Форум информационной безопасности - Codeby.net
На проверке Детектирование DNS hijacking через SOHO-роутеры: Sigma-правила и сетевые детекты для SOC
APT28 подменяет DNS на Ubiquiti EdgeRouter и TP-Link TL-WR841N (CVE-2023-50224) — NTLMv2-хеши и токены M365 утекают ниже EDR, через SOHO-роутер удалённого сотрудника, без единого артефакта на endpoint.Kill chain: MooBot-ботнет через дефолтные ubnt/ubnt, CVE-2023-50224 без аутентификации на httpd TP-Link, DNS spoofing на login.microsoftonline.com, relay через CVE-2023-23397 в Outlook, persistence через модификацию firmware — reboot не помогает.
Sigma-правила и Suricata-детекты для аномального DNS-резолвинга, IOC по C2-прокси на роутерах, playbook: factory reset вместо reboot, смена credentials, проверка firmware на unmanaged устройствах в удалёнке.
Reboot скомпрометированного роутера — иллюзия чистоты: malware переживает перезагрузку, нужен только factory reset.На проверке Локальная LLM для кибербезопасности: какой GPU и модель выбрать для анализа CVE и OSINT
87 новых CVE за сутки, DLP блокирует запрос в Claude из-за хостнеймов из SBOM — и SOC поднимает Llama 3 8B на RTX 4090 через Ollama, прогоняя весь массив бюллетеней локально за шесть часов без единого байта наружу.VRAM решает всё: FP16 против Q4_K_M квантования GGUF, KV-cache на контекст 8k-32k для CVE-бюллетеней и Shodan-отчётов. RTX 3060 12GB тянет только триаж, A6000 48GB — уже киберразведку с RAG-архитектурой.
GPT-4 против GPT4All на OSINT-классификации CTI-твитов: F1 0.94 vs 0.90 по данным LASIGE. CVE-2023-4969 LeftoverLocals бьёт по AMD и Apple GPU, NVIDIA CUDA-стек остаётся вне зоны риска для этой конкретной уязвимости инференса.
Аналитик экономит на API-биллинге, но забывает: локальная LLM-инфраструктура сама становится новой поверхностью атаки для SOC.На проверке Обучение OSINT-разведке: почему набор ботов не заменит системный курс
Пять Telegram-ботов пробили номер — получили три разных ФИО. Какое настоящее, бот не скажет: он не верифицирует данные, а просто выдаёт результат из мёртвой утечки Adapt на 9 363 740 записей.Боты дёргают базы утечек и API без перекрёстной проверки — T1593 Reconnaissance по MITRE ATT&CK для них не существует. Код-репозитории, метаданные документов, графы связей между доменами и IP остаются слепой зоной, а Maltego CE режет выдачу до 12 результатов на трансформацию.
Системный OSINT строит гипотезу до запроса, проверяет факт минимум через два независимых источника и держит OpSec — LinkedIn показывает, кто смотрел профиль, WHOIS и DNS-история сливают активность
Один источник — гипотеза, два — совпадение, три — можно работать. Бот даёт один и называет это ответом.На проверке Phoneinfoga ошибка при запуске: почему OSINT-инструмент ломается и что делать
Полгода на пентесте вижу одну и ту же картину: аналитик копирует pip install из гайда, ловит geckodriver not found и теряет два вечера — а PhoneInfoga v2.x на Go ставится одной командой без Python вообще.Корень проблемы — протухшие инструкции по мёртвой Python-ветке с Selenium и requirements.txt, которые до сих пор ранжируются выше актуального README. GitHub проекта прямо предупреждает: баги не фиксят, репозиторий могут заархивировать в любой момент.
Проверка за 30 секунд: phoneinfoga version в терминале. Если запускаете через python3 phoneinfoga.py — удаляйте директорию, ставьте бинарник через install-script или Docker с тегом latest, не next.
Пустой результат по номеру +7 — не баг инструмента, а следствие того, что открытых данных по СНГ в разы меньше, чем по +1.На проверке Деанонимизация инфраструктуры угроз через trade-паттерны: SpiderFoot и OSINT Framework в атрибуции APT
Домены фишинга на банки не пересекаются ни в одном публичном фиде — но общий регистратор, окно регистрации 48 часов и идентичный JARM-отпечаток TLS-стека связывают их в одну операционную группу быстрее, чем сработает блокировка C2.Разбор строится на SpiderFoot-модулях sfp_whois и passive DNS, Certificate Transparency логах crt.sh, Censys, SHA-256 хэшах self-signed сертификатов и MITRE T1593/T1596 в обратном направлении — от разведки атакующего к атрибуции его инфраструктуры.
IoC живут одну кампанию, а привычка закупать домены у одного регистратора с оплатой криптой — годами, и её не меняют даже APT-операторы.Статья OSINT-расследования по веб-архивам: пошаговый разбор инструментов и утилит
Фишинговый клон банка давно лежал, whois перезаписан — но единственный снапшот archive.today сохранил вёрстку и скрипт сбора карт с точной меткой времени. Не логи сервера, а чужой архив стал уликой.Wayback Machine хранит 800+ млрд снапшотов с 1996 года — пентестеры находят там забытые .env-файлы, конфиги с паролями и .git-директории, давно стёртые с боевого сервера. Wildcard-поиск web.archive.org/web/*/domain/* вскрывает скрытые поддомены и админки.
archive.today фиксирует страницу вручную с точной меткой и рендерит JS «как есть» — но блокирует IP датацентров и Tor.
robots.txt с Disallow для ia_archiver создаёт пробел, который новички списывают на «сервис не работает» — а не на цель.Статья Responsible disclosure уязвимостей: от Bugtraq до правил публикации в 2026 году
29 месяцев — среднее время от публикации CVE до патча по IBM X-Force. Пока vendor молчит, T1596 и T1595.002 работают против вас: атакующие сканируют цели быстрее, чем вы публикуете advisory.Bugtraq 1993 года, Full Disclosure mailing list, Google Project Zero с жёстким правилом 90 дней — три эпохи одной проблемы. Full disclosure даёт атакующим T1588.006 и T1190 готовыми, private disclosure позволяет vendor'у молчать вечно.
CVD по ISO/IEC 29147 — компромисс: security.txt по RFC 9116, приватный отчёт, дедлайн 90-120 дней, потом advisory. HackerOne, Bugcrowd, Standoff Bug Bounty дают safe harbor исследователю и структуру vendor'у.
38% инцидентов 2024 — эксплуатация CVE. Не патч медленный, а сам процесс дисклоузинга ломается.Статья CVE-2026-42208: SQL-инъекция в LiteLLM — эксплуатация через Authorization header
Одна кавычка в Authorization: Bearer — и LiteLLM AI Gateway сливает ключи OpenAI, Anthropic и AWS Bedrock без единого валидного токена. CVE-2026-42208, CVSS 9.3, EPSS 0.89, уже в CISA KEV.Уязвимость живёт в v1.81.16–1.83.6: Bearer-токен конкатенируется в SQL-запрос к LiteLLM_VerificationToken до проверки аутентификации. CWE-89, error-handling path, sqlmap заходит через `' UNION SELECT ...--` без rate limit и авторизации.
Fingerprint через GET /health и /v1/models выдаёт версию и список провайдеров. Патч — v1.83.7 с параметризацией. Workaround — disable_error_logs: true. IOC — аномальные 500-ответы с фрагментами PostgreSQL-ошибок в логах прокси на порту 4000.
SOC ищет SQLi в теле запроса — эксплойт сидит в заголовке Authorization, куда WAF обычно не заглядывает.Статья Как написать хешкрекер на Python: многопоточность, GPU и сравнение с hashcat
Python-хешкрекер выдаёт 800К MD5/сек на ядре, hashcat на GPU — на четыре порядка больше. Но 450+ алгоритмов hashcat не покрывают кастомные CTF-схемы вроде md5(salt+sha1(password)).GIL блокирует threading для CPU-bound перебора — нужен multiprocessing с индексацией кандидата через модульную арифметику, а не islice над itertools.product. На 8 ядрах i7-12700 это даёт ~6 млн MD5 h/s против сотен миллионов у hashcat через OpenCL и AVX-512.
Цепочка атаки: T1003 (дамп /etc/shadow, SAM, NTDS.dit) → офлайн-крекинг T1110.002 → lateral movement.
Самописный крекер не конкурент hashcat — он закрывает 5% задач, которые встроенные модули не видят вообще.