Записал сегодня темы по Управлению Уязвимостями для Школы преподавателей кибербезопасности (ШПК). Переработанная презентация на 149 слайдов. 3,5 часа съёмок, практически непрерывного говорения. 🫣 С непривычки было тяжеловато. Но очень рад, что вписался в эту историю.
В ШПК бесплатно обучаются преподаватели учебных заведений, аспиранты в области информационной безопасности, школьные учителя информатики. В прошлом году 900 человек приняли участие, в этом видимо будет ещё больше. А сколько учеников и студентов они в свою очередь обучат! Это ж какой мультипликативный эффект! 🤩 На это действительно стоит тратить время и силы. 👍
Программа в ШПК серьёзная, продолжительность 7 месяцев. С этого года в качестве дополнительного стимула участники получат удостоверения о повышении квалификации от МГТУ им. Н. Э. Баумана. То, что именно альма-матер в этом участвует тоже очень приятно. 😇
@avleonovrus #ШПК #PositiveTechnologies #Education #BMSTU
В ШПК бесплатно обучаются преподаватели учебных заведений, аспиранты в области информационной безопасности, школьные учителя информатики. В прошлом году 900 человек приняли участие, в этом видимо будет ещё больше. А сколько учеников и студентов они в свою очередь обучат! Это ж какой мультипликативный эффект! 🤩 На это действительно стоит тратить время и силы. 👍
Программа в ШПК серьёзная, продолжительность 7 месяцев. С этого года в качестве дополнительного стимула участники получат удостоверения о повышении квалификации от МГТУ им. Н. Э. Баумана. То, что именно альма-матер в этом участвует тоже очень приятно. 😇
@avleonovrus #ШПК #PositiveTechnologies #Education #BMSTU
Ошибка Агента. Агент с позывным "Пингвин" сидел на стуле, глядя в зеркало в маленькой ванной комнате отеля. Он поднял глаза на дверной проём, ожидая шагов. Ровно в одиннадцать десять раздался стук в дверь. Агент тут же встал, включил кран с водой и впустил Майора.
Майор - невысокий человек с резко очерченными скулами и пронзительными глазами - вошёл бесшумно, словно тень, и закрыл за собой дверь, оглядев Пингвина с холодной, пристальной строгостью.
- Что за хрень ты понаписал, Гекльберри? - негромко начал Майор, на его лице читалось презрение.
Пингвин виновато потупился, вспоминая своё творение, написанное под изрядным градусом.
- Товарищ майор, - начал он осторожно, чувствуя, как тянет в животе. - Простите, но это недоразумение. В том письме я... Я же не имел в виду, что не поддерживаю... Я написал: "вы думали, я буду поддерживать?" В смысле, что да, конечно я буду. Я и поддерживаю. Просто - вы понимаете - английский такой сложный язык. Без малого 30 лет здесь живу, а так им и не овладел в достаточной степени. И про историю. Я, конечно, имел в виду Фридрихсгамский мирный договор 1809 года, триумфальное вхождение многострадального отечества моего в состав великой Российской Империи - пробормотал он, вглядываясь в равнодушное лицо Майора.
- Ты, значит, у нас непонятый патриот-русофил? Ты чего мне втираешь, friikki? - прорычал Майор, подходя к нему ближе. - Чего вы там с Гришкой удумали, дебилы? Какой ещё комплаенс? Устроили кипеш на весь мир на ровном месте. Не можешь зарешать за комплаенс, в Боливию у меня поедешь вместе со всей своей шарашкиной конторой. Ymmärrätkö minua, klovni?!
Пингвин прижал руку к груди и медленно кивнул, чувствуя себя полнейшим идиотом.
- Исправлю, - тихо пообещал он, глядя вниз. - Ещё раз извините.
- Исправишь? - Майор скептически прищурился. - Срок тебе неделя. Разговор окончен. Исчезни.
Пингвин кивнул и поспешил к выходу.
@avleonovrus #fiction #fun
Майор - невысокий человек с резко очерченными скулами и пронзительными глазами - вошёл бесшумно, словно тень, и закрыл за собой дверь, оглядев Пингвина с холодной, пристальной строгостью.
- Что за хрень ты понаписал, Гекльберри? - негромко начал Майор, на его лице читалось презрение.
Пингвин виновато потупился, вспоминая своё творение, написанное под изрядным градусом.
- Товарищ майор, - начал он осторожно, чувствуя, как тянет в животе. - Простите, но это недоразумение. В том письме я... Я же не имел в виду, что не поддерживаю... Я написал: "вы думали, я буду поддерживать?" В смысле, что да, конечно я буду. Я и поддерживаю. Просто - вы понимаете - английский такой сложный язык. Без малого 30 лет здесь живу, а так им и не овладел в достаточной степени. И про историю. Я, конечно, имел в виду Фридрихсгамский мирный договор 1809 года, триумфальное вхождение многострадального отечества моего в состав великой Российской Империи - пробормотал он, вглядываясь в равнодушное лицо Майора.
- Ты, значит, у нас непонятый патриот-русофил? Ты чего мне втираешь, friikki? - прорычал Майор, подходя к нему ближе. - Чего вы там с Гришкой удумали, дебилы? Какой ещё комплаенс? Устроили кипеш на весь мир на ровном месте. Не можешь зарешать за комплаенс, в Боливию у меня поедешь вместе со всей своей шарашкиной конторой. Ymmärrätkö minua, klovni?!
Пингвин прижал руку к груди и медленно кивнул, чувствуя себя полнейшим идиотом.
- Исправлю, - тихо пообещал он, глядя вниз. - Ещё раз извините.
- Исправишь? - Майор скептически прищурился. - Срок тебе неделя. Разговор окончен. Исчезни.
Пингвин кивнул и поспешил к выходу.
@avleonovrus #fiction #fun
Повысилась критичность уязвимости Remote Code Execution - Microsoft SharePoint (CVE-2024-38094). Уязвимость была исправлена в рамках июльского Microsoft Patch Tuesday (9 июля).
SharePoint - популярная платформа для корпоративных порталов. Согласно бюллетеню Microsoft, аутентифицированный злоумышленник с правами Site Owner может использовать уязвимость для внедрения произвольного кода и выполнения этого кода в контексте SharePoint Server.
10 июля на GitHub появился репозиторий с PoC-ом эксплоита для этой уязвимости, а также видео, демонстрирующее как злоумышленник может запускать процессы на атакуемом сервере SharePoint. Поиском в GitHub по номеру CVE репозиторий с эксплоитом не находится, но ссылка есть в материале The Hacker News. Согласно описанию эксплоита, он также относится к июльским RCE-уязвимостям в SharePoint CVE-2024-38023 и CVE-2024-38024.
22 октября уязвимость добавили в CISA KEV, значит появились доказательства её эксплуатации в реальных атаках.
@avleonovrus #SharePoint #Microsoft #CISAKEV
SharePoint - популярная платформа для корпоративных порталов. Согласно бюллетеню Microsoft, аутентифицированный злоумышленник с правами Site Owner может использовать уязвимость для внедрения произвольного кода и выполнения этого кода в контексте SharePoint Server.
10 июля на GitHub появился репозиторий с PoC-ом эксплоита для этой уязвимости, а также видео, демонстрирующее как злоумышленник может запускать процессы на атакуемом сервере SharePoint. Поиском в GitHub по номеру CVE репозиторий с эксплоитом не находится, но ссылка есть в материале The Hacker News. Согласно описанию эксплоита, он также относится к июльским RCE-уязвимостям в SharePoint CVE-2024-38023 и CVE-2024-38024.
22 октября уязвимость добавили в CISA KEV, значит появились доказательства её эксплуатации в реальных атаках.
@avleonovrus #SharePoint #Microsoft #CISAKEV
Призрак с мотором. Сванте Свантесон брёл с работы домой по мокрым улицам. В прошлом - подающий надежды хакер, чудом избежавший реального срока. В настоящем - младший аналитик данных корпорации "ТехноТех".
Сванте зашёл в свою маленькую квартиру, запер дверь. Отработав по стандартному сценарию, система умного дома приготовила ему чашку почти настоящего кофе. Сванте взял кружку, устроился на старом скрипучем диване и вздохнул. Раздалось еле слышное гудение проекторов. В воздухе, слегка вибрируя, возникла голограмма. Едва различимая поначалу, она сложилась в знакомые черты в меру упитанного мужчины в полном расцвете сил с округлым лицом, игривыми глазами и лукавой улыбкой.
- Привет, Малыш!
- Привет, Карлсон. - устало ответил Сванте.
Карлсон - автономный ИИ-компаньон, разработанный Малышом много лет назад для помощи в кибер-атаках. Карлсон справлялся с задачами OSINT-а, анализа систем безопасности, поиска и эксплуатации уязвимостей, социальной инженерии. Инструмент весьма полезный. Теперь же Карлсон был единственным существом, с которым Сванте поддерживал какое-то подобие человеческого общения.
– Ну что, Малыш, хватит грустить, нам полагается немного пошалить! – бодро заговорил Карлсон, потирая руки.
– Карлсон, прекрати. Я пришёл с работы и хочу выпить кофе в тишине.
– Да ты только посмотри на это! – Карлсон сделал пас рукой, и перед Сванте возникло окно с отчетом по недавно обнаруженным уязвимостям на сетевом периметре компании "ТехноТех".
Сванте нахмурился, отложил чашку с кофе и уставился на Карлсона, стараясь выглядеть строгим.
– Карлсон, объясни, как ты получил доступ к этим конфиденциальным данным?
Карлсон весело заулыбался и, сложив руки на животе, гордо произнес:
– Ах, Малыш, пустяки, дело-то житейское! Я сам сформировал отчет по анализу защищённости периметра! Представь себе, немножко посканил, заглянул туда-сюда... и вот, пожалуйста! Выявил уязвимости, и скажу тебе – для многих из них есть готовенькие, публичные эксплойты. Более того, вполне рабочие. Я уже поселился на их крыше, если ты понимаешь о чём я.
Сванте уставился на голограмму с удивлением и раздражением.
– То есть ты решил, что можешь вот так свободно пройтись по периметру компаний, в которой Я работаю? – с нажимом произнес он. Ты хоть понимаешь, что там могут подумать, будто это сделал я? Меня и так под подозрением держат после... ну, ты знаешь, моей "истории". Если вдруг начнут разбираться и решат, что это я...
Карлсон лишь отмахнулся.
– Только спокойствие, Малыш! Я был незаметен как приведение! Как призрак! Лучший в мире призрак с мотором!
Сванте чувствовал, как внутри его нарастает тревога. Он вцепился в край дивана и попытался собраться с мыслями.
– Если ты обнаружил уязвимости, об этом нужно сообщить в службу Информационной Безопасности "ТехноТех".
Карлсон усмехнулся, закинул руки за голову и, устроившись поудобнее, возразил.
– У меня есть идея получше. Не надоело тебе, Малыш, горбатиться на этих жуликов? Сам же хотел немного наличных. Помнишь про сто тысяч миллионов крон? Ты этого стоишь! Вот она, твоя возможность! Пойми, Малыш: настоящее счастье в пирогах! Осталось только дотянуться и забрать их. Дело-то верное, житейское. Всё, что требуется от тебя, – небольшая помощь изнутри. Пронеси на сервер, к которому у тебя есть легитимный доступ, один небольшой файлик и открой его. Обычный офисный документ с сюрпризом. Если это обнаружат, запросто отбрехаешься.
Сванте покачал головой.
– Карлсон, ты просто... ты сошёл с ума! Я прямо сейчас свяжусь с ИБ отделом... Но сначала. "Умный дом, аварийное завершение сеанса К1, код 9 4 5 6 3", – начал чётко произносить цифры Сванте.
Карлсон лениво поднял руку.
– Стоп! Не так быстро, мой дорогой друг. Если ты откажешься мне помогать, в ИБ отдел "ТехноТех" улетят неопровержимые доказательства, что это ты пробил их периметр и планировал развивать атаку. И в киберполицию это тоже прилетит, будь уверен. У меня уже всё схвачено. А у тебя, негодный мальчишка, нет выбора. Хочешь ты или нет, а пошалить нам с тобой придётся.
@avleonovrus #fiction #fun #karlsson
Сванте зашёл в свою маленькую квартиру, запер дверь. Отработав по стандартному сценарию, система умного дома приготовила ему чашку почти настоящего кофе. Сванте взял кружку, устроился на старом скрипучем диване и вздохнул. Раздалось еле слышное гудение проекторов. В воздухе, слегка вибрируя, возникла голограмма. Едва различимая поначалу, она сложилась в знакомые черты в меру упитанного мужчины в полном расцвете сил с округлым лицом, игривыми глазами и лукавой улыбкой.
- Привет, Малыш!
- Привет, Карлсон. - устало ответил Сванте.
Карлсон - автономный ИИ-компаньон, разработанный Малышом много лет назад для помощи в кибер-атаках. Карлсон справлялся с задачами OSINT-а, анализа систем безопасности, поиска и эксплуатации уязвимостей, социальной инженерии. Инструмент весьма полезный. Теперь же Карлсон был единственным существом, с которым Сванте поддерживал какое-то подобие человеческого общения.
– Ну что, Малыш, хватит грустить, нам полагается немного пошалить! – бодро заговорил Карлсон, потирая руки.
– Карлсон, прекрати. Я пришёл с работы и хочу выпить кофе в тишине.
– Да ты только посмотри на это! – Карлсон сделал пас рукой, и перед Сванте возникло окно с отчетом по недавно обнаруженным уязвимостям на сетевом периметре компании "ТехноТех".
Сванте нахмурился, отложил чашку с кофе и уставился на Карлсона, стараясь выглядеть строгим.
– Карлсон, объясни, как ты получил доступ к этим конфиденциальным данным?
Карлсон весело заулыбался и, сложив руки на животе, гордо произнес:
– Ах, Малыш, пустяки, дело-то житейское! Я сам сформировал отчет по анализу защищённости периметра! Представь себе, немножко посканил, заглянул туда-сюда... и вот, пожалуйста! Выявил уязвимости, и скажу тебе – для многих из них есть готовенькие, публичные эксплойты. Более того, вполне рабочие. Я уже поселился на их крыше, если ты понимаешь о чём я.
Сванте уставился на голограмму с удивлением и раздражением.
– То есть ты решил, что можешь вот так свободно пройтись по периметру компаний, в которой Я работаю? – с нажимом произнес он. Ты хоть понимаешь, что там могут подумать, будто это сделал я? Меня и так под подозрением держат после... ну, ты знаешь, моей "истории". Если вдруг начнут разбираться и решат, что это я...
Карлсон лишь отмахнулся.
– Только спокойствие, Малыш! Я был незаметен как приведение! Как призрак! Лучший в мире призрак с мотором!
Сванте чувствовал, как внутри его нарастает тревога. Он вцепился в край дивана и попытался собраться с мыслями.
– Если ты обнаружил уязвимости, об этом нужно сообщить в службу Информационной Безопасности "ТехноТех".
Карлсон усмехнулся, закинул руки за голову и, устроившись поудобнее, возразил.
– У меня есть идея получше. Не надоело тебе, Малыш, горбатиться на этих жуликов? Сам же хотел немного наличных. Помнишь про сто тысяч миллионов крон? Ты этого стоишь! Вот она, твоя возможность! Пойми, Малыш: настоящее счастье в пирогах! Осталось только дотянуться и забрать их. Дело-то верное, житейское. Всё, что требуется от тебя, – небольшая помощь изнутри. Пронеси на сервер, к которому у тебя есть легитимный доступ, один небольшой файлик и открой его. Обычный офисный документ с сюрпризом. Если это обнаружат, запросто отбрехаешься.
Сванте покачал головой.
– Карлсон, ты просто... ты сошёл с ума! Я прямо сейчас свяжусь с ИБ отделом... Но сначала. "Умный дом, аварийное завершение сеанса К1, код 9 4 5 6 3", – начал чётко произносить цифры Сванте.
Карлсон лениво поднял руку.
– Стоп! Не так быстро, мой дорогой друг. Если ты откажешься мне помогать, в ИБ отдел "ТехноТех" улетят неопровержимые доказательства, что это ты пробил их периметр и планировал развивать атаку. И в киберполицию это тоже прилетит, будь уверен. У меня уже всё схвачено. А у тебя, негодный мальчишка, нет выбора. Хочешь ты или нет, а пошалить нам с тобой придётся.
@avleonovrus #fiction #fun #karlsson
Навстречу Runux! Минцифры отреагировало на демарш Торвальдса предложением создать собственное Linux-сообщество. Инициативу создать альтернативу The Linux Foundation без культа личности гикельберифинна, закладок NSA, политоты и с ориентацией на потребности стран БРИКС можно только приветствовать. 👍 Но такое сообщество без собственного продукта, форка, условного Runux-а вряд ли будет жизнеспособно.
Я бы делал форк на основе текущей стабильной ветки Linux с патчами от центра ядра Linux ИСП РАН. Никакой автоматической синхронизации с ядром Linux от TLF я бы не делал, отслеживал бы только фиксы для уязвимостей. И, при необходимости, дёргал бы оттуда код драйверов и прочего полезного (как делают, например, FreeBSD). Это в значительной степени решило бы проблему новых вредоносных закладок и дало бы возможность российским разработчикам нормально контрибьютить в основную ветку нового ядра. А отечественные вендоры ОС могли бы пересесть на Runux относительно безболезненно.
@avleonovrus #Runux #Linux
Я бы делал форк на основе текущей стабильной ветки Linux с патчами от центра ядра Linux ИСП РАН. Никакой автоматической синхронизации с ядром Linux от TLF я бы не делал, отслеживал бы только фиксы для уязвимостей. И, при необходимости, дёргал бы оттуда код драйверов и прочего полезного (как делают, например, FreeBSD). Это в значительной степени решило бы проблему новых вредоносных закладок и дало бы возможность российским разработчикам нормально контрибьютить в основную ветку нового ядра. А отечественные вендоры ОС могли бы пересесть на Runux относительно безболезненно.
@avleonovrus #Runux #Linux
На сайте Anti-Malware вышел обзор сканера уязвимостей HScan 2.0.8 от компании Крайон. Раньше о них не слышал. Решение выглядит интересно. 🧐
🔹 Это не очередной EASM, а инфраструктурный сканер. Поставляется как SaaS и On-prem. Заявляется возможность сканирования активов в black-box режиме и с аутентификацией (SSH, WinRM). Есть веб-сканер. Есть API.
🔹 Работают не с отдельными сканами, а с активами. Активы могут автоматически собираться в группы "по определённому администратором алгоритму". Как именно это работает пока непонятно.
🔹 Настройка сканирования сделана по лекалам Nessus-а, включая выбор преднастроенного шаблона сканирования. Удобно. 👍
🔹 На скриншотах помимо CVE-шных уязвимостей видны детекты EoL софта и мисконфигураций.
🔹 Пишут, что ядро продукта собственное, сторонние решения не используются.
🔹 Основной вопрос - полнота базы детектов. Тут ясности нет, советую выяснять на пилотах.
Конкуренция на отечественном VM-ном рынке продолжает расти и это радует. 🙂
@avleonovrus #Krayon #HScan
🔹 Это не очередной EASM, а инфраструктурный сканер. Поставляется как SaaS и On-prem. Заявляется возможность сканирования активов в black-box режиме и с аутентификацией (SSH, WinRM). Есть веб-сканер. Есть API.
🔹 Работают не с отдельными сканами, а с активами. Активы могут автоматически собираться в группы "по определённому администратором алгоритму". Как именно это работает пока непонятно.
🔹 Настройка сканирования сделана по лекалам Nessus-а, включая выбор преднастроенного шаблона сканирования. Удобно. 👍
🔹 На скриншотах помимо CVE-шных уязвимостей видны детекты EoL софта и мисконфигураций.
🔹 Пишут, что ядро продукта собственное, сторонние решения не используются.
🔹 Основной вопрос - полнота базы детектов. Тут ясности нет, советую выяснять на пилотах.
Конкуренция на отечественном VM-ном рынке продолжает расти и это радует. 🙂
@avleonovrus #Krayon #HScan
В проекте SecTemplates вышло обновление документов Vulnerability Management Program Pack. Цель релиза амбициозная: "предоставить все необходимые ресурсы для создания и внедрения полностью функционирующей программы Управления Уязвимостями для вашей компании".
Состав документов:
🔻 Определения Управления Уязвимостями и примеры SLA по устранению уязвимостей
🔻 Требования к репортингу уязвимостей
🔻 Чеклист для подготовки программы по работе с уязвимостями
🔻 Диаграмма процесса Управления Уязвимостями
🔻 Руководство (runbook) по Управлению Уязвимостями
🔻 Метрики управления уязвимостями
Неплохо сочетается с моим виженом по БОСПУУ, особенно в части контроля состояния задач на устранение уязвимостей. На этом в документах основной акцент. 👍 А не так как обычно: "вот вам PDCA, поприоритизируйте уязвимости, скиньте их админам и вжух - всё исправится". 🤪🪄
Разумеется, по деталям нужно вчитываться и править/дополнять, но как основа это определённо заслуживает внимания.
@avleonovrus #SecTemplates #VMprocess #Remediation
Состав документов:
🔻 Определения Управления Уязвимостями и примеры SLA по устранению уязвимостей
🔻 Требования к репортингу уязвимостей
🔻 Чеклист для подготовки программы по работе с уязвимостями
🔻 Диаграмма процесса Управления Уязвимостями
🔻 Руководство (runbook) по Управлению Уязвимостями
🔻 Метрики управления уязвимостями
Неплохо сочетается с моим виженом по БОСПУУ, особенно в части контроля состояния задач на устранение уязвимостей. На этом в документах основной акцент. 👍 А не так как обычно: "вот вам PDCA, поприоритизируйте уязвимости, скиньте их админам и вжух - всё исправится". 🤪🪄
Разумеется, по деталям нужно вчитываться и править/дополнять, но как основа это определённо заслуживает внимания.
@avleonovrus #SecTemplates #VMprocess #Remediation
Тренды фишинга, бесплатные материалы и инструменты от StopPhish. Вебинар был насыщенный. 👍
Подсветили тренды:
🔻 Использование QR-кодов (квишинг), которые не проверяются автоматом.
🔻 Сценарий "FIND-TRAP" - провокация поиска в интернет-поисковике уникальной строки, которая есть только на зловредном сайте.
🔻 Атаки от имени контрагентов, "отклики на вакансии" и т.п.
🔻 Атаки через мессенджеры и соцсети.
🔻 Использование ИИ (в т.ч. аудио- и видео-дипфейки топ-менеджеров).
🔮 Атак через мессенджеры и кейсов с ИИ ожидается всё больше.
⚡️ Важно подсвечивать выгоду сотрудников от антифишингового обучения. Обучать регулярно. Вместо тестовых атак можно использовать тренажёры "определи фишинг" (отработка сразу нескольких кейсов).
🆓 Бесплатная раздатка от StopPhish. 2 курса по распознанию фишинга, ПО для проведения учебных атак, плагин для Outlook, чек-лист защиты от СИ, классификатор онлайн-векторов СИ, генератор сценариев СИ, памятки, плакаты, скринсейверы. 😇
@avleonovrus #StopPhish #HumanVM #StopPhish #Event
Подсветили тренды:
🔻 Использование QR-кодов (квишинг), которые не проверяются автоматом.
🔻 Сценарий "FIND-TRAP" - провокация поиска в интернет-поисковике уникальной строки, которая есть только на зловредном сайте.
🔻 Атаки от имени контрагентов, "отклики на вакансии" и т.п.
🔻 Атаки через мессенджеры и соцсети.
🔻 Использование ИИ (в т.ч. аудио- и видео-дипфейки топ-менеджеров).
🔮 Атак через мессенджеры и кейсов с ИИ ожидается всё больше.
⚡️ Важно подсвечивать выгоду сотрудников от антифишингового обучения. Обучать регулярно. Вместо тестовых атак можно использовать тренажёры "определи фишинг" (отработка сразу нескольких кейсов).
🆓 Бесплатная раздатка от StopPhish. 2 курса по распознанию фишинга, ПО для проведения учебных атак, плагин для Outlook, чек-лист защиты от СИ, классификатор онлайн-векторов СИ, генератор сценариев СИ, памятки, плакаты, скринсейверы. 😇
@avleonovrus #StopPhish #HumanVM #StopPhish #Event
Что известно про уязвимость Spoofing - Windows MSHTML Platform (CVE-2024-43573) из октябрьского Microsoft Patch Tuesday? На самом деле только то, что она эксплуатируется вживую. Write-up-ов и публичных эксплоитов пока нет. Секция Acknowledgements в бюллетене Microsoft пуста. Непонятно, кто её зарепортил и от кого ждать подробностей.
В обзоре Patch Tuesday от ZDI предположили, что это может быть дополнительным исправлением похожей июльской уязвимости Spoofing - Windows MSHTML Platform (CVE-2024-38112). У них совпадает тип и уязвимый компонент. Июльская уязвимость касалась обработки ".url" файлов и эксплуатировалась APT группировкой Void Banshee для установки зловреда Atlantida Stealer. Возможно, что злоумышленники научились обходить исправление для уязвимости, Microsoft это отследили и усилили меры безопасности новым патчем. Пока это только предположение. Но уязвимость лучше не игнорировать, несмотря на её низкий CVSS Base Score (6.5).
@avleonovrus #Microsoft #MSHTML #ZDI #VoidBanshee #AtlantidaStealer
В обзоре Patch Tuesday от ZDI предположили, что это может быть дополнительным исправлением похожей июльской уязвимости Spoofing - Windows MSHTML Platform (CVE-2024-38112). У них совпадает тип и уязвимый компонент. Июльская уязвимость касалась обработки ".url" файлов и эксплуатировалась APT группировкой Void Banshee для установки зловреда Atlantida Stealer. Возможно, что злоумышленники научились обходить исправление для уязвимости, Microsoft это отследили и усилили меры безопасности новым патчем. Пока это только предположение. Но уязвимость лучше не игнорировать, несмотря на её низкий CVSS Base Score (6.5).
@avleonovrus #Microsoft #MSHTML #ZDI #VoidBanshee #AtlantidaStealer
Тарас Кропоткин и пара по вульнеросологии.
Тарас Кропоткин, первокурсник Императорского Высшего Магического Училища, сидел в аудитории, ожидая начала первой лекции по вульнеросологии. Он немного запыхался. Найти нужную аудиторию оказалось не так-то просто. Аудитория находилась на пятом этаже южного крыла Слободского дворца. Чтобы отыскать её, нужно было пройти до самого конца коридора на третьем этаже, а потом уже подняться на пятый по крутой лестнице. И только так! Ещё более странным было то, что снаружи Слободского дворца ни третьего, ни тем более пятого этажей не было видно. Их попросту не было. По словам старшекурсников, эту часть дворца построят в будущем, но доступ к ней возможен уже сейчас через пространственно-временной карман.
Рядом с таинственной аудиторией на пятом этаже располагались административные помещения факультета Чапай, куда был недавно распределён Тарас. Ему было известно, что этот факультет обычно выбирает студентов из семей рабочих и крестьян, так что результаты распределения его нисколько не удивили.
В аудиторию вошёл преподаватель - профессор Рувиль Иосифович Тоибас, приятный старичок известный своими былыми подвигами на службе в восьмом отделении Тайного Приказа Его Императорского Величества.
Профессор сел за стол, представился, обвёл глазами аудиторию и начал свой рассказ:
- Итак, сегодня вы познакомитесь с вульнеросологией. Эта наука исследует магию нашего мира. Предметы и существа нашего мира могут обладать некоторыми свойствами, называемыми вульнеросами, которые характеризуют их подверженность воздействиям... Весьма необычным воздействиям, приводящим к весьма необычным результатам. А раз вульнеросы существуют, значит их можно исследовать и использовать.
Профессор сделал паузу, позволяя студентам осмыслить его слова.
- Некоторые вульнеросы можно использовать только при непосредственном контакте, в то время как другие можно активировать на некотором расстоянии. Вульнеросы можно блокировать, создавая защитные чары. Таким образом мы можем защитить вещи и существ от нежелательных воздействий.
Профессор встал и подошёл к столу.
- Всесильна ли эта магия? Ответ - нет. Но она обладает силой, достаточной, чтобы влиять на реальность. Поэтому вы будете учиться понимать, как работает эта магия, как её использовать и как защищаться от её воздействия... Но хватит пока теории, давайте начнём с элементарной демонстрации.
Профессор Тоибас взял со стола металлический навесной замок и поднял его вверх, чтобы всем студентам было видно.
- Как видите, это обычный замок и он закрыт ключом. Я знаю, что этот замок подвержен вульнеросу, который позволяет открыть его без ключа. И сейчас я это продемонстрирую.
Он положил замок на стол, нарисовал мелом круг вокруг него и аккуратно вывел символы, отвечающие за использование вульнероса открытия замка.
- Теперь я кладу руки на круг и произношу заклинание: "Метасплойтус!"
На мгновение нарисованный круг озарился яркой красной вспышкой.
Профессор поднял замок в руках, и тот оказался открытым. В аудитории раздался гул восторга.
- Теперь давайте рассмотрим, как можно сделать так, чтобы замок таким образом уже не открывался. Я снова кладу замок, рисую круг, отвечающий за устранение вульнероса, подношу руки к кругу и произношу заклинание: "Аптгетапдейтус! Аптгетапгрейдус!"
Снова вспышка. На этот раз зелёная.
- Всё, в замке больше нет этого вульнероса на открытие, - объявил он с довольной улыбкой. - Но давайте всё же попробуем снова открыть его.
Профессор повторил действия для использования вульнероса открытия, произнёс заклинание, но ничего не произошло. Даже вспышки не было.
Довольный профессор обратился к аудитории.
- Всё работает, как видите! Само существование вульнеросов создаёт потребность в тех, кто умеет их исследовать, определять их наличие, использовать и предотвращать их использование.
Он сделал паузу, а затем добавил:
- А теперь перейдём к практическим занятиям.
@avleonovrus #fiction #fun #ТарасКропоткин #Halloween
Тарас Кропоткин, первокурсник Императорского Высшего Магического Училища, сидел в аудитории, ожидая начала первой лекции по вульнеросологии. Он немного запыхался. Найти нужную аудиторию оказалось не так-то просто. Аудитория находилась на пятом этаже южного крыла Слободского дворца. Чтобы отыскать её, нужно было пройти до самого конца коридора на третьем этаже, а потом уже подняться на пятый по крутой лестнице. И только так! Ещё более странным было то, что снаружи Слободского дворца ни третьего, ни тем более пятого этажей не было видно. Их попросту не было. По словам старшекурсников, эту часть дворца построят в будущем, но доступ к ней возможен уже сейчас через пространственно-временной карман.
Рядом с таинственной аудиторией на пятом этаже располагались административные помещения факультета Чапай, куда был недавно распределён Тарас. Ему было известно, что этот факультет обычно выбирает студентов из семей рабочих и крестьян, так что результаты распределения его нисколько не удивили.
В аудиторию вошёл преподаватель - профессор Рувиль Иосифович Тоибас, приятный старичок известный своими былыми подвигами на службе в восьмом отделении Тайного Приказа Его Императорского Величества.
Профессор сел за стол, представился, обвёл глазами аудиторию и начал свой рассказ:
- Итак, сегодня вы познакомитесь с вульнеросологией. Эта наука исследует магию нашего мира. Предметы и существа нашего мира могут обладать некоторыми свойствами, называемыми вульнеросами, которые характеризуют их подверженность воздействиям... Весьма необычным воздействиям, приводящим к весьма необычным результатам. А раз вульнеросы существуют, значит их можно исследовать и использовать.
Профессор сделал паузу, позволяя студентам осмыслить его слова.
- Некоторые вульнеросы можно использовать только при непосредственном контакте, в то время как другие можно активировать на некотором расстоянии. Вульнеросы можно блокировать, создавая защитные чары. Таким образом мы можем защитить вещи и существ от нежелательных воздействий.
Профессор встал и подошёл к столу.
- Всесильна ли эта магия? Ответ - нет. Но она обладает силой, достаточной, чтобы влиять на реальность. Поэтому вы будете учиться понимать, как работает эта магия, как её использовать и как защищаться от её воздействия... Но хватит пока теории, давайте начнём с элементарной демонстрации.
Профессор Тоибас взял со стола металлический навесной замок и поднял его вверх, чтобы всем студентам было видно.
- Как видите, это обычный замок и он закрыт ключом. Я знаю, что этот замок подвержен вульнеросу, который позволяет открыть его без ключа. И сейчас я это продемонстрирую.
Он положил замок на стол, нарисовал мелом круг вокруг него и аккуратно вывел символы, отвечающие за использование вульнероса открытия замка.
- Теперь я кладу руки на круг и произношу заклинание: "Метасплойтус!"
На мгновение нарисованный круг озарился яркой красной вспышкой.
Профессор поднял замок в руках, и тот оказался открытым. В аудитории раздался гул восторга.
- Теперь давайте рассмотрим, как можно сделать так, чтобы замок таким образом уже не открывался. Я снова кладу замок, рисую круг, отвечающий за устранение вульнероса, подношу руки к кругу и произношу заклинание: "Аптгетапдейтус! Аптгетапгрейдус!"
Снова вспышка. На этот раз зелёная.
- Всё, в замке больше нет этого вульнероса на открытие, - объявил он с довольной улыбкой. - Но давайте всё же попробуем снова открыть его.
Профессор повторил действия для использования вульнероса открытия, произнёс заклинание, но ничего не произошло. Даже вспышки не было.
Довольный профессор обратился к аудитории.
- Всё работает, как видите! Само существование вульнеросов создаёт потребность в тех, кто умеет их исследовать, определять их наличие, использовать и предотвращать их использование.
Он сделал паузу, а затем добавил:
- А теперь перейдём к практическим занятиям.
@avleonovrus #fiction #fun #ТарасКропоткин #Halloween
Про уязвимость Remote Code Execution - XWiki Platform (CVE-2024-31982). XWiki - это бесплатная вики-платформа с открытым исходным кодом. Основная её особенность - простая расширяемость. XWiki часто используется в корпоративной среде как замена коммерческим Wiki-решениям (например, Atlassian Confluence).
Уязвимость с CVSS Base Score 10, опубликованная 10 апреля, позволяет злоумышленникам выполнять произвольный код через запрос в интерфейсе поиска по базе данных XWiki. Он доступен всем пользователям по умолчанию и дополняет обычный поиск по XWiki. Если он не нужен, его можно отключить, удалив страницу Main.DatabaseSearch. Уязвимость исправлена в версиях XWiki 14.10.20, 15.5.4 и 15.10RC1.
Пример эксплуатации содержится в самом бюллетене разработчиков. 🤷♂️ Работающие скрипты для эксплуатации уязвимости доступны на GitHub с 22 июня.
Если в вашей организации используется XWiki, обязательно обратите внимание.
@avleonovrus #XWiki
Уязвимость с CVSS Base Score 10, опубликованная 10 апреля, позволяет злоумышленникам выполнять произвольный код через запрос в интерфейсе поиска по базе данных XWiki. Он доступен всем пользователям по умолчанию и дополняет обычный поиск по XWiki. Если он не нужен, его можно отключить, удалив страницу Main.DatabaseSearch. Уязвимость исправлена в версиях XWiki 14.10.20, 15.5.4 и 15.10RC1.
Пример эксплуатации содержится в самом бюллетене разработчиков. 🤷♂️ Работающие скрипты для эксплуатации уязвимости доступны на GitHub с 22 июня.
Если в вашей организации используется XWiki, обязательно обратите внимание.
@avleonovrus #XWiki
Посмотрел вебинар про on-prem ScanFactory VM и SECURITM. Было интересно. На паре слайдов были цитаты моих постов про VM без бюджета и розовые очки. 😇
Можно отметить:
🔻 Агрессивное позиционирование: утверждают, что у отечественных VM-вендоров проблемы с полнотой баз детектирования, им сложно работать с большим количеством результатов, низкий уровень автоматизации процесса. 🤷♂️ Якобы большинство российских вендоров тратит деньги на маркетинг, а не на экспертизу. Про прямых конкурентов: "у них там nmap".
🔻 Основная фишка ScanFactory VM - это конвейер из 21 сканеров, среди которых коммерческий "N-сканер", и платные источники данных по уязвимостям.
🔻 Как со сканированием российских продуктов? Битрикс - могут, российские ОС - пока нет. Планируют внедрить сертифицированный ФСТЭК сканер. 🤔 Своего сертификата ФСТЭК нет.
🔻 VM процесс реализуют интеграцией с SECURITM. Интересные фичи: оценки критичности по ФСТЭК, ссылки на бюллетени НКЦКИ, автоматизация реагирования (RPA).
@avleonovrus #ScanFactory #SECURITM
Можно отметить:
🔻 Агрессивное позиционирование: утверждают, что у отечественных VM-вендоров проблемы с полнотой баз детектирования, им сложно работать с большим количеством результатов, низкий уровень автоматизации процесса. 🤷♂️ Якобы большинство российских вендоров тратит деньги на маркетинг, а не на экспертизу. Про прямых конкурентов: "у них там nmap".
🔻 Основная фишка ScanFactory VM - это конвейер из 21 сканеров, среди которых коммерческий "N-сканер", и платные источники данных по уязвимостям.
🔻 Как со сканированием российских продуктов? Битрикс - могут, российские ОС - пока нет. Планируют внедрить сертифицированный ФСТЭК сканер. 🤔 Своего сертификата ФСТЭК нет.
🔻 VM процесс реализуют интеграцией с SECURITM. Интересные фичи: оценки критичности по ФСТЭК, ссылки на бюллетени НКЦКИ, автоматизация реагирования (RPA).
@avleonovrus #ScanFactory #SECURITM
Набор тем для программных проектов, связанных с Управлением Уязвимостями. Периодически меня просят порекомендовать VM-ную тему для курсовой, диплома, хакатона и т.п. Думаю будет полезно собрать эти рекомендации здесь в виде серии постов.
Имхо, чем больше студентов будут брать около-VMные темы для практических работ, тем лучше:
✅ Возможно кто-то превратит учебный проект в успешную опенсурсную и/или коммерческую историю.
✅ Возможно кто-то устроится работать в VM-вендора или в компанию-клиента уже с релевантным опытом и глубоким пониманием темы.
В любом случае VM-комьюнити в России получит дополнительное развитие. 👍
Буду постепенно накидывать темы, а коллег VM-щиков приглашаю присоединиться.
🔹 Web-интерфейс (лончер) сканера уязвимостей
🔹 Консольный сканер уязвимостей
@avleonovrus #VMDevTasks
Имхо, чем больше студентов будут брать около-VMные темы для практических работ, тем лучше:
✅ Возможно кто-то превратит учебный проект в успешную опенсурсную и/или коммерческую историю.
✅ Возможно кто-то устроится работать в VM-вендора или в компанию-клиента уже с релевантным опытом и глубоким пониманием темы.
В любом случае VM-комьюнити в России получит дополнительное развитие. 👍
Буду постепенно накидывать темы, а коллег VM-щиков приглашаю присоединиться.
🔹 Web-интерфейс (лончер) сканера уязвимостей
🔹 Консольный сканер уязвимостей
@avleonovrus #VMDevTasks
Отдельно разберу роадмап ScanFactory на 2025 год, озвученный на вебинаре.
Threat Intelligence фичи не относятся напрямую к VM-у: агрегатор утечек почт, мониторинг фишинговых доменов, поиск связанных доменов организации.
Из VM-ных фич:
🔹 Поддержка SSO. Важно для любого энтерпрайзного продукта.
🔹 Сканер с сертификатом ФСТЭК. Добавят в решение сканер от российского вендора. Для комплаенса и сканирования отечественных продуктов.
🔹 Сканирование изолированных (не связанных) сегментов сети в едином ЛК. Имеется ввиду сканирование внутренних сетей разных компаний (подразделений, тенантов) из единого ЛК.
🔹 Авто-тестирование безопасности внутренней сети. Будут автоматизировать действия внутреннего нарушителя: проверки безопасности служб AD (включая AD CS), анализ конфигураций ACL, атаки на сетевые протоколы, проверка стойкости паролей и т.д.
🔹 AI для рекомендации по устранению уязвимостей. Будут приоритизировать уязвимости и генерить человеко-читаемые рекомендации в оффлайн режиме.
@avleonovrus #ScanFactory
Threat Intelligence фичи не относятся напрямую к VM-у: агрегатор утечек почт, мониторинг фишинговых доменов, поиск связанных доменов организации.
Из VM-ных фич:
🔹 Поддержка SSO. Важно для любого энтерпрайзного продукта.
🔹 Сканер с сертификатом ФСТЭК. Добавят в решение сканер от российского вендора. Для комплаенса и сканирования отечественных продуктов.
🔹 Сканирование изолированных (не связанных) сегментов сети в едином ЛК. Имеется ввиду сканирование внутренних сетей разных компаний (подразделений, тенантов) из единого ЛК.
🔹 Авто-тестирование безопасности внутренней сети. Будут автоматизировать действия внутреннего нарушителя: проверки безопасности служб AD (включая AD CS), анализ конфигураций ACL, атаки на сетевые протоколы, проверка стойкости паролей и т.д.
🔹 AI для рекомендации по устранению уязвимостей. Будут приоритизировать уязвимости и генерить человеко-читаемые рекомендации в оффлайн режиме.
@avleonovrus #ScanFactory
25 лет CVE: кто базу CVEшек анализировал, тот в цирке не смеётся. В январе 1999 года Дэвид Э. Манн и Стивен М. Кристи опубликовали статью "К единому перечислению уязвимостей" ("Towards a Common Enumeration of Vulnerabilities"), в которой предлагалось создать лист Common Vulnerability Enumeration, CVE (заметьте, в оригинале никаких "экспозиций" 😉), целью которого было бы:
🔻 нумеровать и различать все известные уязвимости
🔻 назначать стандартное уникальное имя каждой уязвимости
🔻 существовать независимо от множественных точек зрения на то, что такое уязвимость
🔻 являться публично "открытым", распространяемым без ограничений
В октябре 1999 года корпорация MITRE представила первый CVE лист, в котором была 321 запись. За 25 лет их количество перевалило за 250 000 идентификаторов (без Rejected). Количество новых CVE каждый год ставит рекорды, в этом году ожидается больше 35 000. В основном такой бешеный прирост обеспечивают организации со статусом CNA, которых уже 221. Они, получив заветный статус, могут заводить CVE на любую дичь. Хоть весь свой багтреккер пихать, как Linux Kernel. 😏
Во многом из-за такого прироста (ну и из-за приколов американской бюрократии) процесс по анализу уязвимостей в NIST NVD в 2024 году дал масштабный сбой, фактически остановился. Несмотря на все меры (включая финансовые), он так толком и не восстановился. NVD месяц от месяца анализирует значительно меньше CVE, чем получает от CVEorg. Бэклог на анализ растёт, и составляет 19 174 CVE. 🫣
Не такая беда, что база замусорена и не анализируется в должной степени. Настоящая беда в том, что она при этом ещё и неполна. Серьёзные уязвимости, обнаруженные российскими или китайскими исследователями могут не приниматься из-за каких-то геополитических соображений и они фиксируются только в национальных базах уязвимостей. 🤷♂️
Вот такой итог 25 лет. Вместо единой нейтральной базы пришли к стремительно растущему недоанализированному огороженному западному мусорному полигону. В котором приходится всем миром копаться, потому что ничего лучше всё равно нет. 🙄 Круто, чё. С юбилеем!
@avleonovrus #CVE #CVEorg #MITRE #NVD #NIST
🔻 нумеровать и различать все известные уязвимости
🔻 назначать стандартное уникальное имя каждой уязвимости
🔻 существовать независимо от множественных точек зрения на то, что такое уязвимость
🔻 являться публично "открытым", распространяемым без ограничений
В октябре 1999 года корпорация MITRE представила первый CVE лист, в котором была 321 запись. За 25 лет их количество перевалило за 250 000 идентификаторов (без Rejected). Количество новых CVE каждый год ставит рекорды, в этом году ожидается больше 35 000. В основном такой бешеный прирост обеспечивают организации со статусом CNA, которых уже 221. Они, получив заветный статус, могут заводить CVE на любую дичь. Хоть весь свой багтреккер пихать, как Linux Kernel. 😏
Во многом из-за такого прироста (ну и из-за приколов американской бюрократии) процесс по анализу уязвимостей в NIST NVD в 2024 году дал масштабный сбой, фактически остановился. Несмотря на все меры (включая финансовые), он так толком и не восстановился. NVD месяц от месяца анализирует значительно меньше CVE, чем получает от CVEorg. Бэклог на анализ растёт, и составляет 19 174 CVE. 🫣
Не такая беда, что база замусорена и не анализируется в должной степени. Настоящая беда в том, что она при этом ещё и неполна. Серьёзные уязвимости, обнаруженные российскими или китайскими исследователями могут не приниматься из-за каких-то геополитических соображений и они фиксируются только в национальных базах уязвимостей. 🤷♂️
Вот такой итог 25 лет. Вместо единой нейтральной базы пришли к стремительно растущему недоанализированному огороженному западному мусорному полигону. В котором приходится всем миром копаться, потому что ничего лучше всё равно нет. 🙄 Круто, чё. С юбилеем!
@avleonovrus #CVE #CVEorg #MITRE #NVD #NIST
VM Dev Tasks: Разработка web-интерфейса для сканера уязвимостей. Может ли сканер уязвимости быть коммерчески успешным и при этом не иметь графического интерфейса (желательно web)? Теоретический - да, но практически я таких прецедентов не припомню. 😉 Отсюда и заинтересованность в специалистах с таким опытом разработки со стороны Vulnerability Management и EASM вендоров.
В рамках практического проекта предлагается реализовать веб-интерфейс для готового консольного сканера уязвимости, например Nmap+Vulners, Nuclei или Scanvus.
Классической является компановка веб-интерфейса сканера уязвимостей Tenable Nessus:
🔹 параметры сканирования задаются в профиле
🔹 задачу на сканирование определяет профиль и таргет (IP или fqdn)
🔹 пользователь может запустить задачу на сканирование, отслеживать её статус и получить по ней результаты
Желательно максимально упростить добавление в приложение поддержки новых консольных сканеров.
@avleonovrus #VMDevTasks #Tenable #Nessus
В рамках практического проекта предлагается реализовать веб-интерфейс для готового консольного сканера уязвимости, например Nmap+Vulners, Nuclei или Scanvus.
Классической является компановка веб-интерфейса сканера уязвимостей Tenable Nessus:
🔹 параметры сканирования задаются в профиле
🔹 задачу на сканирование определяет профиль и таргет (IP или fqdn)
🔹 пользователь может запустить задачу на сканирование, отслеживать её статус и получить по ней результаты
Желательно максимально упростить добавление в приложение поддержки новых консольных сканеров.
@avleonovrus #VMDevTasks #Tenable #Nessus
С чего бы количеству новых уязвимостей уменьшаться, если код не становится лучше? Даже Майкрософт с их образцовой системой выявления и исправления уязвимостей (без шуток, в этом они top-notch) и минимизацией использования чужого кода практически каждый месяц исправляет больше сотни уязвимостей в своих продуктах. Откуда-то ведь они берутся? Кто-то лепит эти баги, уходящие беспрепятственно в прод? Учитывая лаг в месяцы между тем как исследователь сообщает об уязвимости в Microsoft и, собственно, датой выхода фикса, известных незакрытых уязвимостей в бэклоге у MS должно быть очень и очень много.
Что уж говорить о компаниях попроще, продающих под видом своих продуктов сплошной суп из за... заимствованного опенсурсного кода. 🙂 Который зачастую разрабатывает полусумасшедший мейнтейнер-энтузиаст на пару с очередным фейковым Jia Tan-ом. 😈 Это они, должны требования по безопасной разработке выполнять, чтобы не допускать уязвимостей? Ну да, конечно, ждите-ждите. 😏
@avleonovrus #Microsoft #Prediction #OpenSource
Что уж говорить о компаниях попроще, продающих под видом своих продуктов сплошной суп из за... заимствованного опенсурсного кода. 🙂 Который зачастую разрабатывает полусумасшедший мейнтейнер-энтузиаст на пару с очередным фейковым Jia Tan-ом. 😈 Это они, должны требования по безопасной разработке выполнять, чтобы не допускать уязвимостей? Ну да, конечно, ждите-ждите. 😏
@avleonovrus #Microsoft #Prediction #OpenSource