Форум информационной безопасности - Codeby.net
На проверке Утечка Sound Radix: как атакующие скомпрометировали платформу поддержки клиентов
Sound Radix: 292 993 записей утекло не через дыру в периметре — атакующие скомпрометировали стороннюю helpdesk-платформу, обойдя EDR и файрвол через легитимный HTTPS к доверенному домену.Вектор — T1213.004 (CRM Software): штатный API экспорта тикетов вызван с валидным токеном скомпрометированного агента. CrowdStrike Falcon и SentinelOne молчат — с точки зрения endpoint-агента это обычный браузерный трафик. Имена, email и пароли ушли через документированный endpoint без единого exploit.
EDR покрывает эндпоинты — но весь kill chain прошёл внутри SaaS. В Windows Event Log тишина.На проверке SpiderFoot на Windows: установка, настройка и OSINT-разведка без Kali Linux
SpiderFoot 4.0 закрыл полный OSINT-профиль финтех-компании за 22 минуты на Windows 11 Enterprise — без Kali, без WSL, без гипервизора, заблокированного GPO.Корпоративный аудит, два часа на сбор поддоменов, email-адресов, SSL-цепочек и упоминаний в утечках. Python venv изолирует зависимости, `Set-ExecutionPolicy RemoteSigned` снимает блок активации, `netsh advfirewall` открывает порт 5001/tcp — три типичных грабли Windows, которые типичный гайд из четырёх строк не упоминает.
200+ модулей, YAML-корреляционный движок с 37 правилами, CLI-режим с флагом `-o json` для интеграции в пайплайн.
Open source версия не имеет аутентификации — `0.0.0.0:5001` без reverse proxy отдаёт интерфейс всей локальной сети.Статья DoSQ: атака на 5G NR планировщик ресурсов через side-channel PDCCH
DoSQ превращает открытый PDCCH в оружие: USRP B210 декодирует DCI без ключей, вычисляет C-RNTI жертвы через CRC-перебор и глушит её PRB-аллокации точечной интерференцией — YouTube Live деградирует, соседний UE не замечает ничего.Атака работает в два режима. Пассивный — синхронизация с SSB, извлечение PCI и SCS, построение карты аллокаций всех UE в соте через DCI-поток. Активный — таргетированная передача на PRB жертвы в том же слоте: HARQ-ретрансмиссии растут, MCS падает, scheduler сам транслирует деградацию обратно в PDCCH.
Wideband jammer виден сразу — DoSQ работает в пределах шумового порога, пока scheduler сам не выдаст атаку через DCI.На проверке Silver Fox APT атаки на российские компании: ValleyRAT, ABCDoor и detection rules для SIEM
Silver Fox APT разослала 1600 фишинговых писем под видом уведомлений налоговой — и развернула в сетях российских промышленных компаний цепочку из Rust-загрузчика RustSL, бэкдора ValleyRAT и недокументированного Python-бэкдора ABCDoor.Kill chain стартует с PDF-вложения со ссылкой на abc.haijing88[.]com — PDF обходит SEG-фильтры лучше исполняемых файлов. Рассылка через SendGrid проходит SPF/DKIM. RustSL использует 8 методов шифрования payload, 12 техник обнаружения песочниц и геолокационную фильтрацию жертв.
SOC ловит малварь на эндпоинте — RustSL детектирует песочницу и меняет поведение до запуска ValleyRAT.На проверке SonicWall zero-day RCE 2026: разбор цепочки CVE-2026-15409 + CVE-2026-15410 и методика обнаружения
Rapid7 зафиксировала эксплуатацию CVE-2026-15409 + CVE-2026-15410 на SonicWall SMA1000 за три недели до публичного advisory вендора — pre-auth SSRF (CVSS 10.0) цепляется с code injection в AMC, давая полный RCE без пароля и без единого клика жертвы.Атакующий шлёт запрос к Work Place-порталу — SSRF с AV:N/PR:N/UI:N форсирует appliance обращаться к внутреннему AMC, недоступному снаружи. Scope Changed в CVSS-векторе — именно поэтому десятка. Второй баг (CWE-94) добивает: инъекция кода в AMC отдаёт shell на уровне ОС. UTA0533 (Volexity) разворачивает KNUCKLEBALL и ORANGETAIL — предположительно под ransomware.
EDR на рабочих станциях молчит — SMA1000 trusted node, shell живёт прямо на периметре.Статья Реагирование на инсайдерскую угрозу: playbook от алерта до containment
IR-команда заблокировала учётку и спугнула инсайдера — улики испарились. В 8 из 14 расследованных инцидентов организация теряла доказательную базу, применяя стандартный playbook внешней атаки к инсайдеру с T1078 и легитимным доступом.Инсайдер не делает lateral movement — он уже внутри. Kill chain строится на T1078 (Valid Accounts), T1074.001 (Local Data Staging) и T1052.001 (USB Exfiltration). DLP-агент останавливается через services.msc при наличии прав локального админа, логи чистятся через T1070.001 — и SIEM молчит.
UEBA видит аномалию — но стандартный IR-рефлекс «изолировать хост» разрушает доказательную базу раньше юристов.Статья Регуляторика ИБ 2026: что изменилось в требованиях ФСТЭК, ФСБ и как это ломает методологию пентеста
ФСТЭК апрель 2026: 60% объектов КИИ не выдержат типовую атаку — регулятор вводит целевой показатель 80% покрытия и пятиуровневую зрелость ИБ-процессов, ломая compliance-пентест до основания.Два документа ФСТЭК — проект указа о целевых показателях (апрель) и методология зрелости ИБ (май) — переключают аттестацию с «есть ли сертифицированный СрЗИ» на «насколько эффективен процесс». Результаты пентеста теперь прямо влияют на показатель заказчика перед регулятором: непокрытый вектор на значимом объекте КИИ — это не рекомендация, а снижение метрики.
Регулятор считает не наличие МЭ, а процент реально защищённых объектов — разовый отчёт раз в год больше не закрывает аттестацию.Статья BreachForums утечка данных: анализ двух дампов и detection-чеклист для SOC
BreachForums слили дважды — 212 156 записей из дампа ноября 2022-го и 323 988 из v5 2025-го. Большинство SOC прочитали заголовок и закрыли вкладку. Зря: внутри Argon2-хеши, личные сообщения и 70 000+ публичных IP для SIEM-корреляции.Два инцидента, два набора данных. Дамп v1 — бэкап из MEGA-аккаунта Pompompurin, формат TSV указывает на ручной экспорт из MyBB. Дамп v5 — файл databoose.sql плюс скомпрометированный PGP-ключ администрации: любые «официальные» сообщения форума после утечки верифицировать нечем.
SOC ищет IOC в корпоративных логах — а BreachForums даёт список тех, кто торговал этими IOC.