23,8 миллиона захардкоженных секретов - API-ключи, строки подключения к базам данных, токены аутентификации - залиты в публичные GitHub-репозитории за 2024...
Всем датебаёшечки ребята, сегодня я хочу рассказать о коммерческой разведке. Что это? Как это? И для чего это? Коммерческая разведка - это коротко...
В прошлом квартале при расследовании утечки корпоративных данных единственной зацепкой оказался Telegram-юзернейм в логах слитого дампа. За два часа работы...
Рутинный мониторинг Censys - самоподписанные SSL-сертификаты на нестандартных портах - иногда подкидывает подарки. VPS с открытым directory listing, на...
По данным IBM X-Force Threat Intelligence Index 2025, в даркнете ежедневно всплывает более 6 000 свежих наборов учётных данных. За 2024 год 75% вторжений...
Один домен - sempersim[.]su - засветился в фиде ThreatFox как C2 для LokiBot. Через четыре DNS-пивота от этого единственного индикатора я вышел на кластер...
Введение: GraphQL GraphQL часто представляют как революционно новый путь осмысления API. Вместо работы с жёстко определёнными на сервере конечными точками...
По данным IBM X-Force Threat Intelligence Index 2025, инфостилеры заняли первое место среди всех категорий малвари за 2024 год - 32% обнаруженных образцов...
Веб-приложения ежедневно становятся целью тысяч автоматизированных атак. SQL-инъекции, XSS, попытки удалённого выполнения кода, обход защитных механизмов —...
На проекте по профилированию инфраструктуры перед внешним пентестом финтех-компании я параллельно запустил SpiderFoot и theHarvester на один домен...
На внешнем пентесте финтех-компании первая критическая находка заняла 11 минут. Не Nmap, не Burp - запрос site:target.com filetype:env "DB_PASSWORD" вернул...
В 2012 году утекла база LinkedIn - 164 611 595 учётных записей с email и хешированными паролями (полный дамп всплыл публично в мае 2016, данные Have I Been...
ПЕРЕД ТЕМ КАК ЧИТАТЬ, ПОЙМИТЕ МЕНЯ ПРАВИЛЬНО - ЭТО НИ В КОЕМ СЛУЧАЕ НЕ РЕКЛАМА, Я ПРОСТО ДЕЛЮСЬ СВОИМ СОБСТВЕННЫМ ПРОЕКТОМ!!!! Всем привет. Я разработал...
При разборе инфраструктуры одной Cobalt Strike-кампании ключевой зацепкой оказался не сэмпл и не IP из фида, а CNAME-запись субдомена скомпрометированной...
No-code платформы — это удобный способ быстро собирать сайты, внутренние сервисы и даже вполне живые приложения без понимания кода. Они экономят время...
Всем привет! На связи quantum. Сегодня я хочу поговорить о том, как же проверить компанию на поддельные лица. Я люблю пользоваться сайтом...
Команда RTF Labs Studio обнаружила критическую уязвимость в новой биометрической системе Google — reCAPTCHA Hand Gesture Verification. Капча требует...
24 декабря 2024 года расширение Cyberhaven - ИБ-инструмент, установленный у порядка 400 000 пользователей и наверняка включённый в корпоративный allowlist...
175 000 инстансов Ollama и больше 8 000 MCP-серверов торчат в публичном интернете - это данные Bishop Fox (vendor report, требует независимой верификации)...
Huntress фиксирует рост злоупотребления RMM-инструментами - заметная доля инцидентов связана с легитимным софтом для удалённого администрирования в руках...
Большинство организаций не знает, чем владеет. Не в философском смысле - в буквальном. Для пентестера это подарок: в 9 из 10 проектов заказчик не видит...
На pre-engagement фазе аудита одного финтех-сервиса я отправил ровно один GET-запрос - к /robots.txt. В ответ получил пути к staging-среде с открытым...
Понедельник, 9:15. SOC получает DLP-алерт: менеджер отдела продаж экспортировал клиентскую базу CRM в CSV и отправил архив на личную почту. Заявление об...
И так, после недели отдыха с друзьями я опять с вами! :) Сегодня хочу рассказать вам о своём кейсе, проверка контрагента. При помощи егрюл по паспорту был...
ИТ-отдел уверенно называет 100–150 хостов. Запускаешь connectorless-перечисление из публичных источников - получаешь 300+. Разница - dev-стенды...
Двенадцать телефонных номеров, привязанных к фейковым аккаунтам на маркетплейсе - такой была вводная на расследовании для e-commerce клиента. Quick OSINT...
Введение: WebSocket в современном вебе WebSocket — это протокол связи, обеспечивающий канал двусторонней передачи данных поверх одного соединения TCP...
На внешнем пентесте прошлой осенью мы получили scope из трёх доменов и запрет на активное сканирование до согласования с SOC заказчика. За первые четыре...
В октябре 2024 года французский провайдер Free потерял данные почти 14 миллионов абонентов - номера телефонов, банковские реквизиты, всё как обычно (по...
В прошлом квартале при проверке контрагента единственной зацепкой оказался мобильный номер из переписки в мессенджере. Четыре часа работы с открытыми...
