Белый хакер

🇫🇷 У налоговой Франции украли данные 600 000 человек и компаний

Привет! Атака на французскую налоговую DGFIP продолжалась около семи недель и при этом не требовала какой-то сложной эксплойт-цепочки. Хакеры просто использовали украденные пароли сотрудников и спокойно ходили по внутренним системам.

👨‍💻 Пароли собирали несколько месяцев, вероятно, инфостилеры с личных компьютеров сотрудников. Два портала DGFIP - PIGP и ADER - принимали только пароль, поэтому украденного доступа хватало. Через ADER атакующий добрался до E-Contact, где хранилась переписка налогоплательщиков.

🚨В результате могли быть просмотрены или скачаны данные чуть более 350 000 физлиц и 250 000 компаний. У людей это налоговый ID, контакты, семейный статус, налогооблагаемый доход, ставка удержания и список обращений в налоговую. Содержимое самих сообщений затронуто у менее 250 человек. Пароли личных налоговых кабинетов при этом не украли.

⚙️ А дальше сработала довольно странная защита. SOC несколько раз замечал подозрительные запросы и просто сбрасывал пароль. Но уже открытая сессия в ADER продолжала работать. 24 июня атакующий начал автоматизированно выгружать E-Contact постранично. Пароль сбросили в 10:40, а данные продолжали уходить ещё почти 16 часов.

🌐Мониторинг вообще не видел ADER. Не сопоставлялись ночные входы, VPN, индийские IP и известные вредоносные адреса. Даже 11 ГБ трафика за несколько дней не вызвали тревогу. Саму кражу обнаружили только 12 августа, когда атакующий заявил о ней на форуме.

P.S. Здесь хорошо видно, почему «мы сбросили скомпрометированный пароль» ещё не означает, что доступ закрыт. Если активную сессию не отозвали, атакующий может продолжать работать уже с валидным токеном.

#France #DataBreach #MFA #Infosec
👍 Белый хакер

🤖 Android-троян RatHat подключил Gemini, чтобы искать богатых жертв

Привет! У RatHat появился необычный элемент в панели управления: она отправляет собранные с телефона SMS в Gemini и просит оценить, сколько денег может быть на банковском счёте жертвы.

👨‍💻 RatHat продаётся по модели malware-as-a-service. Оператор получает веб-консоль, собирает через неё данные с заражённых телефонов и может в один клик получить shell на устройстве. В последней версии консоль сама раскладывает жертв на high-value и mid-value - по оценке Gemini.

➡️Сам троян при этом не поручает Gemini перевести деньги. Модель нужна для сортировки: если в SMS виден крупный баланс, оператор понимает, что этому телефону стоит уделить время. В старой версии можно было выбирать разные AI-сервисы, сейчас оставили только Gemini.

⚙️ Есть Gemini и на самом телефоне. RatHat пытается включить wireless debugging через Accessibility. Если интерфейс Android отличается от того, под который писали малварь, она отправляет Gemini структуру экрана и получает инструкцию, куда нажать. То есть модель помогает самому трояну пройти нестандартный интерфейс.

🔎 А дальше начинается совсем неприятная часть. После включения ADB RatHat запускает Go-программу с reverse tunnel. Через неё оператор получает управление экраном без обычного запроса на запись экрана: используются minicap и minitouch. Причём процесс продолжает работать даже после удаления приложения - до перезагрузки телефона.

P.S. Cleafy нашла почти 100 развёртываний панели RatHat с апреля по сентябрь 2026 года. Это именно копии консоли, а не количество заражённых телефонов.

#Android #Malware #Gemini #Infosec
👍 Белый хакер

Кибератака началась. Время пошло ⏱️
«Не защищены» — подкаст о том, что происходит после взлома.

Кто должен принимать ключевые решения? Как снизить негативные последствия? 
Ринат Сагиров, директор центра мониторинга и реагирования «Инфосистемы Джет», вместе с коллегами и экспертами рынка обсуждают:

— есть ли идеальный план спасения;
— где команды теряют драгоценное время сразу после взлома;
— в какой момент лучше подключать экспертов по форензике;
— на какие ошибки рассчитывают злоумышленники;
— как выстроить взаимодействие ИТ и ИБ под давлением.

В центре разговора — первые действия команды, восстановление бизнес-процессов и реальный опыт противодействия кибератакам.
Посмотрите, какие решения помогают восстановить работу компании, — до того, как принимать их придется вам.

⚡ Смотреть подкаст

Реклама. Акционерное общество «Инфосистемы Джет». ИНН 7729058675.
Erid: 2SDnjc91bgF

⌨️ Команда недели

Привет! Нашли подозрительный процесс внутри контейнера, а ps и ss показывают какую-то урезанную картину?

Можно не заходить через Docker или Kubernetes. Если знаете PID процесса, nsenter позволит попасть прямо в его namespace.

nsenter -t 1847 -m -u -i -n -p -- /bin/bash

👨‍💻 1847 - PID процесса на хосте.

-m — mount namespace -u — UTS namespace -i — IPC -n — network namespace -p — PID namespace

После этого shell работает в тех же namespace, что и выбранный процесс. То есть можно увидеть его файловую систему, hostname, процессы и сетевое окружение. nsenter как раз предназначен для запуска программы в namespace другого процесса.

🔎 Круче всего при разборе контейнеров: процесс выглядит обычным с хоста, но внутри его namespace могут оказаться свои интерфейсы, маршруты, процессы и mount’ы. Можно быстро проверить окружение, не меняя конфигурацию самого контейнера.

P.S. Если подозрительный процесс живёт в контейнере, полезно сначала посмотреть его PID на хосте, а уже потом заходить через nsenter.

#Linux #Containers #NSenter #КомандаНедели
👍 Белый хакер

👍 Белый хакер #мем

🚀 Онлайн-запуск MaxPatrol SIEM 28.0 — 1 октября

Поток событий растет, атаки усложняются, а времени у команд больше не становится. В версии 28.0 мы сфокусировались на том, чтобы этот поток оставался управляемым на всех уровнях — от инфраструктуры до решений аналитика.

Что вас ждет в прямом эфире:

- Разберем главные архитектурные изменения и покажем, как они оптимизируют работу нагруженных инфраструктур
- Расскажем, как ИИ-помощник PT Naira работает с событиями, правилами и контекстом расследования
- Покажем, какие аномалии находит поведенческий ML-модуль MaxPatrol BAD за пределами классических правил
- Эксперты расскажут, как меняется работа с правилами и знаниями об атаках
- Команда продукта поделится планами на ближайшее будущее

Версия 28.0 открывает новый этап развития системы — расскажем, каким будет продолжение.

📅 1 октября, 14:00 мск

Настройтесь на новый ритм производительности с MaxPatrol SIEM 28.0.

Microsoft 365 взломали через аккаунты, о которых забыли даже админы 🤦‍♂️

Привет! Proofpoint нашла активную кампанию TeamFiltration: атакующие перебрали больше 5 700 аккаунтов в 28 Microsoft 365-тенантах. В итоге забрали семь. И нет, это были не сотрудники. Это были сервисные аккаунты, которые, похоже, уже сами не помнили, зачем существуют…

👨‍💻 Механика простая. TeamFiltration перебирал аккаунты с дефолтными и давно не менявшимися паролями. Шесть из семи взломали меньше чем за 7 минут. Видимо, где-то IT однажды придумали пароль для сервисной учётки, поставили его и решили: «Ну всё, теперь навсегда».

☁️ Дальше атакующие уже чувствовали себя вполне как дома: полезли в Office, OneDrive и Teams. В одном случае меньше чем через две минуты после входа переключились на немецкий туннель, проверили корпоративный туннель, Azure Portal, SharePoint и Microsoft Graph. Правда, сам вход ещё не означает, что данные действительно успели вынести.

🔐 Самое смешное и одновременно неприятное: все семь аккаунтов были сервисными. Не сотрудник, который может случайно открыть фишинговое письмо, а условный backup-prod-final-2, созданный когда-то «на пять минут» и благополучно забытый на следующие пять лет.

P.S. Атакующие использовали 1 487 AWS-адресов и три волны атак. В одной из них под удар попал чилийский ритейлер, на который пришлось 78,3% всех попыток входа. Иногда для атаки на Microsoft 365 не нужен ни zero-day, ни суперсложный эксплойт. Достаточно найти аккаунт, который админ когда-то создал, а потом торжественно забыл.

#Microsoft365 #Infosec #CloudSecurity
👍 Белый хакер

❌ Миф: атрибуция нужна, чтобы найти виновных

Привет! Когда в отчёте пишут «за атакой стоит Jade Sleet», легко подумать, что дальше кто-то должен найти конкретного человека и наказать его.

👨‍💻 Для защиты от этого толку немного. Гораздо важнее понять, что эта группа обычно делает после получения доступа. Например, Jade Sleet известна атаками через фейковые задания для разработчиков. Подсовывает репозиторий, заражённую зависимость или другой инструмент, который выглядит частью работы. Если знаешь такой сценарий, уже понятно, где искать следы.

🔎 То же самое с инфраструктурой. Один и тот же C2, способ загрузки пейлоада, ключ подписи или техника persistence могут связать новую атаку с предыдущими. Вместо «мы впервые видим эту малварь» получаем готовый контекст: вот как она обычно появляется, вот что делает дальше, вот какие артефакты оставляет.

⚙️ Поэтому отчёт о Jade Sleet полезен даже компании, которую эта группа никогда не атаковала. Можно взять её TTP и проверить GitHub, рабочие машины разработчиков, Terraform, CI/CD и облачную инфраструктуру. Чужое расследование уже проделало часть работы за тебя.

P.S. Имя группы в отчёте интересно. Ещё интереснее - что она делала на предыдущих взломах и какие из этих приёмов можно найти у себя.

#Мифы #ThreatIntel #Infosec
👍 Белый хакер

Исследователь выложил инструмент который блокирует обновления Defender заполняя диск

Привет! Абдельхамид Насери опубликовал на GitHub BigDiskBuster - zero-day PoC без патча, без CVE и без координации с Microsoft. Инструмент не взламывает Defender, он тупо не даёт ему обновляться 😁

👨‍💻 Механика простая. Инструмент следит за директориями обновлений Defender. Как только тот начинает скачивать свежие сигнатуры - BigDiskBuster создаёт скрытый файл который занимает всё свободное место на диске. Обновление падает с ошибкой. Файл удаляется и ждёт следующей попытки. Defender работает, но сигнатуры стоят на месте.

🛡Это уже четвёртый инструмент против Defender от Насери с апреля. Предыдущие три: BlueHammer, RedSun, UnDefend - успели поэксплуатировать в реальных атаках до патча, все три в KEV-каталоге CISA. Насери говорит что его уволили из Microsoft Security Response Center в 2024 году и с тех пор он просто публикует что находит.

🔐Патча нет и неизвестно когда будет. Проверить актуальность сигнатур: Get-MpComputerStatus в PowerShell, поля AMEngineVersion и AMProductVersion. Стоит мониторить повторные ошибки обновления и аномально большие скрытые файлы во временных директориях.

P.S. Defender с устаревшими сигнатурами не выключен - он просто не видит свежие угрозы. Для атакующего этого достаточно.

#Defender #ZeroDay #Infosec
👍 Белый хакер

🍏 Jade Sleet заражает Mac разработчиков через поддельные Terraform-репозитории

Привет! Северокорейская Jade Sleet снова зашла через разработчика. SentinelOne обнаружила два её бэкдора - FLATROOF и ROOFDECK - на MacBook DevOps-инженера из индийской IT-компании.

👨‍💻 Сценарий начинается как обычное тестовое задание. Жертве предлагают GitHub-репозиторий с инфраструктурным проектом для собеседования. Внутри лежит поддельный .terraform.lock.hcl, который направляет Terraform на домен атакующих. Разработчик запускает terraform init - и вместе с зависимостями получает вредоносный модуль.

➡️Дальше на Apple Silicon Mac приезжает FLATROOF. Он общается с оператором через Telegram, выполняет команды и умеет таскать файлы. Плюс собирает данные браузеров, историю Terminal, список приложений, процессы, информацию о системе и копию login.keychain-db.

⏺Следом подключается ROOFDECK. У него C2 через Nostr, удалённый shell, работа с файлами и persistence через Launch Agents. Команды перед выполнением проверяются криптографической подписью - бэкдор не будет выполнять команды без корректного ключа оператора.

☄️На заражённом Mac импланты нашли ещё 18 марта, но почти две недели они молчали. 29 марта активность началась буквально через несколько секунд после открытия DevOps-проекта ~/DevOps-Automation/cloudshield в Cursor. А 20 апреля атакующие поставили новую версию ROOFDECK, уже без символов и debug-информации.

P.S. В таких атаках разработчик становится точкой входа во всю инфраструктуру. Его Mac может иметь доступ к GitHub, облаку, CI/CD и Terraform — поэтому одного заражённого рабочего места хватает для дальнейшего продвижения.

#MacOS #Malware #Terraform #Infosec
👍 Белый хакер

😬 Claude Opus 5 помог взломать внутренние аккаунты OpenAI через баг в картинках

Привет! Команда Hacktron использовала Claude Opus 5, чтобы сцепить два бага и получить доступ к ChatGPT и Codex аккаунтам сотрудников OpenAI, а потом и к внутреннему репозиторию. И да, это был легальный багхантинг - всё остановили, сообщили, получили $6500 баунти.

👨‍💻 Точка входа - публичный форум поддержки OpenAI на Discourse. Форум принимает HEIC-изображения и обрабатывает их через libheif - там жил CVE-2026-32882. Патч для libheif вышел ещё в мае 2026, но сервер форума крутился на Debian 12 со старой версией библиотеки. Исследователи использовали уязвимость памяти чтобы обойти ASLR и получить RCE на сервере форума.

🚨Дальше сработала цепочка через SSO. Форум предлагал «Sign in with OpenAI» - тот же SSO, что используют сотрудники внутри. Получив контроль над сервером форума, исследователи захватили ChatGPT и Codex аккаунты сотрудников, которые логинились через этот же SSO. Никаких действий от жертв не требовалось.

🔎 Самое интересное в роли ИИ. Claude Opus 4.8 не смог написать рабочий эксплойт с ASLR. Opus 5 вышел 24 июля вечером, и в новой сессии сделал рабочий эксплойт за несколько часов. Исследователи обошли ограничения указав модели на свой тестовый сервер замаскированный под CTF-таргет.

P.S. Если принимаешь HEIC/HEIF изображения через libheif - обнови до 1.23.4. И стоит проверить какие публичные сервисы шарят SSO с внутренними инструментами.

#Malware #MQTT #Windows #Linux #Infosec
👍 Белый хакер

👍 Белый хакер #мем

❌ Миф: пентест показывает как тебя взломают

Привет! Большинство заказчиков ждут от пентеста одного - список дыр через которые можно войти. На деле самое ценное в хорошем пентесте не это.

👨‍💻 Пентест показывает что детектирует твой мониторинг. Если команда две недели активно сканировала сеть, запускала BloodHound, дампила память через mimikatz - и SOC ничего не заметил — это важнее любой найденной уязвимости. Уязвимость можно закрыть патчем. Слепота мониторинга это системная проблема.

🔎 Второе что показывает пентест - время реакции. Не «могут ли нас взломать», а «сколько времени у атакующего есть внутри до обнаружения». FIRESTARTER сидел семь месяцев. Если пентестер неделю ходит по сети и его никто не замечает - это ответ на вопрос о реальном времени реакции.

⚙️Поэтому хороший пентест это не только красный отчёт с уязвимостями, но и фидбек для синей команды: что сработало в детектировании, что пропустили, какие алерты были и почему их проигнорировали.

P.S Отчёт который просто перечисляет CVE без анализа видимости атаки - половина работы.

#Мифы #ReverseEngineering #Infosec
👍 Белый хакер

🔴 Issabel взламывают через поддельный JWT

Привет! Исследователи VulnCheck обнаружили активную эксплуатацию критической уязвимости CVE-2026-89026 в Issabel Framework - веб-фреймворке для open-source PBX. Баг получил 9.8 по CVSS и позволяет удалённо выполнять команды в системе без авторизации.

👨‍💻 Причина оказалась в жёстко заданном JWT-ключе. Он одинаковый во всех установках Issabel, поэтому атакующий может самостоятельно создать валидный bearer-токен и обратиться к API без учётных данных.

⏺Дальше используется endpoint /pbxapi/manager/originate с параметром System. Через него Asterisk запускает переданную команду уже на самой системе от имени пользователя Asterisk.

👀 Патч выпустили ещё 1 августа: вместо общего ключа JWT теперь используется уникальный ключ из /etc/issabel.conf. Но Shadowserver впервые зафиксировала реальные атаки 9 сентября. Кто стоит за ними и сколько систем уже скомпрометировано, пока неизвестно.

P.S. Уязвимость особенно неприятна для PBX: доступ к серверу телефонии может дать атакующему не только выполнение команд, но и точку входа в инфраструктуру организации. Issabel-системы стоит обновить до актуальной версии.

#Issabel #VoIP #JWT #CyberSecurity
👍 Белый хакер

🦠 BambooToken управляет Windows и Linux через MQTT

Привет! Lumen Black Lotus Labs нашли BambooToken - малварь, которая использует MQTT, протокол из мира IoT, как канал управления заражёнными Windows и Linux-системами. Кампания активна как минимум с 2023 года, а последние следы активности относятся к июлю 2026-го.

👨‍💻 На Windows BambooToken маскируется под легитимный Tendyron OnKeySrv. Вредоносная DLL подгружается через DLL sideloading, после чего собирает информацию о машине и выходит на C2. В ранних версиях за запуск отвечал PowerShell-стейджер, позже операторы перешли на sideloading, который, по оценке исследователей, мог реже срабатывать на EDR.

🖥 Дальше в дело вступает MQTT. Малварь подключается к брокеру и получает команды на загрузку плагинов, остановку модулей, завершение работы или отключение от C2. В Windows есть отдельный плагин через WMI, который собирает информацию об установленном антивирусе и отправляет её атакующим.

🔎 С декабря 2025 года BambooToken начали замечать и на Linux. Среди обнаруженных целей - серверы мобильных приложений, GitLab, финтех, гостиничный бизнес, медицинская и криптовалютная инфраструктура в Азии и Южной Америке. Часть C2-инфраструктуры при этом проксируется через Cloudflare.

P.S. MQTT сам по себе не выглядит подозрительно: его используют IoT-устройства, приложения и обычные сервисы. Поэтому для обнаружения такой малвари важнее смотреть на контекст - неожиданные MQTT-соединения, sideloading DLL и поведение процесса после загрузки.

#Malware #MQTT #Windows #Linux #Infosec
👍 Белый хакер

⌨️ Команда недели

Привет! Получили доступ к исходникам или нашли открытый репо. Вместо ручного грепа по коду semgrep за минуты находит потенциальные уязвимости по готовым правилам.

semgrep --config=p/security-audit --config=p/secrets . --output results.json --json

Прогоняет весь код в текущей директории по двум наборам правил и выдаёт структурированный список находок.

👨‍💻 Что здесь происходит.

--config=p/security-audit - правила из реестра semgrep: SQL-инъекции, XSS, небезопасная десериализация, hardcoded credentials --config=p/secrets - ищет токены, ключи и пароли прямо в коде
. - текущая директория рекурсивно
--json - машиночитаемый вывод, удобно для дальнейшей обработки

Для быстрого просмотра без JSON:

semgrep --config=p/security-audit . --severity=ERROR

P.S Самые интересные находки обычно в p/secrets - разработчики регулярно коммитят токены AWS, Slack и GitHub прямо в код. Semgrep это поймает быстрее чем ручной поиск по истории коммитов.

Используете статический анализ в пентесте? 👇

#semgrep #КомандаНедели #Пентест
👍 Белый хакер

🔑 Фишинг под видом обновления passkey захватывает Microsoft-аккаунты

Привет! Microsoft описала кампанию, где хакеры звонят сотрудникам от имени IT-поддержки и предлагают срочно обновить passkey, MFA или SSO. После этого жертву отправляют на поддельную страницу Microsoft через SMS или помогают пройти device-code авторизацию.

👨‍💻 Цель здесь получить доступ к аккаунту без необходимости красть пароль или cookie. В одном из сценариев используется AiTM: пользователь проходит обычную авторизацию на поддельном сайте, а атакующий перехватывает процесс. В другом жертву убеждают подтвердить device-code вход, фактически авторизуя злоумышленника в своём аккаунте.

➡️После входа атакующие закрепляются в аккаунте: добавляют свой номер телефона, Authenticator или OTP-токен как новый MFA-метод. Затем через Microsoft Graph перебирают пользователей, группы и права, забирают письма, файлы из SharePoint и OneDrive и могут несколько дней выгружать данные.

🔎 Для фишинга регистрируют домены с названиями вроде passkeyhelpdesk.com, secure-passkey.com и add-passkey.com. В некоторых случаях в домене ещё указывают название компании-жертвы. Если аккаунт уже скомпрометирован, н

P.S. Само слово passkey в сообщении ещё ничего не гарантирует. В этой кампании его используют как предлог, чтобы человек сам прошёл нужную атакующему процедуру авторизации.

#Phishing #Microsoft #MFA #Infosec
👍 Белый хакер

🎨 Если уж заходить в аккаунт, то красиво… И с шансом выиграть Алису! 

Yandex Cloud запускает конкурс дизайнов страниц авторизации в Yandex Identity Hub. На сайте можно настроить тему, фон, цвет, приветствие и кнопки, а затем показать результат. Один из критериев оценки — насколько глубоко использован потенциал функционала «Брендирование»

Важно: страница должна соответствовать корпоративным гайдам!

🏆 7 победителей получат Яндекс Станции Миди с Алисой и мерч команды Yandex Cloud.

Для участия* нужно создать свой дизайн в Yandex Identity Hub и опубликовать скрин или скринкаст в комментариях к конкурсному посту в @yndxcloudsecurity.

Заявки принимаются до 28 сентября, удачи!

* Принимая участие в конкурсе, вы становитесь участником конкурса под наименованием «Конкурс на лучшую кастомизацию страницы авторизации с помощью сервиса Yandex Identity Hub», который проводится с 10 по 28 сентября 2026 года. Информация об организаторе конкурса, сроках и правилах его проведения, количестве призов, сроках, месте и порядке их получения размещена по ссылке

📱 Google Play Early Access превратили в витрину для скам приложений

Привет! Bitdefender нашли массовое злоупотребление программой Early Access в Google Play. Тысячи приложений с фейковыми казино и клонами игр - и ни одного отзыва или рейтинга.

👨‍💻 Early Access это программа для сбора фидбека до релиза. Пользователи не могут оставлять отзывы и оценки, и именно это здесь эксплуатируют. Приложение набирает миллион установок, выглядит как нормальный продукт, и никаких красных флагов нет. Клон GTA под названием Vice Street: Open World набрал больше миллиона скачиваний до удаления.

⚙️ Реклама через TikTok и Facebook с дипфейками знаменитостей ведёт в Play Store. Внутри приложение сразу сыпет виртуальными наградами, но при попытке вывести деньги прогресс резко замедляется. Выплата не придёт - цель показать максимум рекламы пока пользователь пытается что-то заработать.

🔎 Казино-приложения маскируются под слот-игры, чтобы обойти требования к лицензированию. В том же списке PDF-ридеры, QR-сканеры и трекеры телефона.

P.S. Early Access приложение без отзывов которое обещает деньги - скам.

#Android #Scam #Infosec
👍 Белый хакер