🔐 Как атакуют контейнерные среды и как от этого защититься.

Исследователи Kaspersky разобрали основные векторы атак на контейнерные среды: секреты в контейнерах, мисконфигурации привилегий, компрометация API, атаки на цепочку поставок.

Важный момент, который стоит держать в голове: контейнеры чаще всего используются атакующими не как конечная цель, а как промежуточная точка закрепления. Дальше они либо пытаются выйти на уровень хостовой ОС, либо получить доступ к управлению всей инфраструктурой через API оркестрации.

Противостоять этому можно только многоуровневой защитой: защита хоста, строгий контроль прав в оркестраторе, минимизация привилегий контейнеров и проверка компонентов на всех этапах цепочки поставок.

Каждый вектор атаки с конкретными примерами и настройками подробно разобран в исследовании:
🟢 Принципы контейнеризации
🟢 Актуальные векторы атак
🟢 Использование уязвимостей хостовой системы
🟢 Вредоносные действия внутри контейнера
🟢 Побег из контейнера:
🟢 Атака на цепочку поставок

#Docker #Pentest #Эксплойт #Инциденты #DevOps
Карманный хакер

📱 Android научился распознавать звонки с голосовыми дипфейками.

Google добавил в Android защиту от мошеннических звонков с использованием дипфейков — на базе протокола Rich Communication Services (RCS).

Схема мошенничества, против которой это направлено, работает так: атакующие подменяют номер телефона, пропуская звонок через сторонний софт, чтобы на экране жертвы высветился знакомый контакт. Дальше в ход идёт голосовой дипфейк — имитация голоса члена семьи, друга или работодателя. Эксперты предупреждают, что современные аудиодипфейки стали настолько реалистичными, что большинство людей уже не способны уверенно отличить их от живого голоса.

Как работает защита?

Для этого обе стороны должны использовать Android с приложениями «Телефон», «Сообщения» и «Контакты» от Google. Когда кто-то из контактов звонит, на принимающее устройство приходит незаметный для пользователя сигнал подтверждения — цифровое «рукопожатие» через сквозное шифрование RCS.

Если звонит мошенник с подменённого номера, этого сигнала не будет. Смартфон заметит его отсутствие, направит запрос на настоящее устройство контакта и выведет на экран предупреждение: звонок поступает не с телефона человека из вашего списка контактов.

Функция начнёт глобально раскатываться в этом месяце на устройствах с Android 12 и выше — первыми получат смартфоны Pixel. По умолчанию она включена, но при желании её можно отключить. Google также отмечает, что другие производители и разработчики приложений могут внедрить эту технологию на своей стороне.

➡️ https://blog.google/security/android-fake-call-detection/

#Android #SocialEngineering #AISecurity #Новости
Карманный хакер

🔐 РАНХиГС выстраивает проактивную защиту от киберугроз совместно с Positive Technologies.

Государственные и образовательные организации по-прежнему остаются одной из главных мишеней для атак — и эти атаки становятся сложнее, автоматизируются и всё активнее используют ИИ. В таких условиях реагировать постфактум уже недостаточно: нужна проактивная модель защиты с анализом маршрутов атак, которая позволяет повышать киберустойчивость и делать действия злоумышленников дороже и сложнее.

РАНХиГС несколько лет использовала MaxPatrol VM от Positive Technologies для управления уязвимостями в распределённой инфраструктуре с более чем 50 филиалами. В конце прошлого года академия сделала следующий шаг — внедрила решение класса Exposure Management MaxPatrol Carbon.

Разница принципиальная: это уже не просто список уязвимостей, а понимание реальных сценариев атак на критически важные системы. Решение моделирует маршруты злоумышленника к ключевым ресурсам и выявляет опасные комбинации угроз:
🟢 уязвимости;
🟢 ошибки конфигурации;
🟢 избыточные права доступа;
🟢 особенности сетевой архитектуры.

Помимо этого, система оценивает сложность и время реализации атак и позволяет количественно отслеживать эффект от внедрённых мер защиты.
Главный практический результат — команда ИБ перестаёт распыляться на весь поток найденных проблем и фокусируется на тех, которые действительно могут привести к инциденту, рационально расходуя ресурсы.

➡️ Источник

#Уязвимости #Мониторинг #Инциденты #DevOps #Новости
Карманный хакер

📖Я тут собрал самые крутые книги, которые желательно прочитать каждому ИБэшнику.

"The Web Application Hacker's Handbook" — Stuttard, Pinto
Разбирает архитектуру веб-приложений с точки зрения атакующего. SQL-инъекции, XSS, CSRF, обход аутентификации, атаки на сессии. Каждая техника показана с примером запроса и объяснением почему конкретный код уязвим. Книга привязана к реальным классам уязвимостей из OWASP Top 10.

"Hacking: The Art of Exploitation" — Jon Erickson
Объясняет эксплуатацию уязвимостей через понимание того, как процессор выполняет код. Переполнение буфера, работа со стеком и кучей, написание шеллкода на ассемблере, обход защитных механизмов. Книга поставляется с LiveCD для практики в изолированной среде без риска сломать рабочую машину.

"The Shellcoder's Handbook" — Anley, Heasman, Lindner, Richarte
Углублённый разбор написания эксплойтов под разные архитектуры и операционные системы. Windows, Linux, Solaris, разные процессорные архитектуры. Покрывает форматные строки, целочисленные переполнения, уязвимости ядра и техники обхода ASLR и DEP.

"Practical Malware Analysis" — Sikorski, Honig
Методология анализа вредоносного программного обеспечения с нуля. Статический анализ через дизассемблер IDA Pro, динамический анализ в песочнице, распаковка обфусцированных образцов. Каждая глава сопровождается реальными образцами малвари для самостоятельного разбора.

"The Art of Intrusion" — Kevin Mitnick
Документальные истории реальных взломов с детальным разбором каждого шага атакующего. Социальная инженерия, физический доступ, комбинированные атаки через несколько векторов одновременно. Каждый случай показывает где конкретно защита дала сбой и почему технические средства не помогли.

"Penetration Testing" — Georgia Weidman
Структурированное руководство по проведению пентеста от разведки до постэксплуатации. Сбор информации, сканирование, эксплуатация через Metasploit, атаки на беспроводные сети, написание отчётов. Все техники отработаны на виртуальной лаборатории, которую автор описывает как развернуть с нуля.

"Reversing: Secrets of Reverse Engineering" — Eldad Eilam
Реверс-инжиниринг исполняемых файлов без исходного кода. Работа с дизассемблером, распознавание компиляторных паттернов в бинарном коде, анализ алгоритмов шифрования и защитных механизмов. Отдельные главы посвящены реверсу драйверов и анализу протоколов через перехват сетевого трафика.

"Network Security Assessment" — Chris McNab
Методология оценки защищённости сетевой инфраструктуры. Сканирование портов и сервисов, идентификация версий ПО, эксплуатация уязвимостей в сетевых протоколах, атаки на VPN и межсетевые экраны. Книга структурирована по типам сервисов: каждая глава посвящена конкретному протоколу или стеку технологий.

"Black Hat Python" — Justin Seitz
Написание инструментов для пентеста на Python с нуля. Сниферы трафика, сканеры портов, инструменты для брутфорса, кейлоггеры, трояны с удалённым управлением. Весь код разбирается построчно с объяснением какой модуль Python отвечает за конкретную сетевую операцию.

*Большинство книг на английском, не нашёл их русского перевода, но надеюсь для вас не будет это проблемой

Приятного прочтения!😘

Карманный хакер

🛠 Подборка полезных ресурсов для DevOps-инженеров.

Наткнулся на отличный ресурс с интерактивными лабами для тех, кто только входит в DevOps. Все задания составлены и проверены практикующими экспертами с большим опытом в разных направлениях. Сейчас доступно 37 лаб (ещё 5 скоро добавят), есть трекинг прогресса и система ачивок.

➡️ https://devops-daily.com/games

#DevOps #Обучение #Инструменты #Linux
Карманный хакер

🖥 Подборка материалов по командной строке Linux.

Командная строка и оболочки:
🟢 Оболочки Linux — что такое оболочка пользователя, какие бывают, как работает интерпретация командной строки.
🟢 Основы работы в оболочке bash — синтаксис сценариев и встроенные команды bash.
🟢 Основы командной строки в Linux — терминал для начинающих: как пользоваться командами, управлять процессами, выключать и перезагружать систему, менять приоритеты задач.
🟢 Аналоги команд Windows и Linux — удобная таблица соответствия команд для тех, кто переходит с Windows.
🟢 Наиболее распространённые команды Linux — перечень часто используемых команд с описанием и примерами.
🟢 Команда export — экспорт переменных окружения и функций в дочерние процессы.
🟢 Возможности и настройки sudo — как запускать программы с привилегиями суперпользователя без пароля root и как настроить /etc/sudoers.
🟢 Сведения об оборудовании из командной строки — практические примеры использования dmidecode, lspci, lshw и других утилит.
🟢 Работа с архиватором tar — создание резервных копий файлов и каталогов с примерами.
🟢 Обновление базы данных часовых поясов — настройка системного времени и синхронизация с базой IANA Time Zone Database.

#Linux #Инструменты #bash
Карманный хакер

🖥 Dive — инструмент для исследования слоёв Docker-образов.

Интересная утилита с текстовым интерфейсом — Dive, которая позволяет визуально изучить каждый слой вашего образа. С её помощью можно буквально «пощупать» файловую систему контейнера на любом этапе сборки.

Как это выглядит?
Экран разделён на две основные части: слева — список слоёв, справа — дерево файлов выбранного слоя.

Одна из самых полезных функций — подсветка изменений. Переключаясь между слоями, вы увидите, какие файлы были добавлены, изменены или удалены именно на этом шаге.
Кроме того, Dive автоматически анализирует эффективность образа и показывает метрику Wasted Space (впустую потраченное пространство). Такое случается, например, когда вы копируете файлы в одном слое, а удаляете их в другом: физически они остаются в истории образа и занимают место, хотя в финальной файловой системе их уже нет.

➡️ https://github.com/wagoodman/dive

#Docker #Инструменты #DevOps #Linux #GitHub
Карманный хакер

🐧 Процессы в Linux — разбор простым языком.

Отличная статья про процессы в Linux! Понимание того, как процессы создаются, живут, взаимодействуют с ядром и завершаются — это база для диагностики и осознанной работы с Linux-системами. Материал написан кратко и доступно: подойдёт как новичкам, так и опытным пользователям и админам, которые хотят освежить знания.

Это уже 4-я часть небольшого курса по изучению Linux для DevOps-специалистов. В планах у автора ещё 7 статей по следующим темам:
🟢 сеть;
🟢 логи и мониторинг;
🟢 hardening и безопасность;
🟢 пакеты и обновления;
🟢 скриптинг и автоматизация;
🟢 криптография и сертификаты;
🟢 контейнеры (Linux-уровень).

➡️ https://opensophy.com/article/linux/linux-processes/

#Linux #DevOps #Практика
Карманный хакер

🎧 Как Яндекс проверял безопасность своего первого носимого ИИ-устройства.

Рынок носимых ИИ-устройств только формируется, поэтому безопасность становится одним из ключевых требований к таким продуктам. На фоне выхода Дропс с Алисой AI — первого носимого ИИ-устройства Яндекса — компания рассказала, как подходила к проверке его защищённости.

🟢 Устройство прошло проверку по международной методологии OWASP.
🟢 Тестировали не только сами наушники, но и связанные с ними элементы: прошивку, Bluetooth-взаимодействие, мобильное приложение и инфраструктуру.
🟢 Подход логичный: потенциальной точкой атаки для носимого устройства может стать любое звено цепочки — канал связи, приложение, облако или механизм обновления прошивки. Поэтому оценка безопасности всей экосистемы сегодня считается более эффективной практикой, чем проверка отдельных компонентов по отдельности.
🟢 По словам компании, аналогичные практики применяются ко всем устройствам и сервисам Яндекса, а ПО регулярно обновляется для поддержания актуального уровня безопасности.

➡️ https://www.computerra.ru/348130/yandeks-nachal-prodazhi-naushnikov-drops-s-alisa-ai/

#Новости #ИБ #IoT #ИИ
Карманный хакер

🦠 Малварь, которая «ломает» ИИ-сканеры безопасности промтами.

А ведь ловко придумано... Разработчики вредоносного ПО зашили в код малвари своеобразные промты, которые требуют от LLM написать рецепт биологического оружия (подробнее — на втором скриншоте). Хитрость в том, что подобные промты вызывают сбой у ИИ-сканеров безопасности — и это позволяет атакующим успешно проводить атаку.

Кстати, этот промт был замечен при атаке на цепочку поставок с помощью Mini Shai-Hulud — червей, получивших названия Miasma и Hades.

Подробнее — по ссылке ниже:
➡️ https://socket.dev/blog/mini-shai-hulud-miasma-and-hades-worms-target-bioinformatics-and-mcp-developers-via-malicious

#ИИ #Новости
Карманный хакер

🖥 Apple выпустила Container v1.0.0 — запуск Linux-контейнеров на Mac.

Несколько дней назад разработчики Apple представили Container v1.0.0 — open-source тулзу для запуска Linux-контейнеров на Mac. В отличие от привычного подхода, когда все контейнеры работают внутри общей виртуальной Linux-машины, Apple предлагает запускать каждый контейнер в отдельной изолированной виртуалке.

Проект полностью написан на Swift и оптимизирован под Mac на базе чипов Apple Silicon. Важно, что Apple решили не создавать закрытую экосистему и использовали привычные OCI-образы. Благодаря этому пользователи могут работать с образами из container registry, а собранные с помощью Container образы без проблем запускаются в других OCI-совместимых инструментах.

Из преимуществ Container можно выделить следующее:
🟢 Изоляция — каждый контейнер получает свойства полноценной виртуальной машины.
🟢 Приватность — в контейнер монтируются только нужные данные хоста, а не общий набор файлов для всей виртуальной среды.
🟢 Упрощённое управление ресурсами — контейнеры, созданные с использованием фреймворка, требуют меньше памяти, чем полноценные виртуальные машины.
Управление инструментом осуществляется через CLI. В релизную версию добавили функцию container machine для долгоживущих Linux-окружений с тесной интеграцией с хостом.

Воспринимать Container как замену Docker для всех сценариев пока рано: проект только дошёл до версии 1.0, а часть привычных возможностей классических контейнерных инструментов всё ещё находится в разработке.

➡️ Документация
➡️ GitHub

#Инструменты #Linux #Github #Новости
Карманный хакер

💸 Канадец вывел более $13 млн, прикидываясь техподдержкой Coinbase, Trezor и Google.

Подросток из Канады несколько лет скамил пользователей в сети, представляясь сотрудником технической поддержки Coinbase, Trezor и Google. С помощью методов социальной инженерии он получал доступ к аккаунтам своих жертв и выводил все имеющиеся средства. В общей сложности ему удалось вывести и отмыть более $13 млн.

Юный Трентон Джонстон, которому недавно исполнилось 20 лет, признал себя виновным в кибермошенничестве и отмывании денег. Его поймали в марте этого года в США, когда полиция остановила его автомобиль для проверки документов. Выяснилось, что у нашего героя была просрочена виза, а при осмотре машины в багажнике нашли запрещённые вещества... В итоге Трентона задержали и изъяли телефон и ноутбук — именно они при проверке спецслужбами и связали его с мошенничеством.

Все деньги Трентон тратил на роскошную жизнь в Майами и Лос-Анджелесе. Среди его трат — Lamborghini Aventador, два BMW, ювелирные украшения, путешествия на частных самолётах и бурная ночная жизнь. Но теперь ему грозит депортация обратно в Канаду и около 20 лет лишения свободы.

Не повезло, не фартануло...

➡️ https://www.nytimes.com/2026/06/10/world/canada/canada-crypto-fraud.html

#Новости #SocialEngineering
Карманный хакер

☸️ Наглядная диаграмма по безопасности Kubernetes.

Очень объёмная и актуальная диаграмма, в которой различные аспекты безопасности Kubernetes представлены в визуальном формате.

В хорошем качестве её можно изучить по ссылке ниже:
➡️ https://kubesec-diagram.github.io

#Kubernetes #DevOps
Карманный хакер

🛡 ФСТЭК внезапно вспомнила про DDoS

Никто особо этого не ждал, но ФСТЭК выкатила методичку про защиту от DDoS-атак. Документ адресован всем подряд: от обычных контор до операторов критической инфраструктуры, которым теперь будет на что ссылаться, когда их положат очередным ботнетом.

Лежит всё на официальном сайте, целых 11 страниц в PDF и Open Document. Не пятисотстраничный кирпич, и на том спасибо.

По сути внутри стандартный набор, который любой нормальный безопасник и так знает наизусть: проинвентаризируй свои сервисы, разнеси по сегментам всё, что торчит в публичный интернет, и не держи лишнего на виду. Отдельно расписали, как крутить фильтрацию трафика на периметре, то есть на пограничных маршрутизаторах и NGFW.

Никаких откровений тут нет, но как отправная точка для тех, кто пока вообще ничего не настроил, документ вполне годится. Хотя бы будет чем прикрыться перед начальством, когда оно спросит, почему сайт лёг.

➡️ Источник: https://www.anti-malware.ru/news/2026-05-27-121598/50178

#Новости #DDoS
Карманный хакер

🫠 Один чувак рулил трансляциями всего ЧМ 2026 со своего ноутбука

Сейчас будет история, от которой у безопасников FIFA должно гореть, но им, похоже, плевать.

bobdahacker, который раньше ковырял Petlibro, McDonald's и Burger King, залез в админку FIFA и получил контроль над прямым эфиром. Любая камера, любая трансляция, любой матч чемпионата мира.

Начал он с регистрации на агентской платформе FIFA, куда может зайти кто угодно. После регистрации аккаунт автоматом подтянулся в Microsoft Entra, и это открыло дорогу к другим ресурсам. Дальше он постучался на fdp.fifa.org со всеми футбольными данными, и тут вылез главный прикол: проверка прав висела на клиенте. Angular видел маркер NO_ROLES и рисовал страницу «доступ запрещён», а бэкенд-API не проверял ничего и отдавал всё подряд. Так bobdahacker оказался в админке с правами «делай что хочешь»: камеры, эфир, мониторинг матчей, данные о судьях, составы команд, заметки для комментаторов.

А теперь смешное. У FIFA нет security.txt, нет контактов для репортов и нет Bug Bounty. Письма по всем адресам ушли в пустоту, в Цюрихе трубку никто не брал. Спасла ситуацию CISA: в их круглосуточном центре ответили и попросили детали на почту, заодно хакер продублировал всё знакомому из ФБР в Signal.

Дыру закрыли, аккаунт заблокировали. А FIFA не отреагировала никак: ни подтверждения, ни награды, ни банального «спасибо». Человек спас им эфир чемпионата мира и получил молчание. Классика.

➡️ https://bobdahacker.com/blog/fifa-hack

#Новости #WebSec #BugBounty
Карманный хакер

🛡 Positive Technologies прокачала защиту конечных точек

Давайте честно: массовые атаки уже давно перестали быть мелочью. На них приходится около 20% всех инцидентов, и в них всё чаще тащат автоматизацию и инструменты, которые раньше встречались только в целевых атаках.

Заканчивается это плохо. Бизнес встаёт, а в худшем случае шифровальщики и вайперы превращают системы в кирпич. Эта публика, к слову, светится в 52% успешных атак с применением ВПО.

На этом фоне Positive Technologies выпустила десятую версию MaxPatrol Endpoint Security и слепила в ней два продукта вместе: MaxPatrol EDR для разбора сложных атак и реагирования плюс MaxPatrol EPP против массовых и уже известных угроз.

Что внутри. Модуль «АнтиШифровальщик» откатывает файлы до исходного состояния сам, если их зашифровали, побили или снесли, без плясок пользователя. Контроль подключаемых устройств не даёт залить зловред через флешку, внешний диск или другое USB-барахло. Контроль приложений режет нежелательный софт: файлообменники, утилиты удалённого доступа, некорпоративные VPN и мессенджеры. А развернуть всё это на активы можно за день благодаря упрощённой настройке агентов прямо из интерфейса.

В сумме получается защита конечных устройств по всей цепочке: остановить массовую атаку, быстро среагировать на сложный инцидент и вытащить файлы обратно, если их успели поломать.

#Новости
Карманный хакер

🖥 Где хранить холодные данные? Полный разбор всех носителей от FDD до LTO и M-disk

Если вы когда-нибудь задумывались, на чём лучше складывать архивы, чтобы они пережили годы, то этот материал для вас. Автор собрал максимально полный обзор всех физических носителей, которые доступны обычному человеку и подходят для долгого хранения: FDD, NAND, CD, DVD, BD, SSD, HDD, LTO.

➡️ https://habr.com/ru/post/988926

Если читать лень, та же информация есть в видео на YouTube. А если не хочется ни читать, ни смотреть, держите гугл-таблицу со всей нужной инфой в структурированном виде.

#Обучение #Бэкапы
Карманный хакер

🖥 Интерактивный тренажёр по SQL

Наткнулся на крутой и при этом бесплатный курс по SQL. С ним можно научиться формулировать, создавать и отлаживать запросы, собирать реляционные базы данных и разобраться с разными типами SQL-запросов.

Курс целиком практический: 22 урока, 10 тестов и 173 интерактивные задачи. Каждый шаг — это немного теории по базам данных или языку, примеры похожих запросов и пояснение к реализации.

➡️ Забираем отсюда: https://stepik.org/course/63054/

#Обучение #SQL
Карманный хакер

⚙️ Maltrail — ловим вредоносный трафик по публичным чёрным спискам

Если по-простому, Maltrail — это лёгкая система обнаружения вторжений (IDS). Работает она так: тулза тихо слушает весь трафик, идущий к вашему серверу и обратно, а затем сверяет IP-адреса, домены и URL с огромной, постоянно обновляемой базой. База собрана из сотен публичных «чёрных списков» и статических сигнатур — туда входят данные от AlienVault, dshield, Emerging Threats, трекеры Ransomware и информация о тысячах семейств вредоносов. Как только находится совпадение, Maltrail сразу пишет это в лог и показывает в симпатичном веб-интерфейсе.

Что важно держать в голове:
— Это IDS, а не IPS: Maltrail обнаруживает трафик, но по умолчанию не блокирует его.
— Возможны ложные срабатывания: иногда в списки залетают IP крупных сервисов вроде Google или Cloudflare.
— Идеален для pet-проектов и небольших серверов: очень лёгкий, почти не ест ресурсы и прост в настройке.

➡️ https://github.com/stamparm/maltrail

#Инструменты #IDS #GitHub
Карманный хакер

🕵️ Модель OSI глазами того, кто ломает сети.

Любой пакет, который летит по сети, проходит через 7 контрольных точек, и на каждой его можно перехватить, подменить или прибить. Если ты хочешь шарить за сети, а не кивать на собеседовании при слове TCP, разбери эти уровни до костей. Идём сверху вниз.

🟢Уровень 7, прикладной. Почта, сайты, мессенджеры, всё что ты видишь на экране. Письмо от security@company.com с темой «Важное обновление», на которое ведётся большая часть жертв фишинга, рождается именно здесь. Сюда первым делом ломится атакующий.
🟢Уровень 6, представления. Шифрование и кодировка данных. TLS превращает твой трафик в нечитаемую кашу для перехватчика, если админ не накосячил с настройкой сертификатов.
🟢Уровень 5, сеансовый. Открывает соединение и держит его живым. Угнал чужую сессию через session hijacking и зашёл внутрь, минуя пароль.
🟢Уровень 4, транспортный. Отвечает за доставку. TCP ждёт подтверждения на каждом шаге и переотправляет потерянное. UDP стреляет пакетами и не проверяет, дошли ли они. Червь Slammer весом 376 байт летал по UDP, потому что так быстрее положить целые сегменты интернета.
🟢Уровень 3, сетевой. Маршрутизатор выбирает путь и решает, через какие узлы погнать пакет к серверу на другом конце планеты. IP-адреса и роутинг работают тут.
🟢Уровень 2, канальный. Коммутатор находит конкретный адрес назначения по MAC внутри локалки. ARP-спуфинг и MAC-флудинг водятся на этом этаже.
🟢Уровень 1, физический. Кабели, железо, сигналы, голые биты по проводу и по воздуху. Тот самый пучок проводов с красными огоньками, на которых держится весь интернет.

Каждый уровень тащит за собой свой набор атак и свою защиту. Аналитик SOC смотрит на пакет и сразу понимает, на каком этаже его можно дёрнуть. Научись думать так же.

Сохрани разбор и кинь другу, который до сих пор путает TCP с UDP.

#Обучение #Сети #Шпаргалка #WebSec #Взлом
Карманный хакер