Переходим к монстрам из под кровати: до сего времени я имел дело с Kale, но существуют экземпляры, которые действительно на проекте будут той ещё задачкой. Привычный интеллектуальный взлом в случае с этим замком дополняется высокой сенсорикой пальцев.
Часы терпения и доли миллиметров на следующий шаг в комбинации - это Kale 14 пинов.
Часы терпения и доли миллиметров на следующий шаг в комбинации - это Kale 14 пинов.
YouTube
Вскрытие замка KALE - 14 пинов, перфо профиль
Данное видео носит исключительно образовательный и демонстрационный характер.
Все действия выполняются на личном оборудовании владельца и в рамках легальной практики locksport.
Автор не призывает к повторению показанных действий и не несёт ответственности…
Все действия выполняются на личном оборудовании владельца и в рамках легальной практики locksport.
Автор не призывает к повторению показанных действий и не несёт ответственности…
🔥16👍5✍1
Друзья, кто стоит в начале своего хакерского пути - будет интересно поучавствовать в активности от Позитивов (почему бы не поддержать их проект, тем более это для комьюнити полезно):
Встречайте, System Breach! Именно под таким кодовым названием пройдет новый сезон.
В начале сезона тебе предстоит погрузиться в историю нефтегазовой корпорации Pipeline и разобраться со Standalone-тачкой Ftender — порталом для управления закупками и поставщиками Pipeline. А дальше — больше и интереснее😋
Внутри тебя ждут:
➖ Несколько сложных технологических заданий и сразу 5 заданий со SCADA-системами;
➖ Новые Standalone-тачки, которые будут регулярно появляться на протяжении всего сезона;
➖ Таски от комьюнити — уязвимые сервисы, которые подготовили ребята из сообщества. Будем знакомить тебя с героями и рассказывать о них подробнее в момент релиза.
Сезон продлится до ноября 2026 года. Не забывай про рейтинг внутри него: это твой шанс попасть в топ-25 лучших хакеров, которых мы наградим.
Скорее заходи на Standoff Hackbase и взламывай системы. Покажи, на что способен💪
Счастливых Хакерских игр, и пусть топовые места всегда будут с тобой!🏆
Встречайте, System Breach! Именно под таким кодовым названием пройдет новый сезон.
В начале сезона тебе предстоит погрузиться в историю нефтегазовой корпорации Pipeline и разобраться со Standalone-тачкой Ftender — порталом для управления закупками и поставщиками Pipeline. А дальше — больше и интереснее
Внутри тебя ждут:
Сезон продлится до ноября 2026 года. Не забывай про рейтинг внутри него: это твой шанс попасть в топ-25 лучших хакеров, которых мы наградим.
Скорее заходи на Standoff Hackbase и взламывай системы. Покажи, на что способен
Счастливых Хакерских игр, и пусть топовые места всегда будут с тобой!
Please open Telegram to view this post
VIEW IN TELEGRAM
👍15🫡7✍2⚡1
Forwarded from ORIENT Compliance network
Реализация киберрисков – когда что-то пошло не так
В компании экспертов обсудим:
👤 модераторы
со-основатель комплаенс-сообщества ОРИЕНТ; LL.M in international business law; эксперт по комплаенс; автор ТГ-канала о комплаенс ComplianceCraft;
🗣 спикеры:
20+ лет в области корпоративного страхования.
В 2013 году вместе с командой AIG запускал кибер страхование на российском рынке.
________________________________
🗓 9 апреля (четверг)
🕓 16.00 - 17.30 (≈ 1,5 часа)
🖥 онлайн
До встречи!😉
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥7🤝7😁2
CapFix снова активизировались.
Positive Technologies зафиксировала кампанию атак, продолжавшуюся с конца 2025 по март 2026.
Основной вектор это фишинг, а именно PDF/HTML вложения с ссылкой на архив с полезной нагрузкой.
Часто это маскировка под письма от госструктур. Предположительно использовалась уязвимость Roundcube Webmail - CVE-2025-49113 (CVSS 9.9) через которую были скомпрометированы почтовые серверы для рассылки вредоносных писем от доверенных источников.
Используемый стек:
• загрузчик CapDoor (сбор информации о системе, скриншоты, загрузка файлов)
• SectopRAT для удалённого доступа
• ClickFix сайты, имитирующие сервисы бронирования
• ранние образцы маскировались под криптовалютные сервисы
Цели хакеров - промышленность и авиастроение.
По набору инструментов и выбору целей активность всё больше напоминает APT, несмотря на финансовую мотивацию. Рекомендация очевидная, и это проверка версии Roundcube, усиление защиты почты и проведение дополнительных анти-фишинг обучений для сотрудников (приходите в ЛС, сделаем).
#propentest #pro_pentest #пропентест
Positive Technologies зафиксировала кампанию атак, продолжавшуюся с конца 2025 по март 2026.
Основной вектор это фишинг, а именно PDF/HTML вложения с ссылкой на архив с полезной нагрузкой.
Часто это маскировка под письма от госструктур. Предположительно использовалась уязвимость Roundcube Webmail - CVE-2025-49113 (CVSS 9.9) через которую были скомпрометированы почтовые серверы для рассылки вредоносных писем от доверенных источников.
Используемый стек:
• загрузчик CapDoor (сбор информации о системе, скриншоты, загрузка файлов)
• SectopRAT для удалённого доступа
• ClickFix сайты, имитирующие сервисы бронирования
• ранние образцы маскировались под криптовалютные сервисы
Цели хакеров - промышленность и авиастроение.
По набору инструментов и выбору целей активность всё больше напоминает APT, несмотря на финансовую мотивацию. Рекомендация очевидная, и это проверка версии Roundcube, усиление защиты почты и проведение дополнительных анти-фишинг обучений для сотрудников (приходите в ЛС, сделаем).
#propentest #pro_pentest #пропентест
🔥11❤🔥4✍2👍2🤝2
Всем доброго дня! Только что один из исследователей поделился своей новой утилитой, которая дампит blobs браузеров, дампит и расшифровывает v20 для Google, а также расшифровывает и выводит красивый HTML. Дайте пожалуйста ОС.
https://github.com/PurpleArsenal/BrowserDump
https://github.com/PurpleArsenal/BrowserDump
GitHub
GitHub - PurpleArsenal/BrowserDump
Contribute to PurpleArsenal/BrowserDump development by creating an account on GitHub.
1🔥9✍3👍2
Друзья, всем привет!
Коллеги поделились интересной статьей, где автор поделился мыслями на счет будущего ИТ на примере ИБ.
Что скажете? 🤔
https://teletype.in/@sergey_gordey/dZijhpp2f3M
Коллеги поделились интересной статьей, где автор поделился мыслями на счет будущего ИТ на примере ИБ.
Что скажете? 🤔
https://teletype.in/@sergey_gordey/dZijhpp2f3M
Teletype
Манифест созидателя
Ещё один агент сегодня.
😁6👾5
Всем привет!
PT Dephaze прокачали: автоматизацию, которая реально экономит часы пентеста
У Positive Technologies вышло обновление PT Dephaze, и это хороший пример того, куда движется рынок.
Фокус простой: убрать максимум рутины и оставить специалисту только то, где нужна голова.
В новой версии добавили:
• атаки на Microsoft SCCM как точку входа
• timeroasting (получение хешей AD через NTP без аутентификации)
• ESC4 на Active Directory Certificate Services
• RCE в Telnetd — CVE-2026-32746
• кастомные словари для перебора (SMB / SSH / RDP и др.)
По сути, инструмент всё больше закрывает типовые действия: переборы, ретесты, массовые проверки.
PT Dephaze прокачали: автоматизацию, которая реально экономит часы пентеста
У Positive Technologies вышло обновление PT Dephaze, и это хороший пример того, куда движется рынок.
Фокус простой: убрать максимум рутины и оставить специалисту только то, где нужна голова.
В новой версии добавили:
• атаки на Microsoft SCCM как точку входа
• timeroasting (получение хешей AD через NTP без аутентификации)
• ESC4 на Active Directory Certificate Services
• RCE в Telnetd — CVE-2026-32746
• кастомные словари для перебора (SMB / SSH / RDP и др.)
По сути, инструмент всё больше закрывает типовые действия: переборы, ретесты, массовые проверки.
👎20✍4👍1👾1
Хобби выходного дня
Переодически я заменяю поход на скалодром проектом по физическому пентесту. Да, это не шашлыки с друзьями, но переодически очень хорошая альтернатива приключениям или спортивному ориентированию.
На прошлых выходных опробовал такой инструмент, который грызет аж до 10мм арматуры. Но звук настолько громкий, что можно от волнения получить временную аритмию. (У кого как с нервишками)
Этот проект оказался в пользу заказчика. Ребята устранили все уязвимости, и моя оперативная группа была скомпрометирована очень быстро. 1:1 так сказать.
А как вы предпочитаете проводить свободное время для поддержания спортивной формы?
Переодически я заменяю поход на скалодром проектом по физическому пентесту. Да, это не шашлыки с друзьями, но переодически очень хорошая альтернатива приключениям или спортивному ориентированию.
На прошлых выходных опробовал такой инструмент, который грызет аж до 10мм арматуры. Но звук настолько громкий, что можно от волнения получить временную аритмию. (У кого как с нервишками)
Этот проект оказался в пользу заказчика. Ребята устранили все уязвимости, и моя оперативная группа была скомпрометирована очень быстро. 1:1 так сказать.
А как вы предпочитаете проводить свободное время для поддержания спортивной формы?
🔥22😁16👍7❤🔥3
Пока ты оцениваешь риски своей профессии, я сравнил два популярных и высокооплачиваемых направления: DevSecOps vs Locksmith.
Тестируй тут
Тестируй тут
😁14👏3😎2🔥1
CISO vs бизнес: разрыв растет
Суть проблемы в том, что CISO говорит про уязвимости, а бизнес про деньги. Но по итогу, рынку нужен CISO-управленец, а не просто технарь, иначе безопасность останется вне стратегии, даже при росте атак. Мне кажется на фоне такой хотелки и медиана должна подрасти, раз уж ты учавствуешь в управлениями активами компании. Товарищи руководители, а как вы считаете?
Суть проблемы в том, что CISO говорит про уязвимости, а бизнес про деньги. Но по итогу, рынку нужен CISO-управленец, а не просто технарь, иначе безопасность останется вне стратегии, даже при росте атак. Мне кажется на фоне такой хотелки и медиана должна подрасти, раз уж ты учавствуешь в управлениями активами компании. Товарищи руководители, а как вы считаете?
🔥4✍3
Всем привет!
Пока часть команды проводит разведку объекта, другая часть разрабатывает для вас индивидуальный Red Team-проект как инструмент снижения операционных, финансовых и репутационных рисков.
Мы не создаём «страшилки», а предлагаем проверку реальности. Генеральный директор получает понятный ответ: может ли внешний человек каким-либо способом (цифровым или физическим) приблизиться к критичным активам компании и что нужно сделать, чтобы этого не произошло.
С начала года несколько проектов уже завершены, ещё 4 застейканы. Если интересно - пишите в ЛС: @r00t_owl
Пока часть команды проводит разведку объекта, другая часть разрабатывает для вас индивидуальный Red Team-проект как инструмент снижения операционных, финансовых и репутационных рисков.
Мы не создаём «страшилки», а предлагаем проверку реальности. Генеральный директор получает понятный ответ: может ли внешний человек каким-либо способом (цифровым или физическим) приблизиться к критичным активам компании и что нужно сделать, чтобы этого не произошло.
С начала года несколько проектов уже завершены, ещё 4 застейканы. Если интересно - пишите в ЛС: @r00t_owl
🔥8👍5❤🔥2😁1
Forwarded from Максимов | ЗАПИСКИ
PositiveResearch.pdf
2.9 MB
Я в Позитиве
Наступил момент, когда я оставляю последнюю корпоративную роль в Позитиве. Я перестал быть генеральным директором пять лет назад. За это время бизнес Позитива вырос более чем в шесть раз.
Все это было моей целью, к которой я шёл много лет — сделать так, чтобы дело, в которое я вложил огромную часть себя, росло и эволюционировало без меня.
Хороший момент вспомнить, как хронологически выглядело моё вхождение в компанию и выход из неё.
2002 — участвовал в основании компании идеями и советами
2004 — присоединился в роли технического директора и стал акционером
2007 — стал генеральным директором, сменив на этом посту своего брата
2020 — объявил о сложении полномочий генерального директора, запустили процесс выбора нового
2021 — перестал быть генеральным директором, стал председателем совета директоров
2023 — сложил полномочия председателя СД, в тот же год перестал быть контролирующим акционером
2026 — окончательно выхожу из совета директоров, оставаясь одним из крупнейших акционеров компании
Под настроение выкладываю две статьи ребят Позитива, которые они опубликовали в журнале Positive Research — получились очень живые и красивые зарисовки разных периодов жизни компании.
Команда Позитива, удачи!
Наступил момент, когда я оставляю последнюю корпоративную роль в Позитиве. Я перестал быть генеральным директором пять лет назад. За это время бизнес Позитива вырос более чем в шесть раз.
Все это было моей целью, к которой я шёл много лет — сделать так, чтобы дело, в которое я вложил огромную часть себя, росло и эволюционировало без меня.
Хороший момент вспомнить, как хронологически выглядело моё вхождение в компанию и выход из неё.
2002 — участвовал в основании компании идеями и советами
2004 — присоединился в роли технического директора и стал акционером
2007 — стал генеральным директором, сменив на этом посту своего брата
2020 — объявил о сложении полномочий генерального директора, запустили процесс выбора нового
2021 — перестал быть генеральным директором, стал председателем совета директоров
2023 — сложил полномочия председателя СД, в тот же год перестал быть контролирующим акционером
2026 — окончательно выхожу из совета директоров, оставаясь одним из крупнейших акционеров компании
Под настроение выкладываю две статьи ребят Позитива, которые они опубликовали в журнале Positive Research — получились очень живые и красивые зарисовки разных периодов жизни компании.
Команда Позитива, удачи!
😁11👍7✍1
This media is not supported in your browser
VIEW IN TELEGRAM
Тесты на пентесте
На проекте за 5 минут двумя способами был вскрыт механический замок DORMA с фигурным пином.
Рисунок был не очень удобным, поэтому замочек было интересно открывать🔑
На проекте за 5 минут двумя способами был вскрыт механический замок DORMA с фигурным пином.
Рисунок был не очень удобным, поэтому замочек было интересно открывать
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥19👍5👏4
Недавно ко мне пришел коллега из Армении и спросил можно ли делать Физику в ОАЭ. Контекст вопроса был естественно про ввоз и использование отмычек, кард ридеров, скимеров, бэд юсбишек, альф и прочего.
По этому вопросу я обратился к своим партнерам из Техдивижн, чтобы получить достоверную информацию, поскольку сам с заказами из ОАЭ в части Физики не сталкивался. Партнеры провели большое исследование, сделали официальный запрос по правовой части, кусочек котого я вам засветил на скрине.
Если резюмировать:
Выход в ОАЭ - это не история «открыли юрлицо и поехали пентестить». Это поле, где любая ошибка с Alfa, Flipper или Packet Squirrel может превратить проект в уголовный кейс. А сроки и суммы штрафов просто космос.
Что нужно для работы:
Итак, у компании должны быть лицензии, разрешения, контракты и нормальные Rules of Engagement. Без этого даже хороший специалист выглядит не как этичный хакер, а как человек, который решил потрогать чужую инфраструктуру без права.
Отдельное «но» - регуляторы:
TDRA, DESC, SIA, персональные данные, AML, детская цифровая безопасность. Всё это надо собрать в систему заранее.
Рынок большой, красивый, но зайти в него можно очень больно.
По этому вопросу я обратился к своим партнерам из Техдивижн, чтобы получить достоверную информацию, поскольку сам с заказами из ОАЭ в части Физики не сталкивался. Партнеры провели большое исследование, сделали официальный запрос по правовой части, кусочек котого я вам засветил на скрине.
Если резюмировать:
Выход в ОАЭ - это не история «открыли юрлицо и поехали пентестить». Это поле, где любая ошибка с Alfa, Flipper или Packet Squirrel может превратить проект в уголовный кейс. А сроки и суммы штрафов просто космос.
Что нужно для работы:
Итак, у компании должны быть лицензии, разрешения, контракты и нормальные Rules of Engagement. Без этого даже хороший специалист выглядит не как этичный хакер, а как человек, который решил потрогать чужую инфраструктуру без права.
Отдельное «но» - регуляторы:
TDRA, DESC, SIA, персональные данные, AML, детская цифровая безопасность. Всё это надо собрать в систему заранее.
Рынок большой, красивый, но зайти в него можно очень больно.
🔥6👍5👏1
Друзья, была репа, которую прикрыли, но автор перевыложил инструмент для развертывания форвардного прокси в инфраструктуре Yandex Cloud для изменения вашего IP-адреса (почти) при каждом запросе. Командам Red на заметку.
Большая просьба поддержать автора звездочками на гите❤️
https://github.com/chlzen/ycprox
Большая просьба поддержать автора звездочками на гите
https://github.com/chlzen/ycprox
Please open Telegram to view this post
VIEW IN TELEGRAM
GitHub
GitHub - chlzen/ycprox: A tool for deploying a forward proxy in your Yandex Cloud infrastructure to change your IP address (almost)…
A tool for deploying a forward proxy in your Yandex Cloud infrastructure to change your IP address (almost) each request. - chlzen/ycprox
1🔥9👍8❤🔥4
"Пользователи могут столкнуться с задержками при входе в приложение и получении кодов подтверждения, рассказали в Сбере..."
Вы спросите, а причем тут хакинг и редтим?
Читай продолжение тут -> https://teletype.in/@propentest/lZ7PDHOy1Hw
Вы спросите, а причем тут хакинг и редтим?
Читай продолжение тут -> https://teletype.in/@propentest/lZ7PDHOy1Hw
Teletype
Apteka #4
Сижу сегодня и читаю новости - говорит наш СОО
🔥11😎5👍1
Всем привет!
Недавно мне написал товарищ, который вспомнил мой Red Team на высоте. Он случайно наткнулся на похожий кейс от зарубежной компании и решил сделать перевод.
В оригинале кейс описан на сайте производителя инструментов для аварийного вскрытия механических систем контроля доступа.
https://habr.com/ru/articles/1033868/
Недавно мне написал товарищ, который вспомнил мой Red Team на высоте. Он случайно наткнулся на похожий кейс от зарубежной компании и решил сделать перевод.
В оригинале кейс описан на сайте производителя инструментов для аварийного вскрытия механических систем контроля доступа.
https://habr.com/ru/articles/1033868/
Хабр
Взлом всей сети через крышу. История одного физического пентеста
“Это был не просто взлом. И мы не просто зашли в дверь. Оказалось, что периметр объекта начинался там, где никто этого не ожидал - на крыше.” Привет! С вами пентестер Ян. В этот раз я хочу поделиться...
🔥9👍3❤🔥1