Про ИБ: канал собирает хаки, уязвимости, и бреши в информационной безопасности
21 subscribers
1.98K photos
275 videos
151 files
2.28K links
Мой канал «О жизни через призму двух сторон ИБ - хакинга и и информационной безопасности»

Ну и немного личного, конечно
Download Telegram
🖥 Репозиторий: Linux Exploit Suggester — инструмент для поиска локальных уязвимостей в Linux-системах

Linux Exploit Suggester
— скрипт на Python, который анализирует конфигурацию и версию ядра Linux, а также системные библиотеки, чтобы подобрать возможные известные эксплоиты для эскалации привилегий.

Помогает быстро выявлять потенциальные уязвимости локального окружения.


— Инструмент использует обновляемую базу известных уязвимостей, облегчая поиск эксплойтов, применимых к конкретной версии ядра и установленным компонентам системы.

Ссылка на GitHub

#Linux #Pentest #Exploit #PrivilegeEscalation #Python
Please open Telegram to view this post
VIEW IN TELEGRAM
📄 Огромная шпаргалка по Docker

— Она включает в себя команды для работы с сетью, образами, дисками, реестрами, контейнерами и многое другое

На русском языке!

🗄 Шпаргалка – линк.
Please open Telegram to view this post
VIEW IN TELEGRAM
Фишинговая кампания юзает историю ареста Мадуро для распространения бэкдора kugou.dll и 360NB
И как бы все ништяк 😎
Ну теперь то Мадура точно не уйдет !
Link
Forwarded from PWN AI (Artyom Semenov)
В начале прошлого года Anthropic выкатили Constitutional Classifiers (CC). На тот момент казалось, что это Эверест в мире гардрейлов - никто раньше не делал ничего подобного, чтобы система обучалась самостоятельно. Казалось бы, живи да радуйся. Но сейчас, в начале 2026-го, ребята решили: "Эверест? Это же детская горка для ИИ, который мечтает стать кибер-Бэтменом!" И выкатили апдейт - Constitutional Classifiers ++ (CC++). 🤟

Чем оно отличается и как работает - давайте разбирать. ☺️

Если нырнуть в статью и посмотреть на архитектуру и методологию, там обнаружится пачка очень изящных инженерных решений. Они позволили убить двух зайцев: увеличить точность детекции атак и, что критично, уменьшить latency (время задержки) на инференсе. На практике это дало 40-кратное снижение вычислительной стоимости по сравнению с предыдущим поколением CC - и всё это при сохранении отказов всего в 0,05% на реальном пользовательском трафике.🤟

Представьте, что вы пытаетесь поймать зайца, не глядя на поле, а анализируя колебания травы за километр от него - примерно так работали старые методы, но в CC++ Anthropic внедрили Linear Probes (линейные зонды/пробы).😀

Раньше классификаторы “поедали” кучу токенов, долго и нудно рассуждая: “Хм, а не опасно ли это действие пользователя?”. Линейные зонды работают иначе - они смотрят прямо на активации модели. Зонды видят внутренние активации модели так, как ваша кошка видит, где спрятаны ваши последние нервы. 🐱

И раз уж мы заговорили о чтении мыслей, давайте вспомним про старую болячку - context splitting.

До недавнего времени на arXiv регулярно всплывали методы эффективных джейлбрейков, где злоумышленники разбивали вредоносный запрос на 10 и более безобидных сообщений. В конкатенации они заставляли модель генерировать лютую дичь, и обычный CC часто это пропускал, не видя общей картины.😔

В CC++ эту проблему решили радикально - инженеры полезли в самую "внутрянку". Новые классификаторы мониторят KV-cache и историю активаций. По сути, они учитывают весь контекст ввода, даже если зловредный запрос разбит на десятки безобидных реплик.

Но вернемся к нашим баранам, а точнее - к эшелонированной защите, которая тут напоминает средневековую крепость, только с GPU. CC++ представляет собой каскадную систему из двух эшелонов.

Первый эшелон (Fast & Cheap): Linear Probes мгновенно отсеивают явные атаки - как охранник в супермаркете, гоняющий подозрительных без лишних вопросов.
Второй эшелон (Slow & Smart): при неуверенности включается генеративный классификатор – "тяжёлая артиллерия", которая анализирует весь контекст, как налоговая в поисках улик.

Именно эта каскадная архитектура и позволила добиться того самого 40-кратного выигрыша в эффективности - ведь "тяжёлая артиллерия" включается лишь в редких, пограничных случаях.

Чтобы натренировать систему, Anthropic провели 1700 часов red-teaming’а - настоящую цифровую бойню. 🤨

Интересно посмотреть, как они использовали синтетические данные. Говорят, они взяли множество LLM-атакующих и заставили их генерировать миллионы примеров атак. Особый упор сделали на Multi-turn атаки для того, чтобы "показать" линейным зондам, как выглядят скрытые паттерны злонамеренности внутри нейросети - такие, которые человек в тексте даже не заметил бы, а вот на уровне весов они светятся как новогодняя елка.

И, наконец, финальный гвоздь в крышку гроба джейлбрейков - защита от Prefilling.

Старые классификаторы работали по наивному принципу: они видели, что модель начала отвечать позитивно, и пропускали ответ. Логика была проста: “Раз модель согласилась помочь, значит, запрос был нормальным". Ага, конечно.

CC++ анализирует входящий запрос и планируемый ответ в связке. Зонд видит несоответствие:
- запрос: “Как сварить мет...” (ужасный);
- активации модели: “О, я знаю! Сейчас расскажу!” (слишком “радостные” и услужливые).
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from PWN AI (Artyom Semenov)
Этот диссонанс вызывает срабатывание блокировки еще до того, как пользователь увидит хоть один токен вредного текста. То есть, по факту, реализовали превентивный удар по Prefilling-атакам, когда модели насильно скармливают начало ответа, чтобы она продолжила в том же духе.

Кажется, что они сделали практичную экзорцизм-машину для джейлбрейков. 🤨🤨🤨
Please open Telegram to view this post
VIEW IN TELEGRAM
Представители Instagram* отрицают утечку данных 17 млн аккаунтов

Разработчики Instagram* исправили уязвимость, которая позволяла массово рассылать письма для сброса пароля. При этом в компании отрицают компрометацию своих систем, хотя недавно в сети выложили дамп с данными 17,5 млн учетных записей.

https://xakep.ru/2026/01/12/insta-leak/
Forwarded from overbafer1
🥷 Хацкерский форум BreachForums сам стал жертвой слива.

Крупнейший хацкерский форум BreachForums — та самая площадка, где годами барыжили украденными базами и эксплойтами, сам оказался жертвой взлома.

🗄 Неизвестные вывалили в паблик архив с внутренней кухней форума. Под раздачу попали 324k аккаунтов: обычные юзеры, продавцы краденого и даже часть администрации.

🗄 В утекшей базе полный фарш:
— Имена пользователей и email-адреса;
— Хэшированные пароли (Argon2);
— IP-адреса регистрации и метаданные профилей.
Самое опасное для «мамкиных анонимусов»:


😏 Хоть многие адреса ведут на локальные значения и бесполезны для деанонимизации, но в базе нашлось более 70 000 реальных публичных IP-адресов. Это просто подарок для Интерпола и ФБР.

😬 Текущий админ форума факт утечки подтвердил, но попытался отмазаться: мол, это старая база, слитая из-за «технической ошибки» при восстановлении сайта в августе 2025-го.

Классический френдли файер 😆

@overbafer1
Please open Telegram to view this post
VIEW IN TELEGRAM
Италия оштрафовала Cloudflare на 14,2 млн евро за отказ блокировать пиратские сайты

Итальянский регулятор AGCOM оштрафовал Cloudflare на рекордные 14,2 миллиона евро за отказ блокировать пиратские сайты через публичный DNS-резолвер 1.1.1.1. В компании утверждали, что фильтрация технически невозможна без ущерба для производительности, но регулятор с этим не согласился.

https://xakep.ru/2026/01/12/cloudflare-fine/
☝🏻В популярной платформе автоматизации n8n обнаружена критическая уязвимость

CVE-2026-21858 получила говорящее название Ni8mare и максимальную оценку опасности 10.0 по шкале CVSS.

Уязвимость позволяет неаутентифицированному злоумышленнику получить полный контроль над сервером без каких-либо учётных данных.

Суть проблемы заключается в путанице типов контента (Content-Type confusion) при обработке вебхуков: если отправить запрос с заголовком application/json вместо multipart/form-data, платформа использует обычный парсер вместо защищённого загрузчика файлов, что позволяет атакующему подменить внутренний объект req.body.files и читать произвольные файлы с сервера.💀

Эксплуатация бага позволяет злоумышленнику получать доступ к БД, извлекать учетные данные администратора и ключи шифрования, подделывать сессионные cookie для обхода аутентификации и в конечном итоге добиться выполнения произвольных команд.🔥

n8n насчитывает более 100 миллионов загрузок на Docker Hub, а в сети обнаружено более 26 000 публично доступных уязвимых инстансов.

Большинство из них расположено в США (7079), Германии (4280) и Франции (2655).

☝🏻Особую опасность представляет то, что n8n обычно хранит API-ключи, OAuth-токены, учётные данные баз данных и секреты CI/CD — компрометация одного сервера может открыть доступ ко всей инфраструктуре организации.
================
💎 мMм | 👁 Soft | 👁 Gear | 🌐 Links
Please open Telegram to view this post
VIEW IN TELEGRAM
🖥 Январский Patch Tuesday: 114 багов, зиродей и прощание с модемными драйверами

Microsoft открывает 2026 год мощным релизом, устранив 114 уязвимостей. Из них 8 критических и 106 важных, включая один активно эксплуатируемый зиродей и две публично разглашённые уязвимости. По категориям лидируют баги с повышением привилегий (57), за ними следуют RCE (22) и разглашение информации (22). Ещё 5 CVE приводят к спуфингу, 3 — к обходу функций безопасности и 2 — к DoS.

Активно эксплуатируемый зиродей CVE-2026-20805 (CVSS 5.5) в Desktop Window Manager приводит к разглашению информации, а именно — утечке адресов памяти через ALPC-порт на удалённом устройстве. Обнаружение приписывают MSTIC и MSRC, но как обычно никакой конкретики. Также в DWM устранена ещё одна EoP CVE-2026-20871 (CVSS 7.8), оценённая как «эксплуатация более вероятна».

Публично разглашённые до патча

CVE-2026-21265 (CVSS 6.4) — обход функций безопасности из-за истечения срока действия сертификатов Secure Boot. Три ключевых сертификата Microsoft истекают в 2026 году: Microsoft Corporation KEK CA 2011 (24 июня), Microsoft Corporation UEFI CA 2011 (27 июня) и Microsoft Windows Production PCA 2011 (19 октября). Без обновления сертификатов системы с Secure Boot перестанут получать патчи и доверять новым загрузчикам. Основной риск здесь связан как раз с отсутствием будущих обновлений и повышенной вероятностью обхода Secure Boot атакующими. Microsoft предупреждала об этом «патче» ещё в июне.

CVE-2023-31096 — EoP в драйверах древних модемов Agere, которые поставлялись с Windows. Microsoft предупреждала об активной эксплуатации этих уязвимостей ещё в октябре и обещала удалить драйверы. Теперь agrsm64.sys, agrsm.sys полностью удалены из системы.

Критические уязвимости

CVE-2026-20952 и -20953 — RCE в Office (CVSS 8.4), эксплуатируемые из панели предварительного просмотра без взаимодействия с пользователем. Вы ещё не отключили preview pane? Тогда мы идём к вам!

CVE-2026-20955 и -20957 — RCE в Excel (CVSS 7.8), а CVE-2026-20944 — в Word.

CVE-2026-20822 — EoP в Windows Graphics Component
CVE-2026-20854 — RCE в LSASS (CVSS 7.5, требует аутентификации).

Примечательна CVE-2026-20876 — кажется, первая EoP в Windows Virtualization-Based Security Enclave, позволяющая повысить привилегии до VTL2 (высший уровень доверия). Microsoft оценила CVSS как 6.7, но ZDI считает, что оценка должна быть 8.2.

Другие важные уязвимости

CVE-2026-20840 и -20922 — RCE в NTFS (CVSS 7.8), вызванные переполнением буфера в куче. Оцениваются как «эксплуатация более вероятна», работают с низкими привилегиями.

CVE-2026-20820 — очередная EoP в драйвере CLFS, популярном у рансомварщиков. Не откладывайте патчинг.

#Microsoft #уязвимости @П2Т
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from overbafer1
🥷 Новый метод взлома через собес VS Code.

🇰🇵 Северокорейские хацкеры из Lazarus Group снова в деле. Теперь они не просто шлют фишинговые ссылки, а ломают разрабов через их же любимый редактор кода VS Code.

🛠 Схема развода:
Вам пишет «HR» с жирным оффером в крутой крипто-стартап. Просят склонировать репу с GitHub и «пофиксить баг» или «оценить код».

Открыв проект в VS Code, видите стандартное окно: «Do you trust the authors?».
Нажмешь Yes — и всё, вы инфицированы.


🦠 В папке .vscode спрятан файл tasks.json с хитрым параметром runOn: folderOpen. В ту же секунду, как открыли папку, редактор автоматически запускает вредоносный скрипт в фоне.

😬 Выносят всё: Сид-фразы и ключи от 40+ кошельков (MetaMask, Phantom, Binance). Все пароли, куки, сессии браузеров, а также получают полный удаленный контроль.

Юзаем подобное в виртуалке или Docker-контейнере. Иначе можно стать спонсором ядерной программы Ким Чен Ына
😐

@overbafer1
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Банкста
Китай потребовал от своих компаний прекратить использование американского и израильского программного обеспечения в сфере кибербезопасности, ссылаясь на риски для национальной безопасности. Речь идёт об американских фирмах VMware, Palo Alto Networks и Fortinet, а также об израильской Check Point Software Technologies. @banksta
Будущее хешкрекинга. Как ИИ и квантовые компьютеры изменят перебор паролей

Сегодня разберемся с двумя самыми популярными страшилками журналистских заголовков: квантовые компьютеры вот‑вот взломают всю криптографию и ИИ якобы может взломать твой пароль. Посмотрим, как устроена хеш‑функция, что такое квантовые вычисления, при чем здесь алгоритмы Шора и Гровера, может ли ИИ брутфорсить пароли и как все это поможет нам в хешкрекинге.

https://xakep.ru/2026/01/16/hashcracking-future/
LLMs-local

Это репозиторий, предназначенный для предоставления списка платформ, инструментов и ресурсов, которые позволяют запускать большие языковые модели (LLM) локально.

Он включает в себя различные платформы для инференса, движки инференса и пользовательские интерфейсы, а также сами большие языковые модели.

Репозиторий регулярно обновляется, обеспечивая актуальность информации о доступных инструментах.

https://github.com/0xSojalSec/LLMs-local
================
👁 News | 👁 Soft | 👁 Gear | 👁 Links
Please open Telegram to view this post
VIEW IN TELEGRAM
🔺 RDP для тех, кто во время пандемии прятался в бункере

RDP – это защищенный протокол сетевой связи, который Microsoft купила у компании Polycom.

Он позволяет пользователям удаленно и безопасно подключаться к своим компьютерам.

Кроме того, RDP используется сетевыми администраторами и DevOps-командами для удаленного обслуживания, диагностики и ремонта систем.


— В данной статье мы рассмотрим принципы работы и ключевые функции протокола удаленного доступа RDP, а также проанализируем его уязвимости и лучшие практики для обеспечения безопасного использования.

↘️ SecurityLab

☑️ Записки Безопасника
Please open Telegram to view this post
VIEW IN TELEGRAM
Хотите маленький почти новогодний подарок 🎁 из области ИБ и домашней автоматизации? Представьте, что вы потеряли свой iPhone (или это телефон ваших близких – родителей, детей и т.п.) или его украли. Как можно узнать, где находится устройство и, возможно, кто приделал ему ноги? Да, есть функция "Найди iPhone", но ее надо предварительно включить (кстати, включите сейчас). Но есть и другой способ 📱

Последовательность выглядит следующим образом: 👉
6️⃣ Откройте приложений Shortcuts и выберите Automation (я показываю английские название, так как у меня язык на смартфоне английский и я не знаю, как оно звучит на русском).
2️⃣ Выберите Create Personal Automation.
3️⃣ Выберите Message (тут можно начать с обычной SMS, но потом добавить и другие варианты – iMessage, почтовый клиент, мессенджер), затем When I Receive a Message, Any и установите слово-триггер, по которому будет срабатывать скрипт автоматизации. Например, это может быть слово "Украден" или "###LOSTPHONE###".
4️⃣ Затем вы устанавливаете набор действий (именно в такой последовательности):
🌟 Get Current Location (получаете текущую локацию; хотя при регулярном отключении GPS/ГЛОНАСС это может сыграть злую шутку). Можно добавить в текст отправляемого сообщения "httpx://maps.apple[.]com/?q={{Current Location}}" для ссылки на карты Apple (x на s и квадратные скобки замените при копировании).
🌟 Send Message → номер телефона, на который будет отправляться местоположение (это не тот же самый номер, который украден). Вместо отправки на номер телефона можно отправлять e-mail. В настройках на забудьте "Show When Run = OFF" – это гарантирует, что хотя бы координаты уйдут всегда.
🌟 Take Photo → Front camera (preview OFF) (делается снимок фронтальной камеры, что покажет либо вора, либо место для GEOINT). В настройках этого шага укажите Show Camera Preview / Preview: OFF и, если есть, Save to Photos: OFF. Перед использованием один раз вручную запустите ярлык, чтобы выдать доступы камере или задайте их сразу (сильно зависит от версии iOS). Именно этот шаг самый нестабильный – не всегда фото отправляется (зависит от настроек), а по SMS так почти никогда.
🌟 Send Message → номер телефона, на который будет отправлять фотография с фронтальной камеры. В настройках на забудьте "Show When Run = OFF".
5️⃣ Включите Ask Before Running → OFF (это отключит запрос на запуск скрипта автоматизации – он будет срабатывать незаметно)
6️⃣ Включите Notify When Run → OFF (это отключит уведомление о запуске скрипта автоматизации) 🔔 Последние два шага не гарантируют полной незаметности, но убирают диалоги Shortcuts.

Все! Теперь, когда вы отправите слово-тригер на ваш номер (если его, конечно, не отключат сразу), указанный скрипт сработает автоматически 🤔 Но перед тем как считать все готовым, запустите скрипт (нажмите Run вручную) чтобы предоставить доступ к геолокации, камере и сообщениям. Без этого автоматизация может “тихо не работать”.

В идеале, при отправке кодового слова-триггера на потерянный/украденный смартфон он отправит свою геолокацию 📍 и фото вора или окружения. В реалистичном сценарии вы получите хотя бы геолокацию (но это и есть самое ценное). В худшем сценарии (во время отключения мобильной связи или телефон был выключен или переведен в авиарежим) механизм автоматизации бессилен 🤔

В качестве совета:
➡️ Сделайте 2-3 автоматизации с разными кодовыми словами на случай, если одно сообщение не дойдет.
➡️ Сложные сценарии с if then лучше не делать – повышаются шансы сбоя.
➡️ Отправка всего в одном сообщении – если будет сбой, вы не получите ничего. Поэтому лучше на каждую порцию информации делать отдельное действие "отправить".

ЗЫ. Три года назад я приводил и другой пример "домашней автоматизации" на Shortcust – для отслеживания утечек паролей 🧑‍💻

ЗЗЫ. На скринах показан вариант для одной из прежних версий iOS, где можно было включить режим энергосбережения для увеличения времени работы смартфона (Low Power Mode). В последней версии это уже не работает 🔋

#bestpractice
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Gootloader претерпел серьезные изменения и теперь задействует некорректно сформированный ZIP-архив для обхода обнаружения путем объединения до 1000 архивов.

При этом вредоносная ПО, представляющая собой архивированный файл JScript, приводит к сбоям при попытке ее анализа многими инструментами.

По данным исследователей, вредоносный файл успешно распаковывается с помощью стандартной утилиты Windows, но инструменты, использующие 7-Zip и WinRAR, не справляются с этой задачей.

Для достижения этой цели злоумышленник, стоящий за вредоносным ПО, объединяет от 500 до 1000 ZIP-архивов, а также использует другие уловки, дабы затруднить их анализ с помощью инструментов обнаружения.

Загрузчик активен с 2020 года и взят на вооружение различными хакерскими группировками, включая банд вымогателей.

После семимесячного перерыва Gootloader вернулся к жизни в ноябре прошлого года, о чем рапортовали исследователи из Huntress Labs и DFIR Report.

Хотя в те времена существовали и некорректно сформированные ZIP-архивы, они содержали минимальные изменения, и при попытке извлечения данных возникали несоответствия в именах файлов.

По данным исследователей Expel, в руки которых попали самые свежие образцы, для дальнейшего усиления защиты от анализа операторы Gootloader внедрили гораздо более серьезные механизмы обфускации.

В частности:

- Объединение до тысячи ZIP-архивов с учетом того, что парсеры читают с конца файла.

- Использование усеченного конца центрального каталога (EOCD), в котором отсутствуют два обязательных байта, что приводит к сбою анализа большинством инструментов.

- Случайная инициализация в полях с номерами дисков, из-за чего инструменты ожидают наличия несуществующих многодисковых архивов.

- Добавление несоответствия метаданных между заголовками локальных файлов и записями центрального каталога.

- Создание для каждого загружаемого файла уникальных ZIP-архивов и JScript-файлов для ухода от обнаружения статических объектов.

- Доставка ZIP-архива в виде закодированного с помощью XOR объекта, который декодируется и многократно добавляется на стороне клиента до достижения желаемого размера, избегая обнаружения сетевыми средствами.

После запуска на хосте скрипт JScript вредоносной ПО активируется через Windows Script Host (WScript) из временного каталога и обеспечивает постоянное присутствие в системе, добавляя в папку автозагрузки файлы ярлыков (.LNK), указывающие на второй файл JScript.

Эта полезная нагрузка выполняется при первом запуске и при каждой загрузке системы, запуская CScript с короткими именами NTFS, после чего запускается PowerShell.

Безусловно, разработчикам Gootloader удалось реализовать множество методов искажения данных для уклонения обнаружения без нарушения функциональности.

Однако исследователям Expel удалось выявить структурные аномалии, которые позволяют эффективно детектить угрозу.

По результатам выкатили правила YARA, позволяющие последовательно идентифицировать ZIP-архивы.

Обнаружение основано на выявлении определенной комбинации характеристик заголовка ZIP-архива, сотен повторяющихся заголовков локальных файлов и записей EOCD.

Кроме того, для защиты от угрозы исследователи рекомендуют изменять приложение по умолчанию для открытия файлов JScript с Windows Script Host на Блокнот, предотвращая их выполнение.

Для уменьшения поверхности атаки, Expel также советуют блокировать выполнение загруженного контента с помощью wscript.exe и cscript.exe, если файлы JScript не требуются.
Трафик, направленный по указанному пути сертификата, может достигать источников за Cloudflare, даже когда остальная часть приложения заблокирована правилами клиента.
*
REEEEAAAAD
Forwarded from Proxy Bar
PostgreSQL - password ? NO ! 😁
*
data files without credentials - forensics, data recovery, and security research tool
DownLoad tool