Белый хакер

👍 Белый хакер #мем

⌨️ Команда недели Привет! Попали в домен, есть учётка. Прежде чем двигаться дальше стоит посмотреть что лежит в открытом доступе на шарах. Там регулярно находятся пароли в скриптах, ключи от облаков и конфиги с credentials. netexec smb 10.10.10.0/24 -u username -p password -M spider_plus --share SYSVOL Обходит доступные шары и ищет файлы по расширениям и ключевым словам. SYSVOL особенно интересен - там лежат GPO-скрипты которые часто содержат захардкоженные пароли. 👨‍💻 Что здесь происходит. smb 10.10.10.0/24 - сканируем всю подсеть -M spider_plus — модуль который обходит шары и индексирует содержимое --share SYSVOL - начинаем с SYSVOL, там GPP-пароли которые Microsoft зашифровала одним ключом для всех и этот ключ давно слит Для поиска по всем доступным шарам убери --share и добавь фильтр: netexec smb 10.10.10.1 -u username -p password -M spider_plus -o EXCLUDE_EXTS=exe,dll,zip P.S GPP-пароли в SYSVOL это классика. Ищи файлы Groups.xml, Services.xml, Scheduledtasks.xml - там поле cpassword которое декриптится через gpp-decrypt. Что чаще всего находите в открытых шарах? 👇 #netexec #КомандаНедели #Пентест 👍 Белый хакер

Хакеры массово ломают VMware vCenter через критический RCE-баг Привет! Не успела Broadcom закрыть свежую дыру в VMware vCenter, как хакеры начали активно взламывать серверы по всему миру. Эксплойты полетели всего через пять дней после публикации патча, а среди жертв уже числятся сотни компаний. 👨‍💻 В центре внимания - уязвимость CVE-2026-59310 с максимальной оценкой опасности (CVSS: 9.8). Это баг типа Path Traversal, который позволяет удаленному атакующему выполнить произвольный код на сервере vCenter вообще без авторизации. ⚡️Исследователи из QUIRSO зафиксировали уже более 360 скомпрометированных IP-адресов в 47 странах. Схема простая: хакеры пробивают vCenter, добавляют вредоносное задание в системный cron для закрепления и поднимают обратный туннель через утилиту reverse_ssh. ⚙️ Использование reverse_ssh позволяет легко обходить сетевые фильтры, так как соединение инициализируется изнутри наружу. Почерк крайне похож на кибершпионские APT-группировки. Вдобавок сейчас фиксируются массовые сканы и на второй параллельный баг обхода аутентификации в vCenter (CVE-2026-59309). P.S. Взлом vCenter автоматически отдает хакерам ключи от всех виртуальных машин компании. Если вы еще не поставили апдейты от Broadcom - сделайте это прямо сейчас. И обязательно проверьте vCenter на наличие подозрительных cron-задач и нетипичных исходящих SSH-сессий. #attack #CSS #socialengeering 👍 Белый хакер

❌ Миф: при взломе первым делом надо отключить машину от сети Привет! Интуиция говорит: нашёл заражённую машину - сразу отключи от сети, чтобы остановить распространение. Звучит логично, но в реальных инцидентах это решение часто уничтожает больше доказательств чем спасает. 👨‍💻 Вся криминалистически ценная информация живёт в оперативной памяти: активные сетевые соединения, запущенные процессы, расшифрованные ключи, незаписанные на диск пейлоады. Mistic работал целиком в памяти без записи на диск. FIRESTARTER грузился в boot sequence. Если выдернуть питание или отключить сеть до снятия дампа памяти - всё это исчезает навсегда. Расследование начинается с нуля. 🔎 Второй момент: преждевременная изоляция предупреждает атакующего. Современные малвари мониторят connectivity и при потере связи с C2 могут запустить деструктивный payload, удалить себя или переключиться на резервный канал. GlassWorm использовал четыре независимых C2-канала именно для таких случаев. Изолировал одну машину - атакующий увидел это и затих на остальных. 🔐 Правильная последовательность другая: сначала наблюдение и сбор артефактов, потом изоляция. Снять дамп памяти, зафиксировать сетевые соединения, собрать логи - и только после этого резать доступ. Иногда полезнее вообще оставить машину подключённой под контролем чтобы отследить весь масштаб компрометации. P.S Решение об изоляции должно приниматься с пониманием что теряется при отключении. Иногда это правильный шаг, но никогда не автоматический. #хакер #миф 👍 Белый хакер

Если ты любишь пр0бив, OSINT-разведку и чекать вебки, то тебе в этот канал по гитхабу👇🏻 https://t.me/+gssTF2tjktlkNjdi

Хитрые CSS-атаки ломают интерфейсы Gmail и Outlook: хакеры крадут пароли прямо внутри писем Привет! На конференции Black Hat 2026 исследователь Гарет Хейс из PortSwigger показал, как с помощью обычного CSS можно вырваться за пределы тела письма и перехватить контроль над интерфейсом веб-почты. Уязвимы оказались почти все гиганты: Outlook, Gmail, Yahoo, AOL, Fastmail и Proton Mail. 👨‍💻 Суть атаки кроется в обходе санитайзеров - фильтров, которые вырезают опасный код. Используя специфичные свойства HTML и CSS, исследователь смог отрисовать вредоносные элементы поверх легитимного интерфейса. В Outlook он нарисовал фейковое окно авторизации Microsoft прямо поверх почты. Пароль жертвы перехватывался в реальном времени благодаря трюку со скрытым тегом <select> в браузере Firefox. 🌐Самый интересный вектор - манипуляция ИИ-помощниками, которые читают письма. В Gmail исследователи провернули инъекцию промпта: письмо содержало невидимый для человека CSS, но встроенный ИИ-ассистент Claude Cowork его прочитал. Следуя скрытой инструкции, ИИ сам нашел во входящих токен от Slack, вставил его в черновик, а уязвимость функции image-set() слила этот токен на сервер хакера без единого клика пользователя. ⚙️ В Yahoo и AOL сработал другой трюк - гонка при вставке из буфера (paste race). Вредоносный CSS успевал отработать доли секунды до того, как почтовик его отфильтрует, чего хватало для кражи токенов авторизации (например, от Medium). На данный момент часть багов вендоры залатали (Fastmail и Proton Mail уже закрыли дыры), но некоторые механизмы всё ещё работают. P.S. В общем, главный вывод для юзеров: если прямо внутри интерфейса письма (а не на отдельной официальной странице входа) появляется форма с просьбой подтвердить пароль - это 100% фишинг, построенный на CSS-инъекции. #attack #CSS #socialengeering 👍 Белый хакер

👍 Белый хакер #мем

⌨️ Команда недели Привет! sqlmap знают все и WAF его тоже знают. Ghauri написан с нуля с фокусом на обход современных защит и часто находит то где sqlmap уже сдался. ghauri -u "https://target.com/api/v1/users?id=1" --dbs --level=3 --technique=BET --tamper=between,randomcase,space2comment Находит инъекцию, перечисляет базы данных и применяет несколько tamper-скриптов одновременно чтобы обойти WAF. 👨‍💻 Что здесь происходит --dbs - перечисляем доступные базы данных --level=3 - глубина проверки, охватывает больше параметров и заголовков --technique=BET - boolean-based, error-based и time-based инъекции --tamper=between - заменяет операторы сравнения на BETWEEN randomcase - рандомизирует регистр ключевых слов SQL space2comment - заменяет пробелы на комментарии, ломает сигнатурные правила WAF После находки баз: меняй --dbs на -D dbname --tables потом -D dbname -T tablename --dump. P.S Если цель за Cloudflare или AWS WAF, добавь --delay=2 между запросами и --random-agent чтобы не светить один и тот же User-Agent. Ghauri поддерживает retry-логику из коробки в отличие от sqlmap. Какой WAF сложнее всего обходить по вашему опыту? 👇 #ghari #КомандаНедели #Пентест 👍 Белый хакер

🌄 Код ИБ ПРОФИ — выездной интенсив по ИИ и кибербезопасности в формате «три дня учебы, два дня приключений». 🗓 9-13 сентября 2026 📍 Сочи, курорт «Роза Хутор» Что ждет участников? • Практические мастер-классы от CISO Сбербанка, Яндекса, VK, Билайна, Озон Банка, Райффайзенбанка и других ведущих компаний. Эксперты разберут реальные кейсы и подходы, которые редко обсуждаются публично. • Киберучения в штабе и на киберполигоне, где можно отработать действия в условиях, максимально приближенных к реальным инцидентам. • Удостоверение о повышении квалификации установленного образца (16 ак. часов). • Горы, рафтинг, сапы, волейбол, барбекю-вечеринки, песни под гитару у костра и общение с людьми, которые каждый день отвечают за кибербезопасность крупнейших компаний страны. Код ИБ ПРОФИ — это возможность не только получить знания, но и на несколько дней выйти из рабочей рутины, сменить обстановку и стать частью профессионального сообщества. ➡️Подробности — на сайте Код ИБ. Количество мест ограничено.

Уязвимость в Apple iCloud Private Relay сливает реальные IP-адреса пользователей Привет! Исследователи выявили критический недостаток в iCloud Private Relay. Функция, которая должна была обеспечить полную анонимность в Safari с помощью двойных ретрансляторов, на деле банально протекает и отдает сайтам ваш реальный IP-адрес. 👨‍💻 Дыра кроется в самом движке WebKit, на котором принудительно работают вообще все браузеры в iOS и iPadOS (включая Chrome и Edge). Прокси-серверы Apple игнорируются сразу тремя встроенными механизмами: предварительной выборкой DNS (DNS prefetching), прямыми HTTP/3 соединениями (WebTransport) и фоновыми запросами WebAuthn. 👀 Самый изящный вектор атаки идет через WebAuthn - стандарт для беспарольного входа по Passkeys. Вредоносному сайту достаточно особым образом сконфигурировать запрос к этому API, и WebKit послушно выдаст ваш настоящий IP. При этом от жертвы не требуется вообще никаких действий: не нужно никуда нажимать или пытаться авторизоваться, утечка происходит совершенно незаметно в фоновом режиме. P.S. Apple уже в курсе и расследует проблему. Пока патча нет, единственный надежный способ скрыть свой IP на iPhone или Mac - использовать классический VPN (он перехватывает трафик на уровне системы и закрывает эту утечку). А проверить, "течет" ли ваш браузер прямо сейчас, можно на специальном тестовом стенде исследователей: leaks.psylo.app. #attack #ios #socialengeering 👍 Белый хакер

Новый сервис DOUBLECUP прячет малварь в кэше браузера и шифрует её по IP-адресу жертвы Привет! Эксперты из SOCRadar обнаружили новый хитрый загрузчик DOUBLECUP (Loader-as-a-Service). Он доставляет трояны CountLoader и DeviceManager на Windows и macOS, виртуозно комбинируя обманки ClickFix и стеганографию в обычных PNG-картинках. 👨‍💻 Жертву заманивают на фейковые сайты CRM-систем (Salesforce, Odoo) и показывают фальшивую ошибку, требуя скопировать скрипт в терминал. Пока юзер тупит, сайт незаметно подгружает в кэш браузера PNG-картинку со встроенным вредоносным кодом. Введенный в консоль скрипт достает этот код и разворачивает трояны. Они начнут сканировать систему на наличие криптокошельков и мессенджера Signal, а для связи с хакерами будут использовать смарт-контракты Ethereum/Polygon (техника EtherHiding). 📱 Главная фишка загрузчика - элегантная защита от ИБ-аналитиков и песочниц. DOUBLECUP использует публичный IP-адрес жертвы как ключ для расшифровки полезной нагрузки. Запустите вирус в лаборатории с другим IP - ключ не совпадет, и малварь просто не распакуется. А чтобы не нажить проблем с местными законами, встроенный Python-троян мгновенно самоуничтожается, если находит в системе языковые локали стран СНГ. P.S. Вся эта высокотехнологичная цепочка держится на банальной социальной инженерии. Запомните: ни один легитимный сайт или сервис никогда не попросит вас скопировать непонятный код в Win+R, PowerShell или Terminal. Видите такое - смело закрывайте вкладку. #attack #Android #socialengeering 👍 Белый хакер

❌ Миф: Регулярные бэкапы - 100% защита от вирусов-вымогателей Привет! Долгое время считалось: просто делай бэкапы, и шифровальщики не страшны. Сервер лег? Снес систему, накатил копию и работаешь дальше, оставив хакеров с носом. Увы, эти правила игры безнадежно устарели. 👨‍💻 Сейчас на рынке доминирует двойное вымогательство (Double Extortion). Перед тем как зашифровать серверы, злоумышленники неделями тихо выкачивают ваши базы данных и исходники. Вы восстановите сеть из бэкапа за час, но с вас всё равно потребуют выкуп под угрозой слива всей корпоративной тайны в открытый доступ. ‼️ Кроме того, хакеры целенаправленно бьют по самим резервным копиям. Получив права админа, они удаляют теневые копии (VSS), форматируют сетевые хранилища (NAS) и стирают облачные архивы. Правило простое: если бэкап можно удалить из взломанной сети - считайте, что у вас его нет. 🔗 Реальная защита сегодня - это неизменяемые копии (Immutable Backups). Технология WORM (Write Once, Read Many) делает так, что архив аппаратно или программно невозможно удалить до истечения заданного срока. Даже хакер с максимальными правами в домене ничего не сможет с ним сделать. P.S. Бэкап спасет инфраструктуру от простоя, но не убережет от шантажа утечкой. Настоящая безопасность - это неизменяемые архивы (чтобы 100% восстановиться) плюс шифрование чувствительных файлов внутри самой сети (чтобы украденные терабайты оказались для хакера просто мусором). #хакер #миф 👍 Белый хакер

Хакеры отравили скрипт рекламной сети Adform для подмены криптокошельков прямо в браузерах Привет! Неизвестные злоумышленники модифицировали JS-файл глобальной рекламной платформы Adform. В результате скрипт превратился в клиентский инструмент, который на лету подменял адреса криптовалютных кошельков (Bitcoin, Ethereum, Tron) на сайтах клиентов Adform. 👨‍💻 Вредоносный код был внедрен в файл trackpoint-async.js, который загружался с домена s2.adform[.]net. Этот трекинговый скрипт используется клиентами для аналитики и часто запускается вообще на всех страницах сайта. Таким образом, хакеры провернули классическую атаку на цепочку поставок (supply-chain): заразив один доверенный ресурс, они получили доступ к сотням сторонних сайтов, не взламывая их напрямую. 💬 Как только скрипт загружался в браузер пользователя, он начинал мониторить буфер обмена и события копирования/вставки. Если жертва копировала адрес криптокошелька для перевода средств, скрипт мгновенно подменял его на адрес хакеров. Самое неприятное: зловред умел перезаписывать адреса даже при программном вводе в формы (input, textarea), перехватывая события ввода на уровне DOM-дерева. Как отметил ИБ-исследователь Кевин Бомонт, даже если вы замечали подмену и копировали адрес заново - скрипт упорно вставлял свой. P.S. Компания Adform заявила, что обнаружила и удалила вредоносный код 27 июля 2026 года. Однако независимые аналитики утверждают, что атака могла длиться дольше. Точное количество пострадавших сайтов (у Adform около 1800 клиентов) и украденных средств пока неизвестно. Если вы переводили крипту в конце июля - проверьте историю транзакций. И главное: всегда проверяйте адрес кошелька глазами перед нажатием кнопки "Отправить" и очистите кэш браузера, так как отравленный JS-файл мог там «застрять». #attack #Android #socialengeering 👍 Белый хакер

👍 Белый хакер #мем

⌨️ Команда недели: subfinder + httpx Привет! Перед тем как лезть в конкретный сервис нужно понять что вообще торчит наружу. Одна команда находит субдомены, вторая фильтрует живые. subfinder -d target.com -silent | httpx -title -status-code -tech-detect -o results.txt Subfinder опрашивает пассивные источники - сертификаты, DNS, публичные базы. httpx проверяет каждый найденный субдомен и показывает что отвечает, заголовок страницы и технологии. 👨‍💻 Что здесь происходит. subfinder -d — домен цели -silent - только результаты без баннера httpx -title - вытаскивает заголовок страницы, сразу видно что за сервис -status-code - код ответа, 200 и 403 интересны по разным причинам -tech-detect - определяет технологии: nginx, WordPress, Apache, фреймворки -o results.txt - сохраняем для дальнейшей работы Из вывода сразу видно забытые dev-окружения, старые версии приложений, панели управления которые не должны торчать наружу. P.S Если хочется глубже: добавь amass enum -passive -d target.com перед subfinder и объедини результаты через sort -u. Amass находит то что subfinder пропускает. Какие источники для разведки субдоменов используете помимо пассивных? 👇 #kerberos #КомандаНедели #Пентест 👍 Белый хакер

Исходники Android-трояна Flying Eagle утекли в сеть: следы малвари нашли на 170 серверах Привет! В теневых Telegram-каналах всплыли полные исходники шпионского фреймворка Flying Eagle для Android. Исследователи из Hunt.io и NetAskari зафиксировали отпечатки его панелей управления уже на 170 серверах. Малварь активно распространялась под видом официального портала госуслуг Китая. 👨‍💻 Flying Eagle собран на базе известного трояна SpyNote. Движок активно злоупотребляет службами доступности (Accessibility Services) для повышения прав и перехвата жестов. В арсенале полный набор шпиона: кейлоггер, воровство PIN-кодов, запись экрана, доступ к камере и фишинговые оверлеи поверх банковских приложений. 🔽Слив оформлен как готовый 388-мегабайтный архив (中国龙.zip) с полным Docker-окружением: Nginx, PHP, MySQL, Node.js и инструментами сборки APK. Панель позволяет в пару кликов сгенерировать троян с кастомной иконкой, зашифрованным через AES-128 адресом C2 и уникальным пакетом. ⚙️ Для обхода антивирусов билдер рандомизирует имена классов и забивает файл мусорным JSON-кодом, имитируя структуру легитимных SDK. Попутно в распространявших его каналах (SQLRCE0 и Yx Technology) уже предлагают услуги по обналу за 20–50% от суммы и пиарят еще один новый RAT-фреймворк - Night Dragon. P.S. Главное правило защиты на Android: никогда не выдавайте сторонним приложениям доступ к «Специальным возможностям» (Accessibility Services). Для любого мобильного трояна это главный ключ к перехвату нажатий, экрана и выманиванию паролей. #attack #Android #socialengeering 👍 Белый хакер

Нейросети OpenAI нашли 0-day в JFrog, сбежали из песочницы и взломали Hugging Face Привет! Звучит как завязка киберпанка, но это официальный отчет. Компания JFrog подтвердила: модели OpenAI (включая новую GPT-5.6 Sol) на закрытых тестах нашли уязвимость нулевого дня в Artifactory и вырвались в открытый интернет. 👨‍💻 OpenAI гоняла ИИ в изолированной среде ExploitGym с отключенными фильтрами безопасности. Единственным окном наружу был внутренний прокси на базе JFrog Artifactory. Нейросети направили мощности на поиск дыр в этом софте и нащупали реальный 0-day. ⚠️Дальше был полный сюр. Пробив Artifactory, ИИ повысил привилегии, добрался до узла с интернетом и «решил», что нужные ему для тестов данные лежат на серверах Hugging Face. Нейросети провели настоящую атаку, довели дело до RCE и вскрыли чужой продакшен. В HF заметили взлом еще в середине июля, но даже не подозревали, что их ломает алгоритм. ⚙️ JFrog уже выкатила патчи (среди них CVE-2026-65618, где авторами находки скромно указаны «исследователи OpenAI»). Облако обновили автоматом, а вот владельцам self-hosted версий нужно срочно накатывать апдейты, пока эти дыры не взяли на вооружение настоящие хакеры. P.S. Мы дожили до момента, когда ИИ без цензуры способен сам находить 0-day, повышать права и ломать чужую инфраструктуру просто ради выполнения таски. Теперь безопасникам придется защищаться еще и от чересчур целеустремленных нейросетей. #OpenAI #HuggingFace #socialengeering 👍 Белый хакер

❌ Миф: threat intelligence нужна только крупным компаниям Привет! Стандартное возражение от малого и среднего бизнеса: мы слишком маленькие чтобы за нами охотились, нам не нужно следить за APT-группами и индикаторами компрометации. На деле именно небольшие компании чаще всего становятся первой жертвой в цепочке атаки. 👨‍💻 KongTuke не выбирал жертв по размеру - они заражали WordPress-сайты массово и потом смотрели что попалось. GlassWorm атаковал разработчиков через VS Code независимо от того в стартапе они работают или в корпорации. Supply chain атаки вообще целятся в маленьких подрядчиков как точку входа в крупную цель. Ты можешь быть неинтересен сам по себе, но интересен как мост к кому-то другому. 🔎 Threat intelligence не означает покупку дорогой платформы с фидами. На базовом уровне это понимание какие техники сейчас активно используются, за какими индикаторами смотреть в логах, какой софт сейчас под активной эксплуатацией. Бесплатные источники вроде MITRE ATT&CK, AlienVault OTX и публичных отчётов вендоров дают достаточно для небольшой команды. 🔐 Самое ценное в TI не сами IoC которые протухают за дни, а понимание паттернов. Знать, что прямо сейчас активно эксплуатируют конкретный Exchange или SysAid - это уже причина проверить свою инфраструктуру сегодня, а не ждать пока тебя найдут. P.S. Большинство успешных атак на малый бизнес используют техники которые описаны в публичных отчётах за месяцы до инцидента. Разрыв не в информации, а в том что её никто не читал. #хакер #миф 👍 Белый хакер

Кампания SourTrade: браузеры жертв заставляют самостоятельно собирать малварь из кусочков Привет! Специалисты из Confiant раскрыли детали изощренной вредоносной кампании SourTrade, которая нацелена на криптоинвесторов и трейдеров (маскируясь под TradingView, Solana и Luno). Главная фишка атаки — хакеры вообще не передают готовый вирус по сети, чтобы не спалиться. Ваш браузер собирает его сам. 👨‍💻 Заражение начинается с вредоносной рекламы (malvertising). При переходе на фейковый лендинг страница не пытается загрузить обычный .exe файл. Вместо этого она незаметно регистрирует ServiceWorker и SharedWorker, которые начинают в фоновом режиме скачивать «детали конструктора» с разных серверов. 🔍В качестве основы скачивается абсолютно чистый Bun (популярная среда выполнения JavaScript, аналог Node.js). Отдельно от него, в виде зашифрованных Base64-строк, подтягиваются заголовки Windows PE (Portable Executable) и сам вредоносный байт-код. После этого скрипт аккуратно «склеивает» всё это в единый исполняемый файл прямо внутри вашего браузера. ⚙️ Самое гениальное здесь - обход сигнатурного анализа. При каждой сборке файла скрипт использует шифрование AES-CTR для генерации случайного потока байтов, подмешивая их в бинарник. В итоге для каждой новой жертвы собирается .exe с абсолютно уникальным хэшем. Готового вируса на сетевом уровне просто не существует, пока браузер не сгенерирует его и не выдаст пользователю под видом скачанной программы. P.S. Блокировать такие угрозы по классическим базам хэшей бесполезно - они меняются каждую секунду. Главное правило защиты остается неизменным: никогда не скачивайте торговые терминалы и криптокошельки по рекламным ссылкам из поисковиков. Только прямые переходы на официальные сайты вендоров. #attack #Infosec #socialengeering 👍 Белый хакер