ПМ провёл мастер-классы на VII Летней школе кибербезопасности в НИУ МЭИ

На протяжении недели студенты кафедры безопасности информационных технологий Национального исследовательского университета «МЭИ» работают вместе с ведущими экспертами отрасли над решением практических задач.

9 июля специалист по информационной безопасности ПМ Ярослав Немцов провёл киберквест Red Team vs Blue Team на киберполигоне Ampire. В первой части квеста участники исследовали защищённость внешнего веб-сайта, находя в ней уязвимости. Во второй части они вместе с ведущим детектировали атаку на веб-сайт при помощи СЗИ, создавали карточки инцидентов и устраняли последствия кибератаки.

Наталия Кабакова, старший специалист по ИБ, провела для студентов киберквест на Ampire Junior по сценарию GEOINT — «Геопространственная разведка».

«Студенты задавали большое количество вопросов, за лучшие из которых мы вручили призы. Студенты очень заинтересовались развитием киберполигона, предлагали новые идеи для реализации в будущем. Заведующий кафедрой Александр Невский также принял участие в данном обсуждении и пригласил ПМ на следующие ежегодные летние школы по кибербезопасности в НИУ МЭИ», — Ярослав Немцов.

ℹ️НИУ МЭИ использует киберполигон Ampire для обучения студентов с 2023 года. Университету также доступен модуль Junior.

ПМ провёл мастер-класс по GEOINT в ГУАП

📆 С 7 по 21 июля в Санкт-Петербургском государственном университете аэрокосмического приборостроения проходит летняя школа «Криптография и информационная безопасность». Мероприятие, организованное Криптографическим центром (Новосибирск) и Международным математическим центром в Академгородке, собрало более 200 участников из 35 городов России — от школьников до преподавателей вузов.

В рамках школы специалисты 🐶«Перспективного мониторинга» Анна Хромова, Владислав Демехин и Артур Слепнев провели мастер-класс по методам геопространственной разведки (GEOINT).

Участники познакомились с методами сбора, анализа и интерпретации геопространственных данных, включая использование картографических ресурсов, геоинформационных систем (ГИС), а также информации из открытых источников — таких как изображения с геометками в социальных сетях.

«Пространственные данные — это не только карты и спутниковые снимки. Это любые данные, связанные с географическим положением. GEOINT позволяет на их основе получить целостную картину происходящего», — отметил Артур Слепнев.

Ampire 1.8: дашборд доступных ресурсов, сохранение прогресса в Ampire Junior и копирование тренировки

Новая версия Ampire содержит важные изменения, упрощающие решение ежедневных задач, а также три новых уязвимых узла.

🥇 Для преподавателей теперь доступна новая страница — «Ресурсы сервера». Она позволяет спрогнозировать, сколько тренировок по конкретному шаблону на текущий момент можно создать с учётом загруженности сервера.

🥇 Добавлена новая функция — копирование тренировки. Она позволяет создать тренировку с такими же параметрами, как у предыдущих, и не вводить все параметры вручную.

🥇 В новой версии Ampire добавлены три новых уязвимых узла: уязвимости в системе мониторинга IT-инфраструктуры, кроссплатформенной системе сборки сервера и системе массового управления учетными записями пользователей.

🥇 В Ampire Junior теперь весь пользовательский прогресс автоматически сохраняется, даже если пользователь случайно закрыл вкладку или заполнил форму с ошибками. Преподаватель, в свою очередь, может в режиме онлайн наблюдать прогресс участника и видеть его ответы на задания.

🔗 Подробнее об обновлении читайте на сайте

😀😀😀😀
Уязвимость SQL-инъекции в Fortinet FortiWeb (CVE-2025-25257)

Эксплуатация уязвимостей в средствах защиты информации (T1190) является популярным способом получения доступа к системе. Обращаясь к OWASP TOP-10 2021, инъекции кода занимают 3 место в общем списке. В частности, SQL-инъекции остаются одним из самых простых и эффективных способов выполнения произвольного кода.

Попытки реализации подобных атак позволяют:
🟠Раскрыть пользовательские и системные данные (T1005);
🟠Уничтожить информацию в базах данных (T1485);
🟠Доставить инструменты для получения привилегированного доступа к системе и дальнейшего развития атаки (T1105).

Коротко о продукте:

FortiWeb – межсетевой экран уровня веб-приложений, предназначенный для защиты от эксплуатации уязвимостей.

Описание уязвимости:

CVE-2025-25257 оценена в 9.8 баллов из 10 по шкале CVSSv3.1. Высокая критичность вызвана низкими требованиями для эксплуатации и значительной результативностью – от первоначального воздействия на базу данных до получения полного контроля над системой. Участие пользователя устройства или аутентификационные данные при этом не нужны.

Описание механизма эксплуатации уязвимости:

🟠Слабым звеном продукта является компонент Fabric Connector, отвечающий за обмен информацией между FortiWeb и другими решениями экосистемы Fortinet. Функция fabric_access_check считывает значение токена аутентифицикации из HTTP-заголовка «Authorization», имеющего вид: Authorization: Bearer user_token

🟠После чего user_token используется в функции get_fabric_user_by_token для выполнения SQL-запроса:

select id from fabric_user.user_table where token='user_token'

🟠В результате использование пользовательских данных без фильтрации делает возможным внедрение SQL-инъекции. Для этого злоумышленник должен отправить HTTP-запрос с полезной нагрузкой в заголовке «Authorization» к одному из конечных адресов системы:

/api/fabric/device/status
/api/v[0-9]/fabric/widget/[a-z]+
/api/v[0-9]/fabric/widget

🟠Также стоит отметить, что полезная нагрузка не должна содержать пробелы, поскольку функция чтения токена считывает строку user_token до первого пробела. Вместо пробелов следует использовать конструкцию /**/. Кроме того, длина user_token ограничена 128 символами.

Пример эксплуатации:

С помощью последовательности HTTP-запросов злоумышленник может добавить в существующую таблицу программный код инструмента, затем объединить фрагменты в один файл и осуществить его запуск. Доставка кода инструмента реализуется несколькими запросами с заголовками, содержащими полезную нагрузку. Например:

Authorization: Bearer '/**/;UPDATE/**/fabric_user.user_table/**/SET/**/token=UNHEX('696d706f72');SELECT/**/'1'

Authorization: Bearer '/**/;UPDATE/**/fabric_user.user_table/**/SET/**/token=CONCAT(token,UNHEX('74206f733b'));SELECT/**/'1'

Для извлечения кода инструмента из столбца таблицы и записи в отдельный файл применяется заголовок:

Authorization: Bearer '/**/UNION/**/SELECT/**/token/**/from/**/fabric_user.user_table/**/into/**/outfile/**/'../../lib/python3.10/site-packages/x.pth

Для запуска загруженного инструмента используется запрос к конечному адресу:

/cgi-bin/ml-draw.py

❗️В базах решающих правил AM Rules ПМ доступны способы защиты для описанной CVE. Правило и его описание можно посмотреть на AM TIP

#AM_Rules

Кража NFT-подарков в Telegram: механизмы, инструменты и рекомендации по защите

Последние обновления в мессенджере Telegram расширили пользовательские возможности, которые открыли новые двери для злоумышленников.

В приложении мессенджера появились новый функционал — открытый рынок подарков в Telegram, и на этом фоне тема NFT стала вновь популярна.

Сегодня разберемся с трендом на NFT-подарки: их довольно сложно получить из-за конкуренции с ботами, а потерять — проще простого.

Мы расскажем и покажем:

🟠как мошенники могут забрать все NFT, даже без участия жертвы;
🟠как они находят пользователей для осуществления схемы;
🟠какие инструменты используют;
🟠как уберечь свои уникальные цифровые продукты.

Читайте статью Артура Слепнева, старшего аналитика данных ПМ.

🔗 Читать статью