Белый хакер

🎭 Фейковые ChatGPT и Gemini воруют доступ к рекламным аккаунтам Привет! Исследователи Island обнаружили фишинговую платформу, которая маскируется под рекламные сервисы ChatGPT, Gemini, Claude, Perplexity и других AI-продуктов. Её задача - красть логины, пароли и коды MFA. 👨‍💻 После нажатия Connect открывается поддельное окно авторизации прямо внутри страницы. В адресной строке может быть accounts.google.com или настоящий домен Okta, хотя пользователь всё ещё находится на фишинговом сайте. Такой приём называется Browser-in-the-Browser. 🚨 Введённые данные сразу получает оператор атаки. Он пытается войти в настоящий аккаунт, а если сервис запрашивает MFA, показывает жертве нужную форму и перехватывает код практически в реальном времени. ⚙️ Целятся в сотрудников рекламных агентств, медиабайеров и администраторов бизнес-аккаунтов. Получив доступ, атакующие могут добавить своих администраторов и использовать рекламные кабинеты с хорошей историей для собственных кампаний. ⚠️Исследователи нашли у фишинговых сайтов общий стек на Next.js и Socket.IO, а исходники ранних версий платформы обнаружили в открытых GitHub-репозиториях. P.S. При Browser-in-the-Browser даже правильный адрес в нарисованной строке браузера ничего не гарантирует. Проверять нужно адрес реальной вкладки, а не окна авторизации внутри сайта. #Phishing #BitB #CyberSecurity #Infosec 👍 Белый хакер

🗂 Пакет Безопасности — папка, которую админ собирал более 10 лет ⚡️ Слитые курсы по IT и ИБ ⚡️ Сервисы и тулзы для приватности ⚡️ Инструкции и шпаргалки ⚡️ Редкие книги и утилиты ⚡️ Гайды написанные автором Большинство собирает такую базу годами. Здесь все отсортировали и разбили в одном канале ссылка действует 48 часов 📌 Подписывайся: @package_security

🇺🇸 Microsoft закрыла уязвимость в Exchange, через которую можно читать чужую почту Привет! Microsoft выпустила срочное обновление для Exchange Server. Уязвимость CVE-2026-96940 имеет оценку 8.8 и позволяет авторизованному атакующему повысить привилегии. 👨‍💻 Проблема в слабой проверке прав. Если атакующий уже имеет учётку в организации, он может получить доступ к почтовым ящикам других пользователей и читать письма вместе с вложениями. 🚨 При этом межорганизационный доступ невозможен. Exchange Online уже исправили на стороне Microsoft, а вот владельцам локального Exchange Server нужно установить обновления самостоятельно. ⚙️Уязвимость пока не замечена в атаках, но Microsoft оценивает её эксплуатацию как «более вероятную». Под ударом Exchange Server Subscription Edition, 2016 и 2019. P.S. Особенно неприятный сценарий здесь в том, что для атаки не нужен полный компромисс сервера. Достаточно уже иметь действующую учётную запись внутри организации. #Microsoft #Exchange #Vulnerability #Infosec 👍 Белый хакер

😎ИИ ускоряет атаки. А что насчет защиты? Злоумышленникам уже не обязательно пропорционально увеличивать команду, чтобы масштабировать атаки: часть работы берет на себя ИИ. Значит, и защита должна становиться быстрее, автономнее и эффективнее. 👀15–16 октября на Positive Security Day 2026 поговорим о том, как меняется кибербезопасность в новой модели угроз — и какие технологии помогают защитникам не отставать от атакующих. В фокусе: 👨‍💻 движение к автономному SOC; 👨‍💻 защита устройств от неизвестных угроз; 👨‍💻 работа с большими объемами данных; 👨‍💻 технологии, которые помогают быстрее обнаруживать и расследовать атаки. Но одной теорией не ограничимся. 🐯 В hands-on-зонах и соревнованиях можно будет атаковать ИИ-технологии, расследовать инциденты, тестировать продукты и вместе с инженерами Positive Technologies разбирать, что происходит под капотом. 📍 Москва + онлайн

👀Один из подозреваемых ShinyHunters начал сотрудничать с FBI Привет! В Иордании 29 сентября задержали Саифа аль-Дина Хадера, известного как Rey и ReyXBF. По данным Reuters, сейчас он сотрудничает с FBI и помогает следствию устанавливать других участников ShinyHunters. 👨‍💻 Rey не случайный человек в этой истории. Он был администратором Hellcat, в 2024 году взял под контроль очередную версию BreachForums, а позже его называли одним из админов Scattered LAPSUS$ Hunters, где пересекались участники Scattered Spider, LAPSUS$ и ShinyHunters. ➡️ Теперь у следствия появился человек, который знает эту кухню изнутри. Псевдонимы, аккаунты, роли, связи между участниками, доступ к инфраструктуре. Именно такие детали могут превратить отдельные никнеймы в реальные имена и конкретные эпизоды. 🔎 И сама ShinyHunters уже давно выглядит не как одна закрытая команда. Sekoia и Beazley Security описывают её скорее как бренд: одни добывают доступ, другие подключаются к социальной инженерии и вымогательству, а зарабатывать могут уже другие участники. ⚠️Параллельно FBI расследует взломы более 140 организаций. По словам бюро, группа получила не меньше $70 млн выкупами, причём часто заходила через сторонних облачных провайдеров. P.S. Если Rey действительно рассказывает FBI всё, что знает, последствия могут быть интереснее очередного закрытого leak-сайта. Один человек изнутри иногда объясняет структуру лучше десятков собранных логов. #ShinyHunters #Cybercrime #FBI #Infosec 👍 Белый хакер

❌ Миф: если пароль украли, достаточно его поменять Привет! Кажется логичным: заметили компрометацию аккаунта → поменяли пароль → доступ злоумышленника закрыт. На практике это может вообще ничего не изменить. 👨‍💻 Пароль — только один из способов подтвердить вход. После авторизации приложение может выдать сессию, cookie или access token. Если атакующий уже получил такой токен, смена пароля не обязательно завершит его сессию. 🔎 Именно это регулярно встречается в реальных атаках. Например, в недавнем инциденте во французской налоговой сотрудники SOC несколько раз сбрасывали скомпрометированные пароли. Но открытая сессия в другом внутреннем сервисе продолжала работать, и данные продолжали выгружаться ещё несколько часов. ⚙️ Поэтому при компрометации аккаунта нужно смотреть шире: отозвать активные сессии и токены, проверить действия аккаунта после предполагаемой кражи, сбросить MFA при необходимости и только потом считать доступ закрытым. P.S. Смена пароля отвечает на вопрос «может ли он снова войти с этим паролем?». При инциденте нужно проверить ещё один: «а не находится ли он уже внутри?». #Мифы #ThreatIntel #Infosec 👍 Белый хакер

🇫🇷 У налоговой Франции украли данные 600 000 человек и компаний Привет! Атака на французскую налоговую DGFIP продолжалась около семи недель и при этом не требовала какой-то сложной эксплойт-цепочки. Хакеры просто использовали украденные пароли сотрудников и спокойно ходили по внутренним системам. 👨‍💻 Пароли собирали несколько месяцев, вероятно, инфостилеры с личных компьютеров сотрудников. Два портала DGFIP - PIGP и ADER - принимали только пароль, поэтому украденного доступа хватало. Через ADER атакующий добрался до E-Contact, где хранилась переписка налогоплательщиков. 🚨В результате могли быть просмотрены или скачаны данные чуть более 350 000 физлиц и 250 000 компаний. У людей это налоговый ID, контакты, семейный статус, налогооблагаемый доход, ставка удержания и список обращений в налоговую. Содержимое самих сообщений затронуто у менее 250 человек. Пароли личных налоговых кабинетов при этом не украли. ⚙️ А дальше сработала довольно странная защита. SOC несколько раз замечал подозрительные запросы и просто сбрасывал пароль. Но уже открытая сессия в ADER продолжала работать. 24 июня атакующий начал автоматизированно выгружать E-Contact постранично. Пароль сбросили в 10:40, а данные продолжали уходить ещё почти 16 часов. 🌐Мониторинг вообще не видел ADER. Не сопоставлялись ночные входы, VPN, индийские IP и известные вредоносные адреса. Даже 11 ГБ трафика за несколько дней не вызвали тревогу. Саму кражу обнаружили только 12 августа, когда атакующий заявил о ней на форуме. P.S. Здесь хорошо видно, почему «мы сбросили скомпрометированный пароль» ещё не означает, что доступ закрыт. Если активную сессию не отозвали, атакующий может продолжать работать уже с валидным токеном. #France #DataBreach #MFA #Infosec 👍 Белый хакер

🤖 Android-троян RatHat подключил Gemini, чтобы искать богатых жертв Привет! У RatHat появился необычный элемент в панели управления: она отправляет собранные с телефона SMS в Gemini и просит оценить, сколько денег может быть на банковском счёте жертвы. 👨‍💻 RatHat продаётся по модели malware-as-a-service. Оператор получает веб-консоль, собирает через неё данные с заражённых телефонов и может в один клик получить shell на устройстве. В последней версии консоль сама раскладывает жертв на high-value и mid-value - по оценке Gemini. ➡️Сам троян при этом не поручает Gemini перевести деньги. Модель нужна для сортировки: если в SMS виден крупный баланс, оператор понимает, что этому телефону стоит уделить время. В старой версии можно было выбирать разные AI-сервисы, сейчас оставили только Gemini. ⚙️ Есть Gemini и на самом телефоне. RatHat пытается включить wireless debugging через Accessibility. Если интерфейс Android отличается от того, под который писали малварь, она отправляет Gemini структуру экрана и получает инструкцию, куда нажать. То есть модель помогает самому трояну пройти нестандартный интерфейс. 🔎 А дальше начинается совсем неприятная часть. После включения ADB RatHat запускает Go-программу с reverse tunnel. Через неё оператор получает управление экраном без обычного запроса на запись экрана: используются minicap и minitouch. Причём процесс продолжает работать даже после удаления приложения - до перезагрузки телефона. P.S. Cleafy нашла почти 100 развёртываний панели RatHat с апреля по сентябрь 2026 года. Это именно копии консоли, а не количество заражённых телефонов. #Android #Malware #Gemini #Infosec 👍 Белый хакер

⌨️ Команда недели Привет! Нашли подозрительный процесс внутри контейнера, а ps и ss показывают какую-то урезанную картину? Можно не заходить через Docker или Kubernetes. Если знаете PID процесса, nsenter позволит попасть прямо в его namespace. nsenter -t 1847 -m -u -i -n -p -- /bin/bash 👨‍💻 1847 - PID процесса на хосте. -m — mount namespace -u — UTS namespace -i — IPC -n — network namespace -p — PID namespace После этого shell работает в тех же namespace, что и выбранный процесс. То есть можно увидеть его файловую систему, hostname, процессы и сетевое окружение. nsenter как раз предназначен для запуска программы в namespace другого процесса. 🔎 Круче всего при разборе контейнеров: процесс выглядит обычным с хоста, но внутри его namespace могут оказаться свои интерфейсы, маршруты, процессы и mount’ы. Можно быстро проверить окружение, не меняя конфигурацию самого контейнера. P.S. Если подозрительный процесс живёт в контейнере, полезно сначала посмотреть его PID на хосте, а уже потом заходить через nsenter. #Linux #Containers #NSenter #КомандаНедели 👍 Белый хакер

👍 Белый хакер #мем