🐁В интернете зафиксирована масштабная кампания по заражению сетевого оборудования с помощью усовершенствованного стелс-модуля.

Исследователи кибербезопасности обнаружили новую вредоносную программу, которая тайно захватывает контроль над сетевыми роутерами и другими устройствами. Целями атаки становятся популярные модели производителей DrayTek, TP-Link, Raisecom и Cisco.

Кампания, проявляющая активность в течение июля 2025 года, использует старый, но эффективный метод: эксплуатацию уязвимостей в веб-интерфейсах устройств. Злоумышленники отправляют специально сформированные HTTP-запросы на незащищенные роутеры, что позволяет им выполнять произвольные команды без необходимости ввода логина или пароля.

➡️Как работает атака?
Атака начинается с простого HTTP-запроса на уязвимый endpoint (точку входа) веб-интерфейса роутера. Например, на роутерах TP-Link Archer AX21 эксплуатируется параметр country, в который подставляется вредоносная команда.

Эти команды заставляют устройство загрузить и запустить специальный скрипт-загрузчик, уникальный для каждой модели роутера. Этот скрипт, в свою очередь, скачивает из интернета основной вредоносный модуль, который предоставляет злоумышленникам полный удаленный контроль над устройством с правами root.

💫«Gayfemboy»: наследник Mirai, но опаснее

Новый malware, получивший от исследователей название «Gayfemboy», является эволюционным продолжением печально известного ботнета Mirai. Однако, он обладает ключевыми улучшениями в области скрытности и модульности.

Для избежания обнаружения вредоносные файлы маскируются под безобидные и названы в соответствии с архитектурами процессоров: aalel для ARM (AArch) и xale для x86-64. Кроме того, код упакован с помощью модифицированной версии утилиты UPX, что затрудняет его автоматический анализ антивирусными системами.

⤵️Глобальный масштаб
Жертвы зафиксированы в Бразилии, Мексике, США, Германии, Франции, Швейцарии, Израиле и Вьетнаме, а среди пострадавших секторов — производство и медиаиндустрия.

Для доставки payload (полезной нагрузки) злоумышленники используют два протокола: HTTP и более простой TFTP, что гарантирует успех даже в сетях с ограниченным исходящим трафиком. Весь вредоносный трафик исходит из двух ключевых узлов: хост для загрузки (220.158.234.135) и источник атакующих запросов (87.121.84.34).

"Универсальный ключ от любой системы."

KitHack

Kithack — это фреймворк, предназначенный для автоматизации процесса загрузки и установки различных инструментов для тестирования на проникновение, со специальной опцией, позволяющей генерировать кроссплатформенные бэкдоры с помощью Metasploit Framework.

📕 Характеристика:
➖ Большой выбор утилит для фишинга
➖ Большой выбор утилит для генерации APK-backdoor'ов
➖ Может брутфорсить пароли
➖ Позволяет аттаковать Wi-Fi
➖ Имеет удобный для новичков интерфейс

💻 Установка:

git clone https://github.com/AdrMXR/KitHack.git

cd KitHack

Заходим в файл install.sh и редактируем следующие строки:

pip3 install requests --break-system-packages
pip3 install py-getch --break-system-packages
sudo apt-get install python3-tk
pip3 install pathlib --break-system-packages
pip3 install zenipy --break-system-packages
pip3 install pgrep --break-system-packages
sudo apt-get install libatk-adaptor libgail-common
sudo apt-get purge fcitx-module-dbus

(это строки с 286-293)
Далее запускаем скрипт:

sudo bash install.sh

sudo python3 KitHack.py

Затем можно запустить как обычную утилиту

KitHack

Затем обновляемся

sudo bash update.sh

📌 Использование:

KitHack

или

sudo python3 KitHack.py

Метод взаимодействия схож с Metasploit, выбираем из списка нужный нам каталог и затем выбираем программу, на выбор их очень много.

Frida — Инструмент для динамической инструментализации приложений

Frida — это гибкий инструмент командной строки, позволяющий встраивать собственные скрипты в работающие приложения для анализа их поведения в реальном времени. Он используется исследователями безопасности, реверс-инженерами и разработчиками для изучения и модификации приложений без изменения исходного кода.

👑 Основные возможности Frida

➡️ Широкая поддержка платформ
🔴Android, iOS, Windows, macOS, Linux, QNX и другие.
🔴Поддержка архитектур x86, x64, ARM, ARM64, MIPS.

➡️ Динамическое внедрение скриптов
🔴Написание хуков на JavaScript, Python, C и других языках.
🔴Изменение функций, мониторинг API и перехват данных «на лету».

➡️ Набор CLI-инструментов
🔴frida-trace для трассировки функций.
🔴frida-ps для просмотра процессов.
🔴frida-ls-devices для управления подключениями.

➡️ Встроенный движок Gum
🔴 Обеспечивает интерцепцию функций, отслеживание инструкций (Stalker), анализ памяти.


🔴 Установка и использование

🕷️ Установите Frida:

pip install frida-tools

🕷️ Запустите сервер на устройстве (например, Android):

adb push frida-server /data/local/tmp/
adb shell chmod 755 /data/local/tmp/frida-server
adb shell "/data/local/tmp/frida-server &"

🕷️ Подключитесь и начните трассировку:

frida-trace -U -i "open*" com.example.app

👀 Почему Frida?
• Позволяет изучать приложения без их пересборки.
• Поддерживает скриптинг и автоматизацию.
• Работает на множестве платформ и архитектур.
• Идеален для анализа, отладки и тестирования безопасности.

📢 На прошлой неделе в СМИ появились сообщения о том, что Google якобы массово уведомляет всех 2,5 миллиарда пользователей Gmail о необходимости срочно сменить пароли из-за серьезной утечки данных. Как выяснилось, эти заявления являются ложными и основаны на неверной интерпретации реальных событий.

➡️Источник путаницы - два разных инцидента
Путаница возникла из-за двух отдельных событий, которые были ошибочно связаны между собой:
▪️Реальный инцидент с Salesforce в июне 2025 г.: группа хакеров UNC6040 (ShinyHunters) провела атаку на корпоративную систему Salesforce, которую использует Google. Инцидент был локализован и похищенные данные (названия компаний и контактная информация B2B-клиентов) не затронули потребительские аккаунты Gmail, пароли или финансовую информацию.
▪️Не связанный взлом Salesloft: в то же время в СМИ упоминался взлом другой платформы - Salesloft, который также якобы затронул данные Google. Этот инцидент не имеет прямого отношения к безопасности Gmail.

На основе этих событий некоторые СМИ сделали неверный вывод о том, что Gmail подвергся массовой утечке, и Google начал принудительно сбрасывать пароли всем пользователям, что не соответствует действительности.

➡️Официальное опровержение Google
На этой неделе представители Google были вынуждены опубликовать официальное заявление в блоге компании, чтобы развеять мифы.

«Хотим заверить наших пользователей, что защита Gmail надежна и эффективна. Недавно в сети появился ряд недостоверных заявлений, в которых ошибочно утверждалось, что мы выпустили массовое предупреждение для всех пользователей Gmail о серьезной проблеме с безопасностью Gmail. Это совершенно не соответствует действительности», — заявили представители Google.

Компания подчеркнула, что ее системы безопасности по-прежнему блокируют более 99,9% попыток фишинга и вредоносных программ, не позволяя им достичь пользователей.

➡️Суть реального предупреждения Google
Широкое предупреждение о безопасности, которое Google действительно рассылал, было проактивным и рекомендательным, а не экстренным и обязательным к исполнению. Оно было связано с инцидентом в Salesforce и риском последующих целевых фишинговых атак.
▪️Включите двухфакторную аутентификацию (2FA) - это критически важный уровень защиты, который не позволит злоумышленникам получить доступ к вашему аккаунту, даже если они узнают ваш пароль.
▪️Будьте бдительны к фишингу - опасайтесь подозрительных писем, сообщений или звонков с запросом личной информации, логинов или кодов 2FA. Злоумышленники могут использовать украденную в инциденте с Salesforce информацию (например, название вашей компании) для персонализации атак.
▪️Используйте менеджер паролей - создавайте надежные и уникальные пароли для каждого сервиса.

Открытие осеннего сезона и новые задания на платформе HackerLab!

Сезонный рейтинг:
С сегодняшнего дня вы можете побороться за лидирующие позиции рейтинга в новом сезоне на нашей платформе.

🎁 Призы и список призовых мест будут объявлены позже - следите за обновлениями!

📆 Сезон завершается 30 ноября
————————————
🚩 Новые задания на платформе HackerLab!

🎢 Категория Разное — Осудительное поведение

👩‍💻 Категория Pentest Machines — GreenEdge
——————————————

🗂 В архив добавлены задания с прошлых соревнований + райтапы:

🟠Веб - Секретник
🟠OSINT - Шаги по следу

Приятного хакинга!

Минцифры опубликовало список сайтов и сервисов, которые БУДУТ работать во время блокировок

📌Минцифры сообщило, что операторы связи в пилотном режиме обеспечивают доступность в периоды ограничений работы мобильного интернета следующих ➖сервисов и сайтов:
➖сервисы Госуслуг;
➖сервисы «ВКонтакте», «Oдноклассники», Mail.ru и национальный мессенджер Max;
➖сервисы Яндекса (какие именно не уточняется);
➖маркетплейсы Ozon и Wildberries;
➖Avito;
➖Дзен;
➖Rutube;
➖официальный сайт платёжной системы Мир;
➖сайты Правительства и Администрации ➖Президента России;
➖федеральная платформа дистанционного электронного голосования (ДЭГ);
➖операторы связи Билайн, МегаФон, МТС, Ростелеком, T2 (личные кабинеты операторов связи «большой чётверки» — МТС, «МегаФона», «Т2 РТК Холдинга» (бренд Т2) и «ВымпелКома» (бренд «Билайн)).

По доп. данным, также будут доступны:
сервисы Сбербанка, Альфа-банка, Т-банка, Газпромбанка и Национальной системы платежных карт (НСПК);
➖«Кинопоиск»;
➖онлайн-карты 2GIS;
➖сайт магазина «Магнит».

📕Список будет дополняться. Представители «МегаФона» и «ВымпелКома» сообщили СМИ, что механизм, обеспечивающий доступ клиентам к сайтам из «белого» списка уже работает на их сетях.
Как это будет работать?

Минцифры и операторы связи разработали специальное техническое решение, позволяющее не блокировать такие ресурсы.
Операторы уже обеспечивают доступ к этим сервисам в пилотном режиме. Для доступа к интернет‑ресурсам не требуется дополнительной идентификации и прохождения капчи.

Зачем это сделано?

Мера позволит уменьшить для граждан неудобства, вызванные необходимыми для обеспечения безопасности отключениями мобильного интернета.

Mobile Security Framework (MobSF): Универсальный инструмент для мобильной безопасности

Mobile Security Framework (MobSF) — это платформа для тестирования безопасности мобильных приложений, включающая в себя статический и динамический анализ, анализ вредоносного ПО и оценку безопасности. Она помогает специалистам по тестированию на проникновение, разработчикам и исследователям безопасности быстро и эффективно находить уязвимости в мобильных приложениях.

Основные возможности MobSF
1️⃣ Статический анализ (SAST)
• Поддерживает анализ APK, IPA, AAB, APPX и исходного кода. Позволяет выявлять жёстко прописанные секреты, слабую криптографию, небезопасное хранение и избыточные разрешения.
2️⃣ Динамический анализ (DAST)
• Выполняется в эмуляторах Android (и частично iOS) с возможностью мониторинга сетевых запросов и поведения приложения в runtime. Однако полноценный DAST на реальных устройствах iOS не поддерживается.
3️⃣ Анализ бинарников и вредоносных программ
• Декомпиляция приложений и анализ без доступа к исходному коду. Выявляет встроенные вредоносные компоненты, трекеры, подозрительные поведения.
4️⃣ API-инспектор (Web API Viewer)
• Отображает конечные точки API, заголовки запросов/ответов, параметры и механизмы аутентификации для ручной проверки.
5️⃣ Автоматизация и интеграция в DevSecOps
• CLI и REST API позволяютстроить автоматическое сканирование в CI/CD, делать безопасность встроенной частью процесса разработки.

⬇️ Установка и запуск

Рекомендуемый способ — через Docker:

docker pull opensecurity/mobile-security-framework-mobsf:latest
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest

➡️ После запуска MobSF доступен по адресу https://127.0.0.1:8000.
➡️ Стандартные учетные данные: mobsf/mobsf

Краткий гайд по работе с MobSF

➡️ Запустите MobSF (Docker или скрипты)
➡️ Откройте веб-интерфейс (обычно localhost:8000)
➡️ Загрузите APK, IPA, бинарник или исходный код
➡️ Анализ — отчёты по уязвимостям, API, поведению
➡️ Проанализируйте отчёт: уязвимости, рекомендации, сетевые запросы

⚠️ Различные блоги отмечают, что анализ отчёта может быть обширным, но MobSF отлично подходит в качестве стартовой отправной точки для тестирования безопасности.

Slither: Статический анализатор для умных контрактов, повышающий безопасность и качество кода

Slither — это современный фреймворк для статического анализа, написанный на Python 3. Он предназначен для глубокого тестирования умных контрактов, написанных на Solidity. В отличие от динамического анализа (например, фаззинга), который выполняется во время работы программы, статический анализ изучает исходный код без его выполнения, выявляя уязвимости, баги и отклонения от лучших практик на ранних стадиях разработки.

➡️Slither предлагает комплексный подход к анализу кода, выходящий далеко за рамки простой проверки синтаксиса.
🟡инструмент содержит предустановленные детекторы, способные находить более 100 типов распространенных уязвимостей, включая: переполнения/исчерпания целочисленного типа (Integer overflows/underflows), перезапись владельца контракта (Ownable contract misuse), доступ к неинициализированным указателям на структуры хранилища.
🟡Slither способен строить графы наследования, графы вызовов функций и диаграммы зависимостей. Это неоценимо для понимания архитектуры сложных проектов, особенно при работе с незнакомым кодом. Он помогает разработчикам увидеть «общую картину» и выявить сложные взаимосвязи, которые могут скрывать логические ошибки.
🟡благодаря командной строке и возможности запуска в автоматическом режиме, Slither легко интегрируется в конвейеры непрерывной интеграции и доставки (CI/CD). Это позволяет проводить автоматические проверки безопасности при каждом коммите, предотвращая попадание потенциально опасного кода в основную ветку.
🟡одно из главных преимуществ Slither — его гибкость. Разработчики могут легко писать собственные детекторы и принтеры, используя богатый API фреймворка. Это позволяет адаптировать инструмент под специфические требования проекта и находить узкоспециализированные шаблоны ошибок.

📎Техническая механика Slither впечатляет:
- Slither сначала компилирует целевой контракт Solidity, используя solc.
- внутренний компилятор Slither преобразует скомпилированный код в собственное промежуточное представление под названием SlithIR.
- анализатор работает с этим промежуточным представлением, применяя к нему статические методы анализа потока данных (data-flow analysis) и статический анализ одиночного присваивания (Static Single Assignment, SSA). Это позволяет точно отслеживать, как данные и управление перемещаются по контракту.
- на основе этого анализа Slither запускает все активные детекторы и принтеры, генерируя понятный и структурированный отчет для пользователя.

🔖Несмотря на мощную внутреннюю архитектуру, начать использовать Slither очень просто. Он устанавливается как пакет Python через pip:

pip install slither-analyzer

Проверяем

slither -h

Запуск базового анализа для контракта в текущей директории осуществляется одной командой:

slither .

👌 Результатом будет детальный отчет с классификацией найденных проблем по уровню серьезности (High, Medium, Low, Informational) и ссылками на соответствующие материалы для их исправления.

‼️ Исследователи из компании ESET обнаружили первую программу вымогатель PromptLock, написанную на базе искусственного интеллекта. Программа использует скрипты на языке Lua для кражи и шифрования данных в системах Windows, macOS и Linux. Кроме того, вымогатель использует свободно доступную языковую модель, доступ к которой осуществляется через API. Это означает, что сгенерированные вредоносные скрипты передаются непосредственно на заражённое устройство.

🔺 Принцип работы
🔺PromptLock написан на Golang и использует API Ollama для доступа к большой языковой модели gpt-oss:20b. Сама модель размещена на удалённом сервере, доступ к которому злоумышленник получет через прокси туннель.
Вредоносная программа использует жестко запрограммированные промпты, заставляющие модель динамически генерировать вредоносные скрипты на языке Lua для следующих целей:
🔺 перечисление файлов в локальной файловой системе;
🔺 проверка целевых файлов;
🔺 кража данных;
🔺 шифрование файлов с использованием нетипичного для программ вымогателей алгоритма SPECK;
🔺 уничтожение данных (в текущих версиях не реализована).

🔺Специалисты ESET сообщили, что данное ВПО не было обнаружено в реальных атаках и скорее является прототипом и экспериментальной программой. Некоторые признаки, указывающие на это:
🔺 использование слабого алгоритма шифрования;
🔺 жестко запрограммированный биткоин адрес;
🔺 нереализованная функция уничтожения данных.

🔺Таким образом, появление PromptLock свидетельствует о том, что искусственный интеллект может быть использован в качестве оружия в вредоносных программах, предлагая кроссплатформенные возможности, гибкость, новые способы уклонения от антивирусных программ и снижая порог вхождения для злоумышленников.

Запускаем новый курс — DevSecOps на практике

⚙️ Знаете, в чём главная фишка DevSecOps?
Безопасность перестаёт быть «тормозом» для разработки. Вместо бесконечных проверок «после релиза» — всё встроено в пайплайн. Код проходит SAST, контейнер — сканируется, инфраструктура — проверяется на compliance. В итоге релизы выходят быстрее, а не медленнее.

Именно об этом наш новый курс:
🟡9 модулей, 48 занятий, 90% практики;
🟡инструменты: Docker, Kubernetes, Terraform, Vault, Ansible, Prometheus;
🟡финальный экзамен в стиле OSCP — только реальные задачи;
🟡опыт авторов: внедрение Zero Trust, построение SOC, DevSec-инструменты для Burp Suite.

❓ Узнать подробнее о курсе

🗓 Старт первого потока — 10 ноября 2025 со скидкой 10%: 125 990 ₽ 113 391 ₽

По данным Gartner, за последние 3 года запрос на специалистов DevSecOps вырос в разы. Компании осознали: «сначала сделать, потом чинить» — слишком дорого. Поэтому инженеры, которые умеют внедрять безопасность в CI/CD, сегодня — одна из самых востребованных профессий в ИБ и DevOps.

⬇️ Записаться со скидкой
🥇 @CodebyManagerBot

🎩 Белые хакеры в РФ - В С Ё!

🛡 Минцифры предоставили второй пакет мер по борьбе с кибермошенниками, в котором присутствует наложение запрет на распространение "информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования информации и (или) программ для электронных вычислительных машин, либо позволяющая получить доступ к программам для электронных вычислительных машин, предназначенным для несанкционированного уничтожения, блокирования, модификации, копирования информации и (или) программ для электронных вычислительных машин".

💻 Данная поправка может серьезно повлиять на деятельность "белых хакеров", "багхантеров" и других специалистов, которые пользуются публичными отчетами в своей деятельности и сами распространяют подобную информацию для развития российского ИБ-сообщества. Также на данный момент не понятно, что будет с TI и IR отчетами, которые также предоставляют различные способы кибератаках, которые были ранее замечены.

📋 Минцифры заявляют, что запрет не коснется деятельность "белых хакеров", а затронет лишь распространение информации о способах кибератак.

🉐 Еще этим летом госдума отклонила законопроект о легализации "белых хакеров", в котором не учитывались нормы безопасности КИИ и гостайны, а сегодня запрещает делиться отчетами о кибератаках.

🔺 Что будет дальше?

Hayabusa: Утилита для быстрого анализа журналов событий Windows

Hayabusa — это инструмент для быстрого анализа журналов событий Windows, ориентированный на создание временных шкал. Данная утилита использует правила Sigma для обнаружения атак и предоставляет удобные средства для анализа данных.

⚡️ Быстрый старт с Hayabusa

1️⃣ Установка утилиты
Скачайте последнюю версию Hayabusa с официальной страницы релизов на GitHub:

https://github.com/Yamato-Security/hayabusa/releases

2️⃣ Запуск утилиты
После загрузки и распаковки архива выполните команду для запуска утилиты:

hayabusa.exe

3️⃣ Основные команды
⏺️ csv-timeline: Создает временную шкалу событий в формате CSV.

hayabusa.exe csv-timeline -f eventlog.evtx

⏺️ json-timeline: Создает временную шкалу событий в формате JSON или JSONL.

hayabusa.exe json-timeline -f eventlog.evtx

⏺️ logon-summary: Выводит сводку по событиям входа в систему.

hayabusa.exe logon-summary -f eventlog.evtx

⏺️ search: Выполняет поиск по ключевым словам или регулярным выражениям в событиях.

hayabusa.exe search -f eventlog.evtx -k "mimikatz"

4️⃣ Пример запуска анализа
Для создания временной шкалы событий из файла eventlog.evtx в формате CSV выполните команду:

hayabusa.exe csv-timeline -f eventlog.evtx -o timeline.csv

🔍 Возможности анализа
• Фильтрация по времени: Укажите диапазон дат для анализа.

hayabusa.exe csv-timeline -f eventlog.evtx --timeline-start "2025-01-01 00:00:00" --timeline-end "2025-01-31 23:59:59"

• Использование профилей: Выберите профиль для настройки уровня детализации.

hayabusa.exe csv-timeline -f eventlog.evtx -p verbose

• Включение фильтра по Event ID: Ускоряет анализ, но может пропустить некоторые предупреждения.

hayabusa.exe csv-timeline -f eventlog.evtx -E

• Запуск только встроенных правил: Используйте встроенные правила для анализа.

hayabusa.exe csv-timeline -f eventlog.evtx -r rules/builtin