ESCalator
Открыть в Telegram
Tips and tricks от команды экспертного центра безопасности Positive Technologies (PT ESC)
Больше8 391
Подписчики
+1824 часа
+477 дней
+17630 дней
Загружаем данные
Похожие каналы
Облако тегов
Входящие и исходящие упоминания
---
---
---
---
---
---
Привлечение подписчиков
ноябрь '26нояб. '26
ноябрь '26
+79
в 2 каналах
октябрь '26
+488
в 4 каналах
Get PRO
сентябрь '26
+230
в 10 каналах
Get PRO
август '26
+111
в 3 каналах
Get PRO
июль '26
+337
в 11 каналах
Get PRO
июнь '26
+249
в 28 каналах
Get PRO
май '26
+214
в 3 каналах
Get PRO
апрель '26
+261
в 6 каналах
Get PRO
март '26
+289
в 6 каналах
Get PRO
февраль '26
+280
в 7 каналах
Get PRO
январь '26
+282
в 3 каналах
Get PRO
декабрь '25
+328
в 7 каналах
Get PRO
ноябрь '25
+207
в 7 каналах
Get PRO
октябрь '25
+1 645
в 5 каналах
Get PRO
сентябрь '25
+149
в 4 каналах
Get PRO
август '25
+235
в 4 каналах
Get PRO
июль '25
+324
в 17 каналах
Get PRO
июнь '25
+222
в 6 каналах
Get PRO
май '25
+345
в 9 каналах
Get PRO
апрель '25
+299
в 14 каналах
Get PRO
март '25
+618
в 25 каналах
Get PRO
февраль '25
+248
в 10 каналах
Get PRO
январь '25
+444
в 10 каналах
Get PRO
декабрь '24
+234
в 4 каналах
Get PRO
ноябрь '24
+666
в 9 каналах
Get PRO
октябрь '24
+416
в 8 каналах
Get PRO
сентябрь '24
+282
в 5 каналах
Get PRO
август '24
+653
в 9 каналах
Get PRO
июль '24
+1 144
в 3 каналах
| Дата | Привлечение подписчиков | Упоминания | Каналы | |
| 10 ноября | +9 | |||
| 09 ноября | +18 | |||
| 08 ноября | +7 | |||
| 07 ноября | +9 | |||
| 06 ноября | +4 | |||
| 05 ноября | +10 | |||
| 04 ноября | +4 | |||
| 03 ноября | +1 | |||
| 02 ноября | +12 | |||
| 01 ноября | +5 |
Посты канала
| 2 | Нет текста... | 2 394 |
| 3 | Как думаете, кто из них реальный человек? 🗿 | 2 911 |
| 4 |  NTFS снова переполняет буфер 🫠
Продолжаем разбирать уязвимости в драйвере NTFS для Windows. На этот раз CVE-2026-50494 — heap-based buffer overflow in ntfs!AnalysisPass.
В чем проблема? При восстановлении журнала $LogFile драйвер копирует данные в запись таблицы OAT, не проверяя, помещаются ли они в выделенную область памяти. В итоге можно записать гораздо больше, чем выделено, и повредить память ядра Windows. Срабатывает уязвимость при монтировании тома со специально сформированным $LogFile.
Мы разобрали механизм уязвимости, показали ключевые участки кода и воспроизвели с помощью PoC. Microsoft выпустила исправление 14 июля 2026 года.
🕵️ Подробности — в новом разборе на сайте.
#cve #vr
@ptescalator | 2 975 |
| 5 |  1398 дней — василиска вызывали? 🔮
Команда PT ESC IR обнаружила новую APT-группировку StingyBasilisk.
При расследовании инцидента мы выявили следы ее активности как минимум с апреля 2022 года. Свое название группировка получила из-за активного использования именованных каналов (named pipes) Windows для управления ВПО и трудностей с обнаружением полезной нагрузки.
StingyBasilisk оставалась незамеченной 1398 дней и занималась шпионажем в сети госучреждения. В арсенале группировки — ВПО SilentCOM, TediousLoader и CunningDoor: все это DLL-библиотеки, которые предназначены для ожидания и исполнения полезной нагрузки в памяти процесса Windows.
Для закрепления на скомпрометированных хостах применялись довольно редкие техники — COM Hijacking и Time Providers (о них мы уже рассказывали).
Больше подробностей — в нашем блоге.
#apt #ir #dfir #malware
@ptescalator | 2 929 |
| 6 |  +9140+ дел за год 🗂
Команда PT ESC IR выпустила ежегодное исследование о результатах 140+ проектов по расследованию инцидентов и ретроспективному анализу с IV квартала 2025-го по III квартал 2026 года. Проектов стало на 40% больше, чем годом ранее.
Главные итоги
• Больше чем в половине проектов злоумышленникам удалось нарушить работу компаний. В 21,2% случаев мы выявили разведывательную деятельность и кибершпионаж, а в 20% — выгрузку конфиденциальной информации.
• Следы известных APT-группировок нашлись в 49,3% компаний, всего их идентифицировано 17. В 34,2% компаний выявлены злоумышленники, нацеленные на шифрование и уничтожение данных.
• При этом атакующие дольше оставались незамеченными: медианное время до обнаружения выросло с 9 до 14 дней.
Из интересного:
1️⃣ В одном госучреждении мы нашли следы сразу четырех разных группировок. Самый длительный инцидент тоже выявлен в госучреждении: злоумышленники присутствовали в инфраструктуре 1398 дней, почти четыре года, прежде чем их обнаружили (скоро об этом расскажем подробно).
2️⃣ Одно из расследований началось с аномалии: на сервере запустился интерпретатор Python, которого там быть не должно. Это привело к обнаружению импланта, спрятанного в системе мониторинга Zabbix. За атакой стоит APT10051 — одна из трех группировок, которые впервые обнаружили эксперты PT ESC IR, наряду со Stingy Basilisk и Chewbacca.
3️⃣ В атаке Chewbacca на Linux-узлах атакующие закрепили утилиту перенаправления портов rinetd службой systemd-rinetd.service с описанием «Systemd color daemon». Встроенная в bash команда exec -a подменяет имя процесса.
В итоге в списке процессов вместо rinetd отображается штатный демон управления цветовыми профилями colord.
4️⃣ Поверхность атаки расширилась: к ней добавились почтовые серверы Zimbra и сервер ВКС TrueConf. А группировка IAmTheKing рассылала вредоносные конверты транспортного модуля MFTP, в том числе под видом обновлений.
Сложные атаки, простые причины
Технологически атаки становятся сложнее: уникальные импланты, сложная маскировка, использование ИИ. А причины их успеха остаются примитивными: необновленное ПО, отсутствие двухфакторной аутентификации и слабая сегментация сети.
Больше половины уязвимостей, которые мы встретили в атаках, к тому моменту были известны уже два года и дольше.
Для серьезного взлома не нужна гениальная техника — достаточно элементарной халатности.
Денис Гойденко, руководитель PT ESC IR.
Подробнее о том, как злоумышленники проникают, закрепляются и действуют в инфраструктуре и что со всем этим делать, читайте на сайте.
А получить PDF-версию можно по запросу на этом лендосе.
#ir #dfir #APT
@ptescalator | 9 583 |
| 7 |  PT ESC на SOC Forum 2026
Завтра наши эксперты выступят с двумя докладами — о том, как инфоповоды становятся отправной точкой для атак и что показали расследования киберинцидентов за год.
➡️ От инфоповода до атаки
10:00 | Зал «Кинетика» | Офлайн
Новость о громкой уязвимости, разбор чужой атаки или событие в отрасли — все это может стать основой для следующей кампании злоумышленников. Вопрос в том, можно ли заметить такие связи раньше, чем атака начнется.
Денис Казаков, специалист киберразведки PT ESC, разберет реальные примеры и расскажет, как использовать информационную повестку для проактивного поиска угроз, где в этом помогают автоматизация и LLM и чем такой подход может быть опасен для самих исследователей.
➡️ Результаты расследований инцидентов ИБ за последний год
12:15 | Зал «Кинетика» | Офлайн и онлайн
Что происходило в инфраструктурах жертв, как действовали атакующие и какие техники встречались в расследованиях чаще всего?
Денис Гойденко, руководитель департамента комплексного реагирования на инциденты ИБ, PT ESC, представит результаты расследований за последний год: статистику, наблюдения и реальные кейсы, которые показывают, как меняются подходы злоумышленников.
До встречи 🧃
#TI #IR #DFIR
@ptescalator | 3 065 |
| 8 | Нет текста... | 4 338 |
| 9 | Нет текста... | 3 329 |
| 10 | На какой доклад пойдете? 🧐 | 4 200 |
| 11 |  Главная новость этой недели
У нас появился сайт:
https://ptesc.tech/
Мы за удобство — поэтому теперь все наши материалы, помимо соцсетей, будут выходить еще и там: на русском и английском.
В планах — публиковать большие исследования, которые не уместить в стандартный пост. Кстати, все публикации из ESCalator мы уже перенесли в блог.
👋 А теперь новость внутри новости: к запуску сайта мы подготовили серию постов про уязвимости в NTFS, начинающуюся с разбора CVE-2026-20840 — out-of-bounds write in ntfs!PageUpdateAnalysis.
Злоумышленник может воспользоваться уязвимостью, заставив систему Windows смонтировать том с вредоносными записями $LogFile. Это может привести к повреждению памяти ядра и, как следствие, к отказу в обслуживании, повышению привилегий или выполнению произвольного кода в ядре.
Детали и PoC — уже на новом сайте.
@ptescalator | 5 917 |
| 12 | Нет текста... | 5 240 |
| 13 |  Как исследовать угрозы с PT Fusion
Сегодня в 14:00 (мск) проведем вебинар, на котором разберем ландшафт угроз в России за первое полугодие 2026 года и на реальных примерах покажем, как отслеживать активность хакерских группировок.
Подключайтесь на сайте 🕑
Денис Кувшинов, руководитель направления TI в PT ESC, и Денис Казаков, специалист группы киберразведки, расскажут, как:
1️⃣ найти похожие вредоносные файлы по метаданным и понять, что «одиночный» образец вредоноса вовсе не одиночка.
2️⃣ выявить связи между группировками по используемым техникам и увидеть почерк злоумышленников вместо череды случайностей.
3️⃣ раскрыть инфраструктуру киберпреступников с помощью Passive DNS и найти в ней еще не «засвеченные» в атаках объекты, чтобы оказаться на шаг впереди.
4️⃣ обнаружить характерные URL-паттерны и узнать старых знакомых под новым именем.
#ti
@ptescalator | 3 116 |
| 14 | Нет текста... | 2 746 |
| 15 | Нет текста... | 2 312 |
| 16 |  Мы помогли Apple устранить уязвимость в ядре ее операционных систем
Эксперт PT ESC Михаил Ложников обнаружил недостаток, который мог вызвать внезапное завершение работы системы (сбой ядра) или повреждение памяти ядра (kernel memory corruption) в продукции компании Apple.
⚠️ Уязвимость PT-2026-76847 (CVE-2026-65330) получила средний уровень критичности — 6.5 по шкале CVSS 3.x.
Делимся подробностями
• Ошибка была обнаружена в BSD-подсистеме сетевого стека XNU (ядра macOS, iOS) в компоненте NECP (Network Extension Control Policy), который управляет правами доступа программ и приложений к сетевым интерфейсам.
• Для взаимодействия с NECP требуется процесс с привилегированными правами, подписанный цифровой подписью (platform-signed).
• При закрытии NECP-сессии ядро корректно освобождает domain-фильтры, но domain-trie (префиксное дерево доменов) остается в глобальном списке с указателем на уже освобожденную память сессии.
• При удалении trie по идентификатору (ID) ядро не проверяет владельца.
• Любая другая сессия может удалить чужое префиксное дерево, вследствие чего может произойти ошибка и ядро вызовет панику.
🍏 Скорее обновляйте ваши устройства
Apple уже выпустила исправление безопасности в iOS/iPadOS 26.6.1, macOS 26.6.2, tvOS 27, watchOS 27 и visionOS 27.
Подробная информация об исправлениях опубликована на официальных страницах Apple: macOS, iOS и iPadOS, tvOS, watchOS и visionOS.
#cve #ir #ios #macos
@ptescalator | 2 952 |
| 17 |  Восстановление EVTX-записей: методы карвинга 🧩
При расследовании инцидентов, когда злоумышленники шифруют образы виртуальных машин, нередко возникает ситуация, при которой файловая система повреждается настолько, что штатное монтирование становится невозможным.
Восстановить ее вручную теоретически можно, но это отнимает много времени и сопровождается потерями данных. В таких случаях применяется карвинг — побайтовый поиск сигнатур непосредственно в сыром образе, в обход файловой системы.
❗️ Команда PT ESC IR уделяет приоритетное внимание автоматизации разбора артефактов для последующего обнаружения вредоносной активности — это ускоряет восстановление картины инцидента.
Наш пайплайн преимущественно реализован на Go, поэтому мы разработали собственную библиотеку на том же языке. Она разбирает готовые EVTX-файлы даже при несовпадении контрольных сумм или повреждении файла, а также выполняет карвинг событий из побитовых копий, дампов памяти и образов виртуальных дисков.
О том, что поддается восстановлению и почему одни подходы дают полную структуру записи, а другие — лишь отдельные поля, читайте в нашем материале на Хабре 🫲
#ir #dfir #tip
@ptescalator | 3 748 |
| 18 | Нет текста... | 10 348 |
| 19 |  .exe .docm .xlsm
Вредоносные файлы с этими расширениями чаще всего встречаются в сетевом трафике компаний. Давайте базово разберемся, почему.
🖥 .exe — классическое расширение исполняемых файлов в Windows: двойной клик — и у вас запускается Fortnite (не осуждаем), браузер, ваш любимый мессенджер, установщик или любая другая программа. А может запуститься и Trojan или какой-нибудь другой вредонос.
Чаще всего вы даже не видите, что у файла именно такое расширение: по умолчанию в Windows включена функция «Скрывать расширения для зарегистрированных типов файлов», из-за чего видно только первую часть имени. И этим пользуются злоумышленники.
Например, они маскируют файл под что-нибудь безобидное: вместо zarplaty_sep_2026.pdf.exe вы увидите просто zarplaty_sep_2026.pdf. Подозрений не вызывает, а интерес пробуждает. Клац-клац — и бамц.
В общем, для самозащиты рекомендуем отключить эту функцию. Делается просто, зато вы всегда будете знать, на что именно кликаете.
📄 .docm и .xlsm — а это знакомые всем офисным работягам расширения документов Microsoft Office. Их часто перекидывают по электронной почте, чатам и флешкам, так что обычно они не вызывают подозрений.
Только что-то тут с последними буквами расширений не так — скажете вы, и будете правы. Вместо x в конце здесь стоит m, а это означает, что такие документы поддерживают макросы — небольшие программы на специальном языке VBA, которые могут выполнять действия внутри документа. Также могут попадаться расширения .dotm и .xltm — это шаблоны документов с поддержкой макросов.
И так же, как с .exe, эти расширения по умолчанию скрыты в наименовании файлов в Windows, поэтому вы просто видите иконку документа и его название.
Макросы — полезная штука, которая помогает автоматизировать рутинные действия в документах (с их помощью энтузиасты даже умудрились запустить DOOM прямо в Word).
Но ими пользуются и злоумышленники: вы открываете вроде бы обычный файл, разрешаете макросы — и на вашем компьютере выполняются заложенные в них команды. Например, они могут запустить системную команду, которая загрузит и запустит другой вредонос.
Так вот, к чему мы это решили объяснить
1️⃣ Внимательно следите за тем, что именно вы запускаете и какие разрешения даете.
2️⃣ Наши эксперты с помощью песочницы PT Sandbox проанализировали вредоносную активность, выявленную PT NAD в сетевом трафике организаций с октября 2025 года по июль 2026 года. И как раз 29% опасных файлов оказались с расширением .exe, а 26% — с расширениями Microsoft Office.
3️⃣ Как вы понимаете, эти файлы — только верхушка айсберга из вредоносов. Ниже в сетях были обнаружены и потенциально опасные инструменты, которые выглядят легитимно, различные вариации архивов и более интересные находки.
О них — в полной версии исследования на нашем сайте.
@ptescalator | 8 595 |
| 20 |  TLP: POSITIVE RED №2
25 сентября проведем наш второй митап, на этот раз — в Музее криптографии (55.830677, 37.597678). Будут честные доклады без записи, живое общение и никакой воды (только пенное, снова).
Если вы аналитик SOC, специалист по реагированию и расследованию инцидентов или эксперт по исследованию и детектированию угроз, то вам точно зайдет.
Программа на вечер (встречаемся в 18:30):
🕖 19:00 — «От инфоповода до атаки: как группировки адаптируют глобальную и российскую повестку под свои операции».
Денис Казаков, специалист группы киберразведки PT ESC.
🕢 19:30 — «VantaCore: как вымогатели собирают собственный арсенал».
Александр Гантимуров, руководитель направления обратной разработки Angara MTDR.
🕣 20:30 — «История про шифровальщик, который не смог».
Дмитрий Логинов, реверс-инженер, CICADA8.
🕘 21:00 — «Follow the __report, knock knock, Remedy».
Иван Трофименко, аналитик центра мониторинга и реагирования JET CSIRT.
🕤 21:30 — обсудим томатный гозе и другие важные вопросы.
Количество мест ограничено, регистрируйтесь заранее на нашем сайте.
@ptescalator | 11 549 |
