Кибербезопасность
По данным последних исследований IT, каждые четыре секунды в компьютерную сеть компании попадает вредоносная программа и каждые 32 минуты за пределы организации уходит ценная информация. Утерянные данные могут стать источником манипуляций, поэтому так важно выстроить максимально эффективную защиту. Обеспечить информационную безопасность можно сотнями способов, сочетая разные продукты – антивирусы, межсетевые экраны, SSL-сертификаты, разграничение правд доступа, системы защиты от DDoS-атак. Важнейшей стороной информационной безопасности становится определение угроз, а это невозможно без определения объектов защиты. Только поняв, что и от чего мы защищаем, можно выстроить грамотную оборону. Сейчас актуален переход к облачным решениям, которые дают возможность быстро развёртывать системы безопасности, отдавая их управление поставщикам облачных сервисов. В этом разделе собраны актуальные материалы об информационной безопасности от построения информационной защиты до её оптимизации.
Статья Иранские APT атакуют промышленные ПЛК: разбор TTP и Detection Engineering для OT/ICS-сред
Шесть агентств США одновременно — это не учебная тревога: иранские APT атакуют промышленные ПЛК с реальным операционным ущербом.CVE-2021-22681 (CVSS 9.8) на Rockwell CompactLogix через Studio 5000 Logix Designer — легитимный инженерный инструмент как вектор атаки. Стандартный EDR бесполезен: ПЛК не принимают агентов, а трафик EtherNet/IP неотличим от штатной работы инженера.
Полная цепочка TTP по MITRE ATT&CK for ICS, Sigma-правила для Modbus/S7/EtherNet/IP, Zeek-скрипты и Splunk/KQL-запросы — то, чего нет ни в одном русскоязычном источнике.
Пошаговый план защиты: от первых 24 часов до постоянного OT-мониторинга.Статья Userland rootkit техники сокрытия: LD_PRELOAD, DLL injection, IAT/EAT hooking на практике
Ring 3 хватает: userland rootkit прячет процессы, файлы и бэкдоры без единой строки кода в ядре.Атакующие в реальных red team-кампаниях не лезут в Ring 0 — им хватает Ring 3. LD_PRELOAD перехватывает readdir() до того, как ls и ps увидят данные. DLL injection загружает код в чужой процесс через CreateRemoteThread. IAT hooking подменяет адреса в таблице импорта. И всё это без kernel panic и без борьбы с Secure Boot.
Разбираем четыре техники с рабочим кодом на C: LD_PRELOAD rootkit с глобальной персистентностью через /etc/ld.so.preload, reflective DLL injection без следов в PEB, IAT/EAT hooking и inline hooking с unhooking EDR через чистую ntdll.
Практический блок с полным циклом LD_PRELOAD rootkit и детект-правилами Falco — включая то, что userland-антируткиты не поймают в принципе.Статья Повышение привилегий Linux: от первичной разведки до root через LinPEAS, LinEnum и ручные техники
Shell получен. Курсор мигает от www-data. До root — один шаг, но он может занять пять минут или пять часов.Зависит от того, умеешь ли ты читать систему. sudo -l с NOPASSWD на любом бинаре из GTFOBins — можно идти пить кофе. Writable cron-скрипт от root — модифицируй и жди минуту. Нестандартный SUID-бинарь — анализируй через strings и PATH manipulation.
Разбираем полный чейн privilege escalation: ручная разведка, LinPEAS с разбором цветовой маркировки, LinEnum и pspy для скрытых процессов, эксплуатация SUID, sudo misconfiguration, cron jobs и Dirty COW — с командами из реальных пентестов и CTF.
Пошаговый алгоритм от первой команды до root и таблица Linux hardening — что закрывать, чтобы этот чейн не сработал против вас.Статья Race Conditions в веб-приложениях: Time-of-Check to Time-of-Use
Купон на скидку должен сработать один раз, баланс - списаться один раз, заказ - оформиться один раз. А потом несколько одинаковых запросов приходят почти одновременно, и бизнес-логика рассыпается: скидка применяется повторно, деньги уходят в минус, а сервер честно считает всё это легитимной нагрузкой. В статье разбираем, как race conditions из редкой экзотики превратились в практический класс веб-уязвимостей.
Покажем, как работает TOCTOU, почему старые подходы к тестированию race conditions были ненадёжны и что изменил single-packet attack. Разберём типовые сценарии: limit overrun, multi-endpoint race, single-endpoint race и проблемы сессий, а также посмотрим, как всё это воспроизводить через Burp Repeater и Turbo Intruder.
Это практический разбор без воды: с примерами кода, публичными кейсами, объяснением, где ломается серверная логика, и мерами защиты, которые реально работают - от атомарных операций и блокировок...Статья APT атаки 2026: тренды и тактики Q1 — от identity-based компрометации до спутниковых целей
Identity — новый периметр: Salt Typhoon в Конгрессе, APT29 в OAuth-токенах и Volt Typhoon без единого малваря.Когда Salt Typhoon предположительно добрался до переписки комитетов Конгресса по нацбезопасности, стало окончательно ясно: identity-based атаки — основной вектор государственных APT-группировок. При этом Volt Typhoon не оставляет ни хэшей, ни C2-доменов — только аномальные цепочки системных утилит.
Сравниваем TTPs Salt Typhoon, Volt Typhoon, APT29 и Scattered Spider через MITRE ATT&CK: Golden SAML, MFA fatigue, OAuth abuse и living-off-the-land — с KQL-запросами для Microsoft Sentinel, готовыми к запуску сегодня.
Практический чеклист для SOC и security engineers: от аудита identity-поверхности до threat hunting на LotL-активность...Статья Обход антивируса и EDR: разработка кастомных пейлоадов от шифрования до in-memory execution
Четыре уровня детекта — четыре техники обхода: полный пайплайн кастомного загрузчика против современного EDR.Стандартный msfvenom живёт ровно до первых байтов — сигнатура fc 48 83 e4 f0 в базах каждого вендора. Но зашифровать пейлоад мало: EDR перехватит вызовы через хуки в ntdll, а поведенческий движок соберёт цепочку VirtualAlloc → WriteProcessMemory → CreateRemoteThread и вынесет вердикт.
Разбираем полный цикл: XOR/RC4/AES шифрование без системных API, API hashing вместо строковых имён, unhooking через KnownDLLs, indirect syscalls с корректным call stack, ETW patching и anti-sandbox keying — с рабочим кодом на C и разбором каждого решения.
Пайплайн из 10 этапов для red team операторов — от генерации шеллкода до очистки памяти после исполнения.Статья OAuth 2.0 Security: распространенные уязвимости и тестирование
Кнопка “Войти через Google” выглядит безобидно ровно до первого отчёта с захватом аккаунта. В этой статье разбираем, как OAuth 2.0 ломается не в теории и не в криптографии, а в реальных интеграциях: через `redirect_uri`, утечки code и token, слабую проверку `state`, ошибки в `nonce` и опасную логику привязки учётных записей.
Покажем, где именно разваливается доверие между приложением, браузером и поставщиком удостоверения: почему `email` нельзя использовать как главный идентификатор, как pre-account takeover вырастает из обычной регистрации, чем опасны open redirect и wildcard-поддомены, и почему PKCE сам по себе не спасает, если реализация сделана небрежно. Это не пересказ RFC и не обзор OAuth “для начинающих”. Это практический разбор attack surface, типовых ошибок интеграции и того, что действительно стоит проверять руками через Burp, DevTools и `.well-known`-метаданные, если цель - не просто пройти...Статья Kernel Rootkit Linux: перехват syscall table, модификация VFS и сокрытие процессов — от кода до детектирования
Руткит в ring 0: SELinux не видит, антивирус не слышит — разбираем LKM-руткиты на уровне кода ядра.Загрузили вредоносный модуль — и между атакующим и железом пусто. AppArmor, EDR, chkrootkit работают этажом выше и слепы к тому, что творится внутри ядра. Kernel rootkit на Linux остаётся одной из самых недооценённых угроз в русскоязычном сообществе.
Разбираем три ключевые техники LKM-руткитов: перехват syscall table через kprobes, модификацию VFS для сокрытия файлов и DKOM для манипуляций с task_struct. Рабочий код на C и взгляд с позиции защитника: что видит Volatility3, где бессилен rkhunter и как memory forensics ловит то, что живая система скрывает.
Практический разбор с чек-листом из 6 шагов — для пентестеров и blue team, которые хотят понять руткиты...Статья Гипервизорный руткит обнаружение: Blue Pill, EPT-abuse и практические техники детекции subverted hypervisor
Охранник смотрит в камеру, а там — запись вчерашнего дня: как гипервизорный руткит прячется ниже ядра и EDR.Привыкли искать хуки в SSDT и аномалии в Ring 0? Гипервизорный руткит работает в Ring -1 — он перемещает всю ОС в виртуальную машину, и ядро продолжает считать себя хозяином. EDR сканирует «чистую» память, PatchGuard видит неизменённый код — оба смотрят в подставную картинку через EPT split-view.
Разбираем архитектуру Blue Pill и EPT-hooking, почему антивирусы слепы к VMM-компрометации, и четыре рабочих метода детекции: timing-анализ RDTSC, CPUID fingerprinting, поиск VMCS-артефактов через Volatility и аппаратная аттестация TPM.
Пошаговый алгоритм обнаружения subverted hypervisor для red team — с командами, Python-скриптом и маппингом на MITRE ATT&CK.Статья UEFI буткит и защита Secure Boot: разбор BlackLotus, CosmicStrand и атак на цепочку загрузки
Ниже ядра, ниже EDR: как BlackLotus и CosmicStrand живут там, куда защитники никогда не заглядывают.Привыкли работать на уровне ring 0? BlackLotus обходит Secure Boot на полностью обновлённой Windows 11, а CosmicStrand прописывается в SPI-флеше материнской платы — переустановка ОС и замена диска ему безразличны. Persistence ниже всего, что ты привык мониторить.
Разбираем boot flow от SEC до TSL, точки внедрения в цепочку загрузки, механику CVE-2022-21894 и почему патч Microsoft не помог. Плюс практика: CHIPSEC, UEFITool, мониторинг ESP и TPM attestation — с командами из реального стенда.
Пошаговый чеклист обнаружения firmware-угроз для тех, кто готов заглянуть глубже классического EDR.