Информационная безопасность

В середине июля в Центре событий РБК прошёл форум информационных технологий INFO Space. Одна из секций была посвящена теме информационной безопасности — особенно актуальной в последние годы, когда количество атак на российские организации выросло более чем в 2,5 раза.

Как отметил модератор секции, заместитель министра цифрового развития, связи и массовых коммуникаций Российской Федерации Александр Михайлович Шойтов, кибербезопасность входит в число 10 важнейших вызовов человечества, озвученных на прошедшем недавно Всемирном экономическом форуме. Однако, конкретно России это касается в первую очередь, поскольку с началом специальной военной операции в феврале 2022 года огромное количество частных лиц и целых организаций, действующих под прикрытием государственных структур, целенаправленно осуществляет вредоносные действия в отношении малого, среднего и крупного бизнеса, а также властных структур.

— Тем не менее, могу со всей ответственностью заявить: наша страна — одна из немногих, в которой есть собственные очень удачные решения в области кибербезопасности, мы их не только используем сами, но и экспортируем. Ситуация вынудила нас искать способы защиты от внешней агрессии, поэтому на сегодняшний день в целом ситуация с защитой наших серверов относительно неплохая. Нам удалось создать эффективную систему противодействия самым различным вредоносным действиям. Но всё‑таки следует признать: наибольший вред причиняет человеческий фактор, и только потом идёт всё остальное — DDoS‑атаки, вирусы, трояны, рассылки фишинговых адресов, — сообщил Александр Михайлович Шойтов, заместитель министра цифрового развития, связи и массовых коммуникаций Российской Федерации.

Десять лет назад мы говорили о «данных–нефть». В 2025-м метафора смещается: нефть закончилась, а нужен устойчивый источник энергии. Синтетические данные перестали быть лабораторным трюком — к 2030-му они превращаются в топливо, на котором летят банки, медицина и индустриальный IoT. GAN-ы научились соблюдать дифференциальную приватность, диффузионные модели вытягивают сигнал из шума лучше, чем биржевые трейдеры, а причинные графы заставляют базы данных «думать» о бизнес-логике. Мы собрали всё — от свежих метрик PrivEval до реляционной магии SCM и агентных симуляций, — чтобы показать: синтетика уже не копия реальности, а песочница для инноваций. Если вы ищете способ ускорить ML-проекты, избавиться от юридических цепей и заглянуть в будущее генеративного ИИ, эта статья станет вашим порталом.

Инсайдер уже внутри. Хакер снаружи. Но угроза определяется не «кем он был», а что он может сделать, сколько это стоит и когда это заметят. Пока организация делит угрозы на «своих» и «чужих», она не управляет рисками — она успокаивает себя.

Сегодня я расскажу вам об интересной уязвимости, которую я нашёл в одном закрытом баг-баунти проекте: простая HTML-инъекция превратилась в полноценную SSRF с утечкой учетных данных AWS.

Заварите себе кофе, и давайте начнем! 😉

Данная публикация — перевод серии статей от Pepe Berba - Hunting for Persistence in Linux.

! Все приведённые в данном материале примеры эксплоитов предназначены исключительно для изучения и проработки мер безопасности. Их использование в злонамеренных целях строго запрещено и противоречит законодательству. Автор и источник не несут ответственности за неправомерные действия, совершённые с использованием данной информации !

Крупные языковые модели (LLM) меняют представление автоматизации, вычислений и AI-управляемого анализа. Хотя их способности выполнять код, обрабатывать документы и выходить в интернет представляют собой важные достижения, они же открывают новый класс уязвимостей. Это вторая часть серии о критических уязвимостях AI-агентов.

В этой части мы исследуем системные риски, связанные с уязвимостями исполнения кода в агентах на базе LLM, выделяем ключевые векторы атак, риски безопасности и возможные меры смягчения.

Точно и быстро искать секрет в коде — тривиальная задача, если знаешь конкретный формат секрета и осуществляешь поиск в своём проекте. Задача становится сложнее, если твой скоуп включает несколько проектов или один большой корпоративный монорепозиторий. И эта же задача становится вызовом, если область поиска — платформа для разработчиков, а формат твоего секрета — недетерминирован.

Меня зовут Денис Макрушин, и вместе с Андреем Кулешовым @akuleshov7и Алексеем Тройниковым @atroynikov в этом году мы сделали POC платформы для безопасной разработки в рамках команды SourceCraft. Сегодня поговорим о функциональности поиска секретов. Наша appsec‑платформа состоит из двух групп инструментов: анализаторы, которые требуют точной настройки, и слой управления, который отвечает за обработку результатов и интеграцию с инфраструктурой.

В этом материале пройдём стадию discovery для анализатора секретов: посмотрим на актуальные инструменты поиска секретов, их ограничения и определим направления для повышения трёх ключевых параметров Secret Sсanning: точность, полнота и скорость.

Представьте: пользователь открывает совершенно легитимную программу — скажем, видеоплеер, корпоративный мессенджер или даже встроенный в Windows инструмент. Программа запускается, выполняет свои функции. Антивирус молчит. Мониторы пользователя не показывают ничего подозрительного. Но в этот самый момент, под прикрытием доверенного процесса, в памяти компьютера уже тихо работает вредоносный код, крадущий конфиденциальные данные или готовящий почву для атаки на сеть. Как он туда попал и почему не был обнаружен? 

Один из возможных вариантов — использование атакующими техники DLL-Hijacking (Mitre T1574.001). Я встречал мнение, что техника (а если быть точным, то это подтехника для T1574: Hijack Execution Flow) DLL Hijacking — баян десятилетней давности и не может считаться актуальной угрозой для корпоративных Windows-сред. Затрудняюсь определить причину такого мнения, потому что атаки с использованием DLL-библиотек явно не ушли в прошлое — их по-прежнему упоминают в уважаемых отчетах по кибербезу — к примеру, здесь (Mandiant M-Trends 2024, стр.50) и здесь (Лаборатория Касперского, «Азиатские APT-группировки: тактики, техники и процедуры»). 

Причин широкого распространения таких атак несколько. В первую очередь, это скрытность, так как вредоносное ПО выполняется в контексте легитимного процесса, обходя сигнатурные проверки антивирусов, а для обнаружения требуется EDR и навыки работы с ним. 

Во-вторых, простота, так как для успеха часто достаточно лишь правильно названного файла .dll, помещенного в «нужную» папку, куда пользователь или приложение его случайно положат или откуда запустят уязвимую программу. 

В-третьих, техника работает на всех актуальных версиях Windows, поскольку уязвимы не столько сами ОС, сколько миллионы приложений, полагающихся на стандартный (и небезопасный по умолчанию) механизм поиска библиотек.

Наконец, как мне думается, в последнее время из-за распространения нейросетей сильно упал входной порог компетенций для конструкторов вредоносов. Я не эксперт в разработке приложений, но подозреваю, что написать вредоносную dll-библиотеку с помощью ChatGPT значительно проще, чем без него. 

В этой статье мы: 

За 90 секунд освежим в памяти, что такое DLL, как работает, в чем фундаментальная уязвимость механизма загрузки. 

Осветим примеры атак с подменой DLL согласно их классификации.

Расскажем о защитных мерах для предотвращения атак этого типа.

Приведем рекомендации для SOC по обнаружению атаки (и объясним, почему цифровая подпись — не гарантия легитимности библиотеки). 

Итак, добро пожаловать под кат!

Имя Джеймса Мура знакомо каждому, кто занимается пентестами. Создатель легендарного Metasploit Framework, он прошел путь, далекий от классических историй успеха Кремниевой долины: у Мура нет докторской степени, многомиллионного стартапа или офиса в Калифорнии. Вместо этого — школьные эксперименты с реверс-инжинирингом по заказу ВВС США, разобранные компьютеры с помойки и ночи в подпольных IRC-чатах, где обсуждались взломы телефонных сетей и финансовых систем.

Как подросток, увлекающийся фрикингом и сборкой ПК из выброшенных деталей, превратился в одного из самых влиятельных людей в информационной безопасности? Что привело его к созданию Metasploit — инструмента, который изменил подход к пентесту? В этой статье — история HD Moore: от первых хакерских экспериментов до фреймворка, которым сегодня пользуются и киберпреступники, и спецслужбы.

Специалисты компании F6 раскрыли сеть доменов группировки NyashTeam, которая распространяет вредоносное ПО и предоставляет злоумышленникам хостинг-услуги. Клиенты группировки атаковали пользователей как минимум в 50 странах мира, в том числе в России. Сейчас более 110 доменов в зоне .ru, которые использовала группировка, уже заблокированы.

Злоумышленники никогда не обходили стороной промышленные предприятия, объекты инфраструктуры и логистический сектор — те являются привлекательной целью и в финансовом, и в имиджевом плане.

Начиная с 2022 года риски для промышленных предприятий усилились кратно, так как фокус многих кибератак объекты в России стал носить диверсионный характер.

На основе исследований, которые провел ЭАЦ InfoWatch, в статье разберем кто и как атакует предприятия реального сектора, какие сегменты промышленных сетей самые уязвимые и что за средства используются злоумышленниками для атак.

В воскресенье, 20 июля, компания Microsoft выпустила срочные патчи, закрывающие две уязвимости в ПО для совместной работы Microsoft SharePoint. Речь идет о корпоративных инсталляциях SharePoint, облачная версия SharePoint Online, входящая в пакет Microsoft 365, не подвержена проблеме. Уязвимости с идентификаторами CVE-2025-53770 и CVE-2025-53771 являются вариантами проблем, обнаруженных еще в мае этого года и пропатченных (как выяснилось, не до конца) в июльском наборе обновлений от Microsoft.

Что общего у атомной станции, ледокола и промышленной IoT‑системы? Все они — часть критической информационной инфраструктуры (КИИ), где сбой может обернуться серьёзными последствиями.

О том, что из себя представляет КИИ, почему она так важна, чему учат будущих специалистов и как устроена работа на практике, рассказывает эксперт из Росатома — руководитель Дирекции «Цифровая Арктика» АО «Гринатом» и ведущий инженер‑исследователь научного центра «Сириус».

Привет! Это команда Отдела защиты бренда Angara SOC. Мы поговорили со злоумышленниками, которые хотели прислать нам ценные отправления, и изучили методы их работы. Делимся выводами.

C прошлого года мошенники начали массово использовать Telegram-боты для кражи данных от федеральной государственной информационной системы «Госуслуги». Авторизация в таких ботах происходит через фишинговые сайты. С начала 2025 года команда Отдела защиты бренда Angara SOC выявила и отправила на блокировку свыше 50 таких доменов.

Ссылки на боты, которые используют злоумышленники, распространяются посредством звонков или сообщений в мессенджерах. Под предлогом уточнения информации о посылке пользователю необходимо воспользоваться ботом, а также пройти авторизацию через фейковую форму Госуслуг. 

Как все начинается для жертвы

В последние месяцы я всё чаще сталкиваюсь с ситуациями, когда привычные VPN-соединения становятся всё менее надёжными или вовсе блокируются. Для тех, кто, как и я, продолжает получать доступ к домашней инфраструктуре из-за границы, особенно из стран с усиливающимся контролем за трафиком, это уже не просто неудобство, а реальный риск потери стабильной связи.

Моя собственная схема — домашний сервер за WireGuard-эндпоинтом — уже не раз демонстрировала странности: внезапные падения скорости, потеря UDP-пакетов (особенно в мобильных сетях). Всё вроде работает, но как-то не так: туннель подключается, но затем «виснет» или показывает подозрительно низкую пропускную способность. В таких случаях надёжным обходным путём становится туннелирование TCP-трафика через SOCKS5-прокси, например, поверх SSH.

Но и у SOCKS5 есть ограничение — сам по себе он ничего не даст, если не существует механизма для перенаправления трафика от нужных приложений. Многие программы не поддерживают прокси напрямую, а системный прокси на Windows — история сложная и не всегда результативная.

Решил поднять SSH honeypot (использовал Cowrie), чтобы посмотреть, кто ломится в мои открытые порты. Буквально через несколько часов в логах появилось знакомое: бесконечные попытки входа под root, admin, test, и т.п. Сюрпризом стали команды, которые выполнялись после удачного входа.

На Хабре уже было несколько публикаций про новые принятые в Госдуме поправки (https://habr.com/ru/news/928638/, https://habr.com/ru/companies/amnezia/articles/928378/, https://habr.com/ru/news/928332/ и т.д.), и там в комментариях звучало много довольно схожих вопросов на тему "а как оно может быть?", на которые я постараюсь сегодня ответить.

Сразу говорю, разбирать будем именно с технической, а не с юридической точки зрения. С юридической точки зрения там, конечно, тоже есть интересные моменты.

Всё самое интересное из мира кибербезопасности /** с моими комментариями.

На этой неделе новости про очень спорные поправки в закон о передачи Sim, рекламе VPN и поиске экстремистских материалов, про новый способ передачи вредоносов в DNS, про возможный запрет WhatsApp в России, про то, что конфиденциальность в Испании уже является поводом для проверок и другие только самые важные и интересные новости из мира информационной безопасности.

Пошаговый разбор того, как простая уязвимость IDOR раскрыла конфиденциальные личные данные, позволила несанкционированное отправление отзывов и сделала возможной отмену билетов на рейсы, что затронуло пассажиров по всей Индии.

Полгода назад я работал над внедрением RAG-системы в крупной финансовой компании. Задача была типичная: построить корпоративного чат-бота, который мог бы отвечать на вопросы сотрудников по внутренним документам. Казалось бы, что может пойти не так? Берем готовую LLM, подключаем к базе знаний, добавляем немного магии с векторным поиском — и готово.

Но когда я начал тестировать систему перед продакшеном, обнаружил, что наш "умный" ассистент превращается в болтливого предателя при правильно сформулированных вопросах.