DarkForest

Новый MotW-bypass в 7-Zip: коллизия NTFS ADS позволяет перезаписать Zone.Identifier и отключить защитную цепочку Windows История с новой уязвимостью CVE-2026-58052 показывает, что Mark of the Web (MotW) остается одной из самых привлекательных целей для атакующих. Уже второй год подряд исследователи находят способ заставить 7-Zip извлекать файлы так, чтобы Windows переставала считать их загруженными из Интернета. Когда пользователь скачивает файл через браузер, Windows добавляет к нему скрытый Alternate Data Stream (ADS) с именем Zone.Identifier. Фактически это небольшой служебный файл, содержащий информацию о происхождении объекта: [ZoneTransfer] ZoneId=3 Именно эта небольшая запись запускает целую цепочку защитных механизмов. При наличии MotW система может: - показывать предупреждение SmartScreen; - блокировать выполнение макросов Office; - запрещать запуск отдельных сценариев; - ограничивать работу Visual Studio с проектами; - помечать файл как потенциально опасный. Сам по себе MotW ничего не предотвращает. Он лишь сообщает другим компонентам Windows: «этому файлу доверять нельзя». В основе проблемы лежит довольно малоизвестенная особенность файловой системы NTFS. Файл в NTFS может содержать несколько потоков данных (Alternate Data Streams). Например: payload.exe payload.exe:Zone.Identifier Второй поток пользователь обычно никогда не увидит, однако именно в нем хранится Mark of the Web. Было обнаружено, что при обработке специально подготовленного RAR5-архива 7-Zip сравнивал имена потоков слишком буквально. Архиватор корректно фильтровал поток: Zone.Identifier но не распознавал вариант :Zone.Identifier:$DATA После записи файла NTFS канонизировала имя потока, и оно превращалось в обычный Zone.Identifier, фактически перезаписывая оригинальный поток MotW. В результате интернет-метка менялась на ZoneId=0, то есть файл начинал восприниматься системой как локальный. Если представить процесс упрощенно, атака выглядит так: Скачивание RAR ▼ RAR содержит поддельный ADS ▼ 7-Zip извлекает файлы ▼ NTFS объединяет имя потока ▼ Zone.Identifier заменяется ▼ Windows считает файл локальным Никакого переполнения памяти. Никакого shellcode. Никаких эксплойтов ядра. Меняется лишь несколько байтов служебных метаданных. Но последствия оказываются весьма серьезными! Современный сценарий выглядит примерно так: фишинговое письмо → архив → распаковка → отсутствие SmartScreen → запуск вредоноса → инфостилер или RAT. То есть сама уязвимость не выполняет вредоносный код, но делает следующий этап атаки значительно менее заметным. ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

Зарубежные SIM-карты больше не позволяют обходить блокировки СМИ сообщают, что трафик абонентов зарубежных операторов, которые подключаются к российским сетям в роуминге, начали фильтровать наравне с обычным мобильным интернетом. В результате иностранные SIM-карты больше не позволяют заходить на сайты и использовать сервисы, заблокированные в РФ. Как сообщают «Известия», со ссылкой на нескольких владельцев зарубежных SIM-карт, теперь ситуация изменилась. Эту информацию изданию также подтвердили источники, близкие к российским телеком-компаниям. В Минцифры пояснили СМИ, что операторы применяют к роуминговому трафику общий режим фильтрации, действующий на территории России. То есть для зарубежных SIM недоступны ресурсы, которые заблокировали за нарушение российского законодательства, а остальные сайты и сервисы продолжают работать. В ведомстве уточнили, что такой подход направлен на обеспечение безопасности в цифровом пространстве. При этом отмечается, что иностранные SIM-карты по-прежнему помогают заходить на платформы, которые сами ограничили доступ для пользователей из России (например, Netflix и некоторые зарубежные нейросети). Для таких сервисов абонент выглядит клиентом иностранного оператора, поэтому географические ограничения могут не работать. ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

Новый способ кражи данных с компьютеров, полностью изолированных от внешних сетей. Атака TrojPix использует видеокабели для извлечения данных Атака, получившая название TrojPix, незаметно изменяет пиксели на экране целевого устройства и использует электромагнитное излучение видеокабеля для передачи данных. В ходе экспериментов скорость передачи данных достигала 8,1 Мбит/с, а максимальная дальность составила 208 метров. TrojPix относится к side-channel атакам и не помогает злоумышленникам проникнуть в систему: сначала атакующим все равно придется каким-то образом заразить изолированный компьютер малварью. Зато после компрометации TrojPix помогает извлечь собранную информацию, даже если машина не подключена ни к интернету, ни к локальной сети. Атака основана на незаметной для человеческого глаза модуляции пикселей. Созданный исследователями вредонос особым образом меняет изображение на экране устройства, из-за чего видеокабель начинает излучать слабый радиосигнал. Находящийся поблизости приемник может перехватывать и декодировать его. Сигнал скрывают двумя способами. В первом случае атака имитирует отключенный черный экран, хотя идет передача данных. Во втором - полезная нагрузка встраивается непосредственно в изображение на мониторе, не создавая при этом заметных для человека артефактов. ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

Сетевой трафик выдает больше, чем адрес кошелька. Браузерные расширения привязывают человека к его крипте Одна из проблем возникает во время обычной проверки баланса и истории операций. Кошельки отправляют внешним службам запросы с публичными адресами, а порядок и время таких обращений позволяют определить, какие адреса принадлежат одному человеку. Подобные признаки нашли в 17 кошельках, которыми пользуются около 23 млн человек, или 65,4% аудитории изученных расширений. Ещё один канал слежки связан с механизмом обнаружения установленных кошельков. Сайт может без разрешения узнать названия и сочетание расширений в браузере, превратив такой набор в устойчивый цифровой отпечаток. Уязвимую схему поддерживали 36 кошельков с общей аудиторией около 29 млн пользователей. Очистка файлов cookie и данных сайтов в таком случае не мешает распознать посетителя. Особую опасность создают разрешения, которые продолжают действовать после выхода из приложения. Из 36 совместимых кошельков 22 не удаляли ранее выданный доступ должным образом и продолжали возвращать адрес сайта при последующих посещениях. Старый адрес позволяет связать новые сеансы, другие кошельки и несколько счетов одного владельца. Проблему усугубляют сами приложения: только 11 из 30 проверенных сервисов действительно отзывали разрешение при нажатии кнопки выхода. Получив адрес, служба слежки может изучить открытые данные блокчейна, включая баланс, операции и токены, а затем сопоставить их с посещёнными новостными сайтами, покупками, поисковыми запросами, электронной почтой или номером телефона. Такой сценарий способен лишить владельца кошелька псевдонимности без кражи ключей и подтверждения операций. ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

Журнал "ХАКЕР" (Выпуск №322) Хакер — ежемесячный компьютерный журнал, посвящённый вопросам информационной безопасности, программирования и администрирования компьютерных сетей. В этом номере: 1) SSRF с самого начала Не просто теория про Server-Side Request Forgery, а реальные сценарии эксплуатации. Научитесь обходить фильтрацию, доставать данные из внутренних сервисов, взаимодействовать с metadata-серверами облаков и превращать обычную SSRF в полноценную атаку на инфраструктуру. 2) Брутфорс с самого начала Как подбирать пароли так, как это делают пентестеры и атакующие. Разбираем словари, маски, гибридные атаки, особенности авторизации популярных веб-приложений и методы обхода ограничений вроде rate limit. На практике покажем, где брутфорс действительно работает, а где — пустая трата времени. 3) Криптосамопал Почему «свой шифр» почти всегда означает «сломанный шифр». На реальных примерах исследуем самодельные алгоритмы, находим критические ошибки и учимся за несколько минут понимать, можно ли восстановить ключ, раскрыть сообщения или полностью компрометировать систему. 4) Щупальца VolWeb Форензика оперативной памяти прямо из браузера. Разбираемся, как извлекать токены, пароли, ключи, сессии и другие артефакты из памяти веб-приложений без запуска привычных инструментов анализа. 5) Как найти C2 После компрометации важно понять, куда «звонит» вредонос. Разбираем способы поиска Command & Control-серверов по сетевым следам, DNS, TLS-сертификатам, инфраструктуре и открытым источникам. Полезно как для Threat Hunting, так и для расследований. 6) HTB Imagery Полный walkthrough машины Hack The Box. Эксплуатируем XSS, превращаем его в LFI, а затем получаем RCE и закрепляемся в системе. Показываем логику поиска уязвимостей, а не просто набор готовых команд. 7) HTB Previous Необычная эскалация привилегий через Terraform. Разбираем, как ошибки инфраструктуры могут дать root-доступ, и почему DevOps-инструменты становятся все более привлекательной целью для атакующих. 8) HTB HackNet Практическая эксплуатация SSTI в Django. От поиска точки внедрения шаблонов до выполнения команд на сервере и дальнейшего продвижения по системе. Отличный материал для тех, кто хочет глубже разобраться в современных веб-атаках. Язык: Русский Год: 2026 Размер: 181.5 MB ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

Ажиотаж вокруг Grand Theft Auto VI стал приманкой для мошенников: под предзаказы, ранний доступ и закрытое тестирование злоумышленники начали маскировать фишинговые сайты, вредоносные загрузки и криптовалютные ловушки. На первом этапе потенциальной жертве предлагают оставить заявку, а затем подписаться на закрытый Telegram-канал якобы для дальнейшего отбора. Именно там начинается основная часть мошеннической схемы. Администраторы могут сообщать о прохождении «отбора», присылать ссылки на сторонние ресурсы, предлагать скачать «тестовый клиент», пройти дополнительную «верификацию» аккаунта или подтвердить участие с помощью небольшого платежа. В других случаях пользователей убеждают предоставить данные игровых аккаунтов или банковских карт под предлогом проверки личности либо оформления доступа к тестированию. Постепенное развитие сценария помогает злоумышленникам завоевать доверие жертвы и усложняет распознавание обмана. Другая схема строится вокруг фальшивых предзаказов. Мошенники создают сайты, которые практически полностью копируют визуальный стиль игры: используют официальные трейлеры, рекламные изображения, логотипы и оформляют страницы так, чтобы они напоминали известные цифровые магазины. На одном из ресурсов на португальском языке для убедительности были размещены сфабрикованные отзывы, возрастной рейтинг и цена предварительного заказа. Далее посетителю предлагают выбрать игровую платформу, оформить покупку и перейти к оплате. На этом этапе сайт запрашивает персональные сведения, реквизиты банковской карты и другую платёжную информацию. После ввода данных деньги могут быть списаны, а сама игра, разумеется, не появляется. В некоторых случаях злоумышленники получают возможность использовать похищенные платёжные данные для последующих мошеннических операций. Ещё одна ловушка связана с обещанием получить бета-версию GTA VI до официального релиза. Такие сайты активно продвигают через видеоплатформы и социальные сети. С различных аккаунтов публикуются ролики с якобы подробными инструкциями по загрузке игры, а в комментариях другие пользователи уверяют, что архив содержит рабочую версию и уже успешно запускается у тысяч игроков. Таким образом создаётся иллюзия массового доверия и подлинности предложения. После скачивания пользователю предлагают отключить антивирус, распаковать архив или запустить исполняемый файл, объясняя это особенностями «тестовой сборки». На самом деле под видом игры может распространяться вредоносное программное обеспечение. После запуска оно способно незаметно собирать конфиденциальные данные, получать доступ к учётным записям, перехватывать сохранённые пароли, устанавливать дополнительные вредоносные компоненты или обеспечивать злоумышленникам удалённый доступ к устройству. Отдельный риск касается владельцев криптовалют. Эксперты обнаружили сайт, продвигающий токен с названием, напоминающим GTA VI. Для повышения доверия ресурс оформлен в стилистике игры и использует похожий логотип. Пользователей убеждают подключить криптокошелёк для участия в якобы эксклюзивной акции или раннем доступе к связанным с игрой цифровым активам. После подключения мошенники могут получить разрешения на проведение операций с активами пользователя, что создаёт риск потери криптовалюты. ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

«Антифрод» получит нового куратора: в правительстве создали штаб по защите граждан от кибермошенничества В России появился оперативный штаб по борьбе с кибермошенничеством. Правительство утвердило постановление о создании новой структуры, которая будет быстрее выявлять мошеннические схемы и координировать меры против онлайн-преступности. Штаб возглавил вице-премьер Дмитрий Григоренко, курирующий цифровую повестку в правительстве. К работе подключили федеральные ведомства, правоохранительные органы, Банк России, операторов связи, банки и цифровые платформы. В аппарате вице-премьера пояснили, что новая площадка должна объединить усилия государства и бизнеса для противодействия интернет-мошенникам. Оперативный штаб займется разбором мошеннических схем и подготовкой новых мер против преступлений в цифровой среде. Отдельное направление связано с государственной информационной системой «Антифрод», через которую власти рассчитывают собирать и анализировать данные о цифровых преступлениях. Создание штаба продолжает линию правительства на усиление защиты граждан от мошенников. Ранее кабмин поручал подготовить предложения по созданию федерального оперативного штаба для координации противодействия интернет-мошенникам. Этой работой занимались Минцифры, МВД, ФСБ и Роскомнадзор при участии других ведомств, Банка России, Генпрокуратуры и Следственного комитета. ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

Всего две копии по $60 000. Разработчики Stealc продают исходный код прямо перед выходом новой версии. Ожидается новая волна атак Жизненный цикл вредоносов редко заканчивается вместе с выходом новой версии, и Stealc вновь показывает, как старые ветки могут получить вторую жизнь на подпольном рынке. Разработчики Stealc объявили о продаже полного исходного кода версии v2 перед выпуском Stealc v3. По данным опубликованного объявления, продавцы планируют передать только две копии набора. За каждую запрашивают $60 000. Разработчики отдельно подчёркивают, что речь идёт не об устаревшей сборке, а о Stealc v2.22.1, которую они называют последней рабочей версией и продолжают использовать, пока идёт работа над третьей веткой. В комплект, по описанию продавца, входят исходный код Stealc v2, административная панель, установщики и система сборки. Также упоминается модуль для кражи учётных данных из Chrome и Edge, а покупателям обещают интеграцию и поддержку. Такой набор снижает порог для тех, кто хочет не просто запускать готовый вредонос, а менять инструмент под собственные задачи. Само объявление пока не говорит о немедленном изменении кампаний с участием Stealc. Скорее, публикация показывает, что решения подпольных разработчиков могут заранее подсвечивать будущие сдвиги в экосистеме вредоносов. После продажи кода специалисты могут увидеть новые варианты Stealc и изменения в сопутствующих инструментах. Для снижения риска защитным командам придётся внимательнее отслеживать новые сборки Stealc, изменения в механизмах кражи данных из браузеров и обновления инфраструктуры, связанной с этим вредоносом. ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

Raspberry Pi. Сборник рецептов (4-е издание) Книга содержит более 200 рецептов по работе с микрокомпьютером Raspberry Pi, рассматривающих как программные, так и аппаратные задачи. Показана установка и настройка операционной системы для Raspberry Pi, подключение датчиков и двигателей, способы интеграции Raspberry Pi в систему умного дома и сеть Интернета вещей. Рассмотрен язык Python в контексте программирования микроконтроллеров, разобраны продвинутые возможности Python, важные при создании сценариев и автоматизации процессов. В четвертом издании добавлены главы, рассказывающие о возможностях машинного обучения и о работе с уменьшенной версией платы – Raspberry Pi Pico. Для специалистов по Raspberry Pi и программированию электроники. Язык: русский Автор: Монк С. Год: 2024 Размер: 95.0 MB ✊DarkForest - подписывайся, чтобы получать свежий материал первым.

Claude Code. Полное руководство по AI-ассистенту для разработчиков Claude Code занимает особое место среди AI-инструментов для разработки. В отличие от простых автодополнителей кода, Claude Code представляет собой полноценного агентного ассистента, способного понимать контекст вашего проекта, работать с файловой системой запускать команды в терминале, анализировать ошибки и самостоятельно планировать сложные многоэтапные задачи. Это не просто «умная подсказка» – это настоящий напарник по программированию, который может взять на себя существенную часть рутинной работы. Язык: русский Автор: Ранас Мукминов Год: 2026 Размер: 3.7 MB ✊DarkForest - подписывайся, чтобы получать свежий материал первым.