Противостояние ФБР и ShinyHunters. На прошлой неделе ShinyHunters заявили о взломе взломе FBIJobs.gov — сайта, через который ФБР набирает новых сотрудников.

❗️Группировка похитила порядка 2–3 Тбайт данных — в том числе персональные и медицинские сведения действующих и бывших сотрудников ФБР, соискателей. ShinyHunters передали журналистам образцы данных: издание 404 Media получило около 5000 записей (имена, адреса, телефоны, даты рождения, иногда — данные о супругах), а также BleepingComputer — ещё два образца.

Как произошла атака
➡️Хакеры утверждают, что через 0‑day‑уязвимость в Oracle PeopleSoft. Уязвимость позволила удалённо выполнить произвольный код.

➡️Затем злоумышленники продвинулись по инфраструктуре, получили доступ к серверам бюро в AWS GovCloud и скомпрометировали системы HR, MedLink, Criminal Justice и другие внутренние сервисы

Реакция сторон
1️⃣ФБР подтвердило, что расследует «несанкционированную активность, затронувшую сайт fbijobs.gov», но не сообщило, была ли утечка данных.

2️⃣ShinyHunters заявили, что цель атаки — ответ на отчёт ФБР от 15 мая 2026 года, где группировку обвиняли в преувеличении масштабов атак и других нарушениях.

🕵‍♂️Хакеры дали ФБР неделю на исправление или удаление отчёта.

Продолжение истории⬇
На днях ФБР выступило с видеообращением к участникам ShinyHunters после ареста одного из предполагаемых лидеров группировки — 24‑летнего жителя Амстердама. По данным ИБ‑журналиста Брайана Кребса и сайта DataBreaches, задержанного идентифицировали как Пепейна ван дер Стапа (ник Umbreon).

Помощник директора киберподразделения ФБР Бретт Лезерман предупредил хакеров:

Чем дольше они продолжают активность, тем больше данных о них получают правоохранители. Он призвал выйти на контакт с ведомством первыми.

В ФБР не уточнили, действительно ли им удалось захватить какую-то часть инфраструктуры ShinyHunters, и успел ли кто-то из участников группы воспользоваться предложением сдаться. Однако после ареста ван дер Стапа в ФБР сообщили, что правоохранители изъяли его электронные устройства, изучают новые зацепки и не исключают дальнейших задержаний.

Продолжаем ждать развития событий 🍿

#news #APT #FBI

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Почему антивирус молчал, пока бизнес терял миллиарды

Лето 2025 года. Сеть «ВинЛаб» стоит несколько дней — убытки, по оценкам СМИ, могли достичь 1,7 млрд рублей. Параллельно лежат «Аэрофлот», аптечные сети «Неофарм» и «Столички» — отменённые рейсы, закрытые точки, перебои с лекарствами в регионах. У всех стояли лицензированные антивирусы. У всех были бэкапы. Ни одно сигнатурное средство не подняло тревогу вовремя.

Это не единичный сбой. Это системный провал целого подхода к детектированию.

🔎Цифры за 2025 год

По данным RED Security SOC, с начала года зафиксировано свыше 105 тысяч атак на российские компании — рост на 46% к прошлому году. Каждая пятая — критическая: простой ключевых процессов или убытки свыше миллиона. Доля заказных таргетированных атак взлетела с 10% до 44%. Атаки через подрядчиков утроились.

Но самое важное — не объём. Изменился сам характер атак.

➡️Почему сигнатуры бессильны

Сигнатурный детект работает просто: знаю паттерн — ловлю паттерн. Проблема в том, что современные атакующие целенаправленно обходят эту логику. Вот три типичных сценария:

• Атака без малвари. Злоумышленник покупает украденные учётные данные на теневом форуме (медианная цена инфостилера — $400), заходит через RDP как легитимный сотрудник, запускает PowerShell-скрипты прямо в памяти. Файлового артефакта нет. Сигнатуре буквально нечего ловить.

• Полиморфизм и билдеры. Билдер шифровальщика стоит около $7500. Каждая сборка — уникальный хеш, перемешанные строки. Сигнатурная база устаревает быстрее, чем обновляется. Защитник всегда догоняет.

• Supply chain. Вместо штурма периметра атакующий компрометирует подрядчика с VPN-доступом. Трафик идёт от легитимного партнёра, с валидными credentials — для сигнатурного NIDS это просто нормальная сессия.

По данным Unit 42, атакующие начинают сканирование новых CVE в течение 15 минут после публикации. Пятнадцать минут — и эксплойт уже в работе. Вендор сигнатур физически не успевает отреагировать.

Что вместо сигнатур?

Поведенческая аналитика в SOC смотрит не на «что запущено», а на «как себя ведёт». Бухгалтер подключается к контроллеру домена в три часа ночи? Одна учётка авторизуется на двадцати хостах за минуту? Это аномалии, которые сигнатура не увидит никогда, а поведенческий движок — поймает.

Когда 70% атак глобально бьют по критической инфраструктуре, а 83% атак на промсектор используют ВПО для тихого закрепления — вопрос не в том, ставить ли антивирус, а в том, что ставить рядом с ним.

Разбор всех трендов, конкретных TTPs и методов детектирования — в полной статье на форуме.

https://codeby.net/threads/analiz-kiberintsidentov-v-rossii-2025-proval-signatur.95824/

Антивирусы, EDR, фаерволы и SIEM генерируют тысячи событий каждый день. Ценность создаёт не сам факт их наличия, а специалист, который умеет отличить шум от атаки, связать события в цепочку и принять решение до того, как инцидент станет ущербом.

Профессия «Аналитик SOC» от Codeby Academy — 7,5 месяцев практического курса в Blue Team: от первого алерта до расследования уровня L2.

На курсе:
⏺️триаж и приоритизация — логи, события, потоки
⏺️корреляция и разбор инцидентов
⏺️MITRE ATT&CK — как атакующий действует на самом деле
⏺️Threat Intelligence и Threat Hunting
⏺️Vulnerability Management
⏺️SIEM на Wazuh — руками, не в теории
⏺️мышление SOC-аналитика: алерт ➡️расследование ➡️ отчёт

Формат: живые занятия, практические задания, разбор реальных кейсов.

Это профессиональный трек по мониторингу и реагированию. За 7,5 месяцев вы выстраиваете навыки, которые ежедневно нужны в SOC-командах банков, телекома, ритейла и IT-компаний.

Старт курса 19 октября

➡️️Посмотреть программу и записаться

🪧По вопросам — @CodebyAcademyBot

💫Перед вами три ребуса. Три слова. Связи между ними нет — и это единственная подсказка:)

Делитесь своими вариантами в комментариях!

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Oleobj: извлечение встроенных объектов из OLE-файлов

oleobj — это инструмент из пакета oletools, предназначенный для извлечения встроенных объектов из OLE-файлов (Microsoft Office 97-2003, MSI, Outlook-сообщения и другие). Он позволяет обнаруживать и сохранять объекты, которые могут содержать вредоносный код, включая исполняемые файлы, скрипты и документы, встроенные в контейнеры OLE.

👉 Основные возможности
- извлечение встроенных объектов из OLE-файлов
- поддержка рекурсивного поиска в поддиректориях
- работа с ZIP-архивами, содержащими OLE-документы
- сохранение извлечённых объектов в указанную директорию
- режим подробного логирования для отладки
- обнаружение начальной стадии эксплуатации CVE-2021-40444

⬇️ Установка

sudo apt install oletools

Проверка

oleobj -h

⏺️ Базовое извлечение объектов

oleobj document.doc

⏺️ Извлечение объектов в указанную директорию

oleobj -d ./extracted malicious.doc

⏺️ Рекурсивный анализ всех файлов в каталоге

oleobj -r /path/to/documents/

⏺️ Подробный режим с логированием

oleobj -V document.doc

#oleobj #oletools #malwareanalysis #security #forensics #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Как прошла Кибербитва GIS DAYS 2026: подробности нашего участия в соревнованиях

➡️В прошлом посте мы рассказывали, что наша команда HackerLab заняла 4 место на «Киберарене»

Капитан нашей команды Магомед-Эми Межидов написал статью о том, как проходили два дня соревнований🚗

В статье:
👌четыре инфраструктуры: Банк, Нефтегаз, Университет и Госсектор;
👌как устроено противостояние Red Team и Blue Team;
👌как ИИ-агент принёс нам штраф в 50 000;
👌сколько мы заработали и как номинация Kill Chain помогла отбить потерю.

Делимся впечатлениями от двух дней соревнований — рассказываем, что получилось особенно хорошо, где допустили ошибки и какие выводы сделали на будущее

➡️Читать статью