S.E.Book

🗂 Диспетчер файлов. • Мало кто знает, но еще 6 апреля 2018 года компания Microsoft выложила на GitHub исходный код оригинальной версии Windows File Manager, который поставлялся в составе операционной системы Windows в 90-е годы, а также доработанную и улучшенную версию Диспетчера файлов. В своё время эта программа стала первым графическим менеджером файлов от Microsoft. Она позволяла копировать, перемещать и удалять файлы, выделяя их мышью. • Стоит напомнить, что самая первая 16-битная версия Windows File Manager поддерживала только имена файлов в формате 8.3. Поддержки длинных имён файлов не было, как и поддержки пробелов в именах. Если Диспетчеру приходилось отображать длинные файлы, то он показывал только первые шесть символов, затем символ тильды "~" и число, обычно единицу. Если папка содержала несколько файлов с одинаковыми первыми шестью символами в названии, то им присваивались цифры 2, 3 и так далее. • Затем программу переписали под 32 бита для Windows NT. Она уже могла отображать длинные имена файлов и поддерживала файловую систему NTFS. • В 1990-1999 годы Диспетчер файлов оставался стандартным компонентом Windows и поставлялся в составе операционной системы. Последняя версия файла WINFILE.EXE build 4.0.1381.318 поставлялась в составе Windows NT 4.0 Service Pack 6a (SP6a). Последняя 16-битная версия WINFILE.EXE build 4.90.3000 — в составе операционной системы Windows Me. • Представленный исходный код скопирован из ветки Windows NT 4 в ноябре 2007 года. Он содержит некоторые изменения по сравнению с оригинальной версией WinFile.exe. Эти изменения нужны главным образом для того, чтобы программа нормально работала на современных версиях Windows, в том числе на 64-битных версиях и на базе Visual Studio. • Отличительная особенность Windows File Manager — поддержка многодокументного интерфейса Multiple Document Interface (MDI). Это такой способ организации графического интерфейса, в котором большинство окон расположены внутри одного общего окна. Этим он и отличается от распростарнённого сейчас однодокументного интерфейса (SDI), где окна располагаются независимо друг от друга. • Скомпилировав и запустив этот артефакт на современной машине, вы оцените потрясающую обратную совместимость программ под Windows, ведь софт 35-летней давности почти без модификаций работает на последней ОС. Если вы не работали на первых версиях Windows, то можете оценить, какими программами приходилось тогда пользоваться. Только учтите, что в начале 90-х и сама Windows 3.0, и этот Диспетчер файлов заметно тормозили на многих персональных компьютерах. Специально для установки Windows 3.0 приходилось докупать несколько мегабайт оперативной памяти, а иногда и апгрейдить процессор, например, с 20 МГц до 40 МГц. Но в награду пользователь получал текстовый редактор Word под Windows с поддержкой множества кириллических шрифтов и форматированием WYSIWYG — вместо убогого однообразия «Лексикона» или Word под DOS. ➡️ https://github.com/Microsoft/winfile #Разное

ASM теперь управляемый, а F6 — первые, кто это делает На вебинаре 16 декабря Центр кибербезопасности F6 расскажет о новом тренде российского рынка ИБ — мониторинге угроз внешнего периметра. Почему это важно? 55% инцидентов происходят из-за уязвимостей на внешнем периметре. Новые серверы, домены, API, удаленные рабочие места. Каждый из этих активов — новогодний подарок потенциальная точка входа для злоумышленника. Подключайтесь к вебинару, чтобы узнать: • Статистику по атакам через внешние активы • Как F6 Managed ASM встраивается в экосистему MDR • Разбор возможностей F6 Managed ASM • Ключевые индикаторы и риски, которые мы выявляем • Разбор реальных инцидентов из-за уязвимостей на периметре • Условия запуска пилотного проекта Зарегистрироваться на вебинар → #реклама О рекламодателе

Ресерчеры Лаборатории Касперского отметили новые элементы в атаках хактивистских группировок 4BID, BO Team и Red Likho, где «один за всех и все за одного». По данным ЛК, в последние месяцы наблюдается растущая тенденция к синхронным атакам нескольких хактивистов на одни и те же организации. Подобные кампании уже не являются чем-то необычным и значительно усложняют атрибуцию, поскольку становится сложно идентифицировать TTPs конкретных групп. В рамках исследования ландшафта киберугроз, нацеленных на российский сегмент, в ЛК подробно изучили серию кампаний, о которых публично заявляла проукраинская группа 4BID. В системах их жертв удалось задетектить артефакты, связанные с активностью двух других известных групп хактивистов: BO Team и Red Likho. В частности, в некоторых случаях атакованная 4BID инфраструктура также была заражена бэкдором GoRed, связанным с Red Likho, и ZeronetKit, атрибутированным к BO Team. Обе группы известны проведением широко масштабных операций в отношении российских компаний. Исследователи отмечают, что 4BID заявили о себе в начале 2025 года, медийно освещая свои атаки в Telegram-канале. Злоумышленники атакуют российские организации в сфере промышленности, здравоохранения и госсекторе. Причем изначально 4BID выбирала цели малого калибра, атакуя небольшие региональные компании, однако позже группа переключилась на более крупные предприятия. Наличие в инфраструктуре жертв инструментария сразу нескольких групп (ransomware 4BID, бэкдоры BO Team и Red Likho, а также другие уникальные компоненты) свидетельствует об общем целеполагании и глубокой кооперации проукраинского кластера угроз. В новом отчете исследователи ЛК раскрывают технические подробности наблюдаемой активности 4BID и ее пересечения с другими хактивистами. Из наиболее интересных находок - пакет из нескольких файлов, каждый из которых отвечает за определенные задачи и запускает следующий. Причем первый PowerShell-скрипт Edgeupdate.ps1 ранее не встречался в публичных репозиториях вредоносных ПО и не был замечен в других атаках, что позволяет предположить, что это специализированный инструмент, вероятно, разработанный для конкретной кампании. Он выполнял ряд скрытых деструктивных операций для защиты от обнаружения и закрепления в системе (ведение журнала, блокировка устройств ввода, создание и добавление пользователя в группу локальных администраторов, загрузка в безопасном режиме с поддержкой сети, отключение протокола ms-contact-support и под завершение - удаление следов своей работы с перезагрузкой и фейковым экраном обновления). В атаках 4BID также был найден образец новой программы-вымогателя, который назвали Blackout Locker. Он написан на C/C++ и, несмотря на сходство имени, не имеет ничего общего с шифровальщиком Blackout. В зависимости от версии, эта программа-вымогатель реализует различные схемы шифрования: некоторые варианты используют простой цикл XOR, другие - шифр AES в режиме GCM. Кроме того, среди примечательных артфактов - кастомные скрипты (для проверки компьютеров в сети на наличие установленного AnyDesk или решений ЛК, а также непосредственно - для установки первой), пропатченные образцы Process Explorer (загружали Tuoni или Cobalt Strike). В общем, текущая тенденция указывает на продолжающуюся эволюцию хактивизма и увеличивает вероятность проведения более частых, масштабных и технически сложных кампаний. Все подробности - в отчете.

👾 Фишинг на официальных сайтах Apple, Netflix, Microsoft и т.д. • У Malwarebytes есть интересное исследование, в рамках которого описали метод, когда хакеры внедряли фейковые номера технической поддержки на официальных сайтах Microsoft, Apple, HP, PayPal, Netflix и т.д. • Если описывать схему простыми словами, то начинается все с покупки рекламы в Google по запросам "поддержка Apple" или "служба помощи PayPal". Указывается официальный домен Microsoft, Apple, HP, PayPal, Netflix и добавляются скрытые параметры, которые браузер передает на указанный сайт. Такие параметры отображают номера фишинговой технической поддержки прямо в страницу, которую видит пользователь. Что получается? Вы находитесь на официальном сайте Apple, но видите номер телефона злоумышленников (скриншот выше)... • Вся соль в том, что эти параметры не отображаются в рекламе Google, поэтому у жертвы нет очевидных причин подозревать, что что-то не так. Метод работает в большинстве браузеров и на большинстве веб-ресурсов. • При звонке по указанному номеру телефона жертва связывается с мошенником, выдающим себя за представителя компании. Тот может обманом заставить пользователя передать личные данные или данные платёжной карты, либо разрешить удалённый доступ к своему устройству. При этом мошенники, которые представляются работниками PayPal, пытаются получить доступ к финансовому счёту и вывести с него средства. Классика! • Так что будьте внимательны. Исследование можно почитать по ссылке: https://www.malwarebytes.com #Новости

Исследователи Bi.ZONE наконец-то порадовали новым отчетом, сообщая о выявленной в октябре и ноябре 2025 года вредоносной активности кластера Arcane Werewolf (Mythic Likho), нацеленную на российские промышленные компании. Судя по артефактам, атакующие в качестве вектора первоначального доступа, вероятно, задействовали традиционный вектор - фишинговые рассылки, собственно, как и в предыдущих случаях. Правда сами фишинговые письма достать так и не удалось. При этом злоумышленники использовали доменные имена, созвучные с названиями организаций-жертв, а также применили активно разрабатываемые и обновленные собственные инструменты - в частности, новую версию Loki 2.1, совместимого с Mythic и Havoc. Предположительно, в направленных письмах размещалась ссылка для загрузки архива с вредоносным ПО с подконтрольного хакерам ресурса, мимикрирующего под российскую промышленную компанию. После перехода пользователя по ссылке происходила загрузка вредоносного архива уже по другой ссылке. В загруженном архиве содержится вредоносный LNK-файл, а также каталог «Фото» с набором JPG‑изображений. После запуска LNK и выполнения команды через PowerShell происходила загрузка с сетевого адреса hxxps://f.npo-[redacted][.]ru/m2.png исполняемого файла, который сохранялся в каталог %TEMP%\icon2.png и затем запускался через conhost.exe. Загруженный icon2.png является исполняемым файлом формата PE32+ и представляет собой вредоносную программу - дроппер, реализованный на Go. Он содержал нагрузку в виде двух закодированных Base64 файлов: chrome_proxy.pdf (исполняемый файл PE32+, являющийся вредоносным загрузчиком) и 09.2025.pdf (отвлекающий PDF‑документ). Дроппер декодирует нагрузку и сохраняет ее в каталог %TEMP%, после чего выполняет команды, доставляя Loki 2.0. Как известно, он состоит из двух компонентов: загрузчика и импланта. Основные возможности загрузчика - сбор информации о скомпрометированном хосте, шифрование AES и кодирование Base64 собранной информации, отправка на сервер злоумышленников, ожидание вредоносной нагрузки от сервера и ее запуск. В ноябре была зафиксирована очередная активность кластера Arcane Werewolf, но, к сожалению, всю цепочку атаки не удалось восстановить. В данной атаке был выявлен новый дроппер на C++ (.cpp) и обновленный Loki 2.1. Также удалось установить вредоносный сетевой ресурс атакующих, мимикрирующий под сайт российской промышленной компании (hxxps://cloud.electropriborzavod[.]ru/files/d8287185e4ae695a). Cpp-дроппер является исполняемым файлом формата PE32+ и реализован на C++. Вредоносная нагрузка содержится в сжатом виде в секции ресурсов. Помимо самой нагрузки, в ресурсах дроппера содержится полный путь сохранения нагрузки на диске, размер нагрузки. Дроппер динамически получает необходимые для работы WinAPI-функции и извлекает нагрузку на диск, используя функции NtCreateFile и ZwWriteFile. В данном случае загрузчик Loki 2.1 все так же собирал информацию о скомпрометированном хосте, шифровал AES и кодировал Base64 перед отправкой. Главная особенность загрузчика заключается в том, что, помимо получения импланта Loki от сервера, данный экземпляр содержит локальный вариант импланта Loki обновленной версии. Загрузчик расшифровывает данный локальный имплант из конфигурации и вызывает у него экспортируемую функцию start в памяти собственного процесса. Команды импланта Loki 2.1 не изменились в сравнении с версией импланта 2.0. Единственное отличие в том, что раньше каждой команде соответствовало определенное значение хеш-суммы djb2, а в версии Loki 2.1 командам соответствуют порядковые номера. Индикаторы компрометации и технический разбор - в отчете.

👾 Программные ошибки и человеческий фактор... • Практика не устает доказывать, что в любом ПО самая главная уязвимость — человеческий фактор. И неважно, появился ли баг из-за нехватки квалифицированности специалиста, выжил после долгих часов дебага в поисках ошибки, или считался хитро замаскировавшейся фичей. Среди некоторых разработчиков даже укрепилось мнение, что баги в принципе существуют всегда и везде. Но если ошибки абстрактны и сложно воспроизводимы в реальных условиях, то проблема не является критичной. • В идеальной ситуации баги исправляют все и сразу. Но в жизни всегда есть куча задач, отодвигающих полный и бесповоротный багфикс (новый функционал, срочные хотфиксы, расставленные приоритеты при исправлении багов). Это значит, что в первую очередь находятся и исправляются очевидные и явные проблемы. Иногда ошибки приводят не только к неприятностям в жизни рядового разработчика, но и вызывают настоящие катастрофы. • 26 сентября 1983 года спутник эшелона «Око» системы предупреждения о ракетном нападении СССР ошибочно сообщил о запуске пяти баллистических ракет с территории США. Спутник находился на высокой эллиптической орбите, наблюдая за районами базирования ракет под таким углом, чтобы они находились на краю видимого диска Земли. Это позволяло обнаружить факт запуска на фоне темного космического пространства по инфракрасному излучению работающего ракетного двигателя. Кроме того, выбранное расположение спутника снижало вероятность засветок датчиков отраженным от облаков или снега солнечным светом. • После безупречного года работы внезапно выяснилось, что в один день при определенном положении спутника и Солнца свет отражается от облаков, расположенных на больших высотах, оставляя то самое инфракрасное излучение, которое компьютеры восприняли как след от ракет. Заступивший на боевое дежурство подполковник Станислав Петров усомнился в показаниях системы. Подозрение вызвало сообщение о пяти замеченных целях — в случае реального военного конфликта США одновременно произвели бы сотни пусков. Петров решил, что это ложное срабатывание системы, и тем самым, вероятно, предотвратил Третью мировую войну. • Подобная ошибка, едва не повлекшая за собой глобальный ядерный конфликт, произошла и по другую сторону океана. 9 ноября 1979 года из-за сбоя компьютера воздушно-космической обороны Северной Америки была получена информация о начале ракетной атаки против США — в количестве 2200 запусков. В то же время спутники раннего предупреждения и радары показали, что никакой информации о советской атаке не поступало — только благодаря перепроверке данных, сделанной за 10 минут, не был отдан приказ о взаимном гарантированном уничтожении. • Причиной всему оказалась самая опасная уязвимость — человеческий фактор. Оператор компьютера, находящегося на боевом дежурстве, загрузил в него пленку с учебной программой, имитировавшей ситуацию массированной ракетной атаки. • За несколько первых лет работы Национального центра управления Объединенного командования аэрокосмической обороны США и Канады было зафиксировано 3703 ложных сигнала тревоги, большая часть из которых появилась из-за атмосферных явлений. Однако случались и компьютерные ошибки. Так один из «боевых» компьютеров 3 июня 1980 года показал постоянно меняющиеся цифры количества ракет, запущенных Советским Союзом. Проблема возникла из-за аппаратного сбоя в микросхеме. ➡️ https://www.techinsider.ru/history/1659621 #Разное

• Месяц назад публиковал пост, где рассказывал о тематической (infosec) игре Bandit, в которой нужно ковырять консоль, подключаться по SSH к разным серверам, искать на них файлы с информацией, ну и т.д... Так вот, есть не менее интересная игра, только направленная на эксплуатацию Web-уязвимостей. • Если коротко, то суть игры заключается в поиске паролей на сайтах, ссылка на которые дается при переходе на новый уровень. Каждый lvl имеет доступ к паролю следующего уровня. • К примеру, если взять lvl 0 и lvl 1, то от вас просто потребуется посмотреть код страницы и найти в нем пароль на следующий уровень. Если сможете найти, то перейдете на 2 lvl, где уже задача будет немного сложнее: при просмотре кода страницы уровня 2 вы заметите, что на страницу загружается картинка. Заходим в директорию, откуда происходит загрузка картинки. Наблюдаем, что эта дирректоря непроиндексирована и доступна пользователям. Забираем пароль. (Для того, чтобы избежать просмотра файлов в дирректории, в настройках сервера (в данном случае /etc/apche2/httpd.conf) должен стоять запрет на индескирование файлов. Или в данной дирректории должен находиться файл index.html. • Думаю, что суть ясна. Там куча уровней и все они весьма сложные. Просто так посмотреть код страницы на каждом уровне и поискать пароль не прокатит, нужно будет много думать и читать. Но игра залипательная. Однозначно рекомендую. ➡️ https://overthewire.org/wargames/natas/ #Wargame #Web