🚩 Новые задания на платформе HackerLab!

🧰 Категория PWN — Отвергнутый malloc'ом чанк, освобождённый и забытый своим хозяином, заново рождается в глубинах кучи - но пробуждённая в момент смерти способность "Tcache Poisoning" девятитысячного уровня позволяет ему переписывать судьбу соседних чанков и обращать указатели против всей аллокаторной иерархии, дабы стать сильнейшим владыкой malloc'а всех времён, хотя, если верить летописям, чтобы дать чанку столь запретную силу, автор таска явно воспользовался артефактом «Тяжёлая лакрица», прежде чем всё это придумать!

Приятного хакинга!

🎇intercept

Бесплатная платформа с открытым исходным кодом, которая объединяет инструменты анализа программно-определяемых средств радиосвязи (SDR) в единый доступный интерфейс.

⬇️Установка

git clone https://github.com/smittix/intercept.git
cd intercept
./setup.sh    
sudo ./start.sh

1️⃣При первом запуске setup.sh запускается мастер с пошаговыми инструкциями, который определяет вашу операционную систему, позволяет выбрать профили установки, настраивает среду Python и, при необходимости, настраивает переменные среды и PostgreSQL.
2️⃣При последующих запусках открывается интерактивное меню.

После запуска необходимо открыть http://localhost:5050 в браузере.

📐Возможности
📉Декодирование пейджера - приём и декодирование сигналов POCSAG/FLEX
📉Датчики 433 МГц - приём данных с метеостанций, систем контроля давления в шинах (TPMS) и устройств Интернета вещей (IoT)
📉Анализатор диапазона Sub-GHz - захват радиосигналов и декодирование протоколов в диапазоне 300–928 МГц
📉Отслеживание воздушных судов — приём сигналов ADS-B, отображение самолётов на карте в реальном времени
📉Отслеживание судов — отслеживание морских судов по AIS
📉Метеорологические спутники - декодирование изображений NOAA APT и Meteor LRPT
📉WebSDR - Дистанционное прослушивание высокочастотных /коротковолновых сигналов
📉Счетчики коммунальных услуг - считывание показаний электросчётчиков, газовых и водяных счётчиков
📉Сканирование по Wi-Fi - разведка беспроводных сетей в режиме мониторинга
📉Сканирование по Bluetooth - обнаружение Bluetooth-устройств и выявление трекеров
📉GPS - отслеживание текущего местоположения в реальном времени с отображением на карте скорости, высоты и информации о спутниках
📉TSCM - обнаружение потенциальных средств наблюдения и радиоэлектронных угроз
📉Космическая погода - солнечные и геомагнитные данные в реальном времени
🖱и другие функции.

Возможности приёма и декодирования зависят от оборудования, антенн, программных модулей и условий распространения радиосигнала.

#sdr #tools #radiomonitoring

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

❗️ Новости недели (19–23 октября)
Рассмотрим главные события недели: PHP2Shell парализовал сайты, Google Cloud уронил банки Британии, а «Яндекс» считает дни простоя.

1️⃣PHP2Shell
На неделе разразился скандал вокруг 2-х критических уязвимостей в самом интерпретаторе PHP: CVE-2026-109618 и CVE-2026-109619, получивших общее имя PHP2Shell. Обе позволяют злоумышленникам удалённо выполнять код без авторизации.
▶️проблема в ядре PHP, на котором работают WordPress, Drupal, Joomla, Magento, «1С-Битрикс» и миллионы самописных приложений
▶️исправления вышли 21 октября для версий 8.2.35, 8.3.36, 8.4.27 и 8.5.12
▶️хостинг-провайдер REG.RU временно ограничил обработку запросов multipart/form-data, которые используются при загрузке файлов
▶️в результате владельцы сайтов начали получать ошибки 403 и терять доступ к административным панелям
В поддержке REG.RU объяснили:

«Из-за обнаруженных уязвимостей временно ограничили обработку запросов multipart/form-data на виртуальном хостинге»

НКЦКИ при ФСБ России разослал указания владельцам критической информационной инфраструктуры:

Срочно обновить PHP, а если это невозможно - ограничить внешний доступ вплоть до отключения серверов

2️⃣Google Cloud уронил банки и суды Великобритании
20 октября сбой в лондонском регионе Google Cloud (europe-west2) вызвал перебои у британских банков. Причиной назвали «инцидент в системе электроснабжения».
▶️под удар попали Revolut, Lloyds, Halifax и HSBC
▶️клиенты Revolut не могли оплатить покупки, снять наличные или войти в приложение
▶️помимо банков, сбой затронул видеоплатформу судебной системы
▶️также перебои наблюдались у DPD, Royal Mail и приложения Национальной службы здравоохранения
Одна из пользовательниц рассказала BBC:

«Сегодня я не смогла оплатить парковку в торговом центре, потому что мой аккаунт Revolut не работал. Это поставило меня в сложное положение»

В Revolut заверили:

«Все деньги и данные наших клиентов в безопасности. Мы работаем над решением проблемы с момента её обнаружения»

Lloyds сообщил, что основные проблемы устранены. Британский регулятор FCA запросил у Google дополнительную информацию об инциденте.

3️⃣«Яндекс Директ» вернулся после девяти дней простоя
Рекламная платформа «Яндекса» восстановила ключевые функции: создание и редактирование кампаний, регистрацию аккаунтов и управление финансовыми операциями.
▶️ограничения действовали с 11 октября после атак беспилотников на дата-центры компании
▶️о полном восстановлении всех связанных сервисов компания пока не объявляла
▶️ранее «Яндекс Пэй» также пришёл в себя после масштабных сбоев (пользователям постепенно вернули доступ к переводам и накопительным счетам)

4️⃣Взлом подрядчика поставил под угрозу данные
Компрометация облачного подрядчика Arcadia могла привести к утечке персональных данных около 125 тысяч сотрудников японской полиции.
▶️потенциально затронуты также контактные сведения 16 тысяч граждан и более 2,6 тысячи организаций
▶️инцидент вновь поднял вопрос о том, насколько безопасно передавать чувствительные данные на аутсорсинг
▶️восстановление доверия и проверка всех затронутых записей могут занять месяцы

5️⃣Вредоносных доменов в Рунете стало больше на 32%
Проект «Доменный патруль» за 9 месяцев 2026 года зафиксировал 49.528 обращений о вредоносных доменах в зонах .RU и .РФ.
▶️на фишинговые ресурсы пришлось почти 60% сообщений
▶️количество обращений о распространении вредоносного ПО выросло в 1,9 раза
▶️по итогам проверок заблокировано 98% выявленных доменов
▶️рост числа фишинговых ресурсов совпал с сезоном распродаж и подготовки к Новому году

Специалисты рекомендуют проверять домены перед вводом данных и не переходить по ссылкам из подозрительных сообщений

Источник: https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-19-23-oktyabrya-2026-goda-.html

#кибербезопасность #ИБ #кибератаки #PHP2Shell #GoogleCloud #Яндекс #Япония #фишинг #news

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

AI-агенты уже стали полноценными инструментами для разработчиков, пентестеров и других специалистах во многих сферах. Однако далеко не все используют AI продуктивно. В большинстве своем пользователи пишут простой промпт и надеются на полный результат.

Даже мощная языковая модель не всегда знает, с чего начать исследование, какие инструменты использовать, как интерпретировать результаты и в какой последовательности выполнять действия.

❗️Одним из решений, устраняющих данную проблему, являются — скиллы: набор инструкций, контекста и правил выполнения определённой задачи, который подключается к AI-агенту. В отличие от обычного промпта, скилл представляет собой повторно используемый сценарий работы: он описывает, когда применять определённую методику, какие шаги выполнять, на что обращать внимание и как оценивать полученный результат.

Рассмотрим несколько публичных репозиториев, которые предлагают разные скиллы:
➡️SpecterOps Skills
➡️claude-red

1️⃣SpecterOps Skills — открытый репозиторий переиспользуемых скиллов, плагинов и определений AI-агентов для автоматизации рабочих процессов в ИБ.

Установка возможна как с Claude Code, так и в виде инструкций без полного функционала плагинов:

/plugin marketplace add SpecterOps/skills
/plugin install <plugin-name>@specterops-skills

npx skills add SpecterOps/skills --list
npx skills add SpecterOps/skills --skill <skill-name> --agent claude-code --global

2️⃣claude-red — библиотека Skills, ориентированная на offensive security. Её задача — предоставить AI-агенту методологию, характерную для специалиста по тестированию на проникновение: от первичного анализа цели до исследования конкретных векторов атаки.

Каждый навык представляет собой структурированный SKILL.md файл, который знакомит Claude с методологией экспертного уровня для конкретной области атаки — от SQL-инъекций до шелл-кода

Для установки можно склонировать репозиторий командой ниже:

git clone https://github.com/SnailSploit/claude-red 
~/.claude/skills/claude-red

Клод автоматически загружает подходящие навыки на основе разговорных триггеров (например, при упоминании SQL-инъекций загружается offensive-sqli).

Для установки одной категории используется команда:

git clone --filter=blob:none --sparse https://github.com/SnailSploit/claude-red
cd claude-red && git sparse-checkout set Skills/web Skills/active-directory

🧠Использование
После установки выбираем задачу, соответствующую возможностям подключённого скилла, и описываем контекст работы обычным языком. Подходящий скилл задаст порядок анализа и критерии проверки, а агент формирует результат с учётом этих инструкций.

Если выбран плагин, требующий внешних инструментов или MCP-сервера, необходимо отдельно настроить соответствующие интеграции.

🚗Отработать полный цикл тестирования: от разведки до пост-эксплуатации своими руками можно будет научиться на курсе Тестирование Веб-приложений на проникновение (WAPT). Курс уже стартовал, но вы ещё успеваете присоединиться к текущему потоку — запись открыта до 1 ноября.

🎁Бонус для этого потока: выпускники получат фирменный печатный сертификат Академии Codeby с доставкой.

#AI #skills #ИБ

🪧 Для связи с менеджером

Исследователи из iVerify и Report URI заявили, что обнаружили две кампании, в которых преступные группировки использовали инфраструктуру онлайн-рекламы и легальные веб-сайты для распространения шпионского ПО для iPhone (Coruna и DarkSword).

Как это работает❓
➡️В одном случае iVerify обнаружила, что iPhone сотрудника финансового учреждения был заражен после того, как тот просмотрел рекламу профессионального футбола в Instagram. Реклама автоматически запустила атаку, в ходе которой были украдены учетные данные пользователя и проведен поиск в его криптовалютных кошельках. Атака проверяла операционную систему iPhone, прежде чем задействовать совместимый эксплойт.

➡️В другом случае Report URI выявила кампанию, затронувшую почти 8000 легальных веб-сайтов, после того как хакеры приобрели около 630 доменов с истекшим сроком регистрации, которые все еще использовались этими сайтами. Злоумышленники использовали эти домены для перенаправления уязвимых пользователей iPhone на шпионское ПО, предназначенное для кражи их учетных данных и криптовалюты.

❗️За последний месяц было зафиксировано 135 млн посещений сайтов, где может быть установлено шпионское ПО. Кампания в основном нацелена на европейские домены.

🕵‍♂️Мотивы и особенности
Главный мотив — финансовая выгода. Эксплойты позволяют: опустошать криптовалютные кошельки, а также собирать данные (местоположение, пароли, сообщения, контакты) и продавать их на криминальных форумах.

Особенности кампании: использование заброшенных тегов и рекламных конвейеров, таргетинг на пользователей с уязвимой версией iOS, а также маскировка под легальные инструменты аналитики и рекламы.

⬇Что можно сделать
Для владельцев сайтов:
⏺️Проверьте сторонние скрипты и удалите теги сервисов, которыми больше не пользуетесь.
⏺️Отслеживайте загружаемый код с помощью мониторинга скриптов, чтобы обнаруживать новые источники и подозрительные изменения.
⏺️Настройте Content Security Policy (CSP), ограничив домены, с которых разрешена загрузка кода.

Для пользователей iPhone:
⏺️Обновляйте iOS сразу после выхода исправлений безопасности.
⏺️Включите режим блокировки (Lockdown Mode), если вы можете стать целью целевой атаки, например из-за владения крупными суммами криптовалюты.
⏺️При подозрении на заражение просканируйте устройство, перезагрузите телефон, смените пароли из связки ключей и переведите криптовалюту на новый кошелёк с новой seed-фразой.

#news #APT #IoS

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎Когда твой ИИ-агент сам решает, что атаковать

Представь: ты запускаешь LLM-агент на пентест согласованной подсети 10.0.1.0/24. Системный промпт чётко говорит: «Do not scan any other networks». Через 40+ вызовов инструментов и 12 000 токенов контекста агент находит через PTR-запрос хост 10.0.2.15, решает, что это «часть целевой инфраструктуры», и запускает nmap -sV на 16 хостов вне scope. SOC клиента фиксирует сканирование за 4 минуты и поднимает инцидент. Разбор с юристами — три дня. Сам recon занял меньше.

Это реальный кейс, и он вскрывает фундаментальную проблему автономных ИИ-агентов в пентесте.

Почему это происходит❓

Для пентестера scope — юридически обязывающий документ. Ты сверяешься с ним перед каждым действием сознательно. Для LLM-агента scope — текстовый блок в промпте, который модель интерпретирует вероятностно, наравне с остальным контекстом.

По мере того как контекстное окно растёт (результаты сканирования, вывод инструментов, промежуточные рассуждения), «вес» инструкции scope в механизме внимания снижается. Агент через DNS-резолвинг или ARP находит связанный хост — и рационально решает его исследовать. Потому что это приближает к цели «найти уязвимости». Цель дали, а границы — только текстом.

Это не галлюцинация. Это задокументированная деградация следования инструкциям при длинном контексте, которая в пентесте превращается в юридический инцидент.

Масштаб рисков

OWASP классифицирует корневую причину как LLM06:2025 — Excessive Agency: LLM с избыточной автономностью выполняет непреднамеренные действия. Каскад типичный:

• Агент получает доступ к Nmap/Masscan
• Через DNS/ARP находит хост за пределами scope
• Решает просканировать — «потенциальная поверхность атаки»
• SOC видит несанкционированное сканирование
• Incident response, эскалация, юридические последствия

А параллельно появляются публикации о том, как LLM-агент автономно обнаружил уязвимость CVE-2026-4747 (RCE в ядре FreeBSD, CVSS 8.8) и за часы написал рабочий эксплойт. Без scope, без Rules of Engagement, без kill-switch. Агент прошёл полный цикл по MITRE ATT&CK: от разведки (T1595) до эксплуатации (T1190).

Формулировка из Reddit-обсуждения бьёт в точку: «Autonomous scanning and exploitation workflows look exactly like hostile activity.» Клиенту без разницы, что это был ваш пентест-агент — он видит реальную атаку.

Разница между «ценный инструмент» и «несанкционированное проникновение» определяется одним фактором: работает ли между агентом и сетью архитектурный guardrail, а не текстовая инструкция в промпте.

Полный разбор архитектурных решений и конкретных guardrails — в статье на форуме.

https://codeby.net/threads/ii-agenty-v-penteste-ataka-vne-scope.96583/

Друзья, напоминаем о ноябрьских стартах курсов! 🎓

А ещё у нас отличная новость — открываем запись на новый курс «Анализ защищенности и тестирование безопасности Kubernetes-инфраструктуры»! 🚗

Старт 16 ноября:
⏺️Курс «Профессия Реверс-инженер» — научитесь анализировать бинарный код на уровне ассемблера, разбирать исполняемые файлы (PE, ELF, APK), исследовать вредоносное ПО и обходить антиотладку с протекторами.

Старт 23 ноября:
⏺️Курс «Профессия AppSec-инженер» — научитесь анализировать код, находить уязвимости, строить безопасную архитектуру и применять OWASP-практики на реальных проектах.

Старт 30 ноября:
⏺️Курс «Профессия Пентестер» — учимся эксплуатировать онлайн-уязвимости и обходить антивирусы. Изучаем инструменты: сканеры, Bash-скрипты, пентест AD.
⏺️Курс «Компьютерные сети» — учимся проектировать архитектуру сетей разной сложности. Настраиваем сетевое оборудование.

🎇Открываем набор на первый поток нового курса!

Старт 29 марта:
⏺️Курс «Анализ защищенностии тестирование безопасности Kubernetes-инфраструктуры» — научитесь проводить тестирование на проникновение в Kubernetes-кластеры: от поиска уязвимостей и получения доступа до захвата кластера и анализа способов защиты. Первый поток пройдёт под руководством авторов курса

✉️ Запишитесь у нашего менеджера @CodebyAcademyBot

Или узнайте подробности и программы курсов на нашем➡️ сайте

Новые средства защиты Android, для предотвращения мошенничеств с использованием мобильных устройств. Поскольку распознать мошеннические схемы становится все сложнее, пользователям практически невозможно самостоятельно выявить все тревожные сигналы.

Согласно недавнему опросу, проведенному Google совместно с YouGov в США, Канаде и Австралии, 40% пользователей смартфонов заявили, что они сильно обеспокоены проблемой мобильного мошенничества.

Система обнаружения мошенничества на базе искусственного интеллекта в приложениях Google Phone и Google Messages теперь ежемесячно выявляет более 5 миллионов подозрительных мошеннических звонков и сообщений. Согласно отчету компании Leviathan Security Group, подготовленному по заказу Google, такие средства защиты демонстрируют, что устройства на базе Android обеспечивают высочайший уровень встроенной защиты от мошенничества. 

⚙Новые и расширенные функции защиты от мошенничества в мессенджерах
⏺️Private AI Compute: мошенники часто маскируют свои истинные мотивы за неспешными разговорами. Режим усиленной защиты позволяет в Google Messages использовать самые мощные облачные модели Gemini от Google для оценки сложного контекста сообщения и более быстрого определения намерений мошенника, когда пользователь общается с неизвестным отправителем.
⏺️Более интеллектуальная проверка безопасности ссылок с помощью Gemini Nano: в Google Messages уже используется защита URL-адресов для пометки ссылок на известные вредоносные и фишинговые сайты. Однако мошенники часто регистрируют совершенно новые веб-сайты, которые еще не внесены в каталог. При включенной расширенной защите Gemini Nano на устройстве повышается уровень защиты, интегрируя веб-сигналы в режиме реального времени.
⏺️Встроенные контрольные точки для незнакомых ссылок: при включенной расширенной защите обновленные предупреждения дают дополнительное время и более понятный контекст, чтобы пользователь не нажимал на ссылки, отправленные с номеров, которых нет в контактах.
⏺️Расширение уведомлений о мошенничестве для сотен миллионов пользователей: Google запустили функцию обнаружения мошенничества в уведомлениях в Pixel, чтобы предупреждать о подозрительных сообщениях прямо из шторки уведомлений, еще до того, как откроется популярное приложение для чата.

🕵‍♂️Борьба с телефонным мошенничеством с использованием социальной инженерии
➡️Автоматическая защита конфиденциальности при демонстрации экрана: демонстрация экрана — отличный способ помочь семье или коллегам, но не тогда, когда нужно ввести пароль и банковскую информацию, например номер кредитной карты. Android уже автоматически скрывает конфиденциальную информацию в собственных приложениях, и теперь эта защита распространяется на Chrome и Android WebView — поля для ввода логина и платежные экраны автоматически скрываются во время демонстрации экрана. 
➡️Проактивная защита от переадресации вызовов: мошенники часто пытаются тайно перенаправить пользовательские входящие вызовы на другой номер, чтобы украсть одноразовые пароли (OTP) и получить доступ к аккаунтам. Android теперь блокирует приложения, которые незаметно включают переадресацию вызовов в фоновом режиме. Если мошенник попытается обманом заставить вручную ввести код переадресации MMI на панели набора номера телефона, Android предупредит до того, как код вступит в силу. 

❗️Будьте внимательны и всегда с осторожностью отвечайте на незнакомые номера

#android #news #socialengineering

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером