TheNote
SANS Internet Storm Center, In... Заметка
GooglePlay AppStore

SANS Internet Storm Center, InfoCON: green на русском

Сайт "isc.sans.edu" является частью Института SANS, одного из самых надежных учреждений по обучению и сертификации в области кибербезопасности. Он ориентирован преимущественно на информацию и предлагает различные ресурсы в области кибербезопасности. На главной странице сайта 'isc.sans.edu' в режиме реального времени публикуются новости о киберугрозах и уязвимостях, поступающие из Центра интернет-штормов SANS. Информация отображается в виде приборной панели с последними обновлениями, графиком уровня угроз и показателями. Предлагается проект диагностики, включающий сигнатуры вредоносных программ, каналы угроз и наборы правил для полного анализа кибербезопасности. Кроме того, сайт isc.sans.edu предлагает обучение и тренинги для профессионалов в области кибербезопасности, а также форум для обсуждения тем кибербезопасности. Основные разделы сайта включают: 1. InfoStorms: Отслеживает и сообщает о штормах, а также предлагает меры по снижению непосредственных угроз. 2. Угрозы: В эту категорию входят текущие глобальные киберугрозы. 3. Бесплатные инструменты: Для тестирования и оценки систем против киберугроз на сайте доступен ряд бесплатных инструментов. 4. Образование: На выбор предлагаются различные учебные курсы по кибербезопасности. 5. Уязвимости: В этом разделе вы найдете информацию о прошлых уязвимостях и руководства по их устранению.
SANS Internet Storm Center, InfoCON: green isc.sans.edu
RSS isc.sans.edu
RSS Hunter RSS Hunter • 22 авг. 2024 г.

Трэд заметок

Обнаружение портала авторизации, (Вт, 21 июля)

Не всё, что обнаруживают наши ловушки, является атакой. Иногда это просто "странный трафик", и вот один из примеров: Наш список "Впервые замечено" в настоящее время включает "http://detectportal.firefox.com/success.txt" как один из новых URL-адресов, обнаруженных нашими ловушками. Имя хоста "detectportal" как бы намекает на то, что здесь происходит.
Captive Portal Detection, (Tue, Jul 21st) isc.sans.edu
RSS Hunter RSS Hunter • Вчера

Эксплуатация WordPress продолжается (CVE-2026-63030), (Пн, 20 июля)

На прошлой неделе Searchlight Cyber опубликовала подробности об уязвимости, которую они назвали "wp2shell". Изначально об уязвимости было объявлено без номера CVE. Но теперь ей присвоен CVE-2026-63030. Многим уязвимостям плагинов WordPress никогда не присваиваются номера CVE. Но wp2shell отличается. Это уязвимость SQL-инъекции в ядре WordPress, а не в плагине, и она может привести к удаленному выполнению кода без аутентификации. Вскоре после объявления уязвимость начала эксплуатироваться.
WordPress Exploitation Underway (CVE-2026-63030), (Mon, Jul 20th) isc.sans.edu
RSS Hunter RSS Hunter • 20 июл.

Сканирование интеллектуального API безопасности Hikvision (Вс, 19 июля)

Мы уже очень, очень давно следим за проблемами с камерами Hikvision. Как и многие аналогичные продукты, камеры Hikvision имеют долгую историю уязвимостей и часто становятся целью общесетевых сканирований, которые обнаруживает наша сеть ловушек.
Scans for Hikvision Intelligent Security API, (Sun, Jul 19th) isc.sans.edu
RSS Hunter RSS Hunter • 19 июл.

Недавнее обновление DShield SIEM (вторник, 14 июля)

Последнее обновление DShield SIEM [4] было в сентябре 2025 года и содержало некоторые незначительные изменения. Это обновление в настоящее время использует стек ELK версии 8.19.15, содержит дополнительные панели мониторинга и новые журналы.
Recent DShield SIEM Update, (Tue, Jul 14th) isc.sans.edu
CdXz5zHNQW_YSCvUI7QE0.png
RSS Hunter RSS Hunter • 15 июл.

Microsoft Patch Tuesday Июль 2026 - ИИ-Апокалипсис наступил, (Вт, 14 июля)

Этот "вторник исправлений" включает в себя ошеломляющие 622 уязвимости, не считая еще 427 уязвимостей в Chromium, затрагивающих браузер Microsoft Edge. 62 из уязвимостей оценены как критические. Одна была раскрыта до сегодняшнего дня, а две уже были использованы.
Microsoft Patch Tuesday July 2026 - The AI Acopolypse is Here , (Tue, Jul 14th) isc.sans.edu
RSS Hunter RSS Hunter • 14 июл.

«Набивка комментариев» в фишинговом вложении HTML как механизм уклонения от обнаружения на основе ИИ? (Пт, 10 июля)

Любой, кто сталкивался с фишинговыми сообщениями, отфильтрованными базовыми средствами безопасности, знает, что большинство фишинговых образцов склонны сливаться друг с другом, поскольку в них постоянно повторяется лишь небольшой набор техник и подходов. Именно поэтому стоит остановиться на редком сообщении, которое делает что-то немного необычное.
"Comment stuffing" in an HTML phishing attachment as a mechanism for evading AI-based detection?, (Fri, Jul 10th) isc.sans.edu
CdXz5zHNQW_TM5voaAaLM.png
RSS Hunter RSS Hunter • 10 июл.

My Stack Simulator, (среда, 8 июля)

Стек — это область памяти, где программа хранит временные данные -&#;x26;#; xc2; &#;x26;#; xa0; Например, локальные переменные и обратные адреса. Представьте стопку как кучу тарелок на кухне: можно добавить только новую тарелку сверху, и убрать только одну сверху. Программы используют тот же принцип «последний вошёл — первый вышел», чтобы отслеживать, что они&#;x26;#; 39; Я делаю. Каждый раз, когда вызывается функция, программа добавляет новую пластину в стек, содержащую такие элементы, как локальные переменные и адрес, к которому нужно вернуться после завершения функции. Когда функция завершена, эта пластина снимается сверху, и выполнение продолжается ровно с того места, где остановилось. Этот простой механизм позволяет программам вызывать функции внутри функций внутри функций и всегда находить путь обратно -&#;x26;#; xc2; &#;x26;#; xa0; но это&#;x26;#; 39; Также именно поэтому стек, который становится слишком большим или перезаписывается неожиданными данными, становится любимой целью для злоумышленников, желающих захватить программу&#;x26;#; 39; Процесс исполнения.
My Stack Simulator, (Wed, Jul 8th) isc.sans.edu
CdXz5zHNQW_vz6S9CI9sK.png
RSS Hunter RSS Hunter • 8 июл.

Больше необычных DNS-записей: NIMLOC, (вторник, 7 июля)

Вчера я рассказывал о записях NAPTR и их связи с RCS. Но есть еще одна "странная" запись, которая появляется в моих логах DNS. Она не новая, но я не думаю, что когда-либо рассказывал о ней: NIMLOC. По крайней мере, так ее называет Zeek. Но давайте посмотрим, что это такое.
More Odd DNS Records: NIMLOC, (Tue, Jul 7th) isc.sans.edu
RSS Hunter RSS Hunter • 7 июл.

RCS и DNS: запись NAPTR, (Пн, 6 июля)

За последний год, с недавними обновлениями iOS и Android, RCS (Rich Communication Services) стал все более используемым протоколом [1]. RCS призван в конечном итоге заменить SMS и, помимо расширенного форматирования, обеспечивает дополнительную (но необязательную) безопасность. Сообщения RCS могут быть зашифрованы сквозным шифрованием и подписаны цифровой подписью. В отличие от SMS, который был "прикручен" к существующим стандартам телефонной связи, ориентированным на голос. Стандарт SMS был основан на старомодных пейджерах и допускал ограниченное общение в открытом тексте. RCS построен с нуля на современной IP-инфраструктуре сети и ведет себя больше как IP-сервисы чата (например, iMessage, WhatsApp...). RCS определяет формат сообщений, в то время как протоколы, такие как SIP, используются для установления соединений и передачи сообщений.
RCS and DNS: The NAPTR Record, (Mon, Jul 6th) isc.sans.edu
RSS Hunter RSS Hunter • 6 июл.

Зачем спрашивать рекомендации, если есть секретные коды?, (среда, 1 июля)

Сегодня утром, в мою почтовую коробку попало интересное фишинговое письмо. Оно нацелено на Metamask[1], криптовалютный кошелек, доступный как расширение браузера и мобильное приложение, который позволяет пользователям хранить, отправлять и получать криптовалюту. Он довольно популярен, поэтому это сочная добыча для преступников. В феврале я уже упоминал кампанию против них[2].
Why Ask Credentials If There Are Secret Codes?, (Wed, Jul 1st) isc.sans.edu
CdXz5zHNQW_vOmGwzatvt.png
RSS Hunter RSS Hunter • 1 июл.

Добавление автоматизации к методу обнаружения хостов с помощью favicon.ico (Пн, 29 июня)

Я нахожусь в процессе разведки целевых хостов для очередного пентеста и решил поделиться некоторыми рабочими процессами / автоматизацией. В прошлом я рассказывал об использовании исторического "майнинга" DNS для сбора целевых хостов в домене.
Adding some Automation to the favicon.ico method of Host Recon, (Mon, Jun 29th) isc.sans.edu
CdXz5zHNQW_NzL1JW6Hz1.png
RSS Hunter RSS Hunter • 29 июн.

Что слышат порты, когда никто не слушает? Оценка автоматизированной киберпреступности [Дневник гостя], (среда, 24 июня)

[Это гостевой дневник Николь Филлипс, стажера ISC в рамках программы SANS.edu BACS]
What do Ports Hear When Nobody's Listening? An Assessment of Automated Cybercrime [Guest Diary], (Wed, Jun 24th) isc.sans.edu
CdXz5zHNQW_qoWBjMBXaQ.png
RSS Hunter RSS Hunter • 25 июн.

Маскировка имени процесса Linux (среда, 24 июня)

В предыдущей записи дневника я рассказывал о строках в стеке [1] на практическом примере. После курса SEC670 я еще больше заинтересовался техниками обфускации вредоносного ПО. Я рассмотрел имена процессов. Можно ли доверять тому, что вы видите, когда просматриваете список запущенных процессов на компьютере? Если вы столкнулись с руткитом, вредоносные процессы могут быть просто скрыты (вызовы API или команды для перечисления процессов были изменены). Но вредоносный процесс также может имитировать подозрительное имя, маскируя свое имя. Эта техника (T1036 в рамках MITRE ATT&CK [2]) использовалась злоумышленниками во многих кампаниях. Хорошим примером является китайская группа Velvet Ant [3]. Цель состоит в том, чтобы скрыть имя вредоносного процесса, заменив его чем-то, что не привлечет внимания аналитика безопасности или не обойдет средства контроля безопасности.
Linux Process Name Masquerading, (Wed, Jun 24th) isc.sans.edu
CdXz5zHNQW_8mkIrJGmMB.png
RSS Hunter RSS Hunter • 24 июн.

Паутинные ракушки остаются популярными, (понедельник, 22 июня)

Веб-шеллы популярны уже давно. Мы уже освещали эту тему в нескольких дневниках [1][2]. Я потратил некоторое время на их отслеживание [3] и слегка меньше внимания уделял им, но сегодня нашел еще один. Похоже, это новый игрок (опубликован на Github два месяца назад)
Webshells Remain Popular, (Mon, Jun 22nd) isc.sans.edu
CdXz5zHNQW_Gb05VAgyq7.png
RSS Hunter RSS Hunter • 22 июн.

Из файла VHDX к Remcos RAT, (вторник, 16 июня)

Вчера один из читателей сообщил нам о вредоносном ZIP-архиве (SHA256: a0104921a2d37ab87482ac9a9f5c3713479c118846c3e999178e75b81620c094[1]). После распаковки в нём содержится файл VHDX, который после подключения (что происходит автоматически в современных операционных системах Windows) раскрывает вредоносный JavaScript:
From a VHDX File to a Remcos RAT, (Tue, Jun 16th) isc.sans.edu
CdXz5zHNQW_ugB8x5PIDr.png
RSS Hunter RSS Hunter • 16 июн.