Codeby

В апреле команда HackerLab ездила на международный Cyber Range в Астану. Формат боевой: Active Directory, Red Team, Bug Bounty по OWASP Top 10, цепочки раскрутки уязвимостей на живой инфраструктуре.

После первого дня стояли в топ-10.

На второй день в 16:00 тиммейт нашёл критичный Risk во внутрянке, сдал отчёт — прилетело +4000 баллов. Команда вышла на первое место. Все вокруг уставились в рейтинг.

17:00 — стоп. Первое место.

17:30 — финальная проверка отчётов. Первое место.

Потом команда из Узбекистана сообщила организаторам, что их отчёт на 5000 баллов пролежал необработанным с первого дня. Орги подтвердили и приняли — уже после стопа. Первое место стало вторым.

Решение осталось за организаторами. Второе место на международном турнире — это второе место на международном турнире.

Приз — 500 000 тенге.

Полный отчёт с техническими деталями: что искали, как делили работу внутри команды, что стоит взять в практику — на codeby.net: https://codeby.net/threads/aitu-ctf-cyber-range-2026.92931/

Когда SIEM молчит три недели подряд

APT-группировка три недели гоняла C2-трафик через Google Sheets API — и ни одного алерта в Splunk. Домен sheets.googleapis.com стоял в allow-листе прокси, TLS-сертификат валидный, порт 443. Для SIEM это была обычная рабочая активность.

🔍 Это не косяк одного SOC — проблема системная. По данным CrowdStrike Global Threat Report 2025, 79% атак обходятся без вредоносного ПО. Атакующие используют легитимные сервисы — Google Sheets, OneDrive, Slack — и встроенные инструменты ОС. Репутационные блоклисты здесь бессильны: попробуй заблокировать graph.microsoft.com, не сломав половину офисных процессов.

Эта концепция называется LOTS — Living Off Trusted Sites. Если LOTL — это злоупотребление встроенными утилитами ОС (PowerShell, certutil), то LOTS переносит ту же философию на сетевой уровень. Трафик идёт к доменам, которым доверяет каждый прокси, каждый DLP и каждый аналитик SOC.

⚡️ В терминах MITRE ATT&CK это техника T1102 (Web Service) с двумя ключевыми подтипами:

• Dead Drop Resolver (T1102.001) — имплант читает команды из публичного ресурса (Google Sheets, Pastebin). Трафик однонаправленный, только GET.
• Bidirectional Communication (T1102.002) — имплант и получает команды, и отправляет результаты через один сервис. OneDrive через Graph API, Slack через Bot API.

🎯 Как это выглядит на практике? APT29 (Midnight Blizzard) использовала Graph API для управления и эксфильтрации — это зафиксировали Microsoft и Mandiant. Схема простая: имплант авторизуется через OAuth2, читает файл-команду из OneDrive-папки, выполняет, пишет результат обратно. Всё через graph.microsoft.com — легитимный домен, легитимный порт, легитимный сертификат.

Что реально работает для детектирования? Смотреть не куда идёт трафик, а кто и как его генерирует.

• Какой процесс обращается к sheets.googleapis.com? Браузер — норма. svchost.exe или powershell.exe — красный флаг.
• Регулярные интервалы запросов? C2-beacon стучит с фиксированным jitter (±10–20%), живой пользователь так не работает.
• OAuth-токены с разрешениями Files.ReadWrite.All у неизвестных приложений? Повод для немедленного расследования.

📊 По данным Mandiant M-Trends 2025, медианное время нахождения атакующего в сети — 11 дней, а 57% организаций от третьей стороны. Если ваш SIEM видит HTTPS-соединение к graph.microsoft.com от svchost.exe и молчит — вы в этих 57%.

🛡 В полной статье — готовые Sigma и YARA правила под каждый из каналов, маппинг на MITRE ATT&CK и пошаговый playbook для деплоя детектирующей логики.

https://codeby.net/threads/detektirovaniye-apt-cherez-oblachnyye-c2-kanaly-sigma-i-yara-pravila-dlya-google-sheets-onedrive-i-slack.92928/

🛠 Kali из коробки — это заготовка, а не рабочий инструмент

Звучит банально, но именно это понимаешь после первого реального проекта. Более 600 предустановленных утилит — а на живом пентесте реально нужны от силы два десятка. Остальное — балласт, который занимает место и создаёт иллюзию готовности.

Первые полчаса после установки уходят не на «взлом», а на превращение дистрибутива в нормальное рабочее место. Дефолтный shell без алиасов, пустая домашняя директория, никакой структуры проектов. Если ты работаешь в VM и не настроил гостевые дополнения до обновления системы — после apt full-upgrade получишь сюрприз: новое ядро сломает интеграцию с VirtualBox, и ты окажешься в консоли с разрешением 800x600 без буфера обмена.

🔄 Правильная последовательность спасает от этого:

1. Сначала ставишь гостевые дополнения (virtualbox-guest-utils или open-vm-tools-desktop для VMware)
2. Проверяешь, что экран, буфер обмена и drag-and-drop работают
3. Делаешь snapshot в гипервизоре
4. И только потом запускаешь sudo apt full-upgrade

Откат к snapshot — секунды вместо переустановки. Это не паранойя, это гигиена.

⚖️ Отдельный вопрос — Kali или Parrot? Большинство гайдов говорят «ставь Kali» и не объясняют почему. Разница есть, и она практическая. Parrot в режиме ожидания потребляет на 300–400 МБ RAM меньше — ощутимо, если у тебя 4 ГБ и параллельно крутятся Burp Suite с браузером. Плюс встроенный AnonSurf для анонимизации трафика без дополнительных настроек.

Но если ты учишься по TryHackMe, Hack The Box или любому платному курсу — почти все гайды написаны под Kali. Адаптировать команды под Parrot придётся вручную, и на старте это лишнее трение. Оба дистрибутива — Debian с набором пакетов, и всё, что работает на одном, работает на другом. Выбор — вопрос комфорта, а не возможностей.

🔐 Ещё один момент, который игнорируют новички: не работай постоянно из-под root. Случайный rm -rf в привилегированной сессии — и результаты сканирования исчезли. Создай отдельного пользователя командой sudo useradd -m -s /bin/zsh pentester, добавь в группу sudo и работай из-под него. Это базовая гигиена, которая однажды спасёт важные данные.

Про инструменты: не ставь kali-linux-large сразу — это ~15 ГБ дополнительного места. Начни с точечных метапакетов под задачу: kali-tools-web для веба, kali-tools-passwords для брутфорса, kali-tools-information-gathering для разведки. Полный список — apt-cache search kali-tools.

📖 Полный чеклист настройки, кастомизация shell и организация структуры проектов — в статье на форуме.

https://codeby.net/threads/nastroika-kali-linux-dlya-pentesta-kastomizatsiya-instrumenty-i-optimizatsiya-okruzheniya.92927/

EDR молчит, пока атакующий ходит по сети как сисадмин

На каждом втором внутреннем пентесте картина одна и та же: EDR стоит на всех хостах, SIEM собирает логи, политики настроены. И всё равно путь от рядовой рабочей станции до контроллера домена проходится без единого алерта.

Почему? Потому что атакующий не запускает вредоносный код. Он аутентифицируется как легитимный пользователь через штатные протоколы Windows. Для СЗИ это неотличимо от сисадмина, который в три ночи решил проверить бэкапы.

🔥 По данным CrowdStrike Global Threat Report, среднее время от первичного доступа до начала горизонтального перемещения для eCrime-групп — 29 минут. При этом 82% всех детектов приходятся на действия без вредоносного кода — злоупотребление легитимными инструментами и валидными credentials. Согласно Verizon DBIR 2025, украденные учётные данные стали причиной 22% всех подтверждённых утечек — больше, чем любой другой вектор первичного доступа.

Это не баг конкретного вендора. Это фундаментальная слепая зона всей модели защиты, построенной вокруг сигнатур и поведенческого анализа кода.

🎯 Как это работает на практике

Разберём самую популярную технику — Pass the Hash (T1550.002). Windows NTLM по дизайну принимает хэш как доказательство аутентичности вместо пароля. Никакой отдельной уязвимости — протокол так устроен. Получил NTLM-хэш из памяти процесса lsass.exe — и ходишь по сети от имени владельца этого хэша.

Что видит EDR? Авторизованный сеанс от доверенной учётной записи. Что видит SIEM? Штатное событие входа. Что видит аналитик SOC? Если не настроен детект на аномальные паттерны — ничего.

Ещё интереснее работает DCSync (T1003.006): атакующий имитирует репликацию контроллера домена через протокол MS-DRSR и забирает NTLM-хэши всех аккаунтов домена. На контроллере при этом не запускается ни одного процесса — только сетевой трафик через TCP/135 и динамический RPC-порт. Классический EDR, заточенный под анализ процессов, это попросту не видит.

🔍 Какие артефакты всё-таки остаются

Полностью бесследным не бывает никто. Вот что реально попадает в логи:

• Kerberoasting оставляет событие 4769 с шифрованием RC4 (0x17) вместо AES — аномалия, которую SIEM должен ловить, но часто не ловит без тюнинга
• Pass the Hash через SMB генерирует событие 4624 с типом входа 3 — в потоке легитимных сетевых аутентификаций его почти не видно
• DCSync детектируется только если SIEM коррелирует события репликации с источником

Главный вывод, который неудобен для большинства команд защиты: выбор техники атакующим определяется не инструментом, а тем, какие артефакты он готов оставить. Опытный пентестер сначала смотрит на логи, потом выбирает вектор.

⚙️ Полная версия статьи разбирает каждую технику с артефактами, decision tree для выбора вектора и конкретными рекомендациями по детекту — читайте на форуме.

https://codeby.net/threads/lateral-movement-cherez-doverennyye-uchetnyye-zapisi-pochemu-edr-molchit-pri-validnykh-credentials.92918/

🧠В апреле 2026 года итальянская правозащитная организация Osservatorio Nessuno опубликовала расследование о новом шпионском ПО — Morpheus. Это «low-cost» инструмент, который, тем не менее, способен полностью захватить контроль над WhatsApp* жертвы. Его главная особенность не в технической сложности (0-day уязвимостей здесь нет), а в схеме распространения: зловред устанавливается при активной помощи вашего же сотового оператора.

👉Morpheus не умеет проникать в телефон «по воздуху» (Zero-click), как Pegasus от NSO Group. Он действует грубее, но эффективнее: жертву вынуждают установить приложение добровольно.

Пошаговая схема инцидента:
1️⃣По запросу заказчика (спецслужб) мобильный оператор намеренно блокирует мобильный интернет у конкретного абонента
2️⃣Жертве приходит сообщение якобы от оператора или производителя телефона. Текст убеждает: для восстановления связи необходимо установить «критическое обновление прошивки»
3️⃣Пользователь скачивает APK-файл и предоставляет ему разрешения
4️⃣Morpheus запрашивает доступ к функции «Специальные возможности» (Accessibility).
Это разрешение аналогично предоставлению root-доступа. ПО получает возможность читать содержимое экрана, нажимать кнопки от имени пользователя и управлять другими приложениями.

🔎Получив контроль над интерфейсом, Morpheus разыгрывает перед пользователем финальный спектакль.
▶️Сначала на экране появляется фальшивое уведомление о системном обновлении с имитацией перезагрузки телефона.
▶️Затем зловред подсовывает жертве идеальную копию интерфейса WhatsApp*. Пользователь видит запрос: «Подтвердите личность с помощью биометрии (отпечаток пальца / Face ID)».

На самом деле этот жест добавляет устройство злоумышленника в аккаунт WhatsApp* жертвы. Хакер получает синхронизированный доступ ко всем перепискам, контактам и медиафайлам в реальном времени.

🧿Код, пахнущий спагетти
Исследователи связали Morpheus с компанией IPS Intelligence Public Security (Италия).
▶️IPS более 30 лет работает на рынке Lawful Interception (легальный перехват), поставляя технологии для полиции и разведки.
▶️Компания представлена в более чем 20 странах.
▶️Аналитики нашли в программе фрагменты, выдающие разработчиков: библиотека libaprafocofb (отсылка к телеоговорке ведущего), класс GomorraException (сериал об итальянской мафии) и переменная spaghettiTime.

«Мы не можем раскрыть личность цели, но атака связана с политическим активизмом в Италии. Такие точечные удары здесь — обычное дело» — заявили исследователи.

#Morpheus #ШпионскоеПО #Android #WhatsApp #Фишинг #news

*Принадлежит Meta, признанной экстремистской и запрещенной в РФ

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

⚡️ Ноутбук, подписка и сотни фишинговых кампаний в день

Пять минут. Пять промптов. Готовая фишинговая кампания, заточенная под конкретную компанию. Для сравнения: опытному red-team специалисту на то же самое нужно 16 часов ручной работы.

Это не прогноз на будущее — это данные из эксперимента IBM, которые описывают сегодняшний день.

🎯 Почему малый бизнес — главная цель

Логика атакующих проста: в SMB есть доступ к платёжным системам и данным клиентов. При этом защита — один IT-специалист «на всё», без выделенного SOC. Почтовая инфраструктура типичная: Microsoft 365, базовый Exchange Online Protection, DMARC p=none. Атакующим хватает пятнадцати минут скрапинга LinkedIn и одного промпта в LLM, чтобы сгенерировать письмо, которое проходит через Secure Email Gateway без единого алерта.

Бухгалтер открывает «акт сверки», потому что в письме — правильные реквизиты контрагента и номер реального договора. Откуда они у атакующего? Открытые источники, LinkedIn, пара минут парсинга.

📊 Цифры, которые меняют восприятие

• Кликабельность AI-генерированного фишинга — 54% против 12% у традиционного (эксперимент Heiding, Schneier et al., HBR 2024)
• Рост числа вредоносных email-сообщений — 4151% с момента запуска ChatGPT (SlashNext 2024)
• В 2025 году AI-агенты в целевом фишинге превзошли опытных red-team специалистов на 24% (Hoxhunt); двумя годами ранее уступали им на 31%

Разворот за два года — от «уступает людям» до «обходит экспертов». AI не устаёт, не ленится и не забывает проверить LinkedIn перед отправкой.

🔓 Что реально работает против AiTM-атак

Отдельная история — adversary-in-the-middle фишинговые киты. Они перехватывают не только credentials, но и session tokens в реальном времени. Это означает обход push-based MFA — той самой защиты, на которую многие SMB полагаются как на серебряную пулю.

На симуляциях с Evilginx2 — 100% обход push MFA, включая number matching, в Microsoft 365 без conditional access policies. Единственное, что держит удар — phishing-resistant MFA: FIDO2/WebAuthn с domain binding.

После успешного фишинга SMB-компания становится входной точкой для ransomware или используется как stepping stone в атаках на цепочки поставок. По данным Softline, доля атак, приводящих к остановке деятельности, выросла с 31% до 47% за один год.

Для компании на 50 сотрудников это не «неприятный инцидент» — это закрытие бизнеса.

В полной статье — конкретные detection rules для SIEM, чеклист аудита почтовой инфраструктуры и бюджетный антифишинговый стек для компании на 20–200 человек. Читайте полную версию 👇

https://codeby.net/threads/ai-fishing-ataki-na-malyi-biznes-detection-audit-i-zashchita-v-2026.92917/

GEF: Расширение для отладки и эксплуатации уязвимостей в GDB

GEF (GDB Enhanced Features) — это расширение с открытым исходным кодом для GNU Debugger (GDB), предназначенное для упрощения и ускорения процесса отладки, анализа безопасности и разработки эксплойтов. Инструмент предоставляет набор дополнительных команд, улучшенное отображение состояния регистров, памяти и стека, а также автоматизирует многие рутинные задачи, связанные с обратной разработкой и эксплуатацией уязвимостей.

👉Возможности
- Цветное и структурированное отображение состояния регистров, стека, памяти и кода при каждой остановке
- Автоматический анализ (определение версий libc, загрузчиков, канареек, NX, PIE, ASLR, RELRO и других механизмов защиты)
- Упрощение поиска ROP-гаджетов, обхода ASLR, работы с паттернами циклического ввода
- Поддержка архитектур (x86, x86-64, ARM, AArch64, PowerPC, MIPS, SPARC, RISC-V)

⬇️Установка

sudo apt install gef

Проверка

gef -h 

➡️Если у вас нет файла ./test, создайте его

#создание тестовой программы
cat > test.c << 'EOF'
#include <stdio.h>

int main() {
    printf("Hello, GEF!\n");
    return 0;
}
EOF

#компиляция
gcc -g -o test test.c

#запуск GDB
gdb ./test

⏺️Проверка механизмов защиты

(gef) checksec

Отображает статусы защиты: Canary, NX, PIE, RELRO, Fortify. Позволяет оценить сложность эксплуатации

⏺️Просмотр карты памяти процесса

(gef) vmmap

Показывает сегменты памяти (code, data, heap, stack, libc) с их правами доступа (r/w/x) и адресами

⏺️Установка точки останова на функцию main

(gef) break main

Останавливает выполнение программы при входе в функцию main для детального анализа

⏺️Запуск программы

(gef) run

Запускает программу до первой точки останова (main). GEF автоматически отображает состояние регистров, стека и кода

⏺️Просмотр текущих регистров

(gef) registers

Отображает значения всех регистров (rax, rbx, rcx, rdx, rsi, rdi, rsp, rbp, rip, eflags)

⏺️Просмотр стека

(gef) stack

Показывает содержимое стека (call stack) с адресами возврата и локальными переменными

⏺️Дополнительные полезные команды

#просмотр дизассемблированного кода текущей функции
(gef) disas

#просмотр GOT (Global Offset Table)
(gef) got

#выход из отладчика
gef➤ quit

⏺️Быстрый старт одной строкой

gdb -q ./test -ex "checksec" -ex "vmmap" -ex "break main" -ex "run" -ex "registers"

#GEF #GDB #ROP #ASLR #tool #pentest

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔍 Российские EDR под микроскопом: где слепые пятна?

Большинство «обзоров» отечественных EDR-решений — это пересказ маркетинговых PDF со скриншотами дашбордов. Красивые графики, зелёные галочки, «99.7% детектирования». Ни слова о том, где у этих систем реальные слепые пятна.

Разберём три решения — Kaspersky EDR Expert, PT Sandbox и SEKOIA XDR — с позиции Red Team оператора.

⚙️ Как каждый из них «видит» мир

Kaspersky EDR Expert — наиболее зрелый агент из тройки. Телеметрия строится на kernel-mode callbacks, подписке на ETW-провайдеры (Microsoft-Windows-Kernel-Process, DotNET и другие) плюс предположительно userland-хуки на ntdll.dll. По независимым тестам AV-TEST (декабрь 2023 — март 2024) продукт уверенно детектирует атаки в стиле APT18 и техники группировок TA577/Turla/FIN6. Вывод практический: коробочные техники из публичных фреймворков здесь не пройдут.

PT Sandbox — другой зверь. Это прежде всего песочница для динамического анализа, а не классический endpoint-агент. Файл запускается в изолированной VM, система фиксирует API-вызовы, сетевые соединения, изменения файловой системы и реестра. Для атакующего это означает смещение акцента на anti-sandbox техники (MITRE T1497). Интересный контекст: 74% российских компаний считают себя недостаточно защищёнными от целевых атак — именно поэтому Positive Technologies строит «матрёшку» из EPP + EDR + Sandbox.

SEKOIA XDR — европейская SOC-платформа без собственного endpoint-агента. Телеметрию она получает через сторонние инструменты: Sysmon, Microsoft Defender, Wazuh. Плюс очевиден — низкая нагрузка на хосты. Минус тоже: глубина мониторинга определяется возможностями стороннего агента, а не самой платформой.

🎯 Три разных цели — три разных подхода

Для Red Team это принципиально:

• Против Kaspersky EDR — работаешь с обходом хуков и kernel callbacks
• Против PT Sandbox — фокус на anti-sandbox и anti-VM техниках
• Против SEKOIA — оцениваешь глубину телеметрии конкретного агента-поставщика и обходишь корреляционные правила

🛠 Техника прямых syscall: почему это работает

Современные EDR, включая Kaspersky, устанавливают inline-хуки на ключевые функции ntdll.dll: NtAllocateVirtualMemory, NtWriteVirtualMemory, NtCreateThreadEx. Каждый вызов перехватывается, параметры логируются, подозрительные комбинации блокируются.

Direct Syscalls обходят это через вызов системных функций напрямую инструкцией syscall, минуя ntdll.dll и установленные на ней хуки. Инструменты вроде SysWhispers3 генерируют ассемблерные стабы с актуальными номерами syscall для разных версий Windows. Но и здесь есть нюанс: зрелые EDR умеют детектировать прямые syscall-вызовы по характерным паттернам в стеке вызовов.

📖 Полная методология тестирования, разбор лабораторной среды и конкретные техники обхода — в статье на форуме.

https://codeby.net/threads/obkhod-edr-rossiiskiye-resheniya-pt-sandbox-kaspersky-edr-i-sekoia-testiruyem-s-pozitsii-red-team.92906/

Когда антивирус молчит — это не всегда хорошая новость

Руткиты составляют менее 1% всех детектируемых вредоносов. Звучит обнадёживающе, пока не смотришь на последствия.

🔍 APT-кампания ProjectSauron пять лет жила в инфраструктурах нескольких десятков организаций — никто не замечал. Ботнет DirtyMoe за год вырос с 10 000 до 100 000 машин, пока антивирусы хранили молчание. Stuxnet физически уничтожал центрифуги иранской ядерной программы. Это и есть парадокс руткитов: самый редкий тип малвари наносит непропорционально разрушительный ущерб.

Причина проста — руткит создаётся ради одной задачи: сделать атакующего невидимым. И здесь начинается самое интересное.

⚙️ Четыре уровня привилегий — четыре разных мира

Большинство материалов до сих пор делит руткиты на «user-mode» и «kernel-mode». Это картина начала 2010-х. Реальность сейчас — минимум четыре уровня, и каждый требует принципиально другого подхода к обнаружению.

Ring 3 (пользовательский режим) — перехват API-вызовов внутри процесса. На Windows это модификация IAT/EAT и inline-hooking ntdll.dll. На Linux — подмена через LD_PRELOAD. По данным Positive Technologies, 31% проанализированных семейств работали исключительно в этом режиме, ещё 31% совмещали оба. В MITRE ATT&CK это T1055 и T1574.

Ring 0 (режим ядра) — драйвер или LKM с привилегиями ОС. DKOM-манипуляции со структурой EPROCESS, перехват SSDT, подмена callback-ов. 38% выборки Positive Technologies. Один неаккуратный указатель в коде — и вместо невидимости получаешь синий экран на весь SOC.

🧬 Ring -1 (гипервизорный уровень) — руткит загружается ниже ядра ОС, перехватывая аппаратную виртуализацию Intel VT-x или AMD-V. ОС продолжает работать, не подозревая, что полностью контролируется гипервизором атакующего. Концепт Blue Pill показал это ещё в 2006 году.

Ring -2 (UEFI/firmware) — код, исполняемый до загрузки ОС. Буткиты LoJax, MoonBounce, CosmicStrand записываются в SPI-flash и переживают переустановку ОС и замену жёсткого диска. Полное уничтожение системы не помогает. Это уже не малварь — это постоянный имплант.

🛡 Почему это важно прямо сейчас

Каждый уровень требует своего инструментария обнаружения. Против Ring 3 работают сравнение хешей системных библиотек и анализ аномалий в памяти процессов. Против Ring 0 — WinDbg, Volatility, проверка целостности SSDT. Против Ring -2 — верификация прошивки и мониторинг SPI-flash. Инструменты не взаимозаменяемы: то, что поймает rkhunter, не увидит UEFI-импланта.

Именно поэтому «антивирус ничего не нашёл» — не ответ. Это только начало расследования.

Полная карта техник, матрица MITRE ATT&CK и методология обнаружения каждого уровня — в статье.

https://codeby.net/threads/tekhniki-rutkitov-polnaya-klassifikatsiya-matritsa-obnaruzheniya-i-protivodeistviye.92911/