Этичный Хакер

📖 OSINT: Поэтапная методика расследования Замечая за коллегами, не буду таить, и я порой пренебрегаю важными аспектами разведки, (будь то по открытым источникам или не совсем 😐 ) что приводит к потери необходимой информации об объекте, которая может перевернуть ранее сформированное представление или открыть новые горизонты к поиску информации. В процессе вспомнил ситуацию, в которой проводил анализ физ.лица, так вот — я чутка обосрался, так как пренебрёг одним из фундаментальных инструментов поиска. Коллега Шварц помог советом, что как раз таки расширило представление об объекте процентов на 20-30% 1. Планирование: «Пойди туда — не знаю куда, принеси то — не знаю что» В первую очередь, определяем цель поиска и вектор направления. Имея немного опыта у вас будет представление где искать, многое зависит от поставленной задачи, и речь здесь может идти как о составлении справках на физ.лиц, проверок компаний и её учредителей а может и вовсе точечный поиск со спутника (направлений масса, под каждый имеется свой арсенал инструментов - раз, два, список будет дополняться, следим за каналом) 2. Поиск и сбор информации: На данном этапе нет универсального алгоритма, зачастую цель уникальна и копать под неё необходимо с учётом особенностей. В некоторых случаях информация с которой можно работать лежит на поверхности, а порой иницируется полноценный мониторинг и постепенный сбор, иногда даже с использованием соц.инженерии, тут стоит отметить, что есть два вида сбора информации: активный и пассивный. (имеются ИИ-помощники: раз, два, распространяются на все этапы, их возможности велики) ❗️ Важный момент — сначало формируем массив, а уже после приступаем к анализу собранной информации. 3. Анализ: Первым делом — фактчекинг, проверяем насколько достоверен источник перед нами, а также насколько информация логична и непротиворечива (на пути вам могут встретиться люди знакомые с термином Counter-OSINT, всячеки запутывая и вводя вас в заблуждение) Далее, исходя из имеющейся информации понимаем, в каком направлении стоит двигаться дальше. Стоит отметить, что в процессе анализа вы откроете для себя много нового, а значит стоит вернуться на шаг назад и вновь произвести поиск. 4. Отчёт: Фиксация собранной информации, мы с вами не роботы, многое забывается и к тому же воспринимать массив будет гораздо проще в структурированном виде.(речь идёт о тривиальных записях в блокноте, таблицах или майндкартах) Последнее будет самым подходящим в случае большого массива, когда голова так и норовит взорваться. Для самых маленьких, майндкарты — это схемы связей и детализации «‎от общего к частному» ‎(выделить могу: раз, два, три) Одной из важных особенностей майндкарт можно выделить возможность осознания взаимосвязи или закономерности, о которой ранее и подумать не мог. #OSINT #Methodology | 😈 @secur_researcher

😈 Пентест веб-сайта с помощью OWASP ZAP OWASP ZAP - это сканер безопасности веб-приложений с открытым исходным кодом, который стал одним из наиболее широко используемых инструментов для динамического тестирования безопасности приложений (DAST), поддерживаемых OWASP. — Защита веб-приложения имеет решающее значение, поэтому осваивать пентест инструменты приходится и самим разработчикам. Есть и мощные фреймворки для пентеста WordPress (WPScan) но ведь не все пользуются этой CMS, поэтому в этом посте рассмотрим универсальный пентест-инструмент OWASP ZAP (Zed Attack Proxy). 🗣 Ссылка на чтиво ‼️ Также прикрепляю другие полезные материалы по теме #ZAP: - ТОП-10 плагинов для OWASP ZAP - Межсайтовый скриптинг (XSS) #Web #OWASP #ZAP #Пентест | 🧑‍💻 Этичный хакер

😈 Чернуха трепещи: GCN отслеживает блокчейн Новая методика с использованием Machine Learning, позволяет выявлять преступную деятельность в блокчейне Bitcoin, включая отмывание денег и передачу средств на подозрительные кошельки.

В ходе исследования был проанализирован 26-гигабайтный массив, содержащий 122 тысячи маркированных подграфов в пределах блокчейна, включающего 49 миллионов узлов и 196 миллионов транзакций. GCN определила связи между кошельками и транзакциями, связанными с незаконной деятельностью.

❗️ Исследование применило три метода классификации подграфов: GNN-Seg, Sub2Vec и GLASS, что позволило выявить множество счетов криптобирж, потенциально занимающиеся нелегитимной деятельностью. — Использование GCN на уровне подграфов позволяет предсказать, являются ли определённые транзакции преступными или нет, в отличие от традиционного анализа уже заведомо нелегитимных криптокошельков. #News #ML #Blockchain #Bitcoin | 🧑‍💻 Этичный хакер

⚡️ Приглашаем на новый курс "Анализ фишинговых атак" от Академии Кодебай. ЧТО ВНУТРИ КУРСА? - Изучение сложных фишинговых атак - Инструменты по созданию страниц, утилиты по формированию файлов для рассылки - Применение технологий социальной инженерии и OSINT - Особенности современной защиты от фишинга КОГДА НАЧИНАЕТСЯ КУРС? 15 мая, длительность 2,5 месяца По завершении вы получите Сертификат / Удостоверение о повышении квалификации  ЧТО ЗА АКАДЕМИЯ КОДЕБАЙ?  🥇 The Codeby, топ-1 команда по этичному хакингу, пятикратный чемпион the Standoff 2019 — 2023 🤝 Крупнейшее сообщество и форум по информационной безопасности с 2003 Учитесь у лучших! Личный менеджер @Codeby_Academy Телефон +74994441750

😈 Самый разыскиваемый хакер приговорен к 6 годам тюрьмы в Финляндии 26-летний хакер Юлиус Кивимяки приговорен к 6 годам лишения свободы. Суд признал Кивимяки виновным более чем в 9 200 случаях распространения информации, посягающей на частную жизнь людей, более чем в 20 000 случаев попыток шантажа и в 20 случаях вымогательства. — По данным полиции, около 22 000 жертв сообщили о попытках вымогательства до €500 с каждого. Изначально Кивимяки потребовал у Vastaamo 40 BTC, но компания неохотно шла на контакт, поэтому он попытался зайти с другой стороны. Хакер начал рассылать письма клиентам, требуя разные суммы, от €200 до €500 евро, и обещая взамен не разглашать подробности их сессий с психологами. ❗️ Самое примечательное, что вся крипта проходила через Monero и полиция смогла отследить транзакции, до этого дела, XMR считалась полностью анонимной и неотслеживаемой. #News #TrueCrime | 🧑‍💻 Этичный хакер

⚠️👁👁👁 💻 Хочешь быть в курсе всех новостей SKAM мира? - Встречай TalkTheNews. ⚠️ Пока 👮 👮 🕵️‍♂️ накрывают новую скам тиму, люди - дают нам интервью в которых ты можешь узнать ВСЁ из Скам-Мира. 🛡 Мы говорим о безопасности, и мы предостерегаем вас от скама - в нашем канале вы сможете найти Скам-Лист с людьми, не дайте обмануть себя. 🔈Нас слушают, начни слушать и ты. 🚀 Актуальная ссылка на канал: https://t.me/+6yGeqtaaGnU3OTVi ✉️ Ссылка на чат с админами - https://t.me/+8NCMRfWYBXJiOWFi

😈 XKEYSCORE: Глаз бога, следящий за всем миром Ранее мы поднимали тему принципов работы систем глобального мониторинга АНБ, а точнее Turbine и Turmoil, и вам понравилось, ныне на очереди - XKEYSCORE. Согласно данным, XKeyscore «кормится» потоками данным, собирая их прямиком с оптоволоконных кабелей по всему миру. Собранные данные хранятся на серверах агентства 3-5 дней, а метаданные и вовсе до 45 дней.

«Я, сидя за столом, — сказал Сноуден, — могу прослушивать любого, включая вас или ваш бухгалтера, до федерального судьи или даже президента, если у меня есть адрес личной электронной почты»

— XKeyscore позволяет АНБ перехватывать чаты, email, а также: «фотографии, документы, голосовые звонки, нажатия клавиш, логины и пароли, Skype-звонки, файлы, загружаемые в онлайновые сервисы, фото с веб-камер, истории поисковых запросов, анализ рекламного трафика, трафик социальных медиа, трафик ботнетов, CNE таргетинг». 👀 Кроме того, выяснилось, что XKS очень проста в использовании, и не требует глубоких познаний. Более того, интерфейс XKEYSCORE не сложнее интерфейса поиска Google. Для просмотра сообщений, аналитику необходимо: ввести адрес электронной почты человека в простую форму онлайн-поиска, с указанием обоснования для поиска и периода, за который необходимы письма. Так сотрудникам АНБ понадобилось всего лишь набрать email-адреса определенных сотрудников ООН в XKeyscore, чтобы получить доступ к их приватным беседам в 2013 году. Известно так же о неком лидере Аль-Каиды, который гуглил себя, а АНБ успешно отслеживало его активность посредством XKEYSCORE. ❗ Также прикрепляю другие полезные материалы по теме #Spy: - Великобритания приняла законопроект о тотальном цифровой слежке - Методы противодействия незаконной слежки - Каким образом спецслужбы отслеживают пользователей мессенджеров (без доступа к устройству и ключам) #NSA #Spy #Recon | 🧑‍💻 Этичный хакер

❗️ Критическая брешь в R позволяет хакерам устроить атаку на цепочку поставок В языке программирования R обнаружена критическая уязвимость, получившая обозначение CVE-2024-27322, оценена в 8.8 балла из 10 по шкале CVSS. Проблема связана с процессом десериализации данных в R, то есть с преобразованием объектов, закодированных в форматах, таких как JSON, XML и binary, обратно в их исходную форму для использования в приложении или программе. — Язык R особенно он популярен среди разработчиков в сферах финансовых услуг, здравоохранения, научных исследований, государственного управления и в средах, связанных Big Data, такими как ИИ и машинное обучение. #News #R #CVE | 🧑‍💻 Этичный хакер

😈 Разрабы на седьмом небе: в VSCode внедрили пять нейросетей Данные нейросети бесплатно пишут, фиксят и объясняют весь код, а если вдруг результат не удовлетворил ваших потребностей — можно тут же выбрать другую нейронку. ❗️ Как подключить ИИ в VSCode: 1. Создаем аккаунт в NVIDIA AI здесь. 2. Жмём на любую модель и кликаем «Get API key». 3. Скачиваем расширение CodeGPT в VSCode. 4. В нём выбираем провайдера NVIDIA и вставляем скопированный API-ключ. 5. Всё готово — Llama-3, Mixtral, Gemma, Phi-3 и другие доступны в среде разработки. #News #VSCode #Dev #ИИ | 🧑‍💻 Этичный хакер

😈 Взлом сейфа SentrySafe с помощью Flipper Zero Исследователь безопасности, продемонстрировал способ взлома некоторых электронных сейфов SentrySafe с использованием устройства Flipper Zero и эксплуатации уязвимости в протоколе управления контроллера(UART). — В подробном видео показан процесс реверс-инжиниринга принципа работы сейфа, использующего соленоид для блокировки/разблокировки механизма запирания двери. Осуществляется перехват данных, передаваемых по протоколу UART от панели ввода ПИН-кода к основному контроллеру сейфа. #FlipperZero #ReverseEngineering #Vulnerability | 🧑‍💻 Этичный хакер

🖥 Исходный код MS-DOS 4.0 опубликовали на GitHub Microsoft объявила о публикации исходного кода MS-DOS версии 4.0. Раскрытие кода стало возможным благодаря сотрудничеству с IBM и проводится под лицензией MIT. Этот шаг является частью инициативы по поддержке открытой инновации. — Версия 4.0 вызывает особый интерес у энтузиастов, так как данный релиз был разработан совместно с IBM. Исторические материалы MS-DOS 4.0, включая исходный код, бинарные файлы и документацию, теперь также доступны на GitHub. Скотт Хансельман и интернет-архивист Джефф Спонаугл восстановили данные с оригинальных дискет, полученных от Оззи. Эти материалы, известные как «Ozzie Drop», включают редкие версии программного обеспечения и исходный код «ibmbio.com». #Microsoft #GitHub #DOS | 🧑‍💻 Этичный хакер

😈 Великобритания приняла законопроект о тотальном цифровой слежке Внесённые изменения значительно расширят возможности слежки, предусмотренные Законом о следственных полномочиях от 2016 года, которым до этого момента и пользовались разведывательные службы, полиция и некоторые чрезвычайные службы страны.

Среди ключевых нововведений: возможность слежения за интернет-соединениями подозреваемых, что позволит определить, к каким сервисам, приложениям или веб-сайтам было выполнено подключение, а также куда звонил пользователь, где он находился и когда это происходило.

- Особое беспокойство вызывает поправка, обязывающая технологические компании консультироваться с правительством Великобритании перед внедрением обновлений безопасности в ПО. ❗ Также прикрепляю предыдущие материалы по теме #Spy: - Раскрыта секретная система глобального мониторинга АНБ - Принцип работы секретной системы глобального мониторинга АНБ - Каким образом спецслужбы отслеживают пользователей мессенджеров #News #Spy #UK | 🧑‍💻 Этичный хакер

💻 K8s LAN Party — сборник задач по поиску уязвимостей в кластере Kubernetes прямо в браузере На этот раз расскажу о инструментах, которые помогают научиться защищать кластеры Kubernetes. K8s LAN Party - это набор из пяти CTF-сценариев, в которых пользователю нужно найти уязвимости в кластере Kubernetes. Каждый сценарий посвящен проблемам сети Kubernetes. ❗️ Выход инструмента был приурочен к прошедшей в марте этого года конференции KubeCon EMEA 2024. - В статье речь пойдёт о том, зачем нужен этот инструмент, а также пройдём все сценарии, которые предлагает K8s LAN Party, и поделюсь мнением о том, насколько это классный инструмент и кому он будет полезен. 🗣 Ссылка на чтиво ‼️ Также прикрепляю другие полезные материалы по теме #Kubernetes: - Kubeshark — мониторинг и анализ Kubernetes - Kubernetes Pentest All‑in‑One: The Ultimate Toolkit #Kubernetes #CTF #DevOps | 🧑‍💻 Этичный хакер

😈 Ликбез по распространенным Client-Side уязвимостям Client Side-уязвимости — слабые места или ошибки в ПО, на стороне пользователя (обычно в контексте веб-браузера или мобильного приложения), которые можно использовать для атак или несанкционированного доступа к системе. В данном материале будут рассматриваться: · как в разных ситуациях манипулировать веб-сайтом так, чтобы передавал пользователям вредоносный JavaScript. · как скомпрометировать администратора сайта, отправив ему личное сообщение; · как атаковать разом всех пользователей при помощи комментария под статьей; · как заставить пользователя отправить запрос на действия, которые он не собирается выполнять; · как прослушивать WebSocket-соединения; В общем, под катом вас ждет рассказ про распространенные уязвимости на стороне клиента и некоторые методы Client-Side защиты. 🗣 Ссылка на чтиво ❗ Также прикрепляю другие полезные материалы по Client-Side уязвимостям: - Уязвимость XSS: определение и предотвращение - Уязвимость CSRF: исследуем межсайтовую подделку запроса - Руководство по пентесту WebSocket - Поиск уязвимостей IDOR (BOLA) #XSS #CSRF #IDOR #CSWH | 🧑‍💻 Этичный хакер

😈 США объявляет войну иранским хакерам Минфин США объявило о введении санкций против четырех граждан Ирана и двух компаний за участие в кибератаках против американских правительственных учреждений, оборонных подрядчиков и частных компаний.

Санкции затронули две компании — Mehrsam Andisheh Saz Nik (MASN) и Dadeh Afzar Arman (DAA), которые действовали в интересах Киберкомандования Стражей Исламской Революции (IRGC-CEC).

- Госдепартамент США также объявил о награде в размере до $10 млн. за информацию о Каземифаре, Салмани, Харуни, а также о компаниях MASN и DAA. #News #USA #Iran #Hackers | 🧑‍💻 Этичный хакер

😈 Инфраструктурный пентест по шагам: боковое перемещение и повышение привилегий в сети Ранее наш коллега @elliot_cybersec выпускал материал, про методы подхода к разведке целей, а также ключевые этапы сканирования. Теперь необходимо разобраться в анализе парольных политик, ACL и DNS, найти способы бокового перемещения и провести обзор основных актуальных техник повышения привилегий. В этой статье вас ждет база — те вещи, которые должен знать каждый начинающий пентестер, занимающийся аудитами внутренней инфраструктуры. 🗣 Ссылка на чтиво ❗ Также прикрепляю предыдущие материалы по теме: - Инфраструктурный пентест по шагам: инструменты, методологии и разведка - Инфраструктурный пентест по шагам: сканирование и получение доступа #Пентест #Infrastructure #Recon #ACL #DNS #AD | 🧑‍💻 Этичный хакер

Тинькофф подтвердил начало тестирования сервиса "Фрод-рулетка". «Сервис пока находится в режиме раннего пилотирования, сейчас мы подключаем первых тестировщиков, в том числе тех, кто имеет опыт пранков или тех, кто ментально готов к возможному телефонному конфликту с мошенниками», - заявили в Тинькофф. Решение о запуске и масштабировании "Фрод-рулетки" будет приниматься по факту испытаний, так как предстоит много технической работы: «Мы учимся управлять звонками мошенников и заводить их в "Фрод-рулетку". Это непростая задача»." #News | 🧑‍💻 Этичный хакер

😈 API Security Academy: сборник заданий GraphQL По ссылке ниже можно найти бесплатную коллекцию заданий, которые научат Вас атаковать и защищать приложения, использующие GraphQL. Это подробные уроки, из которых Вы узнаете о различных уязвимостях и передовых методах обеспечения защиты. Список уроков по GraphQL: 1. Prevent Mutation Brute-Force Attacks; 2. Implement Object-Level Authorization; 3. Disable Debug Mode for Production; 4. Combat SQL Injections; 5. Limit Query Complexity; 6. Implement Field-Level Authorization; 7. Configure HTTP Headers for User Protection; 8. Validate JSON Inputs; 9. Implement Resolver-Level Authorization. #API #GraphQL #Recon | 🧑‍💻 Этичный хакер

Новый сервис для борьбы с телефонными мошенниками Тинькофф готовится к запуску своего нового сервиса «Фрод-рулетка». Одними из первых пользователей, кому стал доступен пилот проекта, стали известные пранкеры Вован и Лексус, они опубликовали скриншоты переписки с поддержкой банка в своем телеграм-канале. Сервис представляет собой разновидность чат-рулетки, в которой пользователи могут перехватывать звонки мошенников, троллить их, удерживать на линии как можно дольше, мешая им совершать преступления. #News | 🧑‍💻 Этичный хакер

😈 Черный рынок сим-карт: как злоумышленники обходят закон Федеральная служба России провела масштабную операцию по борьбе с нелегальным распространением сим-карт в 40 регионах страны. В ходе рейдов было конфисковано более 600 сим-банков и около 300 тысяч сим-карт. SIM-банк представляет собой компактное устройство, позволяющее установить десятки сим-карт для организации мобильного колл-центра. Это дает возможность совершать множество звонков одновременно и рассылать sms-сообщения в массовом порядке. Для активации сим-карты требуется ее регистрация с привязкой к паспортным данным физического лица. Но для злоумышленников это не проблема. На черном рынке, в том числе в даркнете, продаются уже активированные сим-карты по ценам от 400 рублей за штуку. Есть даже предложения от иностранных операторов, если номер нужен для доступа к западным сервисам. - Злоумышленники закупают сим-карты оптом, комплектами. Для регистрации они задействуют посредников, которые находят людей, остро нуждающихся в деньгах - приезжих, лиц без определенного места жительства. На одного такого «регистратора» могут оформляться сразу несколько комплектов сим-карт от разных операторов. #SIM #News | 🧑‍💻 Этичный хакер