Записки Безопасника

🖥 capa: что умеет подозрительный файл и где искать подтверждения

capa определяет возможности исполняемых файлов: анализирует PE, ELF, модули .NET, шеллкод и отчеты песочниц. Например, может предположить, что программа устанавливает службы или использует HTTP для связи.

В подробном выводе показывает, где именно найдены признаки этих возможностей. Это помогает проверить выводы и выбрать участки бинарного файла для дальнейшего изучения в IDA Pro.

— capa Explorer Web позволяет интерактивно изучать результаты в браузере. Для локальной работы без интернета можно скачать отдельный HTML-файл.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Хакеры взламывают устройства D-Link и Ubiquiti, чтобы превратить их в прокси

Специалисты компании GreyNoise обнаружили, что злоумышленники взламывают сетевые устройства и скрыто устанавливают на них легитимное приложение Pawns.app, с помощью которого монетизируют чужие интернет-подключения через коммерческую сеть резидентных прокси. Исследователи нашли как минимум 143 скомпрометированных устройства в 34 странах.

Приложение Pawns.app позволяет своим пользователям зарабатывать, пропуская через свое подключение к интернету трафик других пользователей. Так как сервису и его клиентам нужны обычные, не заблокированные IP-адреса, домашние и корпоративные подключения ценятся особенно высоко.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 windows-forensic-artifacts: связываем следы Windows по Logon ID

Справочник артефактов Windows для расследований: где искать каждый артефакт, какими инструментами его разбирать и как интерпретировать результаты извлечения данных.

— Раздел Logon ID помогает связать вход в систему с другой активностью на хосте. Отправной точкой может быть Logon ID из события входа 4624: справочник перечисляет другие артефакты с этим полем, чтобы сопоставить действия с сеансом.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Android-троян Hirudo подменяет банковские приложения вредоносными версиями

Аналитики из компании ThreatFabric обнаружили новый банковский троян Hirudo для Android, который подменяет легитимные банковские приложения модифицированными версиями. Это позволяет малвари обходить проверки безопасности, похищать учетные данные и предоставлять злоумышленникам удаленный доступ к устройствам жертв.

По словам исследователей, Hirudo сочетает в себе функции банковского трояна и полноценного RAT. В настоящее время малварь нацелена на восемь банковских приложений из Индонезии, однако анализ кода вредоноса показал, что злоумышленники также могут использовать его против банковских приложений Китая, Индии, Мексики, Марокко и Таиланда.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Tool calling в Go: почему вызов модели еще не разрешение выполнить команду

С tool calling у LLM появляется возможность не только отвечать на вопросы, но и вызывать функции нашего приложения. Можно дать модели доступ к поиску заказов, проверке платежей, созданию документов или изменению настроек.

Интеграция на первый взгляд довольно простая. Передаем модели описание функций, получаем название инструмента и аргументы, проверяем JSON и вызываем нужный обработчик.

Но здесь есть проблема. Валидный tool call еще не означает, что операцию вообще разрешено выполнять.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 AmCache-EvilHunter: поиск подозрительных файлов в Amcache.hve

AmCache-EvilHunter — инструмент командной строки для разбора и анализа кустов реестра Windows Amcache.hve и поиска подозрительных исполняемых файлов.

Работает с офлайн-копиями Amcache.hve: фильтрует записи по датам, ищет по ключевым словам, выделяет известные подозрительные исполняемые файлы и файлы без издателя. Результаты можно экспортировать в JSON или CSV.

— Для проверки хешей через VirusTotal и OpenTIP нужны API-ключи соответствующих сервисов.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ 151 тысяча сайтов Drupal осталась без патча. Критическая дыра грозит захватом серверов

Обычное дополнение к Drupal способно превратить ошибку ядра в путь к удаленному запуску кода без входа в систему. Команда проекта 14 октября закрыла критическую уязвимость в Field UI, которая становится опасной в сочетании с дополнительными модулями или собственным кодом сайта.

Для одного из известных путей атаки учетная запись не требуется.

Проблема получила идентификатор CVE-2026-108097 и оценку 9,8 балла по CVSS 3.1. По собственной шкале Drupal риск составляет 19 из 25 и относится к критическому уровню.

Команда Drupal подтвердила, что уязвимость находится в штатном модуле Field UI, через который администраторы управляют полями контента и их отображением на страницах.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 sysmon-modular: собираем конфигурацию Sysmon из XML-модулей

Sysmon Modular — репозиторий конфигураций для Microsoft Sysinternals Sysmon. Небольшие XML-модули позволяют выбирать и поддерживать нужную организации телеметрию, а инструмент sysmon-modular собирает из них конфигурации.

— Анализатор отмечает совпадающие условия включения и исключения, рискованные исключения по имени исполняемого файла и затраты конфигурации.

Перед широким развертыванием нужен пилот на типичных машинах: измерьте объем событий, потребление ресурсов и пользу для расследований. Инструменты лишь помогают проверять конфигурацию.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Критическая уязвимость в GitLab позволяет неавторизованному пользователю выполнить код на сервере

Разработчики GitLab выпустили экстренные патчи для критической уязвимости CVE-2026-97229, которая позволяла без аутентификации выполнять произвольный код на стороне сервера. Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE) и получила максимальную оценку по шкале CVSS — 10 баллов из 10 возможных.

Уязвимость связана с целочисленным переполнением в компиляторе регулярных выражений CI/CD (Regular Expression Compiler), компоненте, который отвечает за обработку регулярных выражений в конфигурациях CI/CD-пайплайнов.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Windows IR: системный подход. Часть 3 — задачи, автозапуск, учетные записи, журналы

Это третья часть материала, посвященного Windows IR. Вторая часть была посвящена изоляции хоста и разбору процессов и служб.

В этой части — проверяем еще две частые точки закрепления, задачи планировщика и автозапуск через реестр, смотрим на локальные учетные записи и группы, и наконец садимся за журналы событий, чтобы связать разрозненные находки в единую хронологию. Здесь же выводы из демонстрационной лабы складываются в цельную картину атаки.

Задача в планировщике отличается от службы тем, что срабатывает по триггеру: по времени, при входе пользователя, при загрузке, по событию в журнале.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe