OSSLSignCode: Инструмент для подписи кода и проверки цифровых подписей

OSSLSignCode — утилита с открытым исходным кодом для подписи исполняемых файлов и проверки цифровых подписей с использованием криптографических библиотек OpenSSL. Инструмент предназначен для создания, добавления, извлечения и верификации подписей в форматах Authenticode (PE, MSI, CAB) и других, поддерживая гибкую настройку параметров подписи и работу с различными типами сертификатов.

↗️OSSLSignCode предоставляет функциональность, аналогичную стандартной утилите signtool из Windows SDK, но с открытым исходным кодом и поддержкой различных платформ. Инструмент позволяет:
▶️создание цифровых подписей для PE-файлов (.exe, .dll), MSI-пакетов, CAB-архивов
▶️получение встроенных подписей из подписанных файлов
▶️очистку файлов от существующих цифровых подписей
▶️верификацию целостности и подлинности подписанных файлов
▶️добавление timestamp от доверенных служб

⬇️Установка

sudo apt install osslsigncode

Проверка

osslsigncode -h

⏺️Базовая подпись исполняемого файла с описанием и временной меткой

osslsigncode sign \
  -pkcs12 code_signing_cert.p12 \
  -pass secure_password \
  -n "Application Name" \
  -i https://company.com \
  -t https://timestamp.digicert.com \
  -h sha256 \
  -in app.exe \
  -out app_signed.exe

Подписание файла с указанием описания, URL компании, добавлением доверенной временной метки и использованием современного хеш-алгоритма SHA256.

⏺️Подпись MSI-инсталлятора

osslsigncode sign \
  -pkcs12 cert.p12 \
  -pass password \
  -add-msi-dse \
  -t https://timestamp.digicert.com \
  -in installer.msi \
  -out installer_signed.msi

Специализированная подпись для MSI-пакетов с обязательным флагом -add-msi-dse, обеспечивающим корректную работу цифровой подписи.

⏺️Проверка подписи с полной валидацией цепочки сертификатов

osslsigncode verify \
  -in app_signed.exe \
  -CAfile trusted_roots.pem \
  -CRLfile crl.pem \
  -verbose \
  -require-leaf-hash sha256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Комплексная проверка подписи, включающая валидацию по доверенным корневым сертификатам, проверку списков отзыва (CRL) и требование конкретного хеша листового сертификата для исключения подмены.

⏺️Извлечение подписи для анализа

osslsigncode extract-signature -pem -in app_signed.exe -out signature.pem

Извлечение встроенной подписи в PEM-формате для последующего анализа структуры PKCS#7, проверки сертификатов или интеграции с другими криптографическими инструментами.

⏺️Добавление временной метки к уже подписанному файлу

osslsigncode add \
  -t https://timestamp.sectigo.com \
  -in app_signed.exe \
  -out app_with_timestamp.exe

Обновление существующей подписи путем добавления актуальной временной метки без повторного подписания, что продлевает срок доверия к подписи после истечения сертификата.

🎇Ограничения и требования
- Требует установленной OpenSSL (версии 1.1.1 или 3.x)
- Поддерживаются PE, MSI, CAB
- Требуются действительные сертификаты подписи кода
- Для установки могут потребоваться права администратора

#OSSLSignCode #OpenSSL #tool #pentest #PKCS12 #MSI

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🎇 В Packagist обнаружены вредоносные Laravel-пакеты, распространяющие RAT для Windows, macOS и Linux

Исследователи обнаружили вредоносные PHP-пакеты в репозитории Packagist, которые маскируются под вспомогательные библиотеки для Laravel. На самом деле они устанавливают кроссплатформенный троян удалённого доступа (RAT), способный работать на Windows, macOS и Linux.

Атака относится к классу supply chain attacks — злоумышленники распространяют вредоносный код через зависимости, которые разработчики устанавливают в свои проекты.

❗️ Вредоносные пакеты
Специалисты обнаружили следующие подозрительные пакеты:
▶️nhattuanbl/lara-helper
▶️nhattuanbl/simple-queue
▶️nhattuanbl/lara-swagger

Количество загрузок у них было небольшим, однако они всё равно представляют серьёзную угрозу для разработчиков и серверов, где используются.

Особенность атаки в том, что пакет lara-swagger не содержит вредоносный код напрямую — вместо этого он добавляет зависимость lara-helper, которая уже устанавливает RAT. Такой подход усложняет обнаружение угрозы.


❓Как работает вредоносный код
🔔 В пакетах lara-helper и simple-queue исследователи нашли PHP-файл:

src/helper.php

🔔 Вредоносный код использует несколько техник, чтобы затруднить анализ:
⏺️обфускацию потока управления
⏺️кодирование доменных имён
⏺️скрытие команд и путей
⏺️рандомизацию имён функций и переменных

Это значительно усложняет статический анализ и поиск вредоносной логики.

🕸 Подключение к серверу управления (C2)

После загрузки вредоносный код устанавливает соединение с сервером управления:
helper.leuleu[.]net:2096

Далее заражённая система отправляет информацию о системе и начинает ждать команды оператора. Это фактически даёт злоумышленнику полный удалённый доступ к машине.

Связь происходит по TCP через PHP-функцию:
stream_socket_client()

Благодаря этому вредоносный код остаётся работоспособным даже в средах с жёсткой конфигурацией безопасности PHP.

#rat #attack #laravel #windows #linux

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Открытие весеннего сезона и новые задания на платформе HackerLab!

Сезонный рейтинг:
С сегодняшнего дня вы можете побороться за лидирующие позиции рейтинга в новом сезоне на нашей платформе. Не упустите шанс провести весенние дни с пользой, прокачать свои навыки и стать лучшим!

Призы:
🥇1 место — 2 месяца подписки PRO на HackerLab + 30% скидка на любой курс Академии Кодебай, эксклюзивный бейдж на платформе
🥈2 место — 1 месяц подписки PRO на HackerLab + 20% скидка на любой курс Академии Кодебай, эксклюзивный бейдж на платформе
🥉3 место — 1 месяц подписки PRO на HackerLab + 10% скидка на любой курс Академии Кодебай, эксклюзивный бейдж на платформе
4-10 место — 1 месяц подписки PLUS на HackerLab + 5% скидка на любой курс Академии Кодебай, эксклюзивный бейдж на платформе

📆 Сезон завершается 31 мая
——————————————
🚩 Новые задания на платформе HackerLab!

⚙️ Категория Реверс-инжиниринг — Анализатор вселенной

🌍 Категория Веб — Документальный архив

Приятного хакинга!

❗️Новая Pro-лаборатория — Shadow Pipeline

Крупная технологическая корпорация, закрытая внутренняя сеть, подозрительное хранилище данных и минимальная точка входа. Ваша задача — проникнуть в инфраструктуру и выяснить, что скрывается в глубине сети.

Что внутри:
⏺️3 ВМ, 6 этапов
⏺️сценарий с постепенным развитием доступа
⏺️отличный формат для тренировки логики, разведки и работы во внутренних сетях

Лаборатория доступна по подписке Pro вместе с сотнями CTF-задач и курсами:
⏺️Введение в информационную безопасность
⏺️SQL Injection Master

Залетай и проверь, насколько хорошо ты умеешь двигаться по сети

▶️ https://hackerlab.pro/

☕️ Krakatau — инструмент для реверса и анализа Java-байткода

Krakatau — это open source-набор инструментов для анализа, дизассемблирования и декомпиляции Java-байткода. Утилита позволяет разбирать .class и .jar-файлы, исследовать структуру байткода и выполнять глубокий реверс Java-приложений.

Инструмент часто используется в reverse engineering, malware-анализе и security-исследованиях Java-ПО, где необходимо понять логику работы программы на уровне JVM-инструкций.


📐 Основные возможности Krakatau
📉 Дизассемблирование Java-байткода — преобразует .class-файлы в читаемый assembly-подобный формат JVM.
📉 Декомпиляция в Java-код — позволяет восстановить исходную логику программы из байткода.
📉 Ассемблер для JVM-байткода — можно модифицировать и пересобирать .class-файлы.
📉 Работа с JAR-архивами — поддерживает анализ и извлечение байткода из .jar.
📉 Подходит для malware-анализа — удобен для исследования обфусцированных Java-приложений.


⬇️ Установка
Krakatau v2 написан на Rust, поэтому сначала нужно установить Rust toolchain.

git clone https://github.com/Storyyeller/Krakatau.git
cd Krakatau
cargo build --release

После сборки бинарник появится в:

target/release/krak2

⏺️Его можно добавить в PATH или запускать напрямую.


💻 Базовый сценарий использования

1️⃣ Дизассемблирование .class-файла:

krak2 dis --out out_dir Example.class

2️⃣ Дизассемблирование .jar-архива:

krak2 dis --out disassembled.zip app.jar

3️⃣ Сборка .class из .j-файла:

krak2 asm --out Foo.class Foo.j

4️⃣ Сборка .jar из набора .j файлов:

krak2 asm --out modified.jar source_dir/

#reverse #java #malware #security #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

➡️Как обнаружить атаку на AD, когда не видно ничего подозрительного?

Изучите техники и методики атак на инфраструктуру Active Directory!

Наша практическая лаборатория содержит более 30 виртуальных машин, которые вам предстоит сломать. Бросаем вызов с 16 марта 🚗

➡️ Регистрация

Содержание курса:
⏺️AD-сети с миксом Windows/Linux
⏺️Харденинг в AD, добыча критичной информации, развитие по инфраструктуре
⏺️Захват и укрепление позиций внутри инфраструктуры
⏺️Применение и анализ популярных эксплоитов

Авторы курса: HackerRalf (Михаил Порываев) и BlackRabbit (Павел Никитин), 5-кратные победители the Standoff

😀☺️😚🥲😎Дарим доступ к 20+ заданиям на взлом AD на hackerlab.pro при записи на курс!

Rapid7 Labs провела исследовательский проект по поиску уязвимостей нулевого дня в телефонах Grandstream GXP1600 серии Voice over Internet Protocol (VoIP).

VoIP-телефония (Voice over Internet Protocol) используется в крупных организациях для организации корпоративной телефонии. Технология позволяет передавать голосовые сообщения через интернет, в отличие от традиционной телефонии, использующей аналоговые сигналы и телефонные линии.

В результате исследования была обнаружена критическая уязвимость, связанная с переполнением буфера в стеке без аутентификации, CVE-2026-2329. Удаленный злоумышленник может использовать CVE-2026-2329 для удаленного выполнения кода (RCE) без аутентификации с правами суперпользователя на целевом устройстве.

❗️ Уязвимость присутствует в веб-сервисе API устройства и доступна в конфигурации по умолчанию. Поскольку все модели серии GXP1600 имеют общую прошивку, уязвимость затрагивает все шесть моделей этой серии: GXP1610, GXP1615, GXP1620, GXP1625, GXP1628 и GXP1630.

👉 Метрики

Базовая оценка: 9.8 (Критический)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💵 Последствия
1️⃣Для демонстрации последствий был разработан модуль эксплойта Metasploit. Он показывает, как злоумышленник без аутентификации может воспользоваться этой уязвимостью, чтобы получить права суперпользователя на уязвимом устройстве.

2️⃣Также был разработан дополнительный модуль для постэксплуатации. Это позволяет злоумышленнику получить учетные данные, такие как данные локальных пользователей и учетные записи SIP, хранящиеся на взломанном устройстве GXP1600.

3️⃣Кроме того, злоумышленник может перенастроить целевое устройство для использования вредоносного SIP-прокси, что позволит злоумышленнику беспрепятственно перехватывать телефонные звонки на устройстве и с него, а также прослушивать аудио.

🛡Рекомендации
Обновить прошивку устройств до версии 1.0.7.81 в соответствие с рекомендациями производителя.

#news #CVE #VoIP #infrastructure

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

PyADRecon: Инструмент для анализа Active Directory

PyADRecon — приложение с открытым исходным кодом для анализа и аудита Active Directory, позволяющее собирать и структурировать информацию о пользователях, компьютерах и объектах домена. Инструмент предоставляет возможности экспорта данных в форматы CSV, XLSX и HTML, поддерживает аутентификацию NTLM и Kerberos и не требует навыков программирования для использования.

PyADRecon спроектирован для упрощения сбора и анализа данных Active Directory, предоставляя как интерактивный графический интерфейс, так и функциональность командной строки для автоматизации. Основные функции:
▶️Получение информации о пользователях, компьютерах, группах и других объектах
▶️Поддержка NTLM и Kerberos, включая использование TGT-файлов
▶️Множество форматов экспорта (CSV, Excel (XLSX), HTML-дашборды)
▶️Генерация отчетов из ранее сохраненных CSV-файлов без подключения к AD
▶️Кроссплатформенность (работа на Windows, macOS и Linux)

⬇️Установка

pipx install PyADRecon

Проверка

pyadrecon -h

⏺️Базовый сбор данных с NTLM-аутентификацией

pyadrecon -dc 192.168.1.10 -u administrator -p 'Password123!' -d DOMAIN.LOCAL

⏺️Сбор с аутентификацией Kerberos (обход channel binding)

pyadrecon -dc dc01.domain.local -u admin -p 'Password123!' -d DOMAIN.LOCAL --auth kerberos

⏺️Генерация HTML-дашборда из CSV-файлов

pyadrecon --generate-dashboard-from /path/to/csv/files -o dashboard.html

⏺️Аудит неактивных учетных записей

pyadrecon -dc dc01.domain.local -u auditor -p 'Password123!' -d DOMAIN.LOCAL --dormant-days 60 --collect users --only-enabled

⏺️Инвентаризация компьютеров в домене

pyadrecon -dc dc01.domain.local -u admin -p 'Password123!' -d DOMAIN.LOCAL --collect computers -o computer_inventory

⏺️Еженедельный отчет с ротацией

#!/bin/bash
DATE=$(date +%Y%m%d)
pyadrecon -dc dc01.domain.local -u svc_report -p 'Password123!' -d DOMAIN.LOCAL -o "ad_report_$DATE"

⏺️Анализ устаревших паролей

pyadrecon -dc dc01.domain.local -u admin -p 'Password123!' -d DOMAIN.LOCAL --collect users --password-age 90 --only-enabled

👉Ограничения
- Необходима учетная запись с правами на чтение объектов AD
- Требуется доступ к контроллеру домена (порты 389/636)
- Для аутентификации Kerberos требуется корректная настройка времени и DNS
- При больших доменах (более 5000 объектов) рекомендуется увеличить --page-size

#PyADRecon #ActiveDirectory #ADRecon #Kerberos #Audit #tool #pentest

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Как понять, какое направление в ИБ стоит сейчас рассматривать?

Мы создали навигатор по профессиям и направлениям в ИБ, который определит варианты развития в зависимости от вашей текущей ситуации, и покажет открытые курсы Академии.

👉👉👉 Пройти навигатор можно за 30 секунд по ссылке

❗️Более 10 000 смартфонов россиян заразились Android-трояном Falcon

В России зафиксирована новая волна заражений Android-устройств банковским трояном Falcon. По данным специалистов компании F6, на конец февраля вредоносной программой было заражено более 10 000 смартфонов пользователей. Зловред ориентирован на кражу финансовых данных и удалённое управление устройствами.

❓Что известно о трояне
➡️Falcon — не новый вирус. Впервые его обнаружили ещё в 2021 году, однако в конце 2025-го появилась значительно обновлённая версия, которая сейчас активно распространяется среди пользователей Android.
➡️Главная цель вредоноса — получить полный контроль над смартфоном и перехватить доступ к банковским приложениям, аккаунтам и сервисам.

В текущей версии троян получил несколько новых возможностей:
⏺️ удалённое управление смартфоном через VNC
⏺️ перехват SMS и кодов подтверждения
⏺️ доступ к контактам и звонкам
⏺️ выполнение USSD-команд
⏺️ передача украденных данных через Telegram

По сути, после заражения устройство может полностью контролироваться злоумышленниками.

✉️ Как происходит заражение
Falcon распространяется под видом обычных приложений. После установки программа просит доступ к службе Accessibility — функции Android, предназначенной для людей с ограниченными возможностями.

Если пользователь выдаёт это разрешение, троян получает практически неограниченный доступ к системе.

После этого вредонос начинает использовать классическую схему overlay-атак:
1️⃣ Пользователь открывает банковское или другое популярное приложение.
2️⃣ Falcon накладывает поверх него поддельное окно авторизации.
3️⃣ Жертва вводит логин, пароль или данные карты.
4️⃣ Эти данные отправляются злоумышленникам.

По данным исследователей, троян нацелен более чем на 30 приложений и сервисов, включая:
📉 мобильные банки
📉 инвестиционные сервисы
📉 государственные приложения
📉 маркетплейсы
📉 мессенджеры
🖱 VPN-клиенты

🧠 Как защититься
Специалисты рекомендуют придерживаться базовых правил безопасности:
👉 устанавливать приложения только из официальных магазинов
👉 внимательно проверять запрашиваемые разрешения
👉 не выдавать доступ к Accessibility неизвестным программам
👉 не переходить по подозрительным ссылкам

#news #android #malware #trojan

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

💻 linux-exploit-suggester (LES)

Инструмент для поиска уязвимостей локального повышения привилегий в ОС Linux. Предназначен для выявления уязвимостей в системе безопасности на базе ядра Linux (доступных для локальной эксплуатации).

Оценивает с помощью эвристических методов уязвимость Linux к общеизвестным эксплойтам для повышения привилегий.

LES может проверить большинство параметров безопасности, доступных в ядре Linux. Он проверяет не только конфигурации ядра, заданные при компиляции (CONFIGs), но и параметры, заданные во время выполнения (sysctl), что дает более полное представление об уровне безопасности работающего ядра.

↗️ Установка в одну команду:

wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O les.sh

🔎Принцип работы инструмента
Процесс создания списка потенциальных эксплойтов выглядит следующим образом:

1️⃣Генерация первоначального списка эксплойтов на основе версии ядра (анализирует вывод команды uname для определения точной установленной версии ядра и сравнивает ее с требованиями, предъявляемыми к эксплойту, например Reqs: pkg=linux-kernel,ver>=4.4,ver<=4.13,....);

2️⃣Проверка соответствия тегов для каждого эксплойта (Теги — это простые утверждения, описывающие версии ядра, на которых, как известно, работает данный эксплойт);

3️⃣Фильтрация неприменимых эксплойтов с помощью дополнительных проверок (при добавлении эксплойта в инструмент можно указать дополнительные условия, которым он должен соответствовать);

4️⃣Расчет внутренней метрики "рейтинга" для каждого потенциального эксплойта и упорядочивание списка на основе этого расчета

Кроме того, для каждого эксплойта рассчитывается степень "Воздействия". Возможны следующие варианты:
▶️Высокая вероятность — скорее всего, уязвимо ядро, и есть большая вероятность, что PoC-эксплойт будет работать без каких-либо серьезных изменений.
▶️Вероятно — возможно, эксплойт сработает, но, скорее всего, потребуется его доработка в соответствии с вашей целью.
▶️Менее вероятно — необходим дополнительный ручной анализ, чтобы проверить, затронуто ли ядро.
▶️Маловероятно — крайне маловероятно, что ядро затронуто (эксплойт не отображается в результатах работы инструмента).

💻Использование
Базовый сценарий использования оценки Linux-сервера к общеизвестным эксплойтам.

./linux-exploit-suggester.sh

Проверка включена ли какая-либо дополнительная мера защиты ядра, не предусмотренная по умолчанию.

./linux-exploit-suggester.sh --checksec

Проверка уязвимостей в Linux с помощью заданного списка CVE.

./linux-exploit-suggester.sh --cvelist-file <cve-listing-file>

#tools #Linux #LPE

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Публичный Wi-Fi: почему бесплатный доступ может обойтись дорого

Подключиться к открытой сети легко, но вместе с удобством это может обернуться серьезными рисками для личных данных

В статье рассказываем:
⏺️Как устроен публичный Wi-Fi и в чем его слабые места;
⏺️Какие данные могут перехватить злоумышленники;
⏺️Как работают поддельные точки доступа;
⏺️Что поможет подключаться безопаснее

В этом разборе вы узнаете, каких ошибок стоит избегать и как защитить свои аккаунты, устройства и финансы при подключении к общественным сетям

Еще больше полезных статей о цифровой безопасности, персональных данных и актуальных киберугрозах — на нашем форуме

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Специалисты из центра киберзащиты Ontinue обнаружили, что злоумышленники использовали Nezha — легитимный инструмент для мониторинга с открытым исходным кодом, в качестве инструмента для удаленного доступа (RAT). Агент обеспечивает доступ к узлам на уровне SYSTEM/root и позволяет управлять системой через интерактивный веб-терминал.

☁️ Специалисты выяснили, что домен, на котором размещена панель управления всеми зараженными устройствами, находится на серверах Alibaba Cloud. Домен был привязан к адресу 47.79.42[.]91. По данным ресурса IPInfo, этот адрес привязан к Японии.

🎇 Nezha
nezha - инструмент для мониторинга серверов с открытым исходным кодом, изначально разработанный для китайского IT-сообщества. Системные администраторы используют его для мониторинга нескольких серверов, отслеживания использования ресурсов, получения оповещений и удалённого администрирования.

Nezha работает по простой модели «клиент-сервер». Центральный сервер панели управления отвечает за аутентификацию, хранит конфигурацию и координирует работу всех подключенных агентов.

Агенты — это легковесные двоичные файлы, развернутые на контролируемых хостах и поддерживающие постоянные gRPC-соединения с панелью управления.

Панель управления мультиплексирует HTTP-трафик и трафик gRPC на одном и том же порту. Веб-браузеры подключаются к интерфейсу панели управления по протоколу HTTP/WebSocket, а агенты — по протоколу gRPC для управления и контроля.

❗️Такая конструкция позволяет использовать один открытый порт как для интерфейса управления, так и для канала связи с агентами.

🪧 Возможности агента
Агент поддерживает определенный набор типов задач, каждый из которых обозначается числовой константой. Для злоумышленником представляют интерес следующие команды:
➡️Выполнение произвольной команды - ID: 4;
➡️Интерактивная терминальная сессия - ID: 8;
➡️Операции с файлами (просмотр, загрузка, скачивание, удаление) - ID: 11.

❓ Почему агент работает от имени пользователя root/SYSTEM
Агент разработан для работы от имени пользователя root (Linux) / SYSTEM (Windows), поскольку ему требуется расширенный доступ для:
▶️Чтения файловой системы /proc и системных показателей;
▶️просмотра сетевой статистики;
▶️управления процессами;
▶️применения системных конфигураций.

При запросе сеанса терминала агент запускает PTY (псевдотерминал), который наследует контекст процесса агента. Это означает, что если агент запущен от имени пользователя root, то и оболочка будет работать от имени root.

#news #nezha #RAT #hackers

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

IntelMQ: Платформа для автоматизации сбора и обработки данных об угрозах

IntelMQ — это решение для команд IT-безопасности (CERT, CSIRT, SOC), предназначенное для автоматизации сбора и обработки потоков данных о безопасности (фидов угроз) с использованием системы очередей сообщений. Его основная цель — предоставить аналитикам простой способ сбора и обработки информации об угрозах, что значительно улучшает процессы реагирования на инциденты.

IntelMQ часто используется для:
- Автоматизированной обработки инцидентов
- Получения ситуационной осведомленности (Situational Awareness)
- Автоматической отправки уведомлений
- Сбора данных для других инструментов

⬇️Установка

pipx install intelmq

Теперь необходимо выполнить начальную настройку базы данных и создать структуру для работы IntelMQ.
1️⃣Инициализация базы данных (IntelMQ использует PostgreSQL для хранения конфигураций, очередей и, опционально, событий)

intelmq_psql_initdb

Эта команда создаст необходимые таблицы и роли в PostgreSQL.

2️⃣Настройка окружения

intelmqsetup

Эта команда создаст необходимые директории и файлы конфигурации, обычно в /etc/intelmq/ и /opt/intelmq/.

После установки вам становятся доступны ключевые команды.
▶️intelmqctl - главный инструмент для управления IntelMQ. С его помощью вы запускаете, останавливаете и перезапускаете ботов, проверяете их статус и управляете очередями.

#статус всех ботов
intelmqctl status
    
#запуск конкретного бота
intelmqctl start intelmq.bots.collectors.shadowserver.collector_reports_api
    
#остановить всех ботов
intelmqctl stop
    
#перезапустить всех ботов
intelmqctl restart

▶️intelmqdump - инструмент для работы с «дампами» (сообщениями, которые не удалось обработать и которые были помещены в карантин. Это ключевой элемент надежности IntelMQ, предотвращающий потерю данных)

#просмотреть все файлы дампов
intelmqdump list
   
#обработать конкретный дамп (например, для очереди my-queue)
intelmqdump /opt/intelmq/var/log/my-queue.dump

Функционал IntelMQ реализован через боты трех основных типов:
🔔Коллекторы (Collectors) - отвечают за получение данных из внешних источников
▶️intelmq.bots.collectors.http.collector_http (скачивает фиды по HTTP/HTTPS)
▶️intelmq.bots.collectors.mail.collector_mail_attach (получает данные из вложений электронной почты)
▶️intelmq.bots.collectors.shadowserver.collector_reports_api (собирает отчеты от Shadowserver Foundation)

🔔Парсеры (Parsers) - преобразуют сырые данные, полученные коллекторами, в унифицированный формат IntelMQ (словарь данных, соответствующий Harmonization)
▶️intelmq.bots.parsers.shadowserver.parser (парсит отчеты Shadowserver)
▶️intelmq.bots.parsers.json.parser (парсит данные в формате JSON)
▶️intelmq.bots.parsers.csv.parser (парсит данные в формате CSV)

🔔Эксперты (Experts) - обогащают, нормализуют, фильтруют или изменяют данные
▶️intelmq.bots.experts.asn_lookup.expert (добавляет информацию об автономной системе (ASN) для IP-адреса)
▶️intelmq.bots.experts.maxmind_geoip_expert (добавляет геолокационные данные по IP)
▶️intelmq.bots.experts.taxonomy.expert (классифицирует событие в соответствии с таксономией eCSIRT.net)

Рабочий процесс называется pipeline и описывается в конфигурационных файлах. Простейший pipeline может выглядеть так:
▶️intelmq.bots.collectors.http.collector_http загружает список подозрительных IP-адресов с публичного источника
▶️intelmq.bots.parsers.csv.parser преобразует этот список в стандартные события IntelMQ
▶️intelmq.bots.experts.asn_lookup.expert для каждого IP-адреса определяет номер AS
▶️Output (например, бот вывода в файл или базу данных) сохраняет обогащенные данные

Конфигурация такого pipeline задается в файлах /etc/intelmq/pipeline.conf и /etc/intelmq/runtime.conf, где для каждой очереди (например, shadowserver-queue) прописывается цепочка ботов.

#IntelMQ #CTI #CERT #CSIRT #SOC #tool #pentest

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🪧 Миллионы Android-смартфонов с чипами MediaTek могут быть взломаны за 45 секунд

Исследователи обнаружили серьёзную уязвимость в смартфонах на базе чипов MediaTek, которая позволяет извлекать данные из устройства всего за 45 секунд.

Проблему выявила исследовательская команда Donjon компании Ledger — производителя аппаратных криптокошельков. По словам технического директора Ledger Шарля Гийме, атака позволяет получить доступ к данным даже когда телефон выключен.

❓ Как работает атака
Эксплойт использует уязвимость в цепочке безопасной загрузки (secure boot chain) процессоров MediaTek.

В нормальной ситуации этот механизм проверяет целостность системы ещё до запуска Android. Но исследователи нашли способ обойти эту защиту.

Сценарий атаки выглядит так:
1️⃣ злоумышленник получает физический доступ к смартфону
2️⃣ подключает устройство к компьютеру через USB
3️⃣ извлекает криптографические ключи до загрузки Android
4️⃣ расшифровывает хранилище телефона

После этого можно получить доступ практически ко всем данным устройства.

🔑 Что можно украсть
В ходе демонстрации исследователи смогли:
📉 восстановить PIN-код телефона
📉 расшифровать внутреннюю память
🖱 извлечь seed-фразы криптокошельков

Среди затронутых приложений оказались:
📉 Trust Wallet
📉 Kraken Wallet
📉 Phantom
📉 Rabby
🖱 Tangem

Причём всё это происходило без запуска Android.

Помимо криптокошельков под угрозой могут оказаться:
▶️ фотографии
▶️ сообщения
▶️ сохранённые пароли
▶️ финансовые данные и аккаунты.

💻 Сколько устройств под угрозой
По оценкам исследователей, уязвимость может затронуть миллионы Android-смартфонов, поскольку MediaTek занимает огромную долю рынка мобильных чипов.

Такие процессоры используются в устройствах многих брендов, включая:
⏺️ Samsung
⏺️ Xiaomi
⏺️ OPPO
⏺️ Vivo
⏺️ Realme
⏺️ Motorola

В качестве демонстрации взлом был проведён на смартфоне Nothing CMF Phone 1 — устройство удалось скомпрометировать примерно за 45 секунд.

❗️ Производитель уже выпустил исправление
После уведомления от исследователей MediaTek выпустила исправление и передала его производителям устройств 5 января 2026 года.

Однако пользователи получат защиту только после установки обновления прошивки, которое должно прийти от производителя смартфона.

#news #android #malware #exploit

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером