T.Hunter
رفتن به کانال در Telegram
Tom Hunter news | tomhunter.ru 📔 https://dzen.ru/tomhunter 🤳 https://vk.com/tomhunter 📱 +7 (812) 677-17-05 📧 contact@tomhunter.ru Хэштеги: #news #cve #article Номер заявления: 6780098298
نمایش بیشتر📈 تحلیل کانال تلگرام T.Hunter
کانال T.Hunter (@tomhunter) در بخش زبانی روسی بازیگری فعال است. در حال حاضر جامعه شامل 14 187 مشترک است و جایگاه 14 706 را در دسته اخبار و رسانه‌ها و رتبه 45 807 را در منطقه روسيا دارد.
📊 شاخص‌های مخاطب و پویایی
از زمان ایجاد در невідомо، پروژه رشد سریعی داشته و 14 187 مشترک جذب کرده است.
بر اساس آخرین داده‌ها در تاریخ 22 اکتبر, 2026، کانال فعالیت پایداری دارد. در ۳۰ روز گذشته تغییر اعضا برابر -45 و در ۲۴ ساعت گذشته برابر 4 بوده و همچنان دسترسی گسترده‌ای حفظ شده است.
- وضعیت تأیید: تأیید نشده
- نرخ تعامل (ER): میانگین تعامل مخاطب 13.74% است و در ۲۴ ساعت نخست پس از انتشار، محتوا معمولاً 5.89% واکنش نسبت به کل مشترکان کسب می‌کند.
- دسترسی پست‌ها: هر پست به طور میانگین 1 950 بازدید دریافت می‌کند. در اولین روز معمولاً 836 بازدید جمع‌آوری می‌شود.
- واکنش‌ها و تعامل: مخاطبان به‌طور فعال حمایت می‌کنند؛ میانگین واکنش به هر پست 8 است.
- علایق موضوعی: محتوا بر موضوعات کلیدی مانند юзер, взлом, патч, расширение, clickfix تمرکز دارد.
📝 توضیح و سیاست محتوایی
نویسنده این فضا را محل بیان دیدگاه‌های شخصی توصیف می‌کند:
“Tom Hunter news | tomhunter.ru
📔 https://dzen.ru/tomhunter
🤳 https://vk.com/tomhunter
📱 +7 (812) 677-17-05
📧 contact@tomhunter.ru
Хэштеги: #news #cve #article
Номер заявления: 6780098298”
به لطف به‌روزرسانی‌های پرتکرار (آخرین داده در تاریخ 23 اکتبر, 2026)، کانال همواره به‌روز و دارای دسترسی بالاست. تحلیل‌ها نشان می‌دهد مخاطبان به‌طور فعال با محتوا تعامل دارند و آن را به نقطه اثرگذاری مهم در دسته اخبار و رسانه‌ها تبدیل کرده‌اند.
14 187
مشترکین
+424 ساعت
+77 روز
-4530 روز
در حال بارگذاری داده‌ها
کانال‌های مشابه
ابر برچسب‌ها
اشارات ورودی و خروجی
---
---
---
---
---
---
جذب مشترکین
اکتبر '26اکتبر '26
اکتبر '26
+50
در 1 کانال‌ها
سپتامبر '26
+63
در 1 کانال‌ها
Get PRO
اوت '26
+86
در 2 کانال‌ها
Get PRO
ژوئیه '26
+42
در 2 کانال‌ها
Get PRO
ژوئن '26
+40
در 2 کانال‌ها
Get PRO
مه '26
+96
در 6 کانال‌ها
Get PRO
آوریل '26
+108
در 7 کانال‌ها
Get PRO
مارس '26
+109
در 5 کانال‌ها
Get PRO
فوریه '26
+143
در 7 کانال‌ها
Get PRO
ژانویه '26
+188
در 6 کانال‌ها
Get PRO
دسامبر '25
+131
در 7 کانال‌ها
Get PRO
نوامبر '25
+177
در 9 کانال‌ها
Get PRO
اکتبر '25
+137
در 14 کانال‌ها
Get PRO
سپتامبر '25
+135
در 6 کانال‌ها
Get PRO
اوت '25
+134
در 11 کانال‌ها
Get PRO
ژوئیه '25
+211
در 12 کانال‌ها
Get PRO
ژوئن '25
+170
در 8 کانال‌ها
Get PRO
مه '25
+136
در 12 کانال‌ها
Get PRO
آوریل '25
+174
در 12 کانال‌ها
Get PRO
مارس '25
+149
در 20 کانال‌ها
Get PRO
فوریه '25
+165
در 6 کانال‌ها
Get PRO
ژانویه '25
+155
در 12 کانال‌ها
Get PRO
دسامبر '24
+236
در 8 کانال‌ها
Get PRO
نوامبر '24
+296
در 8 کانال‌ها
Get PRO
اکتبر '24
+334
در 10 کانال‌ها
Get PRO
سپتامبر '24
+271
در 12 کانال‌ها
Get PRO
اوت '24
+363
در 19 کانال‌ها
Get PRO
ژوئیه '24
+185
در 11 کانال‌ها
Get PRO
ژوئن '24
+236
در 14 کانال‌ها
Get PRO
مه '24
+294
در 16 کانال‌ها
Get PRO
آوریل '24
+276
در 19 کانال‌ها
Get PRO
مارس '24
+414
در 37 کانال‌ها
Get PRO
فوریه '24
+479
در 20 کانال‌ها
Get PRO
ژانویه '24
+505
در 22 کانال‌ها
Get PRO
دسامبر '23
+341
در 19 کانال‌ها
Get PRO
نوامبر '23
+210
در 10 کانال‌ها
Get PRO
اکتبر '23
+324
در 13 کانال‌ها
Get PRO
سپتامبر '23
+360
در 0 کانال‌ها
Get PRO
اوت '23
+355
در 0 کانال‌ها
Get PRO
ژوئیه '23
+388
در 0 کانال‌ها
Get PRO
ژوئن '23
+275
در 0 کانال‌ها
Get PRO
مه '23
+336
در 0 کانال‌ها
Get PRO
آوریل '23
+219
در 0 کانال‌ها
Get PRO
مارس '23
+282
در 0 کانال‌ها
Get PRO
فوریه '23
+136
در 0 کانال‌ها
Get PRO
ژانویه '23
+400
در 0 کانال‌ها
Get PRO
دسامبر '22
+265
در 0 کانال‌ها
Get PRO
نوامبر '22
+217
در 0 کانال‌ها
Get PRO
اکتبر '22
+475
در 0 کانال‌ها
Get PRO
سپتامبر '22
+579
در 0 کانال‌ها
Get PRO
اوت '22
+384
در 0 کانال‌ها
Get PRO
ژوئیه '22
+466
در 0 کانال‌ها
Get PRO
ژوئن '22
+324
در 0 کانال‌ها
Get PRO
مه '22
+512
در 0 کانال‌ها
Get PRO
آوریل '22
+853
در 0 کانال‌ها
Get PRO
مارس '22
+1 266
در 0 کانال‌ها
Get PRO
فوریه '22
+448
در 0 کانال‌ها
Get PRO
ژانویه '22
+758
در 0 کانال‌ها
Get PRO
دسامبر '21
+702
در 0 کانال‌ها
Get PRO
نوامبر '21
+1 750
در 0 کانال‌ها
Get PRO
اکتبر '21
+1 672
در 0 کانال‌ها
Get PRO
سپتامبر '21
+758
در 0 کانال‌ها
Get PRO
اوت '21
+124
در 0 کانال‌ها
Get PRO
ژوئیه '21
+97
در 0 کانال‌ها
Get PRO
ژوئن '21
+59
در 0 کانال‌ها
Get PRO
مه '21
+92
در 0 کانال‌ها
Get PRO
آوریل '21
+8
در 0 کانال‌ها
Get PRO
مارس '21
+22
در 0 کانال‌ها
Get PRO
فوریه '21
+109
در 0 کانال‌ها
Get PRO
ژانویه '21
+493
در 0 کانال‌ها
| تاریخ | رشد مشترکین | اشارات | کانال‌ها | |
| 23 اکتبر | +1 | |||
| 22 اکتبر | +5 | |||
| 21 اکتبر | +3 | |||
| 20 اکتبر | +7 | |||
| 19 اکتبر | +7 | |||
| 18 اکتبر | +3 | |||
| 17 اکتبر | +1 | |||
| 16 اکتبر | +2 | |||
| 15 اکتبر | +3 | |||
| 14 اکتبر | +1 | |||
| 13 اکتبر | 0 | |||
| 12 اکتبر | +1 | |||
| 11 اکتبر | +2 | |||
| 10 اکتبر | +6 | |||
| 09 اکتبر | 0 | |||
| 08 اکتبر | 0 | |||
| 07 اکتبر | 0 | |||
| 06 اکتبر | +1 | |||
| 05 اکتبر | +1 | |||
| 04 اکتبر | +1 | |||
| 03 اکتبر | 0 | |||
| 02 اکتبر | +4 | |||
| 01 اکتبر | +1 |
پست‌های کانال
❓Что логировать, чтобы расследование состоялось
Инцидент случился, аналитик открывает логи, а там пусто или одни входы на firewall. Понять, как злоумышленник прошел по сети, нечем. Чаще дело не в злоумышленнике, а в том, что нужные события не писались
Минимум, без которого расследование не строится:
🔹 Запуск процессов. Что, кем и с какими аргументами (Windows Event 4688 или Sysmon). По нему видно цепочку
🔹 PowerShell. Script Block Logging (4104). Любимый инструмент атакующего, без логов невидим
🔹 Входы и аутентификация (4624 / 4625). Видно подбор паролей и вход с чужой учетки
🔹 DNS-запросы. Часто единственный след связи с управляющим сервером
Три вещи, без которых логи бесполезны:
🔸 Единое время. Без синхронизации (NTP) события не сложить в линию
🔸 Срок хранения. Атакующего замечают через месяцы, а логи за неделю затерты
🔸 Централизация. Логи на взломанной машине сотрет сам атакующий
@tomhunter
Наш канал в MAX
| 2 |  🎯 Threat hunting по MITRE ATT&CK: с чего начать
Threat hunting это проактивный поиск злоумышленника, который уже внутри, но тревогу не поднял. Не ждем алерт, а сами проверяем гипотезы. MITRE ATT&CK здесь каркас: база знаний о тактиках и техниках реальных атак
С чего начать:
1. Проверьте, что видите. Поиск без данных невозможен. Сопоставьте техники ATT&CK с тем, что реально пишется в логи (процессы, PowerShell, сеть, DNS)
2. Не хватайтесь за всю матрицу. Возьмите актуальное: с чего чаще начинают атаки на вашу отрасль, что видно в отчетах и в БДУ ФСТЭК
3. Начните с частого. Техники почти из каждой атаки: T1059 (запуск команд и скриптов), T1003 (кража учетных данных), T1053 (планировщик задач)
4. Гипотеза → запрос → вывод. «Если закрепляются через автозагрузку, увижу в логах так-то». Нашли, не нашли, увидели слепую зону, в любом случае результат
Это не про инструмент, а про вопрос, который вы задаете своим данным
@tomhunter
Наш канал в MAX | 1 372 |
| 3 |  🔐 Фишинг-устойчивая аутентификация
Многофакторная аутентификация давно обязательна. Но защищает не сам второй фактор, а то, какой он и как настроен. Коды из SMS и push-уведомления «подтвердите вход» закрывают простые атаки, но в некоторых случаях не спасают
Где это не усиливает защиту:
🔹 Код из SMS пользователь вводит сам. На поддельной странице его перехватывает прокси и подставляет на настоящий сайт
🔹 Push с одной кнопкой «Подтвердить». Человека заваливают запросами или шлют их в момент фишинга, и он жмет «да» на автомате
Как лучше:
🔹 Push с вводом числа с экрана входа (number matching) вместо простой кнопки. Убирает случайные подтверждения, но от перехвата через прокси не спасает, так что это мера переходная
Что реально устойчиво к фишингу:
✅ FIDO2 / passkey и аппаратные ключи (например, YubiKey). Подпись привязана к адресу сайта и на поддельном домене не сработает
SMS лучше, чем ничего. Но для админов, VPN и критичных систем ставьте надежный фактор
@tomhunter
Наш канал в MAX | 1 479 |
| 4 |  💾 Бэкап, который переживет шифровальщик
Перед шифрованием данных злоумышленники ищут и удаляют резервные копии, чтобы не оставить вам выбора. Копия «в соседней папке» под той же учеткой это не страховка, а еще одна жертва
Правило 3-2-1-1-0:
🔹 3 копии данных
🔹 на 2 разных носителях
🔹 1 копия вне площадки (offsite)
🔹 1 копия офлайн или неизменяемая (air-gap / immutable)
🔹 0 ошибок при тесте восстановления
Ключевые две последние цифры.
⚠️ Immutable / air-gap. Копию нельзя перезаписать или удалить даже с правами админа
⚠️ Тест восстановления. Бэкап, который ни разу не разворачивали, это только ощущение безопасности, которой в действительности нет. Проверяйте: что реально поднимется и за сколько
И держите копию отдельно от домена: свои учетки и аутентификация
Выкуп не гарантирует ключ, а вот рабочий офлайн-бэкап гарантирует данные
@tomhunter
Наш канал в MAX | 1 801 |
| 5 |  🏢 Свой SOC или аутсорс (MSSP): когда что
SOC нужен всем, но строить с нуля — не всегда оправдано. Вопрос не «что лучше», а «что под вашу зрелость и бюджет»
🔻 Свой SOC оправдан, когда:
— есть ограничения на вынос данных вовне (гостайна, отдельные контуры, спецтребования)
— инфраструктура большая и специфичная, внешней команде ее долго изучать
— есть люди и бюджет на круглосуточные смены (это 12+ человек: L1/L2, инженеры, специалисты реагирования)
🔻 Аутсорс (MSSP) оправдан, когда:
— мониторинг 24/7 нужен «уже завтра», а не через год найма
— нет своих редких экспертов (threat hunting, форензика) и дорого держать их в штате
— важна предсказуемая цена вместо капзатрат на SIEM и зарплаты
⚠️ Подводные камни:
— SLA: кто изолирует хост в 3 ночи, вы или подрядчик?
— ответственность за инцидент все равно на вас (152-ФЗ не снимается с оператора)
Как вариант — гибрид: мониторинг отдаем MSSP, реагирование и контекст держим у себя
SOC — это процесс, а не лицензия на SIEM :)
@tomhunter
Наш канал в MAX | 1 786 |
| 6 |  🎯 Пентест и аудит: в чем разница
Их часто путают и заказывают не то. На деле это два разных взгляда на безопасность, которые хорошо дополняют друг друга
🔻 Аудит отвечает на вопрос «все ли настроено правильно». Это проверка на соответствие требованиям и лучшим практикам: конфигурации, политики, права доступа, процессы, документы. Смотрит вширь и охватывает всю систему, но не доказывает, что защиту реально можно пробить
🔻 Пентест отвечает на вопрос «а взломают ли нас». Эксперты действуют как атакующие: ищут и используют уязвимости, выстраивают цепочку до реальной цели (домен, данные, деньги). Смотрит вглубь, глазами атакующего, и показывает не список замечаний, а подтвержденный путь атаки
Если коротко: аудит проверяет, выполнены ли правила, пентест проверяет, спасают ли эти правила на практике. Чистый аудит не гарантирует защиты, а один пентест не заменяет системную проверку
@tomhunter
Наш канал в MAX | 1 933 |
| 7 |  🧩 Ландшафт уязвимостей: ИИ меняет правила (Securelist)
Главный сдвиг: ИИ массово находит уязвимости и сам становится их источником. Число CVE, включая критические, растет
Что происходит:
🔻 ИИ помогает находить целые классы уязвимостей, незаметных десятилетиями. Пример: волна повышения привилегий в ядре Linux (Dirty Frag и смежные), опасная для облаков и контейнеров
🔻 Сами ИИ-инструменты несут риски: функциональность развивают быстрее безопасности. У одного OpenClaw свыше 200 CVE за II квартал; типовое это контроль доступа, аутентификация и инъекции
🔻 Эксплойты всё чаще публикуют до патчей, а часть исследований по Exchange и SharePoint оказалась ИИ-фейками, чтобы усложнить обнаружение
🔻 APT начали использовать и сами ИИ-технологии (например, Langflow)
🔻 Классика всё ещё лидирует в детектах: давние уязвимости Office (Equation Editor) и WinRAR
Что делать: патчить по приоритету, а в системах с ИИ-агентами и LLM следить за доступом и беречь учетные данные
@tomhunter
Наш канал в MAX | 2 017 |
| 8 |  🐳 Безопасность Kubernetes и контейнеров
Kubernetes не безопасен по умолчанию: дефолт настроен на гибкость, а не на защиту. По данным Red Hat (2026), 97% организаций за год получили хотя бы один инцидент в облачно-нативной среде, а их главная причина это мисконфигурации, а не 0-day
Где ломают:
🔻 API-сервер, kubelet или дашборд торчат наружу без аутентификации, это прямой вход в кластер
🔻 Переразрешенный RBAC и сервис-аккаунты: из одного контейнера поднимаются до админа всего кластера
🔻 Привилегированные и root-контейнеры, hostPath: побег из контейнера на узел
🔻 Устаревшие образы: по данным Sysdig, 87% образов в проде содержат критичные или высокоопасные уязвимости
Что делать:
1. Исключить control plane из интернета, включить authn/authz, закрыть kubelet и дашборд
2. Минимальные права RBAC, Pod Security Standards, non-root и запрет hostPath
3. Сканировать образы в CI, патчить базовые, сегментировать сеть и хранить секреты в менеджере, а не в env
@tomhunter
Наш канал в MAX | 2 008 |
| 9 |  🤖 Бот-атаки выросли почти на 50%
По данным «Информзащиты», за первое полугодие 2026 число атак с использованием ботов выросло на 46% год к году, а признаки бот-активности фиксируются на 9 из 10 сайтов. В сезон распродаж интенсивность подскакивает ещё сильнее, до 128%.
Что изменилось:
🔻 Боты поумнели: применяют машинное обучение, генеративный ИИ и браузерную автоматизацию, имитируют живых пользователей и обходят простые правила
🔻 Цель сместилась с технических уязвимостей на легитимную бизнес-логику: автоматизированные атаки на личные кабинеты и платежи
🔻 Побочный эффект: растет нагрузка на серверы, базы данных и платежные системы
Что делать:
1. Статические правила и блок по IP уже не спасают, нужна поведенческая аналитика и оценка риска в реальном времени
2. Защищать не только периметр, но и бизнес-сценарии: вход, регистрацию, оплату
3. Регулярно проверять, как бот может использовать нормальную логику приложения против вас
@tomhunter
Наш канал в MAX | 1 983 |
| 10 |  🏛 Категорирование КИИ: процесс и где ошибаются
Категорирование это обязанность каждого субъекта КИИ по 187-ФЗ, порядок задаёт ПП №127. С 16.11.2025 его привязали к перечням типовых отраслевых объектов КИИ: субъект сверяет свои ИС и АСУ с перечнями и присваивает категорию (К1, К2, К3) либо обосновывает ее отсутствие.
Процесс коротко:
1. Создать комиссию, выявить объекты и связать их с критическими процессами
2. Утвердить перечень, направить во ФСТЭК и за срок до года оценить последствия по критериям значимости
3. Утвердить акт и подать сведения во ФСТЭК в течение 10 рабочих дней
Типовые ошибки:
🔻 Вывод «мы не субъект КИИ» без обоснования. Круг субъектов расширился: медицина, транспорт, связь, энергетика, финансы, промышленность
🔻 Неполная инвентаризация: забывают АСУ ТП и вспомогательные системы
🔻 Занижение категории ради меньших требований. ФСТЭК вправе вернуть сведения
🔻 Старый состав сведений: теперь нужны доменные имена и сетевые адреса интернет-доступных объектов
@tomhunter
Наш канал в MAX | 2 087 |
| 11 |  🏥 Медицина стала целью №1 для вымогателей
По данным «Информзащиты», за восемь месяцев 2026 доля атак вымогателей на медорганизации выросла более чем вдвое, с 10% до 21% всех расследованных инцидентов. Здравоохранение обогнало традиционных лидеров и стало самой частой мишенью. А RED Security SOC оценила общий рост кибератак на отрасль в РФ в 2,7 раза за полугодие
Почему медицина:
🔻 Простой недопустим: от непрерывности зависят жизни, поэтому шанс на выплату выше. В медицине платят 50-60% против 35-40% по рынку
🔻 Двойной ущерб: данные о здоровье относятся к спецкатегории ПДн (152-ФЗ), а часть клиник попадает под КИИ (187-ФЗ), и к простою добавляются регуляторные последствия
🔻 64% атак начинались с украденных учеток для VPN и RDP
Что делать:
~ MFA на всех VPN- и RDP-доступах, ревизия внешнего периметра
~ Изолированные бэкапы и проверка восстановления
~ Мониторить признаки до шифрования: распыление паролей, аномальные VPN/RDP-сессии, эксфильтрацию
@tomhunter
Наш канал в MAX | 2 132 |
| 12 |  🖱 ClickFix: фейковая CAPTCHA, которую вы запускаете сами
Одна из главных техник фишинга сейчас. Никакого эксплойта: сайт показывает поддельную проверку «я не робот» и просит нажать Win+R, Ctrl+V, Enter. В буфере уже лежит команда PowerShell, которую жертва запускает сама. Дальше ставится стилер (Lumma, StealC, Vidar) и выгребает cookie, пароли и криптокошельки.
Почему опасно:
🔻 Файла нет, антивирусу нечего проверять. Команда идет через PowerShell и mshta и работает даже на пропатченной машине с EDR
🔻 Продается как сервис: готовые шаблоны reCAPTCHA, Cloudflare и «синего экрана», ротация доменов, выбор пейлоада
🔻 По данным ESET, за полгода детектов стало на 517% больше, это второй по частоте вектор после фишинга
Что делать:
• Запомнить: настоящая CAPTCHA никогда не просит нажать Win+R или вставить команду в консоль
• Ограничить и логировать PowerShell и mshta, включить контроль запуска ПО
• В EDR искать запуск PowerShell из браузера, окно «Выполнить» отключается через GPO
@tomhunter
Наш канал в MAX | 2 354 |
| 13 |  👾 wp2shell: WordPress захватывают без пароля
17 июля Searchlight Cyber раскрыла wp2shell, цепочку из двух уязвимостей в ядре WordPress (CVE-2026-63030 и CVE-2026-60137). Связка дает анонимному злоумышленнику удаленное выполнение кода и полный захват сайта. Дыра в ядре, поэтому уязвим даже стоковый WordPress без плагинов.
Почему опасно:
🔻 Путаница маршрутов в batch-эндпоинте REST API открывает SQL-инъекцию в WP_Query, затем создается админ и заливается веб-шелл
🔻 Атака без предусловий: ни аккаунта, ни настроек, ни действий пользователя. Плагины безопасности и сложные пароли не спасают
🔻 Уязвимы 6.9.0-6.9.4 и 7.0.0-7.0.1. Патч вышел в день раскрытия, но за часы появились PoC и пошла эксплуатация, обе CVE в CISA KEV
Что делать:
1. Обновиться до 6.9.5 или 7.0.2. Форс-апдейт срабатывает не всегда, проверьте версию
2. До патча закрыть на WAF оба маршрута: /wp-json/batch/v1 и ?rest_route=/batch/v1
3. Threat hunting: искать лишних админов и веб-шеллы
@tomhunter
Наш канал в MAX | 2 569 |
| 14 |  🔐 Регулятор распространил криптозащиту на облака под госсистемы
Приказ №321 от 22 августа 2026 впервые распространил требования к сертифицированной криптозащите не только на сами ГИС, но и на внешние облачные сервисы и оборудование, которые обеспечивают их работу, но в состав не входят. Принят в исполнение 568-ФЗ.
Что меняется:
▪️ Сертифицированное шифрование может понадобиться и при передаче данных в облако, и внутри контура, например между серверами в одном ЦОД
▪️ Необходимость и класс СКЗИ обосновываются в модели угроз и ТЗ; крипточасть для ГИС согласуется с ФСБ, а проверку проводят раз в три года
▪️ Класс СКЗИ зависит от масштаба системы, значимости информации и возможностей нарушителя
Главное: отвечает владелец ГИС, но требование можно закрепить за исполнителем госконтракта. Криптозащиту курирует ФСБ, техническую защиту ФСТЭК. Учет внутреннего нарушителя подтолкнет многие системы к СКЗИ класса КС3 и выше, а таких решений на рынке немного
@tomhunter
Наш канал в MAX | 2 462 |
| 15 |  🩹 Почему «патчить все» не работает
За 2025 год вышло рекордные 48 000+ CVE, около 131 в день. Закрыть все нельзя: не хватит ни рук, ни окон обслуживания. А главное, не нужно. По данным Kenna/Cisco, в реальных атаках используется меньше 5% уязвимостей. Задача не патчить все, а найти те самые проценты
Один CVSS не помогает: он описывает теоретическую тяжесть, но молчит, эксплуатируют ли дыру сейчас. Бывает CVSS 7.0, которую ломают массово, и 9.8, до которой нет дела
Чем приоритизировать:
▪️ KEV. Каталог CISA: то, что уже эксплуатируется в атаках. Патчить первым
▪️ EPSS. Вероятность эксплуатации в 30 дней. Топ-3% ловит около 80% реально атакуемого
▪️ Достижимость. Дыра на изолированном хосте не равна дыре на периметре
Важно: KEV и EPSS слепы к угрозам без публичного CVE. Для РФ добавляйте БДУ ФСТЭК и трендовые уязвимости, иначе не увидите то, что уже бьет по стране
Патчить надо не больше, а точнее. Скорость важна там, где уязвимость реально используют
@tomhunter
Наш канал в MAX | 2 577 |
| 16 |  🪱 Shai-Hulud: npm-пакет, который заражает сам себя
В сентябре 2025 npm накрыл первый самораспространяющийся червь. Он не ждет хакера: ставится в окружении, крадет токены и сам публикует зараженные версии дальше. За часы легли сотни пакетов, включая @ctrl/tinycolor с 2 млн загрузок в неделю
Как работает цепочка:
▪️ При установке post-install скрипт запускает TruffleHog и выгребает секреты из окружения и CI/CD
▪️ Найден npm-токен без 2FA: червь берет пакеты жертвы и публикует новые зараженные версии
▪️ Секреты уходят в публичный GitHub-репозиторий, приватные репозитории становятся публичными
И это не только 2025. Волны идут дальше: ноябрь (25 000+ репозиториев) и август 2026 через keyv, 400+ пакетов и 2 млрд установок в месяц
Что делать:
~ Публиковать через trusted publishing и 2FA, старые токены убрать
~ Пиннинг версий и lock-файлы, ignore-scripts при установке
~ Ротация токенов npm и GitHub, аудит workflow
Зараженный пакет в сборке тянет всю цепочку
@tomhunter
Наш канал в MAX | 2 528 |
| 17 |  🔎 Час OSINT до первого пакета
Пентест начинается не с эксплойта. Прежде чем отправить хоть один пакет к вам, атакующий собирает то, что вы сами выложили наружу. Ни одного стука в дверь, а карта уже нарисована
Что находим первым, не касаясь вашей сети:
▪️ Поддомены. Забытый dev, staging, старая админка. Часто дыра именно там
▪️ Утёкшие учётки. Почты сотрудников в сливах, а пароли часто повторяют
▪️ GitHub сотрудников. Ключи, токены и внутренние адреса в репозиториях
▪️ Метаданные. В PDF и фото видны имена, версии ПО, пути
▪️ Люди. Должности из вакансий и соцсетей дают сценарий фишинга
Всё это открытые источники. Разведку вы не увидите в логах: запросов не было
Что делать:
- Смотреть на внешний контур глазами атакующего
- Чистить метаданные и закрывать лишние поддомены
- Мониторить утечки по корпоративным доменам
- Помнить: личный GitHub сотрудника тоже периметр
@tomhunter
Наш канал в MAX | 2 443 |
| 18 |  🤖 Shadow AI: сотрудник несёт клиентскую базу в чат-бот
Менеджер копирует из CRM 200 клиентов с телефонами и просит чат-бот «сегментируй по потенциалу». Юрист вставляет договор «найди риски». Каждое действие идёт в обход ИТ. Это и есть shadow AI: публичные нейросети мимо политик компании
Масштаб уже не гипотетический:
▪️ По данным «Солар», за 2025 год объём данных из российских компаний в публичные нейросети вырос в 30 раз
▪️ В июле 2026 каждая пятая компания с утечкой связала её с бесконтрольным ИИ (год назад 12%)
▪️ Веб-интерфейсы чат-ботов дают 42% всех утечек через ИИ
Чем грозит: ваш ввод может пойти на обучение модели, а отправка ПДн в зарубежный сервис нарушает 152-ФЗ
Что делать:
Запрет не работает, он лишь загоняет ИИ в тень
Дайте легальную альтернативу: on-premise модель или LLM-прокси с анонимизацией
Обучайте на своих задачах: что можно грузить, что нет
Настройте DLP на копипаст в веб-формы
@tomhunter
Наш канал в MAX | 2 618 |
| 19 |  🏛 Приказ ФСТЭК №117 вместо №17: аттестат больше не финиш
С 1 марта 2026 действует приказ ФСТЭК №117 (от 11.04.2025), он заменил №17, проживший 13 лет. Если ваши регламенты и ТЗ ссылаются на №17, то они устарели
Что поменялось по сути:
▪️ Шире охват. №17 касался ГИС и муниципальных систем. №117 обязателен для всех информсистем госорганов, ГУП и госучреждений, независимо от назначения и критичности
▪️ Другая логика надзора. Разовую аттестацию сменил непрерывный расчёт показателей защищённости. Проверяют не «есть ли мера», а обоснована ли она угрозами
▪️ Инциденты теперь идут в ГосСОПКА, информирование обязательно
Что делать:
Разработать план перехода. Это прямое требование ФСТЭК (письмо №240/22/1492)
Старые аттестаты по №17 действуют до конца срока, но только при неизменной конфигурации
Учесть риск по 44-ФЗ и 223-ФЗ: без соответствия сужается доступ к госконтрактам
Бизнес втягивается через ТЗ госзаказчиков, даже если сам не госорган
@tomhunter
Наш канал в MAX | 2 694 |
| 20 |  🎭 Профайлинг жертвы
Сама по себе утёкшая база — ещё не удар. Удар начинается, когда по ней звонят. Мошеннику не нужно угадывать: он знает ваше имя, банк, последнюю покупку и последние цифры карты. Разговор идёт не с нуля, а с фактов, которые якобы знает только настоящая служба безопасности
Как это работает:
▪️ Информационный шум. После огласки утечки звонок «по этому поводу» выглядит логично
▪️ Точность вместо давления. Не «вы выиграли приз», а «подтвердите операцию на 4200 рублей в среду» — и человек верит
▪️ Спектакль в два акта. Сначала «мошенник» выманивает код, затем «полиция» звонит спасать: первый звонок был поддельный, срочно переведите деньги
Что делать:
~ Знание ваших данных ничего не подтверждает. Утекли — значит, известны всем
~ Положите трубку и перезвоните в банк по номеру с карты
~ «Безопасного счёта» не существует, это всегда мошенники
Утечка живёт не в момент слива, а месяцами после — в звонках
@tomhunter
Наш канал в MAX | 2 524 |
