Похек Блог

Лоадер без секретов в main: как малварь прячет пейлоад в TLS Callbacks

Tue, 22 Sep 2026 00:00:00 +0000

TL;DR

Механизм Thread Local Storage (TLS) в формате Portable Executable позволяет регистрировать функции обратного вызова (PIMAGE_TLS_CALLBACK), которые загрузчик Windows вызывает до передачи управления на точку входа модуля (AddressOfEntryPoint). В контексте анализа вредоносного ПО это создаёт зону внимания: стандартные брейкпоинты отладчика на точке входа или функции main не перехватывают раннее исполнение, в ходе которого код успевает проверить флаги PEB, подготовить расшифровку пейлоада или противодействовать отладке. Техника опирается на штатный PE-лоадер операционной системы начиная с ранних версий Windows и не требует инъекций или повышенных привилегий, маскируясь под инициализацию рантайма компилятора. В исследовательской практике точку входа часто воспринимают как безусловный старт выполнения логики исполняемого файла. Однако в PE-архитектуре инициализация подсистем потока выполняется раньше: системный загрузчик исполняет коллбэки TLS на этапе DLL_PROCESS_ATTACH ещё до того, как основной поток получит доступ к коду по адресу AddressOfEntryPoint, откуда рантайм компилятора (CRT) обычно передаёт управление в main или WinMain. Ниже разобран механизм работы загрузчика, корректный способ регистрации массива коллбэков на этапе линковки MSVC, специфика векторов антиотладки и методы детектирования.

eBPF как следующая эра в Linux Rootkit-разработке: механизмы, детектирование и активная нейтрализация

Sun, 03 May 2026 00:00:00 +0000

1. Введение

С момента появления eBPF (Extended Berkeley Packet Filter) в ядре Linux версии 3.18 технология позиционировалась как инструмент для высокопроизводительного мониторинга, сетевой фильтрации и профилирования системных вызовов.
Однако с точки зрения безопасности eBPF представляет собой интерпретатор байткода в пространстве ядра, что превращает его в уникальный механизм внедрения и перехвата на уровне kernel-space без загрузки модулей.

В последние годы (2022–2025) были зафиксированы кейсы, где eBPF использовался в целях обхода средств защиты, скрытия сетевой активности и модификации поведения системных вызовов.
Эта статья описывает реальный подход к:

Malware через GitHub Fork: разбор supply chain атаки на репозиторий Triton

Thu, 26 Feb 2026 00:00:00 +0000

В феврале 2026 года исследователь Brennan Kenneth Brown обнаружил вредоносный форк macOS-приложения Triton на GitHub. Атакующий подменил ссылки для скачивания в README и раздавал Windows-малварь вместо легитимного софта. Ниже - полный технический разбор: вектор заражения, цепочка выполнения, C2-инфраструктура и MITRE ATT&CK-маппинг.

Содержание

Вектор атаки
Технический анализ малвари
Уклонение от обнаружения
Сетевая активность и C2
MITRE ATT&CK
Манипуляции с репозиторием
Почему атака провалилась
Защита и выводы

Вектор атаки

Triton - это легитимное macOS-приложение для сервиса omg.lol, написанное разработчиком Otavio C. Атакующий под учётной записью JaoAureliano форкнул репозиторий и заменил все ссылки для скачивания в README на свой payload:

Netdragon: ботнет для fnOS с HTTP-бэкдором и kernel-руткитом

Fri, 20 Feb 2026 00:00:00 +0000

Netdragon - целевая кампания против NAS-устройств Feiniu (fnOS). Для первичного проникновения используется нераскрытая RCE/command injection-уязвимость. После эксплуатации атакующие разворачивают HTTP-бэкдор на портах 57132/57199, внедряют kernel-модуль async_memcpys.ko для сокрытия процессов и сетевой активности, и поднимают C2-канал на базе ChaCha20. За время наблюдения инфраструктура, механизм персистентности и протокол шифрования заметно менялись.

1. Таймлайн и эволюция

Декабрь 2025

Первые образцы ELF-бэкдора.
C2 - фиксированный IP.
Без kernel-компонента.

Январь 2026

Добавлен async_memcpys.ko.
Персистентность через systemd unit.
Появился /api?log= как HTTP-командный интерфейс.

Февраль 2026

Переход к динамической генерации session key.
Ротация C2 по нескольким ASN.
Добавлен DDoS-модуль (UDP flood).

Что подтверждает эволюцию:

OysterLoader (Broomstick/CleanUp): архитектура, стеганография и C2-протокол загрузчика Vanilla Tempest

Sun, 15 Feb 2026 00:00:00 +0000

1. Введение

OysterLoader (Broomstick, CleanUp) — многоступенчатый загрузчик на C++. С момента первого публичного описания в середине 2024 года заметно эволюционировал: архитектура стала модульнее, сетевое взаимодействие — динамичнее, обход детектирования — сложнее.

Распространяется через malvertising-лендинги, имитирующие страницы загрузки администраторских и security-инструментов (PuTTY, WinSCP, Google Authenticator и др.). Жертве предлагается MSI, функционально близкий к легитимному инсталлятору. Критический элемент кампаний — злоупотребление код-сайнингом. В операциях, связанных с Rhysida, использовались десятки валидных сертификатов (в т.ч. через Microsoft Trusted Signing, а также SSL.com, DigiCert, GlobalSign). В 2025 году задействовано 40+ уникальных сертификатов; позднее Microsoft отозвала более 200 мошеннически полученных. Подпись снижала детектируемость и повышала вероятность обхода SmartScreen и политик контроля приложений. Связь с Gootloader задокументирована: Huntress выявила идентичный TextShell-обфускатор (Stage 1) в образцах Gootloader и OysterLoader. Оператор Gootloader (Storm-0494) обеспечивает initial access, после чего доступ передаётся Vanilla Tempest для развёртывания вымогателя. Это устоявшаяся партнёрская модель, а не инфраструктурное пересечение. Атрибуция на февраль 2026 года устойчива: OysterLoader связывается с Vanilla Tempest (ex-Vice Society), входящей в экосистему WIZARD SPIDER / ITG23 / Periwinkle Tempest. Ребрендинг Vice Society → Rhysida произошёл в 2023 году. При этом модель дистрибуции остаётся открытым вопросом: OysterLoader может быть как внутренним инструментом экосистемы Vanilla Tempest, так и сервисом, доступным ограниченному кругу партнёров.

AI-агенты в SOC: критический анализ архитектуры, экономики и рисков

Sun, 25 Jan 2026 00:00:00 +0000

TL;DR

AI-агенты в SOC — это не замена аналитиков, а вероятностный интерпретатор поверх существующей инфраструктуры. Статья разбирает: где агенты полезны, где опасны, как атакующий может манипулировать их решениями, и почему будущее — за гибридными архитектурами. Включён маппинг attack surface на MITRE ATT&CK и ATLAS.

Агентные системы как новый слой оркестрации
Экономика агентного подхода
Безопасность агентных систем как новая зона риска
Где агент действительно полезен
Почему агентный подход часто путают с “умной автоматизацией”
Ограничения агентного подхода в инцидент-респонсе
Агент против скриптов: граница эффективности
Интеграции, API и операционные риски
Как агент меняет роль аналитика
Agentic SOC будущего
Attack Surface AI-агента: маппинг на MITRE ATT&CK / ATLAS

Агентные системы как новый слой оркестрации, а не как новый класс аналитики

Агент не анализирует угрозы — он координирует анализ

VoidLink: техническое подтверждение начала эры AI-сгенерированных malware-фреймворков

Fri, 23 Jan 2026 00:00:00 +0000

Введение

VoidLink — первый задокументированный пример вредоносного фреймворка, который демонстрирует не просто использование искусственного интеллекта в отдельных фазах разработки, а полноценную AI-ориентированную инженерную модель, охватывающую проектирование, архитектуру, кодинг, тестирование и итеративное развитие. В отличие от ранних случаев, где ИИ применялся для генерации фрагментов кода или примитивных вредоносных скриптов, VoidLink представляет собой целостную платформу, сравнимую по сложности с продуктами высокоресурсных APT-групп.

Ключевая опасность VoidLink заключается не только в его функциональности, но и в том, как именно он был создан. Использование Spec Driven Development (SDD) в сочетании с agent-based AI-IDE радикально сокращает порог входа и временные затраты на создание malware-платформ уровня APT. То, что ранее требовало команд разработчиков, менеджеров, тестировщиков и инфраструктурных инженеров, теперь может быть выполнено одним оператором, выступающим в роли «product owner» для ИИ.

Game Hacking 2. Уязвимости в игровых серверах: когда игру ломают изнутри

Fri, 23 Jan 2026 00:00:00 +0000

Серверная инфраструктура — это сердце любой онлайн-игры, но именно здесь разработчики чаще всего допускают критические ошибки. В 2023 году 78% успешных атак на игровые компании начинались с эксплуатации уязвимостей в бэкенде. Разберём, как хакеры взламывают серверы, и почему традиционные методы защиты часто бесполезны против целевых атак.

Это вторая часть из серии статей на тему Game Hacking.

Все части:

Архитектура игровых серверов: слабые звенья

Современные игры используют распределённые микросервисные архитектуры, где каждый компонент — потенциальная точка входа для атакёра:

Game Hacking 1. От чит-кодов до kernel-level читов

Fri, 23 Jan 2026 00:00:00 +0000

Игровой хакинг — это не просто способ получить преимущество в виртуальном мире. Это сложная экосистема, где технические навыки пересекаются с киберпреступностью, а каждый новый патч защиты провоцирует ответные действия хакеров. Рассмотрим эволюцию читов, методы обхода античит-систем и аппаратные решения, которые превратили игровой взлом в многомиллионный теневой бизнес.

Это первая часть из серии статей на тему Game Hacking.

Все части:

История читерства: от пакмана до соревновательных шутеров

Первые читы появились одновременно с самими видеоиграми. Ещё в 1980-х игроки в аркадных автоматах использовали «фамильные секреты» вроде знаменитого кода Konami (↑↑↓↓←→←→BA), чтобы получить дополнительные жизни в Contra. С развитием PC-гейминга читинг стал технологичнее: в 1999 году для Quake разработали первый aimbot, анализировавший позиции противников через память процесса.

Code Cave — искусство внедрения кода в исполняемые модули

Fri, 23 Jan 2026 00:00:00 +0000

Code cave (букв. «пещера кода») — это участок неиспользуемого пространства внутри исполняемого файла (например, PE, ELF, Mach-O), который может быть применён для внедрения дополнительного машинного кода без изменения размеров или структуры основного бинарного образа.

Данная техника интересна своей сложностью, а так же если не проверять хэши, то она делает очень незаметной установку payload.

Устройство PE-файла, для понимания статьи в шапке статьи.

1. Принцип работы Code Cave

1.1. Где берётся свободное место

В большинстве скомпилированных бинарных файлов существуют неиспользуемые участки памяти:

Cl0p Ransomware эксплуатирует 0-day уязвимость в Oracle E-Business Suite

Fri, 23 Jan 2026 00:00:00 +0000

0. Краткий профиль группировки CL0P и обзор недавней кампании

В мае–июне 2023 года кибергруппа Clop организовала одну из самых резонансных кампаний последних лет: эксплойт уязвимости в популярном ПО для передачи файлов Progress MOVEit привёл к массовой компрометации данных у сотен организаций по всему миру. Это была не локальная утечка — это был сценарий «одна уязвимость → множество жертв»: операторская модель Clop позволила быстро выявлять ценные цели, извлекать гигабайты конфиденциальной информации и ставить перед пострадавшими двоякую дилемму — платить выкуп или рисковать публичной публикацией похищенных данных. Масштаб инцидента, его влияние на цепочки поставок и скорость распространения показали, насколько уязвимы современные централизованные сервисы и как одно скомпрометированной программное решение может стать инструментом «big game hunting». В этой статье мы подробно разберём ход кампании Clop, её последствия для корпоративной безопасности и уроки, которые должны усвоить организации, чтобы снизить риск повторения подобных событий.

BlackMatter Ransomware: подробный анализ и рекомендации

Fri, 23 Jan 2026 00:00:00 +0000

Происхождение и эволюция

BlackMatter — это прямой наследник DarkSide и REvil. После громких атак (Colonial Pipeline, Kaseya, JBS) эти банды исчезли с публичного поля, и уже в июле 2021 появилось «новое» имя — BlackMatter. Это типичный ребрендинг: кодовая база, инфраструктура и даже «фирменные ошибки» в криптоалгоритмах указывают на преемственность.

Вывод: BlackMatter = ребрендинг DarkSide с новым PR, но той же кодовой базой.

Архитектура и модель работы

Ransomware-as-a-Service (RaaS): операторы создают ядро, «партнёры» проводят атаки.
Структура экосистемы:
1. Разработчики (ядро, криптология).
2. Партнёры (phishing, эксплойты, lateral movement).
3. Платформа переговоров (Tor-чаты).
4. Сайт «утечек» данных.

Интересно: BlackMatter активно вербовал на форумах XSS и Exploit, обещая «надежность и поддержку 24/7».

Asahi Group Ransomware: технический разбор

Fri, 23 Jan 2026 00:00:00 +0000

Активность семейства Asahi Group ransomware привлекла внимание благодаря редкому сочетанию скрытности, модульности и агрессивного подхода к извлечению данных. Несмотря на вводящее в заблуждение название, не связанное с японским концерном, Asahi представляет собой комплексную платформу для атак на корпоративные сети. Его архитектура ориентирована на две ключевые задачи: максимально незаметное проникновение и масштабный сбор информации до этапа шифрования.

В отличие от таких известных семейств, как LockBit или Conti, где основной упор делается на быструю эскалацию и моментальное шифрование, Asahi выделяется усиленным этапом разведки и постэксплуатации. Он активно использует модуль DataCollector, который собирает документы, сетевую конфигурацию, журналы и учётные данные ещё до начала разрушительной фазы. Кроме того, Asahi демонстрирует более гибкую структуру загрузки: через Initial Access модуль заражение переходит к Loader, затем — к DataCollector, только после чего запускаются механизмы Lateral Movement, связь с C2 и финальное шифрование.

Практический разбор деобфускации и anti-analysis техник современного infostealer-ПО

Wed, 14 Jan 2026 00:00:00 +0000

1. Введение

AuraStealer — активно развивающийся infostealer-as-a-service, появившийся на подпольных форумах летом 2025 года. Несмотря на сравнительно недолгую историю, данный образец демонстрирует зрелый подход к обфускации, anti-analysis и обходу защитных механизмов Windows, характерный для современных коммерческих MaaS-платформ.

Класс угрозы: Infostealer (MaaS)
Платформа: Windows 7–11
Язык реализации: C++
Размер билдов: ~500–700 KB

Ключевая особенность AuraStealer — агрессивная защита от анализа, выраженная не только в стандартных анти-debug и anti-VM проверках, но и в нетривиальных инженерных решениях:

Tsundere Botnet: злоупотребление Node.js и блокчейна Ethereum для устойчивого C2

Mon, 12 Jan 2026 00:00:00 +0000

1. Введение

В 2025 году исследователи столкнулись с новым этапом эволюции JavaScript-вредоносного ПО — ботнетом Tsundere, активно использующим экосистему Node.js и блокчейн Ethereum. В отличие от классических ботнетов, где C2-адреса жёстко зашиты в коде или меняются через доменные генераторы, Tsundere применяет смарт-контракты как распределённое хранилище командных серверов. Такой подход резко усложняет инфраструктурное противодействие и делает ботнет устойчивым к блокировкам и takedown-операциям.

2. Цепочка заражения (Kill Chain)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


Initial Access
 ├─ Fake MSI / PowerShell dropper
 ├─ RMM / pirated software
 └─ Game lures (valorant.exe, cs2.msi)

Execution
 ├─ Node.js runtime (bundled or downloaded)
 └─ Obfuscated JS loader

Persistence
 ├─ HKCU\...\Run
 └─ pm2 autostart

C2
 ├─ Ethereum smart contract
 └─ WebSocket (ws / wss)

Command Execution
 └─ eval() arbitrary JS

3. MSI-инфектор: технический разбор

MSI-файл играет роль не просто дроппера, а полноценного установщика среды выполнения. Вместе с вредоносными файлами он размещает легитимные бинарники Node.js в каталоге пользователя (AppData\Local\nodejs). Запуск вредоносного кода происходит через CustomAction, где Windows Installer вызывает PowerShell, а тот, в свою очередь, стартует Node.js в скрытом режиме. Важный момент — процесс создаётся отсоединённым (detached) и без вывода, что затрудняет его обнаружение стандартными средствами мониторинга.

RansomHouse (Jolly Scorpius): эволюция шифрования и техническая анатомия атак на VMware ESXi

Thu, 25 Dec 2025 00:00:00 +0000

Введение

RansomHouse представляет собой Ransomware-as-a-Service (RaaS) платформу, управляемую группировкой, отслеживаемой под названием Jolly Scorpius. Несмотря на публичную риторику о «раскрытии уязвимостей корпоративной безопасности», реальная деятельность RansomHouse демонстрирует классическую модель двойного вымогательства, сочетающую эксфильтрацию данных и шифрование инфраструктуры с последующим давлением на жертву через утечки.

Ключевой особенностью RansomHouse является узкая специализация на виртуализированных средах VMware ESXi, что позволяет злоумышленникам наносить максимальный ущерб за минимальное время, шифруя десятки и сотни виртуальных машин на уровне гипервизора. В отличие от таких семейств, как LockBit или Conti, ориентированных преимущественно на Windows-среды, RansomHouse делает ставку на инфраструктурный уровень, минимизируя зависимость от доменных политик и защитных решений на уровне ОС.

Gentlemen Ransomware: технический разбор архитектуры, тактик и артефактов

Sun, 21 Dec 2025 00:00:00 +0000

Ransomware-группировка Gentlemen представляет собой современную RaaS-платформу, ориентированную на целевые атаки против корпоративных инфраструктур. По совокупности применяемых техник Gentlemen ближе не к «массовым» шифровальщикам, а к организованным криминальным группам, использующим APT-подобные методики. Основной акцент сделан на длительное присутствие в сети, тщательную разведку, кражу данных и только затем — на шифрование.

1. Общая цепочка атаки (Kill Chain)

Типовая цепочка компрометации в атаках Gentlemen выглядит следующим образом:

Initial Access
Foothold и закрепление
Internal Reconnaissance
Credential Access
Lateral Movement
Data Exfiltration
Defense Evasion
Mass Deployment
Encryption & Extortion

В отличие от классических ransomware-семейств, здесь этапы 3–6 могут занимать от нескольких дней до недель, что говорит о ручном управлении операцией.

Tuoni C2: архитектура, возможности и создание собственного агента

Mon, 01 Dec 2025 00:00:00 +0000

Tuoni C2 — современная модульная платформа управления агентами, созданная командой shell-dot как максимально гибкий и расширяемый Command-and-Control фреймворк. В отличие от классических C2 (Sliver, Venom, Covenant), Tuoni изначально построен как инфраструктурный конструктор, позволяющий использовать агенты на разных языках, создавать собственные плагины, подключать внешние C2 и расширять систему через SDK.

Ключевая идея Tuoni — полная открытость архитектуры: сервер написан на Java, web-панель состоит из HTML/JS, агенты могут быть Python/.NET/PowerShell/Shell, а плагины пишутся на Java или C#. Это превращает Tuoni в гибридную лабораторию для разработки собственных offensive-модулей и C2-экосистем.

ВПО Landfall и CVE-2025-21042: Анатомия Zero-Click атаки на Samsung Galaxy

Mon, 24 Nov 2025 00:00:00 +0000

Вредоносное ПО Landfall открывает новую главу в мобильном кибершпионаже. Его появление стало одним из самых обсуждаемых инцидентов в ИБ-сообществе.

Исследователи Unit 42 (Palo Alto Networks) зафиксировали использование критической уязвимости CVE-2025-21042, позволяющей компрометировать смартфоны Samsung. Злоумышленники использовали сложнейший вектор атаки — Zero-day и Zero-click эксплойт. Жертве достаточно было получить изображение в мессенджере, чтобы устройство перешло под контроль атакующих еще до открытия файла.

Разбираем технические детали атаки, механизмы эксплуатации и функциональность шпионского модуля.

ILOVEYOU: одно «любовное» письмо, стоившее миру миллиарды долларов

Wed, 19 Nov 2025 00:00:00 +0000

Мир в эпицентре цифровой эпидемии

5 мая 2000 года мир проснулся в реальности, где электронная почта стала оружием массового поражения. То, что начиналось как обычное письмо с невинной темой “ILOVEYOU”, буквально за сутки превратилось в эпидемию, охватившую миллионы компьютеров и нарушившую работу банков, правительств, корпораций и военных структур.

Сотни частных и государственных организаций останавливали рабочие процессы, отключали электронную почту целыми домами и теряли гигабайты критически важных данных. Общий экономический ущерб оценивался в 5–10 миллиардов долларов — колоссальная сумма для того времени.

Venom C2 — лёгкая, кроссплатформенная и понятная командами платформа C2

Sun, 16 Nov 2025 00:00:00 +0000

Venom C2 — лёгкая, кроссплатформенная и понятная командами платформа командного управления, написанная без внешних зависимостей на Python3. Проект автора boku7 позиционируется как утилитарный инструмент для постэксплуатации в условиях, где установка пакетов нежелательна: сервер на Flask, операторский GUI на Electron и однобайтовый (single-file) агент на чистом Python, который передаёт AES-зашифрованные JSON-сообщения по HTTP(S). Это делает Venom удобным вариантом для быстрых red-team-кампаний и для ситуаций, когда на целевых хостах доступен только базовый стек Python.

SesameOp: анализ бэкдора, использующего OpenAI Assistants API в качестве C2

Fri, 07 Nov 2025 00:00:00 +0000

Введение

Исследователи из Microsoft DART обнаружили изящно скрывающуюся угрозу — бэкдор SesameOp, который превратил легитимный OpenAI Assistants API в невидимые нити для своего управления. Этот зловредный код, затаившийся в потоке законного общения с облачным сервисом, нашёл способ обмануть бдительность систем, пряча свои команды в доверенном трафике, уходящем к авторизованным доменам, — словно призрачный шепот в шуме большого города. Это история о том, как границы между доверенным и враждебным стираются, требуя новой мудрости в защите цифровых рубежей.

Sliver C2: изучение, демонстрация работы, детект

Thu, 30 Oct 2025 00:00:00 +0000

Sliver C2 - это фреймворк Red Team с открытым исходным кодом, разработанный компанией BishopFox, занимающейся кибербезопасностью, и представляет собой кроссплатформенную среду постэксплуатации на основе . Он используется для выполнения второго этапа выполнения цепочки атак на внутреннюю сеть (когда компьютер жертвы уже был скомпрометирован доступными способами) и является альтернативой такого коммерческого инструмента как CobaltStrike, как утверждают сами производители.

Архитектура Sliver C2

Архитектура Sliver C2 состоит из трёх частей:

Сервер Sliver C2. Является частью исполняемого файла sliver-server, управляет внутренней базой данных, а также запускает и останавливает сетевые прослушиватели. Основным интерфейсом взаимодействия с сервером является интерфейс gRPC, через него реализуются все функции.

Хакинг без метаданных Глубокий дайвинг в трафик без DPI. Расширенные методы анализа сетевого трафика для обнаружения сложных угроз.

Wed, 22 Oct 2025 00:00:00 +0000

Вступление — контекст проблемы

Современные угрозы всё чаще используют полноценное шифрование (TLS, QUIC), зашифрованные DNS-запросы, VPN и приватные каналы. DPI теряет эффективность: полезной полезной информации в пакетах либо нет, либо её нельзя расшифровать без вмешательства. При этом злоумышленники используют обфускацию поведения, туннелирование и «living off the land» приёмы, чтобы слиться с нормальным трафиком сети.

Это ставит задачу: как обнаруживать сложные угрозы, когда у нас нет метаданных DPI и нет возможности смотреть внутрь пакетов? Ответ — переход от блоков контента к анализу телеметрии, поведения и статистики на уровне потоков, TLS-фингерпринтов, таймингов и корреляции с endpoint-данными. Наука и индустрия активно развивают такой подход.

LinkPro: Новая эра eBPF-руткитов с "магическими пакетами"

Wed, 22 Oct 2025 00:00:00 +0000

Исследователи Synacktiv обнаружили изощренный руткит LinkPro, написанный на Golang и использующий технологию eBPF для сокрытия в ядре Linux. Этот backdoor демонстрирует качественный скачок в техниках сокрытия вредоносного ПО, сочетая kernel-level hiding с удаленной активацией через “magic packets” и представляя новый уровень сложности для систем обнаружения.

🎯 Революционная архитектура сокрытия

eBPF как новое оружие

LinkPro использует extended Berkeley Packet Filter (eBPF) — технологию ядра Linux для безопасного выполнения программ в kernel space без модификации самого ядра. Эта архитектура предоставляет злоумышленникам беспрецедентные возможности для создания стелс-backdoor’ов, работающих на уровне ядра с высокой стабильностью.

CVE-2025-10035 — GoAnywhere MFT под атакой Medusa Ransomware

Wed, 15 Oct 2025 00:00:00 +0000

18 сентября 2025 года Fortra опубликовала уведомление о безопасности, описывающее критическую уязвимость десериализации в License Servlet GoAnywhere MFT, отмеченную как CVE-2025-10035 с оценкой CVSS 10.0. Уязвимость может позволить злоумышленнику с корректно подделанной подписью ответа лицензии десериализовать произвольный объект, контролируемый атакующим, что потенциально ведёт к инъекции команд и удалённому выполнению кода (RCE). Группа киберпреступников, которую Microsoft Threat Intelligence отслеживает как Storm-1175 и известную развёртыванием вымогателя Medusa и эксплуатацией публично доступных приложений для начального доступа, была замечена при эксплуатации этой уязвимости.

Impacket: взгляд red team и blue team

Wed, 08 Oct 2025 00:00:00 +0000

Введение

Impacket — это мощная библиотека на Python, ориентированная на работу с сетевыми протоколами на низком уровне, а также набор примеров и утилит, удобных для пентестеров и злоумышленников.

Impacket сочетает в себе две взаимодополняющие части:

Библиотечный (API) уровень — классы, функции для создания, парсинга и взаимодействия с протоколами (Ethernet, IP, TCP/UDP, SMB, MSRPC и др.).
Утилитарный (инструментальный) уровень — готовые Python-скрипты (например, psexec.py, wmiexec.py, secretsdump.py и др.), демонстрирующие применение библиотеки в задачах пентеста, постэксплуатации, перемещения по сети и вытягивания учетных данных.

Impacket ≠ набор скриптов.
Это фреймворк, который реализует внутренние структуры пакетов, ASN.1-деревья, Netlogon RPC, Kerberos AP_REQ/AP_REP/TGS_REQ, SMB2_COM_TREE_CONNECT и пр.
Его сила — в возможности передавать бинарные протоколы как Python-объекты и строить поверх них любые цепочки атак.

Adaptix C2 и Cobalt Strike: сравнительный аналитический обзор для специалистов по кибербезопасности

Thu, 02 Oct 2025 00:00:00 +0000

Введение

В современной экосистеме инструментов пост-эксплуатации наблюдается устойчивый тренд: сдвиг от закрытых коммерческих решений к гибким open-source C2-фреймворкам. Если в 2010-х годах доминировали продукты уровня Cobalt Strike и Metasploit Pro, то в середине 2020-х активно появляются проекты нового поколения — такие как Adaptix C2.

Обзор Adaptix C2

Архитектура

Серверная часть: написана на Go, что обеспечивает кроссплатформенность, простоту деплоя и высокую производительность.

Клиентская часть: Qt/C++ приложение, работающее на Windows, Linux и macOS. Это делает управление C2 доступным с разных ОС, в отличие от ряда конкурентов.
Модульность: поддержка кастомных агентов и расширений. Ориентация на расширяемость позволяет создавать собственные плагины, команды и интеграции.

Особенности

Open-source модель — прозрачный код облегчает аудит и кастомизацию, но открывает злоумышленникам доступ к функционалу.

Цепочка поставок ПО под ударом: Как не дать хакерам сломать ваш код еще до релиза