🛠 msaRAT: новый способ спрятать C2 внутри Chrome

Cisco Talos разобрал msaRAT — вредонос, который использует headless Chrome или Edge как канал управления. Вместо собственного сетевого трафика он заставляет браузер подключаться через WebRTC, используя Cloudflare Workers и Twilio TURN.

На что обратить внимание:

🔴 запуск браузера с --headless и --remote-debugging-port;
🔴 нестандартный user-data-dir;
🔴 неожиданные WebRTC-соединения от Chrome или Edge.

💡 Хороший пример техники Living off the Browser — когда злоумышленник использует уже установленный браузер вместо собственного клиента.

🔗 Отчёт Cisco Talos:

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🇰🇷 Злоумышленники незаметно находились в сети Академии дипломатии Южной Кореи

Правительство Южной Кореи сообщило, что неизвестные атакующие почти 10 месяцев имели доступ к онлайн-системе Национальной дипломатической академии и похитили персональные данные действующих и бывших сотрудников МИД, включая дипломатов за рубежом.

📌 Что известно
— доступ сохранялся около 10 месяцев;
— похищены персональные данные сотрудников и слушателей академии;
— среди пострадавших — действующие дипломаты.

📌 Почему это важно

Это не обычная корпоративная сеть, а инфраструктура, связанная с подготовкой дипломатов. Такие данные представляют особую ценность для разведывательных операций и целевых атак.

📊 Для сравнения: по данным Mandiant M-Trends 2026, средний dwell time составляет 21 день. Здесь злоумышленники оставались незамеченными около 300 дней — более чем в 14 раз дольше.

🔗 Ссылка на разбор

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown

🔥 Вопрос с собеседования

Чем Pass-the-Hash отличается от Pass-the-Ticket?

👇Правильный ответ:

Pass-the-Hash (PtH) — злоумышленник использует NTLM-хеш вместо пароля для аутентификации по NTLM.

Pass-the-Ticket (PtT) — используется уже полученный Kerberos-билет (TGT или TGS), без необходимости знать пароль или хеш.

⚡️ Сильный ответ:

«PtH работает через NTLM и использует NTLM-хеш, а PtT — через Kerberos и использует готовые билеты. Это разные механизмы аутентификации, поэтому защита от одной техники не всегда защищает от другой.»

👍 — хороший вопрос
🔥 — забрал в копилку

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#ctf_challenge

Самая дорогая часть агентной разработки — не всегда код 🤗

😱 Знакомо? Лимит уже закончился, а задача всё ещё не готова. Часть токенов могла уйти на повторное чтение файлов, лишний контекст и неудачные попытки.

⚡️ Этому посвящён отдельный блок курса «ИИ для разработчиков». Вы разберёте расходы на собственных проектах, сравните подходы и найдёте места, где агент выполняет лишнюю работу.

В итоге станет понятнее, сколько ресурсов выделять на запуск, когда его останавливать и в какой момент лучше изменить подход 🔍

До 31 июля курс можно купить со скидкой, а все материалы останутся в бессрочном доступе.

🔗 Узнать подробности о курсе

🏃‍♀️ Proglib Academy

📌 Обход WAF: 5 актуальных ресурсов для изучения

Подборка для тех, кто хочет разобраться, как современные атакующие обходят защиту веб-приложений, несмотря на использование WAF.

➡️ Обзор техник обхода WAF

Статья на Medium описывает методы обхода, включая обфускацию полезных нагрузок, использование альтернативных HTTP-методов и инъекцию заголовков.

➡️ WAFFLED: использование различий в парсинге для обхода WAF

Исследование показывает, как различия в парсинге HTTP-запросов могут быть использованы для обхода популярных WAF, таких как AWS, Azure, Cloudflare и ModSecurity.

➡️ Обход Cloudflare

Блог BrightData предоставляет пошаговые методы обхода защиты Cloudflare, включая использование Python-скриптов и автоматизацию браузера.

➡️ Использование JSON и XML для обхода WAF

Статья на Claroty объясняет, как злоумышленники используют недостаточную поддержку синтаксиса JSON в WAF для обхода защиты.

➡️ Исследование обхода AWS WAF

Блог Sysdig анализирует способы обхода AWS WAF с использованием специализированных DOM-событий, выявленных в ходе фуззинга.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#hack_humor

🔥 XXE в парсере отчетов

Сервис принимает XML без отключения внешних сущностей.

Какой основной риск? Голосуйте реакцией ✅

🔥 — Только DoS через «Billion Laughs»
👾 — Утечка локальных файлов / SSRF
❤️ — Ошибка схемы и падение парсера

🐸 Библиотека хакера

#ctf_challenge

💻 TUI-тренажёр для практики работы в терминале

Около 70 заданий, которые помогут освоить основы CLI. Формат игровой: проходить интересно, а заодно и полезно для прокачки навыков.

Отличный вариант для самообучения и набора опыта 👋

🔗 Ссылка на GitHub

🐸 Библиотека хакера

#resource_drop

🤔 У большинства разработчиков уже есть подписки на IDE, GitHub Copilot, Claude, ChatGPT или облачные сервисы.

Логично, что обучение тоже постепенно приходит к той же модели: не покупать отдельный курс под каждую новую тему, а иметь доступ ко всей библиотеке и выбирать, что актуально именно сейчас.

Такой формат недавно появился и в Proglib Academy. Вместо одного курса — доступ сразу ко всей библиотеке и новым материалам, которые появляются в подписке 😎

🔗 Подробнее

🏃‍♀️ Proglib Academy

🔗 OAuth2 — шпаргалка для пентестера

Чеклист уязвимостей, быстрые признаки и инструменты — PKCE, JWT, redirect_uri, CORS, хранение токенов.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

📎 Трафик под микроскопом: ставим Maltrail

Как работает:

🔢 Пассивно слушает входящий и исходящий трафик
🔢 Сверяет IP, домены и URL с базой из сотен открытых источников (AlienVault, dshield, Emerging Threats, ransomware-трекеры и др.)
🔢 При совпадении пишет в лог и отображает событие в веб-интерфейсе

⚠️ Важно учитывать:

Это IDS — обнаруживает, но не блокирует

Возможны false positive (иногда всплывают IP Google / Cloudflare)

Отлично подходит для pet-проектов и небольших серверов — минимальная нагрузка и быстрая настройка

🔗 Ссылка на GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🙂 AI-агентов отправили в настоящий багфикс

В CyberGym-E2E собрали 920 реальных уязвимостей из open-source проектов. Задача агента звучит почти как тикет от сурового тимлида: самому найти баг, воспроизвести его, написать фикс — и при этом ничего не сломать рядом.

То есть мало выдать правдоподобный патч. Нужно ещё доказать, что уязвимость действительно закрыта, а проект после этого жив.

И вот это уже гораздо ближе к реальной разработке, чем «напиши безопасный код» в промпте 😅

На курсе «ИИ для разработчиков» похожая логика применяется к работе со своими проектами: агентам задают границы, проверки и quality gates. А доступ к курсу теперь можно взять вместе со всей библиотекой Proglib Academy по подписке 😮

🔗 Посмотреть, что входит в подписку

🏃‍♀️ Proglib Academy