Кибератака на SolarWinds в 2020 году потрясла мир ИБ, показав уязвимость даже самых защищённых систем.

Но угрозы для Active Directory не исчезли — в 2025 году обнаружена новая критическая уязвимость CVE-2025-21293, позволяющая злоумышленникам получать права SYSTEM.

В статье разбираем:
🔸Как хакеры использовали Zerologon в атаке SolarWinds
🔸Технический анализ новой уязвимости CVE-2025-21293
🔸Почему стандартные меры защиты уже не работают
🔸4 ключевых принципа защиты AD в 2025 году

Особенно актуально для:
✅ ИБ-специалистов
✅ Администраторов Active Directory
✅ Руководителей ИТ-инфраструктуры

🔗 Читать полный разбор

➡️ Хотите научиться защищать AD на практике? Специально для профессионалов — интенсивный курс с лабораторией из 30+ виртуальных машин. Подробнее

SQLsus

sqlsus — это инструмент для внедрения и захвата MySQL с открытым исходным кодом, написанный на Perl. С помощью интерфейса командной строки вы можете извлекать структуру базы данных, внедрять собственные запросы SQL (даже сложные), загружать файлы с веб-сервера, сканировать веб-сайт на наличие доступных для записи каталогов, загружать и контролировать бэкдор, клонировать базу данных и многое другое... В соответствующих случаях sqlsus будет имитировать вывод консоли MySQL.

📌Установка:

sudo apt-get install sqlsus

а также устанавливаем модуль Switch для с помощью CPAN

sudo cpan Switch

Или скачать из исходников

git clone https://gitlab.com/kalilinux/packages/sqlsus.git

cd sqlsus

📎Запуск:
⏺️Сгенерировать конфигурационный файл для сканирования:

sqlsus -g [ПУТЬ]

⏺️Далее в конфигурационном файле который мы сгенерировали мы ищем переменную $url_start и вставляем туда URL.

Сможете провести полный пентест AD? Проверим на практике уже 29 мая.

Надоели учебные задания? Ломайте реальные AD-сети в нашей лаборатории из >30 виртуальных машин. До 29 апреля скидка 5%.

🔴Регистрация

Содержание курса:
🔸 Архитектура AD и ее аудит
🔸 Харденинг в AD, добыча критичной информации, развитие по инфраструктуре
🔸 Захват и укрепление позиций внутри инфраструктуры
🔸 Применение и анализ популярных эксплоитов

Авторы курса: HackerRalf (Михаил Порываев) и BlackRabbit (Павел Никитин), 5-кратные победители the Standoff

По всем вопросам пишите @Codeby_Academy 🚀

OWASP SamuraiWTF позиционируется как специализированный Linux-дистрибутив для тестирования веб-приложений. Но так ли он хорош на практике?

Что в статье?
🔸 База Ubuntu + GNOME
🔸 Предустановленные Burp Suite, OWASP ZAP, SQLMap
🔸 Уязвимые приложения (Juice Shop, Mutillidae)
🔸 Презентации по WAPT (115+ страниц)

Всё, что предлагает дистрибутив, можно собрать вручную или взять из Kali Linux. Единственный плюс — встроенные учебные материалы, но и их легко найти отдельно.

🔴Читать полный обзор

А вы пробовали SamuraiWTF? Делитесь опытом в комментариях!

🔗 ldapdomaindump - инструмент, позволяющий выгрузить информацию из Active Directory через LDAP и представить собранную информацию в удобном формате HTML, а также в машиночитаемых форматах JSON и CSV/TSV/GREP. Поддерживает аутентификацию как по паролю, так и с помощью NTLM хэшей.

Инструмент выводит следующие файлы
⏺️domain_groups - список групп в домене;
⏺️domain_users - список пользователей в домене;
⏺️domain_computers - список учетных записей компьютеров в домене;
⏺️domain_policy - политика домена (требования к паролю, политики блокировки);
⏺️domain_trusts - входящие и исходящие доменные трасты.

💻 Установка

git clone https://github.com/dirkjanm/ldapdomaindump
cd ./ldapdomaindump
pip install ldap3 dnspython future
python setup.py install

⚙️ Опции
По умолчанию инструмент выводит все файлы в формате HTML, JSON и с разделителями табуляции (для поиска). Для удобства есть также два сгруппированных файла (users_by_group и computers_by_os). Они не поддерживают поиск. Вывод JSON для сгруппированных файлов по умолчанию отключен, так как он создает очень большие файлы без каких-либо данных, которых нет в других файлах.

По умолчанию ldapdomaindump пытается вывести на диск все атрибуты, которые он может прочитать, в файлы .json. В больших сетях это требует много памяти. Чтобы вывести только минимально необходимые атрибуты (те, которые по умолчанию отображаются в файлах .html и .grep), используйте --minimal.

LDAPDomainDump включает в себя утилиту, которую можно использовать для вывода файлов ldapdomaindumps .json в формате, аналогичном enum4linux. Утилита называется ldd2pretty и добавляется в ваш путь при установке. Также есть интеграция с BloodHound с помощью утилиты ldd2bloodhound для преобразования данных в формат, совместимый с BloodHound (версия 1.x).

Базовый дамп домена:

ldapdomaindump ldaps://192.168.138.15 -u 'TEST\user' -p password -o /tmp/ldapdump

Использование ldd2pretty для вывода аналогичному enum4linux:

ldd2pretty -d /tmp/ldapdump

Представьте: ваш последний пентест показал «идеальную» защиту, но через месяц хакеры сливают данные клиентов в даркнет. Регуляторы, штрафы, репутационный крах — и вопрос: «Как мы могли это пропустить?»

В чём подвох?
⚪️ «Бумажные» пентесты игнорируют реальные угрозы: уязвимые API, социнженерию, тени в инфраструктуре.
⚪️ Красивые отчёты ≠ безопасность. 68% компаний, которые не репортят инциденты, *уже взломаны*.
⚪️ Штрафы за утечки в 2024 году достигают миллионов, но главный удар — по доверию клиентов.

3 причины, почему компании играют в русскую рулетку:
1️⃣«Нам нужна галочка, а не проблемы» — страх перед правдой.
2️⃣ «Настоящий пентест — это дорого» — но штрафы и убытки дороже в 10 раз.
3️⃣ «Наши сотрудники и так всё знают» — однако 84% внутренних проверок пропускают критические дыры.

Что делать?
▪️ CISO: Документируйте каждый шаг — это ваш щит перед регуляторами.
▪️ HR: Тренируйте сотрудников через реалистичные фишинг-атаки.
▪️ CTO: Интегрируйте безопасность в CI/CD, чтобы ловить угрозы до продакшена.

Как отличить показуху от реальной защиты? Читайте полный разбор — и проверьте, не ваш ли бизнес следующий в списке жертв «галочных» проверок.

💻 drozer

Платформа тестирования безопасности для Android, поддерживаемая компанией WithSecure. Позволяет искать уязвимости в приложениях и устройствах, взаимодействуя с Android Runtime, другими приложениями, конечными точками IPC и базовой операционной системой.

📌 Установка и подключение
Для установки последней версии консоли drozer с PyPI можно использовать pip или pipx: pipx install drozer

Агент drozer можно получить из репозитория в виде файла Android Package (.apk). Его можно установить на эмулятор или устройство с помощью Android Debug Bridge (adb): adb install agent.apk. Приложение Drozer Agent должно появиться в панели запуска вашего устройства.

Теперь нужно соединить устройства на которых установлены агент и консоль, затем приступать к исследованию. Для этого можно использовать сервер, встроенный в Drozer Agent. Сначала запускаем, выбираем опцию Embedded Server и нажимаем Enable, чтобы запустить сервер. Вы должны увидеть уведомление о том, что сервер запущен.

Далее возможны варианты подключения через сеть drozer console connect --server <phone's IP address> и через USB:

adb forward tcp:31415 tcp:31415 
drozer console connect

🤖 Использование
Использовать инструмент будем на примере потенциально уязвимого приложения Sieve.

Первым шагом в оценке Sieve является поиск приложения на устройстве Android run app.package.list -f sieve. Приложения, установленные на устройстве Android, однозначно идентифицируются по «имени пакета».

Далее запрос у drozer базовой информации о пакете с помощью команды run app.package.info -a com.withsecure.example.sieve. Результатом будет ряд сведений о приложении, в том числе версия, место хранения данных приложения на устройстве, место его установки и ряд сведений о разрешениях, предоставленных приложению.

Определяем поверхность атаки run app.package.attacksurface com.withsecure.example.sieve.

Подробнее изучаем узнав какие действия экспортируются Sieve, используя более конкретные команды: run app.activity.info -a com.withsecure.example.sieve

В данном случае можем обойти аутентификацию через действие PWList:
run app.activity.start --component com.withsecure.example.sieve com.withsecure.example.sieve.activity.PWList

Volt Typhoon: как китайские хакеры годами скрытно атакуют критическую инфраструктуру США

Киберразведка вскрыла опасные схемы работы хакерской группы Volt Typhoon, связанной с КНР. В статье разбираем:

▪️ Их уникальные методы (LOTL, эксплуатация легальных инструментов)
▪️ Хронологию скрытных многоэтапных атак
▪️ 5 ключевых уязвимостей, которые они используют
▪️ Конкретные меры защиты для вашей инфраструктуры

Особое внимание:
✅Как они годами остаются незамеченными
✅Почему классические антивирусы бессильны
✅Какие отрасли в зоне риска прямо сейчас

🔴Читать полный разбор атаки
🔴Для тех, кто хочет глубже изучить защиту инфраструктуры: 30+ виртуальных машин, 100+ практических тасков здесь.

Weakpass

Ресурс, представляющий собой коллекцию словарей для брутфорса и набор инструментов для взлома паролей и хэшей. Может быть полезен как для проведения пентестов, так и для повышения безопасности паролей. Доступно более 1500 вордлистов, загрузку можно осуществить через torrent. Кроме того, у сервиса есть API для автоматизации и интеграции в собственные инструменты.

⚡️ Обзор функций
⏺️Lookup - инструмент поиска пароля по хэшу. Выполняется безопасный поиск по хешу, обеспечивая безопасность и конфиденциальность ваших данных. С помощью поиска можно найти пароли для таких хешей, как MD5, NTLM, SHA1 и SHA256. В качестве базы данных используется предварительно рассчитанный файл weakpass4.merged.txt без отправки хэша на сервер.

⏺️Password check - проверка пароля на то был ли он взломан или уязвим для атак на основе правил. Инструмент проверяет, есть ли ваш пароль в списке weakpass_4.merged с помощью API поиска по диапазону и имитирует атаки на основе правил, применяя «обратные» правила Hashcat для выявления слабых паролей. Все проверки также выполняются на стороне клиента, поэтому пароль никогда не отправляется на сервер.

⏺️Generator - генератор паролей. Создаёт список слов на основе предоставленных пользователем ключевых слов для целевого тестирования паролей. Например, введя Acme.corp, получим список возможных паролей, таких как Acme.corp2018!, Acme.corp123 и т. д. По умолчанию генератор будет использовать собственные правила, но можно настраивать свои.

⏺️Kraker-JS - инструмент пытается подобрать хэши прямо в браузере. Является исключительно клиентским инструмент на основе JavaScript. Поддерживаемые типы хэшей: MD5, SHA1, криптографические функции, JWT, Net-NTLMv2 и другие. Так же осуществляется поддержка запуска нескольких задач одновременно для эффективной обработки.

Ресурс является абсолютно бесплатным и без ограничений.

🚩 Новые задания на платформе HackerLab!

👩‍💻 Категория Pentest Machines — Umbrella

🌍 Категория Веб — Easy Upload
——————————————

🗂 В архив добавлены задания с прошлых соревнований + райтапы:

🟠Разное - Странный код
🟠OSINT - Назад в будущее
🟠Стеганография - Самозванец

Приятного хакинга!

Ettercap

Ettercap - это мощный инструмент для анализа и атаки на сетевые протоколы, который используется в основном для проведения атак типа "человек посередине" (Man-in-the-Middle, MitM). Он позволяет перехватывать, анализировать и модифицировать сетевой трафик в реальном времени. Ettercap поддерживает различные протоколы, включая Ethernet, TCP, UDP и ICMP, и может работать как в графическом, так и в текстовом режиме.
Ettercap поддерживает активное и пассивное вскрытие многих протоколов (даже зашифрованных) и включает множество функций для анализа сети и хоста. Также возможна инъекция данных в установленное соединение и фильтрация (замена или отбрасывание пакета) на лету, сохраняя соединение синхронизированным.
Реализовано множество режимов сниффинга для мощного и полного набора сниффинга.

Сниффинг возможен в четырех режимах:
🔸на основе IP;
🔸на основе MAC;
🔸на основе ARP (полный дуплекс);
🔸на основе PublicARP (полудуплекс).
Ettercap также может обнаруживать коммутируемую локальную сеть и использовать отпечатки ОС (активные или пассивные) для поиска геометрии локальной сети.

📌Установка:
Инструмент уже установлен в Kali Linux с графическим интерфейсом.
💡Можно также скачать из исходников:

git clone https://salsa.debian.org/pkg-security-team/ettercap.git

cd ettercap

📎Запуск:
При запуске выбираем сетевой интерфейс (по умолчанию eth0, меняем на wlan0) и запускаем сниффинг.
Для запуска вашего "свистка" пишем
ip a
Ищем ваш адаптер и включаем его

ifconfig wlan0 up

и выбираем в ettercap

📣 Друзья, уже сегодня пройдет БЕСПЛАТНЫЙ МАСТЕР-КЛАСС по OSINT: 5 легальных инструментов для анализа людей

Хотите научиться быстро проверять человека по открытым данным? Приходите на бесплатный вебинар!

Спикер: Екатерина Тьюринг – эксперт по кибербезопасности с 5-летним опытом, спикер Offzone/PHDays.

Сегодня в 19:00 по МСК — бонусы для всех участников. 🔴 Регистрируйтесь здесь и получите ссылку на эфир и подарок в ответном письме.

🚀 Трудности с регистрацией? Пишите @Codeby_Academy

▶️ Друзья, уже через час стартует бесплатный вебинар где мы:

🔸 Разберём 5 рабочих инструментов для сбора информации
🔸 Покажем, как искать связи между аккаунтами
🔸 Научимся проверять данные без нарушения закона
🔸 Проведем практику на реальных примерах

Вы еще успеваете присоединиться!
Через час — мастер-класс от Екатерины Тьюринг. 🔴 Регистрируйтесь здесь и получите ссылку на эфир в ответном письме.

🚀 По всем вопросам пишите @Codeby_Academy

Атакующие используют популярный ресурс для хостинга проектов и обмена программным обеспечением SourceForge для распространения майнеров и трояна ClipBanker под видом приложений Microsoft Office. С данной активностью уже столкнулось порядка 5000 российских пользователей.

🔗 Цепочка заражения
Злоумышленники создали проект на одном из доменов SourceForge (sourceforge.io), предлагая бесплатно скачать популярные приложения Microsoft. На странице отображался список офисных программ, но вместо них по ссылке загружался вредоносный архив.

В архиве находились два файла:
⏺️Запароленный архив;
⏺️Текстовый документ с паролем.

После распаковки защищённого архива на компьютер жертвы проникали две вредоносные программы:
⏺️Майнер, использующий ресурсы ПК для добычи криптовалюты в пользу злоумышленников;
⏺️ClipBanker — троян, подменяющий адреса криптокошельков для кражи средств.

Внутри вложенного архива находился файл размером 700 МБ вероятно для убеждения жертвы в подлинности файла, но реальный вредоносный код занимал всего 7 МБ. Остальной объём был заполнен «мусором». Данная техника получила название File Pumping.

❗️Несмотря на то что в данный момент атака направлена на криптовалюту, в будущем злоумышленники могут продавать доступ к заражённым устройствам или использовать их для других атак.

👀 Как обманули SourceForge?

1️⃣Атакующие воспользовались особенностью платформы: проекты на sourceforge.net автоматически получают дополнительный домен на sourceforge.io.
2️⃣На основном сайте они разместили безвредное ПО, а на дополнительном — описание «офисных программ» с вредоносной ссылкой.

В качестве мер предосторожности можно посоветовать пользователем подходить к загрузке программного обеспечения более осмысленно и скачивать программы только из официальных источников.

AD-лабы на этом курсе сложнее, чем 90% CTF? Проверим вместе уже 29 мая!

Более 30 виртуальных машин, которые не взломает 80% участников CTF:
🔸AD-сети с миксом Windows/Linux
🔸Задачи на эскалацию привилегий, persistence, stealth
🔸Разбор решений от победителей the Standoff

Бросаем вызов с 29 мая 😎
🔴Регистрация