Выбираем словарь В Kali уже есть отличные наборы:

/usr/share/wordlists/dirb/common.txt
/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
/usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt

Совет: Raft-словари из SecLists — самые полные. Шаг 3. Запускаем базовое сканирование

gobuster dir -u https://target.com -w /path/to/wordlist.txt

Флаги: dir — режим поиска директорий -u — цель -w — словарь Шаг 4. Добавляем расширения файлов Ищем не только папки, но и файлы .php, .txt, .bak, .sql:

gobuster dir -u https://target.com -w wordlist.txt -x php,txt,bak,sql

Шаг 5. Ускоряем и разбираем результат

gobuster dir -u https://target.com -w wordlist.txt -t 50 -k

-t 50 — 50 потоков (не спалите цель, не ставьте больше 50) -k — игнорировать проверку SSL-сертификатов Шаг 6. Сохраняем результат

gobuster dir -u https://target.com -w wordlist.txt -o results.txt

Что искать в выдаче: /admin, /administrator, /login — панели управления /backup, /old, /temp — возможные бэкапы /phpmyadmin — может дать доступ к БД /jenkins, /gitlab — CI/CD системы Шаг 7. Обрабатываем найденное Нашли /backup/config.bak? Скачайте и проверьте, нет ли там паролей в открытом виде. 😈 CodeGuard: PySec Edition | Чат

«🤬Опять отвалился VPN! Попробовал уже десять разных и ни один не работает!» Если тебе знакома эта ситуация то стоит наконец попробовать Anyport. Наверное единственный РАБОЧИЙ обход все блокировок и белых списков, который точно не будет заблокирован. Забери свой бесплатный период и наслаждайся свободным интернетом👇 https://t.me/AnyportBot?start=CodeGuard2

💀 EternalBlue (MS17-010) — уязвимость, которая положила половину мира в 2017 WannaCry, NotPetya, BadRabbit — все эти эпидемии стали возможны благодаря EternalBlue. 7, 8 и 9-летние Windows всё ещё уязвимы. Суть уязвимости:

➡️Уязвимость в SMBv1 (протокол для обмена файлами и принтерами). Атакующий отправляет специально сформированный пакет — и на сервере Windows происходит переполнение буфера в ядре.

CVSS: 9.8 (критическая) Где искать: Проверьте, открыт ли порт 445:

nmap -p 445 target.com

Уязвимы:

➡️Windows 7, 8, 8.1, 10 (не обновлённые) ➡️Windows Server 2008 R2, 2012, 2016 (без патча)

Что искать в логах: Внезапное падение службы сервера (Server service), необычные краши системы или массовое заражение соседних машин в сети. Как проверить себя:

nmap --script smb-vuln-ms17-010 target.com

Как защититься:

🔵Установить патч MS17-010 (от марта 2017) — он закрывает дыру 🔵Отключить SMBv1: Set-SmbServerConfiguration -EnableSMB1Protocol $false (PowerShell) 🔵Закрыть порт 445 на файрволе, если SMB не нужен

📌 Итог: Проверьте свои старые системы. EternalBlue работает до сих пор. 😈 CodeGuard: PySec Edition | Чат

📧 theHarvester — собираем email-ы и поддомены цели за минуту Нужно быстро собрать контакты компании или найти скрытые поддомены? theHarvester делает это за вас. 🔧 Тулза: theHarvester ⚙️ Как работает: Пролистывает поисковики (Google, Bing, Baidu, Yahoo, LinkedIn и др.) и вытаскивает email-ы, поддомены, хосты и даже ссылки на GitHub. Установка:

git clone https://github.com/laramies/theHarvester
cd theHarvester
pip install -r requirements.txt

Запуск:

python3 theHarvester.py -d example.com -b google

-d — домен цели, -b — источник (google, bing, linkedin, etc.) 🔥 Кейс сегодняшний:

➡️Один осинтер получил задание найти контакты всех IT-специалистов в крупной компании — без доступа к LinkedIn Premium. Он запустил theHarvester с источниками google и linkedin, собрал 80+ email-ов и нашёл скрытый поддомен dev.internal.company.com, на котором висела старая версия Jenkins с известной уязвимостью. Информацию передали в компанию, уязвимость закрыли.

💡 Вывод: theHarvester показывает не только email-ы, но и то, что компания случайно засветила в открытых источниках. Проверяйте себя. 😈 CodeGuard: PySec Edition | Чат

🐧 Linux Basics for Hackers, 2nd Edition (2025) — старт в мир пентеста Если вы хотите научиться этичному хакингу, но не знаете, с чего начать — эта книга создана для вас. Практическое руководство, которое использует Kali Linux для обучения основам с фокусом на то, как хакеры применяют эти знания на практике. О чём книга:

➡️Вы познакомитесь с командной строкой Linux, файловыми системами, сетевыми основами, BASH-скриптингом, управлением пакетами, логированием, а также ядром Linux и драйверами. Это не сухая теория, а практические туториалы, которые сразу можно применить.

Почему стоит прочитать: Это отличный первый шаг для погружения в кибербезопасность, пентестинг и хакинг. Книга построена так, чтобы вы не просто читали, а сразу пробовали на своей виртуальной машине. Ссылка на архив (pdf): 🔗 Ссылка Ссылка на архив (pdf), альтернатива: 🔗 Ссылка 😈 CodeGuard: PySec Edition | Чат

На Stepik запустили годный курс по «Troubleshooting Docker и Kubernetes: поиск и устранение проблем» В программе только важные аспекты: — troubleshooting Docker и образов — диагностика сетевых проблем — настройка readiness/liveness probes — отладка pod’ов, деплоев и ingress — анализ логов контейнеров и кластера — разбор ошибок CrashLoopBackOff, OOMKilled, ImagePullBackOff и других Собеседования на DevOps/SRE сейчас всё чаще строятся вокруг реальных инцидентов. Данный курс фокусируется именно на таких сценариях и помогает в подготовке к практическим вопросам 48 часов доступен со скидкой 25% ↗️ Пройти курс на Stepik

🐙 Awesome Infosec Courses — коллекция бесплатного обучения по кибербезопасности Хотите прокачать скиллы, но не знаете, где взять качественные материалы? Готовый список курсов и тренингов. 🔗 GitHub Что внутри (4 928 звёзд): Кураторская подборка лучших ресурсов для обучения информационной безопасности. Всё разбито по категориям:

🔵Penetration Testing — курсы по пентесту от новичка до эксперта 🔵Offensive Security — материалы по OSCP, эксплуатации и Red Team 🔵Blue Team — защита, мониторинг, анализ логов 🔵DFIR — цифровая криминалистика и реагирование на инциденты 🔵Malware Analysis — анализ вредоносного ПО 🔵CTF — подготовка к соревнованиям

Почему репозиторий ценен: Это не просто список ссылок. Авторы отобрали только проверенные и качественные материалы — бесплатные и платные, с чёткими описаниями что вас ждёт и для какого уровня сложности. 🔖 Сохраните себе — это навигатор по миру ИБ-образования. 😈 CodeGuard: PySec Edition | Чат

🔥 Мастхев подборка для каждого айтишника Держите подборку авторских IT-каналов по всем направлениям: курсы, книги, статьи, практики, примеры кода, шпаргалки и прохождение собесов. ▪️ Python ▪️ Java ▪️ Frontend ▪️ C / C++ ▪️ ИБ & Хакинг ▪️ DevOps ▪️ Data Science ▪️ Linux ▪️ C# & GameDev ▪️ Курсы IT ▪️ ИИ-бот для IT ▪️ Весь IT 👉🏻 Подписывайся и прокачивай свои навыки

🔥 Уязвимость в Firefox и Tor Browser — трекинг в приватном режиме Специалисты компании Fingerprint обнаружили уязвимость в браузерах Firefox и Tor Browser. Она позволяла сайтам отслеживать пользователей даже в режиме приватной навигации. Mozilla закрыла проблему в версии Firefox 150, выпущенной 21 апреля 2026 года . Суть уязвимости:

➡️ Проблема кроется в том, как браузеры извлекают хранящиеся метаданные. Порядок извлечения данных из базы может быть уникальным для каждого пользователя. Это позволяет создать "цифровой отпечаток" браузера — fingerprint — и отслеживать человека даже при включённом режиме приватного просмотра.

Кого затронуло:

🟠Все пользователи Firefox (до версии 150) 🟠Пользователи Tor Browser (до выхода обновлённой версии)

Почему это важно: Использование Tor Browser и приватных окон — один из главных способов сохранить анонимность. Эта уязвимость частично подрывала такие меры защиты. Что делать: Обновить Firefox до версии 150 или выше. Пользователям Tor Browser — дождаться обновления, включающего исправленный движок Firefox. Прогноз: Ожидается, что подобные уязвимости будут находить чаще с выходом новых поколений AI-моделей, таких как Claude Mythos от Anthropic. 😈 CodeGuard: PySec Edition | Чат

⚡️ 7 малоизвестных команд Linux, которые сэкономят часы работы Вот уникальная подборка полезных команд, которые не используются в школьных курсах, но реально ускоряют работу. 1. tldr — понятные примеры вместо документации

➡️Устали от мануалов на десятки страниц? tldr показывает самые востребованные примеры использования команды. Установка: npm install -g tldr или sudo apt install tldr.

2. ncdu — интерактивный анализ диска

➡️

Вместо скучного

du -sh, ncdu показывает графическую карту использования места, по которой можно кликать и перемещаться. Идеально для очистки диска.

3. tac — cat наоборот

➡️

Читает файл с конца.

Полезно для просмотра самых свежих логов: tac /var/log/syslog | head.

4. watch — автоматическое обновление вывода

➡️

Запускаете команду раз

в несколько секунд и наблюдаете за изменениями в реальном времени. Пример: watch -n 10 free показывает память в интерактиве.

5. timeout — таймер для команд

➡️

Запустили потенциально

зависающую команду? timeout 10s ping google.com остановит её автоматически через 10 секунд.

6. shuf — рандомизатор данных

➡️

Перемешивает строки в файле

или генерирует случайные пароли. Пример: shuf -zer -n12 {A..Z} {a..z} {0..9} | tr -d '\0' выдаст 12 случайных символов.

7. xargs — массовая обработка файлов

➡️

Берёт вывод одной команды

и превращает в аргументы для другой. Удалить все .log файлы: ls *.log | xargs rm.

🔥 Бонус: jot (Unix) или seq (Linux) — генераторы последовательностей чисел для пакетных задач. 😈 CodeGuard: PySec Edition | Чат

🐧 Linux Basics for Hackers, 2nd Edition (2025) — старт в мир пентеста Если вы хотите научиться этичному хакингу, но не знаете, с чего начать — эта книга создана для вас. Практическое руководство, которое использует Kali Linux для обучения основам с фокусом на то, как хакеры применяют эти знания на практике. О чём книга:

➡️Вы познакомитесь с командной строкой Linux, файловыми системами, сетевыми основами, BASH-скриптингом, управлением пакетами, логированием, а также ядром Linux и драйверами. Это не сухая теория, а практические туториалы, которые сразу можно применить.

Почему стоит прочитать: Это отличный первый шаг для погружения в кибербезопасность, пентестинг и хакинг. Книга построена так, чтобы вы не просто читали, а сразу пробовали на своей виртуальной машине. Ссылка на архив (pdf): 🔗 Ссылка Ссылка на архив (pdf), альтернатива: 🔗 Ссылка 😈 CodeGuard: PySec Edition | Чат

Нам тут написали, что в СНГ вообще нет работы 😱 Смешно! Потому что за сегодня в канале Удаленка в долларах вышло 15+ вакансий для русскоговорящих профи с ЗП от 2000$ 💸 Хватит и самим поесть, и семью прокормить. Смотри, чем хочешь заниматься в канале: ⤵️ ▪️SMM-менеджер ▪️маркетолог ▪️дизайнер ▪️таргетолог ▪️разработчик Осталось только выбрать и откликнуться (это бесплатно) 👉 https://t.me/+W7-fdHlXAcMxNDUy

😅 Как я 3 часа подбирал пароль от своего архива (и что понял) Жесткий диск умер, а на флешке — старый ZIP-архив с важными файлами. Открыть не могу — пароль забыл. И тут я понял, что сам попал в ловушку, от которой предупреждаю других. Эксперимент: Взломать свой же архив с помощью John the Ripper. Что было:

⚫️ZIP с сильным паролем (я тогда умничал). Джон начал атаку по словарю rockyou — мимо. Маска ?l?l?l?l?l?l?l?l (8 букв) — слишком долго. В итоге я вспомнил, что пароль был именем кота + год. Подобрал вручную за 20 секунд.

Вывод:

➡️Человеческая память ненадёжна. Менеджеры паролей нужны не только для безопасности, но и для вашего спокойствия. ➡️Сложный пароль = сложность восстановления. Балансируйте. ➡️Не полагайтесь на один метод восстановления. Сделайте бекап паролей.

А теперь честно: какой самый глупый пароль у вас был? У меня — qwerty123 на школьном аккаунте 😈 CodeGuard: PySec Edition | Чат

Совет на 2026 год — переходите на Go. На Go собирают банки, маркетплейсы и highload-сервисы. Зарплаты мидлов начинаются от 200 000 ₽, а у сеньоров доходят до 600 000 ₽. А чтобы освоить его всего за 3 месяца — изучите канал Максима Аверина. Его бэкграунд: Senior Golang/Python (X5, Lamoda, BestDoctor), 7 лет в бэкенде, экс-тимлид и PM, 300+ собеседований с 2018 На канале вы найдёте: — Советы, которые в разы повысят ваши шансы на перекат в Go — Как легко выбивать себе ту ЗП, которую желаете: скрипты переговоров и шаблоны писем — Как сделать мощный проект с code-review и уже через три недели пойти на собесы. Огромный опыт, который ты можешь перенять абсолютно бесплатно. Переходи и изучай: @maksim_golang

🐙 SecLists — коллекция словарей и пейлоадов, которую используют все пентестеры мира Когда нужен словарь паролей, список поддоменов или пейлоады для XSS — открываете Google? Нет, открываете SecLists. 🔗 GitHub Что внутри: Огромная база для фаззинга, брутфорса и обнаружения уязвимостей. Поддерживается и обновляется сообществом. Основные разделы:

🟣Passwords — огромные коллекции реальных паролей из утечек (rockyou.txt, 10-million-passwords и др.) 🟣Usernames — списки логинов, админов, ботов 🟣Discovery — папки, файлы, поддомены для веб-фаззинга 🟣Fuzzing — пейлоады для SQLi, XSS, LFI, SSRF, XXE и других атак 🟣Pattern-Matching — регулярные выражения для поиска API-ключей, email, номеров карт 🟣Web-Shells — коллекция готовых веб-шеллов

Как использовать: Склонируйте репозиторий:

git clone https://github.com/danielmiessler/SecLists.git
cd SecLists

Затем подставляйте словари в свои инструменты: gobuster, ffuf, hydra, wfuzz и др. Пример с ffuf:

ffuf -u https://target.com/FUZZ -w SecLists/Discovery/Web-Content/raft-medium-directories.txt

Вывод: Этот репозиторий — маст-хэв для любого, кто занимается пентестом. Сохраните в закладки. 😈 CodeGuard: PySec Edition | Чат