S.E.Reborn
Открыть в Telegram
Copyright: @SEAdm1n Вакансии: @infosec_work Информационная безопасность. Литература для ИТ специалистов. Пентест, OSINT, СИ, DevOps, Администрирование. Сотрудничество - @SEAdm1n РКН: https://vk.cc/cN3VEF
Больше
Сеть:📈 Аналитический обзор Telegram-канала S.E.Reborn
Канал S.E.Reborn (@s_e_reborn) языкового сегмента Русский является активным участником. Сейчас сообщество объединяет 22 355 подписчиков, занимая 5 909 место в категории Технологии и приложения и 29 684 место в регионе Россия.
📊 Показатели аудитории и динамика
С момента создания невідомо проект демонстрирует стремительный рост, собрав аудиторию из 22 355 подписчиков.
Согласно последним данным от 22 июля, 2026, канал показывает стабильную активность. За последние 30 дней изменение числа участников составило -5, а за последние 24 часа — -3, при этом общий охват остаётся высоким.
- Статус верификации: Не верифицирован
- Уровень вовлечённости (ER): Средний показатель вовлечённости аудитории составляет 7.74%. В первые 24 часа после публикации контент обычно набирает 3.83% реакций от общего числа подписчиков.
- Охват публикаций: В среднем каждый пост получает 1 731 просмотров. В течение первых суток публикация набирает 857 просмотров.
- Реакции и взаимодействия: Аудитория активно поддерживает контент: среднее количество реакций на один пост — 2.
- Тематические интересы: Контент сосредоточен на ключевых темах, таких как reports, github, linux, sql, docker.
📝 Описание и контентная политика
Автор описывает ресурс как площадку для выражения субъективного мнения:
“Copyright: @SEAdm1n
Вакансии: @infosec_work
Информационная безопасность. Литература для ИТ специалистов. Пентест, OSINT, СИ, DevOps, Администрирование.
Сотрудничество - @SEAdm1n
РКН: https://vk.cc/cN3VEF”
Благодаря высокой частоте обновлений (последние данные получены 23 июля, 2026) канал поддерживает актуальность и высокий уровень охвата публикаций. Аналитика показывает, что аудитория активно взаимодействует с контентом, что делает его важной точкой влияния в категории Технологии и приложения.
22 355
Подписчики
-324 часа
-47 дней
-530 день
Загрузка данных...
Похожие каналы
Облако тегов
Входящие и исходящие упоминания
---
---
---
---
---
---
Привлечение подписчиков
июль '26
июль '26
+109
в 0 каналах
июнь '26
+126
в 1 каналах
Get PRO
май '26
+153
в 1 каналах
Get PRO
апрель '26
+327
в 5 каналах
Get PRO
март '26
+120
в 5 каналах
Get PRO
февраль '26
+378
в 5 каналах
Get PRO
январь '26
+110
в 3 каналах
Get PRO
декабрь '25
+114
в 1 каналах
Get PRO
ноябрь '25
+117
в 1 каналах
Get PRO
октябрь '25
+73
в 2 каналах
Get PRO
сентябрь '25
+62
в 6 каналах
Get PRO
август '25
+215
в 4 каналах
Get PRO
июль '25
+109
в 3 каналах
Get PRO
июнь '25
+129
в 4 каналах
Get PRO
май '25
+72
в 1 каналах
Get PRO
апрель '25
+106
в 2 каналах
Get PRO
март '25
+103
в 6 каналах
Get PRO
февраль '25
+111
в 5 каналах
Get PRO
январь '25
+71
в 4 каналах
Get PRO
декабрь '24
+121
в 5 каналах
Get PRO
ноябрь '24
+246
в 8 каналах
Get PRO
октябрь '24
+212
в 20 каналах
Get PRO
сентябрь '24
+329
в 2 каналах
Get PRO
август '24
+290
в 4 каналах
Get PRO
июль '24
+440
в 7 каналах
Get PRO
июнь '24
+171
в 7 каналах
Get PRO
май '24
+274
в 12 каналах
Get PRO
апрель '24
+246
в 9 каналах
Get PRO
март '24
+321
в 3 каналах
Get PRO
февраль '24
+302
в 5 каналах
Get PRO
январь '24
+419
в 8 каналах
Get PRO
декабрь '23
+398
в 12 каналах
Get PRO
ноябрь '23
+290
в 9 каналах
Get PRO
октябрь '23
+423
в 14 каналах
Get PRO
сентябрь '23
+358
в 0 каналах
Get PRO
август '23
+294
в 0 каналах
Get PRO
июль '23
+409
в 0 каналах
Get PRO
июнь '23
+196
в 0 каналах
Get PRO
май '23
+438
в 0 каналах
Get PRO
апрель '23
+324
в 0 каналах
Get PRO
март '23
+391
в 0 каналах
Get PRO
февраль '23
+637
в 0 каналах
Get PRO
январь '23
+600
в 0 каналах
Get PRO
декабрь '22
+644
в 0 каналах
Get PRO
ноябрь '22
+809
в 0 каналах
Get PRO
октябрь '22
+1 045
в 0 каналах
Get PRO
сентябрь '22
+753
в 0 каналах
Get PRO
август '22
+832
в 0 каналах
Get PRO
июль '22
+997
в 0 каналах
Get PRO
июнь '22
+972
в 0 каналах
Get PRO
май '22
+1 228
в 0 каналах
Get PRO
апрель '22
+1 152
в 0 каналах
Get PRO
март '22
+1 476
в 0 каналах
Get PRO
февраль '22
+697
в 0 каналах
Get PRO
январь '22
+1 030
в 0 каналах
Get PRO
декабрь '21
+1 035
в 0 каналах
Get PRO
ноябрь '21
+1 910
в 0 каналах
Get PRO
октябрь '21
+1 038
в 0 каналах
Get PRO
сентябрь '21
+948
в 0 каналах
Get PRO
август '21
+818
в 0 каналах
Get PRO
июль '21
+1 130
в 0 каналах
Get PRO
июнь '21
+3 624
в 0 каналах
| Дата | Привлечение подписчиков | Упоминания | Каналы | |
| 23 июля | +6 | |||
| 22 июля | +5 | |||
| 21 июля | +8 | |||
| 20 июля | +2 | |||
| 19 июля | +4 | |||
| 18 июля | +5 | |||
| 17 июля | +4 | |||
| 16 июля | +4 | |||
| 15 июля | +7 | |||
| 14 июля | +6 | |||
| 13 июля | +4 | |||
| 12 июля | +8 | |||
| 11 июля | +2 | |||
| 10 июля | +4 | |||
| 09 июля | +2 | |||
| 08 июля | +4 | |||
| 07 июля | +3 | |||
| 06 июля | +8 | |||
| 05 июля | +2 | |||
| 04 июля | +1 | |||
| 03 июля | +7 | |||
| 02 июля | +2 | |||
| 01 июля | +11 |
Посты канала
🗣 Почему именно “WIFi” и с чего всё началось?
• Многие из нас принимают аббревиатуру, как должное, не задумываясь о том, почему технология называется именно так. Все на самом деле очень просто — дело в том, что WiFi изначально продвигали со слоганом «The Standard for Wireless Fidelity», что можно перевести как «стандарт беспроводной точности».
• Затем технология получила сокращенное название «Wireless Fidelity», что со временем было обрезано до WiFi. Частично сыграла свою роль и аббревиатура HiFi, которая расшифровывается как High Fidelity. Может быть, разработчики WiFi пытались сделать свою технологию узнаваемой как раз за счет HiFi — кто знает. Как бы там ни было, своего они добились.
• Теперь поговорим о том, с чего все началось. Датой рождения технологии является 1985 год. Тогда Федеральная служба по связи США официально разрешила использовать определенные частоты радиоспектра без лицензии. Эту инициативу поддержали и другие страны, так что бизнес быстро понял — в этой нише можно заработать. Один за другим стали появляться проекты беспроводной связи, которые разные компании пытались коммерциализировать.
• Лишь в 1997 году, появились первые спецификации беспроводной связи WiFi. Первое поколение, 802.11, давало возможность передавать данные со скоростью в 2 Мбит/с, при том, что радиус действия модуля был очень небольшим. Да и стоимость оборудования, которое обеспечивало беспроводную передачу данных, была просто заоблачной.
• Затем, где-то в 1999 году, появились прототипы двух редакций базового стандарта: 802.11b и 802.11a. Они обеспечивали невиданную скорость передачи данных по воздуху — вплоть до 11 Мбит/с. Радиодиапазон при этом использовался тот же, что и сейчас — 2,4 ГГц. Радиус действия был гораздо большим, чем у самого первого поколения WiFi. Радиооборудование становится все более доступным — его могут купить уже и обычные пользователи.
• Чуть позже скорость увеличили до 54 Мбит/с, воспользовавшись диапазоном в 5 ГГц и назвав спецификацию 802.11a. Именно тогда и закрепилось название WiFi, которое сейчас является обозначением спецификации 802.11.
• Кроме того, разработчики стали заботиться о безопасности передаваемых данных лучше, чем раньше. Так, на смену дырявому WEP пришел WPA (англ. — Wi-Fi Protected Access). Еще год спустя, в 2004, появился протокол WPA2, который стал весьма надежно защищать беспроводные сети.
#Разное
| 2 | Киберподполье активно задействует критическую CVE-2026-50522 в Microsoft SharePoint для кражи ключей доступа к компьютерам и сохранения доступа даже после установки обновлений на затронутые серверы.
Злоумышленник, получив эти токены, способен создать действительные токены аутентификации, чтобы выдать себя за других пользователей и получить доступ к доступным ресурсам, включая сайты и документы SharePoint, с привилегиями фейковый личности.
Microsoft описывает проблему как уязвимость в десериализации недоверенных данных, которая позволяет удаленному злоумышленнику выполнять код по сети без аутентификации.
Уязвимость была устранена июльским PatchTuesday, но не была отмечена в качестве активно используемой, несмотря на то, что в уведомлении указывалось на повышенную вероятность её использования в качестве рычага атаки.
В свою очередь, watchTowr предупредила, что хакеры приступили к эксплуатации CVE-2026-50522 в отношении уязвимых локальных развертываний SharePoint сразу после того, как в сеть попала достоверная версия PoC-эксплойта.
20 июля watchTowr обнаружила PoC для этой уязвимости и буквально в течение нескольких часов глобальная сеть ловушек Attacker Eye компании зафиксировала попытки эксплуатации с его использованием, которые успешно скомпрометировали целевые системы.
Исследователи отмечают, что злоумышленники крадут машинные ключи, которые позволяют им сохранять долгосрочный доступ к взломанным системам.
При этом Defused еще 17 июля обнаружила «недокументированный вектор десериализации SharePoint», используемый в атаках, но не смогла связать эту активность с уязвимостью. Но на днях в Defused отметили, что атаки, вероятно, были обусловлены CVE-2026-50522 в SharePoint.
По меньшей мере один PoC PowerShell для уязвимости CVE-2026-50522 доступен на GitHub (разработан неким Janggggg).
В этом PoC реализуется попытка инициировать удаленное выполнение кода путем доставки вредоносной полезной нагрузки .NET BinaryFormatter в виде cookie поддельного SecurityContextToken в ответе на запрос входа в систему WS-Federation, отправленном на конечную точку SharePoint _trust/default.aspx.
Если токен обрабатывается с использованием уязвимого пути десериализации, полезная нагрузка приводит к выполнению произвольного кода на сервере SharePoint.
Следует отметить, что Janggggg опубликовал PoC в тот же день, когда watchTowr начала фиксировать первые атаки с его использованием. Вместе с тем неясно, использовались ли в наблюдаемых инцидентах общедоступные эксплойты.
Хотя установка последних обновлений безопасности SharePoint устраняет уязвимость, watchTowr советует также регулярно обновлять учетные данные для любых ресурсов, которые могли быть скомпрометированы. | 826 |
| 3 |  #Юмор | 1 255 |
| 4 | 🖥 Компьютер, который отказывается умирать.
• «Время жизни» технологий сократилось — смартфоны можно менять хоть каждый год. Но пока еще есть оборудование, которое работает на протяжении десятилетий и, вероятно, проработает еще долгие годы. Одна из таких систем — японский FACOM 128B, введенный в эксплуатацию в 1958 году.
• В начале 1950-х ЭВМ строили на электронных лампах — их использовали в первом коммерческом компьютере IBM Model 701. Эти элементы были сложны в обслуживании и часто выходили из строя. Поэтому некоторые компании выбрали иной путь и занялись разработкой электромеханических компьютеров на базе реле и переключателей. Среди них была японская корпорация Fujitsu. Она планировала составить конкуренцию американскому «голубому гиганту».
• В 1954 году Тосио Икэда (Toshio Ikeda), глава отдела компьютерных технологий Fujitsu, инициировал разработку новой вычислительной системы. В ней роль логических элементов играли коммутационные реле, использовавшиеся на телефонных станциях. Инженеры компании использовали 4500 таких реле и собрали из них компьютер FACOM 100. Спустя два года свет увидела улучшенная версия системы — FACOM 128A, а в 1959-м — FACOM 128B.
• Компьютер FACOM 128B использовали вплоть до 1970-х годов. С его помощью проектировали специальные линзы для фотокамер и NAMC YS-11 — первый пассажирский авиалайнер, построенный японцами после окончания Второй мировой войны.
• Данный компьютер уже не применяют для каких-либо серьезных расчетов и вычислений. Машина превратилась в полнофункциональный музейный экспонат, установленный в «зале славы» фабрики Fujitsu Numazu Plant в городе Нумадзу.
• За работоспособностью компьютера следит единственный инженер — Тадао Хамада (Tadao Hamada). По его словам, он «останется на посту» до конца своей жизни, так как хочет сохранить технологическое наследие Японии для потомков. Он отмечает, что ремонт системы не требует значительных усилий. FACOM 128B настолько надежен, что в нем нужно заменять всего одно реле в год, несмотря на ежедневные демонстрационные запуски.
• Скорее всего, компьютер проработает еще много лет, даже после ухода Тадао Хамады. Уверенность вселяет тот факт, что в прошлом году Национальный музей природы и науки Токио включил FACOM 128B в список технологий, имеющих важное историческое значение.
➡️ https://youtu.be/MUt1r3kjers
#Разное | 1 198 |
| 5 | Хакеры пощупали репозитории ИИ Hugging Face, получив доступ к внутренним наборам данных и учетным данным, по итогу взломав производственную инфраструктуру с помощью автономной системы агентов ИИ.
Hugging Face - это платформа с открытым исходным кодом, использующая ИИ и машинное обучение, которая предоставляет доступ к более чем 45 000 моделям от ведущих поставщиков ИИ и используется более чем 50 000 организаций.
Компания все еще пытается понять, были ли затронуты данные партнеров или клиентов, заявиляя, что свяжется со всеми пострадавшими сторонами напрямую.
На данный момент в Hugging Face не обнаружили никаких признаков вмешательства в общедоступные модели, наборы данных или Spaces, и что ее цепочка поставок ПО «проверена на отсутствие нарушений».
Взлом начался в конвейере обработки данных Hugging Face, где злоумышленники использовали вредоносный набор данных для эксплуатации двух уязвимостей, позволяющих выполнять код, и запустили его на рабочем узле обработки, что позволило им выкрасть учетные данные облака и кластера и перемещаться по нескольким внутренним кластерам.
Как отметили в Hugging Face, кампания проводилась с помощью автономной агентской системы (по всей видимости, построенной на основе агентного инструментария для исследований в области безопасности — используемая LLM-технология пока неизвестна), выполняющей тысячи отдельных действий в рое кратковременных песочниц, с самоперемещающимся центром управления, размещенным на общедоступных сервисах.
В ответ на утечку данных Hugging Face закрыла уязвимые пути выполнения кода (внедрение шаблона в конфигурацию набора данных и удаленный загрузчик набора данных кода), локализовала злоумышленника, восстановила скомпрометированные узлы, а также отозвала и сменила все затронутые учетные данные.
Кроме того, были внедрены усовершенствованные системы обнаружения вредоносной активности, об инциденте сообщено правоохранительным органам, и в настоящее время ведется работа с внешними экспертами для оценки последствий утечки данных.
Hugging Face посоветовала пользователям регулярно менять токены доступа и проверять недавнюю активность учетной записи на предмет подозрительного поведения, а также заявила, что продолжит делиться результатами исследований по защите от атак с использованием ИИ. Будем следить. | 1 272 |
| 6 | ⚙️ Linux Crisis Tools
• В одном из блогов заметил полезную статью, которая содержит в себе определенный набор необходимых инструментов, когда инцидент на сервере уже случился. Автор в своей статье рекомендует установить их заранее =))
➡️ https://www.brendangregg.com/blog/2024-03-24/linux-crisis-tools.html
#Linux #Tools | 1 534 |
| 7 |  🛠 Фиксим незначительный баг в проде...
#Юмор | 1 719 |
| 8 |  +1🖥 8-дюймовые дискеты.
• Для подрастающего поколения уже даже 3,5-дюймовые дискеты в диковинку. Не говоря уже о 5,25-дюймовых и тем более восьмидюймовых. На первом фото оператор ЭВМ использует 8-дюймовую дискету, как раз о них и пойдет речь:
• 8-дюймовые дискеты увидели свет в 1967 году. В открытой продаже появились в 1971 году. Поначалу их ёмкость составляла 81,6 килобайт. На дискету помещалось столько же данных, сколько на 1000 перфокарт.
• Когда появились новые 8-дюймовые дискеты объёмом в 240 килобайт, казалось, что это предел совершенства. А на дискету помещалось столько же данных, сколько на 3000 перфокарт!
• Последние модификации 8-дюймовых дискет уже вмещали 1,2 мегабайта. Такой колоссальный объём данных, который с лихвой удовлетворял нужды абсолютного большинства «компьютерных» пользователей, — был эквивалентен 15000 перфокартам!
• К слову, в давние 70-е ёмкость всех носителей информации измерялось количеством перфокарт, которые бы потребовались для хранения эквивалентного объёма данных. Потому что с перфокартами были знакомы все, а вот с высокотехнологичными магнитными носителями данных – единицы 🤷♂️
#Разное | 1 727 |
| 9 | Новый OkoBot доставляет более 20 различных вредоносных ПО в рамках атак, направленных на кражу сид-фраз криптокошельков, учетных данных и другой конфиденциальной информации.
OkoBot проникает к жертвам через атаки ClickFix или вредоносные репозитории GitHub, выдавая себя за легитимные программные инструменты.
В одном случае репозиторий якобы представлял SQL Server Management Studio (SSMS), но вместо этого распространял троянизированную версию аудиоредактора Audacity.
Исследователи Лаборатории Касперского отмечают, что кампания OkoBot продолжается уже более года и стала продолжением активности, связанной с распространением вредоносного скрипта PowerShell TookPS.
Однако цепочка заражения полностью изменилась: теперь она включает несколько этапов атаки, а на первом этапе используется TookPS для установки и настройки SSH-бота, который доставляет другие вредоносные компоненты.
SSH-бот также отвечает за сбор системных данных (имя пользователя, антивирусное ПО, IP-адрес, версия ОС) и отключение уведомлений Windows Defender. Кроме того, он собирает файлы криптовалютных кошельков, cookie-файлы браузера и учетные данные.
Среди 20 модулей, задействуемых OkoBot в атаках, наиболее примечательны следующие:
- ext daemon/extl.exe: внедряется в браузер Chrome для скрытой установки вредоносных расширений, таких как Rilide, которые нацелены на учетные данные, файлы cookie, финансовую информацию и данные, связанные с криптовалютой.
- SeedHunter: внедряется в Trezor Suite, Ledger Wallet и Ledger Live для отображения фейкового экрана восстановления сид-фразы, предназначенного для кражи фраз восстановления кошелька у жертв.
- MC Keylogger: записывает нажатия клавиш и активность буфера обмена, включая скопированный текст, изображения и пути к файлам, а также может отслеживать USB-подключения и делать снимки экрана каждые 5 минут.
- OkoSpyware: отслеживает работу 100 программ, включая криптокошельки и менеджеры паролей, и использует FFmpeg для записи видео их окон, а также для захвата нажатий клавиш.
Телеметрия ЛК показывает, что большинство жертв OkoBot находятся в Бразилии, за ней следуют Вьетнам, Канада, Мексика и Турция. Однако охват кампании глобален.
В ЛК не связывают кампанию OkoBot с каким-либо конкретным злоумышленником, но исследователи отмечают, что доступ к серверам, на которых размещены скрипты PowerShell для начального этапа атаки, заблокирован по географическому признаку.
Они заметили, что полезные нагрузки не доставляются при использовании IP из России или стран СНГ, и сервер возвращает пустой ответ.
Дополнительные признаки, указывающие на русскоязычного злоумышленника, включают комментарии на русском языке в исходном коде модуля SeedHunter и использование стилера, активно распространяемого на закрытых российских даркнет-ресурсах.
IOCs, включающий хеши вредоносных плагинов, полезных нагрузок инжекторов, утилит SSH-ботов, пути к файлам, домены и IP - в отчете. | 1 306 |
| 10 |  👾 Откуда появилось слово «баг»?
• Слово «баг» (bug на английском) это самый обыкновенный жучок. Нет, не тот, что в шпионских фильмах устанавливают в телефон для прослушки. А обыкновенное насекомое. Точнее выражаясь, любое насекомое из отряда Hemiptera, также именуемого как «настоящие / истинные жуки». Но как биологический термин стали применять в компьютерных технологиях?
• Самой распространенной теорией является случай с Грейс Хоппер. Она работала в Гарвардском университете с ЭВМ Harvard Mark II. Устройство работало не так, как следовало. В итоге Грейс обнаружила между замкнувшими контактами сгоревшего мотылька (я уже писал об этом вот тут). После этого госпожа Хоппер вклеила маленького диверсанта в свой технический отчет (см. фото) и написала: «First actual case of bug being found» (Первый реальный случай обнаружения бага). Произошло все это в 1946 году 9 сентября.
• Случай действительно забавный, но не первый. До него, во времена Второй мировой, ошибки в работе электроники радиолокационных устройств также называли «багами».
• А еще раньше, в 1878 году, Томас Эдисон написал следующие строки:
Так было со всеми моими изобретениями. Первый шаг — интуиция, которая приходит как вспышка, затем возникают трудности — устройство отказывается работать, и именно тогда проявляются «жучки» — как называют эти мелкие ошибки и трудности — и требуются месяцы пристального наблюдения, исследований и усилий, прежде чем дело дойдёт до коммерческого успеха или неудачи.
• Но это не удивительно, назвать раздражающую тебя ошибку в честь насекомого, которые так же часто могут нас доставать, кружась вокруг, кусая, жаля и жужжа на ухо.
#Разное | 1 190 |
| 11 | Исследователи Лаборатории Касперского обнаружили новую APT-атаку с использованием ранее неизвестного инструментария, которая началась как минимум в мае 2026 года и остается активной на момент публикации.
Кампания получила условное наименование HelloNet и включает в себя новые вредоносные модули, которые запускаются через систему обновления ViPNet (программный комплекс для создания защищенных сетей).
В ходе исследования в ЛК выявили попытки целенаправленного заражения крупных российских организаций из государственного, энергетического, транспортного, образовательного и логистического секторов, а также промышленности.
Причем это уже не первый случай, когда APT-группировка нацеливается на компьютеры, подключенные к сетям ViPNet. Например, в прошлом году был детектирован сложный бэкдор, мимикрирующий под обновления ViPNet.
Возвращаясь к HelloNet, в одной из проанализированных систем специалисты выявили вредоносный файл c именем wtsapi32.dll в директории, которая относится к системе обновления комплекса ViPNet.
Помещая файл в эту директорию, злоумышленники реализуют технику DLL Sideloading - ей подвержен исполняемый файл системы обновлений ViPNet itcsrvup64.exe, который запускается при старте ОС.
Таким образом, в ходе данной атаки злоумышленники пытались реализовать закрепление на системе через компонент обновления ПО ViPNet.
Wtsapi32.dll является загрузчиком, который был назван HelloInjector. Его основная цель - внедрить свой код в процесс svchost.exe и запустить вредоносную нагрузку.
После запуска вредонос проверяет процесс, в контексте которого он был запущен. Если имя основного процесса не svchost.exe, загрузчик запускает перебор всех процессов, запущенных в ОС.
Он ищет процесс, имя которого содержит строку svchost, а командная строка - строку netsvcs. Если такой процесс найден, загрузчик внедряет себя в целевой процесс с помощью функций NtWriteVirtualMemory и NtCreateThreadEx.
После повторного запуска в новом процессе загрузчик снова проверяет имя процесса на наличие строки svchost. Убедившись в успешной проверке, HelloInjector загружает и выполняет в памяти вредоносную нагрузку, которая хранится в его теле в открытом виде.
Вредоносная нагрузка, которую назвали HelloProxy, является одновременно скрытым прокси и загрузчиком следующих модулей, которые присылает командный сервер.
Работает за счет перехвата функций NtDeviceIoControlFile, closesocket и shutdown, который осуществляется с помощью Microsoft библиотеки Detours. После установки перехватчиков, вредонос начинает прослушивать порты 5003 и 5060 в ожидании первых команд от С2 сервера.
В ходе исследования ЛК удалось обнаружить две вредоносные нагрузки, которые были внедрены в процесс svchost, вероятно в результате работы ранее описанного загрузчика:
- Имплант, который назвали HelloExecutor, с помощью которого атакующие могут выполнять команды на зараженной системе;
- Модуль для очистки файлов журналов ПО ViPNet, который был назван HelloCleaner. Он позволяет скрыть действия злоумышленников в системе.
Помимо этого, на одной из зараженных систем был обнаружен бэкдор написанный на языке Rust, который в ЛК назвали HelloBackdoor.
В настоящее время в ЛК с низкой долей уверенности связывают данную кампанию с деятельностью неизвестной китайскоязычной APT. Все технические подробности и IOCs - в отчете. | 1 166 |
| 12 | 💬 История подростков, создавших ботнет Mirai.
• Речь пойдет о короле ботнетов "Mirai" и о истории его создания. Этот ботнет разработали студенты, которые решили организовать DDOS-атаку на собственный университет. Но в конечном итоге Mirai стал самым крупным IoT-ботнетом, а ребят поймали и отправили в места не столь отдаленные.
• К слову, внутри Mirai — небольшой и чистый код, который не отличался технологичностью. Для распространения задействовалась всего 31 пара логин-пароль, но даже этого оказалось достаточно, чтобы захватить более полумиллиона IoT устройств.
➡ Читать статью [12 min].
#Разное | 1 373 |
| 13 |  Используете ИИ в разработке? Проверьте, всё ли учли с точки зрения безопасности.
Эксперты «Лаборатории Касперского» подготовили бесплатный чек-лист, который поможет оценить, насколько безопасно внедрены ИИ-инструменты в вашей компании и поможет проверить:
🟢 защищены ли рабочие места разработчиков;
🟢 как организован доступ к LLM и корпоративным данным;
🟢 учтены ли риски промпт-инъекций;
🟢 безопасны ли MCP-серверы и цепочки поставок.
Материал основан на практическом опыте внедрения LLM во внутренние процессы компании и поможет выявить потенциальные слабые места до того, как они могут стать проблемой.
Более 20 лет «Лаборатория Касперского» развивает ИИ-технологии для кибербезопасности, помогая бизнесу обнаруживать сложные угрозы и быстрее реагировать на инциденты.
Достаточно заполнить короткую форму — и PDF откроется сразу.
🔗 Скачать чек-лист — по ссылке. | 1 461 |
| 14 | 👩💻 PowerShell Commands for Pentesters.
• В продолжении к вчерашней публикации поделюсь с Вами полезными командами, которые будут полезны пентестерам и специалистам в области информационной безопасности:
+ Locating files with sensitive information:
- Find potentially interesting files;
- Find credentials in Sysprep or Unattend files;
- Find configuration files containing “password” string;
- Find database credentials in configuration files;
- Locate web server configuration files;
+ Extracting credentials:
- Get stored passwords from Windows PasswordVault;
- Get stored passwords from Windows Credential Manager;
- Dump passwords from Google Chrome browser;
- Get stored Wi-Fi passwords from Wireless Profiles;
- Search for SNMP community string in registry;
- Search for string pattern in registry;
+ Privilege escalation:
- Search registry for auto-logon credentials;
- Check if AlwaysInstallElevated is enabled;
- Find unquoted service paths;
- Check for LSASS WDigest caching;
- Credentials in SYSVOL and Group Policy Preferences (GPP);
+ Network related commands:
- Set MAC address from command-line;
- Allow Remote Desktop connections;
- Host discovery using mass DNS reverse lookup;
- Port scan a host for interesting ports;
- Port scan a network for a single port (port-sweep);
- Create a guest SMB shared drive;
- Whitelist an IP address in Windows firewall;
+ Other useful commands:
- File-less download and execute;
- Get SID of the current user;
- Check if we are running with elevated (admin) privileges;
- Disable PowerShell command logging;
- List installed antivirus (AV) products.
#PowerShell | 1 591 |
| 15 | По меньшей мере два разных злоумышленника используют новый метод обхода защиты, называемый подменой идентификатора клиента OAuth, для валидации украденных учетных данных Microsoft Entra, уклоняясь при этом от сбора телеметрии.
Метод позволяет перечислять учетные записи и проверять украденные учетные данные в средах Microsoft Entra ID, не генерируя при этом событие успешного входа в систему, которое в противном случае привлекло бы внимание специалистов по защите.
Злоумышленники начали использовать эту уязвимость для получения несанкционированного доступа к облачным сервисам организации.
Как отмечают в Proofpoint, это «слепое пятно» в телеметрии входа в облако: Entra ID возвращает разные ответы об ошибках в зависимости от того, действителен ли предоставленный идентификатор клиента OAuth.
Злоумышленники используют это для определения действительных имен пользователей и правильных паролей в больших масштабах, фактически проверяя украденные списки учетных данных без регистрации успешного входа в систему.
Другими словами, атаки используют идентификатор клиента OAuth, глобально уникальный идентификатор (GUID), присваиваемый приложениям при запросе доступа к пользовательским данным и передаваемый в качестве client_id в запросах аутентификации.
Предоставляя фейковые идентификаторы клиентов, злоумышленники могут перечислять учетные записи без зарегистрированного приложения OAuth и определять действительность как пароля, так и учетной записи, не генерируя событие успешного входа в систему.
Журналы входа в систему Entra являются основным источником телеметрии для выявления вредоносной активности аутентификации, включая перечисление пользователей, подбор паролей и первоначальные попытки доступа.
При этом такие кластеры угроз, как UNK_CustomCloak манипулируют строками User-Agent для брут-атак на среды Microsoft Entra ID, используя устаревшее приложение Windows Live Custom Domains, обходя стандартные ограничения на вход в систему и проверяя пароли пользователей в объемах более чем 4000 учетных записей.
Однако последние попытки знаменуют демонстрируют совершенствование этого метода, реализуя подмену идентификаторов клиентов OAuth посредством HTTP POST-запросов к конечной точке токена OAuth 2.0 от Microsoft с использованием потока учетных данных владельца ресурса (ROPC).
В частности, это включает в себя предоставление синтаксически корректного идентификатора клиента, но такого, который не соответствует реальному приложению.
В таких сценариях в журнале входа в Entra записывается только идентификатор приложения без соответствующего имени приложения. Ответ, содержащий код ошибки службы токенов безопасности Azure Active Directory (AADSTS), затем можно использовать для определения того, существует ли учетная запись и правилен ли пароль, даже если приложение не зарегистрировано.
Proofpoint выявила две крупные кампании, которые независимо друг от друга использовали эту технику в конце декабря 2025 года:
- UNK_pyreq2323 (с января по март 2026), использовавший более 700 000 поддельных идентификаторов клиентов из инфраструктуры Amazon Web Services (AWS) для атаки на более чем 1 млн. учетных записей в почти 4000 клиентах.
- UNK_OutFlareAZ (начиная с декабря 2025), в рамках которого использовалась инфраструктура Cloudflare для атаки на более чем 2 млн. пользователей с помощью 3,7 млн. случайных поддельных идентификаторов приложений.
В обеих кампаниях использовались действительные UUID и были выявлены закономерности, соответствующие предварительно составленным спискам имен пользователей.
Однако, если в UNK_OutFlareAZ пользователи нумеровались в алфавитном порядке, то в UNK_pyreq2323 этого не делалось. Еще одно различие заключалось в способе подмены идентификаторов клиентов.
UNK_pyreq2323 изменил последние цифры известного идентификатора приложения, а затем повторно использовал поддельные идентификаторы для 12 пользователей. В отличие от него, UNK_OutFlareAZ генерировал уникальный идентификатор клиента для каждого запроса. | 1 366 |
| 16 | 👩💻 Awesome PowerShell.
• Большая подборка различного материала для изучения PowerShell: книги, курсы, статьи, подсказки, команды и т.д.:
- API Wrapper;
- Blogs;
- Books;
- Build Tools;
- Code and Package Repositories;
- Commandline Productivity;
- Communities;
- Data;
- Documentation Helper;
- Editors and IDEs;
- Frameworks;
- Interactive Learning;
- Logging;
- Module Development Templates;
- Package Managers;
- Parallel Processing;
- Podcasts;
- Security;
- SharePoint;
- SQL Server;
- Testing;
- Themes;
- UI;
- Videos;
- Webserver;
- Misc.
#PowerShell | 1 562 |
| 17 | Уязвимость в ядре Linux оставалась скрытой практически во всех основных дистрибутивах Linux более 15 лет, прежде чем была исправлена в начале этого года.
Уязвимость отслеживается как CVE-2026-43499 и получила название GhostLock. Она может быть использована непривилегированным локальным злоумышленником для получения прав root и выхода из контейнеров.
За ее обнаружение исследователи Nebula Security получили вознаграждение в размере 92 337 долл. по программе kernelCTF от Google.
По данным Nebula, ошибка может быть использована для повышения привилегий с заявленной вероятностью успеха в 97%. GhostLock был представлен в Linux 2.6.39 в 2011 году и оставался в ядре до тех пор, пока не был исправлен в Linux 7.1, затронув все основные дистрибутивы.
GhostLock обусловлена проблемой в коде блокировки мьютекса реального времени (rtmutex) ядра, используемом механизмом наследования приоритетов futex.
Из-за некорректной операции очистки ядро может сохранять висячую ссылку на память в стеке потока даже после того, как эта память перестает быть действительной.
Затем злоумышленник может освободить эту память с помощью контролируемых данных, в конечном итоге получив возможность перенаправлять выполнение ядра и получить права root.
Хотя эксплойт Nebula Security основан на нескольких передовых методах обхода современных средств защиты ядра и надежного перехвата выполнения ядра, лежащая в его основе ошибка относительно проста.
Вспомогательная функция, первоначально написанная для одного пути выполнения, позже была повторно использована в другом, где она ошибочно обновляла состояние текущего выполняющегося потока вместо потока, которому фактически принадлежал затронутый объект ядра.
По словам исследователей, для реализации GhostLock не требуются повышенные привилегии, пространства имен пользователей или необычные конфигурации ядра.
Система уязвима, если в ней включен параметр CONFIG_FUTEX_PI, который является параметром по умолчанию в большинстве универсальных ядер Linux.
Об уязвимости команду разработчиков безопасности ядра Linux уведомили 18 апреля 2026 года вместе с предложенным исправлением. Другой патч, устраняющий проблему, был принят два дня спустя, и в начале мая началось распространение стабильных версий ядра.
Google подтвердила успешное участие Nebula Security в kernelCTF 30 июня, а исследователи опубликовали свой технический отчет после скоординированного раскрытия информации.
Официальное исправление гарантирует, что ядро очищает информацию о состоянии для правильной задачи ожидания, устраняя «висячий» указатель, который позволил использовать эксплойт.
Nebula Security также отмечает, что включение таких функций защиты, как RANDOMIZE_KSTACK_OFFSET, значительно снижает надежность опубликованной ею техники эксплуатации, хотя обновление до пропатченного ядра остается единственным полным средством защиты.
Пользователям и администраторам Linux следует устанавливать обновления ядра, предоставляемые их дистрибутивом, как только они станут доступны.
Поскольку GhostLock требует локального выполнения кода, ограничение несанкционированного доступа к системам и поддержание ядра в актуальном состоянии остаются наиболее эффективными средствами защиты от эксплуатации. | 1 507 |
| 18 |  📄 История создания формата PDF.
• Создателем PDF (Portable Document Format) является Джон Уорнок, один из основателей Adobe, который захотел облегчить процесс распечатки текста и изображений с компьютера. В 1984 году Уорнок представил язык описания страниц PostScript.
• Изначально PostScript разрабатывался как инструмент для распечатки документов на принтере, но позже Уорнок решил, что с помощью нового языка можно не только выводить документы на печать, но и полностью «оцифровать» систему документооборота.
• В рамках этого видения в Adobe (основателем которой был Уорнок) создали формат IPS (расшифровывается аббревиатура как Interchange PostScript). Для работы с ним был создан Adobe Illustrator — кроссплатформенный графический редактор для Windows и Mac.
• Впервые IPS показали на конференции Seybold в Сан-Хосе в 1991 году, но с таким названием формат просуществовал два года — в 1993 его переименовали в PDF. Тогда же появились Acrobat Distiller и Acrobat Reader (позднее переименованная в Adobe Reader).
• Первое время PDF не пользовался популярностью. Всему виной была высокая цена на софт: Acrobat Distiller для личного пользования стоил 700 долларов, а для корпоративного — 2500 долларов. За Acrobat Reader просили еще 50 долларов. Со временем Adobe снизили цены, и популярность PDF стала набирать обороты.
• К началу нулевых Acrobat Reader 4.0 скачали сто миллионов человек, а PDF-формат стали использовать крупные ИТ-компании, например Microsoft и Apple.
#Разное | 1 726 |
| 19 | 👾 Awesome Vulnerable Applications.
• Подборка заранее уязвимых приложений, сервисов, ОС и пр. для вашего обучения, либо тестирования различного рода сканеров:
- Online;
- Paid;
- Vulnerable VMs;
- Cloud Security;
- SSO - Single Sign On;
- Mobile Security;
+ OWASP Top 10;
- SQL Injection;
- XSS Injection;
- Server Side Request Forgery;
- CORS Misconfiguration;
- XXE Injection;
- Request Smuggling;
+ Technologies;
- WordPress;
- Node.js;
- Firmware;
- Uncategorized.
➡️ https://github.com/vavkamil/awesome-vulnerable-apps/
#Пентест | 1 702 |
| 20 | ⚙️ Awesome PCAP tools.
• Порой кажется, что задача собирать и анализировать трафик сети очень трудоёмкая. Причин, требующих мониторить трафик может быть множество, начиная от неправильных конфигураций, которые нагружают вашу сеть, до создания поведенческого baseline сетевой активности и анализа аномалий.
• Поделюсь с Вами полезным и объемным репозиторием, который содержит список инструментов для обработки файлов pcap (Packet Capture Data) при исследовании сетевого трафика.
- Linux commands;
- Traffic Capture;
- Traffic Analysis/Inspection;
- DNS Utilities;
- File Extraction;
- Related Projects.
➡️ https://github.com/caesar0301/awesome-pcaptools
#Network | 1 995 |
