Форум информационной безопасности - Codeby.net
Статья EntryPoint Hijacking: process injection техники нового поколения для обхода EDR
EntryPoint Hijacking обходит CrowdStrike Falcon там, где NtCreateThreadEx через indirect syscalls улетает в алерт за 800 мс — техника переписывает LDR-структуры PEB, и payload запускает сам процесс.Классические T1055.001/T1055.012 детектируются через PsSetCreateThreadNotifyRoutine на уровне ядра — cross-process создание потока виден EDR мгновенно. EntryPoint Hijacking пишет шеллкод через WriteProcessMemory, затем патчит точку входа DLL в LDR_DATA_TABLE_ENTRY. Никакого CreateRemoteThread, APC-очереди или SetThreadContext — код ждёт, пока процесс сам создаст поток.
EDR ловит момент передачи управления — EntryPoint Hijacking его убирает: код запускает сам легитимный поток.Статья Деанонимизация C2-инфраструктуры: от dangling CNAME до атрибуции оператора через IP-пивотинг
Забытый CNAME субдомена вскрыл Cobalt Strike-кампанию: dangling-запись на удалённый Heroku-ресурс через passive DNS привела к 17 узлам, трём ASN и одному оператору — за два рабочих дня пивотинга без единого сэмпла.Точка входа — CNAME, указывавший в пустоту полгода. Passive DNS восстановил исторический IP, к нему оказались привязаны четыре домена, два из которых уже светились в TI-фидах как C2. Дальше — граф: Certificate Transparency, Whois-история с незакрытым email регистранта, ASN-кластеризация. MITRE T1584.001 описывает это как Resource Development, но методология пивотинга идёт дальше обнаружения серверов.
Сэмпл и IP-фиды — последние в очереди. Забытая DNS-запись раскрывает инфраструктуру раньше, чем EDR увидит имплант.Статья CVE-2026-0257 Palo Alto GlobalProtect: bypass VPN-аутентификации и эскалация severity за 16 дней
CVE-2026-0257 в Palo Alto GlobalProtect: cookie forgery без пароля, без MFA, без credentials — EPSS 0.87 за 16 дней. 13 мая — бэклог, 29 мая — CISA KEV и CVSS 7.8 urgency:Red.Атака строится на CWE-565: auth override cookie шифруется публичным ключом HTTPS-сертификата портала. Любой достаёт его через openssl s_client -connect target:443, подделывает cookie с username=admin — шлюз расшифровывает, не проверяет HMAC, авторизует. T1190 → T1078 → T1133, полный initial access без единого пароля.
Детектировать сложно — SIEM видит валидный логин с валидным cookie. Проверь: auth override cookies включены? Сертификат совпадает с HTTPS?
SOC ищет credential stuffing — CVE-2026-0257 не крадёт credentials вообще. Windows Event Log чист.Статья Как создать CTF таск: структура флага, сторителлинг и ошибки авторов
CTF-автор потратил две недели на SQL injection + LFI цепочку — команда сдала флаг за 40 минут через брошенную .git-директорию и git dump исходников. Ноль intended path, полный unintended.Хороший таск начинается не с кода, а с вопроса: какой конкретный навык отрабатывается? Common Modulus Attack на RSA, LFI через path traversal, memory forensics по дампу Windows — задание без цели это просто головоломка. Распределение сложности тоже не интуитивно: для обучающего CTF работает пропорция 35/35/25/5, для конференции с опытной аудиторией — 10/25/40/25.
Флаг формата `codeby{a3f8b21c4d}` — не традиция, а защита от ложных срабатываний и UX-провалов с неоднозначными символами O/0/l/1.
Unintended path ломает не задание — он ломает две недели работы автора за 40 минут.Writeup Прохождение TraceBash CTF 2026 (категория web)
Пять веб-тасков CTF, где логика приложения работает против него.Уверены, что «непобедимый» Stockfish, жёсткий regex-фильтр и связка CSP + Trusted Types не оставляют шансов? На TraceBash CTF 2026 всё это обходится — если понять, как оно устроено внутри.
Разбираем предсказание ГСЧ через контролируемый seed, command injection в 15 символов на re.MULTILINE и wildcards, blind XSS через iframe srcdoc с HTML-entities и подмену ходов Stockfish прямо в браузере.
Практический разбор для пентестеров и багхантеров, которые видят уязвимость там, где другие видят «защиту».Статья CTF и машинное обучение: разбор атак на ML-модели в соревнованиях
На PHDays 9 только 14 из 130 участников AI CTF сдали хотя бы один флаг — задача Prediction Challenge пряталась за ML-фасадом, а внутри был чистый RCE через pickle-десериализацию.Типичный сценарий: сервис принимает `.pkl`-модель, вызывает `pickle.load()` без санитизации — и payload через `__reduce__` уходит в исполнение. MITRE T1190 → T1059.006 → T1552.001: Initial Access, Execution, кража приватного датасета для переобучения модели до accuracy 1.0.
Статья разбирает шесть устойчивых типов ML-атак в CTF: pickle RCE, adversarial evasion против LSTM-WAF, обман классификаторов минимальным возмущением тензора, prompt injection в LLM, model extraction через API и model inversion.
Задача выглядит как data science — решается как pwn. Флаг лежит не в весах модели.Статья Защита от ransomware для малого бизнеса: от вектора атаки до detection-правила
Сервисная учётка Veeam с правами локального админа — и ransomware зашифровал репозиторий вместе с production. 80 хостов, 11 дней простоя, ущерб в четыре раза выше суммы выкупа.Akira, Qilin и Play целенаправленно выбирают SMB: RDP без MFA, один сисадмин, нет EDR. CVE-2024-40766 (SonicWall, CVSS 9.8) и CVE-2025-5777 (Citrix NetScaler, CVSS 9.3) — оба в CISA KEV с пометкой ransomware, оба стандартный периметр российского SMB. После T1078 lateral movement через легитимные инструменты — SIEM молчит.
Detection-стек без бюджета: Sysmon (конфиг SwiftOnSecurity) + Wazuh.
Ransomware давно не ломает периметр — он заходит через валидные учётки, которые SOC считает нормой.Статья Hack The Box для начинающих: от регистрации до первого root-флага
Три часа на telnet без пароля — именно так начинался путь до Pro Hacker на HTB. Методология kill chain (T1595 → T1190 → T1068) вбивается через десятки повторений: разведка nmap, точка входа gobuster, повышение привилегий — и root-флаг.Starting Point затягивает с первой машины Meow: nmap -sV вскрывает открытый Telnet, логин root без пароля — и флаг у вас. Но уже на второй машине появляется FTP anonymous, на третьей — SQL-инъекция через curl. Каждый бокс тренирует конкретный MITRE ATT&CK-техник, а не абстрактную теорию.
Перед стартом — обязательно локальная Kali с Bridged Adapter в VirtualBox, иначе OpenVPN режет трафик и tun0 не поднимается.
Easy-боксы закрываются за 40 минут не из-за инструментов — nmap не стал умнее. Методология решает.Статья Защита от ransomware 2026: полный разбор тактик, Recovery Denial и оборона backup-инфраструктуры
57% организаций узнают о компрометации извне. А когда обнаруживают сами — бэкапы уже мертвы. VSS удалены, агенты Veeam остановлены, каталоги зашифрованы за сутки до удара.Ransomware 2026 — это не шифрование "в лоб", а многоэтапная операция. Initial access через стилер-логи за $500, lateral movement до domain admin, Discovery backup-инфраструктуры, Recovery Denial (удаление VSS, остановка агентов), и только потом encryption. Dwell time сжался до 11 дней, а Akira и Medusa укладываются в 60 минут.
Защита — это не prevention, а recovery. Правило 3-2-1-1-0, immutable storage, air-gap, detection pre-ransomware активности (NTDS dump, backup discovery, vssadmin).
100% инцидентов с выплатой выкупа объединяет одно — неработающее восстановление. Backup — это security-функция, а не IT-операционка.Статья Защита от вредоносных расширений браузера: Chrome Enterprise политики, allowlisting и detection в SIEM
24 декабря 2024 года расширение Cyberhaven (400 000 установок) получило вредоносное обновление 24.10.4 — OAuth-фишинг обошёл MFA, C2 на cyberhavenext[.]pro сливал Facebook Ads cookies. EDR не сгенерировал ни одного алерта.Расширение работало внутри легитимного chrome.exe — для EDR и файрвола это просто браузер, ходящий в интернет. MITRE T1176 (Browser Extensions): persistence без отдельного процесса, exfiltration через HTTPS, нулевых событий process start в Windows Event Log.
Защита строится на Chrome Enterprise GPO: ExtensionInstallBlocklist = *, явный allowlist по 32-символьным ID, ExtensionSettings с version pinning.
Allowlist не спасает: Cyberhaven был в нём. Version pinning в ExtensionSettings — единственный контроль над supply chain расширений.