Какие могут быть стимулы к централизованному репортингу уязвимостей в продуктах вендоров из недружественных стран через государственного регулятора?

🔻 Патриотизм. Противостояние в цифровой среде набирает обороты, и в нём есть свои и есть вражины. Американские бигтехи, отказавшиеся от обязательств в 2022 году, оказывающие поддержку враждебным государствам, распространяющие пасквили и являющиеся крупными подрядчиками DoD, нам явно НЕ СВОИ. Как и прочие "истинные финны". Зачем помогать противнику, если можно будет поднимать киберпотенциал своей страны?

🔻 Законность. Репортинг уязвимости "недружественному вендору" может подпадать под 275 УК РФ. Зачем "ходить под статьёй", если можно будет репортить уязвимости законно и безопасно?

🔻 Выгода. Компания, юрисдикция которой запрещает взаимодействие с физическими и юридическими лицами из России, вряд ли сможет нормально выплатить баунти. Так почему бы не получать выплату легально в России от заинтересованной стороны?

@avleonovrus #dewesternization #research #ИНД

Снова в ТОПе телеграм-каналов Сачка. 🎉 Приятненько. 🙂 Спасибо коллегам, проголосовавшим за канал! 🤝

@avleonovlive

Июльский "В тренде VM": уязвимости в Microsoft Windows и Roundcube. Традиционная ежемесячная подборка. В этот раз очень короткая. 🙂

🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Всего три трендовые уязвимости:

🔻 Remote Code Execution - Internet Shortcut Files (CVE-2025-33053)
🔻 Elevation of Privilege - Windows SMB Client (CVE-2025-33073)
🔻 Remote Code Execution - Roundcube (CVE-2025-49113)

@avleonovrus #втрендеVM #TrendVulns #PositiveTechnologies #URLfile #CheckPoint #Microsoft #Windows #StealthFalcon #WebDAV #SMB #NTLMreflection #Kerberos #Synacktiv #RedTeamPentesting #Roundcube #FearsOff

Про уязвимость Remote Code Execution - Microsoft SharePoint Server "ToolShell" (CVE-2025-53770). SharePoint - это веб-приложение от Microsoft, предназначенное для развертывания корпоративных интранет-порталов, управления документами и совместной работы. Ошибка в механизме десериализации в развёрнутом on-premises SharePoint Server позволяет удалённому неаутентифицированному злоумышленнику выполнить произвольный код.

👾 18 июля эксперты компании Eye Security сообщили о массовой эксплуатации этой уязвимости совместно с уязвимостью спуфинга CVE-2025-53771. Уязвимости CVE-2025-53770 и CVE-2025-53771 - эволюция уязвимостей CVE-2025-49704 и CVE-2025-49706 из июльского MSPT.

🔻 На следующий день, 19 июля, Microsoft выпустили обновления для SharePoint Server 2016, 2019 и SharePoint Subscription Edition. Также MS рекомендовали настроить интеграцию с Antimalware Scan Interface.

🔨 Публичные эксплоиты доступны на GitHub с 21 июля.

@avleonovrus #SharePoint #Microsoft #EyeSecurity #ToolShell

Насколько уязвимость Remote Code Execution - Microsoft SharePoint Server "ToolShell" (CVE-2025-53770) актуальна для России? Похоже, что весьма актуальна. Хотя, казалось бы, спустя три года после начала известных событий и ухода Microsoft из России, можно было бы хотя бы корпоративные порталы заместить на что-то отечественное.

Но нет. Как сообщают коллеги из BiZone:

"По нашей оценке, этим уязвимостям подвержено до 10% российских enterprise-компаний [...]"

Более того, находятся уникумы, которые выставляют SharePoint в Интернет. Как сообщают коллеги из CyberOK:

"📡 СКИПА отслеживает ~1 800 экземпляров SharePoint в Рунете. По оценкам экспертов CyberOK, более 20% могут быть уязвимы для атак с использованием CVE‑2025‑53770."

Есть подозрение, что в компаниях, которые всё ещё не мигрировали с SharePoint, с обновлениями всё тоже обстоит не самым лучшим образом. Весьма вероятно, что некоторые из них подломят. Или уже подломили. 🤷‍♂️

@avleonovrus #SharePoint #Microsoft #ToolShell #CyberOK #BiZone #dewesternization

Забавная вакансия SOC-овода и VM-щика в одном лице от Медиа Бизнес Солюшенс. Это сервисная компания, которая оказывает услуги бэк-офиса для активов Национальной Медиа Группы.

🔹 Так-то понятно, что здесь произошло. Сотрудник, которому поручили составить и выложить вакансию на сайт, не в теме. Как ему послышалось, так он и выложил. Не вычитав итоговый текст с техническим специалистом или CISO. 🙂

🔹 А с другой стороны, сейчас так много аббревиатур (CTEM, VMDR, VOC, ASM), обозначающих то же самое Управление Уязвимостями, но с некоторыми акцентами и нюансами, что начинаешь подозревать: это ошибка или какое-то новомодное название, которое тебе раньше не попадалось? 🤔 "Vulnerability Information and Event Management"? Или "Vulnerability Intelligence and Exposure Management"? Или ещё какая-нибудь комбинация. 😏 С консалтеров типа Gartner, IDC и Forrester станется придумать ещё одну "нишу". Красиво же: SOC и VOC, в которых используется SIEM и VIEM. 😅

@avleonovrus #VIEM #fun #МБС #vacancy

У компании Алтэкс-Софт вышла новая версия сканера уязвимости RedCheck 2.11. Что там нового?

🔹 Мультитенантность. Теперь можно ограничивать доступ пользователей к хостам и задачам сканирования. Это важный шаг для реализации своего "облачного VM-а" (а-ля Qualys и TenableVM) или решения для MSSP. Хоть я и не уверен, что Алтэкс-Софт туда идут. 🙂

🔹 Возможность добавлять свои Lua-скрипты для пентест-проверок. Nmap-совместимые. 😉

🔹 Возможность добавлять свои YARA-правила. В первую очередь для детектирования малварей, но и возможности YARA этим не ограничиваются.

🔹 Новые сборки RedCheck теперь выходят только под Linux. Поддерживается установка на отечественные ОС и Debian.

🔹 Остальные фичи - это улучшение работы SCAP-движка, массовых операций, отчётов, расписаний, расширение контента (+ Alpine, >30 наименований 3rdParty Linux ПО, новые Docker-образы).

Видяшка по новым фичам пока не выходила. Ждём. 🙂

@avleonovrus #AltxSoft #RedCheck

Посмотрел отчёт "The Forrester Wave: Unified Vulnerability Management Solutions, Q3 2025". Только я поиронизировал сегодня, что для VM-а существует множество странных синонимов, как вот вам ещё один: "Unified" VM от Forrester. 🙃

🔹 UVM-решения должны "консолидировать детектирование уязвимостей и устранение уязвимостей". Но сами детектировать уязвимости не обязаны, могут использовать third-party источники.

🔹 Наибольший вес в сравнении Forrester отдают Vision, Innovation и Roadmap. 😅 А качество детектирования практически никак не учитывается. 🤷‍♂️

🔹 В лидерах вендоры, которые, судя по описанию, не имеют своих детектов: Armis и ServiceNow. 😏 Ну и ещё Tenable.

🔹 Для каждого из 10 вендоров приводятся описание, стратегия, возможности, фидбэк от пользователей и мнение Forrester. Полезность так себе, но почитать можно.

➡️ Репринт на сайте Tenable (в анкету можно вводить мусор)

@avleonovrus #Forrester #UVM #Armis #ServiceNow #Tenable #Rapid7 #Qualys #Nucleus #Microsoft #CrowdStrike #Brinqa #Balbix

Эксплуатация ToolShell (CVE-2025-53770) на серверах NNSA. Пока самая интересная жертва атак с эксплуатацией трендовой уязвимости SharePoint - Национальное управление по ядерной безопасности США (National Nuclear Security Administration, NNSA). Пресс-секретарь Министерства энергетики США (Department of Energy, DOE), в которое входит NNSA, заявил следующее:

"В пятницу, 18 июля, эксплуатация уязвимости нулевого дня Microsoft SharePoint начала затрагивать Министерство энергетики, включая NNSA. [...] Пострадало очень небольшое количество систем. Все затронутые системы DOE восстанавливаются. NNSA принимает необходимые меры для снижения риска и перехода на другие решения по мере необходимости."

NNSA управляет запасами ядерного оружия США, включая его тестирование и безопасную транспортировку, занимается ядерными силовыми установками, термоядерным синтезом и т.д.

Немерено секретной информации! И при этом SharePoint. 🤷‍♂️ И, видимо, где-то на периметре. 🤡🤦‍♂️

@avleonovrus #ToolShell #SharePoint #thoseamericans

Интригующие статьи про CVSS от Kaspersky. Ссылки на вполне годные статьи на днях опубликовали в канале Kaspersky B2B:

🔹 В первой рассматривают историю развития стандарта и общие принципы оценки уязвимостей с помощью CVSS.

🔹 Во второй описывают основные проблемы при работе с CVSS. Проблемы сводятся к тому, что CVSS - это субъективная оценка критичности самой уязвимости, а не оценка риска эксплуатации этой уязвимости в инфраструктуре. Нельзя по одному CVSS сделать вывод, какую уязвимость следует устранять в первую очередь. Уязвимость со средним CVSS, но на критичных хостах, вполне может привести к компрометации всей инфраструктуры организации.

А где интрига? В том, что решение проблем CVSS они видят в продуктах типа RBVM ("Risk-Based" VM). Ещё одна аббревиатура. 😉 Такого продукта в портфеле Kaspersky сейчас нет, но ходили слухи, что они над ним активно работают. Похоже на маркетинговый "прогрев" перед скорым релизом. 🤔

Лично я уже прогрелся и с нетерпением жду. 🙂🔥

@avleonovrus #Kaspersky #CVSS #RBVM

Кибероружие следует сдавать государству. Продолжу накидывать аргументы за централизацию репортинга уязвимостей через государственного регулятора. Давайте проведём аналогию между уязвимостями и оружием. Идея не нова, термин "cyberweapon" употребляется десятки лет.

Если человек идёт по дороге и видит, допустим, пистолет, что он вправе с ним легально сделать? Может ли он его использовать по своему усмотрению? Может ли он его продать? Может ли он его вывезти за пределы страны?

Ну ведь, нет же, правда? 🙂 Единственное, что он вправе сделать - это сообщить о нём в полицию или отнести его в полицию самостоятельно. Т.е. передать государственной службе, которая примет решение, что да, это действительно оружие, и распорядится им правильным образом.

Тогда почему сейчас считается нормальным передавать уязвимости ("кибероружие") разработчикам ПО из недружественных стран? Вместо использования этой важной информации во благо нашей страны? Как по мне, это следует изменить.

@avleonovrus #dewesternization #research #ИНД

Нетрадиционное использование комплаенс-сканирования. Как правило, комплаенс-сканирование в организации преследует две цели:

🔹 Удостовериться, что настройки сетевых хостов удовлетворяют регуляторным требованиям.

🔹 Проверить хосты на соответствие требованиям практической безопасности (харденинга), чтобы максимально усложнить эксплуатацию уязвимостей на этих хостах.

Иногда эти цели совпадают, иногда не особо. 😉 Но есть и третья цель:

🔻 Удостовериться, что настройки хостов позволяют средствам защиты информации работать адекватно.

В качестве примера можно привести статью моего коллеги по PT ESC, Романа Чернова, о настройке аудита на Linux-хостах таким образом, чтобы данных было достаточно для надёжного детектирования инцидентов SIEM-ом.

Как можно видеть на схеме, отслеживать корректность настроек логирования в Linux не так-то просто. 😱 Но эту задачу можно решать автоматизированно с помощью комплаенс-сканов MaxPatrol HCC. 😉

@avleonovrus #PositiveTechnologies #MaxPatrolVM #HCC

Не может быть, оказывается MAX не pivacy-driven messenger! 😱😆 Раньше про MAX набрасывали, что он небезопасный. После объявления багбаунти перестали. 🙂🤷‍♂️ Теперь разгоняют, что MAX "неприватный". Для пруфов ковыряют Android-клиент и скринят текст EULA. 😏

Моё мнение такое:

🔹 Собирает ли MAX информацию о пользователях? Безусловно. Как и любое приложение "фонарик" на вашем устройстве. Зачем? В основном, чтобы показывать вам релевантную рекламу в сервисах VK. По сравнению с тем, что собирают операционные системы и веб-браузеры это крохи и ни о чём.

🔹 Сообщит ли MAX о ваших тёмных делишках в правоохранительные органы? 🌚 Если от этих органов придёт запрос, то сообщит. Как и любой другой мессенджер и веб-сервис. 🤷‍♂️

🔹 Мог бы MAX быть privacy-driven? Как условный Signal? Или An0m? 😉 В принципе да. Но задача создать инструмент, которым могли бы безбоязненно пользоваться всякого рода злодеи и не ставилась. 😏 Наоборот, злодеям в нём должно быть МАКСимально некомфортно. 😈

@avleonovrus #MAXmessenger #Privacy

Иногда общение стоит минимизировать. Главная проблема в работе с уязвимостями - это НЕ сами уязвимости. Это необходимость постоянно общаться с людьми, которые этого общения не хотят и которым ты не нравишься. 🫩 Это актуально и при пушинге устранения уязвимостей в инфраструктуре, и при сдаче-приёмке уязвимостей, найденных в ходе багбаунти.

Поэтому я сторонник того, чтобы неприятное общение максимально сокращать и формализовывать. Игры в "докажи-покажи" отнимают массу сил и времени, а когда общение неизбежно заходит в тупик, обе стороны всё равно начинают действовать формально. 🤷‍♂️ Так почему бы не поступать так с самого начала? 😏

➡️ В качестве примера рекомендую ознакомиться с эпичной историей, как Игорь Агиевич сдавал уязвимость в блокчейне Hyperledger Fabric (CVE-2024-45244). Имхо, вместо общения в такой ситуации было бы достаточно скинуть вендору ресёрч и PoC, выждать 3 месяца, зарегать CVE и, без особых рефлексией, сделать full disclosure. 🤷‍♂️😈

@avleonovrus #VMprocess #bugbounty #disclosure

Вы точно знаете своих удалёнщиков? Как хитрые товарищи из одной изолированной страны зарабатывают сотни млн. $ и усиливают кибероперации, используя западную расслабленность и любовь к удалённой работе? 💸😏

🔹 Они натаскивают своих ІТ-шников.

🔹 Перевозят их в нейтральные страны с быстрым интернетом.

🔹 Трудоустраивают в западные компании, преимущественно в американские.

🔹 ІТ-шники (тысячи их!) усердно работают работу, перечисляя большую часть своих западных зарплат в пользу Родины. Параллельно сливают данные и дают доступ к инфраструктуре работодателей. Двойной профит! 🤑

А требования в вакансиях к наличию гражданства и работе только из США? 🥸 Легко обходятся! 😏 На днях американку приговорили к 8,5 годам за поддержание фермы из 90 ноутбуков для имитации работы из США.

Бороться с этим возможно только отменой удалёнки и значительным усилением background checks. Но компании вряд ли на это пойдут. И не стоит забывать про проблему многочисленных подрядчиков. 😉

@avleonovrus #recruting #insiders #thoseamericans

Отключил реакции в своих каналах и другим авторам советую. 😉 Давным-давно Павел Дуров презентовал технические ограничения Телеграм-каналов как специально задуманную фичу:

Каналы - это чистая односторонняя коммуникация!

Никакого ненужного шума от лайков и комментов. Только вы, ваши сообщения и читатели, которые на вас подписаны... 😇

Но потом появились и реакции, и комментарии, и даже сторисы... 🙄

Теперь сообщения практически во всех каналах обрамлены "облаком общественного одобрения и неодобрения", которое стало частью сообщения.

🔹 Читатели подспудно соотносят своё восприятие сообщения с чужими реакциями.

🔹 Для автора реакции становятся источником дешёвого дофамина ("Ура, ИМ понравилось! 🤩 Я молодец! Нужно ещё похожего написать, чтобы ещё полайкали! 😊") или расстройств, когда минусуют.

И всё это от пары десятков анонимных кликов по эмоджи! Которые элементарно накручиваются. Ну, бред же! Бреед! 🤪

Теперь с обратной связью прошу в комменты live-канала или личку. 😉

@avleonovrus #Telegram #reactions

Июльский Linux Patch Wednesday. В этот раз 470 уязвимостей, чуть меньше, чем в июне. Из них 291 в Linux Kernel. Для одной уязвимости есть признаки эксплуатации вживую (CISA KEV):

🔻 SFB - Chromium (CVE-2025-6554)

Ещё для 36 (❗️) уязвимостей доступны публичные эксплоиты или имеются признаки их существования. Из них можно выделить:

🔸 RCE - Redis (CVE-2025-32023), pgAdmin (CVE-2024-3116), Git (CVE-2025-48384)
🔸 EoP - Sudo (CVE-2025-32462, CVE-2025-32463)
🔸 PathTrav - Tar (CVE-2025-45582)
🔸 XSS - jQuery (CVE-2012-6708)
🔸 SFB - PHP (CVE-2025-1220)
🔸 DoS - LuaJIT (CVE-2024-25177), Linux Kernel (CVE-2025-38089)
🔸 MemCor - DjVuLibre (CVE-2025-53367)

🗒 Полный отчёт Vulristics

@avleonovrus #LinuxPatchWednesday #Vulristics #Linux #Chromium #CISAKEV #Redis #pgAdmin #Git #Sudo #jQuery #PHP #LuaJIT #LinuxKernel #DjVuLibre #Tar

Сколько тратить на ИБ? После каждого громкого ИБ-инцидента - будь то прекращение работы сети вино-водочных магазинов или остановка авиарейсов - общественность вопрошает: кто виноват и что делать?

Как по мне, ответы очевидны:

🔹 Виноват всегда гендир. Такая у него должность. 🙂

🔹 Компаниям следует начать тратить на ИБ ГОРАЗДО БОЛЬШЕ денег, чем раньше. 💰 В первую очередь на кибергигиену (включая VM), Zero Trust и резервные "бумажные" процессы работы на случай, когда (а не если) вся IT ляжет.

И сколько же тратить? Однажды о. Дмитрий Смирнов на вопрос телезрительницы "какую часть зарплаты нужно жертвовать на храм" в эпатажной манере ответил, что "всю зарплату". 🤯😱🤔 А уже потом перешёл к "доброхотности даяния". Мне кажется, метод стоит перенять и начинать с тезиса, что организации должны тратить на ИБ все имеющиеся средства (и будет мало!). А уж затем оценивать стоимость недопустимых событий и простоя...

В любом случае, на ИБ следует тратить не меньше, чем на IT. 😉

@avleonovrus #budgeting #incidents