#infosec

Российские школьники завоевали восемь медалей на первой Международной олимпиаде по кибербезопасности в Сингапуре🇷🇺

Сборная команда России приняла участие в первой Международной олимпиаде по кибербезопасности (International Cybersecurity Olympiad, ICO), которая прошла с 22 по 28 июня в Сингапуре. По итогам состязания школьники завоевали три золотые, три серебряные и две бронзовые медали.

В финале сборная команда России встретилась с 128 талантливыми школьниками из 25 стран, среди которых Австралия, Канада, Дания, Израиль, Италия, Япония, Малайзия, Мексика, Шри-Ланка, Швеция и другие. Заключительный этап состоял из двух туров. В первом старшеклассники в течение трех часов решали семь задач повышенной сложности по криптографии, бинарным уязвимостям, веб-уязвимостям и реверс-инжинирингу. Второй тур длился пять часов и содержал дополнительные задачи на пентест, стеганографию и форензику.

Присоединяемся к поздравлениям и желаем сборной новых побед и высот🔥💪

#pentest

Active Directory Pentesting Cheat sheet

Ещё одна подборка для Вашей коллекции по пентесту внутренней инфраструктуры.

#pentest #cve

PoC: Уязвимость CVE-2025-49144 в Notepad++

Уязвимость CVE-2025-49144 небезопасного поиска исполняемых файлов в установщике Notepad++ (версии ≤ 8.8.1) позволяет повысить привилегии до уровня System.

Также к данному PoC прикладываем описание уязвимости для детального разбора причин её появления и условий эксплуатации.

#forensics

DFIR LABS

Подборка заданий, направленных на получение практики по простым и продвинутым кейсам в : цифровой криминалистике, реагировании на инциденты, анализе вредоносных программ и поиске угроз.

#soc

Приёмы для парольной политики

Стойкость паролей, методы их запоминания и способы хранения - творческий вопрос, вызывающий большое количество мнений, порой споров.

Один из взглядов по работе с паролями представлен в следующей статье.

Приятного прочтения

#infosec

Госдума отклонила законопроект о легализации «белых» хакеров

Минцифры считает целесообразным вносить комплексные изменения по легализации «белых» хакеров, сказал представитель министерства. По его словам, сейчас они вместе с заинтересованными госорганами обсуждают инициативы по определению требований и правил при проведении мероприятий по поиску уязвимостей, а также законодательную ответственность в случае их нарушения.

#tools

ExfilServer

ExfilServer - это безопасный сервер загрузки файлов, обеспечивающий шифрование на стороне клиента и автоматическую загрузку файлов. Он имеет современный веб-интерфейс с поддержкой drag-and-drop, индикаторы состояния загрузки файлов в реальном времени и шифрование на основе XOR для обфускации файлов во время передачи.

#infosec

Почти половина веб-атак на госорганизации — это попытки подбора паролей

Причём речь идёт в основном не о простом переборе паролей из словаря, а о credential stuffing — когда злоумышленники используют уже скомпрометированные логины и пароли, утекшие с других сайтов и сервисов. Эти данные массово прогоняются через форму авторизации. Такие атаки часто идут с тысяч разных IP-адресов.

Разбираем новый закон про VPN и «поиск материалов» с технической точки зрения

Как сторонний наблюдатель (например интернет-провайдер) может выявить факт пользования такими средствами?

Именно этому и посвящена свежая статья.

Приятного прочтения

#infosec

Совет Федерации запросил у Роскомнадзора данные о штрафах за утечки персональных данных после ужесточения закона

Зампред Совета по развитию цифровой экономики при Совете Федерации Артем Шейкин направил обращение заместителю руководителя Роскомнадзора Милошу Вагнеру, в котором просит предоставить информацию об организациях, которые были привлечены к ответственности за утечки персональных данных после ужесточения наказания за подобные нарушения.

В письме парламентарий отметил, что распространенность телефонного и банковского мошенничества связана с фактами утечек персональных данных граждан. Также сенатор напомнил, что с 30 мая 2025 года была ужесточена административная ответственность за утечку персональных данных и иные нарушения требований по их обработке.

CyberSec Meetup от Ozon Tech Community пройдёт 29 июля⚡️

Коллеги предлагают на один вечер забыть об атаках и логах и переключить внимание на другие важные процессы в ИБ.

Что в программе:
- аудит информационной безопасности — подходы, польза и утки;
- взгляд ИБ на тестирование LLM;
- внедрение DAST в Ozon — от опенсорса до самописного решения;
- метрики работы первой линии SOC и задачи координатора инцидентов;
- опыт обучения сотрудников безопасной разработке.

Тех, кто в Москве, приглашают в Центральный университет. Онлайн тоже можно присоединиться

Регистрируйтесь 🚚

#pentest #tools

SharePoint WebPart Injection Exploit Tool

В течение 19 и 20 июля 2025 года несколько ИБ-компаний и национальных центров реагирования на инциденты опубликовали сообщения об активной эксплуатации локальных серверов SharePoint. Согласно их отчетам, злоумышленникам удалось обойти аутентификацию и получить полный контроль над зараженными серверами при помощи цепочки эксплойтов.

Познакомиться с эксплойтом можно по следующей ссылке.

#infosec

После открытия аэропорта в Геленджике всплеск фишинга: поддельные сайты продают несуществующие билеты

Эксперт Минфина России и представитель Ассоциации российских банков Максим Семов отметил, что появление сайтов-клонов началось почти одновременно с официальным сообщением об открытии воздушной гавани. Ажиотаж среди туристов и стремление успеть купить билеты стали удобной почвой для преступных схем.

Шорт-лист📋

На третий год проведения первой и единственной в России премии для этичных хакеров было подано 140 заявок. Организаторы объявили шорт-лист финалистов 2025. Списки не ранжированы, победители будут объявлены на церемонии награждения.

👉 Трансляция мероприятия будет доступна по ссылке 1 августа в 19:00, обязательно присоединяйтесь🔥

#pentest #cve

CVE-2025-49113 - Roundcube Remote Code Execution

Эксперты предупреждают, что хакеры начинают эксплуатировать свежую уязвимость (CVE-2025-49113) в опенсорсном почтовом клиенте Roundcube Webmail. Проблема позволяет удаленно выполнить произвольный код.

Уязвимость присутствует в коде Roundcube Webmail более десяти лет и затрагивает версии с 1.1.0 по 1.6.10. Исправление для этой ошибки было выпущено 1 июня 2025 года.

Злоумышленникам потребовалась всего пара дней, чтобы отреверсить это исправление и начать продавать рабочий эксплоит для CVE-2025-49113, который теперь замечен как минимум на одном хакерском форуме.

Roundcube является одним из наиболее популярных решений для работы с веб-почтой, и его предлагают своим клиентам такие известные хостинг-провайдеры, как GoDaddy, Hostinger, Dreamhost и OVH.

С proof-of-concept можно ознакомиться по следующей ссылке.

Встречайте материалы с ежегодной премии для пентестеров🔥

Фотоотчёт с мероприятия

Запись с награждения
Rutube
Вконтакте

Приятного просмотра

#pentest

Практическое руководство по атакам на IPv6 в локальной сети

Практическая статья, завершающаяся кратким опросом: cтоит ли вообще использовать IPv6 в своей инфраструктуре.

Приятного прочтения

#infosec

Роскомнадзор не зафиксировал утечек персональных данных после хакерской атаки на IT-системы «Аэрофлота»

Информация хакерских группировок об утечке и компрометировании персональных данных пассажиров или сотрудников авиакомпании «Аэрофлот» пока не подтверждается фактами. Об этом сообщили ТАСС в Роскомнадзоре.

В ведомстве уточнили, что следят за ситуацией. Роскомнадзор ожидает информацию от авиаперевозчика и примет решение о целесообразности проверки.

Генеральная прокуратура организовала проверку в аэропорту «Шереметьево» после задержки и отмены рейсов. В ведомстве подтвердили, что сбой произошел из-за хакерской атаки на системы авиакомпании. Возбуждено дело по ч. 4 ст. 272 УК РФ (неправомерный доступ к компьютерной информации).

А для тех, кто не смог посетить мероприятие очно либо присутствовать online, организаторы опубликовали запись митапа.

Приятного просмотра🔥

#pentest #web #beginners

Developing Burp Suite Extensions

Этот репозиторий содержит мануалы и примеры кода, способствующие обучению разработке расширений Burp Suite - от вопросов ручного тестирования до автоматизации тестов безопасности.

#news

В защищённых рациях нашли уязвимость во втором уровне шифрования

Пару лет назад нидерландские исследователи вскрыли серьёзную уязвимость в алгоритмах шифрования, которые встроены в радиостанции по стандарту TETRA. Эти устройства используют службы по всему миру — от полиции и военных до объектов критической инфраструктуры. Тогда выяснилось, что один из алгоритмов, TEA1, снижает длину ключа с 80 до 32 бит, что позволяло расшифровывать перехваченные переговоры за минуту.

Чтобы как-то компенсировать эту дыру, Европейский институт телекоммуникационных стандартов (ETSI) в 2023 году порекомендовал использовать дополнительное шифрование — end-to-end encryption (E2EE), разработанное группой TCCA. Но теперь та же команда исследователей из Midnight Blue заявила: в одном из реализованных вариантов E2EE — тоже уязвимость. Более того, суть проблемы — всё та же: ключ вроде бы начинается с 128 бит, но потом зачем-то обрезается до 56. Это делает взлом таким же реальным, как и с TEA1.

ETSI утверждает, что правительственные заказчики должны быть в курсе. Исследователи в этом сомневаются: «Мы не верим, что кто-то платит миллионы долларов, зная, что в итоге получает всего 56 бит защиты», — говорит один из авторов работы, Йос Ветзелс.

Вывод один: если даже «поверх» небезопасного шифрования кладут ещё один слой, он тоже может оказаться дырявым. Особенно если за спецификациями никто толком не следит, а покупатели верят на слово.