Гайд по подготовке инфраструктуры для фишинга

Наш спец по анализу защищённости внутренней инфраструктуры bugaga поделился в статье шагами и инструментами для подготовки фишинговой рассылки в ходе пентеста.

Смотреть подробности и результаты кейса

Срочно обновляем TrueConf Server

Минутка серьёзности: друзья, необходимо срочно обновить TrueConf Server до актуальной версии.
Обновление от 16.03.2026 содержит критичные исправления безопасности. По информации вендора, без установки патча повышается риск атак через Интернет. Рекомендуемые версии: 5.5.2.11021 и 5.4.8.10008.

По имеющейся информации, злоумышленники уже осуществляют поиск уязвимых инсталляций TrueConf Server и пытаются их эксплуатировать. Речь идет об уязвимости, которая потенциально может привести к компрометации сервера и загрузке вредоносных файлов.

В связи с этим, чем быстрее удастся обновить серверы, тем ниже будут риски ☝️

Пока генералиссимус Singleton Security Егор Богомолов возвращался с продуктивных сессий ЦИПРа, Матвей Сердюков, старший специалист группы анализа защищённости приложений, выступил на конференции «Периметр» от Метаскан

Матвей разобрал, какие уязвимости чаще всего находят при пентесте внешнего периметра и веб-приложений. В основе доклада — выборка из 88 проектов 2025 и 2026 года.

Главный фокус не на отдельных CVE, а на повторяющихся паттернах:

1️⃣ ошибки контроля доступа: недостаточные проверки авторизации, доступ к админским функциям, утечки данных и секретов;
2️⃣ мисконфигурации веб-серверов и прокси: случайно открытые конфиги, бэкапы, служебные скрипты и файлы;
3️⃣ ошибки в SSO/OAuth: особенно слабая проверка redirect_uri, из-за которой можно перехватить авторизационный код и получить доступ к аккаунту;
4️⃣ атаки на цепочки поставок: например, Dependency Confusion, когда приложение может подтянуть вредоносный пакет из публичного репозитория;
5️⃣ хранимые XSS: особенно в таблицах, админках, личных кабинетах и при загрузке файлов вроде SVG.

Короче, внешний периметр часто ломается не из-за экзотических атак, а из-за хорошо известных, но недосмотренных вещей — забытых файлов, слабых настроек, непроверенных redirect URI, небезопасных зависимостей и недостаточной фильтрации пользовательского ввода.

Недавно у нашего директора по развитию бизнеса Петра Покаместова был День рождения — и надо отметить, что ему удалось не только родиться самостоятельно, но и произвести на свет нашего теперь уже постоянного маскота-призрака Боба.

Рассказываем его историю в статье и принимаем заявки на мерч 😏

История Боба: https://telegra.ph/Otkuda-prizrak-v-komande-Singleton-Security-ili-kto-takoj-Boboslav-06-09