Кибербезопасность
По данным последних исследований IT, каждые четыре секунды в компьютерную сеть компании попадает вредоносная программа и каждые 32 минуты за пределы организации уходит ценная информация. Утерянные данные могут стать источником манипуляций, поэтому так важно выстроить максимально эффективную защиту. Обеспечить информационную безопасность можно сотнями способов, сочетая разные продукты – антивирусы, межсетевые экраны, SSL-сертификаты, разграничение правд доступа, системы защиты от DDoS-атак. Важнейшей стороной информационной безопасности становится определение угроз, а это невозможно без определения объектов защиты. Только поняв, что и от чего мы защищаем, можно выстроить грамотную оборону. Сейчас актуален переход к облачным решениям, которые дают возможность быстро развёртывать системы безопасности, отдавая их управление поставщикам облачных сервисов. В этом разделе собраны актуальные материалы об информационной безопасности от построения информационной защиты до её оптимизации.
Статья Device Bound Session Credentials Chrome: как DBSC в Chrome 146 ломает kill chain кражи сессий
Инфостилеры — №1 среди малвари (32%, IBM X-Force 2025). Сценарий: стилер собирает сессионные куки за выходные, в понедельник атакующий импортирует их в браузер и заходит в корпоративный аккаунт — мимо MFA, мимо пароля, мимо всех контролей. В апреле 2026 года Google включил DBSC в Chrome 146: сессионная кука привязывается к TPM устройства.DBSC меняет фундаментальное свойство куки: из bearer-токена она становится proof-of-possession. TTL короткоживущей куки — 10 минут. Refresh без TPM-ключа невозможен — украденная кука протухнет до использования.
Но DBSC — не серебряная пуля: только Chrome на Windows, только приложения с серверной частью, не работает при RAT и insider threat. Sigma-правило на GeoIP-аномалию для приложений без DBSC. Чеклист из семи пунктов для SOC.
Если атакующий уже на вашем хосте — TPM ему не враг, а союзник.Статья Реверс-инжиниринг UEFI-прошивки: от дампа SPI-flash до анализа DXE-драйверов в Ghidra
На аппаратном пентесте серверной платформы снял дамп SPI-flash и обнаружил в DXE-томе модуль, которого не было в эталонной прошивке вендора. Два дня реверса через Ghidra — кастомный драйвер интегратора, не закладка. Но путь от подозрения до вердикта потребовал полного цикла анализа UEFI-прошивки.Workflow из четырёх этапов: flashrom/CHIPSEC (дамп SPI-flash) → binwalk (энтропия, границы регионов) → UEFITool (навигация по иерархии FV, извлечение модулей по GUID) → Ghidra с efiXplorer (автоматическая разметка Boot Services, Runtime Services, протоколов).
Паттерны для поиска: SMM callout через CommBuffer без проверки указателей, DXE-драйверы без UI Name секции, модули с обращениями к EFI_SIMPLE_FILE_SYSTEM_PROTOCOL из DXE-фазы. Сравнение дампа с эталоном — базовый метод обнаружения имплантов.
Ghidra с efiXplorer опустил порог входа до уровня: умеешь реверсить PE на Windows — разберёшься с DXE-драйвером за день.Статья NTLM Coercion атаки в 2026: от Responder до принудительной аутентификации через .lnk и WebDAV
PetitPotam через LSARPC — патч стоит на каждом контроллере. DFSCoerce с WebDAV-режимом: аутентификация контроллера упала на listener за 40 секунд, relay на AD CS выдал сертификат машинной учётной записи, DCSync вытащил ntds.dit. От первой команды до Domain Admin — десять минут. Никаких RCE, никаких уязвимостей в классическом понимании.HTTP-аутентификация при coercion через WebDAV не подпадает под SMB signing и EPA — два механизма, которые Microsoft рекомендует как основную защиту. CVE-2025-33073 (NTLM Reflection) позволяет cross-protocol relay с SMB на LDAP/AD CS, минуя SMB signing. CVE-2025-54918 обходит channel binding и LDAP signing — последний рубеж, на который все полагались.
Decision tree выбора вектора через nxc и Coercer. Relay машинной учётной записи через Shadow Credentials и RBCD. Где SOC слеп: редкие RPC-интерфейсы, WebDAV на порту 80, NTLM Reflection как штатная локальная аутентификация.
Среды с SMB signing + LDAP...Статья OAuth Abuse в Azure AD: анатомия ConsentFix-атак и обнаружение в SIEM
Понедельник, 9:17. Sign-in в Azure CLI от финансового контроллера. MFA пройдена штатно, Conditional Access не сработал, пароль цел. Через 40 минут тот же IP вытягивает переписку через Microsoft Graph API. Атакующий получил OAuth authorization code напрямую от жертвы — ConsentFix.Техника скрещивает ClickFix-стиль социальной инженерии с OAuth 2.0 authorization code flow. Жертва проходит реальную аутентификацию Microsoft на настоящем login.microsoftonline.com и отдаёт authorization code атакующему через localhost-redirect. Обнаружены 11 first-party приложений Microsoft (Azure CLI, Teams, Visual Studio Code) — pre-trusted во всех тенантах, не блокируются через Enterprise Apps.
KQL-запросы для Microsoft Sentinel: аномальный sign-in в CLI-приложения + расхождение IP между interactive и non-interactive sign-in. Token Protection ломает kill chain на уровне протокола.
Сброс пароля жертвой не отзывает OAuth-токены автоматически. SOC должен сделать это вручную.Статья Secrets scanning утечка токенов и API-ключей: находим утёкшие credentials в GitHub, GitLab, Bitbucket и Jira
AWS-ключ формата AKIA* в git-истории — удалён восемь месяцев назад, но aws sts get-caller-identity возвращает живой IAM-аккаунт с доступом к продакшн-данным клиентов. От находки в старом коммите до чтения данных — двадцать минут. По оценке soteri.io, более половины утёкших credentials — generic-секреты без структурированного формата, которые стандартные сканеры не ловят.Три инструмента — три архитектурных подхода: gitleaks (regex, скорость, Go), detect-secrets (baseline + интерактивный аудит), trufflehog (верификация через API провайдера — создаёт логи). Что пропустят все: base64-encoded ключи, кастомные форматы токенов, секреты в бинарных файлах и Jira-вложениях.
Кастомный .gitleaks.toml под внутренние форматы. Валидация по типу: AWS, GitHub PAT, Slack Webhook, GCP Service Account. OPSEC: какие следы создаёт каждый шаг аудита.
Слабое звено — не детекция, а ротация. Сканер нашёл — ответственный не отозвал.Статья CVE-2026-0300: buffer overflow в PAN-OS — от анализа уязвимости до root RCE на файрволе Palo Alto
6 мая 2026 года CISA добавила CVE-2026-0300 в KEV. Дедлайн три дня, SSVC Act. Buffer overflow в User-ID Authentication Portal: один сетевой пакет без аутентификации — root-шелл на PA-Series и VM-Series. Captive Portal по дизайну принимает трафик до аутентификации — именно это превращает CWE-787 в fleet-wide pre-auth path to root.Три условия эксплуатируемости: уязвимая ветка PAN-OS + портал включён + Response Pages из untrusted-зоны. «Нет» по любому — цепочка разорвана. Decision tree для приоритизации реагирования.
Root на файрволе — перехват TLS, credentials из GlobalProtect и User-ID, модификация policy rules, пивот через trust relationships с AD и SIEM. Обновить PAN-OS недостаточно: аудит конфигурации, ротация credentials и проверка admin-аккаунтов — обязательная часть response.
Вопрос не в скорости патча. Вопрос — почему memory-safety баги в enterprise-оборудовании всё ещё дают pre-auth root в 2026 году.Статья CVE-2026-0300: уязвимость Palo Alto PAN-OS — buffer overflow в Captive Portal до root shell
Десятки тысяч инстансов PAN-OS в открытом доступе. CVE-2026-0300 — out-of-bounds write (CWE-787) в Captive Portal: один пакет без аутентификации, без учётных данных, без взаимодействия пользователя — и root на файрволе. CISA KEV в день раскрытия, дедлайн три дня, SSVC Act.Captive Portal по дизайну принимает трафик без prior auth state — и именно это превращает memory-safety баг в internet-reachable unauthenticated path to root. Три условия эксплуатируемости: уязвимая ветка PAN-OS + портал включён + Response Pages доступны из untrusted-зоны. «Нет» по любому из трёх — цепочка разорвана.
Root на PA-Series — перехват транзитного трафика, credentials из GlobalProtect и User-ID, модификация policy rules, lateral movement через trust relationships с AD и SIEM.
Обновить PAN-OS недостаточно. Обязательны ротация credentials и аудит конфигурации против known-good baseline.Статья CVE-2026-0300: от buffer overflow в Captive Portal до root на межсетевом экране Palo Alto
225 тысяч интернет-доступных инстансов PAN-OS. К любому с включённым Captive Portal — один неаутентифицированный HTTP-запрос до root-шелла. CVE-2026-0300 (CVSS 9.3 Critical), CISA KEV с дедлайном три дня. Группировка CL-STA-1132, предположительно state-sponsored, — активная эксплуатация in the wild.Out-of-bounds write в обработчике запросов Captive Portal: контролируемые байты за границами буфера → control transfer → root на файрволе. Root на PA-Series — это перехват TLS-трафика, credentials из GlobalProtect и User-ID, модификация policy rules и пивотирование через trust relationships с AD и SIEM.
Три условия эксплуатируемости устройства. IOC группировки: C2 IP-адреса, пути EarthWorm/ReverseSocks5, нестандартный User-Agent (Mozilla/5.5). Парадоксальный IOC: отсутствие crash-артефактов.
Полагаться на логи самого файрвола после компрометации — ошибка. Детект строится на внешних источниках.Статья Обход BitLocker за 5 минут: разбор downgrade-атаки через CVE-2025-48804
Четыре часа пайки логического анализатора к шине LPC — или пять минут с USB-флешкой. BitUnlocker (Intrinsec, май 2026) использует CVE-2025-48804 против TPM-only BitLocker без вскрытия корпуса. Secure Boot пропускает уязвимый загрузчик, потому что сертификат Windows PCA 2011 до сих пор в списке доверенных.TPM не проверяет патч-уровень загрузчика — только подпись. Подпись валидна по PCA 2011 → VMK распечатан → том расшифрован → хеши из SAM → lateral movement в AD. Microsoft не может отозвать PCA 2011 одномоментно: миграция на UEFI CA 2023 идёт больше года.
Сравнение векторов обхода BitLocker (downgrade, TPM sniffing, cold boot). Привязка каждой защитной меры к конкретному шагу цепочки атаки. Чеклист для отчёта о физическом пентесте из семи пунктов.
Единственная мера, закрывающая весь класс — pre-boot PIN. Шесть цифр и три секунды при загрузке.Статья Анатомия реестра Windows[3] - выносим хэши из SAM
Ветка SAM закрыта для пользователя? Не совсем — если знать правильный флаг.Все утверждают, что для доступа к SAM нужны права SYSTEM, а единственный путь к хэшам — дамп lsass.exe. На современных ОС с Credential Guard и RunAsPPL это ещё и палевно. Но есть другой способ — чтение реестра на живой системе через RegCreateKeyEx с флагом REG_OPTION_BACKUP_RESTORE.
Внутри — полный разбор: как собрать 16-байтный BootKey из скрытых полей ClassName четырёх ключей LSA, недокументированные структуры параметров F и V учётных записей, где именно лежат NTLM-хэши и как утилиты типа Mimikatz и Hashcat их вытаскивают.
Практическая часть — рабочий код на FASM, который из пользовательской сессии читает SAM, парсит учётные записи и извлекает raw-хэши без единого обращения к lsass.
Заключительная часть серии по внутренним особенностям реестра Windows — для реверс-инженеров, пентестеров и криминалистов.