Reakt

Хакеры используют открытый персональный AI-агент компании Nous Research, предназначенный для автоматизации пользовательских и инженерных задач. Публикуется под лицензией MIT.

Hermes Agent поддерживает CLI/TUI, Web Dashboard, Hermes Desktop и долгоживущий messaging gateway, через который подключается к 20+ платформам, включая Telegram, Discord, Slack, WhatsApp, Signal, Matrix, Mattermost, Email, DingTalk, Feishu, WeCom и другие. Все интерфейсы используют одно ядро агента, общие конфигурацию, память, навыки и состояние сессий.

Агент способен работать с файлами и кодом, выполнять команды в терминале, использовать Git и внешние инструменты, поддерживает постоянную память, навыки, выполнение задач по расписанию и делегирование изолированным подагентам. Поддерживает множество облачных и локальных LLM-провайдеров, MCP и ACP, а также несколько вариантов изолированного выполнения.

🐱Hermes Agent

Злоумышленники эксплуатируют уязвимость в коммутаторах Zyxel GS1900, позволяющую неаутентифицированному атакующему из локальной сети выполнять команды операционной системы. В ходе атак были скомпрометированы сотни устройств, с которых злоумышленники извлекали конфигурации и учетные данные.

CVE-2026-7273 представляет собой уязвимость типа Stack-based Buffer Overflow в CGI-программе прошивки коммутаторов Zyxel GS1900. Уязвимость позволяет неаутентифицированному атакующему из локальной сети отправить специально сформированный HTTP-запрос и потенциально выполнить команды операционной системы на уязвимом устройстве.

По данным GreyNoise, примерно 17 августа 2026 года злоумышленник начал эксплуатацию уязвимости CVE-2026-7273. Для эксплуатации использовался написанный на Python скрипт, обфусцированный с помощью PyArmor. После успешного выполнения команд злоумышленники запускали TFTP для загрузки собственного инструмента сбора данных с инфраструктуры злоумышленников. Собранные сведения сохранялись на устройстве в 


/home/web/tmp/info.txt

🔴Как мы создавали ИИ-пентестера: наш опыт
🔴Можно ли научить искусственный интеллект мыслить как пентестер, самостоятельно искать уязвимости и анализировать защищённость инфраструктуры?
🔴Мы решили проверить это на практике и приступили к разработке собственного ИИ-пентестера.
🔴В процессе работы мы изучали возможности интеграции LLM с инструментами информационной безопасности, автоматизации разведки, анализа сетевых сервисов и выявления потенциальных уязвимостей.
🔴Особое внимание уделили способности ИИ не просто выполнять команды, а анализировать полученные результаты, выстраивать последовательность действий и формировать выводы о состоянии защищённости исследуемой инфраструктуры.
🔴В ходе работы столкнулись с рядом интересных вопросов:
Насколько ИИ способен самостоятельно проводить пентест?
🔴Может ли он находить нестандартные векторы атак?
🔴Как избежать ложных срабатываний и ошибочных выводов?
🔴Где заканчивается автоматизация и начинается необходимость участия человека?
🔥В материале поделимся нашим опытом разработки, архитектурными решениями, результатами экспериментов и сложностями, с которыми столкнулись.

Хакеры получили доступы к конструкторской и научно-исследовательской документации ЦНИИ "Электроприбор", ЦКБ МТ "Рубин", СПМБМ "Малахит", Концерна "Океанприбор", АО "Элара", Консорциума "Вега", ГНИНГИ, а также структур, задействованных в работах ЦНИИМАШ.

🔴Массив скомпрометированных данных включает как служебную документацию, так и сведения с разной степенью секретности:

🔴Конструкторская документация, технические задания и технические условия, руководства по эксплуатации, структурные, функциональные и электрические схемы.

🔴Математическое обеспечение, алгоритмы, формулы, показатели точности и надежности, входные и выходные массивы, протоколы и форматы информационного обмена.

🔴Программы и методики испытаний, контрольные примеры, критерии приемки, акты и материалы фактических испытаний.

🔴Геопространственные данные морской среды и дна (координаты и глубины, маршруты и профили исследований, батиметрические, акустические и гравиметрические массивы, калибровочные параметры, машиночитаемые файлы).

🔴Материалы по системам и НИОКР (КДР): "Симфония", "Чардаш", "КАМА-НС-ВК", "Спрут-Н1", "Прилив", 14Ц217, АКНГ/ПНГ-23820, ИСУ НК-23550, а также работы "Касатка", "Ветер", "Беринг", "Диригент", "Полигон", "Андромеда", "Архивариус", "Альмукантарат", "Сигал-М" и другие.

🔴Сведения по корабельным и лодочным проектам (949АМ "Антей", 636.3 "Варшавянка", 22350, 20386, 23550, 11711, 23770, 23900): состав и модернизация навигационного вооружения, размещение оборудования, кабельные соединения, информационные интерфейсы, данные испытаний. Отдельно упоминается военно-научное сопровождение 70 проектов кораблей, судов и подводных лодок в стадии строительства и модернизации.

Фишинг через Microsoft и OpenAI: как спамеры эксплуатируют легальные сервисы для распространения почтовых угроз.

🔥 Видео

Хакеры взломали инфраструктуру ЦИК и его подрядчика, отвечающего за разработку системы ГАС «Выборы» 2.0

Анонимная хакерская группировка CikLeak заявила, что проникла в инфраструктуру Центризбиркома и его подрядчиков. Речь, в частности, идет о дочерней компании Ростелекома «Цифротех», которая разрабатывает систему ГАС «Выборы» 2.0.

В результате утекли внутренние документы компании, исходный код, созвоны, пароли и переписки сотрудников. Архив полученных документов хакеры передали редакции «Важных историй», журналисты подтвердили его подлинность. 

Систему ГАС «Выборы» запустили в начале 2026 года, и выборы в Госдуму IX созыва станут первой федеральной кампанией, которая пройдет с ее использованием.

В августе глава ЦИК Элла Памфилова заявляла, что ГАС «Выборы» невозможно взломать. При этом за несколько часов до сообщений о взломе ЦИК сообщил о проверке уязвимостей ГАС «Выборы», ДЭГ и системы видеонаблюдения, заметила «Медуза».

Уязвимость в реализации TCP-стека Citrix NetScaler (CVE-2026-10817)

В продуктах Citrix NetScaler ADC и NetScaler Gateway выявлена уязвимость CVE-2026-10817, связанная с недостаточной проверкой входных данных при обработке TCP-трафика.

Успешная эксплуатация уязвимости может позволить удалённому злоумышленнику осуществить чтение данных за пределами выделенной области памяти, что создаёт риск раскрытия конфиденциальной информации.

📹 Видео

DLL hijacking сложно обнаруживать статическими правилами: легитимные процессы часто загружают легитимные библиотеки, а подозрительность возникает только с учетом пути, цифровой подписи, истории появления файла и связки «процесс — DLL». В докладе Ян разберет, как он и его коллеги построили и внедрили в production ML-детектор таких событий: какие признаки используют, как хранят исторический контекст, обучают ансамбль автоэнкодеров и применяют LLM для анализа срабатываний, обогащения данных и последующей калибровки модели.

📹 Видео

Что получится, если объединить динамику CTF-соревнований с задачами реальных расследований? Именно по такому принципу проходит Trace Labs Search Party — международное OSINT-соревнование, в рамках которого команды аналитиков за ограниченное время собирают и систематизируют информацию, способную помочь в расследовании случаев пропажи людей.

В течение четырёх часов участники работают с открытыми источниками, социальными сетями, геолокационными данными, цифровыми следами и другими доступными источниками информации. Здесь недостаточно просто знать большое количество OSINT-сервисов — ключевую роль играют методология поиска, проверка фактов, правильная фиксация результатов и умение быстро связывать разрозненные данные между собой.

📹 Видео

В MikroTik RouterOS выявлена серия критических уязвимостей, которые могут позволить злоумышленнику обойти механизмы аутентификации, повысить привилегии до административного уровня, выполнить несанкционированные команды, получить доступ к файлам и конфиденциальной информации, а также нарушить работоспособность устройства.
В отдельных сценариях успешная эксплуатация уязвимостей может привести к получению полного контроля над маршрутизатором.
Речь идёт об уязвимостях:
CVE-2026-67276, CVE-2026-86060, CVE-2026-67279, CVE-2026-67277, CVE-2026-67278, CVE-2026-67281.

📣Охота на тех, кто уже прошёл периметр

Что делать, если злоумышленник уже находится внутри инфраструктуры, а средства защиты не показали явных признаков атаки?

В видео разбирается Compromise Assessment — комплексная проверка инфраструктуры на наличие следов компрометации.

Основное внимание уделяется поиску аномальной активности, анализу событий, процессов и цифровых артефактов, которые могут указать на присутствие атакующего.

Главная задача — не просто найти вредоносный файл, а восстановить действия злоумышленника и понять масштаб компрометации.

🎥 «Мы знаем, что и как вы сделали прошлой ночью»

Доклад о поведенческом анализе атак и восстановлении действий злоумышленника по цифровым следам.
Даже если журналы очищены, а часть артефактов удалена, по оставшимся событиям можно восстановить цепочку атаки и понять, что происходило в инфраструктуре.

#DFIR #Incident #Response #ThreatHunting.

Reakt pinned a photo

🔴Сегодня поговорим о FamousSparrow — APT-группировке, известной своими кибершпионскими операциями.
В рамках видео-расследования разберём активность FamousSparrow, используемые инструменты и инфраструктуру, а также посмотрим, какую роль в атаках играет бэкдор SparrowDoor.

Покажем основные этапы расследования: от выявления подозрительной активности и анализа артефактов до изучения техники закрепления и дальнейших действий злоумышленников в инфраструктуре.
Также отдельно разберём обнаруженные IOC, TTP и следы компрометации.

🎥 Видео-расследование FamousSparrow: анализ атаки, инструменты, инфраструктура и следы деятельности группировки.

Сегодня снова поговорим о нашей «любимой» APT-группировке GOFFEE.
Разберём, как мы исследовали агентов COW — наследника Poseidon, какие особенности и механизмы их работы удалось выявить.

Также расскажем, как проходило выявление и устранение активности GOFFEE в инфраструктуре: от обнаружения следов компрометации до анализа и реагирования.

И, конечно, посмотрим видео, посвящённое GOFFEE, где наглядно разберём отдельные этапы исследования.
GOFFEE. COW. Poseidon. Анализ, выявление и противодействие.

#APT

🔴Группировка "RMRF" опубликовала заявление о компрометации российского вендора продуктов в сфере кибербезопасности MetaScan (metascan.ru).
🔴По заявлению группы, выгружены исходный код, документация, результаты сканирования сетей, корпоративная почта (частично) и переписки сотрудников. Часть этого подтверждается приложенными скриншотами.

#CyberSecurity #ThreatIntelligence #DFIR #RedTeam

🔴lueMoon — это набор эксплойтов, который в конце 2026 года использовался как минимум четырьмя группами шпионов, преимущественно связанными с Китаем, для атак на браузеры Chrome и Chromium. Он объединял CVE-2026-85046 (взлом песочницы V8) и CVE-2026-85880 для получения выполнения кода в браузере и ядре, после чего запускал команды, указанные оператором. Среди полезных нагрузок были GemStone, ShadowPad и другие загрузчики, использующие регистрацию нажатий клавиш, скриншоты, кражу данных браузера, подмену DLL (DLL sideloading) и закрепление через запланированные задачи.

🔴Читайте в блоге 📣

#CyberSecurity #ThreatIntelligence #DFIR #RedTeam

Злоумышленники используют инструмент NPS (Network Proxy Server) для создания туннелей и проксирования сетевого трафика после первоначальной компрометации инфраструктуры. С его помощью они могут получать доступ к внутренним сегментам сети, перенаправлять трафик через скомпрометированные узлы и использовать их как промежуточные точки для дальнейшего перемещения внутри компании.
NPS включает веб-панель управления, поддерживает установку клиента в качестве системной службы и может использовать дополнительное шифрование транспортного канала. При этом веб-интерфейс управления по умолчанию работает по незашифрованному HTTP, если оператор отдельно не настроил защищённое соединение.
Сам по себе NPS не предоставляет полноценного механизма выполнения команд или удалённой командной оболочки, поэтому обычно не используется для первоначального получения доступа. Как правило, злоумышленники разворачивают его уже после компрометации системы с помощью других инструментов или техник.
В атаках NPS может использоваться совместно с Cobalt Strike, Meterpreter, веб-шеллами и другими средствами удалённого управления. В таком сценарии NPS отвечает преимущественно за туннелирование, доступ к внутренним ресурсам и проксирование трафика, тогда как управление скомпрометированной системой выполняется через отдельный канал.