Публичный Wi-Fi: почему бесплатный доступ может обойтись дорого

Подключиться к открытой сети легко, но вместе с удобством это может обернуться серьезными рисками для личных данных

В статье рассказываем:
⏺️Как устроен публичный Wi-Fi и в чем его слабые места;
⏺️Какие данные могут перехватить злоумышленники;
⏺️Как работают поддельные точки доступа;
⏺️Что поможет подключаться безопаснее

В этом разборе вы узнаете, каких ошибок стоит избегать и как защитить свои аккаунты, устройства и финансы при подключении к общественным сетям

Еще больше полезных статей о цифровой безопасности, персональных данных и актуальных киберугрозах — на нашем форуме

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Специалисты из центра киберзащиты Ontinue обнаружили, что злоумышленники использовали Nezha — легитимный инструмент для мониторинга с открытым исходным кодом, в качестве инструмента для удаленного доступа (RAT). Агент обеспечивает доступ к узлам на уровне SYSTEM/root и позволяет управлять системой через интерактивный веб-терминал.

☁️ Специалисты выяснили, что домен, на котором размещена панель управления всеми зараженными устройствами, находится на серверах Alibaba Cloud. Домен был привязан к адресу 47.79.42[.]91. По данным ресурса IPInfo, этот адрес привязан к Японии.

🎇 Nezha
nezha - инструмент для мониторинга серверов с открытым исходным кодом, изначально разработанный для китайского IT-сообщества. Системные администраторы используют его для мониторинга нескольких серверов, отслеживания использования ресурсов, получения оповещений и удалённого администрирования.

Nezha работает по простой модели «клиент-сервер». Центральный сервер панели управления отвечает за аутентификацию, хранит конфигурацию и координирует работу всех подключенных агентов.

Агенты — это легковесные двоичные файлы, развернутые на контролируемых хостах и поддерживающие постоянные gRPC-соединения с панелью управления.

Панель управления мультиплексирует HTTP-трафик и трафик gRPC на одном и том же порту. Веб-браузеры подключаются к интерфейсу панели управления по протоколу HTTP/WebSocket, а агенты — по протоколу gRPC для управления и контроля.

❗️Такая конструкция позволяет использовать один открытый порт как для интерфейса управления, так и для канала связи с агентами.

🪧 Возможности агента
Агент поддерживает определенный набор типов задач, каждый из которых обозначается числовой константой. Для злоумышленником представляют интерес следующие команды:
➡️Выполнение произвольной команды - ID: 4;
➡️Интерактивная терминальная сессия - ID: 8;
➡️Операции с файлами (просмотр, загрузка, скачивание, удаление) - ID: 11.

❓ Почему агент работает от имени пользователя root/SYSTEM
Агент разработан для работы от имени пользователя root (Linux) / SYSTEM (Windows), поскольку ему требуется расширенный доступ для:
▶️Чтения файловой системы /proc и системных показателей;
▶️просмотра сетевой статистики;
▶️управления процессами;
▶️применения системных конфигураций.

При запросе сеанса терминала агент запускает PTY (псевдотерминал), который наследует контекст процесса агента. Это означает, что если агент запущен от имени пользователя root, то и оболочка будет работать от имени root.

#news #nezha #RAT #hackers

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

IntelMQ: Платформа для автоматизации сбора и обработки данных об угрозах

IntelMQ — это решение для команд IT-безопасности (CERT, CSIRT, SOC), предназначенное для автоматизации сбора и обработки потоков данных о безопасности (фидов угроз) с использованием системы очередей сообщений. Его основная цель — предоставить аналитикам простой способ сбора и обработки информации об угрозах, что значительно улучшает процессы реагирования на инциденты.

IntelMQ часто используется для:
- Автоматизированной обработки инцидентов
- Получения ситуационной осведомленности (Situational Awareness)
- Автоматической отправки уведомлений
- Сбора данных для других инструментов

⬇️Установка

pipx install intelmq

Теперь необходимо выполнить начальную настройку базы данных и создать структуру для работы IntelMQ.
1️⃣Инициализация базы данных (IntelMQ использует PostgreSQL для хранения конфигураций, очередей и, опционально, событий)

intelmq_psql_initdb

Эта команда создаст необходимые таблицы и роли в PostgreSQL.

2️⃣Настройка окружения

intelmqsetup

Эта команда создаст необходимые директории и файлы конфигурации, обычно в /etc/intelmq/ и /opt/intelmq/.

После установки вам становятся доступны ключевые команды.
▶️intelmqctl - главный инструмент для управления IntelMQ. С его помощью вы запускаете, останавливаете и перезапускаете ботов, проверяете их статус и управляете очередями.

#статус всех ботов
intelmqctl status
    
#запуск конкретного бота
intelmqctl start intelmq.bots.collectors.shadowserver.collector_reports_api
    
#остановить всех ботов
intelmqctl stop
    
#перезапустить всех ботов
intelmqctl restart

▶️intelmqdump - инструмент для работы с «дампами» (сообщениями, которые не удалось обработать и которые были помещены в карантин. Это ключевой элемент надежности IntelMQ, предотвращающий потерю данных)

#просмотреть все файлы дампов
intelmqdump list
   
#обработать конкретный дамп (например, для очереди my-queue)
intelmqdump /opt/intelmq/var/log/my-queue.dump

Функционал IntelMQ реализован через боты трех основных типов:
🔔Коллекторы (Collectors) - отвечают за получение данных из внешних источников
▶️intelmq.bots.collectors.http.collector_http (скачивает фиды по HTTP/HTTPS)
▶️intelmq.bots.collectors.mail.collector_mail_attach (получает данные из вложений электронной почты)
▶️intelmq.bots.collectors.shadowserver.collector_reports_api (собирает отчеты от Shadowserver Foundation)

🔔Парсеры (Parsers) - преобразуют сырые данные, полученные коллекторами, в унифицированный формат IntelMQ (словарь данных, соответствующий Harmonization)
▶️intelmq.bots.parsers.shadowserver.parser (парсит отчеты Shadowserver)
▶️intelmq.bots.parsers.json.parser (парсит данные в формате JSON)
▶️intelmq.bots.parsers.csv.parser (парсит данные в формате CSV)

🔔Эксперты (Experts) - обогащают, нормализуют, фильтруют или изменяют данные
▶️intelmq.bots.experts.asn_lookup.expert (добавляет информацию об автономной системе (ASN) для IP-адреса)
▶️intelmq.bots.experts.maxmind_geoip_expert (добавляет геолокационные данные по IP)
▶️intelmq.bots.experts.taxonomy.expert (классифицирует событие в соответствии с таксономией eCSIRT.net)

Рабочий процесс называется pipeline и описывается в конфигурационных файлах. Простейший pipeline может выглядеть так:
▶️intelmq.bots.collectors.http.collector_http загружает список подозрительных IP-адресов с публичного источника
▶️intelmq.bots.parsers.csv.parser преобразует этот список в стандартные события IntelMQ
▶️intelmq.bots.experts.asn_lookup.expert для каждого IP-адреса определяет номер AS
▶️Output (например, бот вывода в файл или базу данных) сохраняет обогащенные данные

Конфигурация такого pipeline задается в файлах /etc/intelmq/pipeline.conf и /etc/intelmq/runtime.conf, где для каждой очереди (например, shadowserver-queue) прописывается цепочка ботов.

#IntelMQ #CTI #CERT #CSIRT #SOC #tool #pentest

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🪧 Миллионы Android-смартфонов с чипами MediaTek могут быть взломаны за 45 секунд

Исследователи обнаружили серьёзную уязвимость в смартфонах на базе чипов MediaTek, которая позволяет извлекать данные из устройства всего за 45 секунд.

Проблему выявила исследовательская команда Donjon компании Ledger — производителя аппаратных криптокошельков. По словам технического директора Ledger Шарля Гийме, атака позволяет получить доступ к данным даже когда телефон выключен.

❓ Как работает атака
Эксплойт использует уязвимость в цепочке безопасной загрузки (secure boot chain) процессоров MediaTek.

В нормальной ситуации этот механизм проверяет целостность системы ещё до запуска Android. Но исследователи нашли способ обойти эту защиту.

Сценарий атаки выглядит так:
1️⃣ злоумышленник получает физический доступ к смартфону
2️⃣ подключает устройство к компьютеру через USB
3️⃣ извлекает криптографические ключи до загрузки Android
4️⃣ расшифровывает хранилище телефона

После этого можно получить доступ практически ко всем данным устройства.

🔑 Что можно украсть
В ходе демонстрации исследователи смогли:
📉 восстановить PIN-код телефона
📉 расшифровать внутреннюю память
🖱 извлечь seed-фразы криптокошельков

Среди затронутых приложений оказались:
📉 Trust Wallet
📉 Kraken Wallet
📉 Phantom
📉 Rabby
🖱 Tangem

Причём всё это происходило без запуска Android.

Помимо криптокошельков под угрозой могут оказаться:
▶️ фотографии
▶️ сообщения
▶️ сохранённые пароли
▶️ финансовые данные и аккаунты.

💻 Сколько устройств под угрозой
По оценкам исследователей, уязвимость может затронуть миллионы Android-смартфонов, поскольку MediaTek занимает огромную долю рынка мобильных чипов.

Такие процессоры используются в устройствах многих брендов, включая:
⏺️ Samsung
⏺️ Xiaomi
⏺️ OPPO
⏺️ Vivo
⏺️ Realme
⏺️ Motorola

В качестве демонстрации взлом был проведён на смартфоне Nothing CMF Phone 1 — устройство удалось скомпрометировать примерно за 45 секунд.

❗️ Производитель уже выпустил исправление
После уведомления от исследователей MediaTek выпустила исправление и передала его производителям устройств 5 января 2026 года.

Однако пользователи получат защиту только после установки обновления прошивки, которое должно прийти от производителя смартфона.

#news #android #malware #exploit

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🚩 Новые задания на платформе HackerLab!

🔑 Категория Криптография — Киноман
——————————————

🗂 В архив добавлены задания с прошлых соревнований + райтапы:

🟠Веб - Задачник

Приятного хакинга!

👑 RelayKing

Комплексный инструмент для обнаружения и перечисления возможностей relay-атак, предназначенный для выявления потенциальных relay-векторов в средах Active Directory. Поддерживает гибкие возможности отчётности, обеспечивает широкий охват сценариев атак.

Позволяет передавать в инструмент ntlmrelayx.py подготовленный список целей из обнаруженных relay-уязвимых хостов.

❓Что такое Relay-атаки
Relay-атака — тип атаки «человек-посередине» (MITM), при которой злоумышленник перехватывает процесс аутентификации между клиентом и сервером и пересылает его на другой сервис, чтобы получить к нему доступ от имени жертвы, не зная её пароля.

Общий принцип следующий:
1️⃣Пользователь пытается подключиться к желаемому ресурсу (SMB, HTTP, LDAP и т.д.), при этом Windows автоматически отправляет NTLM authentication.
2️⃣Злоумышленник перехватывает NTLM-аутентификацию.
3️⃣Далее он пересылает этот аутентификационный обмен целевому серверу.
4️⃣Тот сервер считает, что это настоящий пользователь, и отправляет challenge.
5️⃣Злоумышленник пересылает полученный от сервера ответ жертве и она вычисляет challenge-response.
6️⃣Полученный ответ снова отправляется серверу, после чего тот считает злоумышленника аутентифицированным пользователем.

❗️Relay-атаки возможны в протоколах, которые используют NTLM-аутентификацию и не имеют механизма защиты от MITM (signing / channel binding): SMB, LDAP, HTTP, MSSQL, RPC, SMTP, WINRM, IMAP.

⬇️Установка

git clone https://github.com/depthsecurity/RelayKing-Depth.git
cd RelayKing/
virtualenv --python=python3 .
source bin/activate
pip3 install -r requirements.txt
python3 relayking.py -h

🎇Использование
⏺️Полный охват сети + вывод отчета о сканировании в виде обычного текста и JSON.

python3 relayking.py -u ‘lowpriv’ -p ‘lowpriv-password’ -d client.domain.local --dc-ip 10.0.0.1 -vv --audit --protocols smb,ldap,ldaps,mssql,http,https --threads 10 -o plaintext,json --output-file relayking-scan --proto-portscan --ntlmv1 --gen-relay-list relaytargets.txt

⏺️Полный аудит, проверка ВСЕХ хостов на наличие Net-NTLMv1 через RemoteRegistry.

python3 relayking.py -u ‘lowpriv’ -p ‘lowpriv-password’ -d client.domain.local --dc-ip 10.0.0.1 -vv --audit --protocols smb,ldap,ldaps,mssql,http,https --threads 10 -o plaintext,json --output-file relayking-scan --proto-portscan --ntlmv1-all --gen-relay-list relaytargets.txt

⏺️Сканирование CIDR диапазона без прохождения аутентификации.

python3 relayking.py --null-auth -vv --protocols smb,ldap 10.0.0.0/24

#tools #AD #Windows #relay

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Как найти слабые места в веб-приложении до того, как их найдут хакеры?

Расскажем на курсе WAPT от Академии Кодебай! 🛡 Это на 100% практический курс по пентесту, где вы попробуете изученные техники взлома в 65-ти заданиях нашей лаборатории!

🔴 Каждую неделю — вебинары с куратором! Старт 16 апреля. Регистрация здесь.

Содержание курса:
✦ эксплуатация всех актуальных типов уязвимостей, активный / пассивный фаззинг
✦ SQL Injection и CMD Injection, Cross Site Scripting, PHP injection, Server Side Template injection
✦ техники повышения привилегий, Client-side атаки (XSS, CSRF)

Получите практические навыки как в рабочих задачах, так и в Bug Bounty. Запишитесь до 20 марта и получите скидку 5%.

🚀 По всем вопросам пишите @CodebyAcademyBot

🎇В Госдуме объяснили, какие VPN не тронут, а какие заблокируют

Зампред комитета Госдумы по информационной политике, информационным технологиям и связи Андрей Свинцов в интервью рассказал о судьбе VPN-сервисов в России.

Главный тезис: технология разрешена, но только для игроков с лицензией.

🔔«Все легальные VPN-сервисы как работали, так и продолжат работать»
По словам депутата, под легальными понимаются сервисы, которые можно купить у оператора связи. При этом у оператора обязательно должна быть лицензия ФСБ на предоставление защищенных каналов связи.

🔔«Нелегальные постепенно будут блокироваться»
Свинцов подтвердил, что Роскомнадзор продолжит ограничивать доступ к сервисам, которые работают вне правового поля. Речь идет о бесплатных VPN, маскирующих IP-адреса и использующих «серые» схемы шифрования.

🔔«Если мессенджер легальный — проблемы нет»
Парламентарий пояснил, что шифрование само по себе не вне закона. Если приложение имеет лицензию ФСБ и работает по российскому законодательству, оно может спокойно использовать защищенные каналы. Обратное касается нелегальных мессенджеров — им работать в РФ запрещено.

❗️ Ранее в Telegram-каналах появилась информация, будто Роскомнадзор «закрыл возможность прямого подключения к иностранным серверам» с помощью нейросетей, отслеживающих VPN-протоколы. В ведомстве официально опровергли эти данные:

«Информация о закрытии возможности прямого подключения к иностранным серверам... не соответствует действительности. Настоятельно рекомендуем проверять публикуемые данные, напоминаем о недопустимости распространения недостоверной информации».

В РКН подчеркнули, что работа ведется точечно — только против нарушителей, а не против технологии как таковой.

#VPN #news #РНК #Роскомнадзор #ФСБ

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

☁️ pwnat — инструмент для обхода NAT и создания соединения через firewall

pwnat — утилита для обхода NAT и firewall-ограничений, позволяющая устанавливать прямое TCP-соединение между двумя хостами, даже если один из них находится за NAT. Инструмент использует особенности обработки ICMP-пакетов и позволяет создавать канал связи без необходимости проброса портов.

Основные возможности pwnat
📉 Обход NAT и firewall — позволяет устанавливать соединения между хостами без port forwarding.
📉 Работа через ICMP-трафик — использует особенности сетевых стеков для передачи данных через ping-пакеты.
📉 Создание TCP-туннеля — позволяет пробрасывать локальные порты через NAT.
📉 Минимальные зависимости — лёгкий инструмент, который можно быстро собрать и запустить.
🖱 Кроссплатформенность — поддерживает Linux, macOS и другие Unix-подобные системы.

⬇️ Установка
Сборка из исходников

git clone https://github.com/samyk/pwnat.git
cd pwnat
make

После сборки бинарник pwnat можно запускать напрямую.

🔎 Базовый сценарий использования
pwnat работает по модели server-client.

⛓️‍💥 Запуск сервера (публичная машина)

pwnat -s 2222

Это создаёт сервер, который будет принимать соединения и пробрасывать их на указанный порт.

🕸 Подключение клиента (машина за NAT)

pwnat -c <server_ip> 2222

После установления соединения создаётся TCP-канал между машинами.

🎇 Пример использования с SSH
Можно получить доступ к машине за NAT через SSH:

ssh user@localhost -p 2222

Таким образом создаётся туннель через NAT без проброса портов.

#network #pentest #redteam #nat #security #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Интернет помнит всё

После удаления страницы кажется, что всё исчезло — но на деле информация просто перестаёт быть на виду.

В новой статье разобрали:
⏺️Куда на самом деле пропадают удалённые новости и страницы
⏺️Как работает Web Archive и как «отматывать время» сайтов
⏺️Какие следы остаются в копиях и индексах
⏺️Как нейросети могут «вспоминать» удалённый контент и где они ошибаются

➡️Показали на примерах, где искать такие данные и почему интернет действительно ничего не забывает — читайте в новой статье

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🪧 Специалистам по тестированию на проникновение, изучив интересную технику или новый для себя инструмент, всегда требуется закрепить пройденный материал и отработать его на практике. Однако не всегда понятно где можно найти готовые решения для создания собственной лаборатории с инфраструктурой на основе Active Directory.

❗️В этой статье узнаем какие архитектуры лабораторных стендов необходимы для практических работ и с помощью какого инструмента можно развернуть лабораторию прямо на своем компьютере всего за несколько команд!

☁️Возможная архитектура лабораторного стенда
1️⃣Минимальная конфигурация
▶️Контроллер домена: Используйте Windows Server 2019/2022 с установленными ролями Active Directory Domain Services (AD DS) и DNS;
▶️Рабочие станции: 1-2 виртуальные машины под управлением Windows 10/11. Эти машины будут присоединены к вашему домену и будут имитировать компьютеры рядовых сотрудников;
▶️Атакующая машина: машина, с которой будут выполнять все дальнейшие действия по пентесту. Рекомендуется использовать дистрибутивы такие как Kali Linux.

2️⃣Расширенная конфигурация
▶️Несколько доменов в одном лесу: конфигурация с родительским и дочерним доменами подходит для изучения атак, связанных с доверительными отношениями внутри одного леса;
▶️Отдельный лес: создание второго, независимого леса и настройка между ними доверительных отношений открывает возможности для практики трастовых атак;
▶️Дополнительные серверные роли: для максимального реализма можно добавить серверы с типичными корпоративными службами (AD CS, файловый сервер, SQL Server);
▶️Разнообразие рабочих станций: увеличьте количество клиентских машин до 3-5 и создайте различные группы пользователей с разными уровнями доступа.

⛓️‍💥 GOAD — инструмент, предоставляющий специалистам уязвимую среду Active Directory, готовую к использованию для отработки стандартных методов атак. Идея этого проекта — создать среду, в которой вы сможете оттачивать свои навыки пентеста, не тратя время на самостоятельную разработку.

👉 GOAD использует Vagrant/Terraform и Ansible для автоматического развертывания целой инфраструктуры с предустановленными уязвимостями.

📐Доступные конфигурации GOAD
📉GOAD: 5 виртуальных машин, 2 леса, 3 домена (полная лаборатория Goad);
📉GOAD-Light: 3 виртуальные машины, 1 лес, 2 домена (более компактная версия для тех, у кого слабый компьютер);
📉MINILAB: 2 виртуальные машины, 1 лес, 1 домен (базовая лаборатория с одним контроллером домена (Windows Server 2019) и одной рабочей станцией (Windows 10));
📉SCCM: 4 виртуальные машины, 1 лес, 1 домен, с установленным Microsoft Configuration Manager;
📉NHA: 5 виртуальных машин и 2 домена;
🖱DRACARYS: 3 виртуальных машины и 1 домен.

Само развертывание лаборатории после установки зависимостей производится в одну команду.

./goad.sh -t install -p vmware -l <lab> -ip <ip_range_to_use>

#tools #GOAD #AD #infrastructure

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎 gitGraber — инструмент для поиска утекших секретов в GitHub

gitGraber — open source-утилита для автоматического поиска утекших секретов в публичных GitHub-репозиториях. Инструмент анализирует коммиты, код и изменения в репозиториях и пытается обнаружить API-ключи, токены, пароли и другие чувствительные данные, случайно опубликованные разработчиками.

Такие утечки встречаются достаточно часто и могут привести к компрометации инфраструктуры, облачных сервисов и CI/CD-систем.

🌐 Основные возможности gitGraber
⏺️ Поиск секретов в GitHub — анализирует коммиты и код на наличие токенов, ключей и паролей.
⏺️ Поддержка множества сервисов — AWS, Google API, Slack, Stripe, Telegram, GitHub tokens и других.
⏺️ Фильтрация по ключевым словам — можно искать утечки, связанные с конкретной компанией или проектом.
⏺️ Автоматический мониторинг GitHub — инструмент способен отслеживать новые коммиты и изменения.
⏺️ Лёгкая интеграция — работает через GitHub API и может использоваться в OSINT-исследованиях.

⬇️ Установка

git clone https://github.com/hisxo/gitGraber.git
cd gitGraber
pip3 install -r requirements.txt

После установки инструмент можно запускать напрямую через Python.

⛓️‍💥 Базовый сценарий использования
Поиск утекших ключей по ключевому слову:

python3 gitGraber.py -k companyname

Инструмент будет искать коммиты и репозитории, где встречается указанное ключевое слово.

#osint #github #security #bugbounty #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎DevOps — одна из самых мифологизированных тем в IT. Для одних это Jenkins и Kubernetes, для других — должность человека, который «настроит сборку», но реальность проще! DevOps — про культуру и скорость обратной связи.

Сегодня мы разберем кейс!

⏺️Вводная
Команда из 10 разработчиков работает над микросервисным приложением. Релизный цикл — две недели.

⏺️Как работают сейчас
- Разработчики пишут код в своих ветках, тестируют локально «на глаз»
- Раз в две недели мержат всё в основную ветку
- За день до релиза пытаются собрать общую сборку
- Выясняется, что половина тестов падает, зависимости конфликтуют, окружения расходятся
- Релиз сдвигается на неделю, команда в стрессе, бизнес недоволен

Пригласили DevOps-инженера, который предложил внедрить современный пайплайн: CI/CD, контейнеризацию, автотесты.

Руководитель выделил бюджет, но ресурсы ограничены. Нужно выбрать одно изменение, которое даст максимальный эффект.

👉Какой вариант стоит выбрать и почему?

💻 Meg by tomnomnom — инструмент для массовых HTTP-запросов

meg — лёгкая CLI-утилита для массовой отправки HTTP-запросов к большому количеству целей. Инструмент разработан исследователем безопасности Tom Hudson (известным как tomnomnom) и широко используется в bug bounty, OSINT и web-разведке. Утилита позволяет быстро отправлять один и тот же HTTP-запрос на сотни или тысячи доменов, что особенно полезно при поиске уязвимостей, скрытых эндпоинтов и конфигурационных ошибок.

Основные возможности meg
▶️Массовые HTTP-запросы — отправка одного запроса сразу на большое количество хостов.
▶️ Работа с кастомными запросами — можно использовать подготовленный raw HTTP-запрос.
▶️Высокая скорость — оптимизирован для обработки больших списков целей.
▶️Разделение результатов — ответы сохраняются отдельно для каждой цели.
▶️Интеграция с другими инструментами — удобно комбинируется с инструментами из экосистемы tomnomnom.

⬇️ Установка
meg написан на Go, поэтому установить его можно через go install.

go install github.com/tomnomnom/meg@latest

После установки бинарник появится в $GOPATH/bin.

❓ Базовый сценарий использования
meg использует два основных входных файла:
⏺️список целей (targets)
⏺️HTTP-запрос (request)

👉 Пример списка целей

example.com
api.example.com
test.example.com

👉 Пример HTTP-запроса

GET /admin HTTP/1.1
Host: example.com
User-Agent: meg
Connection: close

👉 Запуск сканирования

meg request.txt targets.txt

Инструмент отправит указанный HTTP-запрос ко всем целям из списка.

👉 Пример с pipe
meg часто используется в цепочках recon-инструментов:

cat domains.txt | meg request.txt

#bugbounty #recon #websecurity #pentest #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎 DetectFlow — инструмент для автоматизации разработки detection-правил

DetectFlow — open source-инструмент от SOC Prime, предназначенный для автоматизации процессов Detection Engineering. Он помогает создавать, тестировать и поддерживать правила обнаружения угроз для SIEM, EDR и других систем мониторинга безопасности.

🕸 Основные возможности DetectFlow
📉 Автоматизация разработки detection-правил — упрощает создание и поддержку правил обнаружения.
📉 Поддержка Sigma — интеграция с популярным форматом правил Sigma.
📉 Workflow-подход — управление жизненным циклом detection-правил: разработка, тестирование, обновление.
📉 Интеграция с CI/CD — правила можно автоматически проверять и развёртывать.
🖱 Стандартизация Detection Engineering — помогает командам SOC структурировать процессы создания детектов.

💻Пример workflow разработки детекта
DetectFlow помогает выстроить pipeline создания detection-правил.

Типичный процесс может выглядеть так:
1️⃣ Анализ угрозы или техники из MITRE ATT&CK
2️⃣ Создание detection-правила (например, Sigma)
3️⃣ Тестирование на логах
4️⃣ Проверка корректности правила
5️⃣ Развёртывание в SIEM
Такой workflow позволяет SOC-командам быстрее внедрять новые детекты и уменьшать количество ошибок.

⬇️ Базовый запуск
Клонирование репозитория и запуск

git clone https://github.com/socprime/detectflow-one-click-local-deployment.git
cd detectflow-one-click-local-deployment
chmod +x deploy-detectflow-minikube.sh
./deploy-detectflow-minikube.sh

После запуска можно создавать и тестировать detection-правила в рамках workflow.

#soc #detectionengineering #sigma #threathunting #security #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🧠 AttackGen — генератор сценариев атак на основе MITRE ATT&CK и LLM

AttackGen — open source-инструмент, который использует LLM-модели для генерации реалистичных сценариев кибератак на основе фреймворка MITRE и базы знаний MITRE ATT&CK.

Инструмент предназначен для специалистов по безопасности, SOC-аналитиков и Red Team-команд, помогая быстро создавать реалистичные цепочки атак, которые можно использовать для обучения или тестирования защиты.

❓ Как работает AttackGen
AttackGen принимает входные данные о целевой инфраструктуре (например, тип организации или используемые технологии) и на их основе генерирует цепочку действий злоумышленника, используя техники из MITRE ATT&CK.

Типичный сценарий может включать этапы:
1️⃣ Initial Access — фишинг, эксплуатация уязвимости или компрометация учётных данных
2️⃣ Execution — запуск вредоносного кода
3️⃣ Persistence — закрепление в системе
4️⃣ Privilege Escalation — повышение привилегий
5️⃣ Lateral Movement — перемещение по сети
6️⃣ Data Exfiltration — кража данных

Таким образом получается полная kill chain атаки, которую можно использовать для моделирования угроз.

🎯 Для чего используют AttackGen
➡️ Tabletop-упражнения — генерация сценариев для тренировки SOC и incident response команд.
➡️ Threat modeling — моделирование возможных атак на инфраструктуру.
➡️ Red Team подготовка — идеи для новых сценариев тестирования безопасности.
➡️ Обучение специалистов — наглядные примеры цепочек атак.
➡️ Purple Team упражнения — совместная работа Red и Blue команд.

⬇️ Установка и запуск
Клонирование репозитория

git clone https://github.com/mrwadams/attackgen.git
cd attackgen

Установка зависимостей

pip install -r requirements.txt

Запуск инструмента

streamlit run 00_👋_Welcome.py

После запуска можно вводить параметры инфраструктуры и генерировать сценарии атак.

↗️ Пример генерации сценария
После запуска AttackGen можно задать контекст организации:

Industry: Financial services
Infrastructure: Cloud + Active Directory
Security maturity: Medium

Инструмент может сгенерировать сценарий атаки, например:

Initial Access: Spear phishing campaign targeting employees
Execution: Malicious macro payload
Persistence: Scheduled task
Privilege Escalation: Token manipulation
Lateral Movement: SMB and remote service execution
Exfiltration: Data transfer over HTTPS

Такие сценарии можно использовать как основу для тренировок или моделирования угроз.

#ai #threatmodeling #mitre #redteam #soc #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Почему 80% атак на компании остаются незамеченными в первые часы?

Потому что наличие средств защиты ≠ наличие специалистов, которые умеют видеть и интерпретировать происходящее в инфраструктуре.

Антивирусы, EDR, фаерволы — это инструменты.
Но без SOC-аналитика они не обнаруживают атаки, а лишь фиксируют события.

Именно поэтому сегодня рынок перегрет спросом на blue team специалистов.

По данным рынка:
⏺️ SOC-аналитики уровня Junior зарабатывают от 80 000 – 120 000 ₽
⏺️ Middle — 150 000 – 250 000 ₽
⏺️ Senior — от 300 000 ₽ и выше

И это одна из немногих ролей в ИБ, куда можно зайти без глубокой технической базы,
если есть понимание процессов и практика работы с инцидентами.

Мы запускаем новый курс: «Профессия SOC-аналитик» — погружение с нуля!

❗️ работа с логами и событиями
❗️ анализ и корреляция инцидентов
❗️ разбор атак и сценариев поведения злоумышленников
❗️ формирование мышления blue team

Стартуем 6 апреля!

👉👉👉 Узнать подробнее

🐰Новая лаборатория на HackerLab — Rabbit Hole

Архитекторы RabbitHole уверены, что их инфраструктура недосягаема: минимум внешних сигналов, жёсткая сегментация и доверие к собственным компонентам.

Rabbit Hole — инфраструктурная black-box лаборатория, где вам предстоит шаг за шагом собирать картину происходящего, искать слабые связи между компонентами и выстраивать цепочку компрометации.

Что внутри:
🟢Web Perimeter, Microservices, Supply Chain, K8s Security
🟢многоступенчатый сценарий
🟢разведка, логика и chaining уязвимостей
🟢современная cloud-native инфраструктура

Ваш доступ — минимален.
Ваш заказчик — неизвестен.

Сделайте всё, на что способны.

↗️https://hackerlab.pro

Автор лабы: Black Rabbit, автор курса по Active Directory в Codeby