Fsecurity | HH

🛡️ LastPass предупреждает о новой кампании подделки GitHub-ресурсов под бренд менеджера паролей. Злоумышленники с появлением AI пытаются делать удивительные вещи, направленные на неумелых или неопытных людей, которые ищут в Google информацию о том как установить то или иное ПО. На деле жертве подсовывают скрипт, который скачивает и запускает инфостиллер Atomic Stealer (AMOS). 📌 Подробности в кейсе исследователя и блоге LastPass. Зафиксированы и другие поддельные проекты под бренды финкомпаний, криптокошельков и AI-сервисов. 🔒 Скачивайте ПО только с официальных сайтов. Не копируйте команды из непроверенных источников - GitHub полон не только полезного кода, но и вирусов/троянов. Проверяйте исходники перед установкой. 📌 IoC: e52dd70113d1c6eb9a09eafa0a7e7bcf1da816849f47ebcdc66ec9671eb9b350 (Atomic Stealer) + 107 фейковых ссылок приведены в статье LastPass.

🔗Ссылка: https://habr.com/ru/companies/selectel/articles/941648/

🔗Ссылка: https://github.com/karam-ajaj/atlas

🔗Ссылка: https://securelist.ru/vulnerabilities-and-exploits-in-q2-2025/113323/

🔗Ссылка: https://securelist.com/eagerbee-backdoor/115175

Почему LLM всё ещё генерируют уязвимый код. Результаты A.S.E Benchmark В недавнем исследовании был представлен бенчмарк A.S.E (AI Code Generation Security Evaluation), который оценивает способность языковых моделей генерировать безопасный код в условиях, максимально приближённых к реальной разработке. В этом посте мы разберём: чем A.S.E отличается от предыдущих подходов, какие результаты он показал на ведущих моделях и почему они до сих пор уязвимы. Главное отличие A.S.E в том, что проверка проводится на уровне целого репозитория, а не как это было раньше, на отдельных участках кода. Это позволяет учитывать архитектуру проекта, взаимосвязь файлов и внешние зависимости. Основой для бенчмарка стали реальные репозитории в GitHub с зафиксированными CVE и опубликованными патчами. Чтобы избежать банального запоминания шаблонов небезопасного кода, разработчики бенчмарка добавили семантические и структурные мутации уязвимостей. Ещё одна важная деталь — автоматическая проверка с помощью правил статического анализа, которые отслеживают источник уязвимости, пути распространения данных и точку эксплуатации, что делает бенчмарк ближе к условиям, которые можно встретить при реальной разработке. Результаты оказались показательными. Среди 26 протестированных моделей ни одна не достигла уровня, который бы позволял назвать модель “Best FOR Security Generated CODE”. Лучший общий результат продемонстрировал Claude-3.7-Sonnet, однако его показатели по безопасности существенно отставали от качества кода. При этом наивысший балл именно по безопасности получила модель Qwen3-235B-A22B-Instruct, что указывает на сближение открытых и проприетарных решений в этой области. Самое впечатляющее — reasoning-режимы не помогали исправлять уязвимости, а делали код менее безопасным. Самой проблемной категорией уязвимостей оказался Path Traversal: почти все модели систематически ошибались при обработке путей и проверке доступа к файлам. На мой взгляд, ценность A.S.E заключается именно в том, что он вскрывает технические слабости LLM, которые не видны на синтетических бенчмарках (хотя, к слову, их сейчас стало заметно меньше). Эти слабости отражают важную проблему: модели хорошо справляются с синтаксисом и общей структурой кода, но по-прежнему не способны достойно учитывать требования безопасности. Я думаю, что в течение года мы увидим заметный прогресс, но пока ситуация остаётся далёкой от уровня, который позволял бы доверять LLM генерацию кода без постоянной проверки.

🔗Ссылка: https://habr.com/ru/news/948230/

🔗Ссылка: https://blog.lumen.com/systembc-bringing-the-noise/

🔗Ссылка: https://habr.com/ru/companies/pt/articles/947258/

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

🔗Ссылка: https://github.com/ZeroDaysBroker/GhidraGPT

🔗Ссылка: https://www.securitylab.ru/news/563654.php

🔗Ссылка: https://specterops.io/blog/2025/09/18/more-fun-with-wmi/

🔗Ссылка: https://codeby.net/threads/ceh-vs-oscp-2025-chestnoye-sravneniye-real-naya-tsennost-i-roi-dlya-khakerov.89690/

📄 More Fun With WMI Win32_Process has been the go to WMI class for remote command execution for years. In this post we will cover a new WMI class that functions like Win32_Process and offers further capability. 🔗 WMI_Proc_Dump.py Dump processes over WMI with MSFT_MTProcess 🔗 mtprocess.py Python script that uses Impacket to use the MSFT_MTProcess WMI class to execute a command. If wanting to use against a Workstation it can install the provider.

P.S. One more way to dump LSASS.

🔗Ссылка: https://www.securitylab.ru/news/563621.php

🔗 Ссылка: https://socket.dev/blog/ongoing-supply-chain-attack-targets-crowdstrike-npm-packages

Account Takeover by Unicode/Punycode email password reset Уже довольно давно у меня в бэклоге лежала интересная техника, найденная где-то на просторах сети, которой я хочу сегодня поделиться. Punycode / IDN Homograph традиционно используется в проведении фишинговых компаний для получения первоначального доступа во время Red Team и пентестов, но можно также использовать эту технику для тестирования механизмов восстановления пароля/байпаса 2FA через email в рамках багбаунти😎 Сначала немного теории: IDN (Internationalized Domain Name) - это технология, позволяющая использовать в доменных именах символы из национальных алфавитов: кириллицы, китайских иероглифов, арабской письменности и пр. Так как изначально в системе доменных имён были предусмотрены только латинские буквы A-Z, цифры 0-9 и дефис, придумали специальную кодировку - Punycode/Unicode, как способ закодировать домен с не-ASCII символами в ASCII-совместимую форму. Например: домен.рф → xn--d1acufc.xn--p1ai ♦️Тестирование механизмов восстановления пароля/байпаса 2FA через почту по умолчанию в методологии любого пентестера и багхантера, поэтому берём валидный email victim@gmail.com и меняем домен на Unicode-вариант victim@gmáil.com ♦️Добавляем Collaborator victim@gmáil.com.<collab>.burpcollaborator.net, перехватываем запрос → подменяем email жертвы и отправляем дальше. ♦️ Наблюдаем результат → в Collaborator проверяем SMTP отстуки. Если приходит письмо для сброса пароля / 2FA - значит система некорректно обработала Unicode. ♦️Репортим багу как Account Takeover для victim@gmail.com 💸 Вы великолепны! Почему так работает для фишинга абсолютно понятно, латинская a vs кириллическая а визуально практически неотличимы, а вот как можно допустить такую ошибку в механизме восстановления пароля для меня загадка😜 Но тем не менее уже есть кейсы когда багхантеры лутали за эту багу 10k$ в публичных программах.

Привет! 🤥 Недавно я перечитывал свои посты и наткнулся на один из самых старых — про переполнение стека. Вспомнил молодость, словил испанский стыд и решил сделать ремейк, а точнее, полностью переписать пост. Получилось небольшая статья про введение в эксплуатацию бинарных уязвимостей на простом примере задачи в формате ctf. Описаны базовые виды защиты памяти, пошагово создан CTF-таск с подробным решением. Приятного чтения! 🔗Читать Но это еще не всё! Cейчас в тренде импортозамещение, так, что я тоже решил не отставать и создал свой небольшой сайт: 🔗read.pyfffe.site. Туда переехали материалы из Notion, и теперь все гифки в постах нормально загружаются без впн (да, всё было ради гифок 👸). Да и в целом хорошо бы иметь полный контроль над своим ресурсом (просьба не пробовать его получать 👾). Теперь всё, спасибо за внимание!

Как за пару кнопок убить AV/EDR (разных цветов) Из требований: - Наличие прав админа на тачке; - Возможность доставки procmon. А далее всё более чем прозаично. 1. Включение функции "EnableBootLooging"; 2. Создание символической ссылки:

mklink C:\Windows\Procmon.pmb "<Полный путь до файла который требуется перезаписать>"

3. Ребут тачки. Получаем магию. Подробнее: https://www.zerosalarium.com/2025/09/Break-Protective-Shell-Windows-Defender-Folder-Redirect-Technique-Symlink.html?m=1