SecuriXy.kz

🔑 SrHollow - дамп LSA secrets без касания к LSASS Очередной дампер секретов Windows, но с необычным вектором: он вообще не открывает процесс lsass.exe. Кусты SECURITY и SYSTEM вытягиваются из теневой копии тома - того же VSS, которым пользуются штатные бэкапы - и расшифровываются в userland. Автор заявляет, что SentinelOne (S1) не срабатывает. Если в энгейджменте классические дамперы уже горят на EDR - стоит держать в наборе. 📖 Как работает: 1. Перечисляет объекты через NtOpenDirectoryObject, выбирает старшую теневую копию HarddiskVolumeShadowCopyN 2. Если теней нет - создает точку восстановления вызовом SRSetRestorePointW 3. Включает SeBackupPrivilege в текущем токене 4. Читает SECURITY и SYSTEM из тени через CreateFileW с флагом FILE_FLAG_BACKUP_SEMANTICS 5. Парсит формат regf своим кодом и выводит BootKey и LSA-ключ 6. Расшифровывает все секреты AES-256 через bcrypt.dll 📦 Под капотом: Один C#-файл на ~350 строк без внешних зависимостей плюс 4 стадии на PowerShell. Компилируется на месте через Add-Type или csc.exe, на диск ничего своего не кладет 🛡 Применение: Пост-эксплуатация на Windows при локальном админе: пароли служб, кэш доменных логинов, ключи DPAPI для дальнейшего разбора credential stores ⚠️ Ограничения: 1. Нужен локальный админ - без SeBackupPrivilege ничего не выйдет 2. Нужна запускаемая служба VSS 3. Заявка про SentinelOne - результат проверки на одном стенде, не гарантия 4. Если теней не было и создалась точка восстановления - событие попадает в лог, и это уже шумно 🔍 Обнаружение: Аудит доступа к C:\Windows\System32\config\SECURITY и SYSTEM от powershell.exe (4663), включение SeBackupPrivilege в не-бэкапном процессе, создание точки восстановления вне окна обновлений. Имена стадий Stage1-Recon.ps1, Stage1b-ReadShadowHives.ps1, Stage2-Decrypt.ps1, Stage3-Report.ps1 - готовые IOC 🔗 https://github.com/ivancabrera02/SrHollow #redteam #pentest #windows #edr #dfir #tools `

У Lithnet есть еще один полезный проект - Password Protection for Active Directory. Он устанавливается на контроллеры домена и при смене пароля блокирует варианты из известных утечек, запрещенные слова и их очевидные подстановки вроде P@ssw0rd, Март2026 и тп. Правила задаются через GPO, проверка выполняется локально - пароли не покидают контроллер домена. Инструмент бесплатный, с открытым кодом. Хорошее дополнение к описанному сценарию: ИИ-помощник подсказывает пользователю, как сменить пароль, а Password Protection проверяет его по заданным правилам. https://github.com/lithnet/ad-password-protection #tools #activedirectory #laps #ai #автоматизация

🔐 Lithnet Access Manager - меньше постоянных админских прав и рутины Инструмент для управления административным доступом к Windows-компьютерам в Active Directory. Через веб-интерфейс можно получать пароли LAPS, ключи восстановления BitLocker и выдавать временные права администратора с автоматическим отзывом. Полезен там, где нужно убрать постоянные локальные админские права, сохранить удобство для поддержки и вести аудит доступа. Community Edition бесплатна для организаций. Интересный пример из практики: коллеги внедрили Lithnet и пока отмечают положительные результаты. Дополнительно настроили локального ИИ-помощника, который помогает пользователям решать типовые проблемы с паролями и снимает часть нагрузки с администраторов. Например, при истечении пароля бот уточняет, где работает пользователь, отправляет инструкцию и ссылку для смены пароля, затем проверяет, удалось ли войти. При необходимости подключается специалист. Такой помощник - отдельная интеграция команды. Lithnet отвечает за административный доступ, а ИИ помогает сопровождать обращения пользователей. https://github.com/lithnet/access-manager #tools #activedirectory #laps #ai #автоматизация

🗺 Google SAIF Map - карта безопасности AI У Google есть интересный интерактивный портал по Secure AI Framework (SAIF) По сути это карта угроз и защитных мер для AI-систем. Можно выбрать конкретный риск - Prompt Injection, Data Poisoning, Model Exfiltration, Sensitive Data Disclosure, Rogue Actions и другие - и посмотреть: - где в архитектуре возникает проблема - где она может быть обнаружена или эксплуатироваться - какими security controls ее закрывать Все разложено по слоям Data → Infrastructure → Model → Application, включая современные агентские системы, RAG, tools и внешние интеграции. Полезно для AI Security, AppSec и пентеста: вместо абстрактного списка угроз получаем наглядную карту - где искать проблему и какие защитные механизмы должны присутствовать. Если совсем упрощенно: OWASP - что может сломаться SAIF - где это происходит и как защищать MITRE ATLAS - как это атакуют 🔗 https://saif.google/secure-ai-framework/saif-map Однозначно в закладки. #AI #AISecurity #Pentest #AppSec #SAIF #Grib

🏠 Подборка тулов - для домашней инфры на Docker Собрал сюда то, что реально использую в home lab. Все self-hosted, легкие, без раздутого стека и телеметрии. Может кому пригодится. 🎛 Dockhand - управление Docker Современная альтернатива Portainer. Реалтайм-контроль контейнеров, визуальный редактор Compose-стеков, деплой из Git с автосинком, SSO через OIDC 🔗 https://github.com/Finsys/dockhand 📜 Dozzle - просмотр логов Веб-интерфейс для логов контейнеров в реальном времени, без хранения истории и лишней настройки 🔗 https://github.com/amir20/dozzle 🔐 Authelia - SSO и 2FA Единый шлюз аутентификации перед сервисами, OIDC, LDAP, 2FA. Альтернативы - Authentik, Keycloak, Zitadel, но Authelia легче по ресурсам 🔗 https://github.com/authelia/authelia 📊 Beszel - мониторинг ресурсов Легкий хаб мониторинга CPU, памяти, диска, сети и статистики Docker-контейнеров по нескольким хостам. Хаб и агент общаются по SSH, наружу торчать не надо 🔗 https://github.com/henrygd/beszel 📈 Uptime Kuma - мониторинг аптайма Простой self-hosted аналог UptimeRobot, статус-страницы, нотификации в десяток каналов 🔗 https://github.com/louislam/uptime-kuma 🐙 Forgejo - легкий гит-сервер Форк Gitea под некоммерческим Codeberg e.V., issues, PR, CI-actions, kanban. Легче GitLab, встанет даже на Raspberry Pi 🔗 https://codeberg.org/forgejo/forgejo 🩹 PatchMon - мониторинг обновлений Централизованный контроль пакетов и патчей на флоте Linux/FreeBSD/Windows хостов, агент только на исходящих соединениях, approval-флоу с аудитом и поддержкой крнтейнеров 🔗 https://github.com/PatchMon/PatchMon #docker #homelab #selfhosted #tools

🌐 iwa-tools - атаки из вкладки Chrome Вячеслав Цепенников (CICADA8 Research) выступил на OFFZONE 2026 с докладом "Living off the Browser" и собрал iwa-tools - набор пентест-утилит, который работает внутри Chrome как обычное веб-приложение. Chrome дает такому приложению (Isolated Web App) доступ к сырым TCP/UDP-сокетам через экспериментальный Direct Sockets API. Автор реализовал на этой базе полноценные протокольные стеки - NTLM, Kerberos, TLS - и завернул в них знакомые пентест-тулзы. Никакого exe на диске, только подписанный веб-бандл, который Chrome ставит как приложение. 📖 Что умеет: 1. nxc (порт netexec) - атаки по SMB, LDAP, WinRM, MSSQL, SSH, FTP, RDP, VNC 2. adidnsdump - дамп доменной DNS-зоны через LDAP 3. sharphound и soaphound - сбор данных для BloodHound через LDAP/SMB и ADWS 4. certipy - поиск уязвимых шаблонов сертификатов (ESC1-15), PKINIT, UnPAC-the-hash 5. ldap-shell - интерактивная работа с DACL, RBCD, Shadow Credentials, gMSA 6. evil-winrm и portscan - удаленный PowerShell и сканирование портов ⚠️ Почему это опасно: Весь сетевой трафик формально идет от процесса Chrome - легитимного и разрешенного почти везде. EDR и антивирусы смотрят на подозрительные бинарники на диске и нетипичные процессы, а здесь нет ни того ни другого. Разведка и атака на AD идут прямо из браузерной вкладки, вне поля зрения привычных средств защиты. И это не единичный инструмент, а демонстрация принципа: протокольный стек на чистом JS/WASM внутри подписанного веб-приложения применим к любому классу атак, не только к AD, и стоит ожидать подобные техники от вредоносного ПО в целом. Важная оговорка: это не drive-by эксплуатация. Нужны включенные экспериментальные флаги Chrome (enable-isolated-web-apps, dev-mode, отключенная local-network-access-check) и ручная установка бандла через chrome://web-app-internals. То есть нужна либо машина самого атакующего с настроенным Chrome, либо уже скомпрометированный хост с правами на смену флагов. 🔧 Меры для SOC и BlueTeam: 1. Через GPO/ADMX запретить пользователям менять флаги chrome://flags и ограничить установку IWA политикой IsolatedWebAppInstallForceList 2. Мониторить появление файлов .swbn и записи в chrome://apps на конечных точках 3. Не считать сетевой трафик от chrome.exe безопасным по умолчанию - коррелировать с портами и объемами, нетипичными для браузера (445, 389, 88, 1433, 5985) 4. Проверять журналы Chrome (`chrome://web-app-internals`, policy-логи) на факт установки неучтенных Isolated Web Apps 5. В детект-логике на SIEM ориентироваться на поведенческие индикаторы (Kerberoasting, DCSync, ESC-атаки), а не на источник процесса 🔗 Демо: https://iwa-tools.pkilla.pw/ 🔗 Сорцы: https://github.com/CICADA8-Research/iwa-tools #redteam #tools #ad #detection #blueteam #soc

🎯 Out of Path - канал про экономику ИТ/ИБ в Казахстане Коллега запустил канал про ИБ, ИТ и телеком и сразу зашел с темы, которую на рынке РК обычно обсуждают на уровне слухов: почему коммерческий SOC стоит столько, сколько стоит, и почему из этого вытекает отсутствие форензики, Threat Hunting и реверса. Подписчиков пока мало, посты по делу - рекомендуем. 💰 Экономика вопроса: SOC 24/7/365 - это не два человека, а сменные аналитики L1, эксперты L2/L3, SIEM-инженеры внедрения и админы, то есть порядка 70-90 млн тенге в год только на зарплаты, плюс лицензии SIEM/SOAR/TI/Sandbox, ЦОД с резервированием, каналы связи и регуляторка. А еще не забываем за международную сертификацию штата, которую втыкают бездумно в каждый тендер. Первые месяцы onboarding провайдер тянет в убыток, а свой SOC начинается от $250-300K в год и вне финтеха, телекома и крупного ритейла просто не окупается. Из зажатой экономики базового мониторинга и растет дефицит уровня L3+: заказчик берет только алерты, Threat Hunting и разбор первопричин считаются роскошью до первого взлома, на минимальных чеках провайдеру нечем платить специалистам по реагированию и реверсу, кадры уходят в финтех, к вендорам и за рубеж, на исследования и лаборатории денег не остается. Круг замыкается, и при первой целевой атаке выясняется, что расследовать инцидент внутри некому, а внешняя экспертиза обойдется совсем в другие деньги. 🔗 https://t.me/out_of_path/8 🔗 https://t.me/out_of_path/10 То же самое видно после каждого пентеста: заказчик получает список векторов, но проверить, заметил ли их собственный мониторинг, и разобрать по логам оказывается некому. #soc #dfir #threathunting #siem #kazakhstan

📉 OpenRouter - как перестать платить в десятки раз больше Гоняю Hermes Agent через OpenRouter и заметил, что очень быстро уходит баланс. Оказалось, роутер по умолчанию отправляет запросы партнерским провайдерам, а не в официальный эндпоинт модели. Разница в цене - десятки раз. 📊 Цены на одну и ту же DeepSeek V4 Flash (вход / выход / cache read за 1M): 1. DeepSeek официальный - $0.66 / $1.98 / $0.022 2. GMICloud - $1.218 / $2.436 / $0.1015 3. SiliconFlow - $1.32 / $3.96 / $0.44 🔥 Главное - cache read При cache hit около 80% основной счет идет именно за чтение кэша, а там разрыв до 20 раз. На практике один запрос со 128k контекста стоил $0.053 у партнера и $0.0018 у официального. ⚠️ Где подвох Официальный DeepSeek висит как Not routable с пометкой Paid model training violation. Включаешь в Privacy тумблер Allow paid endpoints that train on request data - ничего не меняется. Включаешь в guardrail - тоже. В существующем воркспейсе тумблеры не применяются, в документации этого нет. ✅ Решение 1. Создать новый воркспейс 2. Сгенерировать в нем новый API-ключ 3. Включить data-policy тумблеры уже там 4. Прописать новый ключ в свое приложение 💵 Цена вопроса Официальный эндпоинт дешевый потому, что обучается на ваших запросах. Для CTF, лаб и пет-проектов нормально. Данные клиентов через такой ключ гонять нельзя, для этого локальные модели или ZDR-провайдеры. 💡 Второй рычаг Смотрите на размер входа в Logs. У меня в одной сессии он рос со 176k до 204k токенов за пять минут, то есть платишь за накопленный контекст. Чистка сессии роняет вход до 20k, экономия того же порядка, что и смена провайдера. 🙏Спасибо Сергею за наводку - https://t.me/poxek_ai_chat/18151 🔗 https://openrouter.ai/settings/privacy #ai #llm #tools #devops #openrouter

🧬 re-harness - анализ ВПО на LLM Наш товарищ и автор канала Order of Six Angles выложил свою обвязку для статического анализа Windows PE через IDA на локальных моделях. Ключевая идея - урезать интерфейс между LLM и IDA: пять инструментов вместо 88 функций типового MCP-сервера, схема на ~2000 токенов вместо ~30000. Для маленьких моделей это меньше путаницы в tool calls и больше контекста под сам анализ. 📦 Под капотом: 1. Плагин к OpenCode, read-only обертка над IDA и IDASQL 2. Fallback через LLVM lift для больших функций 3. Работает на macOS и Linux 📊 Итоги теста пяти моделей (один PE 117 КБ, без обфускации, one-shot): 1. Qwen3.5-9B - около половины чек-листа, ошибочно классифицировал сэмпл как эксплойт 2. Qwen3-14B - заметного прироста к 9B не дал 3. Qwen3.6-27B - качественный скачок: отключение VSS, установка драйвера, работа с NTFS, повышение привилегий. Цена - ~10 минут и 81к токенов контекста 4. Qwen3-Coder-30B-A3B - быстро, но поверхностно: 7 вызовов инструментов, 2 разобранные функции 5. Qwen3.6-35B-A3B - лучший компромисс: ~3 минуты, результат близкий к 27B, пропустил только драйвер ⚠️ Трезво о результатах: Тест на одном неупакованном сэмпле и одном промпте, автор сам отмечает, что на других конфигурациях расклад будет другой. Порог входа - 27B и выше, ниже модель уверенно врет в выводах. 📺 Видео с демонстрацией: https://youtu.be/lTklrM6rwlw 📺 Полные записи сессий анализа: https://www.youtube.com/playlist?list=PLI-esOLCgfhI 🔗 https://github.com/thatskriptkid/re-harness #malware #ai #llm #dfir #tools

🎉 Нас 10 000 Аж 1️⃣0️⃣0️⃣0️⃣0️⃣ 😱 Когда мы создавали @securixy_kz, не думали, что вокруг канала соберется такое сообщество пентестеров, форензиков, багхантеров и всех, кому интересен практический кибербез, а не пересказ новостей. Канал вырос без какой-либо рекламы, только за счет ваших пересылок. Спасибо каждому, кто читает, присылает идеи, находки, исследования и делится своим опытом. 🎁 В честь этой знаковой отметки мы разыграли 10 Telegram-премиум на 3 месяца, но без условий и кнопок. В прошлый раз открытый розыгрыш собрал толпу ботов, а реальные подписчики не получили ничего. Поэтому победители будут выбраны автоматически телеграмом. Дальше будет больше практики: разборы уязвимостей, эксплоитов и малвари, инструменты и бэст-практисы, а также собственные исследования и тулзы. #securixy #10k

🛡 DontFeedTheAI - прокси, прокси, который прячет ваш контур от LLM ИИ-модели осваивают все подряд, и уже никого не удивить навязанным во многих компаниях "внедрением вынужденной автоматизации бизнес-процессов". Локальные LLM хоть и подконтрольны, но требуют железа с большим объемом RAM, поэтому работодатели не хотят затрат и идут к Anthropic, OpenAI, Grok и "китайцам", безмерно дистиллирующим лидеров рынка. Разработчики, админы и пользователи бездумно - скармливают моделям журналы, конфиги, исходные коды, а вместе с ними отдают наружу реальные IP-адреса, имена серверов, пароли, API-ключи и тп. Регулярно сталкиваемся с тем, что админы, разрабы и простые люди считают установленный на их хост ИИ-клиент или агент локальным и уверены, что никуда данные не уходят... Наткнулся на интересный опенсорсный проект DontFeedTheAI. Он работает как локальный reverse proxy - перед отправкой запроса автоматически заменяет чувствительные данные на безопасные подстановки, а после получения ответа восстанавливает оригинальные значения. 📖 Что умеет: 1. Маскирует IP-адреса, хостнеймы, домены и названия организаций 2. Скрывает JWT-токеры, API-ключи и секреты популярных сервисов 3. Обнаружение и подмена выполняются локально, наружу уходят только подстановки 4. Работает с Claude Code, OpenAI SDK, OpenRouter и другими клиентами с настраиваемым base URL 📦 Как ищет секреты: Два слоя - regex по известным шаблонам и небольшая локальная модель через Ollama для хостнеймов и названий организаций в тексте. Детектор легкий, мощного железа под него не нужно, тяжелые рассуждения по-прежнему уходят в облако. Разворачивается через Docker, поддерживает Windows, macOS и Linux. ⚠️ Это не замена DLP или CASB, но хороший дополнительный уровень защиты при работе с облачными LLM. Копипаст в веб-версию ChatGPT и других - не закрывает. Нужно корректно внедрять как средства блокировки на уровне DLP/AV/NGFW, так и на уровне GPO. В тч. описывать работу с ИИ на уровне ВНД и описывать ответственность. 🔗 https://github.com/zeroc00I/DontFeedTheAI 💰 Из коммерческих решений похожую задачу закрывает Prizma от ScanFactory, но уже с централизованными политиками, защитой от prompt injection, обнаружением теневых AI-сервисов и корпоративным управлением. 🔗 https://t.me/scanfactory/125 #ai #llm #opensource #security #dlp

🔑 Pass-the-Passkey - атаки на passkey в Windows и Entra ID Michael Grafnetter (SpecterOps, автор Shadow Credentials и DSInternals) на Black Hat USA 2026 разобрал passkey-стек Microsoft: три 0-day и 20+ техник. Суть в том, что взламывать сам ключ не нужно - его крадут уже в готовом подписанном виде и подсовывают серверу как свой. 📋 CVE-2026-34348: Windows 11 записывала полный ответ авторизации по passkey прямо в журнал событий (лог WebAuthN/Operational, EventID 2106). Прочитать его может любой пользователь на машине, а удаленно - member группы Event Log Readers. Entra ID не проверял, что этот ответ уже использовали, поэтому его можно просто повторить и войти под чужой учеткой. 💥 Impact: Локальный админ на машине, где вошел Global Administrator, берет его ответ из лога и заходит в облако под ним. Требование phishing-resistant MFA обходится, XDR и Defender for Identity на E5 при этом молчат. 🛠 Техники без CVE: Поддельное окно passkey рисуется поверх браузера, чтобы жертва подтвердила чужой вход. Имя приложения в окне подделывается через настройки сборки (выглядит как Microsoft Edge). Плюс спам-запросы на подтверждение по аналогии с MFA fatigue. Экспорт passkey из KeePassXC и Bitwarden по умолчанию сохраняет приватный ключ в открытом виде. 🩹 Патч: Обновление Windows от 14.07.2026 обрезает подпись в логе до 6 байт. Entra ID с мая считает counter для FIDO2-ключей, но Windows Hello всегда отдает 0, поэтому для него повтор все еще работает. 🔗 https://specterops.io/passkeys #redteam #passkeys #webauthn #entraid #cve

🍏 EtherHiding под macOS - атака на разработчиков через ClickFix Разбирали свежий образец - macOS-стилер, который прячет свой управляющий сервер в смарт-контракте блокчейна Polygon. Цель - разработчики: их заманивают на фейковую статью "как починить Mac" и убеждают вставить команду в терминал. Техника живучая - оператор меняет C2 одной записью в контракт, не трогая жертв. 🎣 Как заражают: 1. Фейковая инструкция по "решению проблем macOS" на Medium/Squarespace 2. Жертва сама копирует base64-команду в Terminal (ClickFix) 3. Ставится LaunchAgent com.<random>.plist с обфусцированным AppleScript 4. RunAtLoad + KeepAlive - запуск при входе и перезапуск после завершения 🧬 Фишка - C2 в блокчейне (EtherHiding): Загрузчик читает смарт-контракт в Polygon через легитимные публичные RPC -> из контракта прилетает актуальный адрес C2 - его нельзя зарезать в DNS заранее -> дальше POST на C2 с txid, ответ сразу в osascript - на диск ничего не пишется 🔐 Что крадет: Пароль macOS через поддельное окно (не системный запрос, а фишинг osascript), Keychain, cookie и пароли Chrome/Firefox/Safari, менеджеры паролей Bitwarden и Proton Pass, 150+ расширений крипто-кошельков, Telegram 🔍 Детект (по поведению, а не по доменам - C2 ротируется):

process where process.name == "osascript" and
  process.parent.name in ("sh","bash","zsh","curl")

Плюс паттерн base64 -d | osascript в LaunchAgent и curl ... txid=...&bmodule 📌 IOC (defanged, не кликать): Домены:

boxerdeuce[.]digital   - дроппер
j9af4sr[.]guru         - C2 (на момент инцидента)
67sixcebeh[.]surf      - C2 (актуальный)
hf98x4d[.]site         - C2 (трекинг кампании)

Polygon smart contract:

0xA3a603F8a454a9c905b4c579Bb72628F7C15C2A0
selector: 0x2686ecea (чтение C2), 0x6d4ce63c (payload)
txid: ce8e7a350529397e9be1236016f5cc11

Host:

LaunchAgent com.<random>.plist  (пример: com.yhfqlocitarklxch)
SHA256 loader: 8f4b5a6752356fdf683ff3af1965cb14b0562c58b81318cd872c3975d6bb901d

🔗 https://www.microsoft.com/en-us/security/blog/2026/05/06/clickfix-campaign-uses-fake-macos-utilities-lures-deliver-infostealers/ 🔗 https://abekweng.medium.com/inside-a-blockchain-hosted-malware-campaign-targeting-windows-and-macos-f5bcdeffed66 #malware #macos #threatintel #dfir #clickfix #EtherHiding

🛠 Всем привет. Я тут допилил CLI-движок для LOLCreds на Go. Называется это безобразие CredsHound. Если коротко, это такая утилита для поиска учетных данных, ключей на хосте, которая работает по концепции Nuclei. Из коробки она ищет: - Пароли и API-ключи, забытые в истории терминалов (.bash_history, .zsh_history, ConsoleHost_history.txt). - Приватные ключи SSH, конфигурации Kubernetes и токены Docker Registry. - Артефакты Windows: пароли из файлов автоматической установки (Unattended XML), конфиги RDCMan и групповые политики с зашифрованными cpassword. - Локальные файлы конфигурации БД вроде .pgpass или .my.cnf. 🐶 Ну и интеграция с собакой тоже есть. Потому что просто выплевывать цветной текст в консоль скучно. 📖 Как запустить:

# установка go install github.com/haxxm0nkey/credshound/cmd/credshound@latest # запуск credshound -ut credshound .

🔗 Где исходники, Билли? Движок: https://github.com/haxxm0nkey/credshound Хорошей пятницы вам, держитесь там!