Codeby

Переговорщик по рансомвеару арестован ФБР: где заканчивается белый хакинг? Представьте: вы вызвали слесаря вскрыть замок в своей квартире. Он справился, но тайком снял копию ключа. Формально помог, фактически — получил доступ к вашему дому навсегда. Именно так выглядит обвинение против Эдварда Дубровского — канадского эксперта с 30-летним стажем в кибербезопасности, арестованного ФБР в октябре 2026 года. Человек руководил реагированием на инциденты, преподавал в университете, написал книгу, вёл переговоры с хакерскими группировками от имени жертв. А потом — два обвинения: сговор с целью вымогательства и вмешательство в межштатную коммерцию по Hobbs Act. Контекст шире, чем кажется. Переговорщик по рансомвеару — человек, который знает всё: какие данные украдены, сколько жертва готова заплатить, где её слабые места. И никакого формального контроля над тем, как он этой информацией распоряжается. Нет стандартизированных протоколов, нет обязательной сертификации, нет единых этических требований. Регуляторный вакуум в чистом виде. Параллельно с делом Дубровского всплыла группировка ShinyHunters, которая, по данным следствия, скомпрометировала более 140 организаций и получила свыше 70 миллионов долларов вымогательных платежей. Точка входа? Подрядчик, который не установил доступный патч. Один пропущенный апдейт — и в открытом доступе адреса сотрудников ФБР, их телефоны, медицинские данные, сведения о разведывательных заданиях. 🔑Но главный урок тут не про патчи. Он про границы. Закон не спрашивает о намерениях. В США CFAA определяет любой несанкционированный доступ как преступление — неважно, нашли ли вы уязвимость «во благо». В России картина не мягче: • Ст. 272 УК РФ — неправомерный доступ, до 7 лет • Ст. 273 УК РФ — вредоносные программы, до 7 лет • Ст. 163 УК РФ — вымогательство: нашли уязвимость и требуете деньги за молчание При этом в России до сих пор нет чёткого определения белого хакинга как легальной деятельности. По опросам, только 39% специалистов оценивают свою правовую защищённость как высокую. Четверо из десяти. Остальные шестеро — надеются, что пронесёт. 👉Что из этого следует для практиков? Без письменного scope-документа и rules of engagement — не трогай систему. Нашёл уязвимость случайно — сообщи через bug bounty или responsible disclosure. Никогда не храни и не используй чужие данные за пределами согласованного периметра. Дело Дубровского — напоминание, что грань между защитником и преступником тоньше, чем кажется. Подробный разбор с чек-листом для пентестеров — в полной статье. https://codeby.net/threads/granitsy-belogo-khakinga-arest-eksperta-fbr.95976/

Один документ, который отделяет red team от уголовного дела Оператор на проекте для финтеха нашёл, что тестируемое приложение обращается к API платёжного шлюза. Перешёл по эндпоинту, начал фаззить параметры — и уронил sandbox-среду провайдера на два часа. В Rules of Engagement не было ни строчки про третьи стороны. Итог — претензия от платёжной системы и урок, который стоил дороже контракта. ROE — не формальность для подшивки к договору. Это граница между авторизованной операцией и реальными проблемами с законом. И путать его с двумя другими документами — ошибка, которую допускают постоянно. ➡️Договор — юридическая рамка: стороны, стоимость, сроки, штрафы. Никаких технических деталей. ➡️Scope of Work — что тестируем: IP-диапазоны, домены, приложения, физические объекты. ➡️ROE — как тестируем: какие тактики разрешены, какие запрещены, кому звонить в три часа ночи, если сработала физическая охрана. SoW отвечает на вопрос «что входит в проект», ROE — «что оператор имеет право делать, стоя перед терминалом прямо сейчас». Без ROE каждое решение принимается на лету, и каждое такое решение — юридический риск. 🎇Главная ловушка в scope — не то, что перечислено, а то, что забыли перечислить. Грамотный ROE делит активы на четыре категории: • В scope — IP-диапазоны, домены, офисы, конкретные сотрудники для социальной инженерии • Вне scope — системы, которые нельзя трогать ни при каких условиях (production-базы, медоборудование, АСУ ТП) • Серая зона — всё, что не классифицировано явно: зафиксировать, прекратить взаимодействие, запросить авторизацию • Третьи стороны — облачные провайдеры, SaaS, партнёрские API Последний пункт — тот самый, который привёл к инциденту из начала поста. Доступ к приложению заказчика не означает автоматического права тестировать его хостинг-провайдера или shared-инфраструктуру. Ещё один момент, который часто упускают: формулировка цели операции. «Оценить защищённость» — бесполезная фраза, не ограничивающая оператора ничем. Рабочая цель выглядит так: «Определить, может ли внешний атакующий без инсайдерского доступа получить доступ к базе клиентов PCI DSS scope за 10 рабочих дней». Здесь задан тип операции, time-boxing и критерий успеха — спорить не о чем. То же касается запретов. «Соблюдать осторожность» — формулировка, которая заставляет разных людей принимать разные решения под давлением. Полезный запрет называет конкретное действие и его границу. 📌В полной статье — готовая структура ROE с примерами формулировок, разбор разрешённых и запрещённых TTP, маппинг на MITRE ATT&CK и рекомендации NIST. https://codeby.net/threads/rules-of-engagement-dlya-red-team-scope-i-riski.95949/

Из тысяч алертов за смену реальную угрозу несут единицы. Аналитик SOC находит их, восстанавливает картину атаки и реагирует раньше, чем инцидент обернётся ущербом. Курс «Профессия Аналитик SOC» от Академии Codeby — это 7,5 месяцев практики: от первой линии мониторинга до расследования сложных атак на уровне L2. Курс стартует 19 октября. Что изучаем: ⏺️SIEM и IRP/SOAR: поиск, фильтрация и обработка алертов ⏺️логи Windows, Linux, Active Directory и FreeIPA ⏺️анализ сетевого трафика, фишинга и атак на веб-сервисы ⏺️разработку правил детектирования и анализ ВПО ⏺️MITRE ATT&CK, Threat Intelligence и Threat Hunting Формат: видеоуроки, лаборатория с постоянным доступом, экзамены на реальных сценариях атак. Если вы уже знакомы с работой первой линии SOC, начать обучение можно с уровня L2 — на курсе «Аналитик SOC L2». Длительность — 4 месяца. Вы научитесь реагировать на APT и Ransomware, выявлять атаки Living off the Land, анализировать ВПО и дорабатывать правила детектирования, чтобы отсекать ложные алерты. Формат: видеоуроки, лаборатория с постоянным доступом, экзамен на реальных сценариях атак. Старт курса «Аналитик SOC L2» — 9 ноября ➡️Посмотреть программу и записаться 🪧По вопросам — @CodebyAcademyBot

🔎Скрапер не ломает — он просто читает. И в этом главная проблема В 2023 году Chess.com подтвердила утечку данных миллионов профилей. Ни SQL-инъекций, ни компрометации серверов — атакующий просто отправлял валидные GET-запросы к публичному API, подставляя юзернеймы из словаря. Каждый запрос по отдельности выглядел абсолютно легитимно. SIEM молчал. Алертов — ноль. И это не уникальный случай. Паттерн один и тот же: предсказуемые идентификаторы, одинаковый throttling на всех эндпоинтах и полное отсутствие детектирования до момента, когда дамп уже в продаже. ❓Зачем скраперу ваши профили? Не стоит недооценивать «просто чтение». Собранные email, username, дата регистрации и привязанные соцсети — это топливо для: ⏺️Credential stuffing — если email активен на вашей платформе, атакующий прицельно бьёт по нему паролями из других утечек ⏺️Таргетированного фишинга — «Поздравляем с рейтингом 1800, подтвердите аккаунт» работает в разы лучше массовой рассылки ⏺️Перепродажи на теневых площадках — базы с tier-статусами подписчиков имеют прямую коммерческую ценность По OWASP API Security Top 10 это сразу два риска: Unrestricted Resource Consumption и Unrestricted Access to Sensitive Business Flows. 🎯Как распознать скрапера в логах? Вот реальная картина из практики. Эндпоинт /api/v2/users/{id} за выходные обработал в 40 раз больше запросов, чем обычно. RPS с одного /24-подсета — стабильные 12 запросов в секунду, ровно на 2 ниже порога rate-limiter'а. Кто-то аккуратно подобрал скорость. Что выдаёт бота: • Интервал между запросами 83±2 мс — такая периодичность невозможна для человека • Один и тот же User-Agent без единой вариации за 48 часов • Последовательный перебор ID: /api/user/1001, /api/user/1002, /api/user/1003 • Нет навигационного контекста — бот бьёт только в один эндпоинт, как дятел • IP из хостинг-подсетей (DigitalOcean, Hetzner, OVH) • Доля 404-ответов выше 30% — перебор несуществующих ID 📌Ключевой принцип для SOC: алерт должен срабатывать на паттерн, а не на единичный запрос. По данным Cequence, GET-запросы — это до 99% всех транзакций типичного домена. Инструменты, заточенные под анализ POST, этот вектор просто не видят. Для РФ контекст ещё жёстче: с 2024 года штрафы за утечку персональных данных стали оборотными. Если регулятор установит, что API работал без базового rate limiting — аргумент «мы не знали» не спасёт. В полной статье — конкретные SIEM-правила, архитектура защиты и пошаговый план реагирования⬇ https://codeby.net/threads/kak-zashchitit-sya-ot-skrapinga-dannykh-gaid-soc.95935/

Что такое SOC? Центр обеспечения безопасности (SOC) помогает улучшать обнаружение угроз для организаций, а также предоставляет возможности предотвращения угроз за счет объединения и координации всех технологий и процессов в сфере кибербезопасности. Что делает SOC? SOC активности и задачи разделяются на 3 основные категории: (Подготовка, планирование и профилактика), (Мониторинг, обнаружение и ответ) и (Восстановление, доработка и обеспечение соответствия требованиям). Подготовка, планирование и профилактика: Для обеспечения максимального уровня безопасности организации Центр оперативного управления безопасностью (SOC) должен вести полный учет активов, выполнять плановое обслуживание и планировать действия по реагированию на инциденты, а также проводить регулярные проверки, постоянно отслеживая актуальную информацию о новых угрозах и технологиях. Мониторинг, обнаружение и ответ: SOC обеспечивает непрерывный круглосуточный (24/7/365) мониторинг и управление журналами событий в ИТ-инфраструктуре с использованием технологий SIEM и XDR. Это позволяет отделять реальные угрозы от ложных срабатываний и оперативно - зачастую в автоматическом режиме - реагировать на инциденты, минимизируя ущерб от действий злоумышленников и выявляя первопричины атак. Восстановление, доработка и обеспечение соответствия требованиям: После инцидента SOC обеспечивает восстановление и устранение последствий, нейтрализуя угрозы и возвращая затронутые активы в исходное состояние; проводит последующий анализ для выявления закономерностей и совершенствования политик безопасности с целью защиты от будущих уязвимостей, а также контролирует соблюдение нормативных требований, касающихся конфиденциальности данных и обязательного уведомления об утечках. Узнать больше о работе SOC можно здесь: https://codeby.net/threads/analitik-soc-s-chego-nachat-instrumenty-navyki-i-plan-vyzhivaniya-v-pervyye-90-dnei.92864/ #soc #blueteam 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🧿 Как браузер получает страницу Вы вводите адрес сайта, и через долю секунды видите страницу. За это время клиент и сервер успевают обменяться целой серией сообщений. Именно так это происходит: ▶️ DNS. Браузер узнаёт IP-адрес сервера по имени сайта. ▶️ TCP-рукопожатие. SYN → SYN-ACK → ACK: клиент и сервер договариваются о соединении на порту 80. ▶️ HTTP-запрос. Сразу за ACK уходит GET /index.html. ▶️ Обработка. Свободный воркер сервера читает файл с диска. ▶️ Ответ 200 OK. HTML возвращается клиенту, разбитый на TCP-сегменты. ▶️ Рендер. Браузер разбирает HTML и рисует страницу. ▶️ Keep-alive. Соединение остаётся открытым, и следующий запрос обходится без рукопожатия. 🔎 При задержке 20 мс в одну сторону весь цикл занимает около 112 мс. Для HTTPS добавляется ещё TLS-рукопожатие на порту 443. 🧠 Эти этапы полезно знать при анализе трафика, расследовании инцидентов и разборе логов веб-сервера: каждый из них оставляет свои следы. #сети #HTTP #TCP #веб #основы 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

💫 Система упала. Найди причину!

Ночная смена. Админ просыпается от того, что всё горит. Перед вами — панель мониторинга. На ней 6 аномалий, они связаны, это одна история.

Ваша задача: ▶️Найти все 6 аномалий ▶️Понять, что произошло ▶️Назвать атаку или причину сбоя ⬇ Пишите свои варианты в комментариях! 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Веб-пентест — это умение самостоятельно исследовать приложение и выстраивать цепочки уязвимостей. 🎇Именно этому учит онлайн-курс «Тестирование Веб-Приложений на Проникновение (WAPT)» от Академии Codeby — 4 месяца практики под руководством действующих пентестеров. Что внутри: ⏺️поиск и эксплуатация уязвимостей из OWASP Top 10: SQLi, XXE, SSTI, SSRF, обход авторизации и другие ⏺️работа с Burp Suite, nmap, ffuf, wfuzz, nuclei, sqlmap, WPScan, nikto ⏺️методологии веб-пентеста и автоматизация рутинных задач ⏺️66 практических заданий разной сложности в собственной лаборатории ⏺️еженедельные вебинары, где вы с кураторами разбираете сложные моменты Кураторы курса — действующие пентестеры: ⏺️Руслан Русланов — десятки успешных пентестов крупных компаний и банковского сектора ⏺️Александр Медведев (Bearsec) — трехкратный победитель Standoff в составе команды Codeby, топ-20 багбаунти-рейтинга standoff365 и топ-10 Standoff Hacks 2026 🎁Бонус для этого потока: выпускники получат фирменный печатный сертификат Академии Codeby с доставкой. Доступна поэтапная оплата — от 5 433 рублей в месяц. Старт потока — 22 октября. ➡️Узнать программу и записаться Бесплатная консультация — @CodebyAcademyBot

🎇Как отличить полезный ИБ-канал от информационного мусора за 30 секунд Полтора года назад у меня было 40+ подписок по кибербезопасности и 847 непрочитанных сообщений. Половина каналов дублировала одни и те же новости, треть репостила чужие скриншоты без контекста, а настоящие write-up'ы я находил случайно перед сном. Знакомо? После ревизии осталось 12 каналов. Через месяц лабы на TryHackMe стал закрывать быстрее, потому что наконец читал осмысленно, а не сканировал заголовки по диагонали. Вот три типа каналов, которые стоит различать до подписки: 📌Авторский блог — автор пишет от своего имени, разбирает техники, делится результатами лабораторных работ. Признаки: связный текст, ответы в комментариях, повторяющиеся рубрики, команды вроде nmap или Burp Suite в постах. 📌Агрегатор — собирает публикации из нескольких источников с минимальным комментарием. Широкий охват повестки, но глубины нет. Годится для мониторинга, не для обучения. 📌Репост-помойка — механический дубль постов из других каналов без добавленной ценности. Кликбейтные заголовки, ноль авторского текста, каша из тем. Таких — большинство. Проходим мимо. Быстрый чек перед подпиской: откройте канал, пролистайте 20 последних постов. Если больше половины — голые ссылки без комментариев, это агрегатор. Если есть разборы с командами и скриншотами терминала — авторский блог. Если всё вперемешку без логики — не тратьте время. А теперь главное — что конкретно читать новичку? Типичная болезнь подборок — сваливать в кучу всё от OSINT до промышленной безопасности АСУ ТП. Без фильтра по уровню входа это бесполезно. Несколько каналов, проверенных на практике: • Авторские блоги с write-up'ами по этичному хакингу — те, где показывают не просто «нашли уязвимость», а почему она критична и каков вектор эксплуатации • Каналы по OSINT — разведка на основе открытых источников, это первый этап любого пентеста (по MITRE ATT&CK — техника Reconnaissance) • Сообщества с живым чатом — где можно задать вопрос по конкретной лабе и получить ответ от практиков • Каналы по социальной инженерии — на реальных пентестах нетехническая сторона часто решает больше, чем privilege escalation через LinPEAS Важный совет: подпишитесь на каналы по threat intelligence уже сейчас, даже если пока не всё понятно. Через полгода те же тексты будут читаться совсем иначе. Полный список каналов с пояснениями и критериями отбора — в статье на форуме⬇ https://codeby.net/threads/telegram-kanaly-po-kiberbezopasnosti-dlya-novichkov.95927/

❗️ Новости недели (5 – 11 октября) Разбираем главные события недели: ЦОДы «Яндекса», ИИ находит вдвое больше дыр, DDoS вырос на 61%. 1️⃣Три дата-центра «Яндекса» вышли из строя за четыре дня Беспилотники нарушили работу трёх ЦОДов «Яндекса» - в Рязанской области, Калуге и Владимирской области. Два объекта остановлены полностью, один повреждён частично. ▶️в ночь на 8 октября удар пришёлся по площадке в Сасово Рязанской области (около 12 МВт, полная остановка) ▶️9 октября Калуга (более 3,8 тысячи серверных стоек и 63 МВт, объект выведен частично) ▶️в ночь на 11 октября Владимирская область (порядка 40 МВт, работа остановлена полностью)

У «Яндекса» всего пять собственных дата-центров.

▶️последствия ощутили около 10 основных сервисов компании, включая «Яндекс Go» и «Почту» ▶️Yandex Cloud перешёл в аварийный режим, а клиентам рекомендовали готовиться к альтернативным планам восстановления ▶️сбои затронули и арендаторов серверов ▶️акции «Яндекса» 9 октября просели почти на 4%, а после третьей атаки ещё почти на 6%.

Сроки восстановления компания не называет.

2️⃣Японские банки нашли вдвое больше уязвимостей С апреля 2026 года, после выхода модели Claude Mythos от Anthropic, крупные японские банки фиксируют двукратный рост числа найденных уязвимостей. ▶️модель выявила более 23 тысяч потенциальных дыр в открытом ПО (включая «20-летние баги», которые годами ускользали от ручных проверок) ▶️из 1596 уязвимостей, о которых Anthropic уведомила разработчиков, патчи получили лишь 97 3️⃣Только 14,6% российских компаний закрыли все критические уязвимости Исследование цифрового периметра 23 тысяч российских компаний показало неутешительную картину. ▶️за первое полугодие 2026 года полностью устранить критические уязвимости смогли лишь 14,6% организаций ▶️ещё 30,8% сократили число проблем ▶️у 53,5% состав критических уязвимостей вообще не изменился ▶️средний уровень защищённости внешнего периметра российского бизнеса 6,7 балла из 10

Разрыв между тем, что находят, и тем, что реально чинят, никуда не исчез.

4️⃣Мошенники переключились на налоги и iPhone 18 В сентябре специалисты зафиксировали несколько свежих мошеннических схем. ▶️злоумышленники рассылали сообщения о якобы неисполненных налоговых обязательствах от имени госведомств ▶️предлагали бонусы на топливо ▶️играли на интересе к выходу iPhone 18 ▶️использовали тему пенсионных выплат

Каждый раз схема одна и та же: приманка под актуальное событие, а дальше социальная инженерия. Мошенники реагируют на повестку быстрее, чем многие компании успевают предупредить клиентов.

5️⃣DDoS-атаки на российский бизнес выросли на 61% В третьем квартале 2026 года число DDoS-атак на российские компании выросло на 61% год к году. ▶️сильнее всего досталось ретейлу (34% всех атак и рост на 83%) ▶️логистика получила 22% атак ▶️телеком 18% ▶️мощность отдельных атак доходила до 3 Тбит/с ▶️особенно уязвимыми оказались небольшие региональные компании, чья инфраструктура просто не рассчитана на такую нагрузку Источник: https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-5-9-oktyabrya-2026-goda.html #ИБ #кибератаки #уязвимости #Яндекс #DDoS #ClaudeMythos #news 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Ищешь баги? Здесь ищут тебя. Вилка: 160–220 тысяч ₽ на руки. ООО «Артис» набирает Web Pentester уровня Middle на коммерческие проекты. Нужен человек, который умеет вручную находить и эксплуатировать веб-уязвимости, уверенно работает с Burp Suite и может объяснить находку в отчёте с PoC. В задачах: SQLi, LFI/RFI, SSRF, SSTI, Command Injection и обход WAF. В плюс — PortSwigger Academy, HackTheBox и TryHackMe. Санкт-Петербург. Офис, полная занятость. Не удалёнка и не стажировка. Обеды за счёт компании. 👇 Открой требования: возможно, следующий отклик стоит отправить именно сюда. https://codeby.net/threads/web-pentester.95940/

35 из 40 резюме — в корзину. Что не так с junior-пентестерами? За последний квартал я отсмотрел больше сорока резюме на позицию junior pentester. Тридцать пять из них — под копирку: «Kali Linux, Burp Suite, Nmap. 15 машин на HTB. Сертификат CEH». Ни одно не дошло до технического интервью. Проблема не в знаниях — в подаче. 🔎Лид тратит на резюме 20–30 секунд. За это время он ищет не список инструментов, а три сигнала: • Контекст вместо перечисления. Строка «Nmap, Burp Suite, Metasploit» — как список покупок. Видно, что ходил в магазин, но непонятно, умеешь ли готовить. А вот «Провёл внутренний пентест сегмента на 150 хостов, обнаружил Kerberoasting-вектор через сервисный аккаунт с SPN, восстановил пароль hashcat за 4 часа» — тут уже видно, что человек понимает суть. • Результат вместо процесса. «Изучал OWASP Top 10» — процесс. «Нашёл Blind SQL Injection в форме авторизации стенда, автоматизировал эксплуатацию через sqlmap --technique=T, извлёк 12 таблиц» — результат. Первая формулировка летит в корзину, вторая попадает в шорт-лист. • Честность в грейде. Кандидат пишет «опыт пентеста Active Directory», а на собеседовании не может объяснить разницу между Kerberoasting и AS-REP Roasting. Минус не за незнание, а за враньё. Честный junior всегда ценнее раздутого «мидла». ➡️Отдельная боль — портфолио. Я видел кандидатов с 50 решёнными машинами, которые не могли объяснить, почему nmap -sS отправляет SYN без завершения three-way handshake. И видел тех, у кого 8 машин, но каждая разобрана до винтика с writeup на три страницы. Угадайте, кто получал оффер. Пять качественных writeup-ов на GitHub ценнее пятидесяти флагов без объяснения. Хороший writeup — не скриншот флага, а документ, показывающий мышление: разведка → гипотезы → эксплуатация → постэксплуатация → рекомендации по защите. Кандидат с таким портфолио автоматически проходит в следующий раунд — я вижу, как он думает, ещё до встречи. 🎇Ещё один сильный сигнал — хотя бы один принятый отчёт в bug bounty. Живой продукт вместо учебной среды — это совсем другой уровень доверия. Даже простой скрипт на Python, который парсит результаты Nmap и подсвечивает точки входа, покажет больше, чем строчка «знаю Python» в резюме. В полной статье — разбор трёх блоков технического интервью, конкретные формулировки для резюме и чек-лист подготовки к собеседованию. https://codeby.net/threads/kak-stat-pentesterom-s-nulya-glazami-timlida.95888/

Ты ещё используешь Sherlock или уже перешёл на что-то другое? Прогоняешь никнейм, получаешь сотню «найдено». Открываешь ссылки: половина ведёт на дефолтный шаблон или редирект на главную. Сайт отдаёт 200, Sherlock считает это хитом, а реального аккаунта там нет. Можно проверять руками: искать никнейм в теле страницы и отсеивать мусор. Но на сотне ссылок это боль. Есть Maigret, который обещает фильтровать ложные срабатывания умнее. Есть WhatsMyName с отдельными правилами проверки под каждый сайт. Оба выглядят как апгрейд, но кто из них реально работает в поле? Sherlock, Maigret или третий вариант?

🚩 Новые задания на платформе HackerLab! 🧰 Категория PWN — Я в своём познании настолько преисполнился Приятного хакинга!

✈️ Telegram Desktop — критическая уязвимость в обработке tg://-ссылок (CVE-2026-107181)

В Telegram Desktop обнаружена уязвимость, позволяющая по одному клику на ссылку отправить файлы с компьютера жертвы в канал злоумышленника — без запроса подтверждения. Для атаки не требуется доступ к устройству или аккаунту, достаточно открыть специально сформированную ссылку.

🔎 Где находилась проблема Запущенные экземпляры Telegram Desktop обмениваются командами через внутренний IPC-механизм. Отдельные команды в этой строке разделяются символом ;, но при обработке tg://-ссылок этот разделитель не экранировался. Из-за этого в параметр ссылки можно вставить ; и дописать после него собственную команду, например OPEN: с устаревшей схемой interpret:. Она изначально использовалась для внутренних сценариев автоматической публикации релизов в каналы, но, как оказалось, её можно запустить и через обычную ссылку. ❗️ Что мог получить атакующий 📉 файлы из каталога tdata, включая данные сессии — в части сценариев это позволяет клонировать сессию жертвы и перехватить аккаунт; 📉 документы и конфигурационные файлы, SSH-ключи, данные криптокошельков — любые файлы, доступные процессу Telegram на диске. Файл уходит в канал атакующего напрямую, без привычного окна подтверждения отправки. Код-пароль приложения от этой атаки не защищает и не ограничивает доступ клиента к файлам на диске. ❓ Как исправили Уязвимость закрыта в Telegram Desktop 7.2.9. В обновлении: ⏺️ символ ; в tg://-ссылках теперь экранируется; ⏺️ локальные пути отбрасываются, если вместе с ними передаётся внешняя ссылка; ⏺️ устаревший обработчик interpret: убран из клиента. ❗️Обновитесь до 7.2.9 или новее❗️ #Telegram #CVE #TelegramDesktop #Cybersecurity #InfoSec #Vulnerability #0day #AccountTakeover 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Как прошла Кибербитва GIS DAYS 2026: подробности нашего участия в соревнованиях ➡️В прошлом посте мы рассказывали, что наша команда HackerLab заняла 4 место на «Киберарене» Капитан нашей команды Магомед-Эми Межидов написал статью о том, как проходили два дня соревнований🚗 В статье: 👌четыре инфраструктуры: Банк, Нефтегаз, Университет и Госсектор; 👌как устроено противостояние Red Team и Blue Team; 👌как ИИ-агент принёс нам штраф в 50 000; 👌сколько мы заработали и как номинация Kill Chain помогла отбить потерю. Делимся впечатлениями от двух дней соревнований — рассказываем, что получилось особенно хорошо, где допустили ошибки и какие выводы сделали на будущее ➡️Читать статью

20 октября в 12:00 (мск) пройдёт бесплатный вебинар «Мониторинг событий безопасности в MWS Cloud Platform». Разработчики сервиса: ✅ Расскажут про возможности сервиса аудитных логов в облаке MWS Cloud Platform Покажут в прямом эфире, как экспортировать их в SIEM-системы ✅ Вебинар будет полезен CISO, ИБ-специалистам, DevOps-инженерам и SOC-специалистам. Регистрируйтесь, подключайтесь к прямому эфиру и задавайте вопросы в чате. 🗓 20 октября в 12:00 Зарегистрироваться

Oleobj: извлечение встроенных объектов из OLE-файлов

oleobj — это инструмент из пакета oletools, предназначенный для извлечения встроенных объектов из OLE-файлов (Microsoft Office 97-2003, MSI, Outlook-сообщения и другие). Он позволяет обнаруживать и сохранять объекты, которые могут содержать вредоносный код, включая исполняемые файлы, скрипты и документы, встроенные в контейнеры OLE.

👉 Основные возможности - извлечение встроенных объектов из OLE-файлов - поддержка рекурсивного поиска в поддиректориях - работа с ZIP-архивами, содержащими OLE-документы - сохранение извлечённых объектов в указанную директорию - режим подробного логирования для отладки - обнаружение начальной стадии эксплуатации CVE-2021-40444 ⬇️ Установка

sudo apt install oletools

Проверка

oleobj -h

⏺️ Базовое извлечение объектов

oleobj document.doc

⏺️ Извлечение объектов в указанную директорию

oleobj -d ./extracted malicious.doc

⏺️ Рекурсивный анализ всех файлов в каталоге

oleobj -r /path/to/documents/

⏺️ Подробный режим с логированием

oleobj -V document.doc

#oleobj #oletools #malwareanalysis #security #forensics #tool 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером