Спасибо за внимание к статье. Отвечает Друзь команда PT Application Firewall:
В данном случае важно понимать, что универсального признака, по которому можно однозначно определить попытку эксплуатации уязвимости только по заголовкам HTTP-запроса, нет.
Тем не менее можно использовать несколько подходов для снижения риска:
1. Ограничить загрузку файлов. Если приложение не предполагает загрузку файлов, можно блокировать запросы с multipart/form-data. Если загрузка необходима — разрешить её только для определённых обработчиков. 2. Ограничить размер HTTP-запросов. Это позволит отсечь часть подозрительных запросов, хотя само по себе не гарантирует защиту от эксплуатации. 3. Отключить механизм PHP Session Upload Progress, если он не используется приложением. Это наиболее адресная мера защиты от атак, эксплуатирующих данный механизм. 4. Использовать WAF для анализа содержимого запросов. В отличие от стандартных правил mod_rewrite, WAF может анализировать тело HTTP-запроса и выявлять характерные признаки эксплуатации.
Часть этих ограничений можно реализовать средствами Apache, в том числе через .htaccess. Однако важно учитывать, что mod_rewrite не анализирует тело HTTP-запроса, поэтому построить на его основе полноценную сигнатуру атаки не получится.
Если задача именно в предотвращении эксплуатации, рекомендуем в первую очередь устранить уязвимость, а при отсутствии такой возможности — отключить соответствующий механизм PHP и использовать дополнительные ограничения на уровне веб-сервера или WAF.
Ваша правда, перемудрили с заголовком и суть поменялась. Злоумышленник заявил, что его пакет круто-коммерческий. Но при этом сильной, коммерческой защиты вредоносного кода не оказалось. То есть указал продукт как Enterprise-grade validation system with schema support, а про саму "enterprise-grade" обфускацию забыл.
Никогда нельзя исключать человеческий фактор. Наша цель – информировать людей о том, как злоумышленник может получить доступ к устройству, какие действия он после этого сможет выполнять и как защитить устройство от возможных векторов атак.
Всем привет, спасибо автору за материал, остальным - за внимание к статье :)
Пруфов в формате «вот все отчеты и выплаты» здесь не будет по вполне понятным причинам. Но можем подтвердить, что описанные в статье находки были верифицированы, а выплаты соответствуют реальным результатам исследователя на площадке. Детали кейса раскрыты в том объеме, который допустим с точки зрения правил публикации и раскрытия информации в рамках программы.
Можно обратиться к «Орфографическому комментированию русского словаря» — информационно-поисковой системе, разработанной Институтом русского языка им. В. В. Виноградова РАН, и понять, что в слове андроид часть -оид- восходит к греческому слову.
Про эксплойт мы такого сказать не можем. Поэтому ориентируемся на англо-русскую практическую транскрипцию, в которой oi у нас передается как -ой-. Да, словари пока не закрепили нормативный вариант, но любая уважающая себя и русский язык компания пишет "эксплойт". Да и различные авторитетные медиа тоже так пишут.
Добрый день! Спасибо за интерес к нашему дайджесту.
Лучше ставить все обновления, касающиеся системных компонентов Windows. Точки проникновения могут быть разные: фишинг, пиратское ПО, малвари, зловредные пакеты, уязвимости браузеров. А дальше злоумышленники используют уязвимости, которые есть на хосте, чтобы повысить свои привилегии и получить полный контроль над системой.
Если MS Office в принципе не установлен, эти уязвимости для вас неактуальны.
По возможности импортозамещайтесь. Большую часть трендовых уязвимостей, активно эксплуатируемых злоумышленниками, находят именно в Windows. Если не используете Windows, вы выходите из-под основного удара.
Оказалось, всё не так просто. Изучили специалистов. Слово «приоритизация» пишется именно так. В нем четыре буквы «и». Никакой «е» там нет. И все же не могу не привести авторитетный источник — «Академос». Слово «приоритизация» внесено в словарь в 2025 году! Все уже официально!
Стоимость внедрения зависит от общего количества активов в инфраструктуре компании, а также выбранных возможностей системы. Свяжитесь с нашими специалистами, чтобы увидеть MaxPatrol Carbon в действии и получить оценку стоимости решения под вашу инфраструктуру. Оставить заявку на пилот можно на сайте Positive Technologies: https://ptsecurity.com/products/carbon/#faq.
Добрый день! Мы используем стандартные open-source инструменты безопасности через командную строку, но не включаем их в свою поставку. Для работы продукта требуется окружение, где эти инструменты уже установлены, например, kali.
Спасибо за внимание к статье и, наверно, логичные вопросы. Гитхаб был разрабов из Phygital, "увлекись" тоже они :) -- про это есть в статье. И чек-лист составлен на случай таких вот кейсов, с прицелом на начинающих разработчиков. Для одних всё очевидно, а кому-то откроется новый мир. И никакого абсурда.
Команда площадки Standoff Bug Bounty всегда стремится поддерживать открытый диалог с исследователями и компаниями. Хотим отметить, что уже предоставляли все необходимые подтверждения и развернутые обоснования нашей позиции в этом кейсе, что, к сожалению, не находит полного отражения в данной публикации. Тем не менее, мы остаёмся открыты к конструктивному диалогу и готовы дать дополнительные разъяснения в случае необходимости.
Добрый день! спасибо за внимание к посту и вопрос.
Основной метод злоумышленников в подобных атаках – эксплуатация доверия к популярным платформам открытого кода. Мы рекомендуем разработчикам избегать использования кода из непроверенных источников. Злоумышленники могут создавать фальшивые зеркала и регистрировать домены, визуально неотличимые от настоящих. Установка пакетов из сторонних источников или по ссылкам из подозрительных форумов, Telegram-каналов или рекламных объявлений – прямой путь к заражению устройства. Перед установкой всегда проверяйте URL страницы, с которой будет установлен пакет, и убедитесь, что он ведет на официальный сайт GitHub или GitLab.
Разработчикам следует тщательно проверять все устанавливаемые пакеты ПО с открытым исходным кодом до интеграции в свои проекты. Злоумышленники активно используют ажиотаж вокруг популярных тем, массово наполняя официальные платформы вредоносными пакетами. Они часто публикуются с аккаунтов, зарегистрированных буквально за день до релиза, что явно указывает на одноразовую мошенническую активность. Дополнительными признаками, на которые стоит обратить внимание, могут быть возраст аккаунта, активность разработки в проекте и репутация автора. Разработчики также должны привыкнуть проверять сам исходный код. Подозрительные URL-адреса, обращение к переменным окружения, вызовы функций, позволяющих выполнение кода и запуск системных команд, могут указывать на потенциально вредоносные пакеты. Для этого дополнительно можно использовать инструменты анализа пакетов: npm audit, pip-audit, snyk, Python Bandit. Они автоматически проверяют зависимости проектов на наличие известных уязвимостей.
Основная рекомендация для тех, кто уже установил вредоносный пакет, - немедленно удалить его, после чего следует просканировать систему антивирусом. При этом все API-ключи, токены, пароли и другие учетные данные, до которых мог добраться вредонос, следует заменить.
Технология моделирования угроз (TME – Threat Modeling Engine), которая лежит в основе метапродукта MaxPatrol Carbon и позволяет создать цифровую модель инфраструктуры с учетом возможностей передвижения хакера в ней – это наша собственная разработка. Данные об инфраструктуре мы берем из продукта Positive Technologies – MaxPatrol VM, для хранения данных – Postgres, но также тестируем различные графовые базы данных для дальнейшего развития. О принципах описания типов действий атакующих и об алгоритме поиска маршрутов расскажем в следующих статьях.
Спасибо за внимание к статье. Отвечает
Друзькоманда PT Application Firewall:В данном случае важно понимать, что универсального признака, по которому можно однозначно определить попытку эксплуатации уязвимости только по заголовкам HTTP-запроса, нет.
Тем не менее можно использовать несколько подходов для снижения риска:
1. Ограничить загрузку файлов. Если приложение не предполагает загрузку файлов, можно блокировать запросы с
multipart/form-data. Если загрузка необходима — разрешить её только для определённых обработчиков.2. Ограничить размер HTTP-запросов. Это позволит отсечь часть подозрительных запросов, хотя само по себе не гарантирует защиту от эксплуатации.
3. Отключить механизм PHP Session Upload Progress, если он не используется приложением. Это наиболее адресная мера защиты от атак, эксплуатирующих данный механизм.
4. Использовать WAF для анализа содержимого запросов. В отличие от стандартных правил
mod_rewrite, WAF может анализировать тело HTTP-запроса и выявлять характерные признаки эксплуатации.Часть этих ограничений можно реализовать средствами Apache, в том числе через
.htaccess. Однако важно учитывать, чтоmod_rewriteне анализирует тело HTTP-запроса, поэтому построить на его основе полноценную сигнатуру атаки не получится.Если задача именно в предотвращении эксплуатации, рекомендуем в первую очередь устранить уязвимость, а при отсутствии такой возможности — отключить соответствующий механизм PHP и использовать дополнительные ограничения на уровне веб-сервера или WAF.
Здравствуйте! можно почитать у ребят в канале про это:
https://t.me/ptescalator/276
https://t.me/ptescalator/383
https://t.me/ptescalator/385
Ваша правда, перемудрили с заголовком и суть поменялась. Злоумышленник заявил, что его пакет круто-коммерческий. Но при этом сильной, коммерческой защиты вредоносного кода не оказалось. То есть указал продукт как Enterprise-grade validation system with schema support, а про саму "enterprise-grade" обфускацию забыл.
Спасибо, подумаем, как поправить.
Никогда нельзя исключать человеческий фактор. Наша цель – информировать людей о том, как злоумышленник может получить доступ к устройству, какие действия он после этого сможет выполнять и как защитить устройство от возможных векторов атак.
Спасибо, исправили.
Всем привет, спасибо автору за материал, остальным - за внимание к статье :)
Пруфов в формате «вот все отчеты и выплаты» здесь не будет по вполне понятным причинам. Но можем подтвердить, что описанные в статье находки были верифицированы, а выплаты соответствуют реальным результатам исследователя на площадке. Детали кейса раскрыты в том объеме, который допустим с точки зрения правил публикации и раскрытия информации в рамках программы.
Добрый день! Спасибо за внимание к статье. Мы не можем рекламировать в паблике такие ресурсы. Приходите в личку.
Можно обратиться к «Орфографическому комментированию русского словаря» — информационно-поисковой системе, разработанной Институтом русского языка им. В. В. Виноградова РАН, и понять, что в слове андроид часть -оид- восходит к греческому слову.
Про эксплойт мы такого сказать не можем. Поэтому ориентируемся на англо-русскую практическую транскрипцию, в которой oi у нас передается как -ой-. Да, словари пока не закрепили нормативный вариант, но любая уважающая себя и русский язык компания пишет "эксплойт". Да и различные авторитетные медиа тоже так пишут.
или через й, как Детройт (Detroit), фиксированной нормы нет
Можно записаться на пилот, он бесплатный. https://ptsecurity.com/products/dephaze/#main-form-dephaze
Добрый день! Спасибо за интерес к нашему дайджесту.
Лучше ставить все обновления, касающиеся системных компонентов Windows. Точки проникновения могут быть разные: фишинг, пиратское ПО, малвари, зловредные пакеты, уязвимости браузеров. А дальше злоумышленники используют уязвимости, которые есть на хосте, чтобы повысить свои привилегии и получить полный контроль над системой. Если MS Office в принципе не установлен, эти уязвимости для вас неактуальны. По возможности импортозамещайтесь. Большую часть трендовых уязвимостей, активно эксплуатируемых злоумышленниками, находят именно в Windows. Если не используете Windows, вы выходите из-под основного удара.
Оказалось, всё не так просто. Изучили специалистов. Слово «приоритизация» пишется именно так. В нем четыре буквы «и». Никакой «е» там нет. И все же не могу не привести авторитетный источник — «Академос». Слово «приоритизация» внесено в словарь в 2025 году! Все уже официально!
Ваша правда, спасибо. Поправим.
Стоимость внедрения зависит от общего количества активов в инфраструктуре компании, а также выбранных возможностей системы. Свяжитесь с нашими специалистами, чтобы увидеть MaxPatrol Carbon в действии и получить оценку стоимости решения под вашу инфраструктуру. Оставить заявку на пилот можно на сайте Positive Technologies: https://ptsecurity.com/products/carbon/#faq.
Добрый день! Мы используем стандартные open-source инструменты безопасности через командную строку, но не включаем их в свою поставку. Для работы продукта требуется окружение, где эти инструменты уже установлены, например, kali.
Браво! Спасибо. Почти все ответы правильные, но есть и неверные. Поэтому продолжаем.
Спасибо за внимание к статье и, наверно, логичные вопросы. Гитхаб был разрабов из Phygital, "увлекись" тоже они :) -- про это есть в статье. И чек-лист составлен на случай таких вот кейсов, с прицелом на начинающих разработчиков. Для одних всё очевидно, а кому-то откроется новый мир. И никакого абсурда.
Команда площадки Standoff Bug Bounty всегда стремится поддерживать открытый диалог с исследователями и компаниями. Хотим отметить, что уже предоставляли все необходимые подтверждения и развернутые обоснования нашей позиции в этом кейсе, что, к сожалению, не находит полного отражения в данной публикации. Тем не менее, мы остаёмся открыты к конструктивному диалогу и готовы дать дополнительные разъяснения в случае необходимости.
Добрый день! спасибо за внимание к посту и вопрос.
Основной метод злоумышленников в подобных атаках – эксплуатация доверия к популярным платформам открытого кода. Мы рекомендуем разработчикам избегать использования кода из непроверенных источников. Злоумышленники могут создавать фальшивые зеркала и регистрировать домены, визуально неотличимые от настоящих. Установка пакетов из сторонних источников или по ссылкам из подозрительных форумов, Telegram-каналов или рекламных объявлений – прямой путь к заражению устройства. Перед установкой всегда проверяйте URL страницы, с которой будет установлен пакет, и убедитесь, что он ведет на официальный сайт GitHub или GitLab.
Разработчикам следует тщательно проверять все устанавливаемые пакеты ПО с открытым исходным кодом до интеграции в свои проекты. Злоумышленники активно используют ажиотаж вокруг популярных тем, массово наполняя официальные платформы вредоносными пакетами. Они часто публикуются с аккаунтов, зарегистрированных буквально за день до релиза, что явно указывает на одноразовую мошенническую активность. Дополнительными признаками, на которые стоит обратить внимание, могут быть возраст аккаунта, активность разработки в проекте и репутация автора. Разработчики также должны привыкнуть проверять сам исходный код. Подозрительные URL-адреса, обращение к переменным окружения, вызовы функций, позволяющих выполнение кода и запуск системных команд, могут указывать на потенциально вредоносные пакеты. Для этого дополнительно можно использовать инструменты анализа пакетов: npm audit, pip-audit, snyk, Python Bandit. Они автоматически проверяют зависимости проектов на наличие известных уязвимостей.
Основная рекомендация для тех, кто уже установил вредоносный пакет, - немедленно удалить его, после чего следует просканировать систему антивирусом. При этом все API-ключи, токены, пароли и другие учетные данные, до которых мог добраться вредонос, следует заменить.
Технология моделирования угроз (TME – Threat Modeling Engine), которая лежит в основе метапродукта MaxPatrol Carbon и позволяет создать цифровую модель инфраструктуры с учетом возможностей передвижения хакера в ней – это наша собственная разработка. Данные об инфраструктуре мы берем из продукта Positive Technologies – MaxPatrol VM, для хранения данных – Postgres, но также тестируем различные графовые базы данных для дальнейшего развития. О принципах описания типов действий атакующих и об алгоритме поиска маршрутов расскажем в следующих статьях.