Записки Безопасника

🤒 Молниеносный триаж Windows-логов Chainsaw – инструмент быстрого DFIR-триажа от WithSecure Labs для поиска угроз в форензик-артефактах Windows. — Прогоняет Sigma-правила по журналам событий EVTX, строит таймлайны из Shimcache и Amcache, парсит MFT, кусты реестра и базу SRUM; написан целиком на Rust ради скорости на гигабайтах логов. Первичный ответ на инцидент: за минуты вычленить подозрительные записи там, где ручной разбор занял бы часы. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🔠 Supply chain через $12 | Истёкший домен как отмычка Атака через истёкший домен — перехватывают не пакет, а домен из почты мейнтейнера: освободившийся берут за $12, поднимают почту, сбрасывают пароль npm-аккаунта по email и выкатывают вредоносную версию для тысяч зависимых проектов. Точка отказа не в репозитории, а в почтовом ящике мейнтейнера – ценой в годовую регистрацию освободившегося домена. — В данной статье мы разберем kill chain перехвата, кейсы node-ipc и Shai-Hulud и защиту CI/CD: пиннинг версий, проверка мейнтейнеров, изоляция сборки. ↘️ Codeby ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Оборонный близнец ATT&CK MITRE D3FEND – открытая база знаний защитных контрмер от MITRE при поддержке NSA, которая раскладывает 245+ техник обороны по пяти тактикам: усиление, обнаружение, изоляция, обман и выдворение атакующего. — Где ATT&CK описывает, что делает противник, D3FEND отвечает, чем это закрыть, связывая контрмеру с конкретной техникой атаки через онтологию цифровых артефактов. Матрица превращает разговор о защите в общий язык: любой контроль ложится напротив угрозы, которую он реально снимает, а не просто «есть в комплаенсе». ↘️ D3FEND ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Фейковую Wi-Fi-сеть развернули прямо на борту рейса Delta На рейсе DL591 Лас-Вегас Атланта пассажир поднял точку Delta WiFi Fast под видом бортового Wi-Fi, и экипаж на полчаса отключил официальную сеть Boeing 757 – классический Evil Twin, где похожий SSID заманивает жертву ради фишинга или перехвата трафика. Маршрут подогрел интригу – на борту летели участники прошедшего DEF CON, но владельца точки не нашли, а кражи данных пока не подтвердили. — Подделать имя сети тривиально, поэтому на публичном Wi-Fi спасает не доверие к SSID, а VPN, HTTPS и отказ от автоподключения к знакомым именам. ↘️ Anti-Malware ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

ч

Что будем делать, если нас завтра зашифруют? Ответы — в новом исследовании от «Инфосистемы Джет», основанном на опыте расследования, реагирования и ликвидации более чем 100 крупных инцидентов за 2023–2025 годы. В исследовании: ▫️почему шифрование и разрушение инфраструктуры остаются основными сценариями атак ▫️какие техники используют злоумышленники, чтобы дольше оставаться незамеченными ▫️какие недостатки инфраструктуры чаще всего приводят к успешным атакам ▫️практические рекомендации по повышению киберустойчивости и восстановлению после атак 🔹Подробности в исследовании

🤒 Ловит C2 по ритму, а не по сигнатуре RITA – открытый фреймворк анализа сетевого трафика от Active Countermeasures, который ищет управляющий канал не по известным индикаторам, а по статистике поведения соединений в логах Zeek. — Считает распределение интервалов и объёмов между узлами и вылавливает бикон по подозрительной регулярности, а заодно ловит длинные соединения, DNS-туннели и обращения к плохим доменам через threat intel. Прелесть подхода в том, что даже неизвестный имплант выдаёт себя ритмом связи с сервером – сигнатуры молчат, а RITA видит. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 ИИ-агент с доступом к API | Новый привилегированный пользователь AI-агент – не чат-бот, а модель с инструментами, токенами и доступом к данным, из-за чего она становится привилегированным пользователем, не всегда отличающим доверенную команду от инструкции, спрятанной злоумышленником в письме или на странице. Системный промпт – подсказка поведения, а не политика безопасности: он в одном контексте с недоверенными данными, поэтому доступ должен решать код вокруг модели. — В данной статье мы разберем прямую и косвенную prompt injection, принцип минимальных привилегий для агента, изоляцию исполнения кода и подтверждение опасных действий человеком. ↘️ SecurityLab ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Какие расширения файлов работают на атакующего Filesec – открытый справочник исследователя mr.d0x, который каталогизирует расширения файлов, применяемые злоумышленниками для доставки, запуска кода и фишинга. — По каждому формату вроде LNK, ISO, ONE, SVG или CHM указано, как именно его используют в атаке, на какой ОС и что рекомендуется для защиты. Полезен при настройке блок-листов и почтовых фильтров: наглядно показывает, что вредоносным может оказаться почти любой, даже безобидный на вид, файл. ↘️ Filesec ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

👩‍💻 Всем программистам посвящается! Вот 14 авторских обучающих IT каналов по самым востребованным областям программирования: Выбирай своё направление: 👩‍💻 Python — t.me/python_ready 🤔 InfoSec & Хакинг — t.me/hacking_ready 🖥 SQL & Базы Данных — t.me/sql_ready 👩‍💻 IT Новости — t.me/it_ready 🤖 AI & ML — t.me/neuro_ready 👩‍💻 Frontend — t.me/frontend_ready 👩‍💻 C/C++ — https://t.me/cpp_ready 👩‍💻 C# & Unity — t.me/csharp_ready 👩‍💻 Linux — t.me/linux_ready 👩‍💻 Java — t.me/java_ready 📖 IT Книги — t.me/books_ready 📱 JavaScript — t.me/javascript_ready 🖼️ DevOps — t.me/devops_ready 🖥 Design — t.me/design_ready 📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!

🤒 Ботнет Tengu перезагружает устройство, если убить его процесс Nozomi Networks нашли Mirai-ботнет Tengu, который брутит Telnet, тянет 25 видов DDoS и абьюзит сторожевой таймер: процесс под маской [kworker/0:0] кормит watchdog, и стоит убить малварь, как кормление встаёт и устройство уходит в жёсткую перезагрузку, откуда Tengu воскресает. Малварь ломает и штатное выключение: правит ELF-заголовки утилит shutdown и reboot, вписывая строку ELFOOD. — Завершение процесса не лечит, а провоцирует ребут, поэтому чистить IoT надо с учётом персистентности, а на периметре резать Telnet и дефолтные пароли. ↘️ Xakep ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Обмен индикаторами компрометации между командами MISP – открытая платформа обмена данными о киберугрозах от люксембургского CIRCL, где команды складывают, коррелируют и раздают друг другу индикаторы компрометации. — Хранит IOC, связывает их в события через таксономии и галактики, тянет и отдаёт фиды, а через API экспортирует правила прямо в IDS и SIEM. Смысл в коллективной обороне: инцидент у одного участника превращается в готовые правила детекта для всех, кто получает его фид. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

💰 Пентест телеком-ядра | SS7, Diameter, GTP Сигнальные протоколы операторов – SS7, Diameter и GTP проектировались в эпоху закрытой доверенной сети, поэтому почти не аутентифицируют узлы между собой, и методология пентеста core network строится вокруг этой слабости: SS7-атаки категорий 1-3 по GSMA, обход фильтрации Diameter и туннелирование с pivot через GTP. Доступ к сигнальной сети оборачивается перехватом SMS и звонков, определением местоположения абонента и обходом двухфакторной аутентификации. — В материале разберем методологию аудита оператора с чеклистом по GSMA FS.11 и требованиям ФСТЭК. ↘️ Codeby ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🪟 Что значит каждый Event ID Windows Security Log Encyclopedia – открытый справочник Рэнди Франклина Смита, где по каждому идентификатору события журнала безопасности Windows расписано, что оно значит и как его коррелировать. — Вместо сухих формулировок Microsoft тут понятные объяснения ключевых событий: 4624/4625 для входов, 4688 для процессов, 4663 для доступа к объектам, 4728 для смены состава групп, со связками через Logon ID. Для аналитика это настольная шпаргалка при разборе инцидента: что натворил злоумышленник, видно только при верном чтении этих событий. ↘️ Windows Security Log Events ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

✔️ 100 ошибок C++ и как их избежать | Рич Йонтс «100 ошибок C++ и как их избежать» — практический справочник Рича Йонтса, разбирающий сотню типовых промахов в C++ на конкретных примерах с пошаговым исправлением. — Многие из них не про читаемость, а прямой источник уязвимостей: неопределённое поведение, работа с памятью и устаревшие идиомы, из которых растут переполнения буфера и use-after-free. Для разработчика и безопасника это чек-лист, что искать в легаси-коде и чего не допускать в новом, от старых проектов до C++11 и новее. ↘️ Max ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe