Типичный Сисадмин

Символичные взаимоотношения с пользователями 😗

Типичный 🥸 Сисадмин

😮 Исследователи из GReAT (ЛК) выкатили разбор новой APT-кампании группировки Armored Likho. Хацкеры бьют по госсектору и энергетике, притаскивая на компьютер жертвы всю среду разработки.

Всё начинается с вредоносного LNK-файла. Используется уязвимость ярлыков ZDI-CAN-25373 - она позволяет прятать PowerShell-команды за кучей пробелов и переносов строк.
После клика загрузчик качает с GitHub портативный архив с Python 3.12, скрипт get-pip.py и... прямо на машине пользователя запускает установку необходимых библиотек через pip! Затем через VBScript создается задача в планировщике, и стартует основной модуль.

Главный пейлоад - BusySnake Stealer. Это .pyw скрипт, закрытый протектором PyArmor Pro 9.2.0. Код расшифровывается кусками прямо в оперативной памяти.

Что в это время происходит в системе:
🟢 Вскрытие браузеров. Для Chromium-движков скрипт лезет в БД, вытаскивает зашифрованный мастер-ключ и расшифровывает его виндовой функцией CryptUnprotectData (DPAPI). Для Firefox всё еще вкуснее... скрипт дергает родную мозилловскую библиотеку NSS и функцию PK11SDR_Decrypt, так как огнелис хранит базу ключей открытым текстом (если не задан пароль).
🟢 Если парсить SQLite-базы не выходит, малварь использует костыль. Скрипт генерит на диске папку с самописным Chrome-расширением (manifest.json + sw.js), поднимает локальный веб-сервер на 127.0.0.1:8000 и принудительно перезапускает Chrome с ключом --load-extension. Расширение парсит куки сессий и сливает их на локалхост, откуда они улетают на C2-сервер хацкерам.
🟢 Скрипт киляет процесс telegram.exe, архивирует святую папку tdata и отправляет хозяину. Если на ПК стоит удаленка RustDesk, то троян ее ребутает. Пользователь видит перезапуск, вводит пароль заново, а питоновский скрипт делает скриншот и ворует доступ.
🟢 Прямо в коде зашита логика Go2Tunnel. Скрипт получает с сервера приватный RSA-ключ и поднимает невидимый обратный SSH-туннель до хакерской ноды.

В свежих версиях хацкеры пошли еще дальше. Чтобы не палиться при создании задач в автозагрузке, они переписали логику на библиотеку win32com.client. Теперь они лезут напрямую в COM-объекты Windows (Schedule.Service), что делает закрепление в системе практически невидимым для базового мониторинга процессов.

Типичный 🥸 Сисадмин

Ветку с базой - в мастер, ветку с продом - заказчику. И в закат 😬

Типичный 🥸 Сисадмин

😮 737 фейковых VPN-расширений в Chrome шпионили за ру-юзерами

Исследователи из Socket раскопали гигантскую кампанию... кто-то залил в магазин гугла 737 фейковых расширений, которые прикидывались популярными VPN-сервисами.

Более 270 из них мимикрировали под: Proton VPN, NordVPN, Surfshark, AdGuard и, что любопытно, под AmneziaVPN и AntiZapret. То есть целенаправленно били по русскоязычной аудитории (94% расширений были заточены под РФ). В итоге эту дичь скачали более 75 000 раз.

🟢 Почти все расширения (520 штук) через API chrome.proxy.settings заворачивали весь трафик браузера (кроме localhost) на SOCKS5-сервер разраба по порту 1082. Без шифрования. Без раздельного туннелирования. Владелец серверов читал каждый запрос, видел каждый TLS SNI и собирал реальные IP-адреса 😱

🟢 Чтобы антивирусы и DNS-фильтры не спалили подозрительные домены, 104 расширения использовали DNS-over-HTTPS (через Cloudflare и Гугл). Они резолвили адреса своих прокси скрытно и скармливали Хрому уже голые IP-шники.

🟢 Платный скам... расширения постоянно пушили пользователю купить премиум. Но реверсеры выяснили, что серверов в Японии, США или Европе у них физически не существовало. Код лицензирования был сделан на коленке, а секретный ключ для генерации фейковых токенов валялся в открытом виде (const SECRET_KEY = "myxavpn2024secret";).

🟢 Вся эта сеть вела к вполне официальному ИП в РФ, который продавал этот VPN через сайт и ТГ-ботов (Муха VPN, Лев VPN и т.д.)

Из классики.
Гугл, как обычно, всё пропустил или не вникал. Разраб потратил на создание 38 аккаунтов разработчика около 190 долларов (по 5 баксов за акк) и залил сотни клонов. Гугл удалил часть расширений после жалоб, но не забанил сами аккаунты. В итоге разраб просто продолжал заливать новые копии, используя генерацию кода, который обфусцировал данные, чтобы обходить автоматические сканеры магазина.

Из всего этого есть один важный вопрос... зачем разраб (возможно, даже не майор) логирует каждый клик скачавших расширение 👨‍🦳

Берегите свой трафик.

Типичный 🥸 Сисадмин

Когда попросил джуна нарисовать отказоустойчивое ядро сети, а он оказался скрытым сатанистом 👹

З.Ы. Одобряю, архитектура монолитная!

Типичный 🥸 Сисадмин

Ловко 🙂

Типичный 🥸 Сисадмин

👨‍🦳 Эпопея с суверенной криптографией продолжается. Не успели мы переварить тот факт, что сайты банков отвалились в нормальных браузерах из-за бана от GlobalSign, как Минцифры выкатило новые правила игры.

Опубликован проект постановления, который расширяет список причин, по которым Национальный удостоверяющий центр (НУЦ) может превратить выданный отечественный TLS-сертификат в ничто.

За что теперь могут отозвать сертификат:
🟢 По решению суда (если решат, что при получении указали недостоверную инфу).
🟢 Если вы потеряли приватный ключ (тут логично).
🟢 Если ваш ключ аутентификации засветился в другом, уже созданном сертификате (защита от дурака и копипасты).
🟢 Если сам НУЦ прекратит свою деятельность без передачи функций (звучит как фантастика, но прописали).

Напомню, что реальная ИБ-боль в том, как этот НУЦ интегрируется в устройства. Чтобы сайты открывались без ошибки - настойчиво просят установить корневой сертификат Минцифры в доверенное хранилище ОС. А добавляя такой серт в систему, вы своими руками создаёте 👮‍♂️ MITM (Man-in-the-Middle).

Имея свой корневой сертификат в конкретной ОС - провайдер с ТСПУ может на лету сгенерировать валидный сертификат для google.com, github.com, etc. Браузер проглотит эту подмену и покажет зеленый замок, а весь HTTPS-трафик, пароли и токены будут расшифровываться на лету, читаться и зашифровываться обратно.

Да, адепты безопасности возразят, что есть механизмы Certificate Transparency (CT logs), которые делают такие фокусы видимыми для специалистов. Но рядовому пользователю от этого не легче.

Типичный 🥸 Сисадмин

НАСТРОИЛ СЛОЖНЕЙШИЙ КЛАСТЕР KUBERNETES НА 50 НОД
@
ОБЕСПЕЧИЛ ЗАЩИТУ ОТ DDOS АТАК УРОВНЯ ПЕНТАГОНА
@
НАПИСАЛ CI/CD ПАЙПЛАЙНЫ ДЛЯ ВСЕГО, ЧТО ДВИЖЕТСЯ И КОМПИЛИРУЕТСЯ
@
ЗВОНИТ БУХГАЛТЕР ЗИНАИДА ПАВЛОВНА
@
"У МЕНЯ МФУ КАТЮША МОРГАЕТ ЖЕЛТОЙ ЛАМПОЧКОЙ И НЕ ПЕЧАТАЕТ АКТ СВЕРКИ"
@
ТРАТИШЬ 4 ДНЯ, ПЕРЕПИСЫВАЕШЬ ДРАЙВЕР НА СИ, ЛЕЗЕШЬ В РЕЕСТР, ПРИНОСИШЬ ЖЕРТВУ БОГАМ USB
@
ОКАЗАЛОСЬ, ОНА ЗАСУНУЛА В ЛОТОК ЧЕРНОВИК СО СТЕПЛЕРНОЙ СКРЕПКОЙ

Типичный 🤯 Сисадмин

На аутсорсном магазине не понимали почему звуковая система не работает.
#предложка

Оно само 🤨

Типичный 🥸 Сисадмин

Ну то же без изолирующей шайбы делает 😱

З.Ы. Кто-нибудь собирал комп ключом на 10?

Типичный 🥸 Сисадмин

Кому-то было скучно

ТГ: @montajniklvs

👨‍🔬 Таймаут по тарифу. Как ОпСоСы режут звонки.

На рынке телекома разворачивается новая комедия, где маркетологи пытаются бороться с законами экономики с помощью костылей на коммутаторах. Абоны Т2 начали жаловаться на то, что оператор стал принудительно обрывать любые голосовые вызовы через 20 минут (19:59). Мегафон в ряде направлений режет сессии на 30 минутах. МТС и Билайн пока еще держат таймеры повыше.

Пиарщики операторов уверяют, что это исключительно забота об абонентах. Типа, так они спасают нас от телефонных мошенников и социальной инженерии, не позволяя бскамерам часами удерживать человека на линии... верим 😂

ИМХО, забота о бабушках тут походу вообще ни при чем. Знающие внутнянку телекома поясняют, что причина - старый добрый фрод на интерконнекте. Что там есть баг в архитектуре тарифов

Разбираемся...
Исторически у операторов связи есть взаиморасчеты (интерконнект). Если абон Т2 звонит абону Билайна, то Т2 платит Билайну копеечку за приземление трафика в чужой сети.

Параллельно с этим Т2 долгие годы пиарил фичу про вечные минуты 🏥 и перенос остатков. У старых абонов на балансах скопились минуты на целые жизни. Продать их на внутренней бирже Т2 давно нереально - там предложение в тысячи раз превышает спрос, да еще и оператор искусственно ограничил минимальные цены лотов.

И тут предприимчивые абоны вспоминают про схемы из нулевых. В сети расплодились серые шлюзы и виртуальные АТС, которые готовы платить пользователям за генерацию входящего (около 50 копеек за минуту).

Схема красива 🤑... юзер ставит смартфон на удержание звонка (или собирает ферму на условном Астериске), дозванивается на нужный шлюз и ложится спать. Накопленные бесплатные минуты из тарифа конвертируются в реальные рубли на карту (до пары тысяч в месяц на пассиве). А вот Т2 в это время оплачивает реальный интерконнект другому оператору из своего кармана.

Осознав это - схему начали фиксить...
Вместо того чтобы признать ошибку в дизайне тарифной сетки, отменить вечные минуты или договориться по межоператорским шлюзам, эффективные менеджеры просто вшили хардлимит.

Исторически негласным стандартом связи был сброс сессии через 120 минут (защита от залипших звонков в кармане). Пару лет назад лимит уронили до 30 минут (многие заметили). Теперь этот таймаут скрутили до 20 минут.

Для ботоводов уменьшение лимита с 30 до 20 минут принесло фиаско. Дело в том, что серые шлюзы часто не оплачивают первые минуты или берут комиссию за каждый новый коннект. При 30 минутах фродер успевал отбить затраты и выйти в плюс. Теперь же прибыль упала до копеек.

В общем... очередной раз наблюдаем, как кривой бизнес-процесс чинят костылем, из-за которого страдает весь добросовестный трафик. Инженеры против маркетологов 🤡

Что потом? 10 минут? 5 минут?

Типичный 🥸 Сисадмин

Сисадмин-реаниматолог в действии 🩺... прикуриваем легаси.

Типичный 🥸 Сисадмин

Один админ засунул голову в кривое, нетестированное суверенное или китайское железо и намертво застрял. Прибегает второй, чтобы помочь, смотрит на это, думает... да не может быть всё так плохо, сейчас сделаем - сует голову туда же и... застревает рядом. Теперь оба сидят, ждут, пока конторе выделят грант на закупку сертифицированного отечественного вазелина 🙂

Типичный 🥸 Сисадмин

Аппаратная заглушка для пустых юнитов или стажер в своей естественной среде обитания 😂

Типичный 🥸 Сисадмин

Внутреннее давление сброшено через аварийную трещину в корпусе. Полет нормальный, емкость стремится к нулю 🔥
#предложка

Типичный 🥸 Сисадмин

У кого еще есть такой кабельный колобок 🙂? Оно постоянно увеличивается.
#предложка

Типичный 🥸 Сисадмин

Когда бюджет на ИТ-отдел урезали, приходится искать альтернативные способы финансирования корпоратива.

З.Ы. Чтобы добыть 28 грамм золота, нужно уничтожить около 800 плашек оперативки 😶

Типичный 🥸 Сисадмин

😬 Типичный российский хостер в реалиях новых законов.

Только ты решил пойти навстречу клиентам... приоткрыл порты, разрешил поднять пару личных VPN-туннелей и закрыл глаза на подозрительный зарубежный трафик... Как вдруг замечаешь на горизонте инспекторов РКН с папкой об отзыве ИТ-аккредитации 👮‍♂️

Мгновенно сносишь виртуалки нарушителей, задвигаешь правила блокировки на место и делаешь вид, что у тебя тут исключительно белый список и суверенный хостинг. От греха подальше 🗿

З.Ы. Когда скинули этот видос, то сразу имаджинировал лицо отечественного хостера в красной бандане 😏

Типичный 🥸 Сисадмин

🤖Гугл Хром с Gemini Nano сжирает 20 ГБ

Google весной анонсировал интеграцию модели Gemini Nano прямо внутрь десктопного Chrome. Идея была благая... локальная нейросеть будет на лету перефразировать тексты, аптимизировать гигантские статьи и выявлять фишинговые сайты без отправки данных в облако 😗

Но суть, как обычно, в деталях (и в документации, которую никто не читает). На днях Google обновил страницу поддержки Chrome, выкатив системные требования для загрузки этих ИИ-моделей.

Чтобы Chrome в фоновом режиме стянул к вам на ПК локальную нейронку, должно совпасть три фактора:
🟢 Нелимитированное интернет-соединение.
🟢 Достаточная производительность железа.
🟢 Минимум 20 ГБ (!!!) свободного места на диске 🎩

По умолчанию эта радость скачивается в фоне. Чтобы прибить это на личных устройствах, нужно тыкнуть в настройках: Настройки -> Система -> On-device AI и рубить ползунок.

Типичный 🥸 Сисадмин