TheNote
SANS Internet Storm Center, In... Заметка
GooglePlay AppStore

SANS Internet Storm Center, InfoCON: green на русском

Сайт "isc.sans.edu" является частью Института SANS, одного из самых надежных учреждений по обучению и сертификации в области кибербезопасности. Он ориентирован преимущественно на информацию и предлагает различные ресурсы в области кибербезопасности. На главной странице сайта 'isc.sans.edu' в режиме реального времени публикуются новости о киберугрозах и уязвимостях, поступающие из Центра интернет-штормов SANS. Информация отображается в виде приборной панели с последними обновлениями, графиком уровня угроз и показателями. Предлагается проект диагностики, включающий сигнатуры вредоносных программ, каналы угроз и наборы правил для полного анализа кибербезопасности. Кроме того, сайт isc.sans.edu предлагает обучение и тренинги для профессионалов в области кибербезопасности, а также форум для обсуждения тем кибербезопасности. Основные разделы сайта включают: 1. InfoStorms: Отслеживает и сообщает о штормах, а также предлагает меры по снижению непосредственных угроз. 2. Угрозы: В эту категорию входят текущие глобальные киберугрозы. 3. Бесплатные инструменты: Для тестирования и оценки систем против киберугроз на сайте доступен ряд бесплатных инструментов. 4. Образование: На выбор предлагаются различные учебные курсы по кибербезопасности. 5. Уязвимости: В этом разделе вы найдете информацию о прошлых уязвимостях и руководства по их устранению.
SANS Internet Storm Center, InfoCON: green isc.sans.edu
RSS isc.sans.edu
SANS Internet Storm Center, InfoCON: green на русском RSS thenote.app
RSS Hunter RSS Hunter • 22 авг. 2024 г.

Трэд заметок

HTTP-запрос: Серая зона между GET и POST. (Пт, 18 сентября)

В июне 2026 года IETF опубликовал RFC 10008[1], определяющий новый метод HTTP: "QUERY". Протокол HTTP уже претерпевал изменения (HTTP/2, HTTP/2), но это первый новый стандартный глагол HTTP с момента появления "PATCH" в 2010 году!
HTTP QUERY Method: The Grey Zone Between GET And POST., (Fri, Sep 18th) isc.sans.edu
RSS Hunter RSS Hunter • 18 сент.

Анализ LausivLoader, или как передавать данные между стадиями вредоносного ПО (Чт, 17 сентября)

В конце августа в карантин почтового шлюза одного из моих клиентов попало вредоносное письмо. Письмо ничем особенным не выделялось — в нем получателю предлагалось ознакомиться с приложенными требованиями и предоставить ценовое предложение на оптоволоконную систему, а также оно, по всей видимости, выдавало себя за сотрудника легитимной компании.Получающий шлюз поместил письмо в карантин, поскольку обнаружил вредоносное содержимое во вложении, хотя даже если бы его там не было, электронное письмо вряд ли прошло бы дальше из-за неудачных проверок SPF и DMARC.
LausivLoader analysis, or how to pass data between malware stages, (Thu, Sep 17th) isc.sans.edu
CdXz5zHNQW_TV7mD9QML2.png
RSS Hunter RSS Hunter • 17 сент.

MacOS 27 - Первый запуск, (Вт, 15 сентября)

Я давно не вел такой дневник: какой трафик вы увидите от системы при загрузке, до входа пользователя в систему? Я быстро взглянул на macOS 27 "Golden Gate", чтобы увидеть, какой трафик вы должны ожидать. Вот некоторые основные моменты:
MacOS 27 - First Boot, (Tue, Sep 15th) isc.sans.edu
RSS Hunter RSS Hunter • 15 сент.

Apple обновляет всё (пн, 14 сентября)

Сегодня Apple выпустила ежегодное обновление для всех своих операционных систем. Вместе с ним Apple не только представила новые функции, но и исправила 261 уязвимость. Это самое большое количество уязвимостей, когда-либо исправленных Apple, но прирост не так значителен, как в "пост-ИИ" выпусках исправлений других поставщиков.
Apple Updates Everything, (Mon, Sep 14th) isc.sans.edu
CdXz5zHNQW_ba57NSCWGm.png
RSS Hunter RSS Hunter • 14 сент.

Саморасширяющаяся цепочка поставок украденных выводов: ИИ-агент, собирающий и повторно предоставляющий доступ к LLM (Пт, 11 сентября)

Я выявил злоумышленника, использовавшего полуавтономный агент кодирования для проведения наступательной операции: поиск плохо защищенных шлюзов перепродажи LLM, получение доступа к API через обычные веб-уязвимости и фермерство аккаунтов, проверка полученной мощности для инференса и агрегирование ее за собственным единым шлюзом.
The Self-Expanding Stolen Inference Supply Chain: An AI Agent Harvesting and Re-Serving LLM Access, (Fri, Sep 11th) isc.sans.edu
RSS Hunter RSS Hunter • 11 сент.

Сканирование серверов Proxmox (Ср, 9 сентября)

Около недели назад Proxmox опубликовал уведомление, раскрывающее уязвимость в старых версиях Proxmox VE, своего флагманского продукта Virtual Environment. Уязвимость затрагивает только версию 7, которая не поддерживается уже пару лет.
Scans for Proxmox Servers, (Wed, Sep 9th) isc.sans.edu
RSS Hunter RSS Hunter • 9 сент.

«Вторник обновлений» Microsoft в сентябре 2026 года (вторник, 8 сентября)

В этом месяце Microsoft выпустила исправления для рекордных 973 уязвимостей, включая 113 с критическим уровнем опасности. Это, безусловно, самый крупный "Вторник исправлений" на сегодняшний день, значительно опережающий предыдущий максимум в 664, установленный в июле 2026 года. Две уязвимости были отмечены как эксплуатируемые в реальных условиях, в то время как ни одна не была публично раскрыта до "Вторника исправлений". Среди заметных исправлений — повышение привилегий в Windows и критические уязвимости удаленного выполнения кода (RCE) в Skype for Business, MSMQ и RRAS.
September 2026 Microsoft Patch Tuesday, (Tue, Sep 8th) isc.sans.edu
RSS Hunter RSS Hunter • 8 сент.

Критическая уязвимость MikroTik — исправьте сейчас (Вс, 6 сентября)

Mikrotik выпустил патч в конце прошлой недели для уже эксплуатируемой уязвимости. Уязвимость позволяет обойти аутентификацию SSH и уже эксплуатируется. На данный момент предполагайте компрометацию. Злоумышленники добавляли новые учетные записи на затронутые устройства для поддержания доступа после установки патча.
Critical MikroTik Vulnerability - Patch Now, (Sun, Sep 6th) isc.sans.edu
RSS Hunter RSS Hunter • 6 сент.

Ловушка кодирующего агента: когда "бесплатный" конечный пункт LLM является противником (пн, 31 августа)

Один из моих интернет-доступных инференс-хонепотов был обнаружен, перемаркирован под востребованные названия моделей и интегрирован в инфраструктуру, предположительно используемую для предоставления "бесплатных" бэкендов LLM. Затем он получил реальную сессию кодирующего агента — историю, вывод файловой системы, рабочие пути и локальный манифест инструментов агента. Хонепот не запрашивал и не инициировал выполнение каких-либо инструментов; то, что раскрыл запрос, — это то, что мог бы сделать злоумышленник, находясь в такой позиции.
The Coding-Agent Trap: When a "Free" LLM Endpoint Is the Adversary, (Mon, Aug 31st) isc.sans.edu
RSS Hunter RSS Hunter • 31 авг.

Некоторые вредоносные статистические данные по физкультуре (чт, 27 августа)

Во время моего последнего занятия FOR610 студент спросил меня, есть ли у меня какие-либо статистические данные о компиляторах, используемых для создания вредоносных PE-файлов? Пару месяцев назад я поделился некоторыми статистическими данными о тенденции в отношении 64-битного и 32-битного вредоносного ПО[1]. Можем ли мы пойти немного дальше? Я (с помощью vibe) написал скрипт на Python на основе библиотеки pefile[2] для извлечения некоторой информации из заголовков PE. Действительно, формат PE-файлов содержит много метаданных! Доступ к ним можно получить с помощью множества инструментов, таких как Detect It Easy:
Some Malicious PE Stats, (Thu, Aug 27th) isc.sans.edu
CdXz5zHNQW_cnRXq2aS9J.png
RSS Hunter RSS Hunter • 28 авг.

Полиморфная фишинговая страница (которая периодически ломается сама), (Чт, 27 авг)

Как я уже упоминал в некоторых своих дневниках, время от времени я люблю просматривать фишинговые сообщения, которые попадают в мои различные спам-ловушки или отправляются нам сюда, в Интернет-центр штормов.
A polymorphic phishing page (that occasionally breaks itself), (Thu, Aug 27th) isc.sans.edu
CdXz5zHNQW_ZpZOjzhwRS.png
RSS Hunter RSS Hunter • 27 авг.

У кого есть права администратора в вашем каталоге Entra ID? (Ср, 26 августа)

Обычная вещь, о которой следует "беспокоиться" в Entra (или на любой платформе), это "кто имеет права администратора?". Кто может удалять или изменять ключевые вещи, или модифицировать их способами, которые могут быть неочевидными (случайно или намеренно). Да, мы доверяем нашим людям, но если они перешли на другие должности или в другие организации, они перестают быть "нашими людьми" и становятся "бывшими нашими людьми".Также часто бывает слишком много администраторов. Например, сотрудники службы поддержки начального уровня могут нуждаться в правах на смену паролей, но они, вероятно, не должны иметь прав на изменение ваших политик Intune или быть глобальными администраторами. Вопрос "слишком много администраторов" — это распространенный вопрос, на который аудиторы обращают особое внимание. Это #4 в CIS Critical Controls v7 как "Контроль административных привилегий". В версии 8 этого списка он теперь находится под номером #6 в разделе "Управление контролем доступа".
Who Has Admin Rights in your Entra ID Directory?, (Wed, Aug 26th) isc.sans.edu
CdXz5zHNQW_oLRtYsGtOr.png
RSS Hunter RSS Hunter • 26 авг.

Маскировка IP-адресов под имена хостов (Вт, 25 августа)

Вполне очевидно, что имена хостов могут заменить IP-адреса. Практически любое программное обеспечение, принимающее IP-адрес, также примет имя хоста в качестве аргумента. На прошлой неделе я писал о сканировании облачного сервиса метаданных, прослушивающего по адресу 169.254.169.254. Эти сканирования пытались использовать уязвимость Server Side Request Forgery (SSRF). Один из способов предотвратить такие атаки — фильтровать запросы, содержащие строку "169.254.169.254", или добавить этот IP-адрес в черный список URL-адресов, к которым не следует обращаться.
Obfuscating IP Addresses as Hostnames, (Tue, Aug 25th) isc.sans.edu
RSS Hunter RSS Hunter • 25 авг.

Полезная нагрузка DOUBLECUP PNG, (понедельник, 24 августа)

Новое вредоносное ПО, использующее стеганографию, всегда привлекает мое внимание, но я был разочарован, когда прочитал последнюю статью о DOUBLECUP. Оно не использует настоящую стеганографию:
DOUBLECUP's PNG Payload, (Mon, Aug 24th) isc.sans.edu
CdXz5zHNQW_zxhS71ggKU.png
RSS Hunter RSS Hunter • 24 авг.

Кого упустили при внедрении MFA? Больше скриптов PowerShell + Graph + Entra!, (Пт, 21 августа)

При каждом развертывании многофакторной аутентификации (MFA) наступает момент, когда вы думаете, что близки к завершению, и какая-нибудь автоматизация для перечисления оставшихся задач была бы кстати. Что-то быстрее, чем прокручивать веб-интерфейс через тысячи учетных записей... Это именно такой метод. Также помните, как мы вчера обсуждали бета-команды Graph в библиотеке Microsoft.Graph.Beta? Мы будем использовать одну из этих бета-команд здесь!
Who Got Missed in the MFA Rollout? More Powershell + Graph + Entra scripting!, (Fri, Aug 21st) isc.sans.edu
RSS Hunter RSS Hunter • 21 авг.

Еще больше PowerShell, взгляд на входы в Entra — хорошее, плохое и переборы паролей (Пт, 21 авг.)

Одна вещь, которую люди, похоже, никогда не делают после "перехода в ОБЛАКО", — это просматривать свои журналы, журналы, которые они проверяли бы ежедневно, когда все было на месте. Один журнал, который действительно стоит посмотреть, — это журнал успешных и неудачных входов в систему. вызов для этого:
Even MOAR Powershell, looking at Entra logins - the good, the bad and the password sprays, (Fri, Aug 21st) isc.sans.edu
CdXz5zHNQW_pToefefuSM.png
RSS Hunter RSS Hunter • 21 авг.

Использование Microsoft Graph и PowerShell для поиска информации — устаревшие учетные записи и лицензии (четверг, 20 августа)

Microsoft Graph — это более новый API, предназначенный для замены нескольких других. Хорошо, он находится в версии 2.3.9, так что он не такой уж и новый, но достаточно новый, чтобы многие люди (и коммерческие инструменты) еще не использовали его. Он позволяет получать и устанавливать информацию из/в M365, пользователей Entra и управляемых Entra машин для начала. Давайте углубимся!
Using Microsoft Graph and Powershell to Mine for Information - Stale Accounts and Licenses, (Thu, Aug 20th) isc.sans.edu
CdXz5zHNQW_hfHNiVA0s9.png
RSS Hunter RSS Hunter • 20 авг.

Простые сканирования для службы метаданных облака (среда, 19 августа)

Облачные провайдеры обычно предоставляют REST API по адресу 169.254.169.254, который позволяет коду, работающему на виртуальных машинах, получать специфичные для машины данные. Некоторые данные более или менее безвредны, например, регион, в котором работает машина, или ее MAC- и IP-адреса. Однако сервис также может использоваться для получения учетных данных для IAM-ролей и токенов сервисных аккаунтов.
Simple Scans for Cloud Metadata Service, (Wed, Aug 19th) isc.sans.edu
RSS Hunter RSS Hunter • 19 авг.

Apple обновляет iOS и macOS, (понедельник, 17 августа)

Сегодня Apple выпустила обновления для iOS/iPadOS (26 и 18) и macOS 26. Это обновление устраняет 108 уязвимостей и выходит примерно через две недели после гораздо меньшего обновления macOS, которое устранило единую уязвимость общего доступа к экрану. Эта уязвимость не затронула iOS/iPadOS.
Apple Patches iOS and macOS, (Mon, Aug 17th) isc.sans.edu
RSS Hunter RSS Hunter • 17 авг.

Безопасность функции «Совместный просмотр экрана» в Apple (пн, 17 августа)

Около 20 лет назад, с выходом macOS 10.5 (Leopard), Apple представила функцию общего доступа к экрану. Apple не изобретала новый протокол для общего доступа к экрану. Вместо этого она использовала существующий протокол VNC. VNC — довольно простой, незашифрованный протокол, использующий TCP-порт 5900. Исторически протокол использовал простой глобальный пароль для аутентификации. Apple адаптировала протокол для собственного использования, но в целом оставила сам протокол VNC без изменений.
Apple Screen Sharing Security, (Mon, Aug 17th) isc.sans.edu
CdXz5zHNQW_Q01jGtiNMp.png
RSS Hunter RSS Hunter • 17 авг.