Этичный Хакер
403K subscribers
1.88K photos
301 videos
19 files
2.07K links
Про кибербезопасность и современные технологии.

Сотрудничество, реклама: @workhouse_price

Канал в реестре РКН: https://clck.ru/3FzjLS

Сотрудничаем с @Spiral_Yuri, @swaymedia, https://telega.in/c/hack_less
Download Telegram
🔥 Вебинар | Правила хорошего пентеста: методология и стандарты

📆 23 апреля, 11:00 (МСК)

✏️ Зарегистрироваться: https://link.credos.ru/OSbuB8

Тестирование на проникновение (пентест) — отличный способ найти дыры в безопасности инфраструктуры и залатать их до того, как хакеры получат доступ к вашим данным, а последствия атаки станут необратимыми.

Но как провести пентест правильного с первого раза? Какую стратегию тестирования выбрать (и подойдет ли она)? Что делать с результатами?

В организации пентеста много нюансов, и лучше знать их до того, как работа сделана.

Вы узнаете:
👉Какие виды пентестов бывают и как выбрать оптимальный?
👉По каким стандартам должен проходить правильный пентест?
👉На какие индикаторы смотреть, чтобы понять, что пентест проведен качественно?
👉Практическая часть: с какими уязвимостями пентестеры сталкиваются чаще всего, и как им противостоять?

Вебинар проведут практикующие эксперты в сфере кибербезопасности. Организатор мероприятия — системный интегратор «КРЕДО-С» с 30-летним опытом в ИТ.

Регистрируйтесь, если хотите предотвращать киберугрозы, а не разбираться с их последствиями.

✏️ Зарегистрироваться: https://link.credos.ru/OSbuB8

Реклама. ООО "КРЕДО-С" ИНН: 7106014366, erid: 2Vtzqwwy6AB
👍9😁2🔥1👏1
😂 Проповедь о кибербезопасности прочитали в Ижевске

В Ижевске подполковник полиции Дина Боровикова вместе с батюшкой объяснили прихожанам, как вести себя, когда звонят мошенники.

#News #meme | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍87😁61🤯96🤔4🕊2
Этичный Хакер
😈 Отключите iMessage: эксплойт за $2 млн дает контроль над iPhone без единого клика Trust Wallet призвала пользователей Apple отключить iMessage из-за информации о критической уязвимости нулевого дня, которая позволяет хакерам захватить контроль над смартфонами.…
😈 Pegasus на службе у Польши: более 500 граждан под прицелом шпионского ПО

В Польше с 2017 по 2022 г. шпионское ПО Pegasus было использовано для слежки за почти 578 гражданами, сообщил генпрокурор Адам Боднар. По его словам, пик инцидентов пришелся на 2021 год, когда было зарегистрировано 162 случая заражения.

Pegasus — это продвинутое шпионское программное обеспечение, которое израильская компания NSO Group продает правительствам мира. Программа предназначена для использования в уголовных преследованиях и разведке, но часто применяется против активистов, политиков и журналистов.


❗️ На прошлой неделе прокуроры Польши объявили о начале расследования против действующих и бывших государственных чиновников, которые, как предполагается, использовали Pegasus против членов оппозиционных партий и их союзников, в том числе оппозиционного политика Кшиштофа Брейзы.

— Ранее сообщалось о гораздо меньшем числе жертв — всего 31 человек были вызваны в прокуратуру для дачи показаний.

#News #Pegasys #Spyware | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍31🤯84🤔4🔥3
😈 Вирус OfflRouter уже почти 10 лет остаётся незамеченным в правительственных сетях Украины

Некоторые правительственные сети Украины остаются заражёнными с далёкого 2015 года. Исследователи из Cisco Talos проанализировали более 100 заражённых документов, что и позволило им выявить продолжающуюся активность вируса на территории Украины.

‼️ Принцип действия OfflRouter: VBA-макросы, вложенные в документы Microsoft Word, при запуске заражённого документа сбрасывают исполняемый .NET-файл с именем «ctrlpanel.exe», который затем заражает все файлы с расширением «.doc», найденные на компьютере и подключенных съёмных носителях, не трогая при этом документы «.docx» и любые другие файлы прочих форматов.

— Вредонос OfflRouter уже несколько раз был замечен различными организациями безопасности. В 2018 году о нём впервые сообщила команда MalwareHunterTeam, а в 2021 эксперты CSIRT.SK направили информацию о заражённых файлах прямо на веб-сайт украинских киберспециалистов.

#Malware #Vulnerability #Ukraine | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍45😁19🤯165🔥5👏3🤔2
😈 Podcast: подборка RedTeam-подкастов

Подготовили для вас самые стоящие подкасты, в формате взгляда со стороны атакующих, будет интересно для багхантеров и всех, кому интересны свежие уязвимости и методы их эксплуатации.

1. Day[0] — еженедельный подкаст для багхантеров, разработчиков эксплойтов и всех, кому интересны свежие уязвимости и методы их эксплуатации.
2. The Hacks — дуэт хакеров рассказывает про кибербезопасность, DevSecOps, SecOps, DevOps, автоматизацию инфраструктуры, сетевую автоматизацию и открытый исходный код.
3. Cyber Sector 7, OSINT, Hacking, & Privacyсоветы по безопасности, цифровой конфиденциальности, OSINT, а также рассказы о хакерских методах, новостях и культуре.
4. The Hacker FactoryФилипп Уайли и его гости обсуждают и раскрывают «секреты» профессионального хакерства — таинственного, интригующего и часто неправильно понимаемого занятия.
5. Black Hills Information Security — каждую неделю команда пентестеров рассказывает о последних атаках, взломах, их причинах и следствиях.

Также прикрепляю другие полезные материалы по теме:
-
GitHub: Ресурсы по информационной безопасности
- Podcast: подборка ИБ-подкастов

#Podcast #ИБ #OSINT #DevSecOps #RedTeam | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍257🔥5👏2🤔1
😈 ИБ: подборка бесплатных курсов по разным направлениям

На хабре выложили подборку бесплатных курсов, которые освещают тему ИБ, OSINT, хакинга, администрирования сетей и др.

- Хотели бы подчеркнуть, что список не претендует на полноту и некоторые курсы уже публиковались в канале:

1. Курс по Python для OSINT специалистов
2. Компьютерные сети, учебный курс
3. Бесплатные курсы, книги и ресурсы Linux
4. Полный курс по этичному хакингу
5. Администрирование информационных систем
6. Профессиональная сертификация ‘Google Cybersecurity’

#Course #ИБ #OSINT #Network | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
26👍9👏4🕊3🔥2
Этичный Хакер
😈 Более 600 тыс. владельцев «‌‎серых» сим-карт лишились связи За 2023 году Роскомнадзор обнаружил, что из 351 миллиона мобильных номеров российских операторов связи, примерно 43 миллиона оформлены с нарушениями. С сентября по декабрь 2023 года связь была…
😈 Черный рынок сим-карт: как злоумышленники обходят закон

Федеральная служба России провела масштабную операцию по борьбе с нелегальным распространением сим-карт в 40 регионах страны. В ходе рейдов было конфисковано более 600 сим-банков и около 300 тысяч сим-карт.

SIM-банк представляет собой компактное устройство, позволяющее установить десятки сим-карт для организации мобильного колл-центра. Это дает возможность совершать множество звонков одновременно и рассылать sms-сообщения в массовом порядке.

Для активации сим-карты требуется ее регистрация с привязкой к паспортным данным физического лица. Но для злоумышленников это не проблема. На черном рынке, в том числе в даркнете, продаются уже активированные сим-карты по ценам от 400 рублей за штуку. Есть даже предложения от иностранных операторов, если номер нужен для доступа к западным сервисам.

#SIM #News | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍34🔥7🤯72🤔1
😈 API Security Academy: сборник заданий GraphQL

По ссылке ниже можно найти бесплатную коллекцию заданий, которые научат Вас атаковать и защищать приложения, использующие GraphQL. Это подробные уроки, из которых Вы узнаете о различных уязвимостях и передовых методах обеспечения защиты.

Список уроков по GraphQL:
1. Prevent Mutation Brute-Force Attacks;
2.
Implement Object-Level Authorization;
3.
Disable Debug Mode for Production;
4.
Combat SQL Injections;
5.
Limit Query Complexity;
6.
Implement Field-Level Authorization;
7.
Configure HTTP Headers for User Protection;
8.
Validate JSON Inputs;
9.
Implement Resolver-Level Authorization.

#API #GraphQL #Recon | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍196🔥5👏1
😈Тинькофф подтвердил начало тестирования сервиса "Фрод-рулетка".

«Сервис пока находится в режиме раннего пилотирования, сейчас мы подключаем первых тестировщиков, в том числе тех, кто имеет опыт пранков или тех, кто ментально готов к возможному телефонному конфликту с мошенниками», - заявили в Тинькофф.

Решение о запуске и масштабировании "Фрод-рулетки" будет приниматься по факту испытаний, так как предстоит много технической работы: «Мы учимся управлять звонками мошенников и заводить их в "Фрод-рулетку". Это непростая задача»."

#News | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥34👍10😁5🤔2👏1
😈 Инфраструктурный пентест по шагам: боковое перемещение и повышение привилегий в сети

Ранее наш коллега @elliot_cybersec выпускал материал, про методы подхода к разведке целей, а также ключевые этапы сканирования. Теперь необходимо разобраться в анализе парольных политик, ACL и DNS, найти способы бокового перемещения и провести обзор основных актуальных техник повышения привилегий.

В этой статье вас ждет база — те вещи, которые должен знать каждый начинающий пентестер, занимающийся аудитами внутренней инфраструктуры.

🗣 Ссылка на чтиво

Также прикрепляю предыдущие материалы по теме:
- Инфраструктурный пентест по шагам: инструменты, методологии и разведка
- Инфраструктурный пентест по шагам: сканирование и получение доступа

#Пентест #Infrastructure #Recon #ACL #DNS #AD | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍20🔥5🤔54👏2
😈 США объявляет войну иранским хакерам

Минфин США объявило о введении санкций против четырех граждан Ирана и двух компаний за участие в кибератаках против американских правительственных учреждений, оборонных подрядчиков и частных компаний.

Санкции затронули две компании — Mehrsam Andisheh Saz Nik (MASN) и Dadeh Afzar Arman (DAA), которые действовали в интересах Киберкомандования Стражей Исламской Революции (IRGC-CEC).


- Госдепартамент США также объявил о награде в размере до $10 млн. за информацию о Каземифаре, Салмани, Харуни, а также о компаниях MASN и DAA.

#News #USA #Iran #Hackers | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
😁41👍17🔥9🤔3👏2
😈 Ликбез по распространенным Client-Side уязвимостям

Client Side-уязвимости — слабые места или ошибки в ПО, на стороне пользователя (обычно в контексте веб-браузера или мобильного приложения), которые можно использовать для атак или несанкционированного доступа к системе.

В данном материале будут рассматриваться:
· как в разных ситуациях манипулировать веб-сайтом так, чтобы передавал пользователям вредоносный JavaScript.
· как скомпрометировать администратора сайта, отправив ему личное сообщение;
· как атаковать разом всех пользователей при помощи комментария под статьей;
· как заставить пользователя отправить запрос на действия, которые он не собирается выполнять;
· как прослушивать WebSocket-соединения;

В общем, под катом вас ждет рассказ про распространенные уязвимости на стороне клиента и некоторые методы Client-Side защиты.

🗣 Ссылка на чтиво

Также прикрепляю другие полезные материалы по Client-Side уязвимостям:
- Уязвимость XSS: определение и предотвращение
- Уязвимость CSRF: исследуем межсайтовую подделку запроса
- Руководство по пентесту WebSocket
- Поиск уязвимостей IDOR (BOLA)

#XSS #CSRF #IDOR #CSWH | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍24🔥7🕊4🤔21😁1
💻 K8s LAN Party — сборник задач по поиску уязвимостей в кластере Kubernetes прямо в браузере

На этот раз расскажу о инструментах, которые помогают научиться защищать кластеры Kubernetes. K8s LAN Party - это набор из пяти CTF-сценариев, в которых пользователю нужно найти уязвимости в кластере Kubernetes. Каждый сценарий посвящен проблемам сети Kubernetes.

❗️ Выход инструмента был приурочен к прошедшей в марте этого года конференции KubeCon EMEA 2024.

- В статье речь пойдёт о том, зачем нужен этот инструмент, а также пройдём все сценарии, которые предлагает K8s LAN Party, и поделюсь мнением о том, насколько это классный инструмент и кому он будет полезен.

🗣 Ссылка на чтиво

‼️ Также прикрепляю другие полезные материалы по теме #Kubernetes:
- Kubeshark — мониторинг и анализ Kubernetes
- Kubernetes Pentest All‑in‑One: The Ultimate Toolkit

#Kubernetes #CTF #DevOps | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍18🔥5👏43😁1
😈 Великобритания приняла законопроект о тотальном цифровой слежке

Внесённые изменения значительно расширят возможности слежки, предусмотренные Законом о следственных полномочиях от 2016 года, которым до этого момента и пользовались разведывательные службы, полиция и некоторые чрезвычайные службы страны.

Среди ключевых нововведений: возможность слежения за интернет-соединениями подозреваемых, что позволит определить, к каким сервисам, приложениям или веб-сайтам было выполнено подключение, а также куда звонил пользователь, где он находился и когда это происходило.


- Особое беспокойство вызывает поправка, обязывающая технологические компании консультироваться с правительством Великобритании перед внедрением обновлений безопасности в ПО.

Также прикрепляю предыдущие материалы по теме #Spy:
- Раскрыта секретная система глобального мониторинга АНБ
- Принцип работы секретной системы глобального мониторинга АНБ
- Каким образом спецслужбы отслеживают пользователей мессенджеров

#News #Spy #UK | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
🤔31🤯11👍7🔥62😁2🕊2
🖥 Исходный код MS-DOS 4.0 опубликовали на GitHub

Microsoft объявила о публикации исходного кода MS-DOS версии 4.0. Раскрытие кода стало возможным благодаря сотрудничеству с IBM и проводится под лицензией MIT. Этот шаг является частью инициативы по поддержке открытой инновации.

— Версия 4.0 вызывает особый интерес у энтузиастов, так как данный релиз был разработан совместно с IBM.

Исторические материалы MS-DOS 4.0, включая исходный код, бинарные файлы и документацию, теперь также доступны на GitHub. Скотт Хансельман и интернет-архивист Джефф Спонаугл восстановили данные с оригинальных дискет, полученных от Оззи. Эти материалы, известные как «Ozzie Drop», включают редкие версии программного обеспечения и исходный код «ibmbio.com».

#Microsoft #GitHub #DOS | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
29👍26😁11🔥4🤔2👏1
Media is too big
VIEW IN TELEGRAM
😈 Взлом сейфа SentrySafe с помощью Flipper Zero

Исследователь безопасности, продемонстрировал способ взлома некоторых электронных сейфов SentrySafe с использованием устройства Flipper Zero и эксплуатации уязвимости в протоколе управления контроллера(UART).

— В подробном видео показан процесс реверс-инжиниринга принципа работы сейфа, использующего соленоид для блокировки/разблокировки механизма запирания двери. Осуществляется перехват данных, передаваемых по протоколу UART от панели ввода ПИН-кода к основному контроллеру сейфа.

#FlipperZero #ReverseEngineering #Vulnerability | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍70🔥1911👏7🤔1
This media is not supported in your browser
VIEW IN TELEGRAM
😈 Разрабы на седьмом небе: в VSCode внедрили пять нейросетей

Данные нейросети бесплатно пишут, фиксят и объясняют весь код, а если вдруг результат не удовлетворил ваших потребностей — можно тут же выбрать другую нейронку.

❗️ Как подключить ИИ в VSCode:

1. Создаем аккаунт в NVIDIA AI здесь.
2. Жмём на любую модель и кликаем «Get API key».
3. Скачиваем расширение CodeGPT в VSCode.
4. В нём выбираем провайдера NVIDIA и вставляем скопированный API-ключ.
5. Всё готово — Llama-3, Mixtral, Gemma, Phi-3 и другие доступны в среде разработки.

#News #VSCode #Dev #ИИ | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥63👍229🤔7
❗️ Критическая брешь в R позволяет хакерам устроить атаку на цепочку поставок

В языке программирования R обнаружена критическая уязвимость, получившая обозначение CVE-2024-27322, оценена в 8.8 балла из 10 по шкале CVSS. Проблема связана с процессом десериализации данных в R, то есть с преобразованием объектов, закодированных в форматах, таких как JSON, XML и binary, обратно в их исходную форму для использования в приложении или программе.

— Язык R особенно он популярен среди разработчиков в сферах финансовых услуг, здравоохранения, научных исследований, государственного управления и в средах, связанных Big Data, такими как ИИ и машинное обучение.

#News #R #CVE | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍27🤯10🔥85😁3
😈 XKEYSCORE: Глаз бога, следящий за всем миром

Ранее мы поднимали тему принципов работы систем глобального мониторинга АНБ, а точнее Turbine и Turmoil, и вам понравилось, ныне на очереди - XKEYSCORE. Согласно данным, XKeyscore «кормится» потоками данным, собирая их прямиком с оптоволоконных кабелей по всему миру. Собранные данные хранятся на серверах агентства 3-5 дней, а метаданные и вовсе до 45 дней.

«Я, сидя за столом, — сказал Сноуден, — могу прослушивать любого, включая вас или ваш бухгалтера, до федерального судьи или даже президента, если у меня есть адрес личной электронной почты»

— XKeyscore позволяет АНБ перехватывать чаты, email, а также: «фотографии, документы, голосовые звонки, нажатия клавиш, логины и пароли, Skype-звонки, файлы, загружаемые в онлайновые сервисы, фото с веб-камер, истории поисковых запросов, анализ рекламного трафика, трафик социальных медиа, трафик ботнетов, CNE таргетинг».

👀 Кроме того, выяснилось, что XKS очень проста в использовании, и не требует глубоких познаний. Более того, интерфейс XKEYSCORE не сложнее интерфейса поиска Google. Для просмотра сообщений, аналитику необходимо: ввести адрес электронной почты человека в простую форму онлайн-поиска, с указанием обоснования для поиска и периода, за который необходимы письма.

Так сотрудникам АНБ понадобилось всего лишь набрать email-адреса определенных сотрудников ООН в XKeyscore, чтобы получить доступ к их приватным беседам в 2013 году. Известно так же о неком лидере Аль-Каиды, который гуглил себя, а АНБ успешно отслеживало его активность посредством XKEYSCORE.

Также прикрепляю другие полезные материалы по теме #Spy:
- Великобритания приняла законопроект о тотальном цифровой слежке
- Методы противодействия незаконной слежки
- Каким образом спецслужбы отслеживают пользователей мессенджеров (без доступа к устройству и ключам)

#NSA #Spy #Recon | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
🤯30👍2112🔥4🤔2🕊2👏1
This media is not supported in your browser
VIEW IN TELEGRAM
😈 Самый разыскиваемый хакер приговорен к 6 годам тюрьмы в Финляндии

26-летний хакер Юлиус Кивимяки приговорен к 6 годам лишения свободы. Суд признал Кивимяки виновным более чем в 9 200 случаях распространения информации, посягающей на частную жизнь людей, более чем в 20 000 случаев попыток шантажа и в 20 случаях вымогательства.

— По данным полиции, около 22 000 жертв сообщили о попытках вымогательства до €500 с каждого. Изначально Кивимяки потребовал у Vastaamo 40 BTC, но компания неохотно шла на контакт, поэтому он попытался зайти с другой стороны. Хакер начал рассылать письма клиентам, требуя разные суммы, от €200 до €500 евро, и обещая взамен не разглашать подробности их сессий с психологами.

❗️ Самое примечательное, что вся крипта проходила через Monero и полиция смогла отследить транзакции, до этого дела, XMR считалась полностью анонимной и неотслеживаемой.

#News #TrueCrime | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
🤯75👍31😁197👏4🤔2🔥1
😈 Чернуха трепещи: GCN отслеживает блокчейн

Новая методика с использованием Machine Learning, позволяет выявлять преступную деятельность в блокчейне Bitcoin, включая отмывание денег и передачу средств на подозрительные кошельки.

В ходе исследования был проанализирован 26-гигабайтный массив, содержащий 122 тысячи маркированных подграфов в пределах блокчейна, включающего 49 миллионов узлов и 196 миллионов транзакций. GCN определила связи между кошельками и транзакциями, связанными с незаконной деятельностью.


❗️ Исследование применило три метода классификации подграфов: GNN-Seg, Sub2Vec и GLASS, что позволило выявить множество счетов криптобирж, потенциально занимающиеся нелегитимной деятельностью.

Использование GCN на уровне подграфов позволяет предсказать, являются ли определённые транзакции преступными или нет, в отличие от традиционного анализа уже заведомо нелегитимных криптокошельков.

#News #ML #Blockchain #Bitcoin | 🧑‍💻 Этичный хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
👍32🤯9🕊8🔥4🤔21👏1