Форум информационной безопасности - Codeby.net
Статья APT28 эксплуатация Roundcube: разбор kill chain, OPSEC-провал и уроки для Red Team
APT28 слила 61 файл своего инструментария на открытый сервер 203.161.50[.]145 — Hunt.io нашла полный kill chain: XSS-пейлоады, Flask C2, Go-имплант и bash-историю оператора.Атака строится на цепочке трёх CVE в Roundcube: CVE-2020-35730 (XSS, CVSS 6.1) — письмо открыл, JavaScript выполнился без единого клика; CVE-2021-44026 (SQLi, CVSS 9.8) — дамп всей почтовой базы; CVE-2020-12641 (RCE, CVSS 9.8, EPSS Top 1%) — shell на сервере. Патч для первой CVE существовал 2,5 года до успешной атаки.
SOC смотрит на эндпоинты — APT28 работает в браузере жертвы. Shell появляется в почтовом сервере, Windows Event Log молчит.Статья cPanel уязвимость как supply chain атака: от CRLF-инъекции до массового криптомайнинга
CVE-2026-41940 в cPanel/WHM: CRLF-инъекция в заголовке Authorization даёт root без пароля — один curl-запрос на порт 2087, и атакующий владеет тысячами сайтов. CISA KEV, CVSS 9.3, EPSS 0.981.cpsrvd не санитизирует \r\n в поле пароля заголовка Authorization — %0d%0a инъектирует произвольные строки в сессионный файл /var/cpanel/sessions/raw/. Переменные tfa_verified=1 и hasroot=1 обходят 2FA и присваивают root. PoC EDB-52574 и Nuclei-шаблон CVE-2026-41940.yaml уже в паблике.
Патч WebPros от 28 апреля закрывает вектор — обновление обязательно.
Один WHM-сервер — это сотни арендаторов. Криптомайнер ставится на все аккаунты разом, Windows Event Log молчит.Статья CVE-2026-43633: десериализация в HestiaCP — unauthenticated RCE через PHP/Node.js session mismatch
CVE-2026-43633 (CVSS 9.5, CWE-502): два curl-запроса — и root shell на HestiaCP 1.9.3 без единого пароля. PHP пишет X-Forwarded-For в сессионный файл, Node.js парсит его наивным split() — session mismatch даёт unauthenticated RCE на 20 000+ активных инстансов.PHP записывает user_combined_ip с length-prefixed сериализацией — вложенные разделители внутри значения безопасны. Node.js читает тот же sess_-файл через split('user|s:') и split('"'), не зная о границах PHP-формата. Заголовок X-Forwarded-For: user|s:4:"root" — и терминал стартует от root.
Сессия создаётся при GET /login/ без авторизации — Node.js проверяет лишь существование файла.
Ни PHP, ни Node.js по отдельности не уязвимы — дыра живёт исключительно на стыке двух парсеров одного файла.Статья CVE-2026-41070: обход аутентификации OpenVPN — как OIDC-плагин пропускает клиентов без SSO
CVE-2026-41070 (CVSS 10.0, CWE-287): openvpn-auth-oauth2 в experimental plugin mode пропускал клиентов без OIDC SSO — одна строка Go возвращала FUNC_SUCCESS при deny, и OpenVPN открывал туннель за три минуты без единого credential.На аудите финтеха стандартный openvpn CLI из Kali — без токена, без WebAuth, без IV_SSO=webauth — получил полные маршруты во внутреннюю сеть. Root cause в handle.go: ветка ClientAuthDeny писала "0" в auth_control_file, но возвращала OpenVPNPluginFuncSuccess. OpenVPN трактует status=0 как «аутентификация пройдена» и игнорирует файл — это задокументированное поведение. Патч коммита 36f69a6 заменил один return.
SOC видит живой VPN-туннель — IdP молчит. Атака проходит без единой записи в журнале аутентификации.Статья APT-группировки 2025-2026: полная карта кампаний, эволюция TTP и практический threat intelligence
Каждая третья российская инфраструктура уже содержит APT. Вопрос не «если», а «как долго они внутри».Медианное время обнаружения атакующего — 11 дней, и то лишь в компаниях с выстроенным мониторингом. Без внутреннего SOC счёт идёт на месяцы, иногда на годы. Кто-то прямо сейчас сидит в сети и собирает данные.
Эта hub-статья — полная карта направления APT: 27 прогосударственных группировок, атакующих Россию и СНГ в 2025 году, глобальный ландшафт кибершпионажа (Китай, Иран, КНДР, Россия-атрибутированные группы), 5 трендов эволюции TTP — от облачных C2 и AI-социнженерии до fileless-исполнения и атак на Signal. Плюс полный kill chain APT-кампании по MITRE ATT&CK, threat intelligence для Red Team и SOC, готовые Sigma-правила и чеклист threat hunting.
Практическая карта для SOC-аналитиков, threat hunter'ов и Red Team: против APT работают не IOC-фиды, а еженедельные hunt-гипотезы и детект по поведению, а не по хэшу.Статья Атаки на AI-системы в пентесте: prompt injection, jailbreak и adversarial ML
Jailbreak-атаки на GPT-4 и Claude показывают ASR выше 80% — при включённых safety-фильтрах. В реальном RAG-финтех-приложении системный промпт с API-ключами к микросервисам вытащили быстрее, чем поднялся Burp Suite.Поверхность атаки LLM выходит за рамки классического веб: DAN-промпты, multi-turn эскалация, Base64-кодирование инструкций, payload splitting — всё это обходит guardrails там, где WAF даже не смотрит. OWASP LLM01:2025 маппит Prompt Injection на T1190, но сетевые сигнатуры (D3-PMAD, D3-NTSA) payload не ловят — он выглядит как обычный текст.
RAG-пайплайн, tool calling и агентские цепочки — отдельные векторы со своей спецификой.
Alignment — не граница безопасности. Классический сканер молчит, пока модель сливает секреты.Статья CVE-2026-44643: Angular Expressions sandbox escape — RCE через вредоносные фильтры
CVE-2026-44643 — четвёртый RCE за пять лет в angular-expressions: sandbox escape через фильтровый путь парсера даёт доступ к process.env с credentials от PostgreSQL и S3 прямо из Word-шаблона.Уязвимость (CWE-95, Eval Injection) эксплуатирует разницу в обработке оператора | внутри парсера. Фильтровый путь не блокирует цепочку constructor.constructor — атакующий вызывает Function('return process')() и выходит из sandbox. Вектор входа — docxtemplater: пользователь загружает .docx-шаблон с вредоносным выражением, сервер компилирует его без санитизации.
Патч — обновление до angular-expressions@1.5.2. Найти уязвимую версию: grep -r "angular-expressions" package-lock.json.
Транзитивная зависимость через docxtemplater — npm audit молчит, если прямой пакет не помечен.Статья Новые APT-группы Россия 2025: Silent Lynx, Mythic Likho, SkyCloak — TTPs и detection
Silent Lynx, Mythic Likho и SkyCloak — три новых APT-кластера 2026 года бьют по российскому госсектору: LNK-дроппер, base64 PowerShell, GitHub dead drop (аккаунт GoBuster777) и .NET-имплант SilentSweeper по HTTPS за считанные минуты.Silent Lynx атакует дипломатов через RAR-приманки с двойным расширением .pdf.rar — темы подобраны под реальные саммиты. LNK запускает powershell.exe с base64-пейлоадом, стейджер тянет LAPLAS Implant или SilentSweeper с публичного GitHub. MITRE: T1566.001 → T1059.001 → T1102.001 → T1071.001.
Для детекта: корреляция powershell.exe + base64 + raw.githubusercontent.com в одном процессном дереве.
Группа допускает OPSEC-ошибки — грамматика в именах файлов и повторная инфраструктура детектируются hunting-правилами.Статья CTEM vs реактивный патчинг: от CVE-гонки к непрерывному управлению поверхностью атаки
IBM X-Force 2025: среднее время устранения CVE — 29 месяцев. CrowdStrike фиксирует lateral movement за 51 секунду. CVSS-сортировка 40 000 тикетов этот разрыв не закроет — физически не успеет.Реактивный VM-процесс ломается в трёх точках: CVSS измеряет severity, а не risk; 75% вторжений идут через валидные credentials без единого CVE-идентификатора; скоуп сканера покрывает лишь 17% реальных активов — теневые облака и orphaned DNS остаются за кадром.
CTEM переформулирует задачу: не «закрыть N тикетов», а «сократить validated attack paths к критичным бизнес-активам».
SOC закрывает critical CVE — атакующий заходит через OAuth-токен без CVE-идентификатора вообще.Статья Salt Typhoon APT атаки на телеком: TTP, детект и Sigma-правила
Salt Typhoon удерживала доступ к сетям AT&T, Verizon и T-Mobile свыше трёх лет — без единого malware на эндпоинтах. Группа живёт в CLI Cisco IOS/IOS XE, эксплуатирует CVE-2018-0171 (CVSS 9.8) и зеркалирует трафик через ERSPAN.Initial access — CVE-2018-0171 (TCP/4786, CWE-20 + CWE-787) и угнанные учётные данные (T1078). Далее: дамп running-config (T1602), веб-шеллы (T1505.003), GRE-туннели для C2 (T1572). MITRE-цепочка охватывает восемь техник — от T1190 до T1020.001.
В статье — Sigma-правила под каждый этап kill chain, KQL-запросы для корреляции сетевых событий и hardening-чеклист: отключение Smart Install, TACACS+ аудит, ACL на порт 4786, ERSPAN-мониторинг.
Endpoint-детект здесь слеп — Salt Typhoon работает исключительно на сетевом железе, где EDR молчит.🚀 Первый раз на Codeby?
Гайд для новичков: что делать в первые 15 минут, ключевые разделы, правила
Начать здесь →
🧭 Навигатор · ИБ 2026
Не знаешь, какой трек твой?
5 направлений ИБ, реальные зарплаты и точка входа для каждого — в одном треде.
JuniorSenior+
100K → 600K+ ₽ /мес
Категории
💼 Вакансии и заказы в ИБ
Pentest, SOC, DevSecOps, bug bounty — работа и проекты от проверенных компаний
Карьера в ИБ →
Команда онлайн
-
JumuroCodeby Team