Реклама в Telegram-канале «ZeroDay | Кибербезопасность» b8646

imageИзображение не доступно для предпросмотра

Fastflux: как быстро уходить от блокировок? 👋 Приветствую в мире цифровой безопасности! Расскажу, как работает Fast Flux. ⏺Что такое Fast Flux: это техника, которую используют хакеры, скрывая свои вредоносные серверы, постоянно меняя их IP-адреса. И да, этот способ делает их сайты и ботнеты сложными для обнаружения и блокировки. 3 столпа, на которых держится fastflux 1️⃣Частая смена IP-адресов — суть метода в том, что DNS-записи обновляются буквально каждую минуту, что делает сайт или сервер трудноуловимым. 2️⃣Сеть заражённых устройств — вместо одного сервера злоумышленники используют целую армию заражённых машин, которые перенаправляют трафик, маскируя источник атаки. 3️⃣Двухуровневый Fast Flux — это более сложная версия, в которой не только конечные серверы, но и промежуточные узлы меняют IP-адреса, создавая почти невидимую инфраструктуру. ⏺Как вы поняли, Fast Flux делает блокировку вредоносных сайтов ну сильно запарнее — как только заблокирован один IP, хакеры тут же переключают трафик на новый. ⏺Как защититься: Начнем с анализа DNS-записей и трафика на необычные изменения. Ну и не забываем подключать методы блокировки, которые учитывают поведение сети — они помогут быстрее поймать кого нужно. ZeroDay | #fastflux

5117

16:09

27.03.2025

imageИзображение не доступно для предпросмотра

eBPF в безопасности 👋 Приветствую в мире цифровой безопасности! Сегодня расскажу о том, как eBPF влияет на безопасность систем ⏺Что такое eBPF: очень и очень нужный инструмент, который работает на уровне ядра ОС. С ним можно фильтровать трафик, блокировать DDoS-атаки, анализировать пакеты и даже отслеживать поведение процессов. Все это поможет ловить угрозы на самых ранних стадиях. ⏺Но вот и подводный камень: ну как и почти что любая технология, eBPF может работать не только на вашу защиту. Хакеры уже научились использовать его для маскировки своих действий. вредоносы, такие как Boopkit, BPFDoor и Symbiote, внедряются в ядро, под чистую скрывают свои процессы и трафик, обходя любые системы защиты. ⏺Как же избежать этого: Ну тут ничего нового я не скажу. Контролируем доступ к eBPF-программам, ограничиваем их права и регулярно проверяем их поведение. В общем то все! ZeroDay | #ebpf

5168

15:06

26.03.2025

imageИзображение не доступно для предпросмотра

📝 Как работает атака DNS Cache Poisoning (отравление кеша DNS) Заходим на привычный сайт, а вместо него — точная копия, но созданная хакером. Как это возможно? А вот так работает отравление кэша. ⏺Хакер отправляет поддельный ответ на DNS-запрос, утверждая, что, например, foo.com теперь имеет IP-адрес 10.0.10.100 (а не реальный 192.168.1.100). ⏺DNS-резолвер доверяет ложным данным и сохраняет их в кеш. Теперь любой, кто запрашивает foo.com, получит поддельный IP. ⏺В итоге жертва заходит не на настоящий сайт, а как вы уже догадались, на поддельный, где хакер крадет данные, пароли или устанавливает вредонос. ZeroDay | #атака

2403

09:30

02.04.2025

play_circleВидео недоступно для предпросмотра

Расширенная маскировка трафика: ESNI, V2Ray и Covert Channels Часть 2 👋

Приветствую в мире цифровой безопасности!

Сегодня разберем, как усилить маскировку с помощью ESNI, V2Ray и скрытых каналов передачи данных.

⏺ESNI против SNI-фильтрации: Когда подключаетесь к сайту по HTTPS, провайдер все равно видит домен через SNI (Server Name Indication). Так можно легко заблокировать целые сайты, даже если у вас VPN или прокси. ⏺И тут Encrypted SNI (ESNI) решает проблему, зашифровывая эту информацию. На Cloudflare ESNI включается прямо в браузере: • Открываем about:config в Firefox • Ищем network.security.esni.enabled • Ставим true ⏺V2Ray: превращаем трафик в обычный веб: Shadowsocks хорош, но его можно обнаружить. V2Ray позволяет маскировать соединения, превращая их в обычные HTTP-запросы. Устанавливаем V2Ray на сервер:

    
        bash <(curl -L https://install.direct/go.sh){}

Настраиваем config.json:

    
        {
  "inbounds": [{
    "port": 443,
    "protocol": "vmess",
    "settings": { "clients": [{ "id": "uuid" }] },
    "streamSettings": {
      "network": "ws",
      "wsSettings": { "path": "/myproxy" }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}{}

⏺Covert Channels: передача данных в неожиданных местах: Что если DPI фильтрует вообще все, кроме разрешенного трафика? Можно передавать данные там, где их ну точно не ждут: 1️⃣ICMP туннелинг (DNSCat2) — прячем трафик в пингах 2️⃣DNS туннелинг (iodine) — передаем данные через DNS-запросы 3️⃣HTTP(S) covert channel — запаковываем полезную нагрузку в GET/POST-запросы Пример ICMP-туннеля:

    
        sudo apt install iodine
iodined -f 10.0.0.1 mydomain.com{}

На клиенте:

    
        iodine -f 10.0.0.1 mydomain.com{}

ZeroDay | #маскировкатрафика

2740