Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

👌 Как один пароль остановил бензин в США

Одна скомпрометированная учётка — и крупнейший топливопровод страны встал на 6 дней. Не технологичный zero-day, а банальный VPN без двухфакторки. Но последствия оказались масштабнее, чем у многих громких эксплойтов.

🔍 Как это произошло:

• DarkSide проникла через скомпрометированный VPN-аккаунт (без 2FA)
• Зашифровали billing-системы и украли 100GB данных
• Компания экстренно остановила весь трубопровод на 6 дней

🔤 Последствия:

— Дефицит топлива на Восточном побережье
— Паника на заправках, очереди, рост цен
— Режим ЧС в 17 штатах
— Выкуп $4.4M в BTC (75 BTC)

📌 Что интересно:

Colonial заплатила выкуп через несколько часов. FBI позже отследила и вернула $2.3M — взломав кошелёк DarkSide или получив ключи (точных данных нет).

Сама атака была технически простой: старый VPN + слабый пароль. Но последствия показали, как ransomware превратился из проблемы IT в угрозу национальной безопасности.

DarkSide закрылась через 2 недели после атаки под давлением властей.

📎 Если хотите копнуть глубже — подкаст Malicious Life разобрал эту историю с двух сторон: в Episode 118 технический разбор атаки от главы threat research Cybereason, а в Episode 226 — про главную дилемму: платить выкуп или нет. Там разбирают, почему FBI само заплатило $4.4M, хотя публично призывает никогда этого не делать.

🐸 Библиотека хакера

#zero_day_legends

📌 Свежие апдейты ИБ

Коротко и по делу — что реально важно из последних уязвимостей и обновлений.

⚠️ Критическая RCE в React / Next.js

В Server Components обнаружена уязвимость CVE-2025-55182, позволяющая выполнить произвольный код удалённо.

Кого касается:
React 19.0–19.2.0, RSC-бандлы под Webpack/Parcel/Turbopack, а также проекты на Next.js.

Что делать:
— срочное обновление зависимостей;
— временно отключить RSC в критичных сервисах.

📱 Android — декабрьские патчи закрывают 0-day

Google выпустила декабрьский бюллетень: более 100 уязвимостей закрыты, несколько из них активно эксплуатировались («in the wild»).

Ключевое:
— уязвимости в Android Framework;
— риск полного компромета устройства без взаимодействия пользователя.

🤖 AI × безопасность: новые рекомендации CISA для OT/ICS

CISA выпустила руководство по безопасной интеграции AI в промышленную инфраструктуру.

Почему важно:
AI всё чаще участвует в атаках — от автоматизации фишинга до генерации эксплойтов. OT-системам приходится адаптировать защиту.

🔹 Курс «Программирование на языке Python»
🔹 Получить консультацию менеджера
🔹 Сайт Академии 🔹 Сайт Proglib

🐸 Библиотека хакера

#patch_notes

И смешно и грустно 😾

🐸 Библиотека хакера

#hack_humor

Black Box — уязвимое место любого инженера

Нельзя эффективно защищать (или атаковать) AI-системы, если вы не понимаете их математическую «начинку». Adversarial attacks, отравление данных, анализ аномалий — всё это базируется на статистике и линейной алгебре.

Хотите понимать ML на уровне формул, а не просто запускать скрипты?

Завтра стартует курс «Математика для разработки AI-моделей».

💀 Стоимость: 28 200 ₽.

💀 Тайминг: Старт завтра.
Изучите архитектуру врага изнутри.

🔗 Ссылка на регистрацию

Check yourself: @proglib_academy_webinar_bot

🔐 Какая самая критичная уязвимость в этом коде?

Отвечайте реакциями:

👍 — SQL Injection в /api/search
👾 — Command Injection в /api/ping
🔥 — Command Injection в /api/backup
❤️ — Hardcoded credentials в коде

🐸 Библиотека хакера

#ctf_challenge

💳 100 команд Kali Linux для пентестинга

Часть 1 — Сети, разведка, уязвимости, MITM, веб-аудит

➕ Сетевые утилиты и диагностика

• ifconfig — показывает сетевые интерфейсы и их параметры.
• ping — проверяет доступность узла с помощью ICMP-эхо.
• netstat — отображает сетевые подключения, порты и статистику.
• nmap — сканирует сеть и определяет открытые порты/сервисы.
• arp — просматривает или изменяет ARP-кэш.
• dig — выполняет DNS-запросы.
• whois — извлекает регистрационные данные домена.
• host — делает DNS-резолвинг.
• traceroute — показывает маршрут прохождения пакетов.
• route — отображает или изменяет таблицу маршрутизации.
• iptables — управление правилами брандмауэра Linux.
• ssh — безопасное подключение к удалённым системам.
• nc (netcat) — универсальный инструмент для работы с сетевыми потоками.
• sshuttle — туннелирование трафика по SSH, аналог VPN.
• openvpn — создание VPN-клиентов и серверов.
• socat — двунаправленная передача данных между сокетами.

➕ Сниффинг, анализ трафика и перехват

• tcpdump — перехват и анализ сетевых пакетов в терминале.
• wireshark — графический анализатор сетевого трафика.
• tshark — консольная версия Wireshark.
• tcpflow — фиксирует и анализирует TCP-соединения.
• ettercap — атаки «человек посередине».
• mitmproxy — перехват и изменение HTTP/HTTPS-трафика.
• bettercap — расширенная MITM-платформа.
• ferret — сбор сетевых данных и сессий.
• p0f — пассивное определение ОС по сетевому трафику.

➕ Сканирование уязвимостей

• nikto — сканер уязвимостей веб-серверов.
• wpscan — оценка безопасности WordPress.
• sqlmap — автоматизация SQL-инъекций.
• sqlninja — эксплуатация SQL Server.
• xsser — проверки на XSS-уязвимости.
• openvas — комплексный сканер уязвимостей.
• sslscan — анализ параметров SSL/TLS.
• lynis — аудит безопасности систем Linux.
• golismero — фреймворк анализа веб-уязвимостей.

➕ Веб-разведка и OSINT

• dirb — поиск скрытых директорий на веб-серверах.
• dirbuster — брутфорс директорий и файлов.
• dirbuster-ng — обновлённая версия DirBuster.
• gobuster — быстрый сканер директорий, поддоменов.
• dmitry — сбор информации об узле.
• theharvester — агрегирует данные из публичных источников.
• maltego — графовый анализ OSINT-данных.
• metagoofil — добыча метаданных из документов.
• recon-ng — модульная OSINT-платформа.
• dnsenum — расширенная DNS-разведка.
• dnsrecon — активное/пассивное DNS-сканирование.

➕ Беспроводные атаки и аудит Wi-Fi

• aircrack-ng — анализ и взлом Wi-Fi-сетей.
• reaver — атаки на WPS.
• airgeddon — комплексный Wi-Fi-аудит.
• wifite — автоматизация атак на Wi-Fi.
• wifiphisher — фишинг через поддельные точки доступа.
• mitmAP — создание фейковых точек доступа.
• mitm6 — MITM-атаки в IPv6-сетях.
• thc-ipv6 — набор инструментов для IPv6-сетей.
• macchanger — изменение MAC-адреса.
• nbtscan — сканирование NetBIOS-сетей.
• ike-scan — идентификация VPN-шлюзов.

🐸 Библиотека хакера

#cheat_sheet

😎 Опасные Telegram-боты: как не попасться

В 2024-2025 зафиксирован рост атак через ботов под видом утилит. Они распространяются в доверенных каналах и крадут данные незаметно.

Как это работает:

🔴 Сбор данных

Бот → deep-link на «активацию» → скачивание «клиента»
Крадут: session Telegram, куки браузеров, токены Discord/Steam, seed-фразы кошельков

🔴 Загрузка модулей

С C&C-сервера подгружаются кейлоггеры, clipper'ы для подмены крипто-адресов, модули слежки. Нагрузка меняется динамически.

🔴 Распространение

Не спам, а посты в закрытых каналах:
• «Эксклюзивный софт для парсинга»
• «Генератор контента»
• «Утилита для автоматизации»

🛡️ Если уже запустили:

1. Settings → Devices → завершить все сессии

2. Сменить пароли (почта, биржи, банки)

3. Проверка: Malwarebytes, Dr.Web CureIt

4. Включить 2FA везде

5. Мониторить транзакции 2-3 недели

Главное: если бот требует больше доступа, чем нужно для его функций — остановитесь и проверьте дважды.

🔥 Сохраните и поделитесь с коллегами

🐸 Библиотека хакера

#breach_breakdown

🎄 Отличная разминка на декабрь

Запустился новый Advent of Code — компактный, всего на 12 дней, но задачи по-прежнему цепляют.

Почему это стоит внимания:

🔘 прокачивает алгоритмическое мышление — то самое, которое помогает разбирать сложные форматы, работать с протоколами и быстро писать мелкие утилиты;

🔘 задачи можно решать на любом языке: Python, Go, Rust, SQL — отличный повод потренировать любимый стек;

🔘 хорошие головоломки дают тот самый «разогрев» перед сложными задачами, где много логики и аккуратности;

🔘 по одной задаче в день — и мозг реально чувствует разницу.

Можно начать с прошлого года — там есть интересные головоломки, включая разборы на SQL.

🐸 Библиотека хакера

#resource_drop

📎 Magic Wormhole

Утилита для безопасной передачи файлов и текстовых сообщений между устройствами, используя одноразовый код. Она ориентирована на простоту, безопасность и независимость от облачных сервисов.

🔤 Что умеет:
— Прямой обмен через зашифрованный канал (P2P там, где возможно).
— Одноразовые коды для установления соединения — обеспечивает безопасность без предварительных настроек.
— E2E-шифрование на базе PAKE-протокола SPAKE2.
— Минимальная зависимость от инфраструктуры — только координационный сервер.
— Работа через NAT и межсетевые барьеры.
— CLI-интерфейс под все основные ОС.
— Передача файлов, директорий и текстовых сообщений.

🔤 Пример CLI:

# Отправить файл
wormhole send ./archive.zip

# Получить файл по коду
wormhole receive 7-horse-battery

# Отправить текст
wormhole send --text "Секретное сообщение"

🔤 Где полезен:

— Передача файлов между рабочими машинами без облаков.
— Безопасные одноразовые пересылки данных.
— Быстрый обмен внутри команды без поднятия серверов.

🔗 Ссылка на GitHub

🔹 Курс «Программирование на языке Python»
🔹 Получить консультацию менеджера
🔹 Сайт Академии 🔹 Сайт Proglib

🐸 Библиотека хакера

#tool_of_the_week

🐧 Linux Kernel 6.18 — важное стабильное обновление

30 ноября вышло ядро Linux 6.18 — релиз, который приносит существенные улучшения стабильности и совместимости для серверов и инфраструктурных систем.

➡️ Что исправлено:
— баги и падения в драйверах
— обновления Bluetooth-стека
— улучшения в Ceph
— фиксы для AFS
— дополнительные патчи для повышения стабильности на реальном оборудовании

📌 Если у вас в проде используется специфичное оборудование, сетевые карты, нестандартные контроллеры, кластерные FS или хранилища — переход на 6.18 стоит рассмотреть в ближайшем цикле тестирования.

📎 Источник

🐸 Библиотека хакера

#patch_notes

📘 4 декабря стартует набор на курс «Математика для разработки AI-моделей»

Если вы работаете с моделями или хотите перейти в DS/ML, декабрь — идеальный момент закрыть фундаментальные пробелы.

На курсе вы разберёте ключевые разделы, которые лежат в основе современных AI-моделей: линейная алгебра, анализ, оптимизация, математический анализ, вероятности, статистика. Всё через практику в Python.

В программе живые занятия с экспертами AI-индустрии (SberAI, ВШЭ, WB&Russ), разбор реальных задач, квизы и финальный проект.

🌐 Формат: онлайн + доступ к записям

🎁 Бонусы: курс «Школьная математика» в подарок, бесплатный тест по математике

После лекций будет разбор ваших решений и возможность задать вопросы преподавателям.

👉 Записаться на курс

⚠️ OpenPLC ScadaBR — XSS, подтверждённая эксплуатация

CISA официально добавила уязвимость в каталог Known Exploited Vulnerabilities (KEV) — то есть хакеры уже используют её в реальных атаках на SCADA-системы.

Что важно знать:

➡️ Затрагиваемые версии:
— OpenPLC ScadaBR до 1.12.4 (Windows)
— ScadaBR до 0.9.1 (Linux)

➡️ Контекст: уязвимость эксплуатируется в среде ICS/OT — там, где каждая панель, насос или контроллер реально управляют физическими процессами.

➡️ Риски: XSS в SCADA — это не про всплывашку в браузере. Это про возможность подменить показания, внедрить вредоносный JS и получить точку входа в автоматизацию.

🔗 Читать подробнее

🐸 Библиотека хакера

#cve_bulletin

🔍 Шпаргалка OSINT

Ваш карманный арсенал для Open Source Intelligence — все инструменты и команды в одном месте.

Что внутри:
— 43+ инструмента с ready-to-use командами
— От реконнесанса до dark web мониторинга
— SOCMINT, threat intelligence, AI-enhanced анализ
— OPSEC best practices и OSINTel-Dashboard v2.0

➕ Один PDF вместо десятков закладок.

🔹 Курс «Программирование на языке Python»
🔹 Получить консультацию менеджера
🔹 Сайт Академии 🔹 Сайт Proglib

🐸 Библиотека хакера

#cheat_sheet

⚠️ GraphQL Security: атаки, которые работают прямо сейчас

GraphQL массово заменяет REST API, но его безопасность — слабое звено. Компании внедряют быстро, защищают медленно.

🔍 Почему GraphQL опаснее REST:

— один endpoint вместо множества → сложнее мониторить
— клиент сам формирует запрос → больше контроля атакующему
— introspection по умолчанию включен → полная карта API бесплатно

➡️ Как атакуют:

1. Introspection Mining
Запрос __schema выдает всю структуру API: типы, поля, аргументы. Даже если endpoint не документирован — получишь full disclosure.

{__schema{types{name,fields{name}}}}

2. Batching Attack
Один HTTP-запрос = 1000 GraphQL-операций. Rate limit обходится тривиально, можно брутить токены/пароли массово.

3. Alias Overloading
Запросить одно и то же поле 10000 раз под разными именами → DoS через CPU exhaustion.

{
  user1: user(id:1){name}
  user2: user(id:1){name}
  ...
  user9999: user(id:1){name}
}

4. Nested Query Bomb
Циклические зависимости в схеме (user→posts→author→posts...) → экспоненциальный рост запросов к БД.

5. Field Suggestions Leak
Опечатка в названии поля? GraphQL сам подскажет правильное — включая приватные поля, которые думали скрыть.

😵 Типичный сценарий атаки:

Пентестеры регулярно находят открытые GraphQL endpoints у SaaS-сервисов. Через introspection обнаруживают internal-запросы типа adminQuery или internalUserData, которые не были в публичной документации. Результат: массовая утечка данных клиентов.

🛡 Что делать defenders:

— 

отключить introspection в production

 (если не нужен публично)
— лимиты на 

query depth

 (макс. 5-7 уровней) и 

complexity

— 

persisted queries

 вместо arbitrary запросов
— мониторинг аномальных паттернов (>100 алиасов, батчинг >10 запросов)
— 

field-level authorization

, а не только endpoint-level

📎 Источники:

→ OWASP GraphQL Cheat Sheet
→ GraphQL Batching Attack
→ Exploiting GraphQL

🐸 Библиотека хакера

#breach_breakdown #graphql

📎 Бесплатная платформа для изучения этичного хакинга от HackerOne

Что внутри:

— Видеолекции о поиске уязвимостей и защите веб-приложений
— Практические руководства разного уровня сложности
— CTF-задачи — упражнения, где нужно взломать систему и найти спрятанный флаг

🔗 Все материалы в открытом доступе: можно учиться на сайте, смотреть ролики на YouTube или скачать с GitHub.

Отличный старт для тех, кто хочет освоить пентест и этичный хакинг! 👀

🤌 Бонусы для подписчиков:
— Скидка 40% на все курсы Академии
— Розыгрыш Apple MacBook
— Бесплатный тест на знание математики

🐸 Библиотека хакера

#resourse_drop

🔥 Хочешь строить свои AI-модели, а не просто запускать чужие?

Proglib.academy открывает курс «Математика для разработки AI-моделей» — программу, которая превращает понимание ML из «черного ящика» в осознанную инженерную работу.

📌 Почему без математики в AI никуда:

→ Чтобы пройти собеседование. Это первый фильтр: линал, матстат, оптимизация — спрашивают везде.
→ Чтобы понимать процесс изнутри. Инженер AI должен понимать, почему и как работает модель, а не просто жать fit().

🎓 Что будет на курсе:

→ 3 практических задания на Python + финальный проект с разбором от специалистов;
→ программа обновлена в ноябре 2025;
→ за 2 месяца пройдёшь весь фундамент, нужный для работы с моделями;
→ преподаватели — гуру математики, методисты и исследователи из ВШЭ и индустрии.

🎁 Бонусы ноября:

— 40% скидка;
— получаешь курс «Школьная математика» в подарок;
— короткий тест и узнать свой уровень.

🔗 Подробнее о курсе

👀 Шпион, который прятался на виду годами

Flame — это не вирус. Это полноценная платформа для киберразведки, которая превращала компьютер в жучок для прослушки.

📦 Аномальный размер

20 МБ — огромная редкость для вредоносного ПО (обычно 50-200 КБ).

Внутри:
— 20+ модулей с разными функциями
— Виртуальная машина Lua
— База данных SQLite для хранения украденных данных

🎯 Арсенал шпионажа:

• Скриншоты — снимки экрана при работе с мессенджерами и браузерами
• Аудиозапись — включение микрофона для записи разговоров
• Bluetooth-перехват — извлечение данных из телефонов поблизости
• Сетевой сниффинг — перехват паролей в локальной сети
• USB-распространение — заражение флешек для проникновения в изолированные сети

➕ Как его обнаружили:

2008-2010 — предполагаемое начало работы

Май 2012 — обнаружение Kaspersky Lab

Июнь 2012 — операторы отправили команду на самоуничтожение на большинство заражённых машин

🎥 Почему это важно:

✓ Работал незамеченным 2-4 года
✓ Модульная архитектура — мог адаптироваться под каждую цель
✓ Мог удалять все следы по команде
✓ Уровень разработки указывает на государственное финансирование

Flame показал новую эру кибершпионажа: вредоносное ПО как долгосрочная разведоперация. Цифровой жучок, живущий в компьютере годами и собирающий всё — от паролей до разговоров в комнате.

🤌 Бонусы для подписчиков:
— Скидка 40% на все курсы Академии
— Розыгрыш Apple MacBook
— Бесплатный тест на знание математики

🐸 Библиотека хакера

#zero_day_legends

🐸 Библиотека хакера

#hack_humor

📎 От nmap до Blue Team: что осталось за кадром «Матрицы»

В предыдущем посте мы разобрали, как Тринити «взламывает» SSH за секунды. Теперь — что фильм не показал.

➕ Полный цикл реальной атаки: от разведки до обнаружения защитой. Каждый этап с инструментами и следами в логах — читайте в карточках.

🤌 Бонусы для подписчиков:
— Скидка 40% на все курсы Академии
— Розыгрыш Apple MacBook
— Бесплатный тест на знание математики

🐸 Библиотека хакера

#hollywood_hack