Информационная безопасность

По поводу волны негодования и некой паники после выxода нового поста Роскомнадзора на тему регистрации каналов 10000+ через бота.

Ведомству даже пришлось опубликовать дополнительный пост по данной теме, где обозначена позиция Роскомнадзора.

Так вот, в предоставлении боту Роскомнадзора прав админа нет ничего необычного. Так работают большинство ботов с правами админа на минималке прав.

Смотрите скан. Приведены примеры прав бота Роскомнадзора по сравнению с ботами Tgstat и Яндекс Директа, которые у меня стоят с правами админа на минималке.

Если добавить Изменение профиля канала, то бот дополнительно воткнет метку А+ в название канала.

Предоставление прав никоим образом не означает, что вы отдаете свой канал под полное управление бота Роскомнадзора. Да, админ, но на куриныx праваx )

Нет никакой принудительной экспоприации и отжатия вашего канала государством после регистрации его по теме 10000+ c помощью бота.

Админ никоим образом не сможет претендовать на права владельца канала даже имея максимальные права. По сравнению с владельцем, админ пустое место и может быть в любой момент разжалован в своиx праваx до минимума либо удален из канала.

Центральный Банк России опубликовал список из десяти самых популярных фраз, используемых мошенниками. Ими регулятор поделился в своем Telegram-канале.

«Мы собрали топ-10 распространённых фраз кибермошенников, которые они сейчас используют чаще всего. По ним можно быстро вычислить обман», — отметили в ЦБ.

Перечень распространённых фраз, применяемых мошенниками при телефонных звонках:

• «Переключаю вас на сотрудника ЦБ»;

• «Финансирование запрещённой организации»;

• «Звоню по поводу удаленной работы».

Также в попытках обмануть граждан преступники прибегают к подобным словосочетаниям:

• «Это отдел курьерской доставки»;

• «На ваших банковских счетах обнаружены неучтенные средства»;

• «Необходимо задекларировать денежные средства и ценности»;

• «Ваш аккаунт на портале «Госуслуг» взломан».

В сообщениях через мессенджеры мошенники часто используют следующие фразы:

• «Беспокоит директор департамента»;

• «Это ты на фото?»;

• «Оплатите имеющуюся задолженность».

В случае, если вы или ваши родные услышали подобные фразы во время телефонного разговора, ЦБ рекомендует просто прервать звонок. Если же вы получили электронное письмо с аналогичными выражениями, проигнорируйте его и заблокируйте отправителя.

ИБ-ДАЙДЖЕСТ INFOWATCH

Криптобиржа Crypto.com атакована подростком из Флориды с использованием украденных данных UPS.

Китай мог похитить данные о мозговой активности спортсменов для военных исследований, возможно, для создания «суперсолдат».

Корейские инвестиционные фонды пострадали от кибератаки русскоязычной группировки Qilin на облачное хранилище.

Автогигант подтвердил утечку данных из CRM Salesforce после взлома хакерами ShinyHunters.

Бразильская военная полиция потеряла более 2 ТБ данных, включая медицинские карты и удостоверения личности.

НКО заплатит $1 млн за утечку персональных и медицинских данных 167 400 доноров.

Когда WAF - не помощник
Наткнулся на ситуацию, когда митигация эксплуатации API-метода была бы возможна при блокировке POST-запроса по правилу "если тело запроса более n-байт". Но, используемый WAF в такое не умеет (вендор подтвердил, завел задачку на подумать о такой функции). Представьте: на сайте можно выбрать 3 из 5 категорий кэшбека. Но, ограничение проверяется лишь на фронте. Ничего не мешает обратиться к методу напрямую, указав все 5 параметров в теле POST-запроса:

{
 "CODE_1": "1",
 "CODE_2": "1",
 "CODE_3": "1",
 "CODE_4": "1",
 "CODE_5": "1",
 }

Где разный CODE - последовательность символов (одинаковой длины), которая означает один из кэшбеков (красота, аптеки, рестораны и т.д.). Для митигации (пока разработчики исправляют уязвимость) можно было бы прикинуть максимальное количество байт примерно до (чтоб был небольшой люфт по байтам: чуть более 3-х запросов, но, длина из 4 параметров уже точно не попадала):

{
 "CODE_1": "1",
 "CODE_2": "1",
 "CODE_3": "1",
 "CODE_4":
 }

Как оказалось, подобного правила нет в различных WAF (поспрашивал коллег, почитал документацию некоторых популярных WAF). Правда, тут нужно быть внимательным: иногда представители вендора\интегратора ошибочно считают, что у них это есть. Но, в процессе обсуждения выясняется, что речь идёт о другом. О максимальном размере тела POST-запроса, общим для всех методов (защита от DoS). Либо речь идёт о составлении описания правила, где блокируются запросы, не попадающие под описание правила. Но, в данном случае все 5 параметров в запросе корректны (согласно swagger-схеме). Интересно: какие из существующих WAF уже сейчас умеют в подобные правила (максимальный размер тела запроса для конкретного метода)?

Ждем в прямом эфире! Узнайте, как ИИ меняет информационную безопасность

Практические ИБ-конференции RoadShow SearchInform в самом разгаре. Сегодня встречаемся с участниками в Москве. Впереди еще много городов (список здесь).

Если вы не нашли в списке свой город, но хотите пообщаться с коллегами по цеху, задать вопросы спикерам и узнать все о самых горячих трендах инфобеза, то подключайтесь сегодня к онлайн-трансляции. Доклады стартуют в 14:00 (мск).

Смотреть тут: [тыц]

А уже сейчас можно поучаствовать в большом исследовании уровня ИБ в компаниях России и СНГ. Спрашиваем про бюджеты, средства защиты, утечки и другие внутренние инциденты - а потом все считаем и делимся статистикой.

Строите микросервисную архитектуру? Уверены, что с аутентификацией и авторизацией всё идеально?

2 октября разберем на бесплатном вебинаре «Аутентификация в микросервисах за 1 час: Keycloak и JWT без головной боли» отраслевой стандарт для безопасности — Keycloak.

План вебинара (только полезное):

✔️ Keycloak как IAM-сервер: быстрый старт и настройка.

✔️ Интеграция с ASP.NET приложением: пишем код, который работает.

✔️ Четкое разграничение прав (Authorization): чтобы пользователи видели только своё.

✔️ OAuth 2.0 / OIDC & JWT: не просто аббревиатуры, а инструменты, которые вы поймёте и примените.

Итог: вы уйдете с чёткими инструкциями и рабочим примером для ваших проектов.

📅 Когда: 2 октября, 17:00-18:00 (МСК)

👨‍🎓 Спикер: Андреев Андрей — эксперт в области разработки и архитектуры ПО.

👉Забронировать место 👈

Этот час сэкономит вам недели на проектировании и отладке безопасности.

Внедрение WAF\антибот может ослабить TLS

После внедрения WAF\антибот систем стоит проверить настройки TLS у серверов. Я случайно обнаружил, что для некоторых доменов появилась поддержка устаревших шифров или протоколов. Для проверки есть онлайн-сервис SSL Labs. Вот как выглядел результат проверки через этот онлайн-сервис до внедрения WAF и после (пришлось объединить в одну картинку т.к. формат поста не позволяет более одной картинки). Видно, что появилась поддержка TLS 1.0 и 1.1.

Если я правильно понимаю, злоумышленник, имеющий возможность провести атаку "человек посередине", может в каких-то случаях повлиять на согласование протокола между сервером и клиентом и заставить их использовать устаревший протокол TLS. Что даст возможность расшифровывать и\или модифицировать трафик между клиентом и сервером.

Администратор WAF и антибот систем решил проблему и подтвердил, что проблема была связана с их настройкой. Как именно исправляется ситуация я не в курсе.

Если кого-то интересует оценка сложности проведения атак на TLS (при плохой конфигурации) - возможно, стоит обратить внимание на подобные курсы.

Приглашаем на вебинар, посвященный вопросам перехода на отечественную Java-среду исполнения. Обсудим, как указы №166 и №250 и приказ Минцифры №21 задали курс на импортозамещение и определили классы ПО для замены. 

Поговорим о рисках зарубежных решений, требованиях к безопасности и роли среды исполнения как ключевого слоя ИТ-систем

Кому будет полезен вебинар:
• Директорам по информационной безопасности
• Техническим директорам
• Директорам по ИТ
• Руководителям отдела программного обеспечения
• Разработчикам информационных систем

Вебинар проведет:
Роман Карпов, Директор по стратегии и развитию технологий Axiom JDK, Руководитель ИБ-комитета АРПП "Отечественный софт", Руководитель технического комитета АНО "Открытый код", Советник Министра цифрового развития по вопросам системного ПО, председатель ЦКР по управлению ИТ-инфраструктурой

Когда: 01 октября 2025 г.

Во сколько: 11:00–12:30 по мск

Формат: Онлайн

Участие: Бесплатное (нужно предварительно зарегистрироваться)

Мессенджер MAX обновляется.

Вчера скачал новую десктопную версию, 25.11.1 и подампил траффик.

Обращения к зарубежным ресурсам вернулись! Клаудфлёр опять наше всё. Предыдущая версия зарубеж не стучалась. На скрине картинка при выключении приложения, RST очень наглядны.

Надёжный пароль - это может быть плохо.

Надысь пил пиво, и была мне мысль. Если у нас есть юзвера, и они сами себе придумывают пароли, а мы им устанавливаем ограничения типа "8 знаков и обязательно с цифрами" - то значимая часть этих юзеров будет придумывать пароль, минимально подходящий под эти правила. Таким образом, если мы опасаемся брутфоса (а зачем ещё нужны сложные пароли?) а атакующему нужно сбрутить не конкретного юзверя, а хоть кого-нибудь, то ограничения пойдут атакующему на пользу.

• Стоит минимальная длина 6 знаков - перебираем только 6 знаков и переходим к следующему пользователю.

• Требуются обязательно буквы и цифры - перебираем варианты с 1-2 цифрами в конце, переходим к следующему.

• Требуются буквы, цифры, знаки препинания, не менее 4-х разных видов - это вообще лафа. Ставлю свою недопитую бутылку пива, что хоть у одного юзера будет пароль ABCD1234!@#$. Генерируем список тупых паролей под правила и брутим только по нему.

Всё сказал. Что делать с этой мыслью я не знаю, так что нате вам её.

ИБ-ДАЙДЖЕСТ INFOWATCH

Утечка данных Gucci, Balenciaga и других модных брендов. В руках хакеров находятся данные 7,4 млн покупателей.

Более 500 ГБ данных о сверхсекретной системе «Великий Китайский файрвол» утекли в Сеть, в том числе исходный код.

Бывший сотрудник Finwise Bank получил конфиденциальную информацию финтех-партнера. Инцидент выявлен почти спустя год. Утекли данные 689 тыс. человек.

Китай ужесточил требования к отчетности об утечках данных. Уведомлять об инциденте необходимо в течение 4 часов после выявления.

Кибератака на шведскую ИТ-компанию Miljodata привела к потере данных 15% населения. Ответственность за взлом взяла хакерская группировка Datacarry.

В Италии регулятор приостановил работу биометрии в аэропорту Милана. Шаблоны хранились не на устройствах пользователей, а в централизованной системе самой компании.

Хакеры спровоцировали утечку ПДн десятков тысяч пациентов на Аляске. Расследование ведет ФБР.

Проект Академии InfoWatch взял «Кубок Инфофорума»

Проект ГК InfoWatch стал победителем в номинации «За распространение знаний в сфере информационной безопасности» Кубка Инфофорума. Итоги подведены на 7-й Межрегиональной конференции по информационной безопасности «Инфофорум-Поволжье» 24 сентября.

Представленная на конкурс компетенция «Корпоративная защита от внутренних угроз ИБ» инициирована Академией InfoWatch в 2017 году. Цель проекта — подготовка кадров в области кибербезопасности России. Оценку уже прошли 6000 молодых специалистов.

Эта компетенция полностью построена на решениях российских производителей.

Cisco IOS/IOS XE CVE-2025-20352 — открытый SNMP ≠ «всё ок»

СКИПА фиксирует >30 000 устройств с SNMP v1/v2c в Рунете. Из них ≈1 700 выглядят потенциально уязвимыми к CVE-2025-20352.

Об уязвимости

CVE-2025-20352 — переполнение стека в подсистеме SNMP Cisco IOS/IOS XE. Нужны валидные SNMP-учётные данные:

• при низких правах возможен DoS (перезагрузка);

• на IOS XE при повышенных правах — RCE через специально сформированные SNMP-пакеты.

• уязвимость 0-day, т.е. уже используется злоумышленниками.

Что это значит по данным СКИПА

• Много устройств всё ещё отвечают по v1/v2c и/или на дефолтные сообщества public/private.

• ≈1 700 — версии и платформы, требующие проверки в Cisco Software Checker; наличие фикса зависит от релизной ветки (train) и конкретной платформы.

Признаки в логах/метриках

• Всплески SNMP auth failure, noSuchName, аномально частые запросы.

• Падение sysUpTime, повторные перезагрузки, записи в crashinfo.

• Нетипичные источники трафика UDP/161.

Рекомендации

1. Ограничить SNMP по ACL/CoPP (только менеджмент-хосты).

2. По возможности отключить v1/v2c, перейти на SNMPv3 (authPriv); сменить сообщества, если вынуждены оставить v1/2.

3. Обновить IOS/IOS XE до исправленных билдов по результатам Cisco Software Checker.

4. Мониторить sysDescr/sysUpTime и аномалии по UDP/161.

Быстрый самоаудит

Эксперты СайберОК опубликовали скрипт для экспресс-проверки.

О скрипте: быстрая и безопасная оценка экспозиции устройств Cisco IOS/IOS XE, связанная с CVE-2025-20352 (подсистема SNMP).

Сканируем подсети на SNMP через onesixtyone с дефолтными сообществами. Парсим баннеры sysDescr.0 Python-скриптом: помечаем Cisco IOS/IOS XE и проставляем статус Fixed (если в белом списке) или Potentially Vulnerable (проверить в Cisco Software Checker).

Проект не эксплуатирует уязвимость. Он лишь определяет устройства, отвечающие на дефолтные SNMP-сообщества, и извлекает версию из sysDescr.0.

Составили рекомендации, как безопасно разрабатывать ИИ‑агентов и мультиагентные системы

Команда Security Yandex Cloud опубликовала руководство по снижению рисков при разработке и внедрении агентов на базе LLM. Мы обобщили опыт создания агентов для ML, Security и других сервисов Яндекса, которые уже используют агентную систему и генеративные технологии компании.

Результатом этой работы стал подход к разработке модели угроз при внедрении, а также методы защиты для ключевых компонентов:

• самих генеративных моделей,

• модулей и баз знаний, которые используются в работе ИИ‑агентов.

Особое внимание мы уделили безопасности данных и предотвращению рисков, возникающих из‑за автономности агентов.

Читать документ

При подготовке рекомендаций мы также учли лучшие практики международных организаций, включая OWASP®, NIST и MITRE ATT&CK®.

Предложенные в документе принципы безопасной разработки используются на всех этапах при создании автономных или взаимодействующих между собой ИИ‑агентов в сервисах Яндекса. Команды безопасности ещё на стадии проектирования изучают будущую архитектуру и проверяет её на безопасность. Затем специалисты тестируют код на возможные уязвимости и проверяют на соответствие стандартам безопасной разработки.

Яндекс также изучает возможные способы атак на нейросети и разрабатывает защиту от потенциальных угроз. Антиробот Яндекса защищает ИИ‑сервисы от злоупотребления и эксплуатации уязвимостей. Сервис Yandex Smart Web Security теперь содержит ML WAF — технологию для защиты от веб‑атак на основе машинного обучения, которая даёт более широкое покрытие векторов атак за счёт сочетания сигнатурного анализа и ML. Центр мониторинга выявляет угрозы и анализирует подозрительную активность в инфраструктуре. Ещё один инструмент для проверки и усиления безопасности ИИ — направление программы Яндекса «Охоты за ошибками», связанное с генеративными нейросетями.

Будущее NGFW

Экспертно-аналитический центр InfoWatch выпустил исследование «Тенденции в обеспечении кибербезопасности сетевой инфраструктуры: 2025 год». Исследование показало, что самый востребованный инструмент в области сетевой безопасности — это межсетевые экраны нового поколения (NGFW), при этом требования к ним растут.

Комментирует главный аналитик ЭАЦ InfoWatch Сергей Слепцов:

«Будущее межсетевых экранов нового поколения предполагает более глубокую интеграцию искусственного интеллекта и машинного обучения — в первую очередь с точки зрения улучшения обнаружения угроз, мониторинга аномалий и автоматизации реагирования. Также мы ожидаем, что NGFW будут развивать поддержку гибридных сред, поскольку компании активно используют облачную инфраструктуру, но при этом многие крупнейшие предприятия обоснованно не готовы переносить из локальных сетей критически важные процессы».

Telegram Wallet Кошелек скам? Заблокировали средства и уже 2 недели "проверяют"!

Сразу скажу, что у кого похожая ситуация, вам не вернули ваши деньги или вернули, но с большой задержкой, пишите мне в личку или в комментарии тут, есть много идей, что с этим дальше делать. Опишите свою ситуацию, нужны еще "потерпевшие".

Уже 2 недели как "отклонили верификацию" и "ограничили доступ к аккаунту", идет общение с поддержкой и "проверка". Примечательно, помимо немалой суммы, что аккаунту полтора года и за это время ничего (!), кроме 8 пополнений из других моих кошельков не было. То есть никаких расходов, P2P транзакций, никаких бирж, НИЧЕГО, к чему можно было бы даже теоретически придраться. Соблазнился стейкингом по 17% на USDT и удобным интерфейсом. При этот аккаунт был верифицирован на уровне "плюс", это паспорт и фото. 

Да, кастодиальный сервис, но в Телеграме все устроено, чтобы показать, что этот сервис родной, вы видите его в настройках мессенжера, и даже анимация в нем фирменная телеграмовская с "уточкой". Разве мы не доверяем Телеграму и Павлу Дурову?!)

В общем сначала "верификация отклонена", после общения с поддержкой в боте 8 дней, наконец-то потом появилась форма запроса данных, сразу внес туда документы "подтверждающие доход", статус изменился на "Аккаунт на проверке", и снова тишина почти неделю... хотя и в форме и FAQе написано, что такое проверяется до 24 часов.

Вебинар «Контроль на 360°: как оценить защищенность от утечек и выполнить требования регулятора?»

Нормативные требования предписывают защищать от утечек персональные данные, коммерческую, банковскую, налоговую и иные виды тайн и другие категории данных. С задачей справляются DLP-системы. Но как проверить, насколько эффективна защита в вашей инфраструктуре и соответствует ли она требованиям регуляторов?

25 сентября в 11:00 (мск) эксперты «СёрчИнформ» — ведущего российского вендора DLP, и SECURITM — SGRC-системы для управления организационными процессами информационной безопасности, расскажут, как автоматизировать эту проверку.

Вендоры в живой демонстрации представят интеграцию DLP «СёрчИнформ КИБ» с SGRC-системой SECURITM. Это готовый инструмент, который позволит:

• В один клик оценить защищенность компании от утечек: что под контролем, а что — нет.

• Автоматизировать аудит активов.

• Сопоставить «фактуру» из DLP с показателями из других систем защиты, чтобы повысить эффективность ИБ.

• Сделать данные DLP частью стратегии управления рисками, чтобы «закрыть» нормативные требования.

Спикеры вебинара:

• Николай Казанцев, CEO SECURITM.

• Алексей Парфентьев, заместитель генерального директора по инновационной деятельности «СёрчИнформ».

Участие бесплатное, требуется регистрация по ссылке.

Хакер этимология

Слово hacker произошло от английского глагола to hack "разрубать".

1. Германское (готское, древнеанглийское, древнескандинавское, ...) "h" соответсвует русскому "к" по Закону Гримма

2. Германское "a" соответствует русскому "о" по Германскому сдвигу гласных

3. Германское "c" соответствует русскому "г" по Закону Гримма

4. Германское "k" соответствует ассимилированному "n" по Закону Клюге, присутствующему в значительном числе случаев в германских языках, но отсутствующему в русском, сравните древнескандинавское laun лов, vagn воз

5. В русском языке существует пара нога ноготь

Итого: hack ~ коготь.

ИБ-ДАЙДЖЕСТ INFOWATCH

Без «селфи» счет в банке не открыть. Как банки Австралии борются с мошенничеством персональных данных.

Стриминговый сервис Plex просит подписчиков сменить пароли. В зоне риска данные 25 млн пользователей.

Атака на компьютерную сеть библиотек Pierce County (штат Вашингтон). Утечка данных 300 тысяч читателей. Почему предложенная компенсация в судебных документах названа неадекватной?

Утечка данных крупного разработчика приложений на основе ИИ для устройств на базе iOS и Android. В зоне риска миллионы пользователей.

В США выдвинут проект закона об ограничении использования ПДН для обучения ИИ.

Очередной инцидент на британских железных дорогах. Украдены контактные данные пассажиров из-за атак на поставщика.

Кибератака на Национальный кредитный центр Вьетнама. Под угрозой более 100 млн человек.

Компрометация более 1,6 млн голосовых клиентов фитнес-клубов США и Канады. Причина в облачной базе данных, которая не была защищена паролем.

Министерство экономики и финансов Панамы (MEF) объявило о взломе одного из ее компьютеров. Ответственность за инцидент взяла на себя группировка INC, похитив более 1,5 ТБ данных.

Менеджер паролей, который не хранит пароли

Сделал для себя, но решил выложить в паблик.

Visual Password — помогает легко восстанавливать надёжные пароли, не записывая их и не храня в менеджерах паролей. Вы просто запоминаете пару эмодзи и ключевое слово. Когда нужен пароль, используйте их комбинацию, чтобы мгновенно создать длинный сложный пароль прямо на своём устройстве.

Всё происходит локально: никаких серверов, интернета и баз данных — Visual Password не отправляет и не сохраняет ваши пароли.

Проще говоря, вы храните только маленькие подсказки в голове, а Visual Password превращает их в действительно надёжный пароль.

Рекомендации по использованию

В поле Keyword напишите то, что характеризует ваш пароль, для чего он, например, google, facebook и т.д.

В поле Pin введите что угодно, например, 123a. Pin повышает уровень энтропии и уменьшает вероятность коллизий с другими пользователями программы.

Выберите набор символов для пароля и его длину.

В поле Visual Password введите набор эмодзи. Для того чтобы запомнить эмодзи используйте не только их картинку, но и буквенно-цифровые обозначения, которые есть на каждой кнопке. А также цветовые градации при нажатии на кнопку с эмодзи.

Совокупность исходных данных, использованных для генерации пароля, всегда выдаёт одинаковый результат.

Скопируйте полученный пароль.

Закройте Visual Password.

Когда пароль понадобится снова, заново введите те же данные.

Установка

Скачать можно на GitHub.

Для скачивания доступны: расширения для Chrome и Firefox, Apk Android, html файл который можно запускать локально или разместить на любом хостинге. А так же есть web-версия (https://viruseg.github.io/VisualPassword/) и Telegram бот @VisualPassword_bot.