ILOVEYOU: червь из 2000-х или мерч из 2025-го?
#malware #merch

5 мая 2000 года почтовый червь ILOVEYOU за считанные часы превратил email в оружие массового поражения: миллионы заражений, остановка процессов в банках, госструктурах и корпорациях, многомиллиардный ущерб.

Фишинговая приманка была предельно простой и эффективной: «любовное письмо» с вредоносным вложением LOVE-LETTER-FOR-YOU.TXT.vbs (.vbs расширение скрывалось настройками Windows) побуждало пользователя из 2000-х открыть файл и прочитать заветное признание. Последовавший эффект домино обеспечили автоматическая рассылка через Outlook и заражение по IRC, низкая цифровая грамотность и доверие к письмам «от знакомых».

Инцидент стал триггером для создания и введения жестких почтовых политик, изменений в Outlook и укрепления антивирусной индустрии — суровый урок социальной инженерии, актуальный до сих пор.

🔗Подробный технический разбор структуры и принципа работы червя ILOVEYOU

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

Ловите вкусные баги прошедшей недели
#CVE #unauthRCE #Azure #SharePoint #JavaScript #RCE

➡️HTTP Request Smuggling в ASP.NET Core (CVE-2025-55315, CVSS 9.9) — критическая уязвимость в Microsoft.AspNetCore.Server.Kestrel.Core, возникающая из-за некорректной обработки chunk extensions в HTTP/1.1 chunked transfer encoding. Парсер Kestrel принимает не валидные line terminators в chunk extension headers, создавая расхождение в интерпретации границ HTTP-запросов между Kestrel и upstream-прокси. Атакующий может сконструировать payload типа

GET / HTTP/1.1\r\n
Host: localhost\r\n
Transfer-Encoding: chunked\r\n
Content-Type: text/plain\r\n
\r\n
2;\rxx\r\n
xy\r\n
0\r\n
\r\n

, где proxy интерпретирует данные как единый запрос, и Kestrel спарсит его как два последовательных. Это позволит протащить второй запрос в обход аутентификации, авторизации и CSRF-защиты. Это не только проблема .NET — подтверждены уязвимости в Apache Traffic Server (CVE-2024-53868), Google Classic Application Load Balancer ($15,000 баунти), pound, nginx (отказались исправлять), AIOHTTP (CVE-2024-52304), Eclipse Jetty, Ktor (CVE-2025-29904), uvicorn и hypercorn. HTTP/2 и HTTP/3 не подвержены этой уязвимости, так как используют другие механизмы потоковой передачи данных. Есть PoC.

➡️Unauth RCE в CLI-инструмент md-to-pdf (CVE-2025-65108, CVSS 10.0) — уязвимость внедрения кода в инструменте md-to-pdf, конвертирующем Markdown в PDF через Node.js и headless Chrome. Проблема кроется в обработке front-matter блоков. Библиотека gray-matter некорректно парсит JavaScript-разделители (---js), что позволяет выполнять произвольный код в контексте процесса конвертера без валидации. Эксплуатация достигается внедрением вредоносного payload в front-matter блок Markdown-файла (например, ((require("child_process")).execSync("команда"))), который автоматически интерпретируется JS-движком при обработке документа. Есть PoC.

➡️Unauth privilege escalation в Grafana Enterprise SCIM (CVE-2025-41115, CVSS 10.0) — критическая уязвимость некорректного назначения привилегий. Механизм провизионирования SCIM некорректно маппирует внешний атрибут externalId напрямую на внутренний user.uid, интерпретируя строковые числовые значения как нативные integer ID. Атакующий с доступом к скомпрометированному SCIM-клиенту может создать нового пользователя с externalId="1", что приведет к коллизии с UID существующего администратора и полной подмене личности без аутентификации. Есть PoC.

➡️Deserialization RCE в Microsoft SharePoint Online (CVE-2025-59245, CVSS 9.8) — эскалация привилегий через небезопасную десериализацию сериализованных объектов от недоверенных источников. SharePoint десериализует пользовательский input без валидации типов, что позволяет инжектировать crafted-объекты с переопределенными магическими методами (__wakeup, __destruct), выполняющими произвольный код при десериализации. Атака реализуется удаленно без аутентификации и позволяет получить полные административные привилегии в tenant SharePoint Online с возможностью экфильтрации корпоративных документов.

➡️Cryptographic failure в Библиотека hpke-js (CVE-2025-64767, CVSS 9.1) — критическая криптографическая уязвимость повторного использования nonce. Проблема заключается в race condition API SenderContext.seal(). При конкурентных вызовах к криптографической функции отсутствует синхронизация доступа к внутреннему sequence number counter, что приводит к вызову computeNonce() с идентичными значениями и генерации одинаковых AEAD-nonce для разных plaintext. В криптографии AEAD повторное использование nonce катастрофично. Используя баг, атакующий получает возможность восстановить открытые тексты через known-plaintext attacks и подделывать аутентифицированные сообщения. Есть PoC.

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

Landfall — новый коммерческий шпионский софт для Android и уязвимость CVE-2025-21042 в устройствах Samsung
#0day #0click #mobile #Landfall #malware #CVE #android #samsung

Landfall внедрялся через zero-day в библиотеке обработки изображений Samsung (CVE-2025-21042) и срабатывал без клика. Достаточно было отправить на устройство жертвы вредоносное DNG-изображение, и система оказывалась скомпрометирована ещё до того, как файл был открыт. Еще один яркий пример того, что zero-click остаются рабочим инструментом для атак на мобилки.

Список возможностей шпиона немалый: запись аудио/звонков, кража фото, сообщений и файлов, мониторинг активности приложений и системных событий, скрытый C2 по HTTPS с пиннингом и обходами защит (включая манипуляции SELinux и уклонение от отладки).

Судя по артефактам в коде и географии обнаруженных образцов, Landfall использовался в точечных операциях против целей на Ближнем Востоке. Стиль применения характерен для профессиональных кибершпионских группировок, работающих по заказу спецслужб или государственных структур.

🔗Подробности и технический разбор в блоге

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

💵➖ASSUME BIRCH MEETUP #5➖
#митап

📆Когда: 04.12.2025
🕰Начало: 18:30
📍Москва. Точная локация будет указана в персональном приглашении.

Опять никакой открытой регистрации, только инвайты!

❓Какие будут доклады?

⠙⠊⠙⠀⠽⠕⠥⠀⠞⠓⠊⠝⠅⠀⠎⠕⠍⠑⠞⠓⠊⠝⠛⠀⠺⠕⠥⠇⠙⠀⠓⠁⠏⠏⠑⠝⠀⠓⠑⠗⠑⠹⠀⠝⠕⠠⠀⠋⠕⠇⠇⠕⠺⠀⠞⠓⠑⠀⠝⠑⠺⠎⠀⠕⠝⠀⠞⠓⠑⠀⠈⠁⠎⠎⠥⠍⠑⠸⠃⠊⠗⠉⠓⠀⠉⠓⠁⠝⠝⠑⠇⠨

⚡️Как получить проходку?
Следить за новостями в канале Assume Birch.
Спросить у друга, а может у него +1 (у меня уже нет :)

❤️ Организаторы дали мне 3 инвайта, чтобы я раздал их вам )) За что им большое спасибо!

В конкурсе участвовать строго только тем, кто приедет 04.12.2025 вечером на ивент.
Необходимо быть подписанным на @poxek и @poxek_chat.

🕰Розыгрыш будет до 28.11.2025 13:37

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч