Void_hackers

И снова всем привет, это VoidHackers Сегодня мы решили разобрать нашу очередную атаку на Казино. Elinmejorable. Как взломали: Первым делом мы нашли панель управления Traefik на 35.232.157.173:0000. И при выполнении curl http://35.232.157.173:0000/api/rawdata нам выдавались все контейнеры и их внутренние IP. Traefik был без авторизации — их CTO явно не знает, что такое --api.insecure=false. Дальше мы перебрали эндпоинты и нашли RCE через /exec?cmd= на одном из сервисов. Выполнили id и получили uid=0(root). Контейнер работал от root. Инженеры, видимо, думали, что Docker даёт иммунитет — нет. Проверили доступ к /var/run/docker.sock — он был открыт. Запустили привилегированный контейнер с монтированием корня хоста и через chroot /host /bin/bash получили root на самом сервере 35.232.157.173. Их облачная инфраструктура пала за 15 минут. После этого мы остановили и отключили все сервисы, удалили контейнеры и образы, почистили базу PostgreSQL, создали своих пользователей, настроили iptables — теперь сервер слушает только нас. Но с SSH вышла проблема — GCP файрвол блокирует не-HTTP трафик, так что мы не смогли поднять SSH. Контейнер attacker удалился, и доступ к серверу был потерян. Ирония — мы всё сломали, но Гугл нас запер снаружи. Однако мы нашли JWT-токен в открытом коде и через GraphQL API выкачали всю базу данных: пользователей, кошельки, транзакции. Теперь у нас полный контроль над данными. Так что, El Inmejorable, выводы делайте сами. Мы были внутри, и мы вернёмся, если захотим.=)

Решили повзламывать камеры Франции, ждите интересные новости=)

Пустота наш сигнал =) Ждите новых постов, мы не спим.

Проект void rat заморожен на месяц, из-за атак на сайты (нам не хватает времени на разработку)

Взлом Austin Texas. Операция VOID HACKERS × ALPHA NET. ALPHA NET провела разведку: вскрыла DNS (180+ поддоменов), Citrix, Cisco ISE, Nagios, Kubernetes. Определила стек: Tomcat, Struts, ColdFusion, Drupal. Подтвердила отсутствие WAF на partnergrants.austintexas.gov и открытый AJP‑порт 8009. VOID HACKERS атаковали: обошли Imperva WAF (HPP null‑byte + TLS‑спуфинг Chrome JA3), эксплуатировали IDOR (viewStorefrontOpportunity.do) и прямой доступ к грантам, сняли дамп поставщиков с financeonline. Ключевой прорыв — 0nsec (VOID HACKERS): обнаружил слепую Time‑based SQLi в /recoverUserId.do и /externalResetPassword.do, вручную (SLEEP(5), побитовый перебор) вытащил таблицу users — 5 записей, email, SHA1‑хэши. База стала ядром компрометации. Критические уязвимости: • Blind SQLi (MySQL) — partnergrants • IDOR + несанкционированный доступ к грантам и storefrontFOList.do • User enumeration (разница 8872/9015 байт без капчи) Высокие: Tomcat 9.0.108 (CVE‑2024‑50379), раскрытие версий (WebGrants 7.6.3, Struts, ColdFusion, Apache 2.4.62), 180+ поддоменов, AJP 8009, отсутствие защиты от брутфорса. Стек: Drupal 11 + Varnish + nginx, Imperva (d7pxyci.impervadns.net), WebGrants 7.6.3, Tomcat 9.0.108, ColdFusion, MySQL, AS393759 (162.89.0.0/20), Azure AD SSO. VOID HACKERS и ALPHA NET выступают за Россию. Остин — доказательство, что бюджеты США на «кибербез» не работают. ALPHA NET открыла двери. VOID HACKERS вошёл. 0nsec вытащил всё. Ps: вся база данных лежит в канале @hackers_void #austintexas #imperva #sqli #idor #webgrants #tomcat #coldfusion #voidhackers #alphanet #0nsec #россиявперёд #АльфаНет

Пророссийская хактивистская разведывательная группа АльфаНет опубликовала большой объём данных сотрудников киевской городской администрации. Городской портал Киева kyivcity.gov.ua Здесь около 100 000 записей, содержит: ФИО/дата рождения/инн/паспортные данные/адреса 🇷🇺 За Россию! За СВО! За Победу! #АльфаНет AlfaNet — Разведка цифрового фронта

NGINX: дыра в модуле rewrite, о которой никто не знал целых 18 лет В NGINX обнаружили переполнение буфера в куче в модуле ngx_http_rewrite_module. Уязвимость CVE-2026-42945 с оценкой 9,2 по CVSS v4 существует с версии 1.0.0 — с 2008 года — и затрагивает все релизы вплоть до 1.30.0 включительно. Вектор атаки: предварительная авторизация не требуется, достаточно HTTP-доступа к серверу. Триггер — специфическое сочетание директив rewrite, if или set с безымянными захватами PCRE ($1, $2) и строкой замены со знаком вопроса. При таких условиях атакующий контролирует содержимое данных, выходящих за пределы выделенного буфера. При включённом ASLR — стабильный DoS через повторные перезапуски воркера. При отключённом — возможно удалённое выполнение кода. Исправлено в NGINX Open Source 1.30.1 и 1.31.0, NGINX Plus R32 P6 и R36 P4. Затронуты также NGINX Instance Manager, App Protect WAF, Gateway Fabric и Ingress Controller. Временная мера защиты — замена безымянных захватов PCRE на именованные во всех затронутых директивах. #nginx #CVE #уязвимость #безопасность

Ждите скоро очень интересный подарок)))

Microsoft закрыла 120 уязвимостей, среди которых есть опасная ошибка в Paint Майский Patch Tuesday у Microsoft получился крупным. Компания закрыла 120 уязвимостей, 17 из которых признаны критическими. Угроз нулевого дня, уже используемых в атаках, на этот раз не зафиксировано. Среди заметных проблем — уязвимость в Windows GDI: открытие подготовленного файла в обычном Paint могло привести к выполнению произвольного кода. Похожая логика работает и с Office: часть ошибок срабатывала даже через панель предварительного просмотра. Отдельного внимания заслуживает ошибка в DNS-клиенте Windows. Вредоносный DNS-ответ мог повредить память и дать атакующему полный контроль над машиной — без единого клика со стороны пользователя. #PatchTuesday #Windows #уязвимости #кибербезопасность

Продолжаем атаку над сайтом austintexas.gov Уже нашли много интересного. От blind SQL injection до user enumeration и IDOR.

🇷🇺⚡️ ОФИЦИАЛЬНОЕ СООБЩЕНИЕ Аналитическая группа AlfaNet Intelligence и киберсообщество Void Hackers начинают совместное сотрудничество в области исследований цифровой инфраструктуры и анализа киберпространства. Направления взаимодействия: — OSINT и киберразведка — анализ веб-инфраструктуры — исследование уязвимостей веб-приложений — разработка специализированного программного обеспечения — обмен технической и аналитической экспертизой — мониторинг сетевой активности и цифровых угроз Объединение исследовательских и технических ресурсов позволит вывести уровень совместной аналитики и киберопераций на новый этап. Первые совместные материалы и публикации будут представлены в ближайшее время. ⚡️ AlfaNet Intelligence ⚡️ Void Hackers ⚡️ Cyber Intelligence Collaboration #АльфаНет #Void_hackers

СЛИВ hardcore key БАНКА УКРАИНЫ 😄

{ "vulnerability_report": { "target_app": "Privat24 (Android)", "vulnerability_type": "CWE-321: Use of Hard-coded Cryptographic Key", "threat_level": "Critical", "description": "Обнаружена критическая уязвимость: использование статического жестко прописанного ключа в коде Flutter-слоя. Это позволяет обходить системный Keystore и расшифровывать локальные секреты пользователя на любом стороннем устройстве.", "cryptographic_secrets": { "hardcoded_master_key": "VGhpcyBpcyB0aGUgcHJlZml4IGZvciBhIGtleQ==", "decoding_hint": "Base64 decoded: 'This is the prefix for a key'" }, "compromised_data": { "session_auth": [ "Encrypted Access Tokens", "Refresh Tokens", "Session Keys" ], "identifiers": { "firebase_id": "eUZSIEeER1-hrpLn0iZhTV", "instance_id": "f0331a27d676b4bf62080bb420095a41", "installation_guid": "XZae96e74f-a6cc-4f1a-b5bd-668a1a7271c4" }, "metadata": { "user_language": "en", "device_fingerprint": "5cc4bfd62bba7929", "app_theme": "P24Light" } }, "attack_impact": "Massive Account Takeover (ATO). Злоумышленник может клонировать сессию и получить полный доступ к счетам и PII-данным без взаимодействия с пользователем." } }

VoidHackers

Сливать Hardcore Key банка Украины? 😶 5 реакций под этим постом - слив VoidHackers

Мы проанализировали весь массив доменов, собранных с gov.ua. 📊 Общее количество целей: 159 доменов (mil, rada, academia, суды, спецподразделения). 🛡 Из них примерно половина прикрыта Cloudflare или Akamai — ожидаемо. Среди них gur.mil.gov.ua (разведка), sof.mil.gov.ua (спецоперации), navy.mil.gov.ua, www.ncb.mil.gov.ua, kvl.mil.gov.ua, vdv.mil.gov.ua, amap.1551.gov.ua и большая часть rada.gov.ua. 🔥 Но вторая половина — голые. Без фильтрации, с прямыми IP и открытыми портами. Среди находок: Прямые IP и домены: · 8.47.69.0 — ps.mil.gov.ua, hups.mil.gov.ua, webmail.ps.mil.gov.ua, moodle.hups.mil.gov.ua, navy.mil.gov.ua, www.mil.gov.ua, 112.gov.ua · 8.6.112.0 — www.hups.mil.gov.ua, mail.ps.mil.gov.ua, srv1.ps.mil.gov.ua · 35.187.82.108 — academia.gov.ua, www.academia.gov.ua, cpcontacts.academia.gov.ua, cpcalendars.academia.gov.ua, webmail.academia.gov.ua, webdisk.academia.gov.ua, cpanel.academia.gov.ua, autodiscover.academia.gov.ua, mail.care.academia.gov.ua, omsbrmail.scrm.academia.gov.ua, web5.academia.gov.ua, en.academia.gov.ua · 92.112.182.119 — actionplan.gov.ua ⚠️ (MySQL наружу) · 185.13.5.58 — 6aas.gov.ua, www.6aas.gov.ua, mail.6aas.gov.ua · 213.239.199.197 — 4uth.gov.ua, www.4uth.gov.ua, profy.4uth.gov.ua · 185.185.254.58 — manager.1551.gov.ua, crm.1551.gov.ua, wiki.1551.gov.ua · 185.185.254.60 — exvpn.1551.gov.ua · 185.185.253.22 — new.1551.gov.ua · 77.88.192.117 — www.1551.gov.ua, amap.1551.gov.ua · 104.94.222.254 — acskidd.gov.ua, www.acskidd.gov.ua · 193.200.32.54 — mail.acskidd.gov.ua · 193.200.32.11 — ns1.acskidd.gov.ua · 193.200.32.12 — ns2.acskidd.gov.ua · 79.143.41.90 — mail.7aac.gov.ua · 185.46.151.229 — mail.hups.mil.gov.ua · 185.156.53.109 — 123.gov.ua, mtp.123.gov.ua · 5.181.249.103 — 1548.gov.ua · 195.149.114.21 — map.1551.gov.ua Критические точки входа: · actionplan.gov.ua (92.112.182.119) — MariaDB 11.8.6-log на порту 3306 открыта наружу. Брутим. · mail.ps.mil.gov.ua (8.6.112.0), webmail.ps.mil.gov.ua (8.47.69.0) — военные почтовики. · cpanel.academia.gov.ua, webmail.academia.gov.ua, webdisk.academia.gov.ua (35.187.82.108) — панели управления академии. · exvpn.1551.gov.ua (185.185.254.60) — VPN-шлюз. · crm.1551.gov.ua (185.185.254.58) — CRM-система. 📡 Сканирование продолжается.Весь арсенал в деле. По actionplan.gov.ua уже начали отрабатывать MySQL. Ждите новых постов. Будет горячо ;) @hackers_void

Нашими специалистами был получен полный доступ к конфиденциальным данным пользователей в популярном банковском приложении Privat24 через критическую уязвимость в архитектуре шифрования. В ходе глубокого анализа мобильного клиента был обнаружен скрытый статический ключ, который используется для защиты сессий, но при этом является идентичным для всех установок приложения. С помощью этой находки нам удалось полностью расшифровать локальные хранилища данных и извлечь активные токены авторизации, уникальные идентификаторы устройств и системные профили. Фактически это позволяет обходить двухфакторную аутентификацию и осуществлять полный захват аккаунта, предоставляя доступ к персональным данным, номерам карт и финансовой истории любого клиента, чьи локальные файлы оказались под угрозой. Таким образом, безопасность миллионов пользователей была скомпрометирована из-за одной критической ошибки в реализации механизмов защиты данных. Мы наблюдаем за вами VoidHackers