Форум информационной безопасности - Codeby.net
Статья AI разработка эксплойтов: как LLM сжимают время от CVE до working exploit
CVE-2025-32433 (CVSS 10.0, CISA KEV) — рабочий RCE-эксплойт на Erlang/OTP SSH собрали за вечер: исследователь без знания языка скормил patch diff в GPT, получил root cause, затем Sonnet 3.7 через Cursor исправил протокольные ошибки.Workflow: три команды git для извлечения diff, один промпт — и LLM находит CWE-306 (отсутствие проверки аутентификации перед SSH_MSG_CHANNEL_OPEN). Первый PoC сломан на padding и key exchange init — Cursor правит за несколько итераций. Медиана exploit window: 756 дней в 2018-м, 32% эксплойтов появляются в день публикации CVE в H1 2025.
Квартальные пентесты и 90-дневные SLA проектировались под exploit window в месяцы — не в часы.Статья Уязвимости Cisco SD-WAN: цепочка эксплойтов от auth bypass до root и детекшн для SOC
UAT-8616 взломал Cisco SD-WAN без единого пароля: CVE-2026-20127 и CVE-2026-20182 (CVSS 10.0) дают административный доступ к vManage через DTLS-handshake bypass — CISA выпустила Emergency Directive 26-03, дедлайн устранения два дня.Цепочка начинается с auth bypass сервиса vdaemon через DTLS — неаутентифицированный атакующий получает NETCONF-доступ ко всей SD-WAN-фабрике (T1190). Следующий шаг: CVE-2026-20133 — утечка ключа vmanage-admin через vshell при привилегиях netadmin. Финал — CVE-2026-20245, эскалация до root на vManage. Одна нода, сотни edge-устройств под контролем.
CVSS 10.0 — а SOC смотрит на эндпоинты. vManage молчит в Windows Event Log.Статья Утечка данных через Zendesk: kill chain, detection gap и чеклист для SOC
Scattered Lapsus$ Hunters удерживала доступ к Zendesk Discord 58 часов — 8,4 млн тикетов, сканы паспортов, $3,5 млн выкупа. Вектор: BPO-агент, T1195 + T1078, без единого CVE.Kill chain начинается не в Zendesk, а у аутсорсера: фишинг-кит под Okta крадёт OTP, сессия захвачена, Zenbar открыт. Дальше — T1213 через `/api/v2/tickets` и Incremental Export API: 700 req/min на Enterprise, никакого архитектурного лимита на объём выгрузки авторизованным агентом.
Detection gap: SIEM видит легитимный HTTPS из Zendesk-диапазона — T1567 в чистом виде.
SOC мониторит эндпоинты — эксфильтрация идёт через helpdesk API. Windows Event Log молчит все 58 часов.Статья Cloud Security платформы 2026: сравнение AI-driven CNAPP по реальному detection-покрытию
Четыре CNAPP-платформы показывали compliance score 92%+ — и все четыре пропустили сервисный аккаунт с sts:AssumeRole на prod и неограниченным s3:GetObject. Ни одна не выстроила identity chain до T1530.Финтех-аудит 2026 года вскрыл разрыв между feature checkbox и реальным detection-покрытием. Wiz, CrowdStrike Falcon Cloud, Defender for Cloud, Orca и Prisma Cloud — у каждого свой AI-движок, но глубина attack path analysis критически различается.
CSPM без CIEM-корреляции слеп к lateral movement через overprivileged roles.
Зелёный compliance score — худший индикатор защищённости: attack path через IAM-цепочку невидим без графовой корреляции.Статья Сервисы OSINT в 2026 году: практический обзор инструментов для разведки
SpiderFoot нашёл 4 субдомена с чужим WHOIS — theHarvester вытащил 3 dev-email, которых SpiderFoot не увидел. Один инструмент закрывает 60% картины. Какую комбинацию собрать под реальный black box?Обзор 8 инструментов — Shodan, SpiderFoot, theHarvester, Recon-ng, Maltego, Intelligence X, Sherlock, OSINT Framework — по MITRE ATT&CK Reconnaissance: T1596.005, T1593.001, T1596.001. Каждый закрывает свою нишу kill chain: от `org:"Company" port:27017` без единого пакета к цели до графа связей в Maltego.
OSINT-разведка молчит в логах цели — но именно она определяет, куда пойдёт initial access.Статья Google Dorks для разведки внешней поверхности атаки: от пассивного recon к pre-exploitation
За 11 минут на внешнем пентесте финтех-компании запрос site:target.com filetype:env "DB_PASSWORD" вернул credentials от продакшн-базы — хост dev-payments не был в скоупе, потому что заказчик о нём забыл.Google Dorking — MITRE T1593.002: каждый запрос уходит на серверы Google, а не к цели. Ноль записей в access-логах жертвы. Операторы filetype:env, intitle:"index of", inurl:admin покрывают kill chain от scoping до credential exposure (T1552.001) — до того, как один пакет коснётся инфраструктуры.
IBM X-Force: 6000 утёкших учёток в день — не взломы, а проиндексированные конфиги. Nmap здесь лишний.Статья Pitney Bowes: утечка данных в третий раз за 7 лет — хронические провалы IR
Ryuk в 2019-м, Maze через 7 месяцев, ShinyHunters в 2026-м — 8,2 млн записей Salesforce. Pitney Bowes взламывали трижды, потому что postmortem ни разу не стал инженерной задачей.Ryuk зашифровал почтовые системы через T1566/T1133, Maze вернулся и прошёл Lateral Movement до скриншотов внутренних каталогов — до Impact не дошло, но Credential Access и Discovery уже отработали. ShinyHunters закрыли триаду: фишинг → T1078 Valid Accounts → эксфильтрация CRM.
Чеклист провалов: неполная ротация credentials после Ryuk, отсутствие MFA на Salesforce, нет детекции аномального доступа к CRM (UEBA).
Maze «остановили до шифрования» — но lateral movement и эксфильтрация уже завершились. Impact — последняя фаза, не единственная.