🔒 Опасный QR-код: история вектора атаки.

• В мае 2013 года специалисты компании Lookout Mobile разработали специальные QR-коды, которые смогли скомпрометировать очки Google Glass. На тот момент очки сканировали все фотографии, «которые могут быть полезны их владельцу», — и предоставили взломщикам полный удаленный доступ к устройству. Когда Google узнали о данной уязвимости, то её закрыли буквально за несколько недель. К счастью, исправить успели до того, как уязвимость можно было использовать вне лаборатории, ведь взлом очков реального пользователя мог привести к большим проблемам.

• В 2014 году программа Barcode Scanner для мобильных устройств из проекта ZXing практически не проверяла тип URI, передаваемый через QR-код. В результате любой эксплойт, который мог быть исполнен браузером (например, написанный на JavaScript), можно было передать через QR.

• Сканер пытался отфильтровать опасные виды атак с помощью регулярных выражений, требуя, чтобы URI имел период с последующим продлением как минимум на два символа, транспортный протокол длиной не менее двух символов, за которым следует двоеточие, и чтобы в URI не было пробелов. Если содержимое не соответствует хотя бы одному из требований, то оно определяется как обычный текст, а не URI. Этот механизм блокирует атаки вроде javascript;alert("You have won 1000 dollars! Just Click The Open Browser Button");, но, внеся пару простых изменений в код, мы получаем вариант, который программа исполняла в браузере, ведь она считала JS-код обыкновенным, «нормальным» URI! По итогу, уведомление появлялось в браузере, а значит, URI с потенциально вредоносным кодом был выполнен. Однако выполняется данный JS-код лишь тогда, когда пользователь нажимает Open Browser (то есть «Открыть в браузере»).

• Еще один интересный пример из 2012 года: эксперт по информационной безопасности Равишанкар Боргаонкар продемонстрировал, как сканирование простейшего QR может привести к форматированию устройств Samsung! Внутри QR был зашит MMI-код для сброса до заводских настроек: *2767*3855#, а также префикс tel: для совершения USSD-запроса.

• Самое опасное здесь то, что человек без предварительной подготовки не может узнать содержимое кода, не отсканировав его. А человек очень любопытен: в различных исследованиях большинство испытуемых (которые, кстати, даже не знали об эксперименте) сканировали QR-код именно из любопытства, забывая о собственной безопасности!

S.E. ▪️ infosec.work ▪️ VT

🔓 Интерактивный курс по веб-уязвимостям.

• Весьма интересный ресурс, который содержит информацию об основных веб-уязвимостях. Особенность данной платформы в том, что каждый из перечисленных методов можно выполнить самостоятельно, следуя подсказкам и примерам. А еще каждый пример является интерактивным, поэтому вам будет легче воспринимать материал и практиковаться. Содержание следующее:

➡SQL Injection;
➡Cross-Site Scripting;
➡Command Execution;
➡Clickjacking;
➡Cross-Site Request Forgery;
➡Directory Traversal;
➡Reflected XSS;
➡DOM-based XSS;
➡File Upload Vulnerabilities;
➡Broken Access Control;
➡Open Redirects;
➡Unencrypted Communication;
➡User Enumeration;
➡Information Leakage;
➡Password Mismanagement;
➡Privilege Escalation;
➡Session Fixation;
➡Weak Session IDs;
➡XML Bombs;
➡XML External Entities;
➡Denial of Service Attacks;
➡Email Spoofing;
➡Malvertising;
➡Lax Security Settings;
➡Toxic Dependencies;
➡Logging and Monitoring;
➡Buffer Overflows;
➡Server-Side Request Forgery;
➡Host Header Poisoning;
➡Insecure Design;
➡Mass Assignment;
➡Prototype Pollution;
➡Regex Injection;
➡Remote Code Execution;
➡Cross-Site Script Inclusion;
➡Downgrade Attacks;
➡DNS Poisoning;
➡SSL Stripping;
➡Subdomain Squatting.

➡ https://www.hacksplaining.com/lessons

S.E. ▪️ infosec.work ▪️ VT

🔓 Взлом зашифрованных архивов rar, zip, 7z.

• Совсем недавно на хабре был опубликован интересный материал, в котором описаны методы и примеры кракинга зашифрованных паролями pdf-файлов и архивов. Статья примитивная, но новичкам должно быть интересно. Материал больше напоминает некий чек-лист, нежели руководство. Приведены примеры работы с инструментами pdfcrack, rarcrack и John the Ripper. Поэтому берите на заметку.

➡ Читать статью [4 min];

• Дополнительно:

➡Знакомство и установка John the Ripper;
➡Утилиты для извлечения хешей;
➡Как запустить взлом паролей в John the Ripper (как указать маски, словари, хеши, форматы, режимы);
➡Практика и примеры использования John the Ripper;
➡Атака на основе правил;
➡Брут-форс нестандартных хешей;
➡Johnny — графический интерфейс для John the Ripper.

• Учитывайте, что данный материал имеет ознакомительный характер и предназначен для специалистов по безопасности. Всегда думайте головой и не нарушайте закон. Всем добра ❤

S.E. ▪️ infosec.work ▪️ VT

👩‍💻 Бесплатный курс: Linux CLI.

• Linux CLI, или умение пользоваться терминалом - жизненно необходимый навык для каждого IT-специалиста (даже если вы работаете на Windows и используете только графическую оболочку). На данном курсе Вы изучите материал, который полностью покроет ваши нужды как пользователя, разработчика, QA и даже ИБ специалиста.

• Курс именно для начинающих (для тех, кто ранее не работал с терминалом и не знает что это такое). Тут не рассматривается сам Linux, а потому, если вы хотите изучить нечто большее чем исключительно базовое использование командного интерфейса - данный курс не подойдёт.

• На курсе вы получите теорию в виде текста, изображений и примеров, а отработать её на практике вы сможете у себя локально на компьютере и ответить на вопросы по теме прямо в модулях курса.

➡ https://stepik.org/course/124646

S.E. ▪️ infosec.work ▪️ VT

🔊 Акустические атаки.

• Сегодня поговорим на очень необычную и малоизвестную тему, о которой практически никто не говорит — акустические атаки на подводные центры хранения данных! Да, вы прочитали правильно! Дело в том, что существуют подводные ЦОД. Их мало, но они есть. И обеспечение безопасности таких ЦОДов является весьма нетривиальной задачей.

• Начнем с того, что в прошлом году учёные из Университета Флориды опубликовали крутое исследование, в котором говорится о том, каким образом можно организовать акустические атаки на подводные центры хранения данных, не прибегая к военным средствам.

• Обратите внимание на документ вот по этой ссылке, в нем подробно описывают, как звук на резонансной частоте жёстких дисков (HDD), установленных в погружных корпусах, может привести к снижению пропускной способности систем хранения RAID и даже к сбою приложений.

• Исследователи моделировали ситуации с воздействием атак как на системы только с HDD, так и на гибридные платформы с SSD и HDD. Они обнаружили, что звук правильной резонансной частоты вызывает вибрации в головке чтения-записи и дисках за счёт распространения вибрации, пропорциональной акустическому давлению или интенсивности звука. Это влияет на производительность чтения/записи диска.

• Учёные использовали сервер Supermicro CSE-823 с RAID5-массивом из SATA-накопителей Seagate Exos 7E2, дополненным SSD Intel D3-S4510. Его помещали в металлические контейнеры в лаборатории и открытых водоёмах, а звук генерировали с помощью подводного динамика. Пропускная способность RAID-массива снижалась при воздействии звуком с некоторыми частотами, в том числе с 2, 3,7, 5,1–5,3 и 8,9 кГц. Однако в диапазоне 5,1–5,3 кГц наблюдалось «постоянное ухудшение пропускной способности». Нарушения возникали уже после 2,4 минут устойчивого акустического воздействия, которое приводило к росту задержек доступа к базе данных на 92,7%. Некоторые жёсткие диски полностью выходили из строя.

• Подобные атаки можно выполнять с помощью модулей, подключаемых к лодкам или подводным аппаратам. Кроме того, подводные ЦОД могут пострадать и от случайных воздействий, например от взрыва гидролокатора подводной лодки.

• Чтобы смягчить угрозу такого рода исследователи рассмотрели несколько методов. Один из них заключался в использовании звукопоглощающих материалов для ослабления вибрации, вызванной звуком, но результатом стало повышение температуры сервера при выполнении рабочих нагрузок, и было обнаружено, что злоумышленник мог преодолеть эту защиту, увеличив громкость звука.

• Более продвинутый метод защиты, предложенный в документе, представляет собой модель машинного обучения для обнаружения нескольких одновременных снижений пропускной способности при небольших объемах путем анализа пропускной способности кластеров, находящихся в непосредственной физической близости внутри модуля ЦОД.

• В общем и целом, исследование оказалось весьма интересным и полезным для общего развития в области ИБ. Рекомендую изучить данный документ, который содержит 16 страниц информации. Если не знаете английский, то воспользуйтесь deepl.

S.E. ▪️ infosec.work ▪️ VT

👨‍💻 Шпаргалка по защите сервера от хакеров и другой нечисти.

• Когда сервер создается для личных нужд, то чаще всего внимания безопасности почти не уделяется. А ведь это фатальная ошибка… В этой статье собраны типовые советы по обеспечению безопасности нашего сервера от хактевистов и другой нечисти:

➡Защита — non fiction;
➡Намудрите сложные пароли;
➡Используйте fail2ban;
➡Включите подключение по SSH;
➡Забудьте про root;
➡Используете безопасные протоколы;
➡Актуализируйте версии ОС и ПО;
➡Процедите порты;
➡Подключите двухфакторку;
➡Защитите сервер от DDoS;
➡Логируйте и мониторьте;
➡Выводы.

S.E. ▪️ infosec.work ▪️ VT

👣 Подделка фингерпринтов в linux.

• Фингерпринт – это чума 21-го века. Беда в том, что от него практически нельзя скрыться. Телеметрию снимают практически все сайты: им же надо знать, кто их аудитория. Java-скрипты используются не только для красивого дизайна, но и для выполнения целевых действий незащищенным браузером. А уж про межсайтовые куки я вообще молчу: поискал телевизор на одном сайте – увидел рекламу этого товара через минуту на другом.

• Хорошо это или плохо – вопрос спорный. Хорошо для бизнеса – продавать стало гораздо удобнее. Плохо для людей: они знают все про ваши потребности, болевые точки и интересы. Не знают только вашего имени. Но найти его – секундное дело. Если вы простой юзер – расслабьтесь и не переживайте. Ничего плохого с вами не случится. Но если вы ведете интересный образ жизни, то вам нужно учиться следы за собой заметать. Так, на всякий случай. Как раз об этом и пойдет речь в данной статье...

• В очередной раз делюсь с вами авторским материалом с форума XSS, где автор разбирает возможные методы подделки фингерпринта в Linux. Содержание следующее:

➡Базовая подделка фингерпринта;
➡Подделка фингирпринтов с реальными данными;
➡Методы автозапуска linux;
➡Оптимизация кода;
➡Выводы.

• После прочтения данного материала вы поймете, как работают отпечатки устройств и почему их подмена — это не просто паранойя, а реальный способ защиты от слежки. Увидите на практике, что из себя представляет подмена аппаратных и сетевых отпечатков Linux. Научитесь менять MAC-адреса, TTL, часовые пояса, разрешения экрана и даже маскировать баннеры SSH и FTP, чтобы не светить систему. Ну и разберётесь, где брать правдоподобные данные — от OUI для MAC до списков разрешений экрана... Приятного чтения.

➡ Скачать материал можно в нашем облаке.

‼ Статья предназначена для специалистов ИБ и представлена в ознакомительных целях.

S.E. ▪️ infosec.work ▪️ VT

💸 Фишинг через QR.

• В этой статье авторы рассказывают о том, как QR-коды из удобного инструмента превратились в актуальную угрозу, как устроено такое мошенничество с технической точки зрения и что говорит статистика.

➡Массовые мошенничества с использованием QR-кодов;
➡Как устроены поддельные QR-коды;
➡Статистика;
➡Почему традиционные методы защиты не спасают;
➡Как защититься;
➡QR-коды: тест на внимательность.

• А я в свою очередь напоминаю, что в нашем боте S.E. Virus Detect есть функционал проверки QR-кодов, который значительно повышает уровень вашей безопасности в сети. Вы можете направить боту файл с QR-кодом и получить его содержание (текст, ссылка, другая информация). Если QR-код содержит ссылку, то вы сразу сможете осуществить проверку домена на наличие угроз и получить развернутый отчет в красивом формате благодаря сервису Web-Check. Пользуйтесь. Бот полностью бесплатный и без рекламы!

• Дополнительно:

➡Чашка чая за 1.5 миллиона рублей;
➡Парковка за 16.000 долларов;
➡Мошенничество с QR-кодами на парковочных автоматах.

S.E. ▪️ infosec.work ▪️ VT

📶 Бесплатный курс по компьютерным сетям. Климанов М. М.

• Очень хороший курс по компьютерным сетям для начинающих. Если по каким-то причинам Вам не подходит курс от Андрея Созыкина (на мой скромный взгляд, у него лучший курс по сетям), то попробуйте начать изучение этого курса:

➡ Плейлист со всеми лекциями на YT.

• Не забывайте про репозиторий, в котором я собрал очень много полезного материала для изучения сетей:

➡Литература;
➡Курсы;
➡Шпаргалки;
➡Шпаргалки по протоколам;
➡Теория для изучения различных инструментов;
➡Статьи;
➡Awesome-листы;
➡YouTube каналы;
➡Telegram каналы;
➡Telegram чаты;
➡Telegram комьюнити разных вендоров;
➡Telegram боты;
➡Подкасты;
➡Специализированные сайты.

• Если у вас есть ссылки на другие полезные ресурсы, которые можно добавить в эту подборку, то напишите в бота обратной связи, линк есть в описании канала.

S.E. ▪️ infosec.work ▪️ VT

👾 Самая дорогостоящая малварь.

• 26 января 2004 в России был зафиксирован первый случай заражения новой малварью, которую назвали MyDoom. Всего за неделю, распространяясь через электронную почту, MyDoom поразил до 500 тысяч компьютеров по всему миру. Этот червь стал настоящим рекордсменом по скорости распространения и даже умудрился частично парализовать работу поисковых систем (Google, Yahoo!, AltaVista и Lycos), а на пике активности исходящий от MyDoom спам снизил мировой интернет-трафик на 10 процентов. В то время MyDoom генерировал 16-25% от общего числа всех писем в мире.

• В 2011 году эксперты McAfee и вовсе признали MyDoom самой «дорогой» малварью в истории: убытки, связанные с потерей производительности и прекращением торговли в связи с заражением вирусом в результате крупных спам-кампаний, в конечном итоге составили 38 миллиардов долларов.

• MyDoom распространяется через электронные письма с вредоносными вложениями. На каждой новой зараженной машине малварь ищет новые email-адреса в различных файлах, а затем рассылает свои копии по всем обнаруженным адресам. При этом спам маскируется, к примеру, под уведомления о неудачной доставке сообщения, или тема письма может содержать случайные символы и слова «hello», «hi» и так далее. Казалось бы, такие приманки можно отнести к числу самых примитивных, но они работают по сей день.

• В период с 2015 по 2018 год порядка 1,1% всех электронных писем с вредоносными вложениями содержали червя именно MyDoom. Жертвами таких вредоносных рассылок становятся компании из самых разных отраслей, начиная от высоких технологий, оптовой и розничной торговли, до здравоохранения, образования и производства.

• В первой половине 2019 года MyDoom даже продемонстрировал небольшой рост количества образцов малвари, а также увеличение количества вредоносных писем, отправляемых и получаемых жертвами. Основными источниками такой корреспонденции являются США, Китай и Великобритания.

• Фактически MyDoom полностью самодостаточен и автономен. Червь может распространяться вечно, до тех пор, пока люди продолжают открывать почтовые вложения.

• Кстати, в самом начале своей активности MyDoom атаковал сайт Microsoft. Червь был слишком мало распространён и потому не нанёс ему серьёзного ущерба. Однако Microsoft назначила свои $250 000 «за голову» его создателя. Эти деньги не нашли получателя — мир так и не узнал, кто создал MyDoom.

➡ https://yourstory.com/MyDoom

S.E. ▪️ infosec.work ▪️ VT

📚 Бесплатный курс: Linux - администрирование - Bash.

• В данном курсе нас с вами ждёт неформальное путешествие по основам работы системного администратора в операционных системах на базе GNU/Linux. Главным нашим инструментом будет Bash (в основном), попробуем с ним подружиться и взглянем на типичные задачи системного и сетевого администрирования (в той или иной степени). Также нас ждёт немало интересных теоретических выкладок по системам, сетям и кибербезопасности.

• В курс входят: 40 уроков, 22 часа видео и 106 тестов. Цель курса - познакомиться с основами работы системного администратора в операционных системах на базе GNU/Linux.

➡ https://stepik.org/course/181507/

• Дополнительно:

➡Подборка бесплатного материала для изучения Linux, которая окажется полезной не только новичкам, но и опытным специалистам!

S.E. ▪️ infosec.work ▪️ VT

👣 Искусство форензики.

• Термин "forensics" является сокращенной формой "forensic science", дословно "судебная наука", то есть наука об исследовании доказательств — именно то, что в русском именуется криминалистикой. Русский термин "форензика" означает не всякую криминалистику, а именно компьютерную. Некоторые авторы разделяют компьютерную криминалистику (computer forensics) и сетевую криминалистику (network forensic).

• Так вот, если вам интересна данная наука и вы хотите получить достаточное кол-во знаний независимо от того, являетесь вы новичком или нет, то обратите внимание на очень содержательную страницу на start.me, которая содержит ссылки на источники различных категорий:

➡Инструменты;
➡Блоги различных специалистов;
➡YouTube-каналы;
➡Новостные ресурсы;
➡Руководства и шпаргалки;
➡Подкасты и многое другое...

➡️ https://start.me/p/1kRlPp/forensics

• В качестве дополнительного материала:

➡Объемный "чек-лист" на тему анализа опе­ратив­ной памяти;
➡Методы поиска информации в операционной системе Windows;
➡Большой гид по артефактам Windows;
➡Руководством по расположению цифровых артефактов в компьютерах и смартфонах;
➡Инструменты, книги, руководства и другой полезный материал;
➡#Форензика

S.E. ▪️ infosec.work ▪️ VT

🎣 Evilginx3 Phishlets.

• Вероятно, Вы уже слышали о таком инструменте, как Evilginx — это обратный прок­си‑сер­вер, который прок­сиру­ет соеди­нение меж­ду поль­зовате­лем и целевым веб‑ресур­сом, поз­воляя перех­ватить логин, пароль и клю­чи сеан­са. С помощью это­го фрей­мвор­ка мож­но обой­ти двух­фактор­ную аутен­тифика­цию.

• В Evilginx используются фишлеты — это такие файлы, которые задают правила основной работы Evilginx. В фишлетах указывается, по каким параметрам определять авторизацию, как выглядят cookie-сессии и все другие данные для успешного фишинга.

• Так вот, с такими фишлетами можно ознакомиться в репозитории по ссылке ниже. Тут вы найдете интерактивные логон-страницы основных облачных сервисов Google, AWS и Microsoft. Всё собрано под Evilginx3:

➡️ https://github.com/simplerhacking/Evilginx3-Phishlets

• Учитывайте, что данный материал имеет ознакомительный характер и предназначен для специалистов по безопасности. Всегда думайте головой и не нарушайте закон. Всем добра ❤

S.E. ▪️ infosec.work ▪️ VT

📦 Все по песочницам. Часть 2.

• Данный материал написан в соавторстве с @mycroftintel

• В детстве песочница была местом отдыха реальных пацанов. Там строились и разрушались замки, а самые продвинутые юные надмозги создавали свои транспортные империи и запускали межконтинентальные ракеты. Но по долгу службы я был вынужден делать свою песочницу с блекджеком и дамами не очень высокой социальной ответственности. А если серьезно, то во взрослом мире, если ты тру-хардкорный осинтер, у тебя должен быть свой террариум для цифровых гадов ползучих: вирусов, троянов, бэкдоров и прочей нежити, которую ты сам же и притащил, «просто посмотреть, что внутри». Посмотреть, да. А потом перезаписывать образ системы, потому что «забыл отключить макросы».

• Собственно, для чего это таки надо? Только в песочнице можно безопасно отследить, как файл лезет в реестр, с кем он разговаривает в интернете, какие процессы спавнит и какие бэкдоры себе открывает. Это как изолированное крыло психбольницы для особо опасных маньяков, только вместо прозрачной камеры с Ганнибалом Лектором у тебя — PowerShell-скрипты, которые делают curl в сторону китайского CDN. Без песочницы всё это ловится вслепую — как будто боксируешь с тенью, а она, зараза, бьёт в ответ и прямо по шарам.

• Хочешь, чтобы всё было без седалищной боли по типу «нажал кнопку — получил отчет» - готовь деньги, милый. Без денег такой любви не бывает. Чтобы ты мог без геморроя получать качественные поведенческие отчеты — нужно пользоваться серьезными корпоративными продуктами. Но если на них нет денег — то есть неплохие альтернативы.

• Например, ANY.RUN — живой интерфейс, богатая визуализация, прям хоть на конференции показывай. Intezer Analyze строит геном вредоноса и находит кодовое родство, как будто это сериал про семейные ценности. Threat.Zone — русифицированный, бодрый, с понятным UI, не требует перевода с маркетингового на человеческий. Но не стоит обманываться — хоть и работает на русском, это не значит, что разработан в России. Это, скорее, как бургер с майонезом из Пятерочки — вроде как бы уже своё, но что-то все-таки не так.

• А ещё есть Falcon Sandbox, на котором работает Hybrid Analysis, Joe Sandbox (кстати, рекомендую), Tria.ge и многие другие. Короче, имя им легион. Все как один — функциональные, как швейцарский нож с лазером, но по цене — как хирургическая операция на жёппе в той-же вашей Швейцарии. И главное - за бесплатно - только публично. Короче, ваш подгруженный малварь, который шифранул ваших бухгалтеров, попадет в общую базу данных. Так что осторожнее. Так—то.

• Ну а если душа просит боли и приключений, добро пожаловать в ад опенсорса. Тут у нас CAPE — мощный форк старого доброго Cuckoo, с возможностью вытаскивать payload’ы, снимать снимки API и ловить даже сложные образцы. Звучит круто, пока не столкнёшься с древнейшими зависимостями на Python 3.7.2.4b и адищем БДСМ интеллектуальных совокуплений с libvirt. FLARE VM, Freki, Noriben — каждая как отдельная фракция в стратегии: свои плюсы, свои баги, свои моменты, когда ты смотришь в терминал и думаешь: «Где я, кто я, почему у меня 98% CPU и ничего не работает?». Собирать это — как чинить телепорт из Рика и Морти, будучи огурчиком.

• Вывод прост. Хочешь работать быстро — плати. Хочешь бесплатно — становись раком монахом Debian и молись, чтобы XML-отчёты хотя бы открывались. И помни, как говорил великий король орков из Властелина Колец: «Время людей прошло. Наступает эпоха скриптов и песочниц». А ты всё ещё пытаешься запустить .doc в виртуалке без сети.

➡ Дополнительную информацию можно найти в группе @mycroftintel

S.E. ▪️ infosec.work ▪️ VT

4⃣ Фейковый GitHub.

• Автор проекта Snoop Project выкатил новый бесплатный инструмент, который позволяет определить накрутку звезд в GitHub репозиториях. Для #ИБ специалистов (и не только) это отличная тулза для анализа и детекта фейковых проектов. Подобные репо нужно тщательно проверять перед использованием и быть максимально осторожным, либо не использовать вовсе.

• Инструмент работает из коробки на любых OS (в т.ч. и в Android / Termux) и не требует чтения мануалов и тех.скиллов. А еще есть описание на русском языке.

• Заявленный функционал:

➡Помогает найти и определить факт накрутки звезд в различных репозиториях;
➡Проверяет репозитории на предмет накрутки звезд за выбранный период времени;
➡Сообщает реальную дату создания репозитория;
➡Покажет ~ размер любого публичного репозитория;
➡Предоставит краткое описание репозитория;
➡Есть история сканирований с выбором ранее учтенных проектов для быстрой проверки;
➡Генерирует CLI/HTML отчеты (статистика, периоды времени, дублирующая активность пользователей, url's и графики);
➡Находит пересекающихся у Github-проектов пользователей, в т.ч. и тех, у кого профиль скрыт/приватный;
➡Создан для людей и работает из коробки, поддержка OS: Windows7+, GNU/Linux, Android;
➡Отрабатывает задачи с реактивной скоростью и является полностью бесплатным.

➡ https://github.com/snooppr/shotstars

S.E. ▪️ infosec.work ▪️ VT

⚡️ Whonix 17.3.

• Чтобы обеспечить анонимность своего пребывания в сети, мало установить #Tor и завернуть в него весь исходящий трафик. Необходимо позаботиться о таких вещах, как утечки DNS, обнаружение твоего географического положения на основе настроек часового пояса, утечки имени пользователя (через SSH, например), утечки IP-адреса, свойственные некоторым сетевым протоколам, побороть проблему идентификации машины на выходных узлах Tor путем сравнения типов трафика. Ну и в целом придется серьезно повозиться, чтобы заставить все установленные сетевые приложения использовать Tor и не выдавать данных о твоей машине.

• Whonix — дистрибутив #Linux на основе Debian, ранее известный как TorBOX. Предназначен для обеспечения анонимности средствами VirtualBox и Tor. Его особенностью является то, что ни вредоносные программы, ни компрометация учётной записи суперпользователя не могут привести к утечкам IP-адреса и DNS. Всё программное обеспечение идущее в комплекте с системой предварительно настроено с учётом требований безопасности. Если вам нужна более детальная информация по работе и настройке ОС Whonix, то милости просим в Wiki проекта. Там не только о настройке, но и куча другой полезной информации на тему анонимности и приватности...

• Так вот, недавно Whonix обновился до версии 17.3, которая содержит следующие изменения:

➡В Whonix-Workstation с рабочим столом Xfce рабочая учётная запись по умолчанию разделена на два разных пользователя: user - для повседневной работы и sysmaint для управления системой и выполнения административных задач, таких как обновление и установка нового ПО.
➡Обновлены сборки на базе компонентов защищённого дистрибутива Kicksecure, расширяющего Debian дополнительными механизмами и настройками для повышения безопасности: AppArmor для изоляции, установка обновлений через Tor, использование PAM-модуля tally2 для защиты от подбора паролей, расширение энтропии для RNG, отключение suid, отсутствие открытых сетевых портов по умолчанию, использование рекомендаций от проекта KSPP (Kernel Self Protection Project), добавление защиты от утечки сведений об активности CPU и т.п.
➡Добавлена стартовая страница whonix-welcome-page.
➡Для запуска приложения anon-gw-anonymizer-config задействован фреймворк privleap (аналог sudo).
➡Добавлена новая тема оформления загрузочного меню GRUB.
➡В список рекомендованных пакетов добавлен gnome-keyring, решающий проблемы с мессенджером Signal.
➡В Whonix-Workstation прекращена установка по умолчанию пакета qubes-core-agent-passwordless-root.

➡️ Ссылка на актуальную версию.
➡️ Changelog и новости.
➡️ Wiki проекта.

S.E. ▪️ infosec.work ▪️ VT

🌐 Запуск ОС в браузере и коллекция готовых VM.

• Небольшая коллекция ресурсов, которые помогут запустить различные версии ОС прямо в браузере. Это особенно полезно, когда хотите ознакомиться с ОС, но не хотите заморачиваться с поиском, загрузкой и установкой. Ну и в самом конце поста будет подборка полезных ссылочек, которые пригодятся вам если нужна виртуальная машина с определенной версией ОС. В общем и целом, добавляйте в закладки и пользуйтесь:

➡Instant Workstation — Хороший сервис для запуска ОС прямо в браузере. Для работы доступны Linux, BSD, Haiku, Redox, TempleOS и Quantix.
➡distrosea — Если не можете выбрать подходящий Linux дистрибутив, то вот вам полностью бесплатный сервис, который позволяет прямо в браузере затестить различные версии операционных систем. Тут даже есть богатый выбор графических оболочек, а общее кол-во доступных систем переваливает за 70!
➡PCjs Machines — эмулятор вычислительных систем 1970–1990 годов. Он работает в обычном браузере. Данный проект появился в 2012 году — его основал программист из Сиэтла Джефф Парсонс. Он хотел помочь людям понять, как работали первые компьютеры, и дать им возможность «поиграть» с различными конфигурациями этих машин.

• Дополнительно: полезный список ресурсов с готовыми образами для виртуальных машин VirtualBox и VMWare. Очень удобно для быстрого развертывания в качестве стендов для экспериментов.

➡Подборка различных образов для VirtualBox.
➡Free VirtualBox Images от разработчиков VirtualBox.
➡Коллекция готовых VM от Oracle.
➡Абсолютно любые конфигурации VM на базе Linux и Open Sources.
➡Подборка различных образов для VMware.
➡VM на iOS и MacOS: getutm и mac.getutm.
➡Образы для Mac: mac.getutm и utmapp.

• P.S. Заранее отмечу, что данный список не претендует на полноту. Такие ресурсы легко гуглятся, поэтому я отметил лишь те, что по моему мнению являются наиболее стабильными, качественными и которые я использую очень часто в своей работе.

S.E. ▪️ infosec.work ▪️ VT

👾 Уязвимые приложения...

• Подборка заранее уязвимых приложений, сервисов, ОС и прочего добра для вашего обучения, либо тестирования различного рода сканеров, тут уже решать вам.

- Online;
- Paid;
- Vulnerable VMs;
- Cloud Security;
- SSO - Single Sign On;
- Mobile Security;
➡OWASP Top 10;
- SQL Injection;
- XSS Injection;
- Server Side Request Forgery;
- CORS Misconfiguration;
- XXE Injection;
- Request Smuggling;
➡Technologies;
- WordPress;
- Node.js;
- Firmware;
- Uncategorized.

➡ https://github.com/vavkamil/awesome-vulnerable-apps/

S.E. ▪️ infosec.work ▪️ VT

👾 Agent Tesla.

• Данный материал написан в соавторстве с @mycroftintel

• Если вам кажется, что за вами кто-то наблюдает, проверяет буфер обмена и крадёт пароли из браузера — не спешите обвинять жену, Моссад или рептилоидов. Возможно, это всего лишь маленький и невзрачный Agent Tesla — один из самых популярных RAT'ов (Remote Access Trojan) последнего десятилетия. Появился он где-то в 2014 году, сначала как «инструмент для тестирования безопасности» (да-да, очень иронично), но быстро стал любимым детищем специалистов по фишингу, бот-мастеров и прочей цифровой нежити. Юмор в том, что он всё ещё продаётся по подписке — как Spotify, только для краденых паролей.

• Agent Tesla — это не просто троянчик из подворотни, а полноценный шпионский комбайн. Он крадёт учётные данные из браузеров, почтовиков и VPN-клиентов, логирует всё, что вы печатаете, снимает скриншоты, следит за буфером обмена и умеет передавать всё это добро хозяину через SMTP, FTP, HTTP или Telegram-ботов. Некоторые сборки умеют даже лезть в кошельки крипты и прокладывать себе туннели через системы защиты.

• Чем опасен? Тем, что он повсюду. Его шлют пачками через спам, вшивают в «резюме.doc», прикладывают к фейковым DHL-уведомлениям и запихивают в архивы с паролем. Благодаря доступности, простоте и обилию билдов, Agent Tesla стал цифровым «чёрным хлебом» среди начинающих киберпреступников. Он легко обходит антивирусы, особенно если чуть-чуть обфусцировать сборку или сменить загрузчик. А ещё его часто не детектят песочницы, потому что он может затаиться на старте и не выдать ничего подозрительного.

• Если ты работаешь с почтой, качаешь файлы или просто существуешь в интернете, знай: у тебя есть все шансы словить этого товарища. Проверяй вложения, не запускай .exe из .zip, и не думай, что обфусцированный .NET бинарник с названием Invoice2024.scr — это реально счёт-фактура. Agent Tesla не самый продвинутый, но один из самых распространённых, а значит — в твоём направлении он уже выехал.

➡ Дополнительную информацию можно найти в группе @mycroftintel

➡ Проверить файлы, ссылки, ip и QR-коды на наличие угроз можно в нашем боте: S.E. Virus Detect.

S.E. ▪️ infosec.work ▪️ VT

👩‍💻 Администрирование Linux.

• Этот бесплатный курс будет полезен тем, кто уже знаком с Linux. В рамках курса будут рассмотрены основы системного администрирования интернет-сервисов, обеспечения их отказоустойчивости, производительности и безопасности, а также особенности устройства ОС Linux, наиболее широко применяемой в подобных проектах.

• Получаемые навыки: проектирование и эксплуатация распределённых отказоустойчивых веб-сервисов, балансировка нагрузки, создание системы централизованной аутентификации и авторизации, обеспечение безопасности серверной инфраструктуры, использование систем виртуализации, резервное копирование настроек и данных.

• Курс был опубликован 8 лет назад, но он не теряет своей актуальности. Изучив данный материал вы получите огромное кол-во полезной информации и навыков. Содержание следующее:

➡Основы;
➡Пользовательское окружение Linux;
➡Linux и сеть;
➡Управление пользовательским окружением;
➡Веб-сервисы;
➡Хранение данных;
➡Сервисы инфраструктуры;
➡Резервное копирование;
➡Инфраструктура электронной почты;
➡Распределение ресурсов системы;
➡Основы информационной безопасности;
➡Отказоустойчивость и масштабирование.

• Дополнительно:

➡Подборка бесплатного материала для изучения Linux, которая окажется полезной не только новичкам, но и опытным специалистам!

S.E. ▪️ infosec.work ▪️ VT

🔐 С чего начать? Схема карьерных треков в кибербезопасности.

• На интерактивной схеме показаны рабочие роли (трудовые функции) в области кибербезопасности, сформированные на основе анализа текущих вакансий.

• Если вы задаетесь вопросом "как развиваться в кибербезопасности и куда расти? Какие задачи вы сможете решать через несколько лет? Сможете ли вы изменить свой карьерный путь, если поймете, что вам становится скучно?", то эта карта вам обязательно поможет:

➡ https://cybersecurity-roadmap.ru

• На схеме показаны девять направлений (ролей) развития специалиста по кибербезопасности:

➡Безопасность объектов критической информационной инфраструктуры;
➡Исследование безопасности;
➡Управление уязвимостями;
➡Администрирование средств защиты информации;
➡Аналитик SOC;
➡Комплаенс-аналитика;
➡Аналитика ИБ;
➡Безопасная разработка приложений.

• В процессе движения по карьерному пути специалист по кибербезопасности пробует себя в различных ролях и, как следствие, может претендовать на новые должности в компании, подразумевающие более сложные и интересные задачи.

• Специалист также может расти как эксперт в одной роли, например накапливать знания и навыки в области анализа защищенности или реверс-инжиниринга различных систем.

• В общем и целом, добавляйте ссылку в закладку и изучайте.

S.E. ▪️ infosec.work ▪️ VT