Форум информационной безопасности - Codeby.net
Статья Windows LPE zero-day cldflt.sys: как MiniPlasma оживляет баг шестилетней давности до SYSTEM
MiniPlasma поднимает low-priv до NT AUTHORITY\SYSTEM на полностью пропатченном Windows 11 — через CVE-2020-17103 в cldflt.sys, которой шесть лет. EPSS 97-й перцентиль, PoC Форшоу запустился без единой правки.Race condition в `HsmOsBlockPlaceholderAccess`: два потока атакуют состояние placeholder через `CfAbortHydration`, в окне между проверкой прав и записью второй поток подменяет путь на `HKU\.DEFAULT` — куст SYSTEM. Далее `Volatile Environment` → SYSTEM shell. MITRE T1068, AC:H, PR:L.
Три предыдущих эксплойта серии Chaotic Eclipse уже подтверждены в реальных атаках.
cldflt.sys загружен по умолчанию на всех Windows 11 — EDR видит user-mode, ядро пишет в SYSTEM hive молча.Статья Как войти в кибербезопасность из смежной IT-специальности: конкретный план перехода
Сисадмин поймал брутфорс по Event ID 4625 — серия на три DC за 12 минут, T1110 по MITRE ATT&CK — и без единого ИБ-курса заблокировал источник, собрал логи и написал отчёт. Через полгода он работал в SOC.IT-бэкграунд покрывает 30–60% требований конкретной ИБ-роли. Сисадмин знает, почему Kerberoasting работает — ему не объясняют, что такое SPN. Разработчик с сотней API-эндпоинтов увидит SQL-инъекцию быстрее выпускника курса «ИБ с нуля». DevOps за день прикрутит Semgrep в GitLab CI — потому что знает, куда вставить stage.
Рынку не хватает 50 000 специалистов — но один из десяти проходит техническое собеседование.Статья CVE-2026-42897 Microsoft Exchange: 0-day XSS в OWA — от crafted-письма до захвата сессии
CVE-2026-42897 в OWA: crafted-письмо без вложений и ссылок захватывает аутентифицированную сессию Exchange — CISA даёт 14 дней до дедлайна 29 мая, патча нет.Root cause — CWE-79: Exchange Server не санитизирует HTML при рендеринге в OWA. CVSS 8.1, PR:N, UI:R — атакующий без аутентификации доставляет обфусцированный JavaScript стандартным SMTP. Жертва открывает письмо, скрипт исполняется в контексте браузерной сессии: T1114.002 (Remote Email Collection), BEC-пересылка, inbox rules.
Стандартный Exchange-playbook слеп: нет веб-шелла (T1505.003), нет аномального IIS-процесса, нет подозрительного outbound. EDR на хосте Exchange и IDS на периметре молчат.
SOC ищет артефакты на сервере — компрометация CVE-2026-42897 происходит целиком в браузере жертвы.Статья OSINT Telegram инструменты: методики разведки и запуск через Termux на Android
За два часа работы с TGStat и Telethon анонимный Telegram-канал превратился в конкретного сотрудника — через корреляцию юзернейма на четырёх платформах и анализ форвардных цепочек из слитого дампа.Статья разбирает реальный OSINT-цикл по MITRE T1593.001 и T1213.005: от единственной зацепки — юзернейма в логах — до графа связей. Инструменты с флагами: Maigret (soxoj/maigret, ~3000 платформ), Telethon 1.36+ с rate-limit ~200-300 вызовов в минуту, TGStat для первичной разведки каналов.
Отдельный блок — запуск через Termux на Android 7.0+: F-Droid сборка, RAM от 3 ГБ, изолированный Telegram-аккаунт обязателен.
Русскоязычные обзоры дают списки из 50 ботов — ни одной воспроизводимой команды.Статья ATT&CK Navigator: от визуализации TTP до приоритизации детектирования
На purple team в финансовой организации 23 правила SIEM закрыли лишь 19 техник из 201 — ATT&CK Navigator за вечер построил heat map gaps, которую CISO читал без переводчика.ATT&CK Navigator — client-side SPA: вы подаёте JSON-слой со score-полями и comment-атрибутами (имена SIEM-правил), он рисует heat map. Никаких коннекторов к SIEM — только скрипт-генератор и layer format 4.5.
В purple team workflow инструмент появляется трижды: до упражнения — red team фиксирует scope (APT29 + FIN7), во время — blue team тегирует задетектированные техники, после — два слоя мержатся через layer expression в composite map: зелёное = покрыто, красное = слепая зона.
SOC считает правила — Navigator считает gaps. 90% матрицы остаётся невидимой при формально «работающем» SIEM.Статья Расследование сетевых атак с помощью NTA: от аномалии в трафике до полной цепочки атаки
NTA-платформа подняла алерт средней критичности: 847 DNS-запросов к одному поддомену за 30 минут. EDR молчал — svchost.exe выглядел легитимным. Через 4 часа расследования выяснилось: DNS-туннель T1071 гнал данные наружу уже 11 дней, 340 МБ через TXT-записи.tshark вскрыл паттерн: поддомены вида `aGVsbG8gd29ybGQ.data.update-srv[.]xyz` содержали Base64-строки, объём ответов превышал запросы в 8 раз — классика обратного C2-канала. Второй кейс — SMB lateral movement в 2:40 ночи в субботу: impacket secretsdump через RemoteOperations, обращения к C$ share и файлам SAM/SYSTEM на четырёх серверах, с которыми хост раньше никогда не общался.
EDR чист, антивирус молчит — атака живёт в сети. Без записи трафика 340 МБ ушли бы незамеченными.