Управление Уязвимостями и прочее

История о том, как 15-летний школьник с помощью ChatGPT нарушил работу анимешной стриминговой платформы, весьма показательна. Киберполиция Токио арестовала 15-летнего ученика первого класса старшей школы из города Токородзава (префектура Сайтама) по подозрению "в воспрепятствовании деятельности компании путём обмана". По версии следствия, парень массово отменил подписки на сервис Bandai Channel примерно для 46 800 учётных записей, что нарушило работу компании. Bandai Channel (バンダイチャンネル) - японский стриминговый сервис аниме, принадлежащий Bandai Namco Filmworks. Он работает с 2002 года и предлагает по подписке или за отдельную плату тысячи аниме-сериалов, фильмов и OVA. Сервис ориентирован главным образом на пользователей в Японии. Подозреваемый признал вину и заявил: "У меня не было личной неприязни к компании". Следствие утверждает, что школьник, используя ChatGPT, проанализировал логику работы сервиса, обнаружил уязвимость в системе и написал программу, которая автоматически отправляла ложные запросы на отмену подписок. Атака продолжалась 4 ноября прошлого года с 17:00 до 20:46. После того как компания обнаружила вредоносную активность и заблокировала доступ по IP, подросток около 30 раз менял свой IP-адрес и продолжал отправлять вредоносные запросы. 🤪 Тогда же в ноябре прошлого года компания обратилась в полицию Токио. В ходе расследования, основанного на анализе сетевых журналов и других цифровых следов, следователи установили личность подозреваемого. Тут возникает вопрос: если инцидент произошёл ещё в ноябре прошлого года, почему школьника задержали только сейчас? В оригинальной новости упоминается, что в июне этого года того же школьника уже арестовывали по подозрению в нарушении закона о запрете несанкционированного доступа к чужим учётным записям. Возможно, в июне правоохранители проверили его компьютер и обнаружили следы атаки на Bandai Channel. Тут можно сказать следующее: 🔻 С современными ИИ-сервисами (а тем более с автономными агентами) реализовывать полноценные атаки могут даже школьники без какой-либо вменяемой мотивации. Аргумент "Да кому мы нужны, чтобы нас ломать?" уже вообще не работает. Кому ломать всегда найдётся. Единственный вариант - постоянно повышать уровень защиты, чтобы реализация атак становилась всё сложнее и дороже. 🔻 Следите за своими детьми. Парень пару часиков помаялся ерундой и нажил себе проблемы на ровном месте. Если вы не объясните доходчиво своим детям, что можно делать, а что является очень даже уголовно наказуемым, то они запросто во что-нибудь такое вляпаются. ➡️Ⓜ️ MAX | @avleonovrus #ChatGPT #OpenAI #AI #LLMSecurity #cybercrime #Japan #anime #StreamingService #Streaming #BandaiChannel #BandaiNamco #law #kids #родительство

На сайте Positive Technologies вышло исследование "Рынки монетизации уязвимостей". Сделаю краткую выжимку. Основная идея: уязвимости - это ценный ресурс, представляющий интерес как для специалистов по кибербезопасности, так и для злоумышленников. Поэтому вокруг уязвимостей сформировались параллельные рынки монетизации. ⚖️ Легальный рынок Багбаунти является основным легальным способом монетизации уязвимостей. Компании выплачивают исследователям вознаграждения за найденные уязвимости в системах, продуктах и сервисах. Основной фокус багбаунти-программ составляет внешняя поверхность атаки: веб-приложения, API и корпоративная инфраструктура. 96% исследователей работают с веб-приложениями, а с ОС и ПО - лишь 38%. Чаще всего выявляют XSS, ошибки контроля доступа и конфигураций. Компании могут запускать собственные программы или использовать платформы вроде HackerOne, Bugcrowd и Standoff Bug Bounty. Стоимость размещения компаний на платформе составляет около 1 млн ₽ в год в России и 15 000 - 50 000 $ за рубежом. Размер выплат зависит от критичности уязвимости. Максимальные вознаграждения за отдельные типы уязвимостей достигают 2,4 млн ₽. 🌫 Серый рынок Серый рынок монетизации уязвимостей занимает промежуточное положение между легальными багбаунти-программами и теневыми площадками. Исследователи передают данные об уязвимостях посредникам или специализированным компаниям, а дальнейшее использование информации часто остается непрозрачным. Как правило, брокеров интересуют эксплоиты для 0-day-уязвимостей, стоимость которых может достигать 2,5 млн $. 🚫 Нелегальный рынок Теневые форумы представляют нелегальный рынок уязвимостей. 0-day уязвимости там ценятся выше всего и они чаще всего выставляются на продажу: 49% всех объявлений. Объявления о продаже 1-day уязвимостей встречаются реже и составляют 11% от общего числа. В 38% объявлений речь идёт не о продаже, а о покупке данных о конкретной уязвимости. Наиболее востребованы уязвимости удаленного выполнения кода (RCE) и повышения привилегий (LPE), на которые приходится 43% и 25% объявлений о продаже уязвимостей соответственно. Основные цели: интернет сервисы (36%) и корпоративное ПО (33%). Стоимость уязвимостей определяется их эксплуатационной ценностью. Наибольший интерес представляют редкие и сложные для обнаружения уязвимости с высоким потенциалом применения. В 47% объявлений цена на уязвимости не указывается. Цена 0-day уязвимостей на чёрном рынке может быть до 20 раз выше, чем в багбаунти-программах. На этом рынке также активно развивается сервисная модель. Уже около 7% объявлений об услугах связаны с покупкой или продажей услуг по эксплуатации уязвимостей в программном обеспечении. При этом 0-day уязвимости упоминаются в 40% таких объявлений, что подтверждает их высокую востребованность. Теневой рынок формирует развитую экосистему продажи информации об уязвимостях, но связан с рисками мошенничества и уголовного преследования. 💡 Рекомендации Компаниям следует сочетать технические и аналитические меры защиты: использовать багбаунти для непрерывного поиска уязвимостей, кибериспытания для проверки реальных сценариев атак и threat intelligence для мониторинга угроз и теневых площадок. Важно придерживаться проактивного подхода: регулярно анализировать поверхность атаки, выявлять и устранять уязвимости до их эксплуатации злоумышленниками, повышая киберустойчивость и снижая потенциальный ущерб. ➡️Ⓜ️ MAX | @avleonovrus #PositiveTechnologies #PositiveResearch #BugBounty #StandoffBugBounty #HackerOne #Bugcrowd #VulnerabilityResearch #Research #VulnerabilityManagement #ThreatIntelligence #AttackSurface #ZeroDay #Exploit #ResponsibleDisclosure #CyberThreats #DarkWeb #Cybercrime

В блоге компании Sysdig вышел пост о первой хорошо задокументированной агентной ransomware-кампании JADEPUFFER. Суть там в следующем. Первоначальный доступ злоумышленники получили через опубликованный в Интернет сервер Langflow (платформа для создания и развертывания AI-агентов и workflow), проэксплуатировав уязвимость CVE-2025-3248. Эта уязвимость позволяет удалённому неаутентифицированному атакующему с помощью специально сформированного HTTP-запроса выполнить на сервере произвольный код. Далее злоумышленники запустили адаптивную и полностью автоматизированную кампанию, дошли до целевой системы и пошифровали базу данных продакшена. 🤖🤷‍♂️ При компрометации базы эксплуатировалась уязвимость обхода аутентификации в Nacos (CVE-2021-29441). Nacos - платформа для динамического обнаружения сервисов, управления конфигурациями и администрирования сервисов. Эксперты Sysdig приводят следующие аргументы в пользу того, что эти действия выполнялись полностью автоматически: 🔻 Все полезные нагрузки доставлялись через RCE-уязвимость в Langflow в виде Python-кода, закодированного в Base64. Декодированные полезные нагрузки содержат большое количество комментариев, объясняющих, почему выполняется каждое действие. Там есть приоритизация целей по "окупаемости" (Return on Investment), определение "самой крупной" базы данных и описание назначения каждого шага. Люди обычно не добавляют комментарии к каждой команде вида python3 -c, а LLM делают это по умолчанию. 🔻 Слишком быстрая диагностика и исправление ошибок. Например, за 30-50 секунд был пройден полный цикл от неудачной попытки входа до диагностики причины ошибки, исправления кода и успешной аутентификации. 🔻 Во время атаки LLM читала обычный текст, найденный в системе, и принимала решения на его основе, а не просто искала совпадения по шаблонам. Такое поведение повторялось даже в разных сессиях с интервалом в несколько недель. Ну и более 600 осмысленных пейлоадов, выполненных за короткий промежуток времени... Не очень похоже на человека с фиксированным набором утилит. 😉 Мораль? Если не будете детектировать и устранять уязвимости, мисконфигурации и прочие экспозиции, то вас рано или поздно взломают и пошифруют. Это произойдёт с нечеловеческой скоростью и эффективностью и не потребует от злоумышленника особой квалификации. 👾👻 Эксперты Sysdig описывают следующие этапы атаки (здесь я буду обозначать LLM-агента, проводившего атаку, тоже как "JADEPUFFER"): [ Читайте полностью в посте на сайте avleonov.ru ] ➡️Ⓜ️ MAX | @avleonovrus #JADEPUFFER #Sysdig #AgenticAI #AI #LLM #Ransomware #Langflow #Nacos #Python #Exposure #PostgreSQL #MinIO #MySQL #JWT

Нам нужна национальная мобильная ОС. Соглашусь с Игнатием Цукергохером, что в плане мобильных ОС дело пахнет керосином и нужно что-то срочно предпринимать. Apple удалила из App Store национальный мессенджер MAX, после чего были удалены и другие приложения VK. Вслед за этим появились новости о предупреждении Apple от ФАС и возможном штрафе до 4 млрд рублей. Вряд ли Apple устранит "дискриминацию российских поисковых систем и обеспечит предустановку отечественного ПО на устройствах с iOS до 15 июля 2026 года". 🙄 Да и в то, что Эппл Рус выплатит штраф, тоже верится с трудом. Есть основания полагать, что идёт постепенная эскалация, результатом которой будет запрещение мобильных устройств Apple (в каком-то виде) и дальнейшее снижение их функциональности в России, реализованное как со стороны купертинцев, так и со стороны РКН. Казалось бы, чего нам переживать за Apple и эплофилов? Есть же устройства на Android. Но там Google тоже переходит к гиперцентрализации и вводит обязательную регистрацию авторов приложений. У тех, кто не пройдёт верификацию (или у тех, кто будет неугоден по каким-то причинам 😉), приложения будут заблокированы на каждом Android-устройстве по всему миру. Речь не только о приложениях из Play Store, а вообще обо всех приложениях. Продвинутые пользователи смогут установить произвольную APK, но для этого придётся пройти пляски с бубном из 9 пунктов, один из которых - "Подождите 24 часа". Чистой воды издевательство. Закручивать гайки начнут с сентября 2026 года. Ну и в целом, когда Дуров говорил, что без собственной операционной системы "все приложения на смартфонах - "национальные" или "иностранные" - остаются уязвимыми для точечной слежки и цензуры со стороны США через бэкдоры и магазины приложений iOS и Android", он был прав. Как по мне, появление в широкой продаже устройств с отечественной мобильной операционной системой возможно только в случае повторения того же финта, что и с национальным мессенджером МАКС: 🔻 Необходимо, чтобы было принято политическое решение, что да, нужно создавать мобильную ОС директивно. 🔻 Особый статус национальной мобильной операционной системы (НМОС) должен быть закреплён в законе РФ. 🔻 В закрытом режиме должен быть выбран конкретный исполнитель, у которого есть наработки и компетенции, чтобы развивать НМОС. 🔻 Производители устройств должны быть директивно простимулированы производить устройства на НМОС, а ритейл - их продавать. Хочешь быть на рынке и не иметь проблем - участвуй в продвижении НМОС. 🔻 При появлении устройств с НМОС в продаже необходимо агрессивно навязывать их потребителям. Устройство с НМОС в кармане должно быть таким же атрибутом лояльности, как портрет президента в кабинете. На публике каждого чиновника должны видеть только со смартфоном с НМОС. 🔻 Бизнесы, у которых есть мобильные приложения, должны в первую очередь обеспечить их работу в НМОС. Определённые важные типы приложений должны работать только под НМОС. Какая именно мобильная ОС должна стать национальной? Как по мне, непринципиально. Их сейчас в России достаточно много: Аврора, РЕД ОС М, РОСА Мобайл, Astra Linux Mobile, Alt Mobile, KasperskyOS for Mobile, kvadraOS и другие. [ Читайте полностью в посте на сайте avleonov.ru ] ➡️Ⓜ️ MAX | @avleonovrus #НМОС #Android #iOS #AOSP #AuroraOS #RedOS #RedOSM #ROSA #ROSAMobile #AstraLinux #AstraLinuxMobile #AltLinux #AltMobile #KasperskyOS #KasperskyOSforMobile #kvadraOS #Apple #AppStore #Google #OpenSource #ImportSubstitution #Импортозамещение #Runet #Durov #Fplus #РКН #ФАС #MAXmessenger

О правильном понимании термина "exposure" ("экспозиция") в контексте Exposure Management (Управление Экспозициями) и Continuous Threat Exposure Management (CTEM, Непрерывное Управление Экспозициями с учётом Угроз). Я решил вернуться к этому вопросу, более-менее подробно описать историю использования термина "exposure", а также обосновать, почему я считаю корректным определять термин "exposure" как "уязвимость в широком смысле". Сделаю я это на основе своих выступлений и дискуссий на конференциях Security Summit, Территория Безопасности и Периметр, а также семинаре компании "Киберпротект", проходивших этой весной. Повторюсь, что у меня к термину "exposure" отношение непростое. Был период, когда он мне категорически не нравился, и я выступал против его использования. Но постепенно, как в знаменитой книге Дейла Карнеги, я перестал беспокоиться и научился с ним жить. 🙂 🎓 (НЕ)Использование в академической ИБ Когда мы говорим об уязвимостях ("vulnerability"), мы обычно понимаем под этим ошибки программного обеспечения, "баги", которые злоумышленники могут использовать для реализации своих зловредных целей. Всё у чего есть CVE или БДУ идентификатор - это уязвимость. При этом если посмотреть формальное определение уязвимости, то оно окажется гораздо более широким. У ФСТЭК это "слабость актива или управления, эксплуатация которой приведёт к реализации одной или нескольких угроз" (ISO/IEC 27000:2014) или "Недостаток (слабость) программного (программно-технического) средства или информационной системы в целом, который (которая) может быть использована для реализации угроз безопасности информации" (ГОСТ Р 56545-2015). В глосарии NIST самое популярное определение уязвимости, используемое в 17 документах, звучит так: "слабость в информационной системе, процедурах обеспечения безопасности системы, внутренних контролях или реализации, которая может быть эксплуатирована или задействована источником угрозы". А откуда взялось "exposure"? Это слово очень многозначное как в самом английском языке, так и при переводе на русский. В зависимости от контекста его могут переводить как подвергание, выставление, выставка, местоположение, обнажение, вид и т.д. В академической информационной безопасности термин "exposure" практически не используется. Если термин "vulnerability", согласно глоссарию NIST встречается в 39 документах, то термин "exposure" только в двух: 🔹 В документе NIST SP 800-161r1-upd1 Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations под "exposure" понимается "степень, в которой организация и/или заинтересованная сторона подвержена риску". 🔹 В документе NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM) под "exposure" понимается "комбинация уровней вероятности и воздействия для риска". Несмотря на низкую академическую востребованность, термин "exposure" в настоящее время активно используется индустриальной ИБ-экосистемой (Gartner, крупные вендоры, консалтинговые и платформенные игроки), но в иных смыслах. ⚙️ Эпоха Tenable Одним из главных популяризаторов термина стала компания Tenable, которая с 2017 года начала продвигать концепт "Cyber Exposure" как "новую развивающуюся дисциплину управления и измерения современной поверхности атаки, позволяющую точно понимать и снижать киберриски" (Tenable Delivers Record Results in Q2 and the First Half of 2017). Однако при описании этого "Cyber Exposure" они используют термин "exposure", не определяя его. 🤷‍♂️ [ Читайте полностью в посте на сайте avleonov.ru ] ➡️Ⓜ️ MAX | @avleonovrus #Exposure #ExposureManagement #CTEM #CyberExposure #Vulnerability #VMprocess #Gartner #Tenable #NIST #FSTEC #BitSight #Tetrate #Hexnode #SecuritySummit #tb2026 #PerimeterConf #Киберпротект #methodology #terms

Каналу @avleonovrus "Управление Уязвимостями и прочее" сегодня исполнилось 4 года. Я календарь переверну и снова 3 июля. 🙂 Как 3 июля 2022 года я написал первый пост про необходимость скорейшей девестернизации российского IT, так и продолжаю, помимо основной темы про уязвимости и их детектирование, гнуть свою линию. За здоровый IT-лоялизм, за признание явных успехов, за поддержку наших в беде, за повышение наступательного киберпотенциала страны. Позиция эта довольно непопулярная. Особенно в недозаблокированной соевой ТэГэшечке, где в почёте бессовестный популизм и оголтелое критиканство, направленное против любых государственных инициатив. 🫠🤷‍♂️ Однако для меня очередной год писательства прошёл весьма успешно. Посты выпускал более-менее регулярно. Количество подписчиков ТГ-канала перевалило за психологически/юридически значимую отметку в 10к и достигло уже 11 600+. ТГ-канал получил почётный статус A+ и я зарегистрировал канал @avleonovrus в национальном мессенджере MAX. Там уже больше 500 подписчиков! 🔥 Просмотры/посещения на сайте avleonov.ru также выросли за год в 3-4 раза. Спасибо большое всем тем, кто подписан, читает, лайкает, комментирует и делится постами! 🙏 Я собираюсь и дальше проживать свою лучшую жизнь и с удовольствием делиться с вами своими мыслями про Управление Уязвимостями и прочее. 😇 В первую очередь планирую писать о том, что непосредственно связано с моей работой и моими около-VMными проектами (обзоры Microsoft Patch Tuesday, Linux Patch Wednesday, трендовых уязвимостей, VM-ных продуктов и изменений регуляторики), во вторую - о том, что происходит в мире Vulnerability Management-а и кажется мне по каким-то причинам важным или любопытным, а в третью - обо всём остальном, о чём посчитаю нужным: от ситуации со смартфончиками до семейного отдыха и ХудЛита. Потому что могу! 😉 А вот всерьёз заниматься развитием своего "личного бренда", стремиться к безудержному росту количества подписчиков любыми средствами, превращаться в желтушное недо-СМИ, транслирующее 24/7 нейрослопные пересказы новостей с претенциозной популистской подачей, я как-то не планирую. 😅🤷‍♂️ Погнали в следующий год! ➡️Ⓜ️ MAX | @avleonovrus #годовщина #blogging #VMprocess #Telegram #community #MAXmessenger #ITloyalism #deWesternization #personalbrand #дыбр

Про уязвимость Cross Site Scripting - Microsoft Exchange (CVE-2026-42897). Уязвимость была исправлена 14 мая вне регулярных Microsoft Patch Tuesday. Неправильная нейтрализация входных данных при генерации веб-страницы (CWE-79, "межсайтовый скриптинг") в Microsoft Exchange Server позволяет неавторизованному злоумышленнику осуществить атаку с подменой (spoofing) по сети. Фактически это означает, что удалённый злоумышленник может отправить пользователю специально сформированное электронное письмо. Если пользователь откроет это письмо в Outlook Web Access (OWA) и будут выполнены определённые условия взаимодействия, произвольный JavaScript-код может быть выполнен в контексте браузера пользователя. В результате злоумышленник может получить контроль над почтовым ящиком пользователя, используя активную пользовательскую сессию.👾 Для этой уязвимости эксперты Microsoft сразу указали признаки эксплуатации вживую. Уязвимость была добавлена в CISA KEV 15 мая. ⚒️ Публичный эксплойт для уязвимости был опубликован на GitHub также 15 мая.⚙️ Первоначально для устранения уязвимости предлагали использовать меры митигации, распространяемые через службу Exchange Emergency Mitigation (EM) или с помощью скрипта Exchange on-premises Mitigation Tool (EOMT). Обновления безопасности для Microsoft Exchange Server Subscription Edition RTM, а также Exchange Server 2016 и 2019, устраняющие уязвимость, были выпущены практически через месяц, 9 июня. Эксперты Microsoft рекомендовали оставить включёнными меры митигации и после установки патча, поскольку они обеспечивают дополнительный уровень защиты. Однако применение этих мер митигации может вызывать проблемы (например, ошибки при печати календаря и отображении изображений в OWA). ⚠️ Обратите внимание, что Exchange Server 2016 и 2019, срок поддержки которых уже завершился, также подвержены этой уязвимости. Обновления безопасности для Exchange Server 2016 и 2019, выпущенные в период с мая по октябрь 2026 года, доступны только клиентам, участвующим во втором этапе программы Extended Security Update (ESU). ➡️Ⓜ️ MAX | @avleonovrus #Microsoft #Exchange #Outlook #OWA #XSS #Spoofing #JavaScript #InternetExplorer #Edge #CISA #CISAKEV #KEV #exploit #GitHub #EM #EOMT #ESU

Автоматическая генерация рекомендаций по устранению уязвимостей в облачном DAST-сканере приложений PT BlackBox с помощью нового ИИ-помощника PT Naira от Positive Technologies. 🤖 Для каждой найденной уязвимости в интерфейсе PT BlackBox Scanner предусмотрена отдельная карточка (описание уязвимости, затронутый URL, технические детали и общие рекомендации по исправлению). Теперь в этой карточке в разделе "Как исправить?" появилась кнопка "Получить рекомендацию Positive LLM". При нажатии система начинает собирать контекст, связанный с обнаруженной проблемой: тип уязвимости, особенности целевого веб-приложения, характеристики обнаруженного технологического стека. На основе этих и других данных PT BlackBox Scanner формирует специализированный промпт и отправляет его в PT Naira. Во время генерации модель анализирует собранный контекст и формирует рекомендации с учётом особенностей конкретного приложения. 📋 Генерация рекомендаций занимает 5-7 секунд, встроена прямо в процесс анализа уязвимостей и не требует отдельного общения с ИИ-помощником. В результате пользователь получает пошаговую инструкцию: что именно настроено неправильно, почему это может быть опасно и как исправить проблему. ☁️ Сам помощник PT Naira работает в облаке Positive Technologies как SaaS-решение. Т.к. PT BlackBox Scanner работает в том же облаке, интеграция включается буквально за 20 секунд. Все данные об уязвимостях клиентов остаются под контролем Positive Technologies и не передаются третьим лицам или внешним LLM. Также PT Naira уже интегрировали с MaxPatrol SIEM версии 27.6 и выше для объяснения событий безопасности. В планах расширение списка продуктов Positive Technologies, с которыми работает PT Naira. Как считаете, какие функции Vulnerability Management-решений можно было бы улучшить с помощью интеграции с PT Naira? ➡️Ⓜ️ MAX | @avleonovrus #PositiveTechnologies #PTNaira #MaxPatrolSIEM #DAST #PTBlackBox #PositiveLLM #AI #LLM

ФРИИ и METASCAN запускают совместный фонд для инвестиций в ИБ-компании с готовым продуктом, первыми клиентами и потенциалом масштабирования. Для ФРИИ инвестирование - это основное направление, а вот участие METASCAN, разработчика EASM-сканера, в фонде довольно неожиданно и вызывает интерес. 🧐 Причём METASCAN будут оказывать не только экспертную поддержку, но и выступать в качестве со-инвестора. 😲 В рамках экспертной поддержки компании получат: 🔹 Обучение продажам в B2B: Методология SolutionSales, сейловые фреймворки - PPVVC, MEDDIC, построение UVP. 🔹 Обучение маркетингу в B2B: Анализ рынка, тестирование гипотез (HADI-циклы), CustomerDevelopment (Discovery). 🔹 Фреймворки по построению команды и управлению процессами: Основная база из LEAN. 🗃 Также компании получат доступ к корпоративной клиентской базе METASCAN (100+ компаний, включая Сбербанк, ВТБ, Ростелеком, Альфа-банк, РСХБ, Wildberries, Ланит, FESCO, Белуга, СПБ Биржа). 💰 Базово METASCAN собираются инвестировать за долю ДО 10% (целятся в 5-8%). На сайте фонда фигурируют суммы 5-100 млн на проект. Задачи поглотить команды или лезть в их операционку нет. Речь не про покупку стартапов, а про посевные инвестиции, где METASCAN прежде всего хочет помочь молодым командам знаниями и остаться миноритарным инвестором. Для компаний, которым это будет интересно и которые будут наиболее релевантны для METASCAN, возможны индивидуальные предложения по более тесному сотрудничеству. Вот несколько недавних примеров: 🔻 defbox.io - тренировочная платформа для специалистов по информационной безопасности, включающая практические сценарии атак, защиты и расследования инцидентов. METASCAN стали соучредителем с долей 24,5% и помогают команде за счет доступа к своим корпоративным клиентам. 🔻 152.metascan.ru - сервис проверки сайтов на соответствие требованиям российского законодательства в области защиты персональных данных. В этом случае METASCAN выкупили проект по инициативе фаундеров. Имхо, тема выглядит интересно, ИБ-стартаперам имеет смысл присмотреться. 😉 Требования к компаниям и проектам: 🚀 Фонд рассматривает проекты, если: IT-продукт в сфере информационной безопасности ориентирован на B2B-сегмент и компания зарегистрирована в РФ. Продукт уже готов или находится в коммерческом использовании, есть первые клиенты, пилоты, продажи или подтвержденный спрос, а команда демонстрирует чёткое желание масштабировать бизнес. 🎯 Приоритетные направления: Управление уязвимостями, защита веб-приложений и API, автоматизация ИБ-процессов. Интерес представляют новые технологии в кибербезопасности, импортозамещение в ИБ, а также безопасность данных и облачная безопасность. ⏳ Пока рано сотрудничать, если: Есть только идея, а продукт ещё не готов к рынку. Отсутствуют клиенты, пилоты или подтвержденный спрос. Команда не готова активно развивать компанию, нет четкого понимания целевого рынка и модели продаж. ⛔️ Фонд не рассматривает: Офлайн-бизнесы без IT-продукта и компании, которые зарегистрированы вне РФ. Также их не интересуют проекты без цели масштабирования и решения, не относящиеся к сфере информационной безопасности. ➡️Ⓜ️ MAX | @avleonovrus #ФРИИ #METASCAN #seedinvestment #Investments #B2B #импортозамещение #EASM #SolutionSales #CustomerDevelopment #PPVVC #MEDDIC #UVP #HADI #LEAN #Сбербанк #ВТБ #Ростелеком #АльфаБанк #РСХБ #Wildberries #Ланит #FESCO #Белуга #СПББиржа #defbox #152metascan #ФЗ152

Познакомился с творчеством Марины и Сергея Дяченко, начав с их самого известного романа "Vita Nostra". Поделюсь впечатлениями. Пишу, не фильтруя спойлеры, поэтому, если ещё не читали роман, но собираетесь это сделать, будьте осторожны! Безусловно, это очень талантливое произведение. Настолько всё здорово и достоверно прописано, что с первых страниц проваливаешься в этот насыщенный новый мир и начинаешь в нём буквально жить. Очень высокий уровень работы с текстом и художественной выразительности. Вне всяких сомнений - Литература. 👍 Засада в том, что формально заявленный как городское фэнтези и магический реализм, роман скорее относится к жанру философского хоррора. Повествование начинается с изумительных сцен летнего отдыха на море. Но уже буквально через несколько страниц авторы начинают постепенно погружать читателя в атмосферу тревоги, а затем и прямого психологического насилия. Уровень околобалабановской хтони постепенно усиливается, и где-то к концу первой трети книги становится запредельным. Не "Груз 200", конечно, но что-то в схожей стилистике. И проходить через это вместе с главной героиней в режиме глубокого погружения (текст-то остаётся супер-талантливым) - ну такое, на любителя. 🙄🤢 Я несколько раз всерьёз хотел дропнуть книгу. При этом значение предварительных практик "я не прошу невозможного" (заплывов/пробежек с унизительными ритуалами, а у некоторых героев второго плана и чего-то гораздо более гнусного) и этих странных золотых монеток фактически не раскрывается. Можно себе домыслить, что это своего рода дрессировка или техника "нога в двери". Но у меня создалось впечатление, что авторы собирались как-то красиво обыграть эту тему, но в итоге не осилили, скомкали и свели к шок-контенту. 🤷‍♂️ Возможно, конечно, в продолжениях этого романа к этой теме возвратятся. Ко второй половине книги уровень тревожности слегка спадает, хотя всё равно отдельные главы дались мне нелегко. Особенно сцена с младенцем - прям бр-р. 😱 Хоррор и триллер - не мои жанры. 🙂 Хотя понимаю, что для создания впечатления такие "эмоциональные качели" - очень действенный приём. Сам сюжет несколько предсказуем, но книга оставалась интересной до конца. 👍 Описания жёсткого, даже жестокого, обучения бессмысленной и противоестественной ерунде, мысленно вернули меня на бесконечные пары по дискретке в Бауманке, ИУ-8. Портнов со своей манерой явственно напомнил Жукова (причём одновременно и Д.А., и А.Е. 😅). Впрочем, здесь образ, конечно, типичен и узнаваем во многих строгих, желчных и местами ироничных преподах. Метафора обучения, имхо, самое ценное, что есть в книге. Как упорное систематическое обучение пересобирает тебя изнутри. И как это здорово показывается в перспективе первого, второго, третьего курса. 😇🔥 В жизни всё выражено, конечно, не так ярко, как в книге. Натуральные крылья не вырастают. Но глубокий отпечаток на личности, безусловно, всегда остаётся. 🙂 Кстати, про крылья. Очень понравился момент, когда у главной героини появляются маленькие крылышки, которые под одеждой топорщатся, как горб. О чём нам любезно сообщают авторы. В голове сразу "щёлкает": а у кого ещё был горб? Николай Валерьевич Стерх. Чёрт побери, неспроста же у него птичья фамилия, он в горбе крылья прячет! 🙂 И там таких приятных "щёлкающих" намёков весьма много. Правда, я развивая эту догадку, думал, что часть студентов будут превращаться в ангелоподобных сущностей, а часть - в бесоподобных, по типу Портнова и Фарита Кожевникова. Но сюжет в итоге закрутился в другую сторону. 👌 Метафора частей Речи мне не особо зашла. Когда в конце Сашку на экзамене пафосно назвали "Пароль", орнул в голосинушку. 😄 Родная ИБшечка не отпускает и в худлите. [ Читайте полностью в посте на сайте avleonov.ru ] ➡️Ⓜ️ MAX | @avleonovrus #BookReview #ХудЛит #Offtopic #VitaNostra #Dyachenko #BMSTU #IU8

Июньский Linux Patch Wednesday. Всего 1888 уязвимостей (324 в ядре Linux, и aж 728 в Chromium ❗️). Для сравнения, в мае было 1638 уязвимостей. Рост не такой внушительный, как с апреля по май, но всё равно новый рекорд поставлен. Для одной уязвимости есть признак эксплуатации вживую: 🔻 RCE - Chromium (CVE-2026-11645). Chromium - это веб-браузер с открытым исходным кодом, служащий основой для многих современных браузеров, включая Google Chrome, Microsoft Edge, Brave, Opera и Vivaldi. Публично доступный модуль Metasploit эксплуатирует уязвимость в JavaScript-движке V8 браузера. Она срабатывает при использовании специфической конструкции кода, вызывающей type confusion между внутренними объектами V8, что приводит к выходу за границы памяти. Успешная эксплуатация уязвимости может привести к удаленному выполнению кода в контексте процесса браузера. Ещё для 109 уязвимостей есть публичные эксплоиты или признаки их наличия, но пока нет признаков эксплуатации в реальных атаках. Среди них можно выделить: 🔸 EoP - Linux Kernel "CIFSwitch" (CVE-2026-46243). Эта уязвимость позволяет злоумышленнику подделывать описания ключей аутентификации CIFS ("forge CIFS authentication key descriptions"), эксплуатировать механизм запроса ключей ядра ("kernel's key request mechanism") и получать права root. 🔸 EoP - Linux Kernel "PinTheft" (CVE-2026-43494). При успешной эксплуатации управление передаётся SUID-исполняемому файлу с перезаписанной первой страницей памяти ("hands off to the discovered SUID binary with an overwritten first page"), что позволяет получить root-овый шелл. 🔸 RCE - Apache ActiveMQ (CVE-2026-42588). ActiveMQ - это брокер сообщений с открытым исходным кодом, написанный на Java. Для эксплуатации уязвимости нужна учётка ActiveMQ Web Console. Однако по умолчанию используется учётная запись admin/admin. 🔸 InfDisc - Squid "Squidbleed" (CVE-2026-47729). Squid - это кэширующий прокси-сервер с открытым исходным кодом. Из-за данной уязвимости FTP-парсер Squid считывает информацию за пределами буфера памяти, переходя в область, где могут сохраниться неочищенные данные HTTP-запросов предыдущего пользователя. 🔸 AuthBypass - Nextcloud (CVE-2026-45156). Nextcloud - это платформа с открытым исходным кодом для совместной работы с контентом. Отсутствие проверки подписи ("missing signature verification") в User OIDC позволяет вредоносному центру ID4me ("malicious ID4me authority") выдавать себя за любого пользователя. 🔸 XSS - Nextcloud (CVE-2025-59788). Уязвимость в доступном извне ("reachable") каталоге с примерами files_pdfviewer в Nextcloud позволяет злоумышленникам выполнять произвольный JavaScript-код в контексте браузера пользователя посредством специально сформированного PDF-файла, передаваемого в viewer.html. 🔸 XSS - Roundcube (CVE-2026-48849). Roundcube - это бесплатный веб-клиент электронной почты с открытым исходным кодом. Отсутствие очистки поля темы ("unsanitized subject field") при восстановлении значения черновика может привести к хранимой XSS/HTML/CSS-инъекции в общих почтовых ящиках. 🔸 DoS - ImageMagick (CVE-2026-46522). ImageMagick - это бесплатное ПО с открытым исходным кодом для редактирования и обработки цифровых изображений. Из-за отсутствия проверки в декодере MIFF ("missing check in the MIFF decoder") специально сформированный файл может вызывать бесконечный цикл, приводящий к исчерпанию ресурсов процессора ("CPU exhaustion"). 🗒 Полный отчёт Vulristics ➡️Ⓜ️ MAX | @avleonovrus #LinuxPatchWednesday #LinuxKernel #Chromium #Metasploit #CIFSwitch #PinTheft #ApacheActiveMQ #JavaScript #Squid #Nextcloud #HTML #pdf #Roundcube #Email #ImageMagick #exploit #webbrowser #MIFF #ID4me #SUID #V8

С подачи Сергея Гордейчика и Александра Гостева сегодня многие говорят о киберсдерживании (аналоге ядерного сдерживания в сфере кибербезопасности). Прежде всего хотел бы отметить, что и само ядерное сдерживание работает уже не так эффективно, как хотелось бы. На эту тему недавно было интервью Караганова. К самому Сергею Александровичу я отношусь неоднозначно. Когда западник-либерал, который в интервью рассказывает о своей продолжительной жизни в Европе и недвижимости в Венеции, ранее активно топивший за "десталинизацию общества", вдруг становится радикальным анти-западником и сторонником последовательной ядерной эскалации, это вызывает некоторые вопросы. Тем не менее с его текущими тезисами можно согласиться. Действительно, когда по нашей стране, обладающей крупнейшим ядерным арсеналом в мире, регулярно наносятся удары западными беспилотниками и ракетами, это ставит под вопрос эффективность концепции ядерного сдерживания как таковой. Если государство обладает ядерным оружием, то оно должно не только хранить его в своем арсенале, но и активно демонстрировать готовность его применять. В этом смысле вполне логичным выглядит проведение учений, натурных испытаний на удалённых территориях и даже ограниченное боевое применение. Причём не против непосредственно воюющего государства-прокси, а в первую очередь против тех, кто его вооружает и использует в качестве тарана. Звучит это, безусловно, чудовищно, но, кажется, только вернув ядерное оружие в повестку, можно привести оппонентов в чувства и избежать сползания в полномасштабный ядерный апокалипсис. Но тут военным специалистам и политическому руководству, конечно, виднее. Несмотря на все вопросы к эффективности ядерного сдерживания, пока мало кто сомневается в том, что оно продолжает работать хотя бы в определённой степени. Ядерное оружие остаётся инструментом устрашения потенциального противника, последним ультимативным аргументом. И поэтому государства стремятся поддерживать и развивать свои ядерные потенциалы. Тут можно провести аналогию со стратегическим потенциалом кибероружия. Да, это не серебряная пуля. Само его наличие не остановит кибератаки противников, оформленные как действия неких формально независимых криминальных группировок, но позволит хотя бы ограниченно сдерживать их вредоносную активность. "Будете заигрываться - мы вам всё выключим, офигеете потом разгребать". Ну и чтобы это не были пустые угрозы, нужно иметь средства "выключения". И время от времени наглядно демонстрировать их эффективность. На ком и как именно демонстрировать - соответствующим специалистам виднее. Хотелось бы провести ещё одну аналогию с ядерным оружием. Для производства ядерного оружия нужны материалы, которые долго, сложно и дорого нарабатывать. Они представляют стратегическую ценность. И когда их уничтожают в рамках ВОУ-НОУ или СОУП, к этому появляются вопросы. Аналогично, когда отресёрченные уязвимости утекают из страны за рубеж, потому что это никак не ограничивается, это также вызывает вопросы. Хотелось бы, чтобы такая практика со временем прекратилась. Уязвимости - это не абстрактная техническая тема и не предмет прямого торга между исследователем и коммерческим вендором, это ценное сырьё для кибероружия. Поэтому необходимо спокойно и открыто обсуждать подходы и формировать понятную государственную политику в этой области. Также необходимо выделять больше ресурсов на разработку эффективных инструментов по ресёрчу и вепонизации уязвимостей. Сами собой они не появятся. ➡️Ⓜ️ MAX | @avleonovrus #cyberwarfare #geopolitics #Weaponization #research #nukes #deWesternization #exploits #offensive #Karaganov

Kaspersky пишут о PowerShell-скрипте, который угоняет сессии Telegram и предоставляет злоумышленникам доступ к аккаунтам без пароля и кодов подтверждения, и рекомендуют своевременно обновлять приложения и операционную систему. Исследователи обнаружили на Pastebin вредоносный PowerShell-скрипт, замаскированный под "обновление телеметрии Windows". Зловред был предназначен для кражи данных сессий виндового клиента Telegram. В коде находились токен Telegram-бота, ID чата и ссылки на папку tdata, где Telegram хранит ключи аутентификации ("authorization keys"). После запуска скрипт собирал информацию о системе, закрывал Telegram Desktop, архивировал содержимое tdata, отправлял архив злоумышленникам через Telegram-бота и затем удалял этот архив для сокрытия следов. Используя эти данные, атакующие могли получить полный контроль над аккаунтом жертвы без пароля и кода подтверждения. При этом эксперты не обнаружили признаков фактической передачи данных и считают, что скрипт находился на стадии прототипа. На это указывает и то, что Telegram-бот использовал временное имя afhbhfsdvfh_bot и откровенное описание "Telegram attacker". Это к слову о том, что может скрываться за левым ботом, маскирующимся под название Телеграм-канала. По мнению исследователей, злоумышленники уже тестировали инструмент, но ещё не успели развернуть его для масштабных атак. Основными каналами распространения таких PowerShell-скриптов выступают вредоносные почтовые вложения, эксплуатация уязвимостей, заражённое ПО и методы социальной инженерии, поэтому: 🔹 загружайте файлы только из проверенных официальных источников; 🔹 с осторожностью относитесь к ссылкам и вложениям в электронных письмах; 🔹 своевременно устанавливайте обновления приложений и операционной системы, настраивайте автоматические обновления, где возможно. Также для защиты Telegram-аккаунта: 🔹 регулярно контролируйте активность аккаунта и историю чатов; 🔹 немедленно завершайте неизвестные сессии Telegram; 🔹 включайте облачный пароль (двухэтапную аутентификацию); 🔹 при возможности используйте passkeys как более устойчивый к утечкам и фишингу метод аутентификации (на поддерживаемых устройствах). ➡️Ⓜ️ MAX | @avleonovrus #Telegram #TelegramBot #Kaspersky #PowerShell #Windows #Malware #Infostealer #tdata #SessionHijacking #AccountTakeover #Pastebin

Руководители национальных агентств кибербезопасности альянса Five Eyes (США, Великобритания, Канада, Австралия и Новая Зеландия) призвали ускорить устранение уязвимостей, отказаться от легаси-систем и навести порядок на периметре. AI радикально ускоряет и усложняет киберугрозы: атаки становятся быстрее, масштабнее и доступнее для злоумышленников, а время между обнаружением уязвимости и её эксплуатацией сокращается всё сильнее. Frontier AI (самые передовые и мощные модели искусственного интеллекта, находящиеся на границе текущих возможностей ИИ и задающие новый уровень развития) уже сейчас меняет баланс сил в киберпространстве, одновременно усиливая как возможности атакующих, так и обороняющихся. При этом киберриски перестают быть чисто технической проблемой и становятся критическим бизнес-риском, требующим внимания руководства и советов директоров. Организации должны усиливать базовые практики кибербезопасности, повышать устойчивость ("resilience") и активно внедрять AI в защиту - для раннего выявления уязвимостей, анализа аномалий и ускорения реагирования на инциденты. Успех зависит не от количества инструментов, а от качества базовой кибердисциплины, скорости реакции и интеграции безопасности в стратегию бизнеса. Те, кто НЕ адаптируется быстро, столкнутся с растущими операционными и стратегическими рисками. Ключевые действия для руководителей Основные принципы: 🔻 Подход secure-by-design и secure-by-default должен стать стандартной практикой, а не просто декларируемым стремлением ("aspiration"). 🔻 Устойчивость не может зависеть от одного решения или технологии. Многоуровневая защита ("defence in depth") остаётся необходимой. 🔻 По мере развития AI-систем будут появляться новые и ранее неизвестные уязвимости, включая zero-day уязвимости. 🔻 Инциденты ("breaches") будут происходить. Подготовка помогает быстро их локализовать и не допустить перерастания в серьёзные операционные и финансовые кризисы. Практические действия Эти меры нельзя назвать новыми, но сегодня их реализация особенно важна для снижения не только технических рисков, но и потенциального операционного, финансового и репутационного ущерба: 🔸 Сократите поверхность атаки: ограничьте ненужный доступ к системам и внешние подключения. Оценивайте, действительно ли системы должны быть доступны извне, и изолируйте те, которым это не требуется. 🔸 Ускорьте процессы установки патчей: AI сокращает время между обнаружением уязвимости и её эксплуатацией. Задержки с обновлениями увеличивают риск, особенно для производственных ("operational") систем с длинными циклами обновления. Приоритизируйте обновления безопасности соответственно. 🔸 Решайте проблему устаревших систем: неподдерживаемые системы - лёгкие цели. Это не просто технический долг, а стратегические обязательства ("liabilities"). 🔸 Пересмотрите и усилите контроль идентификации и доступа: ограничьте, кто может получать доступ к критическим системам. Внедряйте строгую аутентификацию и регулярно пересматривайте права доступа. 🔸 Подготовьтесь к инцидентам заранее: тестируйте планы реагирования, обучайте команды и исходите из того, что взломы неизбежны. Фокус - на быстром сдерживании ("containment") и восстановлении. Как видите, VM-ная тема, в связи с бурным развитием технологий ИИ, актуальна для англосаксов как никогда. 😎 И нам тоже стоит к этим призывам прислушаться. 😉 ➡️Ⓜ️ MAX | @avleonovrus #FiveEyes #AI #CyberSecurity #CyberRisk #PatchManagement #AttackSurface #zeroday #AppSec #ZeroTrust #ExposureManagement #ThreatIntelligence #CISO

И снова прошла самая короткая ночь в году, снова наступил День памяти и скорби, 22 июня. Не буду как в прошлом году писать про то, что нужно готовиться к более ожесточённому противостоянию, форсировать импортозамещение, прежде всего в КИИ. Это и так понятно. Сегодня хотелось бы сделать акцент на том, как хрупка на самом деле наша размеренная благополучная жизнь. До самого последнего момента можно не осознавать, что скоро начнётся страшное. Сегодня ты ИБшник за монитором, весь мыслями в корпоративной рутине, а через несколько дней - на сборном пункте. И там уж как повезёт, как сложится. И никто этого не заслужил, никто не виноват. Просто пришла беда. Из дневника ветерана Сергея Васильевича Хомко: "Несколько дней тому назад радио пустило быстрокрылое слово „Война“! Начинался дачный сезон. Сезон отпусков, курортов. Одно это слово - и всё рушилось. В ином направлении пошли мысли, а за ними и дела. Началась мобилизация, над городом подняли первые аэростаты заграждений. Прошли первые короткие, как весенние грозы, воздушные тревоги. Неприятное чувство тоски защемило сердце. Вот, наконец, и мой черед, 25-го по повестке вызвали в райвоенкомат на р. Мойку в бывший дом учителя." Нельзя принимать текущее благополучие (да, безусловно, с развивающимся военным прокси-конфликтом и периодическими точечными прилётами по городам - но всё равно благополучие) как что-то само собой разумеющееся. 22 июня учит нас, что всё это может закончиться одномоментно, и все текущие горести (типа блокировок некоторых западных Интернет-сервисов) покажутся полнейшей ерундой. А между тем объединённая Европа снова усиленно перевооружается. Как вы думаете, для чего? И как быть в такой ситуации? В принципе как и всегда. Сохранять спокойствие. Надеяться на мудрость, стойкость и профессионализм руководства страны. Надеяться на Божью милость. Продолжать делать то, что требуется здесь и сейчас. Как там говорили клятые англосаксы: "Keep calm and carry on". Вот-вот. ➡️Ⓜ️ MAX | @avleonovrus #june22 #deWesternization

Продолжая комментарии к статье Ведомостей про роль ИИ в поиске новых уязвимостей, следует отметить следующее: не так страшно детектирование zero-day уязвимостей с помощью ИИ, сколько вепонизация n-day (или уже скорее n-hour 😉) уязвимостей с помощью ИИ. Т.е. использование ИИ для разработки эксплоитов на основе патчей и публичной информации об уязвимостях. Новую неизвестную уязвимость нужно ещё понять, где искать. А найдя, придумать вменяемый сценарий атаки с эксплуатацией этой уязвимости. Это работа на удачу, своего рода золотоискательство или, вспоминая Маяковского: "...та же добыча радия. В грамм добыча, в годы труды. Изводишь единого слова [уязвимости] ради тысячи тонн словесной руды [проверенного кода и неподтвердившихся гипотез эксплуатации]." Конечно, в случае использования ПО с открытым кодом задача анализа упрощается. Но всё равно найти что-то стоящее весьма непросто. Поэтому, кстати, я противник того, чтобы результаты этой добычи бесконтрольно утекали за рубеж. Другое дело, когда уязвимость уже известная, с присвоенным CVE, вендорским описанием, признанной критичностью и выпущенным патчем. Тут задача серьёзно упрощается. 🔹 Понятно, где искать. Очевидно, там, где вендор исправляет что-то патчем. 🔹 Понятно, что нужно получить в результате. То, о чём вендор сообщил в описании уязвимости. Задача разобраться, как именно эксплуатировать уязвимость и разработать утилиту для этого тоже непростая, но всё же гораздо проще, чем искать что-то совершенно новое. Этим можно заниматься на потоке. Например, маркетинг компании watchTowr Labs практически полностью построен на том, что они быстро анализируют патчи для устранения уязвимостей сетевых устройств и публикуют по ним публичные исследования и эксплоиты. Естественно, этим занимаются не только исследователи watchTowr Labs. 😏 Тем более, что ИИ-агенты значительно упрощают процесс вепонизации, а то и полностью его автоматизируют. Как сообщает Денис Макрушин, стоимость автономной разработки эксплоита сейчас может составлять даже меньше 3 долларов. И ведь прогресс в ИИ пока не останавливается! Разработанные эксплойты могут выкладываться исследователями в паблик ради самопиара и общественного блага (ну, как они его себе видят), а могут и не выкладываться, а, например, продаваться на чёрном рынке. 😈 А затем эти эксплоиты будут использоваться в атаках на организации, пока их не спалят и факт эксплуатации уязвимости не станет подтверждённым. И всё это бесконечно повторяется для всё новых и новых уязвимостей. It's the circle of life and it moves us all... Что вся эта движуха означает для простого VM'щика? Нарратив, который двигали многие VM-вендоры: "Патчьте только 3% уязвимостей, которые мы вам подсветим, а на остальные просто забейте", с самого начала выглядел булшитненько и безответственно, а в условиях ускорения и удешевления вепонизации n-day-уязвимостей и подавно. Аргументов, что любая уязвимость может внезапно выстрелить и привести к инциденту, значительно прибавилось. А значит, нужно стремиться к приоритизированному устранению всех уязвимостей, что создаёт значительную нагрузку на IT, особенно если IT-инфраструктура организации не была изначально рассчитана на непрерывную установку и тестирование обновлений безопасности. 🤷‍♂️ То, что VM-щик сможет запросто влиять на изменение инфраструктуры организации - сценарий более чем оптимистичный, на который не стоит всерьёз рассчитывать. Но агитировать за такие архитектурные изменения и стараться заводить задачи на устранение всех выявленных уязвимостей - святая обязанность VM-щика. Делай, что должен, и будь, что будет. ➡️Ⓜ️ MAX | @avleonovrus #AI #AgenticAI #CVE #exploits #Weaponization #cyberwarfare #offensive #PatchManagement #VMprocess #VulnerabilityRemediation #Remediation #Prioritisation #watchTowrLabs #research

Обнаружил, что при поиске по фразе "Управление Уязвимостями и прочее" в Telegram находится не только мой канал, но и бот с тем же названием, к которому я никакого отношения не имею! Идентификатор бота совпадает с идентификатором моего канала "avleonovrus" с добавлением "bot" на конце. И да, Telegram позволяет кому угодно использовать названия существующих каналов в имени ботов - никаких ограничений нет. 😐🤦‍♂️ На аватарке в боте логотип моего работодателя - Positive Technologies и слова "4 недели", "онлайн", "свидетельство". Исходя из этого могу предположить, что некоторые злоумышленники уже используют или планируют использовать этот бот в атаках, таргетированных на подписчиков канала и моих коллег. Иначе какой смысл им под меня маскироваться. 🤷‍♂️ Судя по аватарке, сценарий атаки может быть как-то связан с программами обучения PT. Возможно, какая-то рассылка с липовой регистрацией на бесплатные курсы по VM, приводящая к угону Telegram-аккаунта или что-то подобное. Зловредных сценариев использования этого бота может быть масса, поэтому, пожалуйста, будьте бдительны! 🔻 У меня нет никаких публичных интерактивных ботов в Telegram или где-то ещё и заводить я их не планирую. 🔻 Все мои чаты и каналы перечислены на моём сайте. В Telegram это @avleonovrus, @avleonovlive, @avleonovcom, @avleonovchat, @avleonovnews. Остальное ко мне отношения не имеет! 🔻 Я никогда никому не пишу с просьбой дать деньги в долг и не участвую в сборах средств. Никогда не пишу с просьбой "оказать содействие" кому-то. 🔻 Если я вам пишу (или ещё кто-то - тут универсально) и у вас закрадываются малейшие подозрения, обязательно просите подтверждение через альтернативный канал связи. 🙏 Например, написать с корпоративного email. Я абсолютно точно отнесусь к этому нормально и буду это всячески приветствовать. Увести акк могут у кого угодно, всегда лучше лишний раз перестраховаться. А чтобы отсечь аккаунты-клоны, обращайте внимание на дату создания аккаунта и страну регистрации, участие в общих закрытых группах. Я уже обратился в службу поддержки Telegram с просьбой заблокировать этого левого бота, но ответа пока нет и я не особо верю, что это сработает. Да и зарегать ещё сотню аналогичных ботов для злодеев большого труда не составит. Telegram в этом отношении совершенно незащищён. Поэтому спасение утопающих - дело рук самих утопающих. Будьте осторожны и предупредите коллег! ➡️Ⓜ️ MAX | @avleonovrus #Telegram #TelegramBot #antiSCAM #AntiPhishing #phishing #SecurityAwareness #awareness #SocialEngineering #AccountTakeover #VMcommunity #education #PTVMcourse #PositiveTechnologies

В Ведомостях вчера вышла статья с моими комментариями по поводу развития Vulnerability Management рынка в России и мире. Сама статья за paywall-ом, и мои комментарии там, вполне естественно и ожидаемо, были сильно сокращены, поэтому я приведу их здесь в развёрнутом виде. Насколько адекватно делать выводы о динамике раскрытия уязвимостей, основываясь только на БДУ ФСТЭК России? (такую статистику привели коллеги из ЛК, привязав к ней анонс Kaspersky VM 😉) Говоря о базе уязвимостей БДУ ФСТЭК России, важно учитывать, что она методологически не предназначена для учёта всех существующих уязвимостей: в неё включаются данные об уязвимостях отечественных продуктов, а также иностранных коммерческих и опенсорсных решений, применяемых в ГИС и на объектах КИИ. Поэтому БДУ не покрывает весь спектр уязвимостей, актуальных для российских инфраструктур, и её данных недостаточно для анализа глобальных трендов; для этого лучше использовать более полные источники, такие как PT DBugs или NIST NVD. Для визуализации статистики NVD удобно использовать дашборды, такие как CVE ICU. Текущие данные NVD показывают значительное увеличение скорости добавления новых CVE: за одинаковый период в 2025 году было зарегистрировано 22 041 уязвимость, а в 2026 году уже 31 917, что соответствует увеличению на 44,8%. Такую динамику следует интерпретировать осторожно: рост числа зарегистрированных уязвимостей не означает, что ПО стало менее защищённым. Он во многом связан с повышением зрелости процессов раскрытия и регистрации уязвимостей, а также развитием средств автоматизированного анализа программного обеспечения, в т.ч. с использованием ИИ-технологий. Что сейчас происходит с Vulnerability Management рынком? Рынок Vulnerability Management в последние годы растёт как в России, так и в мире. В России важным фактором стал уход западных вендоров в 2022 году, что привело к появлению новых отечественных игроков. Внутренняя конкуренция стимулирует развитие функциональности решений, повышение качества детектирования, точности приоритизации и расширение интеграций с другими средствами защиты и ИТ-системами. Отдельно стоит отметить внимание ФСТЭК России к этой теме: разработка методических документов и требований способствует формированию более структурированного подхода к управлению уязвимостями. Если смотреть ретроспективно, рынок Vulnerability Management прошёл путь от массового сканирования и детектирования CVE-уязвимостей к платформенному управлению защищённостью инфраструктуры. Полный и качественный поиск уязвимостей остаётся важной базовой функциональностью, однако сегодня всё больше учитывается контекст: критичность затронутых активов и возможность реальной компрометации через комбинацию выявленных уязвимостей. На Западе всё чаще говорят не о классическом Vulnerability Management, а о более широком подходе - Exposure Management или Continuous Threat Exposure Management (CTEM), где объектом управления становятся не только уязвимости с CVE/BDU-идентификаторами, но и уязвимости в широком смысле ("экспозиции"): ошибки конфигурации, проблемы с учётками, небезопасные настройки, избыточная сетевая связность активов и т.п. Обнаруженные проблемы используются CTEM-решениями для моделирования возможных путей развития атаки (attack paths), что позволяет выявлять и приводить в порядок наиболее проблемные участки инфраструктуры, повышая сложность и стоимость реальной атаки для злоумышленников. В ближайшие годы развитие CTEM-функциональности, вероятно, продолжится. Одновременно будет расти использование ИИ для детектирования и приоритизации уязвимостей, анализа связей между активами и автоматизации принятия решений. Также в фокусе будет упрощение устранения уязвимостей за счёт автоматизации как технических, так и административных составляющих процесса. ➡️Ⓜ️ MAX | @avleonovrus #Ведомости #PositiveTechnologies #BDU #FSTEC #NVD #CVE #DBugs #CVEICU #KasperskyVM #CTEM #ExposureManagement #AI #ML #VMprocess #AttackPaths

Июньский Microsoft Patch Tuesday. На прошлой неделе я был в отпуске в Великом Новгороде, поэтому выпускаю обзор только сейчас. Всего 202 уязвимости, примерно в 2 раза больше, чем в мае. Уязвимостей с признаком эксплуатации вживую пока нет. Но есть две уязвимости с публичным эксплоитом: 🔸 RCE - HTTP.sys (CVE-2026-47291). Эта критическая уязвимость позволяет удалённым неаутентифицированным злоумышленникам выполнять код на уязвимых системах без взаимодействия с пользователем. Системы с дефолтным значинием MaxRequestBytes в реестре (в Windows HTTP stack) не подвержены уязвимости. Инструкции и PowerShell-скрипт workaround-а доступны в бюллетене безопасности Microsoft. 🔸 DoS - HTTP.sys (CVE-2026-49160). Для атаки используется тот же эксплойт, что и для предыдущей RCE-уязвимости. Также стоит обратить внимание на уязвимости, для которых Microsoft выставили признак наличия эксплоита: 🔹 SFB - Windows BitLocker (CVE-2026-50507). Успешная эксплуатация этой уязвимости позволяет обойти механизм шифрования BitLocker Device Encryption на системном накопителе. Злоумышленник, имеющий физический доступ к целевой системе, может получить доступ к зашифрованным данным. По данным Tenable, речь идёт об уязвимости Bitskrieg, обнаруженной исследователем с ником Chaotic Eclipse / Nightmare Eclipse. 🔹 SFB - Secure Boot (CVE-2026-48570). Злоумышленник, успешно проэксплуатировавший эту уязвимость, может обойти механизм Secure Boot. Об уязвимости сообщил Алон Левиев (STORM), известный по ресёрчам уязвимостей BootKitty и BlackLotus. Из остальных уязвимостей можно выделить: 🔹 RCE - Windows Kernel (CVE-2026-45657). Эта уязвимость позволяет удалённым неаутентифицированным злоумышленникам выполнять код с привилегиями SYSTEM без какого-либо взаимодействия с пользователем. Её можно использовать для автоматического распространения между системами. Проблема связана с обработкой TCP/IP-трафика ядром Windows. Microsoft оценила вероятность эксплуатации как "Exploitation Less Likely", однако исследователи безопасности и разработчики эксплоитов уже анализируют патч и пытаются создать эксплойт. Запатчите эту уязвимость как можно скорее. 🔹 EoP - Windows Collaborative Translation Framework (CTFMON) (CVE-2026-45586). Эта уязвимость затрагивает компонент распознавания речи и рукописного ввода. Эксплуатация позволяет получить привилегии SYSTEM. Microsoft оценивает вероятность эксплуатации как "Exploitation More Likely". 🔹 RCE - Windows Remote Desktop Client (CVE-2026-42909, CVE-2026-42913, CVE-2026-42985, CVE-2026-42992, CVE-2026-42993, CVE-2026-44799, CVE-2026-44801, CVE-2026-47289, CVE-2026-47653, CVE-2026-47654, CVE-2026-48563). Для успешной эксплуатации жертва должна подключиться к серверу, контролируемому злоумышленником, используя уязвимую версию клиента Remote Desktop. Это может привести к переполнению буфера в куче и последующему удалённому выполнению кода. 🔹 RCE - DHCP Client Service (CVE-2026-44815). Эта уязвимость позволяет удалённым неаутентифицированным злоумышленникам выполнять код на уязвимых системах без взаимодействия с пользователем. Из-за широкого использования DHCP-клиента в Windows рекомендуется как можно скорее протестировать и развернуть исправление. 🗒 Полный отчёт Vulristics ➡️Ⓜ️ MAX | @avleonovrus #Microsoft #PatchTuesday #Vulristics #Windows #WindowsKernel #SecureBoot #BitLocker #RCE #DoS #EoP #RDP #RemoteDesktop #DHCP #HTTPsys #TCPIP #exploit #CTFMON #PrivilegeEscalation #STORM #Bitskrieg #ChaoticEclipse #NightmareEclipse

Опять рекорд по CVE-шкам в Linux Patch Wednesday. 😱🫣 @avleonovlive