Про ИБ: канал собирает хаки, уязвимости, и бреши в информационной безопасности
21 subscribers
1.98K photos
275 videos
151 files
2.28K links
Мой канал «О жизни через призму двух сторон ИБ - хакинга и и информационной безопасности»

Ну и немного личного, конечно
Download Telegram
Forwarded from PWN AI (Artyom Semenov)
Этот диссонанс вызывает срабатывание блокировки еще до того, как пользователь увидит хоть один токен вредного текста. То есть, по факту, реализовали превентивный удар по Prefilling-атакам, когда модели насильно скармливают начало ответа, чтобы она продолжила в том же духе.

Кажется, что они сделали практичную экзорцизм-машину для джейлбрейков. 🤨🤨🤨
Please open Telegram to view this post
VIEW IN TELEGRAM
Представители Instagram* отрицают утечку данных 17 млн аккаунтов

Разработчики Instagram* исправили уязвимость, которая позволяла массово рассылать письма для сброса пароля. При этом в компании отрицают компрометацию своих систем, хотя недавно в сети выложили дамп с данными 17,5 млн учетных записей.

https://xakep.ru/2026/01/12/insta-leak/
Forwarded from overbafer1
🥷 Хацкерский форум BreachForums сам стал жертвой слива.

Крупнейший хацкерский форум BreachForums — та самая площадка, где годами барыжили украденными базами и эксплойтами, сам оказался жертвой взлома.

🗄 Неизвестные вывалили в паблик архив с внутренней кухней форума. Под раздачу попали 324k аккаунтов: обычные юзеры, продавцы краденого и даже часть администрации.

🗄 В утекшей базе полный фарш:
— Имена пользователей и email-адреса;
— Хэшированные пароли (Argon2);
— IP-адреса регистрации и метаданные профилей.
Самое опасное для «мамкиных анонимусов»:


😏 Хоть многие адреса ведут на локальные значения и бесполезны для деанонимизации, но в базе нашлось более 70 000 реальных публичных IP-адресов. Это просто подарок для Интерпола и ФБР.

😬 Текущий админ форума факт утечки подтвердил, но попытался отмазаться: мол, это старая база, слитая из-за «технической ошибки» при восстановлении сайта в августе 2025-го.

Классический френдли файер 😆

@overbafer1
Please open Telegram to view this post
VIEW IN TELEGRAM
Италия оштрафовала Cloudflare на 14,2 млн евро за отказ блокировать пиратские сайты

Итальянский регулятор AGCOM оштрафовал Cloudflare на рекордные 14,2 миллиона евро за отказ блокировать пиратские сайты через публичный DNS-резолвер 1.1.1.1. В компании утверждали, что фильтрация технически невозможна без ущерба для производительности, но регулятор с этим не согласился.

https://xakep.ru/2026/01/12/cloudflare-fine/
☝🏻В популярной платформе автоматизации n8n обнаружена критическая уязвимость

CVE-2026-21858 получила говорящее название Ni8mare и максимальную оценку опасности 10.0 по шкале CVSS.

Уязвимость позволяет неаутентифицированному злоумышленнику получить полный контроль над сервером без каких-либо учётных данных.

Суть проблемы заключается в путанице типов контента (Content-Type confusion) при обработке вебхуков: если отправить запрос с заголовком application/json вместо multipart/form-data, платформа использует обычный парсер вместо защищённого загрузчика файлов, что позволяет атакующему подменить внутренний объект req.body.files и читать произвольные файлы с сервера.💀

Эксплуатация бага позволяет злоумышленнику получать доступ к БД, извлекать учетные данные администратора и ключи шифрования, подделывать сессионные cookie для обхода аутентификации и в конечном итоге добиться выполнения произвольных команд.🔥

n8n насчитывает более 100 миллионов загрузок на Docker Hub, а в сети обнаружено более 26 000 публично доступных уязвимых инстансов.

Большинство из них расположено в США (7079), Германии (4280) и Франции (2655).

☝🏻Особую опасность представляет то, что n8n обычно хранит API-ключи, OAuth-токены, учётные данные баз данных и секреты CI/CD — компрометация одного сервера может открыть доступ ко всей инфраструктуре организации.
================
💎 мMм | 👁 Soft | 👁 Gear | 🌐 Links
Please open Telegram to view this post
VIEW IN TELEGRAM
🖥 Январский Patch Tuesday: 114 багов, зиродей и прощание с модемными драйверами

Microsoft открывает 2026 год мощным релизом, устранив 114 уязвимостей. Из них 8 критических и 106 важных, включая один активно эксплуатируемый зиродей и две публично разглашённые уязвимости. По категориям лидируют баги с повышением привилегий (57), за ними следуют RCE (22) и разглашение информации (22). Ещё 5 CVE приводят к спуфингу, 3 — к обходу функций безопасности и 2 — к DoS.

Активно эксплуатируемый зиродей CVE-2026-20805 (CVSS 5.5) в Desktop Window Manager приводит к разглашению информации, а именно — утечке адресов памяти через ALPC-порт на удалённом устройстве. Обнаружение приписывают MSTIC и MSRC, но как обычно никакой конкретики. Также в DWM устранена ещё одна EoP CVE-2026-20871 (CVSS 7.8), оценённая как «эксплуатация более вероятна».

Публично разглашённые до патча

CVE-2026-21265 (CVSS 6.4) — обход функций безопасности из-за истечения срока действия сертификатов Secure Boot. Три ключевых сертификата Microsoft истекают в 2026 году: Microsoft Corporation KEK CA 2011 (24 июня), Microsoft Corporation UEFI CA 2011 (27 июня) и Microsoft Windows Production PCA 2011 (19 октября). Без обновления сертификатов системы с Secure Boot перестанут получать патчи и доверять новым загрузчикам. Основной риск здесь связан как раз с отсутствием будущих обновлений и повышенной вероятностью обхода Secure Boot атакующими. Microsoft предупреждала об этом «патче» ещё в июне.

CVE-2023-31096 — EoP в драйверах древних модемов Agere, которые поставлялись с Windows. Microsoft предупреждала об активной эксплуатации этих уязвимостей ещё в октябре и обещала удалить драйверы. Теперь agrsm64.sys, agrsm.sys полностью удалены из системы.

Критические уязвимости

CVE-2026-20952 и -20953 — RCE в Office (CVSS 8.4), эксплуатируемые из панели предварительного просмотра без взаимодействия с пользователем. Вы ещё не отключили preview pane? Тогда мы идём к вам!

CVE-2026-20955 и -20957 — RCE в Excel (CVSS 7.8), а CVE-2026-20944 — в Word.

CVE-2026-20822 — EoP в Windows Graphics Component
CVE-2026-20854 — RCE в LSASS (CVSS 7.5, требует аутентификации).

Примечательна CVE-2026-20876 — кажется, первая EoP в Windows Virtualization-Based Security Enclave, позволяющая повысить привилегии до VTL2 (высший уровень доверия). Microsoft оценила CVSS как 6.7, но ZDI считает, что оценка должна быть 8.2.

Другие важные уязвимости

CVE-2026-20840 и -20922 — RCE в NTFS (CVSS 7.8), вызванные переполнением буфера в куче. Оцениваются как «эксплуатация более вероятна», работают с низкими привилегиями.

CVE-2026-20820 — очередная EoP в драйвере CLFS, популярном у рансомварщиков. Не откладывайте патчинг.

#Microsoft #уязвимости @П2Т
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from overbafer1
🥷 Новый метод взлома через собес VS Code.

🇰🇵 Северокорейские хацкеры из Lazarus Group снова в деле. Теперь они не просто шлют фишинговые ссылки, а ломают разрабов через их же любимый редактор кода VS Code.

🛠 Схема развода:
Вам пишет «HR» с жирным оффером в крутой крипто-стартап. Просят склонировать репу с GitHub и «пофиксить баг» или «оценить код».

Открыв проект в VS Code, видите стандартное окно: «Do you trust the authors?».
Нажмешь Yes — и всё, вы инфицированы.


🦠 В папке .vscode спрятан файл tasks.json с хитрым параметром runOn: folderOpen. В ту же секунду, как открыли папку, редактор автоматически запускает вредоносный скрипт в фоне.

😬 Выносят всё: Сид-фразы и ключи от 40+ кошельков (MetaMask, Phantom, Binance). Все пароли, куки, сессии браузеров, а также получают полный удаленный контроль.

Юзаем подобное в виртуалке или Docker-контейнере. Иначе можно стать спонсором ядерной программы Ким Чен Ына
😐

@overbafer1
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Банкста
Китай потребовал от своих компаний прекратить использование американского и израильского программного обеспечения в сфере кибербезопасности, ссылаясь на риски для национальной безопасности. Речь идёт об американских фирмах VMware, Palo Alto Networks и Fortinet, а также об израильской Check Point Software Technologies. @banksta
Будущее хешкрекинга. Как ИИ и квантовые компьютеры изменят перебор паролей

Сегодня разберемся с двумя самыми популярными страшилками журналистских заголовков: квантовые компьютеры вот‑вот взломают всю криптографию и ИИ якобы может взломать твой пароль. Посмотрим, как устроена хеш‑функция, что такое квантовые вычисления, при чем здесь алгоритмы Шора и Гровера, может ли ИИ брутфорсить пароли и как все это поможет нам в хешкрекинге.

https://xakep.ru/2026/01/16/hashcracking-future/
LLMs-local

Это репозиторий, предназначенный для предоставления списка платформ, инструментов и ресурсов, которые позволяют запускать большие языковые модели (LLM) локально.

Он включает в себя различные платформы для инференса, движки инференса и пользовательские интерфейсы, а также сами большие языковые модели.

Репозиторий регулярно обновляется, обеспечивая актуальность информации о доступных инструментах.

https://github.com/0xSojalSec/LLMs-local
================
👁 News | 👁 Soft | 👁 Gear | 👁 Links
Please open Telegram to view this post
VIEW IN TELEGRAM
🔺 RDP для тех, кто во время пандемии прятался в бункере

RDP – это защищенный протокол сетевой связи, который Microsoft купила у компании Polycom.

Он позволяет пользователям удаленно и безопасно подключаться к своим компьютерам.

Кроме того, RDP используется сетевыми администраторами и DevOps-командами для удаленного обслуживания, диагностики и ремонта систем.


— В данной статье мы рассмотрим принципы работы и ключевые функции протокола удаленного доступа RDP, а также проанализируем его уязвимости и лучшие практики для обеспечения безопасного использования.

↘️ SecurityLab

☑️ Записки Безопасника
Please open Telegram to view this post
VIEW IN TELEGRAM
Хотите маленький почти новогодний подарок 🎁 из области ИБ и домашней автоматизации? Представьте, что вы потеряли свой iPhone (или это телефон ваших близких – родителей, детей и т.п.) или его украли. Как можно узнать, где находится устройство и, возможно, кто приделал ему ноги? Да, есть функция "Найди iPhone", но ее надо предварительно включить (кстати, включите сейчас). Но есть и другой способ 📱

Последовательность выглядит следующим образом: 👉
6️⃣ Откройте приложений Shortcuts и выберите Automation (я показываю английские название, так как у меня язык на смартфоне английский и я не знаю, как оно звучит на русском).
2️⃣ Выберите Create Personal Automation.
3️⃣ Выберите Message (тут можно начать с обычной SMS, но потом добавить и другие варианты – iMessage, почтовый клиент, мессенджер), затем When I Receive a Message, Any и установите слово-триггер, по которому будет срабатывать скрипт автоматизации. Например, это может быть слово "Украден" или "###LOSTPHONE###".
4️⃣ Затем вы устанавливаете набор действий (именно в такой последовательности):
🌟 Get Current Location (получаете текущую локацию; хотя при регулярном отключении GPS/ГЛОНАСС это может сыграть злую шутку). Можно добавить в текст отправляемого сообщения "httpx://maps.apple[.]com/?q={{Current Location}}" для ссылки на карты Apple (x на s и квадратные скобки замените при копировании).
🌟 Send Message → номер телефона, на который будет отправляться местоположение (это не тот же самый номер, который украден). Вместо отправки на номер телефона можно отправлять e-mail. В настройках на забудьте "Show When Run = OFF" – это гарантирует, что хотя бы координаты уйдут всегда.
🌟 Take Photo → Front camera (preview OFF) (делается снимок фронтальной камеры, что покажет либо вора, либо место для GEOINT). В настройках этого шага укажите Show Camera Preview / Preview: OFF и, если есть, Save to Photos: OFF. Перед использованием один раз вручную запустите ярлык, чтобы выдать доступы камере или задайте их сразу (сильно зависит от версии iOS). Именно этот шаг самый нестабильный – не всегда фото отправляется (зависит от настроек), а по SMS так почти никогда.
🌟 Send Message → номер телефона, на который будет отправлять фотография с фронтальной камеры. В настройках на забудьте "Show When Run = OFF".
5️⃣ Включите Ask Before Running → OFF (это отключит запрос на запуск скрипта автоматизации – он будет срабатывать незаметно)
6️⃣ Включите Notify When Run → OFF (это отключит уведомление о запуске скрипта автоматизации) 🔔 Последние два шага не гарантируют полной незаметности, но убирают диалоги Shortcuts.

Все! Теперь, когда вы отправите слово-тригер на ваш номер (если его, конечно, не отключат сразу), указанный скрипт сработает автоматически 🤔 Но перед тем как считать все готовым, запустите скрипт (нажмите Run вручную) чтобы предоставить доступ к геолокации, камере и сообщениям. Без этого автоматизация может “тихо не работать”.

В идеале, при отправке кодового слова-триггера на потерянный/украденный смартфон он отправит свою геолокацию 📍 и фото вора или окружения. В реалистичном сценарии вы получите хотя бы геолокацию (но это и есть самое ценное). В худшем сценарии (во время отключения мобильной связи или телефон был выключен или переведен в авиарежим) механизм автоматизации бессилен 🤔

В качестве совета:
➡️ Сделайте 2-3 автоматизации с разными кодовыми словами на случай, если одно сообщение не дойдет.
➡️ Сложные сценарии с if then лучше не делать – повышаются шансы сбоя.
➡️ Отправка всего в одном сообщении – если будет сбой, вы не получите ничего. Поэтому лучше на каждую порцию информации делать отдельное действие "отправить".

ЗЫ. Три года назад я приводил и другой пример "домашней автоматизации" на Shortcust – для отслеживания утечек паролей 🧑‍💻

ЗЗЫ. На скринах показан вариант для одной из прежних версий iOS, где можно было включить режим энергосбережения для увеличения времени работы смартфона (Low Power Mode). В последней версии это уже не работает 🔋

#bestpractice
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Gootloader претерпел серьезные изменения и теперь задействует некорректно сформированный ZIP-архив для обхода обнаружения путем объединения до 1000 архивов.

При этом вредоносная ПО, представляющая собой архивированный файл JScript, приводит к сбоям при попытке ее анализа многими инструментами.

По данным исследователей, вредоносный файл успешно распаковывается с помощью стандартной утилиты Windows, но инструменты, использующие 7-Zip и WinRAR, не справляются с этой задачей.

Для достижения этой цели злоумышленник, стоящий за вредоносным ПО, объединяет от 500 до 1000 ZIP-архивов, а также использует другие уловки, дабы затруднить их анализ с помощью инструментов обнаружения.

Загрузчик активен с 2020 года и взят на вооружение различными хакерскими группировками, включая банд вымогателей.

После семимесячного перерыва Gootloader вернулся к жизни в ноябре прошлого года, о чем рапортовали исследователи из Huntress Labs и DFIR Report.

Хотя в те времена существовали и некорректно сформированные ZIP-архивы, они содержали минимальные изменения, и при попытке извлечения данных возникали несоответствия в именах файлов.

По данным исследователей Expel, в руки которых попали самые свежие образцы, для дальнейшего усиления защиты от анализа операторы Gootloader внедрили гораздо более серьезные механизмы обфускации.

В частности:

- Объединение до тысячи ZIP-архивов с учетом того, что парсеры читают с конца файла.

- Использование усеченного конца центрального каталога (EOCD), в котором отсутствуют два обязательных байта, что приводит к сбою анализа большинством инструментов.

- Случайная инициализация в полях с номерами дисков, из-за чего инструменты ожидают наличия несуществующих многодисковых архивов.

- Добавление несоответствия метаданных между заголовками локальных файлов и записями центрального каталога.

- Создание для каждого загружаемого файла уникальных ZIP-архивов и JScript-файлов для ухода от обнаружения статических объектов.

- Доставка ZIP-архива в виде закодированного с помощью XOR объекта, который декодируется и многократно добавляется на стороне клиента до достижения желаемого размера, избегая обнаружения сетевыми средствами.

После запуска на хосте скрипт JScript вредоносной ПО активируется через Windows Script Host (WScript) из временного каталога и обеспечивает постоянное присутствие в системе, добавляя в папку автозагрузки файлы ярлыков (.LNK), указывающие на второй файл JScript.

Эта полезная нагрузка выполняется при первом запуске и при каждой загрузке системы, запуская CScript с короткими именами NTFS, после чего запускается PowerShell.

Безусловно, разработчикам Gootloader удалось реализовать множество методов искажения данных для уклонения обнаружения без нарушения функциональности.

Однако исследователям Expel удалось выявить структурные аномалии, которые позволяют эффективно детектить угрозу.

По результатам выкатили правила YARA, позволяющие последовательно идентифицировать ZIP-архивы.

Обнаружение основано на выявлении определенной комбинации характеристик заголовка ZIP-архива, сотен повторяющихся заголовков локальных файлов и записей EOCD.

Кроме того, для защиты от угрозы исследователи рекомендуют изменять приложение по умолчанию для открытия файлов JScript с Windows Script Host на Блокнот, предотвращая их выполнение.

Для уменьшения поверхности атаки, Expel также советуют блокировать выполнение загруженного контента с помощью wscript.exe и cscript.exe, если файлы JScript не требуются.
Трафик, направленный по указанному пути сертификата, может достигать источников за Cloudflare, даже когда остальная часть приложения заблокирована правилами клиента.
*
REEEEAAAAD
Forwarded from Proxy Bar
PostgreSQL - password ? NO ! 😁
*
data files without credentials - forensics, data recovery, and security research tool
DownLoad tool
Критическая уязвимость в плагине Modular DS для WordPress находится под атаками

В популярном плагине для WordPress под названием Modular DS обнаружили критическую уязвимость, которую уже используют злоумышленники. Баг позволяет повысить привилегии без какой-либо аутентификации и затрагивает все версии плагина до 2.5.1 включительно.

https://xakep.ru/2026/01/20/modular-ds/
👁🚰 Have I Been Pwned добавил предполагаемую утечку данных Under Armour, затронувшую 72 миллиона адресов электронной почты

Сервис Троя Ханта HIBP добавил в свою базу данных масштабную, но пока официально не подтверждённую утечку, предположительно связанную с компанией Under Armour (американский производитель спортивной одежды и обуви с глобальной розничной сетью и развитой электронной коммерцией), в результате которой могли быть раскрыты адреса электронной почты и персональные данные более чем 72 миллионов человек. Рыночная капитализация Under Armour, Inc. на текущий момент составляет примерно $2,43 млрд.

Согласно имеющейся информации, утечка приписывается вымогательской группировке Everest и, как предполагается, произошла в ноябре 2025 года. Похищенные данные начали появляться на публичных хакерских форумах в январе 2026 года.

Впервые о взломе было заявлено самой группировкой Everest в конце 2025 года в рамках попытки вымогательства. Злоумышленники утверждали, что им удалось эксфильтровать 343 ГБ данных Under Armour, и пригрозили опубликовать их в открытом доступе, если выкуп не будет выплачен в течение семи дней. Сообщений об уплате выкупа не поступало, после чего атакующие выложили архив данных на своём даркнет-сайте утечек. К январю 2026 года этот массив распространился по подпольным форумам.

Впоследствии данные были проиндексированы сервисом DeHashed и добавлены в базу HIBP. По информации платформы, утечка содержит 72,7 миллиона уникальных адресов электронной почты, при этом 76 % из них уже ранее фигурировали в базе HIBP в результате других инцидентов. Однако значительная часть записей включает расширенные персональные данные, в том числе:

▪️полные ФИО;
▪️дата рождения;
▪️пол;
▪️физические адреса проживания;
▪️историю покупок;
▪️поведенческие данные, включая покупательские предпочтения и последние просмотренные категории товаров.

Помимо информации о клиентах, часть опубликованных документов содержит внутренние данные компании, включая контактные сведения сотрудников и записи программ лояльности. В распакованном виде утечка занимает около 19,5 ГБ и охватывает порядка 191 миллиона записей, что указывает на чрезвычайно детализированный массив данных, способный использоваться для фишинга, кражи личности и долгосрочного профилирования жертв.

@Russian_OSINT
Please open Telegram to view this post
VIEW IN TELEGRAM
📶 Sniffing network traffic.

Нашел очень полезную и красивую TUI тулзу - oryx, которая предназначена для работы с сетевым трафиком в Linux. Вот основной функционал:

Визуализация сетевого трафика.
Подробная статистика сетевого взаимодействия между ОС и приложениями.
Поиск информации по определенным параметрам.
Можно использовать в качестве межсетевого экрана.

Вся необходимая документация и дополнительная информация есть на GitHub:

https://github.com/pythops/oryx

• Дополнительно:

Nsntrace - если перед вами стоит задача получить дамп трафика конкретного приложения в Linux, то вы можете воспользоваться Nsntrace. С помощью создания виртуальных интерфейсов и отдельного сетевого пространства имён, тулза запустит нужное нам приложение, и выполнит трассировку трафика только для него используя libpcap. Результат работы будет сохранен в отдельный файл, который можно будет прочитать любой стандартной утилитой, умеющей в pcap.
kyanos - тулза поможет в ситуациях, когда нужно получить данные о сетевом взаимодействии определенного процесса для http трафика или трафика сервера БД mysql. Из дополнительных возможностей: анализ запросов на уровне ядра, что позволит понять на каком уровне происходят аномалии или задержки. Софт c открытым исходным кодом и полностью бесплатный.
Tcping - очень крутая тулза для определения доступности TCP портов. Результат можно выводить в разных форматах (даже в цвете), мониторить потери пакетов и качество соединения. Работает с IPv4 и IPv6. Ну и самое главное - инструмент является кроссплатформенным (мак, окошки, линукс).

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
Недавно обнаруженную малварь VoidLink создали с помощью ИИ

Специалисты компании Check Point сообщили, что обнаруженная ими недавно Linux-малварь VoidLink, судя по всему, была разработана одним человеком, который использовал ИИ и создал вредоноса примерно за неделю.

https://xakep.ru/2026/01/21/voidlink-ai/
🤒 Развернул Honeypot во времена Log4J и вот что произошло

— В данной статье мы рассмотрим практический эксперимент по развертыванию honeypot на VPS, который всего за несколько часов подвергся реальной атаке с использованием уязвимости Log4J.

Мы подробно разберем шаги злоумышленника — от внедрения вредоносной нагрузки до анализа загруженного троянца — и покажем, насколько быстро незащищенный сервер может быть скомпрометирован.

↘️ Spy-Soft

☑️ Записки Безопасника
Please open Telegram to view this post
VIEW IN TELEGRAM