Очередной громкий взлом в мире децентрализованных финансов всколыхнул криптосообщество. На этот раз под удар хакеров попал Nemo Protocol, а сумма ущерба оценивается в $2,4 миллиона. Это происшествие вновь заставляет задуматься о безопасности DeFi-платформ, особенно тех, что построены на молодом блокчейне Sui.

💛Хронология инцидента
Ирония ситуации в том, что всего за день до инцидента, в воскресенье, команда Nemo успокаивала пользователей, сообщая о плановом техническом обслуживании на 8-9 сентября и заверяя, что все активы «остаются в полной безопасности». Однако уже в понедельнике ведущие компании по аудиту безопасности, PeckShield и CertiK, подняли тревогу, обнаружив подозрительную активность и масштабный отток средств из протокола. Команда Nemo была вынуждена подтвердить факт «инцидента с безопасностью», затронувшего рыночный пул.

💛Что известно о взломе?
- Официально Nemo цифры не назвала, но эксперты из CertiK и PeckShield единодушно оценивают потерю в ~$2,4 млн в различных токенах.
- По предварительным данным CertiK, атака, вероятно, была направлена на манипулирование ценами в кредитном протоколе Nemo. Это сложный вид атаки, при котором хакер искусственно меняет стоимость актива, чтобы обналичить средства пула.
- Все операции со смарт-контрактами были немедленно приостановлены. Команда заявила, что активы в основном хранилище не пострадали, и пообещала предоставить подробный отчет по итогам расследования.

💛Sui под прицелом
Это не первый инцидент на блокчейне Sui. Всего несколько месяцев назад, в мае 2025 года, другой протокол на Sui, Cetus (CETU), был взломан на колоссальные $223 млн. Тот случай вызвал жаркие споры о децентрализации, когда выяснилось, что сеть Sui технически может заморозить средства «по требованию», что противоречит одному из ключевых принципов DeFi.

Повторная крупная атака на протокол в той же экосистеме задает тревожный тренд и бросает тень на безопасность nascent-блокчейнов.

💛Пока команда Nemo разбирается с последствиями взлома, другая DeFi-платформа, Venus Protocol, показала пример эффективного реагирования. Им удалось вернуть $11,4 млн пользователю, ставшему жертвой фишинговой атаки 2 сентября.
Как выяснилось, злоумышленники через вредоносную версию Zoom получили доступ к компьютеру жертвы и смогли обманным путем заставить ее подписать транзакцию, которая назначила хакера делегатом ее счета. Это позволило преступнику брать займы и выводить средства от ее имени. Однако команда Venus среагировала молниеносно и вернула активы в течение 13 часов.

AdminDirectoryFinder

📕Admin Directory Finder — это инструмент, предназначенный для сканирования и идентификации каталогов в папках администратора, таких как admin/dashboard.php. Идеально подходит для новичков-специалистов по тестированию на проникновение и разработчиков, обеспечивая надлежащий контроль доступа и меры безопасности. Подходит для быстрого анализа.

💻Установка:

git clone https://github.com/tausifzaman/AdminDirectoryFinder.git

cd AdminDirectoryFinder

pipx install rich

📌Запуск:

python3 main.py

То, что вы стеснялись спросить про ИБ — новая рубрика в Codeby!

А правда, что пентестеры просто сидят и тыкают "sqlmap"?

Я купил курс, но ничего не понял. Это нормально?

Обязательно ли быть интровертом, чтобы работать в ИБ?

Сколько должно быть чёрного в чёрном худи, чтобы меня приняли в Red Team?

С чего начать карьеру в ИБ, если у меня гуманитарное образование?

Есть вопрос по кибербезу, обучению или нашим курсам, но не хочется писать в чате или кому-то лично?

Иногда не хочется светиться. Поэтому мы запустили анонимную форму: можете задать любой вопрос — глупый, странный или слишком конкретный. Мы выберем интересные и раз в неделю будем отвечать.

👋 Задать вопрос анонимно:
https://t.iss.one/anonaskbot?start=AskCodeby

🥇 @codeby_sec

VHostScan: Целевой поиск виртуальных хостов для профессионалов безопасности

В процессе разведки (Reconnaissance) критически важно обнаружить всю поверхность атаки. Часто на одном IP-адресе размещены десятки веб-приложений, использующих технологию виртуальных хостов (VHosts). Многие из них не числятся в DNS и остаются «скрытыми» — это могут быть тестовые, промежуточные (staging) среды или административные панели, которые зачастую более уязвимы.

Виртуальный хостинг — это метод, позволяющий запускать несколько веб-сайтов (например, site1.com и site2.com) на одном физическом сервере и одном IP-адресе. Веб-сервер (например, Apache или Nginx) определяет, какой именно сайт запрашивает пользователь, анализируя заголовок Host: в HTTP-запросе.

🟧 Стандартные сканеры, работающие только с DNS, такие хосты пропускают. VHostScan — это не просто сканер, а высокоспециализированный инструмент, использующий три различных метода для точного и массового обнаружения виртуальных хостов:
🟧Перебор по словарю - инструмент использует заданный список поддоменов (например, dev, api, test), отправляя запрос для каждого имени HTTP-запрос с соответствующим заголовком Host.
🟧Анализ ответов (Фингерпринтинг) - это основное преимущество утилиты. VHostScan не ограничивается анализом кода ответа. Он сравнивает ответы сервера на валидные и невалидные запросы, анализируя: размер страницы, заголовки ответа, код состояния, хеш содержимого.

Такой подход позволяет reliably обнаруживать хосты, возвращающие кастомные страницы ошибок или перенаправления.

🟧Поддержка современных технологий - инструмент полноценно работает с HTTPS через механизм SNI (Server Name Indication), что обеспечивает корректное сканирование защищённых сайтов. Кроме того, он поддерживает массовую обработку targets и легко интегрируется в автоматизированные пайплайны разведки с такими инструментами, как amass и subfinder.

🟧 Установка и использование

git clone https://github.com/codingo/VHostScan

cd VHostScan

pip3 install -r requirements.txt

🟧 Проверка

VHostScan -h

🟧 Примеры использования
- Простое сканирование (использование базового списка слов)

python3 vhostscan.py -t example.com -w wordlist.txt

- Целевое сканирование с фингерпринтингом. Сначала инструменту нужно узнать, как сервер отвечает на невалидные запросы (создается «отпечаток»), а затем искать аномалии.

python3 vhostscan.py -t example.com -w wordlist.txt --fingerprints

- Массовое сканирование списка целей

python3 vhostscan.py -T targets.txt -w wordlist.txt -o results.json --json-output

Thermoptic — стелс-прокси для маскировки HTTP-запросов

Thermoptic — это HTTP-прокси, который делает ваши запросы неотличимыми от настоящего браузера Chrome. В отличие от имитации заголовков или TLS-фингерпринтов, инструмент использует сам браузер через Chrome Debugging Protocol, полностью воспроизводя поведение реального клиента.

Почему Thermoptic эффективнее альтернатив
➡️ Большинство решений пытаются имитировать браузерные фингерпринты на уровне TLS, HTTP или TCP. Эти подходы легко выявить из-за малейших расхождений.
➡️ Thermoptic использует сам браузер для выполнения всех слоев — TCP, TLS, HTTP, JavaScript — делая запрос неотличимым от настоящего .
➡️ А любые изменения в поведении браузера автоматически учитываются, достаточно обновить контролируемую версию Chrome.

1️⃣ Склонируйте репозиторий:

git clone https://github.com/mandatoryprogrammer/thermoptic.git

2️⃣ Запустите контейнер:

docker compose up --build

3️⃣ Использование
Отправьте запрос через прокси:

curl --proxy https://changeme:[email protected]:1234 --insecure https://ja4db.com/id/ja4h/

Для корректного SSL используйте CA-сертификат ssl/rootCA.crt.

4️⃣ Пример работы

curl --proxy https://user:[email protected]:1234 https://target.com

🔍 Возможности
• Полное совпадение JA4-фингерпринтов (TLS, HTTP, TCP, X509).
• Поддержка cookies и хуков (ON_START, BEFORE_REQUEST, AFTER_REQUEST).
• Реальные браузерные заголовки и сетевое поведение.

🇨🇳 Китайская группировка атакует сетевые устройства

🐲 Китайская APT-группировка Salt Typhon использует уязвимости в сетевых устройствах и взломал 600 организаций по всему миру.

🌎 Данная группировка продолжает свои атаки, нацеленные на сети по всему миру, включая организации в сфере телекоммуникаций, государственного управления, транспорта, гостиничного бизнеса и военной инфраструктуры.

🏢 В бюллетене , предоставленном властями 13 стран, говорится, что вредоносная деятельность связана с тремя китайскими организациями: Sichuan Juxinhe Network Technology Co., Ltd., Beijing Huanyu Tianqiong Information Technology Co., Ltd. и Sichuan Zhixin Ruijie Network Technology Co., Ltd.

👩‍💻 Salt Typhoon был замечен при получении начального доступа путем эксплуатации уязвимых сетевых периферийных устройств от Cisco ( CVE-2018-0171 , CVE-2023-20198 и CVE-2023-20273 ), Ivanti ( CVE-2023-46805 и CVE-2024-21887 ) и Palo Alto Networks ( CVE-2024-3400 ).

🚩 Новые задания на платформе HackerLab!

🕵️ Категория Форензика — Лиса

🌍 Категория Веб — Тихая касса

Приятного хакинга!

🧙‍♀️ Caido

Кроссплатформенный инструмент для аудита безопасности веб-приложений, ориентированный на простоту использования и гибкость. Предоставляет собой мощный набор функций для перехвата, анализа и модификации HTTP(S)-трафика в реальном времени, что делает его полезным среди специалистов по информационной безопасности и разработчиков (бесплатный аналог Burp Suite Pro).

🖥 Построен на основе клиент-серверной архитектуры. Может быть представлен в двух вариантах: CLI и Desktop. При использовании CLI необходимо обращаться к интерфейсу Caido через браузер. Приложение Desktop, в свою очередь, имеет ряд преимуществ перед CLI:
⏺️поддержка записи нескольких экземпляров Caido в одном месте.
⏺️запуск предварительно настроенных проектов.

Основные возможности Caido
🌟Sitemap — представление контента, к которому обращается пользователь через домены и поддомены при проксировании трафика через Caido, в виде иерархической древовидной структуры.
🌟Intercept — управление проксируемым трафиком, проверяя, изменяя, перенаправляя и отбрасывая запросы и ответы по мере их передачи между клиентом и сервером.
🌟Replay — создание, замена и отправка отдельных запросов. Каждый отправленный запрос и соответствующий ему ответ записываются, что позволяет сравнивать и определять, как конкретные изменения влияют на ответы.
🌟Automate — отправка множественных запросов программным способом (брутфорс, фаззинг).
🌟Match & Replace — создание правил, которые автоматически добавляют, удаляют или заменяют определённые значения в запросах и ответах при их прохождении через Caido.
🌟Workflows — создание многоэтапных процессов для выполнения определенных действий или преобразований, что позволяет автоматизировать задачи на постоянной или повторяющейся основе.

Кроме того, в инструменте присутствует быстрый и простой способ фильтрации запросов с помощью HTTPQL. Также программа поддерживает установку различных плагинов и пакетов, которые расширяют функциональные возможности Caido, обеспечивая высокую степень персонализации.

❗️ Velociraptor в руках злоумышленников

🔗 Атакующие стали использовать инструмент криминалистического анализа Velociraptor для развертывания Visual Studio Code для туннелирования C2.

👩‍💻 Как утверждает исследовательская группа Sophos Counter Threat Unit в своем отчете, в одном из инциденте злоумышленник использовал инструмент для загрузки и выполнения Visual Studio Code с вероятным намерением создать туннель к управляемому серверу злоумышленника управления и контроля (C2).

🦠 Хотя известно, что злоумышленники используют законные инструменты удаленного мониторинга и управления (RMM) в своих атаках, использование Velociraptor сигнализирует о тактической эволюции, когда программы реагирования на инциденты используются для получения плацдарма и минимизации необходимости развертывания собственного вредоносного ПО.

NanoDump - "швейцарский нож" для извлечения памяти процесса LSASS.

📕 Немного теории
🔺LSASS (Local Security Authority Subsystem Service) — системный сервис в Windows, который отвечает за проверку пользователей при входе, хранение и выдачу токенов, управление политиками безопасности и т. п.

Соответственно, в случае создания дампа LSASS, злоумышленники получают хэши паролей пользователей или даже пароли в открытом виде, токены и сессионные ключи, которые можно использовать для перехвата сессий;

🔺Дескриптор — ссылка или ключ, который операционная система даёт процессу, чтобы тот мог работать с каким-то объектом: файлом, сокетом, процессом, памятью. Дескриптор к процессу позволяет читать/писать его память, запускать действия от его имени.

Злоумышленники часто пытаются получить или скопировать дескриптор, который имеет нужные привилегии к LSASS, чтобы затем получить доступ к его памяти — без того чтобы напрямую запрашивать у системы высокие права.

Функции инструмента
1️⃣Разветвление процесса
Чтобы избежать открытия дескриптора LSASS с доступом PROCESS_VM_READ, можно использовать параметр --fork. В таком случае nanodump создаст дескриптор LSASS с доступом PROCESS_CREATE_PROCESS, а затем клонирует процесс. Далее у нового процесса будет снят дамп.

2️⃣Снимок процесса
Аналогично опции --fork, можно использовать --snapshot для создания снимка процесса LSASS с дескриптором доступа PROCESS_CREATE_PROCESS, затем будет создан снимок процесса с помощью PssNtCaptureSnapshot. Снимок будет автоматически освобождён после завершения.

3️⃣Дублирование дескриптора
Поскольку открытие дескриптора LSASS может быть обнаружено, nanodump может вместо этого искать существующие дескрипторы LSASS. Если такой дескриптор найден, он будет скопирован и использован для создания минидампа.

4️⃣Повышение привилегий дескриптора
Можно получить дескриптор LSASS с правами PROCESS_QUERY_LIMITED_INFORMATION, которые, скорее всего, будут в белом списке, и затем повысить привилегии этого дескриптора путём его дублирования.

5️⃣Дублирование дескриптора через Seclogon
Можно обмануть процесс seclogon, заставив его открыть дескриптор LSASS и дублировать его до закрытия с помощью блокировок файлов. Для доступа к этой функциональности используйте флаг --seclogon-duplicate.

Выше перечислены лишь некоторые функции утилиты, более подробно с остальными возможностями можно ознакомиться здесь.

🔺Примеры использования

nanodump --fork --write C:\lsass.dmp

nanodump --seclogon-leak-remote C:\Windows\notepad.exe --fork --valid

nanodump --seclogon-leak-local --fork --valid --write C:\Windows\Temp\lsass.dmp

📄 Вредоносные PDF-редактор похищают учетные данные пользователей

💻 Вредоносное ПО TamperedChef, замаскированное под поддельные PDF-редакторы, похищает учетные данные и файлы Cookie.

ℹ️ В основе кампании лежит использование нескольких фальшивых сайтов для продвижения установщика бесплатного PDF-редактора AppSuite PDF Editor, который после установки и запуска выводит на экран пользователю предложение согласиться с условиями обслуживания и политикой конфиденциальности программного обеспечения.

🪟 Однако в фоновом режиме программа установки скрытно запрашивает у внешнего сервера удаление PDF-редактора, одновременно настраивая сохранение на хосте, внося изменения в реестр Windows, чтобы обеспечить автоматический запуск загруженного исполняемого файла после перезагрузки. Ключ реестра содержит параметр --cm arguments для передачи инструкций исполняемому файлу

💻 Чаще всего злоумышленники используют инструмент AppSuite PDF Editor, И, как утверждает компания G FATA, является бэкдором, который активно скачивают пользователи.

Azure-AppHunter — инструмент для обнаружения избыточных привилегий в Azure

Azure-AppHunter — это открытый PowerShell-инструмент, созданный для выявления чрезмерных прав доступа, назначенных Azure Service Principals и Managed Identities.

⚡️ Основные возможности Azure-AppHunter
➡️ Обнаружение опасных разрешений Microsoft Graph, предоставленных сервисным принципалам (SPs)
➡️ Проверка назначенных ролей Azure AD привилегированного уровня, таких как Global Administrator или App Administrator
➡️ Поиск SP или Managed Identity с правами Owner или Contributor в подписках Azure
➡️ Аутентификация через Device Code как для Microsoft Graph, так и для Azure ARM API
➡️ Минимальные зависимости, лёгкая интеграция в сценарии автоматизации или red-team деятельности


⬇️ Установка и использование

1️⃣ Клонируйте репозиторий:

git clone https://github.com/8ales/Azure-AppHunter.git
cd Azure-AppHunter

2️⃣ Импортируйте модуль PowerShell:

. .\AzureAppHunter.ps1

3️⃣ Аутентификация:

Authenticate -TenantId '<your-tenant-id>' -UseARM

4️⃣ Примеры команд для анализа:
• Перечислить dangerous permissions у Service Principals:
Enumerate -Type ServicePrincipalsDangerousPermissions
• Найти привилегированные роли:
Enumerate -Type PrivilegedRoleAssignments
• Выявить Owner или Contributor роли в подписках:
Enumerate -Type SubscriptionOwnersContributors

🔍 Почему стоит использовать Azure-AppHunter
• Помогает быстро выявлять избыточные права доступа у сервисных аккаунтов, что снижает риск компрометации при атаках через злоупотребление привилегиями.
• Подходит для аудита безопасности в облаке, особенно при смешанных средах и множестве приложений/интеграций.
• Может быть встроен в процессы патч-менеджмента / проверок (security reviews), red teaming, blue teaming.
• Работает с минимальным набором зависимостей, что облегчает развертывание и использование.