Уязвимость MadeYouReset в протоколе HTTP/2 позволяет проводить масштабные DDoS-атаки. Исследователи из компаний Imperva и Deepness Lab обнаружили новую критическую уязвимость в протоколе HTTP/2 и присвоили ей идентификатор CVE-2025-8671. Обнаружена 13 августа 2025 года.

Уязвимость MadeYouReset представляет собой усовершенствованную версию разрушительной атаки Rapid Reset, которая была обнаружена в 2023 году и считалась крупнейшей DDoS-атакой на тот момент.

📕 Предыстория
Уязвимость Rapid Reset связана с тем, как HTTP/2 управляет жизненным циклом потоков. Клиент быстро открывает и закрывает потоки с помощью кадров RST_STREAM. Особенность заключается в том, что сервер интерпретирует эти сбросы как завершение работы потока и освобождения ресурсов, включая счётчик активных потоков, который ограничивает количество одновременных запросов от клиента. Фактически же поток остается задействованным, то есть сервер продолжает обрабатывать данные и очищать память, хотя логически он считался завершённым.

Это создаёт лазейку: сервер считает, что у него достаточно ресурсов для обработки большего количества потоков, и продолжает принимать новые, увеличивая нагрузку на ресурсы. Массовое повторение этого цикла может привести к перегрузке даже самой отказоустойчивой инфраструктуры.

✍️ Принцип работы новой атаки
Атака использует встроенные в HTTP/2 механизмы параллельной обработки данных, позволяя злоумышленникам создавать практически неограниченную параллельную работу на серверах, обходя встроенное ограничение параллельной обработки данных в HTTP/2.

1️⃣Злоумышленник начинает со стандартного установления соединения по HTTP/2 и открытия нескольких потоков. Вместо использования RST_STREAM злоумышленник отправляет корректные по структуре, но логически некорректные последовательности кадров, которые нарушают правила протокола.

2️⃣Каждый из таких примитивов по-разному нарушает спецификацию HTTP/2, и в соответствии с RFC 9113 сервер должен отвечать кадром RST_STREAM при обнаружении ошибки PROTOCOL_ERROR. При этом количество потоков может формально оставаться меньше лимита, хотя на самом деле сервер продолжает обрабатывать значительное число активных потоков. Это приводит к чрезмерной нагрузке на процессор и память, что в конечном счёте вызывает полный отказ в обслуживании.

В отличие от традиционных атак типа отказа в обслуживании, требующих значительных ресурсов, MadeYouReset позволяет злоумышленникам добиться максимального сбоя в работе системы с минимальными усилиями со стороны атакующего.

❗️Выявлено, что уязвимость MadeYouReset затрагивает несколько широко используемых реализаций HTTP/2 серверов, в том числе Netty, Jetty, Apache Tomcat, IBM WebSphere и BIG-IP.

🛡 Рекомендации по защите
⏺️более строгая проверка протокола;
⏺️применение жёсткого отслеживания состояний потоков для
⏺️блокировки некорректных переходов;
⏺️внедрение ограничений скорости на уровне соединений;
⏺️использование систем обнаружения аномалий и поведенческого мониторинга.

🪄 Pixiewps

Утилита для подбора пароля к защищенной сети Wi-Fi оффлайн. Написана на языке C и используется для автоматического подбора PIN-кода WPS с использованием низкой или отсутствующей энтропии в некоторых программных реализациях (атака Pixie Dust, обнаруженная Домиником Бонгаром в 2014 году).

В отличие от традиционной онлайн-атаки методом перебора, реализованной в таких инструментах, как Reaver или Bully, которые позволяют восстановить PIN-код за несколько часов, этот метод позволяет получить PIN-код всего за секунды или минуты, в зависимости от цели, если она уязвима.

Pixie Dust — офлайновая атака на WPS PIN. WPS — это функция, упрощающая подключение к Wi-Fi. Некоторые чипсеты (особенно от Broadcom и Ralink) используют недостаточно случайные числа (или вообще фиксированные) при генерации криптографических параметров в WPS, что позволяет рассчитать WPS PIN мгновенно, без перебора всех 10⁷ вариантов.

Как проходит атака
1️⃣Злоумышленник запускает WPS handshake с точкой доступа. Использует утилиту (например, Reaver) для захвата Public Key, Nonce и других параметров, отправленных точкой доступа.
2️⃣Если точка доступа уязвима:
⏺️Утилита офлайн высчитывает WPS PIN.
⏺️Получает WPA-PSK пароль Wi-Fi.

🍽 Установка

git clone https://github.com/wiire/pixiewps 
#OR
wget https://github.com/wiire/pixiewps/archive/master.zip && unzip master.zip
cd pixiewps/
make
sudo make install

✏️ Примеры использования
Базовый вызов для проведения Pixie Dust-атаки.

pixiewps -e 1234567890ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890ABCDEF -r ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890 -s AABBCCDDEEFF11223344556677889900AABBCCDDEEFF11223344556677889900 -z 11223344556677889900AABBCCDDEEFF11223344556677889900AABBCCDDEEFF -a 99887766554433221100FFEEDDCCBBAA99887766554433221100FFEEDDCCBBAA -n 0102030405060708090A0B0C0D0E0F10

Все параметры передаваемые в флагах (-e, -r, -s, -z, -a, -n) являются значениями, полученными с помощью инструмента Reaver или Bully во время WPS-сессии.

Вывод в файл и повышенная детализация.

pixiewps -e <PKE> -r <PKR> -s <E-Hash1> -z <E-Hash2> -a <AuthKey> -n <EnrolleeNonce> -v 3 -o pixie-output.txt

Атаки на некоторые уязвимые реализации (например, Ralink).

pixiewps -e <PKE> -r <PKR> -s <E-Hash1> -z <E-Hash2> -a <AuthKey> -n <EnrolleeNonce>  -m <RegistrarNonce>

🔑 SessionGopher — Утилита для извлечения сохранённых сессий удалённого доступа

SessionGopher — это PowerShell-утилита, разработанная Brandon Arvanaghi (изначально для FireEye), которая помогает выявлять и расшифровывать сохранённую информацию о сессиях удалённого доступа, таких как WinSCP, PuTTY, SuperPuTTY, FileZilla и Microsoft Remote Desktop. Утилита умеет работать локально и удалённо через WMI.

1️⃣ Установка и подготовка
⏺️ Клонирование репозитория:

git clone https://github.com/Arvanaghi/SessionGopher.git
cd SessionGopher

⏺️ Убедитесь, что есть права администратора или аналогичные — доступ к HKEY_USERS необходим для извлечения данных о сессиях.

2️⃣ Запуск утилиты
Локально:

. .\SessionGopher.ps1
Invoke-SessionGopher -Thorough

Удалённо:

Import-Module path\to\SessionGopher.ps1
Invoke-SessionGopher -Target HOSTNAME -Thorough

По списку хостов:

Invoke-SessionGopher -iL computerlist.txt -u domain.com\admin -p SecretPassword -o

Параметры:
⏺️ -Thorough — включает поиск по всему диску .ppk, .rdp, .sdtid файлов
⏺️ -iL — список хостов
⏺️ -AllDomain — опрос всех доменных машин
⏺️ -Target — конкретная цель
⏺️ -o — вывод результатов в папку с CSV

3️⃣ Пример вывода (Thorough)

[+] Digging on Win7-Arvanaghi ...
WinSCP Sessions
Session  : [email protected]
Username : admin-anthony
Password : Super*p@ssw0rd

FileZilla Sessions
Password : imr34llytheFl@sh

PuTTY Private Key Files (.ppk)
Path : C:\Users\Brandon\mykey.ppk
Private Key: {...}

Microsoft Remote Desktop .rdp Files
Hostname : dc01.corp.hackerplaypen.com
Prompts for Credentials : No

Утилита позволяет извлечь пароли, приватные ключи и конфигурацию сессий.
Возможности и особенности
⏺️ Извлечение сессий: WinSCP, FileZilla, SuperPuTTY, PuTTY, RDP (.rdp) и RSA-файлы (.sdtid)
⏺️ Расшифровка сохранённых паролей и приватных ключей
⏺️ Поддержка удалённого выполнения с использованием WMI
⏺️ CSV-вывод для удобной автоматизации и аудита

⚠️ Обнаружены вредоносные пакеты PyPI и npm, использующие зависимости при Supply Chain атаках

🧑‍💻 Исследователи по кибербезопасности из Zscaler ThreatLabz обнаружили вредоносный пакет в репозиториях Python Package Index (PyPI), который выполняет вредоносную активность через зависимость, позволяющий выполнять вредоносный код.

📦 Пакет "termncolor" реализовывает вредоносную активность через пакет зависимостей "colorinal". На сегодняшний момент обе библиотеки не доступны на PyPI, но пакет "termncolor" был скачан 355 раз, а "colorinal" - 529 раз.

🔗 Как утверждают исследователи из Zscaler ThreatLabz, при данной атаке используется сторонняя загрузка DLL для облегчения расшифровки и Command and Control (C2) с управляющем сервером.

📁 В частности, полезная нагрузка развёртывает легитимный двоичный файл "vcpktsvr.exe" и DLL-библиотеку "libcef.dll", которая запускается с помощью стороннего DLL-загрузчика. DLL, в свою очередь, способна собирать системную информацию и взаимодействовать с сервером командования (C2) с помощью Zulip , чат-приложения с открытым исходным кодом, чтобы скрыть свою активность.

🦠 Также в атаках фигурируют пакеты npm "redux-ace" (163 загрузок) и "rtk-logger" (394 загрузок) , предназначенные для загрузки и запуска скриптов Python, сбора системной информации, сканирования файловой системы на наличие конфиденциальных файлов и другой вредоносной активностью.

"Твоя private zone — мой public domain."

CamXploit

Это разведывательный инструмент, разработанный для того, чтобы помочь исследователям и специалистам по безопасности проверить, не размещена ли на IP-адресе незащищённая камера видеонаблюдения. Он сканирует распространённые порты камер, проверяет страницы входа, тестирует учётные данные по умолчанию и предоставляет полезные ссылки для дальнейшего исследования.

📕 Характиристика:
1️⃣Сканирует открытые порты (стандартные порты для систем видеонаблюдения)
2️⃣Проверяет наличие камеры
3️⃣Если камера обнаружена, то: Идёт поиск страниц входа, Проверка учётных данных по умолчанию, Определение производителя камеры и уязвимостей, Обнаружение прямых трансляций (RTSP, RTMP, HTTP, MMS), Предоставление информации о местоположении с картами, Показ сведений о сервере и типов аутентификации
4️⃣Предоставляет URL-адреса для ручного поиска для более глубокого анализа

💻 Установка:
1️⃣

git clone https://github.com/spyboy-productions/CamXploit.git

2️⃣

cd CamXploit

3️⃣

pip3 install -r requirements.txt --break-system-packages

📌Запуск:
1️⃣

python CamXploit.py

2️⃣

Вводим ip-адрес камеры

Flipper Zero: универсальный гаджет для физического пентеста

Карманный гаджет, который стал угрозой для корпоративной безопасности и незаменимым инструментом пентестеров.

В новой статье разбираем ключевые возможности устройства:
🔵Тестирование RFID и NFC систем
🔵Проведение BadUSB-атак
🔵Перехват и анализ радиосигналов Sub-GHz
🔵Работу с инфракрасными интерфейсами

А также исследуем топ-приложения из официального магазина ➡️ читайте подробнее.

❗️Важно: все методы — только для легального тестирования с разрешения владельца!

Российская группа EncryptHub использует уязвимость MSC EvilTwin для развертывания вредоносного ПО Fickle Stealer

📌Злоумышленник, известный как EncryptHub, продолжает эксплуатировать уже исправленную уязвимость безопасности Microsoft Windows для доставки вредоносных программ.

1️⃣Trustwave SpiderLabs сообщила, что недавно обнаружила кампанию EncryptHub, сочетающую социальную инженерию и эксплуатацию уязвимости в фреймворке консоли управления Microsoft (MMC) (CVE-2025-26633, также известной как MSC EvilTwin) для запуска процедуры заражения через поддельный файл консоли Microsoft (MSC).

2️⃣EncryptHub, также известная как LARVA-208 и «Водяная Гамаюн», — российская хакерская группа, впервые получившая известность в середине 2024 года. Работая в высоком темпе, эта финансово мотивированная группа известна тем, что использует различные методы, включая поддельные предложения о работе, анализ портфолио и даже взлом игр Steam, для заражения целей вредоносным ПО для кражи данных.

3️⃣Использование злоумышленником уязвимости CVE-2025-26633 ранее было задокументировано компанией Trend Micro в марте 2025 года, когда были обнаружены атаки с использованием двух бэкдоров: SilentPrism и DarkWisp.
В последней последовательности атак злоумышленник выдаёт себя за сотрудника ИТ-отдела и отправляет целевой объект запрос Microsoft Teams с целью инициировать удалённое подключение и развернуть вторичную полезную нагрузку с помощью команд PowerShell.
Среди сброшенных файлов есть два файла MSC с одинаковым именем, один из которых безвреден, а другой — вредоносен, что используется для запуска уязвимости CVE-2025-26633, что в конечном итоге приводит к выполнению вредоносного файла MSC при запуске его безобидного аналога.
Файл MSC, со своей стороны, извлекает и выполняет с внешнего сервера другой скрипт PowerShell, который собирает системную информацию, устанавливает персистентность на хосте и взаимодействует с сервером управления и контроля (C2) EncryptHub для получения и запуска вредоносных полезных нагрузок, включая похититель под названием Fickle Stealer.
В ходе атаки злоумышленник также использовал загрузчик на основе Go под кодовым названием SilentCrystal, который использует Brave Support, легитимную платформу, связанную с веб-браузером Brave, для размещения вредоносного ПО следующего уровня — ZIP-архива, содержащего два MSC-файла для использования CVE-2025-26633 в качестве оружия.

🗡 Katana

Современный, высокопроизводительный веб-краулер и парсер, написанный на Go. Для успешной установки katana требуется Go 1.21+. Установить можно следующей командой:

CGO_ENABLED=1 go install github.com/projectdiscovery/katana/cmd/katana@latest

🏋️‍♀️ Поддерживает 2 режима работы:
Стандартный режим сканирования использует стандартную библиотеку go http для обработки HTTP-запросов и ответов. Этот режим намного быстрее, так как не требует дополнительных ресурсов браузера. Однако он анализирует только "сырое" тело ответа — без выполнения JavaScript и без рендеринга DOM. Из-за этого он может пропустить URL или точки входа, которые появляются только после загрузки страницы в браузере или в результате асинхронных запросов.

Headless режим перехватывает внутренние вызовы для обработки HTTP-запросов/ответов непосредственно в контексте браузера. Это даёт два преимущества:
⏺️Fingerprint клиента (TLS, User-Agent) полностью идентифицирует его как настоящий браузер.
⏺️Лучшее покрытие, поскольку эндпоинты обнаруживаются при анализе стандартного необработанного ответа, как и в предыдущем случае, а также при анализе ответа, отображаемого браузером с включенным JavaScript.

Headless сканирование не является обязательным и может быть включено с помощью -headless опции.

🕷 Использование
katana требует url или эндпоинт для сканирования и принимает один или несколько входных параметров. URL-адрес для ввода можно указать с помощью опции -u, а несколько значений можно указать через запятую. Аналогичным образом поддерживается ввод через файл с помощью опции -list, а также ввод через stdin.

При использовании режима headless могут понадобится следующие флаги:
-no-sandbox - полезен при запуске от имени пользователя root.
-no-incognito - полезен при использовании локального браузера.

Контроль области сканирования
-field-scope - самый удобный способ задать область видимости с помощью заранее заданного имени поля.
⏺️rdn — сканирование корневого домена и всех поддоменов (например, *example.com) (по умолчанию)
⏺️fqdn - сканирование в пределах заданного поддомена (например, www.example.com или api.example.com)
⏺️dn — сканирование по ключевому слову в доменном имени.

katana -u https://tesla.com -fs dn

-crawl-scope - расширенное управление областью видимости с поддержкой regex.

katana -u https://tesla.com -cs login

-crawl-out-scope - определение целей, которые не нужно сканировать. Также с поддержкой regex.

Обход аутентификации
Включение пользовательских заголовков или файлов cookie в HTTP-запросы для доступа к защищенным ресурсам. Эти заголовки содержат информацию об аутентификации или авторизации, что позволяет сканировать защищенный контент/эндпоинты.

katana -u https://tesla.com -H 'Cookie: usrsess=AmljNrESo'

Управление сканированием
Возможность указать глубину для отслеживания URL-адресов при сканировании.

katana -u https://tesla.com -d 5

Возможность включить анализ файлов JavaScript и сканирование эндпоинтов, обнаруженных в файлах JavaScript, по умолчанию отключена.

katana -u https://tesla.com -jc

Возможность включить автоматическое заполнение формы для известных/неизвестных полей. Значения известных полей можно настроить по своему усмотрению, обновив файл конфигурации формы по адресу $HOME/.config/katana/form-config.yaml.

katana -u https://tesla.com -aff

Записки цифрового ревизора: три кластера угроз в киберпространстве

❕ 4 сентября, 11:00 (МСК) — стрим Kaspersky Threat Intelligence с презентацией нового аналитического отчёта.

О чём поговорим:
🟢 актуальные ключевые угрозы для российского бизнеса
🟢 14 самых активных проукраинских группировок;
🟢 появление гибридного хактивизма как нового кластера активности сочетающего в себе признаки хактивисткой и APT группировки
🟢 как большинство группировок связаны между собой и складываются в три крупных кластера угроз

Спикеры:
— Никита Назаров, Руководитель отдела расширенного исследования угроз
— Александр Кириченко, Старший аналитик разведки киберугроз

Зачем вам быть на стриме:
— быстро разложите хаос угроз по полочкам (3 кластера → понятные решения)
— получите инсайты напрямую от практиков, чтобы скорректировать защиту уже сейчас

▶️ Регистрация

⏳ Четверг, 4 сентября, 11:00 (МСК). Подключайтесь и приходите с вопросами!

🤯 Новая модель GPT-5 - страх безопасников!

🧠 Новая версия ИИ-модели GPT-5 демонстрирует сенсационные способности в области кибербезопасности, взламывая защищённые системы в три раза быстрее и эффективнее, чем её предшественник GPT-4. По статистике, 70% уязвимостей GPT-5 находит с первого запроса, тогда как GPT-4 выявлял чуть больше 20%. Эта впечатляющая разница показывает качественный прорыв в скорости и точности взломов.

❗️ Еще одно важное отличие GPT-5 от предыдущих моделей - способность выполнять сложные атаки: XSS, SQLi, эксплойты и т.д.

😡 Эксперты отмечают, что GPT-5, сочетая мощь генеративного ИИ и кибератак, может значительно повысить угрозы кибербезопасности, требуя немедленного развития защитных технологий и новых стандартов защиты данных, но в то же время является серьезной угрозой, позволяющей увеличить количество кибератак в разы

💥 REcollapse

Представляет собой вспомогательный инструмент для фаззинга регулярных выражений методом чёрного ящика, который позволяет обходить проверки и обнаруживать нормализации в веб-приложениях. Также может быть полезен для обхода WAF и слабых механизмов защиты от уязвимостей.

Цель этого инструмента — генерация полезных нагрузок (payloads) для тестирования. Фактическое фаззинг-тестирование должно проводиться с помощью других инструментов, таких как Burp, Caido, ffuf и др.

Установить можно через python или docker следующими командами.

git clone https://github.com/0xacb/recollapse.git
cd recollapse
#Python 3
python3 setup.py install 
#Docker
docker build -t recollapse . 

⁉️ Объяснение параметров
Режимы работы
Предположим, что входная строка — this_is.an_example.
⏺️Вставка полезной нагрузки в начало строки: $this_is.an_example
⏺️Вставка байтов до/после символов-разделителей: this$_$is$.$an$_$example
⏺️Подстановка всех возможных байтов в соответствии с таблицей нормализаций.
⏺️Добавление нагрузки в конец строки: this_is.an_example$
⏺️Замена допустимых символов на регулярные метасимволы: .^$*+-?()[]{}\|
⏺️Замена символов на их нижний/верхний регистр или эквиваленты по таблице соответствий.
⏺️Замена символов на байты, вызывающие усечение строки при обработке.

Кодирование
⏺️URL-кодирование (используется в application/x-www-form-urlencoded, параметрах GET/POST): %22this_is.an_example
⏺️Unicode-кодировка (используется в application/json): \u0022this_is.an_example
⏺️Raw-формат (используется в multipart/form-data): "this_is.an_example
⏺️Двойное URL-кодирование: %2522this_is.an_example

Диапазон
Диапазон байтов для фаззинга: -r 1-127 позволит исключить буквенно-цифровые символы, если не указана опция -an (буквенно-цифровые символы).

Размер
Размер фаззинга для режимов 1, 2 и 4. По умолчанию выполняется фаззинг всех возможных значений для одного байта. Увеличение размера потребует больше ресурсов и приведет к созданию большего количества входных данных, но это может помочь найти новые обходные пути.

Таблицы
Используйте -nt параметр, чтобы отобразить таблицу нормализации, -ct параметр, чтобы отобразить таблицу регистров, и -tt параметр, чтобы отобразить таблицу усечения. Также можно использовать --html параметр для вывода таблиц в формате HTML.

recollapse -nt --html > normalization_table.html
recollapse -tt --html > truncation_table.html
recollapse -ct --html > case_table.html

👨‍💻 Примеры использования

recollapse -e 1 -m 1,2,4 -r 10-11 https://legit.example.com

echo "[email protected]" | recollapse 

echo "<svg/onload=alert(1)>" | recollapse | ffuf -w - -u "https://example.com/?param=FUZZ" -mc 200,403,500

У всех, кто сейчас работает в ИБ, тоже был первый шаг. Вот твой.

👢 Новинка от Codeby — курс «Основы кибербезопасности»

Старт потока: 24 ноября 2025 года
🔺Сразу к обучению

🔺Кибербезопасность — это больше, чем просто защита данных. Курс даст фундамент, с которого начинают карьеру в ИБ. Linux, сети, атаки, защита — всё, без чего не попасть в профессию.

Что вас ждёт:
🔺32 практических занятия с разбором реальных кейсов.
🔺Наставник, который помогает весь путь — не только по технике, но и по карьерным вопросам.
🔺 5,5 месяцев интенсивного обучения с фокусом на практику.

Вы научитесь:
• работать в Linux и Windows с прицелом на ИБ, строить и атаковать сети,
• понимать PowerShell, Wireshark, Kali Linux,
• проводить первые pentest-атаки, разбираться в SOC, SIEM и логах.

Курс подойдёт, если вы:
🔺 новичок в ИБ и не знаете, с чего начать,
🔺 IT-специалист, которому нужно усилить компетенции,
🔺 студент, тестировщик или системный админ — и хотите расти.

«Вы получите мышление безопасника. И это имеет ценность в 2025 году» — автор курса.

Готовы стать частью команды, которая 5 раз выиграла The Standoff?

Программа, наставник, скидки 🔺 Хочу узнать всё
✈️ @CodebyManagerBot

🚩 Новые задания на платформе HackerLab!

🔎 Категория OSINT — Солдат

👩‍💻 Категория Pentest Machines — DreamSanity
——————————————

🗂 В архив добавлены задания с прошлых соревнований + райтапы:

🟠Веб - 4chat
🟠Разное - Текст на клавишах

Приятного хакинга!