Записки Безопасника

🤒 Assessment Mindset | Структурированный чеклист оценки безопасности в одном XMind-файле Аssessment-mindset – открытая MindMap, объединяющая методологию WAHH, OWASP API Security Top 10 и IoT PenTesting Guide в единую рабочую схему для проведения оценки безопасности. — Файл экспортирован в форматах OPML, XMind и PNG: OPML импортируется в любой инструмент майндмапинга, а по ходу работы задачи отмечаются галочками прямо в схеме – чеклист не на бумаге, а внутри самого рабочего файла. Смысл не в красоте структуры, а в том, что каждый завершённый этап оценки виден сразу: не вернёшься к заказчику с незакрытым вектором, который был на виду всю дорогу. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Вы сменили пароль, а он всё ещё внутри | Что остаётся у атакующего после «я всё поменял» Человек понимает, что в его почту кто-то залез, меняет пароль, включает двухфакторную аутентификацию, выдыхает. Через неделю выясняется, что письма всё это время читали, а часть из них уходила на сторону. — В данной статье мы рассмотрим реальные механизмы удержания доступа к почте – почему смена пароля не выгоняет злоумышленника и какие «зацепки» остаются жить после смены пароля. А так же разберём пошаговый алгоритм действий при компрометации: не «смени пароль», а сначала отзовём все сессии и токены, потом поменяем пароль, включим 2FA, проверим восстановительные данные, и только в конце ищем правила и следы. ↘️ Habr ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

❗️ ФБР ликвидировало китайскую сеть QTFY, работавшую с 2018 года через IoT-ботнет Группировка QTFY использовала две платформы: QScan автоматически сканировала уязвимые роутеры и камеры более чем в 130 странах, а QTRouter превращала их в прокси-сеть, скрывающую происхождение трафика при атаках на ФРС, Минэнерго, Минюст, Сенат, NASA, больницы и оборонных подрядчиков США. — ФБР изъяло несколько доменов, жёстко прописанных в обеих платформах в качестве C2, но этого оказалось достаточно: без захардкоженных адресов авторизации и связи оба инструмента перестали функционировать. Восемь лет операции и одно судебное решение – типичный исход для инфраструктуры, где отказоустойчивость принесли в жертву удобству управления. ↘️ SecurityMedia ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☎️Привет! ⠀ ⠀ Внимание, ⠀ ⠀ ⠀ Новости ↖️ ❤️ К началу осени подготовили для вас годноту Чтобы завершение лета не было таким грустным, и работа работалась легче – сделали коллабу с отборными площадками по ИБ + щепотка мемов! Внутри найдете авторские каналы с разборами инцидентов, практические материалы по защите инфраструктуры, каналы с аналитикой угроз и полезные инструменты для работы. ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀⠀ ⠀[Забрать плюшки] ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ⠀ ↖️

🤒 Почему готовый PoC не даёт root на встраиваемом железе CVE-2016-5195 актуальна потому, что роутеры и камеры годами живут на прошивке производителя без патчей, а uname -a без истории обновлений не окончательный ответ. Успешная гонка только примитив записи: цепочка ломается на BusyBox без /bin/sh, на отсутствии SUID-целей или на том, что vDSO – код в памяти без файла на диске требует адаптации под конкретную архитектуру и ABI. — В данной статье мы разберем как декомпозировать PoC по этапам, что проверить в ядре и окружении до запуска и когда reverse shell можно заменить более простым payload'ом. ↘️ SecurityLab ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Охота по ATT&CK с гипотезой, логами и готовым запросом ThreatHunter-Playbook – открытый playbook Роберто Родригеса, где каждая техника post-exploitation задокументирована в Jupyter-ноутбуке. — Отличие от набора детект-правил: аналитику можно прогнать прямо в браузере через BinderHub против pre-recorded датасетов из смежного проекта Security-Datasets. Главная задача превратить хантинг из ad hoc расследования в повторяемый инженерный процесс с задокументированным обоснованием и проверяемым результатом. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Telegram прячет MTProxy внутри WebSocket | Провайдер видит обычный сайт В коде Telegram Desktop обнаружили более 3000 строк нового WEB-прокси: клиент открывает встроенную веб-страницу, устанавливает WebSocket-соединение с доменом, внешне неотличимым от легитимного сайта, и мультиплексирует несколько MTProxy-соединений в один HTTPS-поток. Техника не делает трафик невидимым: системы DPI могут искать поведенческие аномалии, но чтобы отфильтровать именно Telegram, придётся отличать его от обычного HTTPS, иначе под блокировку попадут легитимные ресурсы. — Для сетевого мониторинга это означает смещение сигнатурного детекта в сторону поведенческого анализа: сам домен одновременно отдаёт полноценный сайт, а мостовая страница открывается только после проверки клиентом. ↘️ Anti-Malware ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 AliExpress снимает отпечаток устройства через беззвучный аудиосигнал в браузере Два скрипта collina.js и fireyejs.js от Alibaba генерируют в браузере пилообразный сигнал через WebAudio API, замеряют, как его обрабатывает конкретное устройство, и подключают результат через zero-gain node – пользователь ничего не слышит, но Bluetooth-канал остаётся активен и не даёт наушникам переключиться на другое устройство. Аудиоотпечаток дополняет Canvas, WebGL, WebRTC и движения мыши и в отличие от куки его не стирает очистка браузера, не скрывает режим инкогнито и не блокирует стандартный адблок. — Для блокировки достаточно двух правил uBlock Origin с именами скриптов, однако сам вектор WebAudio-фингерпринта открыт любому сайту без ограничений со стороны браузерного API. ↘️ Habr ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Один pip на любой образ | NTFS, ExtFS, VMDK, E01 без разницы Dissect – открытый DFIR-фреймворк от Fox-IT/NCC Group, который парсит артефакты из дискового образа любого формата без монтирования и без зоопарка разнородных утилит. — Не важно, что за контейнер и какая файловая система внутри: MFT, реестр, журналы событий, Prefetch доступны одинаковым способом из E01, VMDK или обычного дампа диска. Инструмент появился потому, что при расследовании часто нет времени собирать зоопарк утилит под каждый формат – Dissect вобрал их все в один pip install. 🖥 GitHub ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🤒 Container Escape | Дыра не в образе, а в конфигурации Изоляция контейнера заканчивается не на границе образа, а на границе ядра хоста и плоскости управления Kubernetes – в этом главная неочевидность, из которой вытекает большинство реальных инцидентов 2026 года. По данным отчётов Red Team, успешные container escape опираются не на CVE ядра, а на комбинацию: привилегированный режим, монтирование docker.sock или hostPath и избыточный набор capabilities. — В данной статье мы разберем контроль плоскости управления как приоритет над борьбой с отдельными флагами: RBAC без cluster-admin для CI/CD, Pod Security и admission-политики, изоляция секретов и runtime-мониторинг через Falco. ↘️ Habr ☑️ Записки Безопасника ⭐️ max.ru/infosec_globe