Записки Безопасника

☑️ Хакеры взламывают устройства D-Link и Ubiquiti, чтобы превратить их в прокси

Специалисты компании GreyNoise обнаружили, что злоумышленники взламывают сетевые устройства и скрыто устанавливают на них легитимное приложение Pawns.app, с помощью которого монетизируют чужие интернет-подключения через коммерческую сеть резидентных прокси. Исследователи нашли как минимум 143 скомпрометированных устройства в 34 странах.

Приложение Pawns.app позволяет своим пользователям зарабатывать, пропуская через свое подключение к интернету трафик других пользователей. Так как сервису и его клиентам нужны обычные, не заблокированные IP-адреса, домашние и корпоративные подключения ценятся особенно высоко.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 windows-forensic-artifacts: связываем следы Windows по Logon ID

Справочник артефактов Windows для расследований: где искать каждый артефакт, какими инструментами его разбирать и как интерпретировать результаты извлечения данных.

— Раздел Logon ID помогает связать вход в систему с другой активностью на хосте. Отправной точкой может быть Logon ID из события входа 4624: справочник перечисляет другие артефакты с этим полем, чтобы сопоставить действия с сеансом.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Android-троян Hirudo подменяет банковские приложения вредоносными версиями

Аналитики из компании ThreatFabric обнаружили новый банковский троян Hirudo для Android, который подменяет легитимные банковские приложения модифицированными версиями. Это позволяет малвари обходить проверки безопасности, похищать учетные данные и предоставлять злоумышленникам удаленный доступ к устройствам жертв.

По словам исследователей, Hirudo сочетает в себе функции банковского трояна и полноценного RAT. В настоящее время малварь нацелена на восемь банковских приложений из Индонезии, однако анализ кода вредоноса показал, что злоумышленники также могут использовать его против банковских приложений Китая, Индии, Мексики, Марокко и Таиланда.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ Tool calling в Go: почему вызов модели еще не разрешение выполнить команду

С tool calling у LLM появляется возможность не только отвечать на вопросы, но и вызывать функции нашего приложения. Можно дать модели доступ к поиску заказов, проверке платежей, созданию документов или изменению настроек.

Интеграция на первый взгляд довольно простая. Передаем модели описание функций, получаем название инструмента и аргументы, проверяем JSON и вызываем нужный обработчик.

Но здесь есть проблема. Валидный tool call еще не означает, что операцию вообще разрешено выполнять.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 AmCache-EvilHunter: поиск подозрительных файлов в Amcache.hve

AmCache-EvilHunter — инструмент командной строки для разбора и анализа кустов реестра Windows Amcache.hve и поиска подозрительных исполняемых файлов.

Работает с офлайн-копиями Amcache.hve: фильтрует записи по датам, ищет по ключевым словам, выделяет известные подозрительные исполняемые файлы и файлы без издателя. Результаты можно экспортировать в JSON или CSV.

— Для проверки хешей через VirusTotal и OpenTIP нужны API-ключи соответствующих сервисов.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

☑️ 151 тысяча сайтов Drupal осталась без патча. Критическая дыра грозит захватом серверов

Обычное дополнение к Drupal способно превратить ошибку ядра в путь к удаленному запуску кода без входа в систему. Команда проекта 14 октября закрыла критическую уязвимость в Field UI, которая становится опасной в сочетании с дополнительными модулями или собственным кодом сайта.

Для одного из известных путей атаки учетная запись не требуется.

Проблема получила идентификатор CVE-2026-108097 и оценку 9,8 балла по CVSS 3.1. По собственной шкале Drupal риск составляет 19 из 25 и относится к критическому уровню.

Команда Drupal подтвердила, что уязвимость находится в штатном модуле Field UI, через который администраторы управляют полями контента и их отображением на страницах.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe

🖥 sysmon-modular: собираем конфигурацию Sysmon из XML-модулей

Sysmon Modular — репозиторий конфигураций для Microsoft Sysinternals Sysmon. Небольшие XML-модули позволяют выбирать и поддерживать нужную организации телеметрию, а инструмент sysmon-modular собирает из них конфигурации.

— Анализатор отмечает совпадающие условия включения и исключения, рискованные исключения по имени исполняемого файла и затраты конфигурации.

Перед широким развертыванием нужен пилот на типичных машинах: измерьте объем событий, потребление ресурсов и пользу для расследований. Инструменты лишь помогают проверять конфигурацию.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe