Форум информационной безопасности - Codeby.net
Статья Threat Hunting для начинающих: от первой гипотезы до рабочей охоты в SIEM
SIEM молчал четыре дня: сервисная учётка гуляла по сети через SMB, PowerShell с Base64-командами и WMI-запуск процессов — ни одного хеша из фидов, ни одного алерта. Fileless lateral movement по учебнику.79% атак 2024 года прошли без малвари — CrowdStrike GTR 2025. PowerShell T1059.001, WMI T1047, Certutil для загрузки — штатные утилиты ОС, невидимые для корреляций по IoC. Медианное dwell time по Mandiant M-Trends 2025 — 11 дней, рекорд lateral movement — 51 секунда после первичного доступа.
SOC смотрит на алерты — атакующий работает в промежутках. 11 дней тишины в SIEM при активном hands-on-keyboard.Статья ColdFusion: забытый вектор атаки — от fingerprinting до RCE через актуальные CVE
ColdFusion 2021 за nginx reverse proxy — три часа от `/CFIDE/administrator/` в nmap до CFML-webshell. CVE-2026-48282 (CVSS 10.0, CWE-22) и CVE-2024-20767 (EPSS 98.51%, KEV) дают неаутентифицированный path traversal → file write → RCE с правами сервисного аккаунта.Fingerprinting через Shodan (`http.favicon.hash:-1315857455`), cookies CFID/CFTOKEN и `/CFIDE/adminapi/base.cfc?wsdl` — версия торчит в WSDL namespace. Patch diff для CVE-2026-48282 опубликовали 2 июля: первые эксплойты зафиксированы через два часа. MITRE T1505.003 — CFML-webshell не триггерит стандартные AV-движки.
Сервер «забыт» при миграции — но CISA KEV его помнит. Два часа от patch diff до атак.