CodeGuard: PySec Edition

🧩 Загадка: три уязвимости, одна цепочка. Собери атаку На этой неделе CISA добавила в KEV две уязвимости Ivanti Connect Secure. Порознь они опасны. Вместе — дают root без аутентификации. Твоя задача: собрать цепочку из трёх шагов. Что происходит на каждом этапе? Вводные

🔥 Атакующий нашёл internet-facing Ivanti Connect Secure. Устройство уязвимо к трём проблемам: обход аутентификации, выполнение кода и повышение привилегий. Вопрос: в каком порядке он их использует, и что получает на выходе?

Варианты ответа: A) Сначала RCE, потом обход аутентификации, потом повышение привилегий. B) Сначала обход аутентификации, потом RCE, потом повышение привилегий. C) Сначала повышение привилегий, потом обход аутентификации, потом RCE. D) Порядок не важен — любая последовательность даёт root. 😈 CodeGuard: PySec Edition | Чат

5️⃣ GitHub-репозиториев, которые заменяют десяток подборок по ИБ Ты устал от списков «100 инструментов, которые тебе нужны»? В них всегда чего-то не хватает: то облачной безопасности, то AI/LLM, то нормальной навигации. Эти пять репозиториев решают проблему иначе. Один — интерактивная карта, второй — единая платформа, третий — кураторский список. Все — бесплатные (open-source), все на GitHub. 1. 5h4d0wn1k/cybersecurity-framework — интерактивная карта всего ИБ

🤨 Бесплатно. Не просто список, а живой атлас: 27 доменов, 776 категорий, 1067 курируемых инструментов с оценкой усилий и подсказками «когда использовать». 517 инструментов помечены как best-in-class, чтобы новичок не тонул в выборе. Если не знаешь, с чего начать в новой области — открываешь карту и видишь, какие инструменты там вообще есть.

🔗 GitHub: 5h4d0wn1k/cybersecurity-framework — бесплатно 2. TheSecuredAnalyst/security-suite (SecSuite) — одна платформа вместо зоопарка

🤨 Бесплатно. Объединяет OSINT-разведку, сканирование веб-уязвимостей, аудит API, проверку комплаенса и AI-анализ в одном инструменте. 11 OSINT-модулей, 6 веб-сканеров, 4 инструмента для API. Вместо того чтобы переключаться между пятью утилитами, ты работаешь в одной среде. Open-source, AGPL-3.0.

🔗 GitHub: TheSecuredAnalyst/security-suite — бесплатно 3. zinvite/awesome-cybersecurity — кураторский список без мусора

🤨 Бесплатно. Проверенные ресурсы, инструменты и фреймворки для защиты систем, сетей и данных. Внутри — не «всё подряд», а отобранные проекты: Burp Suite, Wireshark, Suricata, Shodan, theHarvester, Amass. Если нужен надёжный список для старта, а не 500 ссылок из гугла — этот репозиторий экономит часы фильтрации.

🔗 GitHub: zinvite/awesome-cybersecurity — бесплатно 4. Think-Cube/awesome-security — от сети до веба, без белых пятен

🤨 Бесплатно. Компиляция инструментов, библиотек и ресурсов для безопасности. Покрывает сетевую и веб-безопасность, пентест и защиту. Metasploit, Nmap, Nuclei, Lynis — всё с описаниями. Хорош как отправная точка, если ты только выбираешь направление и хочешь увидеть ландшафт целиком.

🔗 GitHub: Think-Cube/awesome-security — бесплатно 5. CyberDefenderAI/AI-Security-Tools-Applied-Scenarios — AI в ИБ не на словах, а в сценариях

Бесплатно. Не просто список AI-инструментов, а прикладные сценарии: как применять LLM и ML для решения конкретных задач в security operations. Codium PR-Agent, GitHub Advanced Security, Snyk Code, Bito, Fabric — с примерами использования. Если ты хочешь понять, где AI реально помогает в ИБ, а не «где хайп», это репозиторий с ответами.

🔗 GitHub: CyberDefenderAI/AI-Security-Tools-Applied-Scenarios — бесплатно 😈 CodeGuard: PySec Edition | Чат

⚠️ Внимание: Опубликована слитая недавно База из 1000+ топовых курсов и материалов для айтишников Отсортировали их для вашего удобства и выложили в телеграм-каналы по категориям: 🤖 Нейросети – 855+ материалов 🖥 Python — 1558+ материалов 👩‍💻 Frontend — 1241+ материалов 👩‍💻 Backend — 1095+ материалов ⚙️ Программы — 978+ материалов 📚 Книги по IT — 779+ материалов ⌛️ Ссылки будут активны 48 часов, сохрани себе, чтобы не потерять!

12 команд Linux, которые нужны в первые 10 минут расследования Алерт: на сервере что-то не так. Ты открываешь терминал. Время идёт. Вот шпаргалка по трём ключевым областям — процессы, сеть и файлы. Все команды read-only (если не помечено иное), так что ты ничего не сломаешь, пока разбираешься. Бесплатно. Процессы — кто запущен и откуда 🟣 ps auxww — все процессы с полной командной строкой. Сразу видно, что именно запущено, а не только имя бинарника. 🟣 ps -eo pid,ppid,user,cmd --forest — дерево процессов. Помогает найти «сирот» и понять, кто кого породил. 🟣 cat /proc/<pid>/cmdline | tr '\0' ' ' — точная командная строка процесса. Полезно, когда ps обрезает аргументы. 🟣 readlink /proc/<pid>/exe — путь к бинарнику. Если в конце (deleted) — процесс работает из удалённого файла. Это красный флаг. 🟣 lsof -p <pid> — все открытые файлы процесса. Видно, что он читает и пишет прямо сейчас. Сеть — с кем говорит сервер 🤨 ss -tulpn — все слушающие порты и процессы, которые их держат. Замена устаревшему netstat. 🤨 ss -tunpa state established — только установленные соединения. Сразу видно, куда сервер уже подключён. 🤨 lsof -i :80 — какой процесс использует конкретный порт. Быстрее, чем перебирать ss. 🤨 tcpdump -i any -n port 4444 — живой захват трафика на подозрительном порту. Для глубокого анализа — -w capture.pcap и открыть в Wireshark. Файлы и логи — что изменилось 🟠 find /var/www -mtime -1 — файлы, изменённые за последние 24 часа. Первое, что смотрят при подозрении на веб-шелл. 🟠grep -ri "malicious_ip" /var/log/ — рекурсивный поиск по логам. Без него поиск инцидента превращается в перебор файлов вручную. 🟠last -n 10 и w — кто заходил и кто сейчас в системе. w показывает ещё и активные сессии. Практический пример Сервер тормозит. Запускаешь:

ss -tulpn | grep -v "127.0.0.1"

Видишь процесс python3 на незнакомом порту. Дальше:

lsof -p <PID> | grep -i deleted

Если процесс держит удалённый бинарник — это майнер или бэкдор. find / -mmin -30 -type f покажет, что ещё появилось за последние полчаса. 😈 CodeGuard: PySec Edition | Чат

6 бесплатных инструментов октября, которые закрывают то, что пропустили сканеры Октябрь выдался плотным: PHP2Shell, GitLab RCE, Brotli, ядро Linux. Но вместе с уязвимостями вышли и инструменты, которые помогают защищаться. Собрали шесть open-source решений, которые появились или обновились за последний месяц. Все — бесплатные, без лицензионных платежей и per-asset pricing. 1. PrivacySafe Foundation — 57 скриптов против PHP2Shell и не только

🔥 Бесплатно (open-source). Некоммерческий фонд выпустил набор из 57 защитных скриптов, которые покрывают 139 уязвимостей в 67 проектах на 10 языках (PHP, Node.js, Python, Ruby). Главный фокус — PHP2Shell, критическая дыра, затрагивающая почти 70% веб-доменов. Скрипты работают недеструктивно: аудит конфигураций и оценка экспозиции без изменения кода.

🔗 Security Today: PrivacySafe Foundation Releases Free Open Source Cybersecurity Tools — бесплатно 2. CVEngine — attack surface assessment, который отвечает на вопрос «что из этого реально моё?»

🔥 Бесплатно (open-source, self-hosted). Один Docker Compose — и у тебя непрерывный цикл: discovery (bbot, certificate transparency), fingerprinting (nmap, nuclei), сопоставление с live-фидами эксплуатируемых CVE (CISA KEV, ENISA EUVD). Вместо горы алертов — вердикт: «эта CVE есть на твоём ассете, и вот доказательство». Инвентарь остаётся на твоём сервере, AI-ключи — твои.

🔗 GitHub: hevnsnt/CVEngine — бесплатно 3. Zero-Breach Toolkit — проверка на Pegasus, Predator и другие шпионские программы

🔥 Бесплатно (open-source). Офлайн-проверка на следы mercenary spyware (Pegasus, Predator, Graphite, Candiru) на Windows, macOS, Linux, Android и iPhone-бэкапах. Работает read-only, без сетевых запросов во время скана. Каждый отчёт честно указывает, что найдено и насколько сильны доказательства. Полезно для журналистов, активистов и всех, кто в группе риска.

🔗 GitHub: interplains/Zero-Breach-Toolkit — бесплатно 4. DevGuard — управление уязвимостями в цепочке поставок

🔥 Бесплатно (open-source, OWASP Incubating Project). Собирает security-находки проекта в одном месте: secret scanning, SAST, dependency checks, IaC, container scanning, лицензии. Работает через один CLI, который оборачивает существующие open-source инструменты (Trivy, Grype, Semgrep). Findings синхронизируются с GitHub Issues, GitLab и Jira. Можно self-host.

🔗 Help Net Security: DevGuard — Open-Source Vulnerability Management — бесплатно 🔗 GitHub: l3montree-dev/devguard — бесплатно 5. ProjectDiscovery Neo Triage — валидация уязвимостей в изолированной песочнице

🔥 Бесплатно (часть open-source платформы ProjectDiscovery). Вместо того чтобы верить сканеру на слово, Neo Triage воспроизводит находку в sandbox: показывает запросы и ответы, которые доказывают, что уязвимость существует. Дальше — определяет реальную severity, предлагает фикс и автоматически перепроверяет после исправления. По данным вендора, превращает ~50 000 часов ручного триажа в ~8 300 часов ревью.

🔗 Security Boulevard: ProjectDiscovery Adds Free Tool to Validate Vulnerabilities — бесплатно 6. brotli2shell_Hunter — поиск уязвимых декодеров Brotli, включая встроенные копии

🔥 Бесплатно (open-source). Пока все патчат системные библиотеки, уязвимость CVE-2026-111497 (Brotli2Shell / HTTP2Shell) часто живёт во встроенных копиях декодера — в Node.js, Bun, PyPI-пакетах, бинарниках. Этот сканер находит такие копии, определяет, достижимы ли они из недоверенного ввода, и ранжирует по серьёзности. Работает read-only, поддерживает SBOM (CycloneDX/SPDX) и вывод в SARIF.

🔗 GitHub: dansaurabh/brotli2shell_Hunter — бесплатно Как использовать

➡️ Не пытайся внедрить всё сразу. Выбери одну цель: ➡️ Защита от PHP2Shell → PrivacySafe Foundation ➡️ Мониторинг внешнего периметра → CVEngine ➡️ Проверка на шпионское ПО → Zero-Breach Toolkit ➡️ Supply chain security → DevGuard ➡️ Валидация сканера → Neo Triage ➡️ Brotli2Shell → brotli2shell_Hunter

Все шесть — с бесплатным доступом и открытым кодом. Начни с того, что закрывает текущую боль. 😈 CodeGuard: PySec Edition | Чат

🔍 Тест: Сможете ли вы заметить атаку в CI/CD? Пятничный формат — не мем, а короткий тест на внимательность. Вчера CISA выпустила advisory по критической уязвимости в GitLab. Атакующий может выполнить код на сервере без аутентификации — через специально сформированное регулярное выражение в CI/CD-конфигурации. Вопрос: если бы вы увидели этот конфиг, заметили бы подвох? Ситуация: Вы — администратор GitLab. В логах CI/CD появляется подозрительная активность. Открываете .gitlab-ci.yml и видите:

stages:
  - test
  - deploy

test_job:
  stage: test
  script:
    - echo "Running tests..."
    - ./run_tests.sh
  rules:
    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'

Вопрос: Что в этом конфиге выглядит подозрительно, если учесть, что уязвимость CVE-2026-97229 связана с недостаточной валидацией регулярных выражений в CI/CD? Варианты ответа: A) stages — слишком мало этапов B) script — нет кавычек вокруг ./run_tests.sh C) rules: if: — регулярное выражение $CI_PIPELINE_SOURCE не валидируется должным образом, и атакующий может внедрить свой код через специально сформированное значение D) stage: test — не указан allow_failure 😈 CodeGuard: PySec Edition | Чат

Node2Shell / HTTP2Shell: CISA подтвердила эксплуатацию. Уязвимость в Brotli затрагивает Node.js, Python и .NET Пока все патчат PHP и GitLab, CISA добавила в KEV ещё одну критическую уязвимость. На этот раз — в Brotli, библиотеке сжатия, которая используется почти везде: в Node.js, Python-пакетах, .NET, Bun, PHP-сборках для Windows и даже в некоторых прокси. CVSS 4.0 — 9.2. Атака не требует аутентификации: достаточно отправить специально сформированные сжатые данные. Что за уязвимость

🔵CVE-2026-111497 — out-of-bounds write в декодере Brotli. Уязвимость позволяет неаутентифицированному атакующему вызвать падение процесса, раскрыть память или выполнить код через специально сжатые данные. Проблема в том, что Brotli часто обрабатывает входящие запросы и ответы доаутентификации и контроля на уровне приложения.

Затронуты встроенные копии декодера в Node.js, Python-пакетах, .NET, Bun, PHP для Windows, а также в некоторых прокси и инструментах обработки файлов. Почему это критично именно сейчас

🔵27 октября CISA добавила CVE-2026-111497 в каталог Known Exploited Vulnerabilities. Это значит, что эксплуатация подтверждена — не теоретическая, а реальная.

По данным ThreatLabz, за первые 24 часа после раскрытия зафиксировано 402 события разведки и попыток эксплуатации с 20 source IP против 12 клиентов. Imperva продемонстрировала выполнение кода на контейнере Node.js, а ELLIO — получение shell на официальных сборках Node.js 24.22.0 для x86-64 в конфигурации по умолчанию. Главная ловушка: обновление системной библиотеки может не помочь Многие думают: «Я обновил brotli в системе — значит, закрыл». Это не так. Уязвимость часто живёт в встроенных копиях декодера, которые поставляются вместе с Node.js, Python-пакетами или контейнерными образами. Обновление системной библиотеки не трогает эти встроенные копии. Что делать:

1️⃣Обновить все зависимости Brotli — не только системную, но и те, что идут в составе приложений. 2️⃣Пересобрать контейнеры — старые образы могут содержать уязвимый декодер. 3️⃣Перезапустить процессы — чтобы уязвимый код не остался в памяти. 4️⃣Проверить, что уязвимые компоненты больше не запущены — обновление файла не всегда означает, что процесс использует новую версию.

Временная мера: если патч отложен, можно временно отклонять Brotli-сжатые запросы или отключить пути декодирования — включая обработку ответов. Ссылка 🔗 CISA Adds Critical Brotli Decoder Flaw Node2Shell to Exploited Vulnerabilities Catalog — Mallory — бесплатно 🔗 CVE-2026-111497: Node2Shell / HTTP2Shell — Zscaler ThreatLabz — бесплатно 🔗 Brotli2Shell: A Compression Library Flaw Becomes Cross-Runtime RCE — CSA Labs — бесплатно 😈 CodeGuard: PySec Edition | Чат

🤯 Server Hardening за 8 шагов: чек-лист для тех, кто только получил VPS Ты арендовал сервер. Через час в auth.log — сотни попыток подбора пароля. Это не паранойя, это норма для публичного IP. Вот процесс hardening, который закрывает почти все автоматические атаки. Бесплатно (все шаги — стандартные команды и open-source инструменты). Что такое hardening и зачем он нужен

🔵Hardening — это не «поставить антивирус». Это приведение сервера к состоянию, где осталось только то, что нужно для его роли: убраны лишние сервисы, закрыты ненужные порты, настроены права доступа, включено логирование. По данным Atlantic.net, большинство проблем возникает ещё на этапе установки: дефолтные конфигурации содержат сервисы и аккаунты, которые серверу не нужны.

8 шагов, которые стоит сделать в первый час 1. Обнови всё сразу.

sudo apt update && sudo apt upgrade -y

Если обновилось ядро — перезагрузись. 2. Создай пользователя с sudo. Не работай под root постоянно. Одна ошибка может сломать систему.

adduser deploy
usermod -aG sudo deploy

3. Перейди на SSH-ключи. Ключ подобрать несравнимо сложнее, чем пароль.

ssh-keygen -t ed25519 -a 100
ssh-copy-id deploy@ТВОЙ_IP

4. Отключи root-логин и вход по паролю. Только после того, как ключ работает. В /etc/ssh/sshd_config.d/ создай файл:

PermitRootLogin no
PasswordAuthentication no
AuthenticationMethods publickey
MaxAuthTries 3

Проверь конфиг перед перезапуском: sudo sshd -t. 5. Включи файрвол. Разреши только то, что используешь.

sudo ufw allow OpenSSH
sudo ufw allow 80,443/tcp
sudo ufw enable

6. Поставь Fail2ban. Он читает логи и блокирует IP после нескольких неудачных попыток.

sudo apt install fail2ban -y
sudo systemctl enable --now fail2ban

7. Включи логирование и мониторинг. Без логов ты не узнаешь, что происходит. Настрой auditd или хотя бы убедись, что journald пишет всё необходимое. 8. Проверь открытые порты. После настройки — ещё раз посмотри, что слушает:

ss -tulpn

Если видишь что-то, чего не ожидал — выключи. Практический пример

🤨 Свежий VPS. Через час в auth.log — 5000 неудачных попыток. После шагов 3–6: ключ вместо пароля, root закрыт, файрвол пропускает только 22/80/443, Fail2ban банит IP после трёх промахов. Через сутки попытки продолжаются, но ни одна не проходит. Это не «пуленепробиваемость». Но это база, с которой можно работать.

😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard: PySec Edition | Чат

Ваш VPS уже просканировали. Вот что делать после базовой настройки SSH и файрвола Ты закрыл root, отключил пароли, включил UFW. Думаешь, сервер в безопасности? Публичный IP сканируют автоматически — не потому что ты интересен, а потому что это поток. Базовый hardening закрывает очевидное, но оставляет асимметрию: IPv4 защищён, IPv6 — часто нет; ingress закрыт, egress — открыт. Вот что стоит добавить, если хочешь выйти за пределы чек-листа. Бесплатно (все инструменты — стандартные или open-source). 1. SSH: не просто ключи, а Ed25519 + модульный конфиг Пароли отключены — хорошо. Но если ты всё ещё на RSA-ключах, есть смысл перейти на Ed25519: короче, быстрее, устойчивее к коллизиям.

ssh-keygen -t ed25519 -a 100 -C "secops-bastion-admin"

Не правь /etc/ssh/sshd_config напрямую. Современный OpenSSH подхватывает файлы из /etc/ssh/sshd_config.d/. Создай 01-hardened.conf:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
AuthenticationMethods publickey
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2
X11Forwarding no
AllowTcpForwarding no

Перед перезапуском — sshd -t, чтобы не потерять доступ. 2. IPv6: не забывай про вторую половину стека Классическая ошибка: IPv4 закрыт stateful-файрволом, а IPv6 — открыт. Атакующие это знают. nftables позволяет описать симметричные правила для обоих стеков в одном файле. Пример для /etc/nftables.conf:

table inet filter {
  chain input {
    type filter hook input priority filter; policy drop;
    ct state established,related accept
    ct state invalid drop
    ip protocol icmp accept
    ip6 nexthdr ipv6-icmp accept
    tcp dport { 22, 80, 443 } accept
  }
}

inet означает, что таблица применяется и к IPv4, и к IPv6. Не нужно дублировать правила. 3. Egress: не только «кто может войти», но и «куда можно выйти»

🔵 Если сервис скомпрометирован, майнеру или reverse shell нужен исходящийдоступ. Базовый файрвол это часто игнорирует. Добавь ограничение egress: разреши только то, что нужно приложению (обновления, API, DNS), остальное — drop.

Практический пример Свежий VPS. Через час в auth.log — сотни попыток. После Ed25519, модульного sshd_config.d, симметричного nftables и egress-фильтра: попытки продолжаются, но ни одна не проходит. Reverse shell, если вдруг появится, не сможет «позвонить домой». 😈 CodeGuard: PySec Edition | Чат

👩‍💻 Всем программистам посвящается! Вот 14 авторских обучающих IT каналов по самым востребованным областям программирования: Выбирай своё направление: 👩‍💻 Python — t.me/python_ready 🤔 InfoSec & Хакинг — t.me/hacking_ready 🖥 SQL & Базы Данных — t.me/sql_ready 👩‍💻 IT Новости — t.me/it_ready 🤖 AI & ML — t.me/neuro_ready 👩‍💻 Frontend — t.me/frontend_ready 👩‍💻 C/C++ — https://t.me/cpp_ready 👩‍💻 C# & Unity — t.me/csharp_ready 👩‍💻 Linux — t.me/linux_ready 👩‍💻 Java — t.me/java_ready 📖 IT Книги — t.me/books_ready 📱 JavaScript — t.me/javascript_ready 🖼️ DevOps — t.me/devops_ready 🖥 Design — t.me/design_ready 📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!

🧨 Node2Shell: уязвимость в Node.js, которая позволяет выполнить код на сервере через сжатый HTTP-ответ. Твой проект может быть уязвим 21 октября 2026 года вышло экстренное обновление Node.js. Причина — CVE-2026-111497, которую исследователи назвали Node2Shell. Это ошибка в Brotli-декодере, который встроен прямо в Node.js. Если приложение принимает сжатые Brotli-данные от пользователя и распаковывает их — атакующий может вызвать повреждение памяти и выполнить свой код на сервере. Кого это касается Уязвимы все поддерживаемые ветки: 22.x, 24.x и 26.x. Ветка 20.x уже не поддерживается (EOL) и остаётся уязвимой — патча для неё не будет. Исправленные версии: 22.23.4, 24.22.1, 26.12.1. Если ты используешь Node.js в учебном проекте, пет-проекте или на хостинге — проверь версию. Даже если ты не пишешь серверный код, а просто поднял Express или Fastify, который отдаёт сжатые ответы, — ты можешь быть затронут. Почему это не просто «ещё одна CVE»

🟣 Brotli — это стандартный алгоритм сжатия для HTTP. Он включён в Node.js из коробки, и многие фреймворки используют его для Content-Encoding: br. Атакующему не нужен логин — достаточно отправить специально сформированный сжатый запрос или заставить сервер распаковать вредоносные данные. Уязвимость уже получила несколько имён: Node2Shell, HTTP2Shell, Broccoli2Shell — потому что затронуты не только Node.js, но и другие рантаймы и прокси, которые используют тот же C-код Brotli.

Что делать прямо сейчас 1️⃣ Проверь версию Node.js: node -v. Если 22.x ниже 22.23.4, 24.x ниже 24.22.1 или 26.x ниже 26.12.1 — обновись. Если 20.x или ниже — планируй миграцию, патча не будет. 2️⃣ Проверь, использует ли твой сервер Brotli. Если в ответах есть Content-Encoding: br или в коде подключён compression с Brotli — риск выше. 3️⃣ Если обновиться нельзя — отключи Brotli на уровне reverse proxy (nginx, Caddy) или приложения. Временная мера, но лучше, чем ничего. Главное: Node2Shell — это не «где-то у больших компаний». Это твой node_modules, твой Express, твой пет-проект. Обновись сегодня. 😈 CodeGuard: PySec Edition | Чат

🔻 GMO Internet отказалась платить $50 млн. Хакеры начали публиковать данные клиентов Японский IT-гигант GMO Internet Group оказался в центре вымогательской атаки. Злоумышленники требовали $50 млн в криптовалюте, угрожая обнародовать данные клиентов и запустить ransomware. GMO отказалась платить. И тогда хакеры начали выполнять угрозу — по одному человеку в день. Что произошло

🔵 Атака затронула Onamae.com Desktop Cloud — сервис, которым пользуются в том числе форекс-брокеры. 20 октября GMO подтвердила: в серверных средах некоторых клиентов был обнаружен несанкционированный код, установленный третьей стороной.

Злоумышленники потребовали $50 млн в криптовалюте. GMO отказалась платить, заявив, что не может гарантировать удаление информации или предотвращение её неправомерного использования.

👍 Тогда хакеры перешли к публичному давлению. 27 октября, после полудня по японскому времени, они опубликовали личные данные одного из клиентов и пригрозили публиковать по одному человеку каждый день.

Масштаб

🤨 По данным министра финансов Японии Сацуки Катаямы, уже пять форекс-компаний, включая OANDA Japan, Goldenway Japan и Ava Trade Japan, сообщили о пострадавших клиентах.

GMO начала собирать у клиентов устройства для анализа — чтобы понять, был ли установлен malware и насколько глубоко проникла компрометация. Реакция компании GMO рекомендовала пользователям:

🔵проверить устройства антивирусом; 🔵изолировать важные данные и сделать бэкапы; 🔵отключить питание компьютеров до наступления дедлайна.

Компания также заявила, что с 25 октября начала отзывать часть устройств у клиентов для экспертизы, привлекла сторонних ИБ-специалистов и подала заявление в полицию. Почему это важно

🔵Это не просто «очередной ransomware». Это публичное вымогательство с поэтапным давлением. Хакеры не просто шифруют данные — они используют репутацию и страх утечки как рычаг. Публикация по одному клиенту в день — это медийная стратегия, рассчитанная на то, что компания сдастся под давлением общественности.

Для защитников это напоминание: отказ платить — правильное решение, но он требует готовности к тому, что угрозы начнут выполняться. И к этому нужно готовиться заранее: план коммуникации, юридическая поддержка, мониторинг утечек. 🔗 Japan’s GMO Says Hacker Threatens To Disclose Customer Data At Noon — Bernama — бесплатно

5️⃣ бесплатных threat intelligence фидов, которые реально работают в 2026 Threat intelligence — это не про «купить самый большой фид». Это про то, чтобы получать данные, которые ты сможешь использовать: приоритизировать патчи, блокировать инфраструктуру, понимать, что происходит. Вот пять бесплатных источников, которые закрывают разные задачи. Все — без оплаты и без API-ключей для базового доступа. 1. CISA KEV — приоритизация уязвимостей

Бесплатно. Не совсем IOC-фид, но один из самых полезных публичных источников. KEV — каталог уязвимостей, которые уже эксплуатируются в реальных атаках. Если CVE попала в KEV, патч нужно ставить сегодня, а не «когда будет время». Доступен в CSV и JSON. Для чего: vulnerability management. Вместо того чтобы тонуть в тысячах CVE, ты смотришь на те, которые атакующие используют прямо сейчас.

🔗 CISA KEV — бесплатно 2. AlienVault OTX — community-driven IOC

Бесплатно. Открытая платформа обмена индикаторами компрометации. Ты подписываешься на «пульсы» — наборы IOC, связанные с конкретными кампаниями, малварью или акторами. Внутри: IP, домены, хеши, URL. Для чего: обогащение алертов и первичная разведка. Если видишь подозрительный IP, проверь его в OTX — возможно, он уже связан с известной кампанией.

🔗 AlienVault OTX — бесплатно 3. abuse.ch — malware intelligence

Бесплатно (есть коммерческие опции). Семейство проектов: MalwareBazaar(образцы), ThreatFox (IOC), URLhaus (вредоносные URL), Feodo Tracker (C2-серверы). Всё — с открытым доступом и API. Для чего: детектирование малвари и блокировка C2. Если нужно быстро проверить хеш или URL — abuse.ch даёт ответ без регистрации.

🔗 abuse.ch — бесплатно 4. PhishTank — фишинг

Бесплатно. База фишинговых URL, которую пополняет сообщество. Можно проверять ссылки через веб-интерфейс или API. Данные валидируются, что снижает количество ложных срабатываний. Для чего: защита почтовых шлюзов и прокси. Если пользователь кликнул по ссылке — проверь её в PhishTank.

🔗 PhishTank — бесплатно 5. OpenPhish — фишинг в реальном времени

Бесплатно (есть премиум). Фиды фишинговых URL, обновляемые в реальном времени. Бесплатный уровень даёт доступ к публичному фиду, которого хватает для базового мониторинга. Для чего: оперативное блокирование. Если нужен поток свежих фишинговых ссылок — OpenPhish даёт его быстрее, чем большинство коммерческих фидов.

🔗 OpenPhish — бесплатно 😈 CodeGuard: PySec Edition | Чат

🤒 Хочешь научу собирать данные киберразведки? 👍 Добро пожаловать в CodeGuard: OSINT Здесь — от базовых техник поиска до продвинутых инструментов: 🟢 Osint-фреймворки 🟢 Анализ, WHOIS и dark web 🟢 Практические гайды 🟢 Кейсы для пентеста Присоединяйся: t.me/CodeGuard_Osint

🤔 PHP2Shell: две критические RCE в ядре PHP. Патч вышел, но 72% серверов не могут его установить Пока все обсуждают утечки и новые CVE в VPN-шлюзах, в самом сердце веба — PHP — нашли пару уязвимостей, которые вместе дают неаутентифицированное выполнение кода. Официальная оценка — CVSS 9.2. Проблема в том, что больше двух третей интернет-серверов с PHP работают на версиях, для которых патча не существует. Что за уязвимости

🔵CVE-2026-109618 и CVE-2026-109619 — две критические RCE в ядре PHP. Обе получили CVSS v4.0 9.2 и классифицированы как CWE-416 (use-after-free). Исследователи из watchTowr неформально называют пару «PHP2Shell». 🔵Уязвимости затронули session.upload_progress — механизм, который включён по умолчанию во многих конфигурациях. Атакующему не нужна аутентификация. Рабочий эксплойт уже продемонстрирован против Apache mod_php с настройками по умолчанию.

Информация об уязвимостях утекла 20 октября, до запланированного скоординированного раскрытия. PHP пришлось выпустить экстренный патч на день раньше — 21 октября 2026, 14:00 UTC. Масштаб проблемы

🤨 По данным Shodan, в интернете около 1,9 миллиона хостов с PHP. Из них 72,5% раскрывают версию, и эта версия — end-of-life ветка (PHP 8.1 и старше), для которой официального патча не будет. Затронута вся экосистема: WordPress (~538 тыс. инстансов), Drupal, Joomla, Magento, Laravel (~141 тыс.), Nextcloud (~107 тыс.), phpMyAdmin, cPanel/Plesk.

Даже если вы не используете PHP напрямую — вы зависите от него через подрядчиков, SaaS-платформы и клиентские порталы. Это каскадный риск цепочки поставок. Что делать 1️⃣Обновитесь до исправленной версии: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35. 2️⃣Если вы на EOL-ветке (8.1 и ниже) — патча не будет. Планируйте миграцию или изолируйте сервис. Source-backport'ы существуют для 7.4, 8.0 и 8.1, но это не полноценная поддержка. 3️⃣Приоритет №1 — Apache mod_php. Эта конфигурация наиболее уязвима, потому что вызывает shutdown даже при неудачном старте запроса. 4️⃣Временная мера: отключите session.upload_progress в php.ini, если не можете патчить немедленно. 5️⃣Не считайте патч ремедиацией. Если система была скомпрометирована до обновления, патч не удалит то, что уже закреплено. 😈 CodeGuard: PySec Edition | Чат

Citrix NetScaler: CVSS 9.8, RCE без аутентификации и веб-шеллы, которые патч не удаляет Пока все патчат PHP и GitLab, есть ещё одна дыра, которая эксплуатируется прямо сейчас. Citrix NetScaler — шлюз, через который ходит удалённый доступ в корпоративные сети. CVE-2026-88771 позволяет выполнить команду без логина и пароля. Патчи вышли 16 октября, но атаки начались раньше. И, как всегда, обновление не удаляет то, что атакующий уже закрепил. Что за уязвимость

🤨 CVE-2026-88771 — improper input validation в Citrix NetScaler ADC и NetScaler Gateway. CVSS 9.8 (v3.1) и 9.5 (v4.0). Уязвимость позволяет неаутентифицированное удалённое выполнение команд (RCE). Атакующий не просто читает данные — он может выполнить код на устройстве, которое стоит на периметре и видит внутреннюю сеть.

Как это выглядит в атаке

🔵 Zscaler ThreatLabz зафиксировали цепочку: poisoned access logs, специально сформированные authentication-запросы, fingerprinting устройства, попытка установки веб-шелла и загрузка Rust-based FreeBSD x64 malware на скомпрометированный appliance.

Исследователи видели всплеск попыток как минимум с 26 source IP, но не установили, сколько устройств было скомпрометировано и координировал ли это один актор. Главная ловушка: патч не равно «чисто» Citrix выпустила исправленные сборки: 14.1-73.37 и 13.1-64.23 (или более поздние в этих ветках). Zscaler 16 октября указал более поздние сборки — 14.1-73.46 и 13.1-64.29 — и отдельно предупредил: патчинг не удаляет уже установленные веб-шеллы и malware。 Это значит: если устройство было скомпрометировано до обновления, после патча атакующий может остаться внутри. Нужно не просто обновиться, а проверить на компрометацию: искать веб-шеллы, необычные процессы, признаки FreeBSD-импланта. Gurucul опубликовал 28 IP-индикаторов для проверки. Что делать

🔵Обновиться до актуальной исправленной сборки для вашей ветки. Если вы на 14.1 — до 14.1-73.46 или позже. Если на 13.1 — до 13.1-64.29 или позже. 🔵Не считать патч ремедиацией. Изолируйте потенциально скомпрометированные appliance, сохраните форензик-артефакты, ищите веб-шеллы и импланты. 🔵Проверить логи на предмет poisoned access logs и необычных authentication-запросов. Если видите попытки эксплуатации — это уже инцидент, а не просто уязвимость.

😈 CodeGuard: PySec Edition | Чат

GitLab: CVSS 10.0, RCE без пароля и 12 лет уязвимых релизов. Патч вышел, но не для всех Пока все обсуждают PHP2Shell, GitLab тихо закрыл вторую за девять дней дыру с максимальной оценкой. И эта — глубже. Она затрагивает каждую self-managed инсталляцию, начиная с версии 7.0, выпущенной в 2014 году. Двенадцать лет релизов в одном advisory. Если ваш GitLab смотрит в интернет — это не «подожду до понедельника». Что за уязвимость

🤨 CVE-2026-110264 — integer overflow в компиляторе регулярных выражений. CVSS v3.1 10.0. Атакующий без аутентификации может выполнить произвольный код на сервере GitLab. Не «прочитать репозиторий», не «получить доступ к CI/CD» — выполнить команду от имени сервиса.

Уязвимый компонент присутствует в кодовой базе с версии 7.0 (2014). Это значит, что под ударом — практически каждый self-managed инстанс, который когда-либо был развёрнут и не пропатчен. GitLab.com и Dedicated-тенанты на актуальных внутренних релизах уже защищены. Почему это важно именно сейчас

🔵Это вторая CVSS 10.0 RCE за девять дней. Первая — CVE-2026-97229 от 12 октября, тоже в regex-компиляторе CI/CD. GitLab бэкпортировал фикс сразу в семь веток: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1. Такой шаг компания делает только для самых серьёзных проблем.

Сканирование интернета показывает около 60 000 self-managed GitLab-инстансов онлайн. На момент публикации подтверждённых атак в дикой природе не зафиксировано, но PoC-код уже существует. Окно между патчем и эксплойтом сокращается. 😈 CodeGuard: PySec Edition | Чат

VanGuard: один бинарник, который заменяет 28 инструментов при расследовании инцидента Ты приезжаешь на инцидент. На флешке — десяток утилит, каждая со своими флагами. Пока разбираешься, время уходит. VanGuard пытается это изменить: один бинарник на Go, внутри — 28 готовых сценариев IR, управление Velociraptor и генерация таймлайна. Работает без интернета. Бесплатно (open-source). Что внутри

🔵28 предустановленных сценариев — ransomware, BEC, lateral movement, credential theft, rootkit detection. Каждый с маппингом на MITRE ATT&CK и пофазовым сбором артефактов. 🔵Velociraptor как первоклассный гражданин — полный жизненный цикл сервера, развёртывание агентов, офлайн-коллекторы, VQL-запросы из одного меню. 🔵Быстрый триаж — 20+ категорий артефактов Windows (процессы, службы, журналы событий, планировщик, браузеры, реестр) и 15+ Linux (процессы, cron, systemd, SSH, auth-логи, модули ядра). Всё хешируется и регистрируется как доказательство. 🔵Threat hunting — встроенные Hayabusa (Sigma-анализ логов), Chainsaw, Loki и YARA. Анализ живого состояния: LOLBin, подозрительные автозапуски, аномалии named pipes, rogue systemd units, SUID-бинарники, C2-паттерны. 🔵Форензика памяти — DumpIt, WinPMEM (Windows), AVML, LiME (Linux). Анализ через Volatility3. Air-gapped — каждая функция работает офлайн. Сеть — это улучшение, а не требование.

Практический пример

🤨 Ты на месте инцидента. Запускаешь VanGuard с флешки. Он предлагает TUI или веб-интерфейс. Выбираешь сценарий Ransomware. Инструмент собирает артефакты, хеширует их, строит таймлайн и генерирует HTML-отчёт с цепочкой custody. Всё — из одного бинарника, без установки и без интернета. Через час у тебя готовый отчёт, а не папка с разнородными файлами.

😈 CodeGuard: PySec Edition | Чат

Программисты, это вам 👇 Держите 5 каналов, которые реально помогают изучать программирование и IT с полного нуля: 🖥 Easy Coder — все направления IT. 👩‍💻 Easy Python — всё о Python. 🌐 Easy WebDev — Frontend, Backend. 🔠 Easy InfoSec — ИБ, Хакинг. 🖥 Easy GitHub — лучшее с GitHub. Тонны бесплатной инфы для любого уровня подготовки ✔️