Записки Безопасника

☑️ OpenBSD 8.0 только вышла и сразу потребовала заплаток. В ядре нашли опасную дыру

Даже OpenBSD, известной строгим подходом к защите, понадобились заплатки в день крупного релиза. 20 октября разработчики представили OpenBSD 8.0 и в тот же день опубликовали четыре исправления для новой системы.

Шестьдесят первый выпуск принес обновленные защитные механизмы, поддержку более мощных виртуальных машин, новые сетевые возможности и новую версию OpenSSH.

Самое тревожное исправление касается IPsec с алгоритмом AES-GMAC. Ошибка могла вызвать переполнение памяти ядра при удаленной атаке на определенные аппаратные конфигурации.

Под угрозой находились платформы amd64 с AES-NI и octeon с криптографическим сопроцессором. Реализация AES-GCM, согласно уведомлению разработчиков, не пострадала.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ В PyPI-пакет и Docker-образ с LiteLLM подставлено вредоносное ПО

Зафиксирована публикация в репозитории PyPI вредоносного выпуска библиотеки LiteLLM, насчитывающей 23 млн загрузок в неделю, а также подстановка вредоносного кода в официальный Docker-образ проекта. Это не первый подобный инцидент с LiteLLM - в марте этого года атакующие уже публиковали вредоносные выпуски после перехвата учетных данных сопровождающего.

Вредоносный код был подставлен на этапе сборочного процесса без компрометации git-репозитория. После установки вредоносный код активируется до импорта LiteLLM через установку файлов cook.pth, cook.py и sitecustomize.py в директорию с библиотеками Python.

Данные файлы запускаются при каждом выполнении Python в системе без необходимости совершения пользователем каких-либо действий.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ OVHcloud CLI скомпрометирован и использовался для распространения малвари

Французский облачный и хостинг-провайдер OVHcloud предупредил о компрометации пяти релизов своего фирменного CLI-инструмента. Злоумышленники захватили GitHub-аккаунт одного из контрибьюторов и подменили архивы версий с 0.11.0 по 0.15.0 сборками, предназначенными для кражи секретов.

Атака произошла 19 октября 2026 года. В общей сложности вредоносные файлы находились на GitHub около полутора часов (с 12:47 до 14:21 UTC), но исходный код OVHcloud CLI, теги релизов и CI/CD-пайплайны не пострадали.

Сообщается, что злоумышленники локально собрали вредоносную версию из более позднего коммита и добавили ее в уже существующие релизы, опубликованные с апреля по сентябрь текущего года.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

Зачем взламывать периметр, если можно просто войти?
Украденный пароль, перехваченная сессия или скомпрометированный токен — и злоумышленник может получить доступ к корпоративным системам под видом легитимного пользователя.

Для защиты от таких сценариев CURATOR запустил CURATOR.IDENTITY — облачное решение для управления доступом и аутентификацией.

Что оно умеет:
🔹 подключать MFA и SSO для корпоративных сервисов, VPN и веб-приложений;
🔹 настраивать права доступа для разных категорий пользователей;
🔹 учитывать контекст входа и устройство;
🔹 защищать пользовательские сессии и выстраивать Zero Trust-сценарии.

Решение расширяет защиту CURATOR: теперь она охватывает не только инфраструктуру и приложения, но и доступ к ним.

👉 Подробнее о CURATOR.IDENTITY — по ссылке.

🖥 Hindsight: следы браузера в единой хронологии

Hindsight — бесплатный инструмент для анализа браузерных артефактов Google Chrome, других приложений на Chromium и профилей Mozilla Firefox.

Разбирает историю посещений и загрузок, кеш, закладки, автозаполнение, cookies и Local Storage. Извлеченные данные сопоставляет с другими файлами истории и собирает в единую хронологию.

— Артефакты, исключенные фильтром, отмечаются при запуске и в журнале: так пропуск в отчете можно отличить от отсутствия данных в самом профиле.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Автопентест добрался до бухгалтерии: PT Dephaze штурмует 1С, как настоящий взломщик

Positive Technologies добавила в PT Dephaze базовую проверку 1С. Система автоматического тестирования на проникновение теперь пытается добраться до 1С:Предприятия из внутренней сети компании, ищет слабые настройки и проверяет, помогут ли ранее найденные логины и пароли войти в приложение.

Для бизнеса риск особенно чувствителен, поскольку через 1С часто проходят бухгалтерия, финансы, закупки, поставки и работа с персоналом.

PT Dephaze проводит автопентест, то есть автоматически воспроизводит действия реального злоумышленника в контролируемой среде. Обычный сканер способен указать на отдельную уязвимость или ошибку настройки, а пентест идет дальше и проверяет, получится ли объединить несколько слабых мест в рабочую цепочку атаки.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Автоинвентаризация ИТ-инфраструктуры: как находить неизвестные устройства и контролировать изменения

От обнаружения к реестру

Новый сервер, неизвестный IP-адрес, дополнительный сетевой интерфейс на рабочем компьютере — инфраструктура меняется быстрее, чем ее успевают описывать вручную. Даже аккуратный реестр активов быстро теряет ценность, если данные в нем расходятся с фактическим состоянием сети.

В прошлой статье мы разбирали, зачем нужен единый источник данных об оборудовании, адресах и связях и почему мониторинг, SIEM и ITSM не должны превращаться в независимые конкурирующие реестры. Теперь следующий вопрос: как поддерживать мастер-реестр в актуальном состоянии, когда инфраструктура постоянно меняется?

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 capa: что умеет подозрительный файл и где искать подтверждения

capa определяет возможности исполняемых файлов: анализирует PE, ELF, модули .NET, шеллкод и отчеты песочниц. Например, может предположить, что программа устанавливает службы или использует HTTP для связи.

В подробном выводе показывает, где именно найдены признаки этих возможностей. Это помогает проверить выводы и выбрать участки бинарного файла для дальнейшего изучения в IDA Pro.

— capa Explorer Web позволяет интерактивно изучать результаты в браузере. Для локальной работы без интернета можно скачать отдельный HTML-файл.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Хакеры взламывают устройства D-Link и Ubiquiti, чтобы превратить их в прокси

Специалисты компании GreyNoise обнаружили, что злоумышленники взламывают сетевые устройства и скрыто устанавливают на них легитимное приложение Pawns.app, с помощью которого монетизируют чужие интернет-подключения через коммерческую сеть резидентных прокси. Исследователи нашли как минимум 143 скомпрометированных устройства в 34 странах.

Приложение Pawns.app позволяет своим пользователям зарабатывать, пропуская через свое подключение к интернету трафик других пользователей. Так как сервису и его клиентам нужны обычные, не заблокированные IP-адреса, домашние и корпоративные подключения ценятся особенно высоко.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 windows-forensic-artifacts: связываем следы Windows по Logon ID

Справочник артефактов Windows для расследований: где искать каждый артефакт, какими инструментами его разбирать и как интерпретировать результаты извлечения данных.

— Раздел Logon ID помогает связать вход в систему с другой активностью на хосте. Отправной точкой может быть Logon ID из события входа 4624: справочник перечисляет другие артефакты с этим полем, чтобы сопоставить действия с сеансом.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe