Olevba: анализ VBA-макросов в документах MS Office

Olevba — инструмент для извлечения и анализа исходного кода VBA-макросов из документов (OLE и OpenXML).

▶️извлечение VBA-кода из документов форматов .doc, .xls, .ppt (OLE) и .docx, .xlsx, .pptx (OpenXML)
▶️анализ макросов с использованием эвристик для обнаружения подозрительных функций
▶️декодирование обфусцированных строк (Hex, Base64, StrReverse, Dridex и др.)
▶️деобфускация VBA-выражений
▶️отображение P-кода (псевдокода) для углубленного анализа
▶️поддержка XLM (Excel 4.0) макросов при наличии XLMMacroDeobfuscator
▶️вывод результатов в формате JSON для автоматизации

⬇️Установка

pipх install oletools

Проверка

olevba -h

⏺️Анализ файла

olevba document.doc

⏺️Рекурсивный анализ всех .doc файлов в каталоге

olevba -r *.doc

⏺️Вывод только кода макросов (без анализа)

olevba -c malicious.doc

⏺️Показ декодированных обфусцированных строк

olevba --decode document.doc

#olevba #vba #oletools #office #macro #security #forensics #pentest #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Релиз прошёл. Через неделю в API находят SQLi. AppSec переносит безопасность туда, где уязвимость ещё можно исправить в процессе разработки.

AppSec-инженер в Codeby Academy — 7 месяцев практики на реальных приложениях и инструментах, которые используют в продакшене.

Внутри курса:
⏺️ разбор уязвимостей OWASP на реальных приложениях
⏺️ SAST/DAST инструменты, которые используют в боевых командах
⏺️ Threat Modeling и Secure SDLC на живых кейсах

За 7 месяцев пройдёте 13 модулей — от поиска уязвимостей в коде до внедрения AppSec в процесс разработки▶️300 ак.ч.▶️1–2 живых вебинара в месяц с автором

Старт — 24 августа

Посмотреть программу и записаться

В 2026 году рынок кибервымогательства изменился. Вместо монстров вроде LockBit появились небольшие гибкие команды. Среди них выделилась The Gentlemen — группа из девяти человек, которая за три дня с помощью ИИ создала криминальную империю и вошла в Топ-3 мировых вымогателей.

🧠«Самые щедрые парни в даркнете»
Группировка привлекла внимание в середине 2025 года. Утечка внутренних чатов, проанализированная Check Point, показала, что ядро группы — девять человек. Главный администратор Zeta88 построил панель управления операцией за три дня, используя AI-ассистентов.

«Zeta88 в чате заявил, что использовал «vibe-coding» и построил панель управления GLOCKER за три дня».

🎯Группа использует модель Ransomware-as-a-Service (RaaS). Их козырь — 90% выкупа аффилиатам, себе — 10%. Это самый высокий процент на рынке, что сразу привлекло множество партнёров.

«The Gentlemen предлагают аффилиатам 90% каждого выкупа, конкуренты — 80%».

❓Как они обогнали гигантов
С середины 2025 года группа заявила о более чем 478 жертвах, став второй по активности в мире.
Их методы классические:
▶️взлом пограничных устройств (особенно FortiGate VPN)
▶️покупка доступа у брокеров
▶️фишинг
Но главное оружие — GentleKiller, централизованный EDR-киллер, который группа предоставляет партнёрам в готовом виде.

«Исследователи идентифицировали кастомный бэкдор на Go и фреймворк GentleKiller».

↗️Уход от Qilin
The Gentlemen выросли из ArmCorp — аффилиата Qilin, покинувшего программу после конфликта из-за $48.000. В июле 2025 года они запустили собственную программу.

«В июле 2025 Phantom Mantis перешёл в The Gentlemen — независимую программу».

Количество жертв увеличилось в 6 раз по сравнению со второй половиной 2025 года.

💵Культовые атаки и география
К июлю 2026 уже 580 жертв в 77 странах. Основные секторы: производство (103 жертвы), технологии, здравоохранение. Группа не соблюдает негласный запрет на атаки больниц. География отличается от других групп: Таиланд, Великобритания, Бразилия, Германия, Индия. Лишь 13% жертв в США. Уникальный приём — цепочка атак через клиентов.

«Данные одной жертвы использовались для атаки на её клиентов. Каскадный ущерб подтверждён».

👉Статус на 2026 год
The Gentlemen — вторая по активности группа в мире, уступая лишь Qilin. Июнь 2026 стал пиковым месяцем с 117 жертвами.

«Сочетание выгодной структуры выплат и кастомных инструментов делают The Gentlemen грозной угрозой».

Источники:
1. https://thehackernews.com/2026/06/the-gentlemen-ransomware-claims-478.html?m=1&hl=en_GB
2. https://securitybrief.asia/story/the-gentlemen-becomes-second-most-active-ransomware-group
3. https://blog.checkpoint.com/security/ransomware-didnt-slow-down-in-q2-2026-it-just-spread-out/amp/

#TheGentlemen #Ransomware #Кибербезопасность #RaaS #ИИвКиберпреступности #Qilin #Вымогатели #ИсторияХакерства #Киберугрозы

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🎯 EMBA — анализатор безопасности прошивок embedded-устройств

EMBA — open-source инструмент для комплексного анализа прошивок embedded-устройств. Он помогает находить потенциальные уязвимости, устаревшие компоненты, небезопасные бинарные файлы, скрипты и жёстко заданные пароли.

EMBA объединяет извлечение прошивки, статический и динамический анализ, построение SBOM и генерацию веб-отчёта с результатами проверки.

❓ Как работает
EMBA проходит несколько этапов анализа: извлекает содержимое прошивки, исследует найденные компоненты и бинарные файлы, определяет версии программного обеспечения и ищет потенциально опасные настройки и уязвимости.

Для более глубокого анализа можно использовать эмуляцию системы. Результаты проверки сохраняются в логах и могут быть представлены в виде веб-отчёта для дальнейшего анализа.

👌 Что можно найти
🟩 устаревшие и потенциально уязвимые компоненты;
🟩 жёстко заданные пароли и другие чувствительные данные;
🟩 небезопасные бинарные файлы и скрипты;
🟩 компоненты, входящие в состав прошивки;
🟩 информацию для формирования SBOM;
🟩 потенциальные слабые места, требующие дополнительной проверки.

⬇️ Установка
Клонируем репозиторий и запускаем установщик зависимостей:
git clone https://github.com/e-m-b-a/emba.git
cd emba
sudo ./installer.sh -d

📈 Примеры использования

▶️Для стандартного анализа прошивки:
sudo ./emba -l ~/log -f ~/firmware -p ./scan-profiles/default-scan.emba

▶️Если задача — получить SBOM:
sudo ./emba -l ~/log -f ~/firmware -p ./scan-profiles/default-sbom.emba

▶️Для анализа с использованием системной эмуляции:
sudo ./emba -l ~/log -f ~/firmware -p ./scan-profiles/default-scan-emulation.emba

Здесь -f указывает путь к прошивке, -l — каталог для логов, а -p — используемый профиль сканирования.

#emba #firmware #embedded #iot #pentest #firmwaresecurity #cybersecurity #infosec #sbom #opensource

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🎇В сети фитнес-клубов DDX Fitness (168 клубов в 64 городах России, более 900 тысяч клиентов) проводится внутренняя проверка в связи с сообщениями о крупной утечке персональных данных. Об этом 13 августа 2026 года сообщила пресс-служба компании.

В открытом доступе, по данным Telegram-каналов и СМИ, оказались:
▶️фотографии клиентов (снимки делались у стоек регистрации при оформлении)
▶️даты и время посещений клубов
▶️количество визитов и история тренировок
▶️информация о покупках и финансовых операциях
▶️адреса клубов, которые посещали клиенты

🕑Особенность инцидента в том, что утекли не просто абстрактные данные, а фото с привязкой к ФИО и точному времени — это позволяет отслеживать передвижения человека, его привычки и расписание.

Среди опубликованных записей обнаружили данные известных людей: актера Юрия Колокольникова, хоккеиста Николая Голдобина и участника шоу «Русский ниндзя» Торнике Квитатиани.

По данным Telegram-канала Baza, в слитой базе также присутствуют данные сотрудников силовых и правоохранительных органов — фотографии, фамилии, номера телефонов и даты посещений. Подлинность этих записей официально не подтверждена.

🔎Что говорят в компании
DDX Fitness подтвердила, что знает о сообщениях и начала внутреннюю проверку. Компания также усилила меры информационной безопасности и провела внеплановые мероприятия по защите информационных систем и баз данных.

При этом компания пока не подтверждает сам факт взлома, не раскрывает способ проникновения, дату атаки и точное количество затронутых клиентов. Нет и публичных данных об использованной уязвимости.

Важно: пока нет подтверждений утечки паспортных данных, реквизитов банковских карт или другой финансовой информации.

🧿Юридические последствия
Юрист, управляющий партнер консалтингового бюро Дмитрий Кваша в комментарии для Москвы 24 заявил, что DDX Fitness может грозить:
▶️административный штраф до 3 миллионов рублей по статье о нарушении законодательства в области персональных данных (если компания вовремя не сообщила об инциденте в Роскомнадзор)
▶️при утечке биометрических данных суммы взысканий могут быть увеличены
▶️уголовная ответственность для сотрудников (если будет доказан неправомерный доступ или халатность, руководству могут грозить реальные сроки)
▶️иски от пострадавших (суммы компенсаций могут превышать 10 миллионов рублей)

Некоторые клиенты уже начали направлять в компанию досудебные претензии, требуя объяснить, как их данные оказались в интернете.

Источник: https://www.kommersant.ru/doc/8879075

#утечкаданных #DDXFitness #кибербезопасность #персональныеданные #news

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🪲Hermit

Инструмент для запуска программ для Linux x86_64 в специальной, герметично изолированной «песочнице», чтобы контролировать их выполнение. Hermit преобразует обычное недетерминированное поведение в детерминированное, воспроизводимое.

Его можно использовать для различных целей, в том числе для отладки с воспроизведением, создания воспроизводимых артефактов, тестирования параллелизма в режиме хаоса и анализа ошибок.

Архитектура состоит из трех основных уровней:
➡️hermit интерфейс командной строки проверяет конфигурацию и создает гостевые пространства имен, монтирования, окружение и дерево процессов.
➡️Reverie использует перехват с помощью ptrace и seccomp для остановки и возобновления работы гостевой системы в зависимости от подписанных системных вызовов и событий процессора.
➡️Detcore применяет детерминированную политику: виртуализирует выбранные результаты, сериализует потоки, моделирует ресурсы и логическое время, а также записывает или воспроизводит внешние входные данные.

Установка
⬇️Для установки клонируйте репозиторий и установите интерфейс командной строки в двоичный каталог Cargo, обычно ~/.cargo/bin:

git clone https://github.com/facebookexperimental/hermit.git
cd hermit
cargo install --path hermit-cli
hermit --version

Использование
1️⃣Режим по умолчанию и рекомендуемый режим (детерминированное выполнение) hermit run -- PROGRAM ARGS

2️⃣Проверка воспроизводимости (сравнение выходных данных, статуса и детерминированных журналов) hermit run --verify -- PROGRAM

3️⃣Тестирование различных расписаний потоков hermit run --chaos --sched-seed=N -- PROGRAM

4️⃣Запись выполнения hermit record start -- PROGRAM ARGS

5️⃣Поиск ошибок параллельной обработки (может запускать гостевую систему несколько раз) hermit analyze --search -- PROGRAM

#tools #pentest #reverse #sandbox

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Исследователи разработали и протестировали устройство, которое может использоваться для перехвата управления электроникой в Boeing 737 (одного из распространенных самолетов в коммерческой авиации).

🔑Условия эксплуатации
Кратковременный физический доступ к самолету позволит злоумышленнику, оснащенному специальным аппаратным устройством, перехватить связь между двумя ключевыми бортовыми компьютерами.

Устройство нужно подключить к порту в нижней части фюзеляжа самолета — по оценкам исследователей, это займет менее 60 секунд. Для этого потребуется доступ к самолету либо когда он стоит у выхода на посадку, либо когда он находится в ангаре аэропорта во время планового технического обслуживания.

🧿Последствия
Исследователи успешно продемонстрировали атаку на испытательном стенде, состоящем из реальных деталей самолета Boeing 737 и программного обеспечения. Экспериментальная атака позволила исследователям изменить траекторию полета самолета и данные, которые могли сделать условия взлета небезопасными.❗️

Как работает атака?
1️⃣Исследователи обнаружили неиспользуемый порт для технического обслуживания в отсеке электроники и оборудования самолета, где расположены ключевые электронные системы. Этот отсек расположен прямо под носом самолета и обеспечивает доступ к данным, передаваемым между двумя критически важными бортовыми компьютерами.

1️⃣Один из них — это компьютер управления полетом, который контролирует траекторию полета самолета, а также траекторию захода на посадку перед приземлением, а также предоставляет важную информацию при взлете. Другой — это компьютер, который отображает информацию о траектории полета, а также другие важные данные для пилотов в кабине. Информация и инструкции передаются между этими двумя компьютерами с помощью проводных систем связи, по шине ARINC 429.

Такие шины как ARINC 429, передают данные с помощью тока, проходящего по двум проводам и через набор резисторов. Поскольку этой системе уже несколько десятилетий, в ней нет функций защиты данных, таких как аутентификация сообщений.

2️⃣Исследователи спроектировали, собрали и запрограммировали небольшое аппаратное устройство, которое выступает в роли стороннего субъекта, перехватывающего управление этими шинами. Для этого оно подает больший ток, чтобы иметь возможность перекрывать любые легитимные передачи своими. Такой подход позволяет устройству незаметно передавать новые инструкции компьютеру управления полетом, скрывая при этом признаки внесения изменений.

#news #research #security

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером