❓ KubeHound: как найти уязвимости в Kubernetes до того, как это сделают злоумышленники

Kubernetes сложен и подвержен ошибкам конфигурации, что приводит к инцидентам безопасности (67% компаний, по данным Red Hat).
KubeHound от DataDog помогает выявлять эти проблемы, моделируя поведение злоумышленника и показывая пути компрометации кластера, в отличие от обычных сканеров уязвимостей.

⁉️ Принцип работы KubeHound
KubeHound анализирует Kubernetes-кластер в три этапа:
1️⃣ Собирает данные о ролях, привязках, сервисных аккаунтах, настройках Pod, сетевых политиках и доступе к API.
2️⃣ Строит граф атак, определяя цепочки эксплуатации (например, через сервисный аккаунт к привилегированному Pod и доступу к ноде), показывая не только отдельные уязвимости, но и их комбинации.
3️⃣ Формирует отчет, выделяя критические риски с рекомендациями по исправлению.

⁉️ Уязвимости, которые находит KubeHound
1️⃣ Избыточные права сервисных аккаунтов
Часто в dev`-неймспейсах остаются сервисные аккаунты CI/CD с правами `cluster-admin. Злоумышленник может использовать их для развертывания вредоносных Pod или кражи данных.

2️⃣ Привилегированные Pod
Контейнеры с privileged: true или доступом к hostPID`/`hostNetwork позволяют атакующему выйти на ноду.

3️⃣ Опасные RBAC-правила
Пользователь с правами get pods + create pods + exec может создать Pod с serviceAccount: default и получить доступ к другим контейнерам.

🔝Топ-3 сценария, которые KubeHound находит лучше всех:
1️⃣ «Забытые ключи от королевства» (сервисные аккаунты с admin-правами)
- В dev`-неймспейсе остался сервисный аккаунт CI/CD, который умеет создавать Pods в `kube-system
- Его добавили для деплоя, но не удалили.
KubeHound покажет: «Через этот аккаунт можно развернуть вредоносный Pod с `privileged: true`».

2️⃣ «Троянский конь» (Pod с доступом к ноде)
Пример уязвимости:

spec:
  containers:
  - name: innocent-app
    securityContext:
      privileged: true  # ← Вот это большая ошибка

Что может сделать злоумышленник?
- Запустить Docker-in-Docker и сбежать на хост.
- Украсть токены других подов через /var/run/secrets.

3️⃣ «Легальный хакер» (эскалация через RBAC)
Пользователь имеет права:
🔵get pods
🔵create pods
🔵exec
KubeHound предупредит: «Он может создать Pod с serviceAccount: default и получить шелл в любом контейнере»

📣 Друзья, уже сегодня пройдет БЕСПЛАТНЫЙ МАСТЕР-КЛАСС «Linux: от основ к профессиональному использованию»

Особое внимание уделим:
✅ Работе с терминалом (основные команды и их применение)
✅ Решению типовых задач системного администрирования
✅ Возможностям для профессионального роста

Ведущий: Дмитрий Семьянов — действующий специалист по пентесту, куратор курса «Основы Linux».

Сегодня в 19:00 по МСК — бонусы для всех участников.
🔴 Регистрируйтесь здесь и получите ссылку на эфир и подарок в ответном письме.

🚀 Трудности с регистрацией? Пишите @Codeby_Academy

▶️ Друзья, уже через час стартует бесплатный вебинар где мы:

▪️ Развеем мифы о сложности Linux и покажем, как начать работать с ним уверенно
▪️ Продемонстрируем практическое применение в реальных рабочих задачах
▪️ Расскажем о карьерных перспективах для специалистов, владеющих Linux
▪️ Дадим пошаговый алгоритм освоения системы

Вы еще успеваете присоединиться!
Через час — мастер-класс от Дмитрия Семьянова. 🔴 Регистрируйтесь здесь и получите ссылку на эфир в ответном письме.

🚀 По всем вопросам пишите @Codeby_Academy

👋 Holehe

Инструмент с открытым исходным кодом для OSINT, использующийся для проверки, зарегистрирован ли email-адрес на различных онлайн-сервисах и социальных платформах. Holehe проверяет, привязан ли адрес электронной почты к аккаунту на таких сайтах, как Twitter, Instagram, Imgur и более чем на 120 других. Для проверки используются извлечение информации с помощью функции забытого пароля или попытки регистрации.

💻 Установка
С помощью PyPI pip3 install holehe
C помощью Github:

git clone https://github.com/megadose/holehe.git
cd holehe/
python3 setup.py install

🚀 Использование
Проверка email на всех доступных модулях:

holehe test@example.com

Проверка email на всех доступных модулях, но без попыток восстановления пароля и в выводе отображаются только используемые почты:

holehe test@example.com --no-password-recovery --only-used

Для каждого модуля данные возвращаются в стандартном словаре в следующем формате, эквивалентном JSON:


🚩 Доступные флаги
--only-used: выводит только сайты, используемые целевым адресом электронной почты;
--no-color: отсутствие выделения цветом выходных данных терминала;
--no-clear: не очищает терминал для отображения результатов;
--no-password-recovery: не пытается восстановить пароль на веб-сайтах;
--csv: создание файла CSV с результатами;
--timeout: установление таймаута.

▶️ Друзья, уже сегодня пройдет вебинар «Реверс с нуля: как перестать бояться и начать взламывать программы»
🔴Регистрация

Ждем в 19:00 МСК, если вы:
▪️ Хотите разобраться в реверс-инжиниринге, но не знаете с чего начать
▪️ Боитесь сложных CTF-задач на реверс
▪️ Мечтаете научиться анализировать вредоносное ПО
▪️ Хотите понять, как работают программы под капотом

Ведущий: Станислав Маркелов — эксперт по реверсу, призёр DrWeb CTF, автор CTF-задач.

Не пропустите! 😎 Регистрация здесь.

🚀 Трудности с регистрацией? Пишите @Codeby_Academy

▶️ Друзья, уже через час стартует бесплатный вебинар по реверс-инжинирингу!

Все участники получат:
✅ PDF-гайд «Инструменты для реверса в CTF»
✅ Доступ к записи вебинара, общение с экспертом
✅ Подарок участникам — подробности на вебинаре!

Ведущий: Станислав Маркелов — эксперт по реверсу, призёр DrWeb CTF, автор CTF-задач.

Вы еще успеваете присоединиться! Через час — мастер-класс от Станислава Маркелова.
🔴 Регистрируйтесь здесь и получите ссылку на эфир в ответном письме.

🚀 Трудности с регистрацией? Пишите @Codeby_Academy

🔗 LinkFinder

Инструмент, написанный на Python, предназначенный для поиска конечных точек и их параметров в файлах JavaScript. Широко используется специалистам по информационной безопасности для обнаружения скрытых URL, что позволяет получить новые возможности для тестирования ресурсов.

Под капотом используется jsbeautifier для Python в сочетании с довольно большим регулярным выражением, состоящим, в свою очередь, из четырёх более маленьких.
Они отвечают за поиск:
⏺️Полных URL (https://example.com/*);
⏺️Абсолютных URL или точечных (/\* или ../*);
⏺️Относительных URL, содержащие хотя бы одну косую черту (text/test.php);
⏺️Относительных URL без косой черты (test.php).

Для более удобного представления выходных данных можно использовать расширение Chrome для LinkFinder. Найти его можно здесь.

❗️ Установка и использование

git clone https://github.com/GerbenJavado/LinkFinder.git
cd LinkFinder
pip3 install -r requirements.txt
python setup.py install

Поиск конечных точек в онлайн-файле JavaScript и вывод результатов в формате HTML в файл results.html:

python linkfinder.py -i https://example.com/1.js -o results.html

Также доступен вывод в STDOUT (-o cli).

Анализ всего домена и его JS-файлов:

python linkfinder.py -i https://example.com -d

C помощью флага -с к запросу можно добавить свои файлы cookies.

Поиск конечных точек, начинающихся с /api/:

python linkfinder.py -i 'Desktop/*.js' -r ^/api/ -o results.html

Так же можно вводить данные через burp. Для этого необходимо выбрать файлы для сохранения, правый клик мыши, Save selected items и указываем файл как входной с опцией -b:

python linkfinder.py -i burpfile -b

🚩 Новые задания на платформе HackerLab!

🖼 Категория Стеганография — Маркер

🔎 Категория OSINT — Фонтан
——————————————

🗂 В архив добавлены задания с прошлых соревнований + райтапы:

🟠Реверс-инжиниринг - Разминка
🟠Веб - 30 проблем админа
🟠Веб - Забытый шаг

Приятного хакинга!

⏱ Chainsaw

Инструмент предоставляет мощную функцию поиска и анализа криминалистических артефактов в Windows и предлагает универсальный и быстрый метод поиска ключевых слов в журналах событий Windows и выявления угроз с помощью встроенной поддержки правил обнаружения Sigma и пользовательских правил.

⚡️Установка
Можно скачать готовый бинарный файл на странице релизов.
Другой вариант установить через менеджер пакетов в Linux sudo apt install chainsaw.
Также можно самому скомпилировать инструмент (двоичный файл будет находится в папке target/release):

git clone https://github.com/WithSecureLabs/chainsaw.git
cd chainsaw
cargo build --release

Кроме того, для быстрой и полноценной работы также необходимо клонировать репозитории Sigma Rules и EVTX-Attack-Samples:

git clone https://github.com/SigmaHQ/sigma
git clone https://github.com/sbousseaden/EVTX-ATTACK-SAMPLES.git

🔥 Основные команды
⏺️hunt — поиск угроз с использованием правил обнаружения.
Просмотр всех файлов .evtx, используя правила Sigma для логики обнаружения:

./chainsaw.exe hunt EVTX-ATTACK-SAMPLES/ -s sigma/ --mapping mappings/sigma-event-logs-all.yml

⏺️search — поиск по ключевым словам или регулярным выражениям.
Поиск во всех файлах .evtx событий блокировки сценариев PowerShell (идентификатор события 4014):

./chainsaw.exe search -t 'Event.System.EventID: =4104' evtx_attack_samples/

⏺️analyse — анализ различных видов артефактов.
Анализ артефакта shimcache с помощью предоставленных шаблонов регулярных выражений:

./chainsaw.exe analyse shimcache ./SYSTEM --regexfile ./analysis/shimcache_patterns.txt

⏺️dump — извлечение сырых данных.
Получение необработанного содержимого артефактов hive:

./chainsaw.exe dump ./SOFTWARE.hve --json --output ./output.json

Можете ли вы прямо сейчас найти:
▪️ Скрытые аккаунты героя вашего расследования?
▪️ Его настоящий адрес, если в декларации указан фейковый?
▪️ Все удаленные твиты за последние 10 лет?

Запись до 22 мая. Дарим доступ к 50+ заданиям по Osint на hackerlab.pro на 3 месяца!
🔴Присоединиться

Узнайте о новых инструментах для вашей работы:
⚪️ Поиск через авиабилеты/банковские транзакции
⚪️ Анализ геолокаций из фото
⚪️ Работа с базами данных и госреестрами
⚪️ Методы социальной инженерии

✅ Кейс: Как мы раскрыли сеть аферистов через фейковое завещание 🔴читать
🔴 Узнать о курсе

🚀 По всем вопросам @Codeby_Academy