Qualys представили решение Agentic AI для автономного управления киберрисками. В рамках решения Qualys предоставляет готовых агентов по киберрискам ("Cyber Risk Agents"), которые работают автономно и выступают в роли дополнительной квалифицированной цифровой рабочей силы ("skilled digital workforce"). Agentic AI не только выявляет проблемы и предоставляет аналитические данные, но и самостоятельно определяет критические риски, расставляет приоритеты и запускает целевые процессы устранения рисков.

Доступные агенты на маркетплейсе:

🔹 Выявление и приоритизация рисков, связанных с внешними атаками
🔹 Адаптивная оценка рисков облаков
🔹 Оценка готовности к аудиту и составление отчётов
🔹 Приоритизация рисков на основе угроз
🔹 Автономный цикл "Microsoft Patch Tuesday"
🔹 Self-Healing агент для управления уязвимостями

Также представили Cyber Risk Assistant - интерфейс с подсказками для преобразования данных о рисках в контекстно-зависимые действия с автономным выполнением.

@avleonovrus #Qualys #AgenticAI #AI

Автономные AI-агенты - будущее Vulnerability Management-а. В прошлом году у меня был пост про то, как мог бы выглядеть полезный AI для VM-а. Идея на поверхности. После того как VM-решения развились в достаточной мере, что с их помощью действительно стало возможным выполнять детектирование, приоритизацию, заведение и отслеживание задач на устранение уязвимостей (а иногда и само устранение уязвимостей), у клиента возникает запрос:

"Я столько всего МОГУ делать, но что мне СЛЕДУЕТ делать здесь и сейчас для того, чтобы обеспечить наилучшую безопасность организации? Дайте совет! А ещё лучше, проведите работы, по возможности, за меня. 😏"

Можно возразить, что автономные агенты, если дать им волю, порушат инфраструктуру организации. Так же, как и бездумное использование автопатчинга. Но в этом и состоит задача VM-вендора - реализовать защитные меры таким образом, чтобы нивелировать возможные риски.

📅 Посмотрим, как автономные AI-агенты будут работать у Qualys. 😉

@avleonovrus #Qualys #AgentAI #VMGPT #AI

Кирилл Ермаков, основатель и CEO vulners.com, поделился историей провала своего стартапа 4Hackers. Идея была в том, чтобы сделать чат-бот на опенсурсных LLM-ках, у которого не было бы проблем с решением пентестерских задач: написание эксплоитов, составление шаблонов писем для фишинга, разработка сценариев атаки и т.п. То есть c "чувствительными" темами, на которые мейнстримные чатботы общаться не любят. 😉 Кроме того, к 4Hackers были прикручены скрапперы для решения задач OSINT-а. 🕵️‍♂️

В итоге за год проект съел $200 000 из кармана Кирилла и не взлетел. 🗿 4Hackers проработает ещё несколько недель и потом шнур выдернут. 💀

Кирилл подробно перечисляет причины провала, но суммировать их можно так:

💬 Оценка востребованности не проводилась, в итоге был разработан продукт для несуществующих пользователей.

📊 Так как сервис платный и даже без триала, то пользователи не росли и вирусного эффекта не было.

💸 Хостить такой сервис on-prem оказалось супер-дорого. 🤷‍♂️

@avleonovrus #4Hackers #Vulners #ChatGPT #AI #LLM

Про уязвимость Elevation of Privilege - Windows Update Service (CVE-2025-48799). Уязвимость из июльского Microsoft Patch Tuesday. Неправильное разрешение ссылок перед доступом к файлу ('link following') в Windows Update Service позволяет авторизованному атакующему повысить привилегии до "NT AUTHORITY\SYSTEM".

🛠 Эксплойт для уязвимости был опубликован исследователем Filip Dragović (Wh04m1001) 8 июля, в день MSPT. В описании эксплоита он сообщает, что уязвимость затрагивает версии Windows 10/11 с как минимум двумя жёсткими дисками. Если место установки новых приложений изменено на вторичный диск (с помощью Storage Sense), то при установке нового приложения служба wuauserv будет произвольно удалять папки без проверки на символические ссылки, что приводит к LPE.

🎞 В демонстрационном видео Filip Dragović запускает exe файл эксплоита и получает консоль администратора.

👾 Признаков эксплуатации в реальных атаках пока нет.

@avleonovrus #Microsoft #Windows #wuauserv #StorageSense

U.S. Cyber Force - будущий отдельный род войск США? 4 августа think tank Center for Strategic and International Studies и "двухпартийный межправительственный орган" Cyberspace Solarium Commission 2.0 учредили комиссию по созданию Киберсил.

В комиссию вошли 17 человек - бывшие высокопоставленные руководители Пентагона, NSA, House Armed Services Committee, а также "бывшие руководители по кибервойне ("cyber warfare chiefs") из всех родов войск, эксперты из промышленности и академических кругов".

А зачем нужен отдельный род войск, есть же Киберкомандование? 🤔

The Record пишут: "На Капитолийском холме выросло двухпартийное разочарование из-за хронической неспособности существующих родов войск обеспечить U.S. Cyber Command персоналом, готовым сражаться с иностранными противниками в Интернете ("who are ready to battle foreign adversaries online"), такими как Китай". И, разумеется, Россия. В апреле главу U.S. Cyber Command сняли, нового всё ещё не назначили. 🤷‍♂️

@avleonovrus #cyberwarfare #USCyberForce

Нужно ли в России выделить Кибервойска в отдельный род войск? Решать это, конечно, должны военные специалисты. Но я бы такой шаг приветствовал. И дело тут не в самой оргструктуре и не в отстройке от США, а в практических возможностях для страны и для людей:

🔹 Было бы здорово, чтобы молодые люди могли получать навыки практической кибербезопасности (и offensive, и defensive) в ходе своей срочной службы. И чтобы отбор в такие кибер-части вёлся не по физической подготовке (которая у скилловых ребят, как правило, не очень 🙂), а прежде всего по профильным знаниям и способностям. Тут за образец можно взять подразделение 8200 ЦАХАЛ.

🔹 Было бы здорово, чтобы на военных кафедрах ВУЗов студентам ИБ-шникам преподавали только профильную ВУС и отправляли на сборы в соответствующие части.

Что наблюдаю сейчас:

🔻 Научные роты. Понятие гораздо более широкое, но они могут стать базой для Кибервойск.

🔻 Войска информационных операций. В паблике минимум инфы, и, вероятно, так сейчас и надо. 🤫

@avleonovrus #КибервойскаРФ

Про уязвимости Remote Code Execution - WinRAR (CVE-2025-6218, CVE-2025-8088). Специально сформированный путь к файлу внутри архива может привести к переходу процесса разархивирования в непредусмотренные каталоги (включая каталоги Startup 😈), в результате чего распаковка архива приведёт к выполнению зловредного кода в контексте текущего пользователя.

🩹 Уязвимость CVE-2025-6218 зарепортили вендору 5 июня. Уязвимость была исправлена 25 июня в версии 7.12. Через месяц, 30 июля, вышла версия 7.13, в которой была устранена уязвимость CVE-2025-8088 с таким же описанием.

🛠 Публичный эксплойт для CVE-2025-6218 доступен на GitHub с 27 июня.

👾 8 августа BiZone сообщили, что они наблюдали фишинговые атаки на российские организации с эксплуатацией CVE-2025-6218 и CVE-2025-8088 с начала июля. Атаки связывают с группировкой Paper Werewolf (GOFFEE). ESET также фиксировали атаки с эксплуатацией этих уязвимостей для установки бэкдоров группировки RomCom.

@avleonovrus #WinRAR #BiZone #ESET #RomCom #PaperWerewolf #GOFFEE

Коллеги из Inseca перезапускают курс по Управлению Уязвимостями. Старт 23 августа. Я тестировал этот курс в конце 2023 года, впечатления были весьма приятные. 🙂 Добротный практический курс для "вкатывания" в VM: "проводят за ручку" по всем основным шагам. 👍

Со времени моего прохождения курс значительно расширили и улучшили (в том числе и по моим рекомендациям 😇):

🔹 Процессы. Добавили урок по приоритизации устранения уязвимостей с учётом контекста инфраструктуры организации и риск ориентированным подходом, а также практическую работу "Приоритизация и построение плана устранения уязвимостей [...] в типовой организации". Про подходы и инструменты приоритизации расскажет сам Александр Редчиц! 🔥👍

🔹 Продукты. Добавили урок по работе с Faraday. Для работы с Vulners.com будет доступна Ed-лицензия.

🔹 Практика. Добавили задание по поиску поддоменов, анализу DVWA и эксплуатации EoP в Windows (CVE-2017-0213).

@avleonovrus #Inseca #Education #VMprocess #FaradaySec #DVWA #Vulristics #Windows #Vulners

Киберклад следует сдавать государству. Продолжу накидывать аргументы за централизацию репортинга уязвимостей через государственного регулятора. Ранее я сравнивал знание об уязвимости с оружием. Теперь рассмотрим уязвимости как ценность.

💰 А ценность действительно есть. Недаром Microsoft выплатили за год $17 млн bounty (max за уязвимость $200.000). А на ирландском Pwn2Own обещают выплатить $1 млн за эксплойт для "зелёного мессенджера".

Если человек нашёл клад, сокрытый в земле (стене, пещере и т.п.), волен ли он им распоряжаться по своему усмотрению?

🔹 Нет. Клад нужно сдать в полицию для оценки. По ГК РФ 233 в зависимости от обстоятельств можно будет получить либо сам клад, либо 50% его стоимости (клад с культурно-исторической ценностью перейдёт государству).

🔹 За сокрытие клада грозит до 5–10 лет (192, 164 УК РФ ).

Так почему сейчас считается нормальным сдавать уязвимости ("киберклады") третьим лицам из недружественных стран без уведомления государства? 🤔

@avleonovrus #dewesternization #research #ИНД

Августовский "В тренде VM": уязвимости в Microsoft Windows и SharePoint. Традиционная ежемесячная подборка. В этот раз экстремально короткая.

🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Всего две трендовые уязвимости:

🔻 Remote Code Execution - Microsoft SharePoint Server "ToolShell" (CVE-2025-53770). Уязвимость массово эксплуатируется, возможно злоумышленники могли добраться даже до американских ядерных секретов. Уязвимость актуальна и для России.
🔻 Elevation of Privilege - Windows Update Service (CVE-2025-48799). Уязвимость затрагивает версии Windows 10/11 с как минимум двумя жёсткими дисками.

@avleonovrus #втрендеVM #TrendVulns #PositiveTechnologies #Microsoft #Windows #SharePoint #EyeSecurity #ToolShell #CyberOK #BiZone #wuauserv #StorageSense

Августовский Microsoft Patch Tuesday. Всего 132 уязвимости, на 20 меньше, чем в июле. Из них 25 уязвимостей были добавлены между июльским и августовским MSPT. Есть три уязвимости с признаком эксплуатации вживую. Две из них относятся к трендовой уязвимости SharePoint "ToolShell", эксплуатирующейся вживую с 17 июля:

🔻 RCE - Microsoft SharePoint Server (CVE-2025-53770)
🔻 Spoofing - Microsoft SharePoint Server (CVE-2025-53771)

Ещё одна эксплуатируемая уязвимость касается Chromium:

🔻SFB - Chromium (CVE-2025-6558)

Из остальных уязвимостей без публичных эксплоитов и признаков эксплуатации можно выделить:

🔹 RCE - SharePoint (CVE-2025-49712), GDI+ (CVE-2025-53766), Windows Graphics Component (CVE-2025-50165), DirectX Graphics Kernel (CVE-2025-50176), Microsoft Office (CVE-2025-53731, CVE-2025-53740), MSMQ (CVE-2025-53144, CVE-2025-53145, CVE-2025-50177)
🔹 EoP - Kerberos (CVE-2025-53779), NTLM (CVE-2025-53778)

🗒 Полный отчёт Vulristics

@avleonovrus #Vulristics #PatchTuesday #Microsoft #Windows #SharePoint

R-Vision тоже стали выпускать ежемесячные дайджесты трендовых уязвимостей. И да, они тоже используют словосочетание "трендовые уязвимости", как и Positive Technologies. Хотя мы, видимо, понимаем под этим несколько разные вещи и здесь стоило бы сверить определения. 😉 Дайджесты R-Vision называются не "В тренде VM", а "В фокусе RVD" (R-Vision Vulnerability Database). 🙂

Имхо, чем больше VM-вендоров будут выпускать материалы по критичным уязвимостям, на которые стоит обращать внимание, тем лучше. 👍 Пользователи смогут смотреть разные дайджесты и задаваться вопросом, почему у одного вендора одни уязвимости в дайджест попали, а у другого вендора не попали. Вендоры тоже могут делать свои выводы. Ну и в целом экспертиза будет расти, awareness усиливаться, и, будем надеяться, что ситуация с уязвимостями в российских организациях будет улучшаться от этого. Win-win-win! 😉

@avleonovrus #RVision #ВфокусеRVD #PositiveTechnologies #втрендеVM #TrendVulns

Дайджест трендовых уязвимостей R-Vision "В фокусе RVD" за июль 2025. R-Vision отметили 3 уязвимости:

🔹 RCE - Microsoft SharePoint Server (CVE-2025-53770). Наиболее критичная уязвимость июля. У нас тоже в дайджесте была. ✅
🔹 RCE - WinRAR (CVE-2025-6218). Эта уязвимость у нас тоже в трендовых, но пойдёт уже в сентябрьский дайжест вместе с CVE-2025-8088. ✅
🔹 SFB - Chromium (CVE-2025-6558). Тут расхождение. Мы браузерные уязвимости Chromium к трендовым не относим, т.к. все они должны (по идее) закрываться настройками автообновления браузера. ❌

❓ Уязвимость EoP - Windows Update Service (CVE-2025-48799) попала к нам в дайджест и не попала в дайджест R-Vision. Эксплоит есть - пора трендить и патчить до начала массовых атак. 😉

Дайджест добротный, хорошо структурированный. Содержит вектор атаки, пруфы вендора, описание уязвимости, статус эксплуатации, сценарии атаки, рекомендации по устранению. 👍

@avleonovrus #RVision #ВфокусеRVD #SharePoint #WinRAR #Chromium #PositiveTechnologies #втрендеVM #TrendVulns

Проект "национальный мессенджер MAX" - образцовый пример эффективного решения IT-задач в масштабах государства. Если посмотреть в некоторой ретроспективе:

🖥️ Без волокиты был выбран частный подрядчик, который в кратчайшие сроки смог реализовать функциональный продукт под огромную нагрузку.

⚖️ В кратчайшие сроки была создана и принята адекватная законодательная база для интеграции мессенджера с госсистемами.

📯 Запустили супер-вирусную нарочито топорную рекламу "ловит на парковке". Все тогда офигели (и я тоже) от выбора рекламного сообщения, ведь голосовая связь и у западных конкурентов норм. 🤔

🚧 Через месяц под благовидным предлогом очень эффективно и одномоментно понизили качество голосовой связи у западных конкурентов до полной неюзабельности. Тадааам! Пазл рекламного сообщения MAX-а сложился. 😇 Бесплатные звонки теперь только в российских мессенджерах. 😉

Поразительный уровень продуманности и координации между различными компаниями, госорганами и ведомствами! Браво! 👏

@avleonovrus #MAXmessenger

Статистика по трендовым уязвимостям за 2024 год попала в годовой отчёт OIC-CERT. 🎉

🔹 Organisation of Islamic Cooperation (OIC) является самой крупной и наиболее влиятельной официальной правительственной мусульманской международной организацией. В настоящее время объединяет 57 стран с населением около 2 млрд человек. Россия тоже входит в OIC в качестве наблюдателя.

🔹 OIC-CERT - группа реагирования на компьютерные инциденты, являющаяся дочерней организацией OIC. В неё входят национальные CERT-ы 27 стран, а также 8 коммерческих организаций, среди которых Positive Technologies.

➡️ Собственно в разделе, посвящённом результатам работы Positive Technologies, и была опубликована подготовленная мной статистика по трендовым уязвимостям за 2024 год (отчёт на 67,49M, стр 229).

Весьма рад, что получилось внести небольшой вклад в повышение осведомленности о PT ESC и Positive Technologies среди национальных CERT-ов и важных decision maker-ов! 😉

@avleonovrus #TrendVulns #PositiveTechnologies #PTESC #OIC #OICCERT