Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

🚨 Supply Chain: APT подменяли обновления Notepad++

С июня по декабрь 2025 злоумышленники (state-sponsored, предположительно Китай) получили контроль над частью инфраструктуры Notepad++ и выдавали малварь под видом легитимных обновлений.

🔴 Как выглядела атака:

• Компрометация shared-хостинга
• Таргетированный MitM — не всем, а выбранным жертвам
• Редирект update-трафика на attacker-controlled сервера
• Абьюз слабой проверки апдейтов в старых версиях клиента

Фактически — классическая supply chain, без шума и массовки.

🔴 Что закрыли после инцидента:

• Переезд на новый хостинг
• Апдейтер WinGup теперь:
• проверяет TLS-сертификат
• валидирует подпись инсталлера
• XML апдейтов подписывается (XMLDSig)
• Принудительная верификация начиная с v8.9.2

🔤 Самое неприятное:

IR-команда прогнала ~400 GB логов —
IoC не обнаружены:
❌ нет хешей
❌ нет доменов
❌ нет IP

Хостинг-провайдер тоже ничего не дал. Чистый blind spot.

🔗 Rapid7 опубликовали собственное расследование с конкретными IoC — ссылка в конце статьи

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

🗂 Форензика реестра Windows без легаси и боли

RegRippy — современный инструмент для извлечения и анализа данных из реестра Windows. Это альтернатива RegRipper, переписанная на Python 3 и ориентированная на DFIR, incident response и реверс.

Инструмент работает с офлайн-ульями реестра и позволяет быстро вытаскивать форензически значимые артефакты — без запуска Windows и без GUI.

Как устроен:

🔵 Фреймворк + плагины
RegRippy — это не «один скрипт», а основа для быстрого написания собственных плагинов под нужные артефакты.

🔵 Прямой доступ к hive-файлам
Использует python-registry от William Ballenthin для работы с сырым реестром.

🔵 Минимум абстракций
Инструмент старается не мешать аналитику и сразу отдаёт пригодные данные.

🔤 Что умеет:

— Извлекать системные и пользовательские артефакты
— Работать со всеми user hives
— Поддерживать человекочитаемый вывод
— Отдавать данные в Bodyfile для mactime и таймлайнов
— Легко расширяться своими плагинами
— Интегрироваться в DFIR-пайплайны

🔤 Примеры

Имя компьютера:

regrip.py --root /mnt/evidence/C compname

URL, введённые в IE (для всех пользователей):

regrip.py --root /mnt/evidence/C --all-user-hives typedurls

🔤 Установка

pip install regrippy

Плагины доступны как отдельные команды:

reg_compname -r /mnt/c/

Кому подойдёт:

— DFIR и Incident Response
— Blue Team / SOC
— Реверс-инженерам
— Аналитикам, работающим с офлайн-дисками Windows

🔗 GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🌐 Raspberry Pi в сети — это поверхность атаки

Pi давно используют не только для экспериментов, но и как узлы IoT, шлюзы и сервисные устройства. При этом защита у них минимальна, а физический и сетевой доступ часто никак не ограничен.

🅿️ В карточках — ключевые векторы атак и практические способы защиты: загрузка, GPIO, сеть и базовые меры харднинга. Если Pi есть в инфраструктуре, эти риски стоит учитывать.

📎 Ссылка на оригинал статьи

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown

🔥 Кибервойна против России — итоги 2025 и прогноз на 2026

По данным отчёта F6, кибератаки всё реже сводятся к краже ради заработка. Всё чаще их цель — масштабный ущерб и дестабилизация.

➡️ Утечек меньше — потери больше

За 2025 год зафиксировано около 250 публикаций баз данных, почти вдвое меньше, чем годом ранее. При этом суммарный объём утечек вырос до 767 млн записей. Четыре крупнейших инцидента пришлись на госсервисы — около 600 млн строк. Многие базы выкладывались в открытый доступ бесплатно.

➡️ Что именно утекает

Основной массив — электронные адреса, телефоны и пароли. Даже с большим числом повторов этих данных достаточно для массового мошенничества и последующих атак.

➡️ Рост и эволюция APT

В 2025 году действовали 27 прогосударственных APT-групп, из них семь были раскрыты впервые. Заметный тренд — сближение APT и киберкриминала: используются те же инструменты и подходы, что раньше были характерны для вымогателей.

➡️ Кого атакуют чаще всего

Под ударом остаются госструктуры, промышленность, НИИ, ВПК и ТЭК. Всё большую роль играют сложные атаки через подрядчиков и цепочки поставок.

➡️ Вымогательство как диверсия

Число атак вымогателей выросло на 15%, при этом 15% инцидентов были направлены не на получение денег, а на остановку процессов и нанесение максимального ущерба. Максимальное зафиксированное требование — 50 BTC.

❔ Что дальше

В 2026 году ожидается рост числа атакующих групп, усиление кооперации между APT, киберкриминалом и хактивистами, а также всплеск информационных операций — фейков и массовых рассылок угроз на фоне реальных инцидентов.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

📄 Шпаргалка по WPScan

WPScan — утилита для поиска уязвимостей в WordPress.

Что делает:

 • Находит известные уязвимости (ядро, плагины, темы)
 • Проверяет ошибки конфигурации WordPress
 • Предупреждает о рисках и помогает быстро реагировать
 • Подходит для администраторов, разработчиков и пентестеров

🔗 Ссылка на инструмент

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

AI-агент в вашей сети: угроза или инструмент?

Агент, выполняющий код в цикле (Plan → Code → Execute), — это потенциальная дыра в безопасности. Без жёстких лимитов рекурсии, песочниц и валидации узлов графа вы даёте LLM RCE уязвимость по дизайну.

В LangGraph безопасность закладывается архитектурно: вы контролируете каждый переход состояния. На курсе учим строить агентов, которые не положат прод и не сольют базу.

Записаться на курс

Как устроена архитектура (и где уязвимости): Смотрите вводный урок бесплатно.

👩‍💻 Kubernetes Authentication: что пускает вас в кластер

Service account токены, сертификаты, OIDC, kubelet и etcd — именно здесь решается, кто получит доступ к Kubernetes API. Большинство инцидентов начинаются с ошибок в аутентификации, а не с уязвимостей.

🔛 Как Kubernetes проверяет идентичность пользователей, сервисов и компонентов control plane и где чаще всего ломают безопасность — читать в статье 📎

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

📎 IaaS, PaaS, SaaS: где заканчивается защита и начинаются проблемы

Облако взламывают не из-за «дыр» у провайдера, а из-за непонимания зон ответственности.

В IaaS вы отвечаете почти за всё: ОС, патчи, доступы, сеть и данные.
В PaaS контроль частично у провайдера, но ошибки в настройках и коде всё ещё критичны.
В SaaS инфраструктура закрыта от вас, но именно IAM, пароли и MFA чаще всего становятся точкой входа для атак.

🔢 Где именно проходит граница ответственности, какие ошибки приводят к утечкам и почему облака чаще ломают конфигурациями, а не эксплойтами — разобрано в статье. Полезно прочитать до того, как облако станет источником инцидента.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

🧑‍💻 Инструмент для работы с файлами реестра Windows

libregf — библиотека для чтения и анализа файлов Windows NT Registry File (REGF), то есть офлайн-кустов реестра Windows.

➕ В состав libregf входит утилита regfmount: она позволяет примонтировать REGF-файл как файловую систему, после чего ключи и значения реестра становятся доступными как обычные файлы и каталоги.

Это удобно для анализа, поиска артефактов и точечной проверки изменений без запуска Windows.

🔗 Ссылка на GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🐸 Библиотека хакера

#hack_humor

Угон агента: уязвимости логики

Если агент построен на линейной цепочке (LangChain), его легко заставить выполнить инъекцию промпта. Графовая архитектура (LangGraph) позволяет строить границы безопасности.

Защита через архитектуру:

— валидирующие узлы: каждый шаг LLM проверяется отдельным узлом (Guardrails);
— изоляция: агент не имеет прямого доступа к инструментам, только через граф;
— контроль потока: невозможность перепрыгнуть обязательные проверки.

Учим строить защищённых агентов. Курс уже стартовал.

Записаться на курс

Гляньте первую лекцию

❓ Почему BOLA — это не баг в контроллере, а провал архитектуры API

BOLA (Broken Object Level Authorization) — №1 в OWASP API Top 10. И это не случайно.

Как думают:

«Эндпоинт защищён, пользователь авторизован — значит всё ок».

🔢 Как на самом деле:

Проверка доступа к эндпоинту ≠ проверка доступа к объекту. Если сервер не проверяет связь user → object, клиент управляет тем, к каким данным он обращается.

Типичный сценарий:

GET /api/orders/123
Authorization: Bearer token

— токен валидный
— эндпоинт разрешён
— но order_id не проверяется на принадлежность пользователю

Меняем 123 → 124 → 125 — и получаем чужие заказы.

🔢 Почему это архитектурная ошибка:

— авторизация реализована «на входе», а не на уровне доменных объектов
— ownership проверяется выборочно или вообще отсутствует
— API проектируется как transport, а не как boundary доверия

🔢 Чем это заканчивается:

— массовый доступ к чужим данным
— утечки через перебор ID
— поломка multi-tenant логики
— критичные инциденты без сложных эксплойтов

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown

📄 Шпаргалка по командам Aircrack-ng

Aircrack-ng — это набор утилит для анализа и тестирования безопасности Wi-Fi-сетей. Используется при аудитах и пентесте беспроводной инфраструктуры.

➕ Ключевые возможности:

• захват и анализ Wi-Fi-трафика
• деаутентификация клиентов и replay-атаки
• проверка поддержки мониторинга и инъекций у адаптеров
• атаки на WEP и WPA/WPA2-PSK

Практичный инструмент, когда нужно быстро проверить устойчивость беспроводной сети.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

👧 29 января 2021. День, когда обновлениям перестали верить

История с SolarWinds окончательно вышла за рамки «очередного инцидента» именно в этот день. Стало ясно: это не утечка и не ошибка конфигурации, а одна из самых опасных атак в истории ИБ.

🔘 Злоумышленники не ломали инфраструктуру клиентов. Они встроились раньше — в официальный процесс сборки. Вредоносный код попал в подписанный апдейт Orion и разошёлся по тысячам организаций вместе с легитимным обновлением.

➡️ Что сделало этот кейс переломным:

— администраторы сами устанавливали бэкдор
— системы защиты видели «нормальную активность»
— компрометация длилась месяцами без шума
— атакующий сразу оказывался внутри периметра

✏️ Главный вывод неприятный, но честный:

Если скомпрометирован вендор — защищаться уже поздно.

С этого дня обновления стали частью модели угроз.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown