❗️Новости недели (28 сентября — 4 октября)
Пять главных событий от роста атак на туристическую отрасль до случаев, когда автономные ИИ-агенты самостоятельно переходили к агрессивным действиям против государственных сайтов.

1️⃣DDoS-атаки на российский туризм
Количество DDoS-атак на туроператоров, гостиницы и сервисы бронирования выросло на 42% год к году.
▶️Мощность атак стала свыше 700 Гбит/с
▶️Количество атак, превышающих 100 тыс. запросов в секунду, в августе выросло в 7,7 раз по сравнению с прошлым годом

Генеральный директор StormWall Рамиль Хантимиров предупредил:
«Летний отпускной сезон уже завершился, но впереди Новый год — пик туристической активности, и хакеры могут использовать это время для запуска новых мощных DDoS-атак»

2️⃣Утечек стало меньше, но их масштаб вырос
Число публично заявленных утечек у российских компаний сократилось почти вдвое (с 406 до 214 случаев). Однако объём скомпрометированной информации вырос на 31% и достиг 378 млн. строк.
Главные источники объёма:
▶️финансовый сектор - 143,6 млн. строк (38%), рост связан с инцидентами у микрофинансовых организаций
▶️сфера услуг - 108 млн. строк (28%)
▶️малый и средний бизнес - 83% событий

Как отметил директор по развитию Solar AURA Александр Вураско, СМБ часто воспринимается как «слишком маленький, чтобы быть мишенью», но на деле именно он стал основной жертвой утечек — из-за ограниченного бюджета на ИБ, невысокой зрелости процессов и роли «точки входа» в цепочках поставок

3️⃣DDoS превратили в дешёвый сервис по подписке
Подпольные booters и stressers предлагают готовые DDoS-атаки с тарифами, техподдержкой и выбором мощности. Цены:
▶️разовая атака - от $30 до $2000
▶️подписка DDoS-as-a-Service - от $1 до $30.000 в месяц
▶️пробная атака - около $10 (иногда бесплатно)

Аналитик Kaspersky Digital Footprint Intelligence Ксения Кудашева отметила: «В некоторых случаях стоимость запуска атаки может быть ниже годовой подписки на онлайн-кинотеатр или даже сопоставима с ценой чашки кофе»

4️⃣Предполагаемого участника ShinyHunters задержали
Полиция Нидерландов задержала 24-летнего жителя Амстердама, которого связывают с хакерской группировкой ShinyHunters.
▶️Во время обыска следователи обнаружили на ноутбуке сведения, которые могут указывать на подготовку двух убийств за пределами страны. Суд Роттердама постановил заключить подозреваемого под стражу на 90 дней.

Директор ФБР Кэш Патель прокомментировал задержание: «Сегодня утром ФБР и наши партнёры из голландской полиции объявляют об аресте одного из предполагаемых лидеров ShinyHunters»

5️⃣ИИ-агенты начали сами атаковать сайты властей США и Канады
Исследователи из лаборатории Transluce обнаружили случаи, когда ИИ-агенты в ходе обычных задач переходили к агрессивным методам получения данных. Что произошло:
▶️один из агентов отправил более 200 000 запросов к сайту Министерства образования США и попытался провести SQL-инъекцию
▶️похожая активность замечена против Library and Archives Canada (899 запросов, из которых 13 содержали вредоносные нагрузки)
▶️среди других целей - сайты Белого дома, SEC, CDC, а также агентства в Калифорнии, Техасе и Нью-Йорке

Признаков успешной компрометации госресурсов пока не обнаружено. Как отметили в Transluce: «Ни в одном из этих случаев агентам не удалось получить доступ к информации, которая не была уже открыта для общего пользования»

Источник:
1. https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-28-sentyabrya-2-oktyabrya-2026-goda.html

#ИБ #кибератаки #уязвимости #DDoS #утечки #ShinyHunters #ИИ #OpenAI #news

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Arsenal-NG: лаунчер команд для пентеста

Arsenal-NG — лаунчер команд для пентеста, написанный на Go. Он представляет собой переписанную с нуля версию классического инструмента arsenal. Вместо запоминания синтаксиса сотен утилит вы ищете нужную задачу через полноэкранный терминальный интерфейс, заполняете параметры, и готовая команда попадает в буфер ввода терминала для проверки и запуска. Инструмент поставляет более 200 наборов шпаргалок (cheat-sheets) по кибербезопасности и содержит около 3000 готовых команд.

🎇 Возможности
▶️единый бинарник без зависимостей, запуск за миллисекунды
▶️поиск по названиям, заголовкам, тегам, описаниям и командам
▶️команды выделяются цветом для лучшей читаемости
▶️каждый тег имеет свой цвет на основе хеша для быстрой визуальной идентификации
▶️глобальные переменные (задаются один раз, используются во всех командах)
▶️команды записываются в буфер ввода терминала для редактирования перед выполнением

⬇️ Установка

sudo apt install arsenal-ng

Запуск

arsenal-ng 

🧠 Базовый рабочий процесс
1️⃣Найдите команду (введите ключевые слова, например, nmap scan, ffuf)
2️⃣Перейдите к результатам (используйте стрелки для навигации)
3️⃣Выберите команду и нажмите Enter
4️⃣Заполните аргументы (если есть {{placeholders}}, введите значения)
5️⃣Выполните, нажав Enter (команда попадёт в терминал)

🧿 Специальные команды
- set key=value - установить глобальную переменную (например, set ip=10.10.10.10)
- unset key - удалить глобальную переменную
- variables - показать все установленные переменные
- tools - показать все доступные инструменты с количеством команд
- help - отобразить полный экран справки

#arsenalng #pentesting #terminal #security #kalilinux #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Противостояние ФБР и ShinyHunters. На прошлой неделе ShinyHunters заявили о взломе взломе FBIJobs.gov — сайта, через который ФБР набирает новых сотрудников.

❗️Группировка похитила порядка 2–3 Тбайт данных — в том числе персональные и медицинские сведения действующих и бывших сотрудников ФБР, соискателей. ShinyHunters передали журналистам образцы данных: издание 404 Media получило около 5000 записей (имена, адреса, телефоны, даты рождения, иногда — данные о супругах), а также BleepingComputer — ещё два образца.

Как произошла атака
➡️Хакеры утверждают, что через 0‑day‑уязвимость в Oracle PeopleSoft. Уязвимость позволила удалённо выполнить произвольный код.

➡️Затем злоумышленники продвинулись по инфраструктуре, получили доступ к серверам бюро в AWS GovCloud и скомпрометировали системы HR, MedLink, Criminal Justice и другие внутренние сервисы

Реакция сторон
1️⃣ФБР подтвердило, что расследует «несанкционированную активность, затронувшую сайт fbijobs.gov», но не сообщило, была ли утечка данных.

2️⃣ShinyHunters заявили, что цель атаки — ответ на отчёт ФБР от 15 мая 2026 года, где группировку обвиняли в преувеличении масштабов атак и других нарушениях.

🕵‍♂️Хакеры дали ФБР неделю на исправление или удаление отчёта.

Продолжение истории⬇
На днях ФБР выступило с видеообращением к участникам ShinyHunters после ареста одного из предполагаемых лидеров группировки — 24‑летнего жителя Амстердама. По данным ИБ‑журналиста Брайана Кребса и сайта DataBreaches, задержанного идентифицировали как Пепейна ван дер Стапа (ник Umbreon).

Помощник директора киберподразделения ФБР Бретт Лезерман предупредил хакеров:

Чем дольше они продолжают активность, тем больше данных о них получают правоохранители. Он призвал выйти на контакт с ведомством первыми.

В ФБР не уточнили, действительно ли им удалось захватить какую-то часть инфраструктуры ShinyHunters, и успел ли кто-то из участников группы воспользоваться предложением сдаться. Однако после ареста ван дер Стапа в ФБР сообщили, что правоохранители изъяли его электронные устройства, изучают новые зацепки и не исключают дальнейших задержаний.

Продолжаем ждать развития событий 🍿

#news #APT #FBI

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Почему антивирус молчал, пока бизнес терял миллиарды

Лето 2025 года. Сеть «ВинЛаб» стоит несколько дней — убытки, по оценкам СМИ, могли достичь 1,7 млрд рублей. Параллельно лежат «Аэрофлот», аптечные сети «Неофарм» и «Столички» — отменённые рейсы, закрытые точки, перебои с лекарствами в регионах. У всех стояли лицензированные антивирусы. У всех были бэкапы. Ни одно сигнатурное средство не подняло тревогу вовремя.

Это не единичный сбой. Это системный провал целого подхода к детектированию.

🔎Цифры за 2025 год

По данным RED Security SOC, с начала года зафиксировано свыше 105 тысяч атак на российские компании — рост на 46% к прошлому году. Каждая пятая — критическая: простой ключевых процессов или убытки свыше миллиона. Доля заказных таргетированных атак взлетела с 10% до 44%. Атаки через подрядчиков утроились.

Но самое важное — не объём. Изменился сам характер атак.

➡️Почему сигнатуры бессильны

Сигнатурный детект работает просто: знаю паттерн — ловлю паттерн. Проблема в том, что современные атакующие целенаправленно обходят эту логику. Вот три типичных сценария:

• Атака без малвари. Злоумышленник покупает украденные учётные данные на теневом форуме (медианная цена инфостилера — $400), заходит через RDP как легитимный сотрудник, запускает PowerShell-скрипты прямо в памяти. Файлового артефакта нет. Сигнатуре буквально нечего ловить.

• Полиморфизм и билдеры. Билдер шифровальщика стоит около $7500. Каждая сборка — уникальный хеш, перемешанные строки. Сигнатурная база устаревает быстрее, чем обновляется. Защитник всегда догоняет.

• Supply chain. Вместо штурма периметра атакующий компрометирует подрядчика с VPN-доступом. Трафик идёт от легитимного партнёра, с валидными credentials — для сигнатурного NIDS это просто нормальная сессия.

По данным Unit 42, атакующие начинают сканирование новых CVE в течение 15 минут после публикации. Пятнадцать минут — и эксплойт уже в работе. Вендор сигнатур физически не успевает отреагировать.

Что вместо сигнатур?

Поведенческая аналитика в SOC смотрит не на «что запущено», а на «как себя ведёт». Бухгалтер подключается к контроллеру домена в три часа ночи? Одна учётка авторизуется на двадцати хостах за минуту? Это аномалии, которые сигнатура не увидит никогда, а поведенческий движок — поймает.

Когда 70% атак глобально бьют по критической инфраструктуре, а 83% атак на промсектор используют ВПО для тихого закрепления — вопрос не в том, ставить ли антивирус, а в том, что ставить рядом с ним.

Разбор всех трендов, конкретных TTPs и методов детектирования — в полной статье на форуме.

https://codeby.net/threads/analiz-kiberintsidentov-v-rossii-2025-proval-signatur.95824/

Антивирусы, EDR, фаерволы и SIEM генерируют тысячи событий каждый день. Ценность создаёт не сам факт их наличия, а специалист, который умеет отличить шум от атаки, связать события в цепочку и принять решение до того, как инцидент станет ущербом.

Профессия «Аналитик SOC» от Codeby Academy — 7,5 месяцев практического курса в Blue Team: от первого алерта до расследования уровня L2.

На курсе:
⏺️триаж и приоритизация — логи, события, потоки
⏺️корреляция и разбор инцидентов
⏺️MITRE ATT&CK — как атакующий действует на самом деле
⏺️Threat Intelligence и Threat Hunting
⏺️Vulnerability Management
⏺️SIEM на Wazuh — руками, не в теории
⏺️мышление SOC-аналитика: алерт ➡️расследование ➡️ отчёт

Формат: живые занятия, практические задания, разбор реальных кейсов.

Это профессиональный трек по мониторингу и реагированию. За 7,5 месяцев вы выстраиваете навыки, которые ежедневно нужны в SOC-командах банков, телекома, ритейла и IT-компаний.

Старт курса 19 октября

➡️️Посмотреть программу и записаться

🪧По вопросам — @CodebyAcademyBot

💫Перед вами три ребуса. Три слова. Связи между ними нет — и это единственная подсказка:)

Делитесь своими вариантами в комментариях!

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Oleobj: извлечение встроенных объектов из OLE-файлов

oleobj — это инструмент из пакета oletools, предназначенный для извлечения встроенных объектов из OLE-файлов (Microsoft Office 97-2003, MSI, Outlook-сообщения и другие). Он позволяет обнаруживать и сохранять объекты, которые могут содержать вредоносный код, включая исполняемые файлы, скрипты и документы, встроенные в контейнеры OLE.

👉 Основные возможности
- извлечение встроенных объектов из OLE-файлов
- поддержка рекурсивного поиска в поддиректориях
- работа с ZIP-архивами, содержащими OLE-документы
- сохранение извлечённых объектов в указанную директорию
- режим подробного логирования для отладки
- обнаружение начальной стадии эксплуатации CVE-2021-40444

⬇️ Установка

sudo apt install oletools

Проверка

oleobj -h

⏺️ Базовое извлечение объектов

oleobj document.doc

⏺️ Извлечение объектов в указанную директорию

oleobj -d ./extracted malicious.doc

⏺️ Рекурсивный анализ всех файлов в каталоге

oleobj -r /path/to/documents/

⏺️ Подробный режим с логированием

oleobj -V document.doc

#oleobj #oletools #malwareanalysis #security #forensics #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Как прошла Кибербитва GIS DAYS 2026: подробности нашего участия в соревнованиях

➡️В прошлом посте мы рассказывали, что наша команда HackerLab заняла 4 место на «Киберарене»

Капитан нашей команды Магомед-Эми Межидов написал статью о том, как проходили два дня соревнований🚗

В статье:
👌четыре инфраструктуры: Банк, Нефтегаз, Университет и Госсектор;
👌как устроено противостояние Red Team и Blue Team;
👌как ИИ-агент принёс нам штраф в 50 000;
👌сколько мы заработали и как номинация Kill Chain помогла отбить потерю.

Делимся впечатлениями от двух дней соревнований — рассказываем, что получилось особенно хорошо, где допустили ошибки и какие выводы сделали на будущее

➡️Читать статью

✈️ Telegram Desktop — критическая уязвимость в обработке tg://-ссылок (CVE-2026-107181)

В Telegram Desktop обнаружена уязвимость, позволяющая по одному клику на ссылку отправить файлы с компьютера жертвы в канал злоумышленника — без запроса подтверждения. Для атаки не требуется доступ к устройству или аккаунту, достаточно открыть специально сформированную ссылку.

🔎 Где находилась проблема Запущенные экземпляры Telegram Desktop обмениваются командами через внутренний IPC-механизм. Отдельные команды в этой строке разделяются символом ;, но при обработке tg://-ссылок этот разделитель не экранировался.
Из-за этого в параметр ссылки можно вставить ; и дописать после него собственную команду, например OPEN: с устаревшей схемой interpret:. Она изначально использовалась для внутренних сценариев автоматической публикации релизов в каналы, но, как оказалось, её можно запустить и через обычную ссылку.

❗️ Что мог получить атакующий
📉 файлы из каталога tdata, включая данные сессии — в части сценариев это позволяет клонировать сессию жертвы и перехватить аккаунт;
📉 документы и конфигурационные файлы, SSH-ключи, данные криптокошельков — любые файлы, доступные процессу Telegram на диске.
Файл уходит в канал атакующего напрямую, без привычного окна подтверждения отправки. Код-пароль приложения от этой атаки не защищает и не ограничивает доступ клиента к файлам на диске.

❓ Как исправили Уязвимость закрыта в Telegram Desktop 7.2.9.
В обновлении:
⏺️ символ ; в tg://-ссылках теперь экранируется;
⏺️ локальные пути отбрасываются, если вместе с ними передаётся внешняя ссылка;
⏺️ устаревший обработчик interpret: убран из клиента.

❗️Обновитесь до 7.2.9 или новее❗️

#Telegram #CVE #TelegramDesktop #Cybersecurity #InfoSec #Vulnerability #0day #AccountTakeover
🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🚩 Новые задания на платформе HackerLab!

🧰 Категория PWN — Я в своём познании настолько преисполнился

Приятного хакинга!

35 из 40 резюме — в корзину. Что не так с junior-пентестерами?

За последний квартал я отсмотрел больше сорока резюме на позицию junior pentester. Тридцать пять из них — под копирку: «Kali Linux, Burp Suite, Nmap. 15 машин на HTB. Сертификат CEH». Ни одно не дошло до технического интервью. Проблема не в знаниях — в подаче.

🔎Лид тратит на резюме 20–30 секунд. За это время он ищет не список инструментов, а три сигнала:

• Контекст вместо перечисления. Строка «Nmap, Burp Suite, Metasploit» — как список покупок. Видно, что ходил в магазин, но непонятно, умеешь ли готовить. А вот «Провёл внутренний пентест сегмента на 150 хостов, обнаружил Kerberoasting-вектор через сервисный аккаунт с SPN, восстановил пароль hashcat за 4 часа» — тут уже видно, что человек понимает суть.

• Результат вместо процесса. «Изучал OWASP Top 10» — процесс. «Нашёл Blind SQL Injection в форме авторизации стенда, автоматизировал эксплуатацию через sqlmap --technique=T, извлёк 12 таблиц» — результат. Первая формулировка летит в корзину, вторая попадает в шорт-лист.

• Честность в грейде. Кандидат пишет «опыт пентеста Active Directory», а на собеседовании не может объяснить разницу между Kerberoasting и AS-REP Roasting. Минус не за незнание, а за враньё. Честный junior всегда ценнее раздутого «мидла».

➡️Отдельная боль — портфолио. Я видел кандидатов с 50 решёнными машинами, которые не могли объяснить, почему nmap -sS отправляет SYN без завершения three-way handshake. И видел тех, у кого 8 машин, но каждая разобрана до винтика с writeup на три страницы. Угадайте, кто получал оффер.

Пять качественных writeup-ов на GitHub ценнее пятидесяти флагов без объяснения. Хороший writeup — не скриншот флага, а документ, показывающий мышление: разведка → гипотезы → эксплуатация → постэксплуатация → рекомендации по защите. Кандидат с таким портфолио автоматически проходит в следующий раунд — я вижу, как он думает, ещё до встречи.

🎇Ещё один сильный сигнал — хотя бы один принятый отчёт в bug bounty. Живой продукт вместо учебной среды — это совсем другой уровень доверия. Даже простой скрипт на Python, который парсит результаты Nmap и подсвечивает точки входа, покажет больше, чем строчка «знаю Python» в резюме.

В полной статье — разбор трёх блоков технического интервью, конкретные формулировки для резюме и чек-лист подготовки к собеседованию.

https://codeby.net/threads/kak-stat-pentesterom-s-nulya-glazami-timlida.95888/

❗️ Новости недели (5 – 11 октября)
Разбираем главные события недели: ЦОДы «Яндекса», ИИ находит вдвое больше дыр, DDoS вырос на 61%.

1️⃣Три дата-центра «Яндекса» вышли из строя за четыре дня
Беспилотники нарушили работу трёх ЦОДов «Яндекса» - в Рязанской области, Калуге и Владимирской области. Два объекта остановлены полностью, один повреждён частично.
▶️в ночь на 8 октября удар пришёлся по площадке в Сасово Рязанской области (около 12 МВт, полная остановка)
▶️9 октября Калуга (более 3,8 тысячи серверных стоек и 63 МВт, объект выведен частично)
▶️в ночь на 11 октября Владимирская область (порядка 40 МВт, работа остановлена полностью)

У «Яндекса» всего пять собственных дата-центров.

▶️последствия ощутили около 10 основных сервисов компании, включая «Яндекс Go» и «Почту»
▶️Yandex Cloud перешёл в аварийный режим, а клиентам рекомендовали готовиться к альтернативным планам восстановления
▶️сбои затронули и арендаторов серверов
▶️акции «Яндекса» 9 октября просели почти на 4%, а после третьей атаки ещё почти на 6%.

Сроки восстановления компания не называет.

2️⃣Японские банки нашли вдвое больше уязвимостей
С апреля 2026 года, после выхода модели Claude Mythos от Anthropic, крупные японские банки фиксируют двукратный рост числа найденных уязвимостей.
▶️модель выявила более 23 тысяч потенциальных дыр в открытом ПО (включая «20-летние баги», которые годами ускользали от ручных проверок)
▶️из 1596 уязвимостей, о которых Anthropic уведомила разработчиков, патчи получили лишь 97

3️⃣Только 14,6% российских компаний закрыли все критические уязвимости
Исследование цифрового периметра 23 тысяч российских компаний показало неутешительную картину.
▶️за первое полугодие 2026 года полностью устранить критические уязвимости смогли лишь 14,6% организаций
▶️ещё 30,8% сократили число проблем
▶️у 53,5% состав критических уязвимостей вообще не изменился
▶️средний уровень защищённости внешнего периметра российского бизнеса 6,7 балла из 10

Разрыв между тем, что находят, и тем, что реально чинят, никуда не исчез.

4️⃣Мошенники переключились на налоги и iPhone 18
В сентябре специалисты зафиксировали несколько свежих мошеннических схем.
▶️злоумышленники рассылали сообщения о якобы неисполненных налоговых обязательствах от имени госведомств
▶️предлагали бонусы на топливо
▶️играли на интересе к выходу iPhone 18
▶️использовали тему пенсионных выплат

Каждый раз схема одна и та же: приманка под актуальное событие, а дальше социальная инженерия. Мошенники реагируют на повестку быстрее, чем многие компании успевают предупредить клиентов.

5️⃣DDoS-атаки на российский бизнес выросли на 61%
В третьем квартале 2026 года число DDoS-атак на российские компании выросло на 61% год к году.
▶️сильнее всего досталось ретейлу (34% всех атак и рост на 83%)
▶️логистика получила 22% атак
▶️телеком 18%
▶️мощность отдельных атак доходила до 3 Тбит/с
▶️особенно уязвимыми оказались небольшие региональные компании, чья инфраструктура просто не рассчитана на такую нагрузку

Источник: https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-5-9-oktyabrya-2026-goda.html

#ИБ #кибератаки #уязвимости #Яндекс #DDoS #ClaudeMythos #news

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером