Злоумышленники провели сложную атаку на топ-менеджера Outpost24, используя цепочку доверенных сервисов.
Письмо выглядело как легитимное (DKIM-подписи) и вело на реальный домен Cisco, что помогло обойти защиту почты. Далее жертву прокидывали через несколько сервисов (включая Nylas) на подготовленный домен и финальную фишинговую страницу Microsoft 365.
👉 В конце — поддельный логин Microsoft с проверкой учётных данных в реальном времени.
#breach_breakdown
Please open Telegram to view this post
VIEW IN TELEGRAM
🥰4🌚2
Почитали тут свежий отчёт по рынку ИИ-ускорителей в РФ: оказывается, 54% компаний тормозят внедрение ИИ исключительно из-за конских цен на инфраструктуру.
Ну, то есть написать пет-проект с вызовом API это задача на вечер, а вот запустить агента в продакшн так, чтобы он не сжёг бюджет отдела за неделю — суровая инженерия.
По сути, сейчас мало уметь собирать RAG. Нужно считать токены, настраивать
Также в программе:
— оценка качества, трейсинг и защита от деградации пайплайнов;
— мультиагентные паттерны и интеграция по протоколу
— локальный деплой Open Source под 152-ФЗ (когда данные нельзя выносить наружу).
Кажется, это единственный адекватный roadmap по переходу от блокнотов к enterprise-решениям.
Прямо сейчас можно урвать курс с увесистой скидкой(49 000 ₽ 62 990 ₽ за базовый тариф и 99 000 ₽ 124 990 ₽ за продвинутый трек) , но стоит поторопиться — на потоке осталось всего 5 мест.
👉 Зафиксировать цену и начать собирать агентов, за которых не стыдно в проде
Ну, то есть написать пет-проект с вызовом API это задача на вечер, а вот запустить агента в продакшн так, чтобы он не сжёг бюджет отдела за неделю — суровая инженерия.
По сути, сейчас мало уметь собирать RAG. Нужно считать токены, настраивать
time-travel дебаг в LangGraph и уметь роутить запросы на лету. Всё это мы учли в обновлённом курсе по разработке AI-агентов, где акцент сделан именно на AgentOps и жёсткий контроль ресурсов.Также в программе:
— оценка качества, трейсинг и защита от деградации пайплайнов;
— мультиагентные паттерны и интеграция по протоколу
MCP;— локальный деплой Open Source под 152-ФЗ (когда данные нельзя выносить наружу).
Кажется, это единственный адекватный roadmap по переходу от блокнотов к enterprise-решениям.
Прямо сейчас можно урвать курс с увесистой скидкой
👉 Зафиксировать цену и начать собирать агентов, за которых не стыдно в проде
🥰3🤩2🥱2
Подборка материалов про атаки, где злоумышленники используют легитимную инфраструктуру (Microsoft, Cisco, Google и др.), чтобы обходить защиту.
Как украденный signing key позволил обходить авторизацию.
Технические детали и рекомендации по детекту.
Регулярные разборы атак через легитимную инфраструктуру
Атаки через «доверенные» письма и цепочки переписки
#resource_drop
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥3🥰2
GOAD — это практическая лаборатория с уязвимой средой Active Directory для отработки реальных атак. Для запуска потребуется мощная машина: ~70+ ГБ диска и около 20 ГБ ОЗУ.
— разведка и сканирование
— перечисление пользователей
— relay-атаки
— ADCS и MSSQL
— повышение привилегий
— lateral movement
— дамп учетных данных
— ACL и trust
#tool_of_the_week
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥8🥰2🤩2
HackingTheXbox_hackrpoglib.pdf
17.8 MB
Книга знакомит с основами взлома и реверс-инжиниринга на примере Xbox. Пошагово разбираются методы обхода защиты и модификации устройства.
Охватывает как практику (включая работу с железом), так и устройство системы безопасности, а также затрагивает последствия взлома.
#resource_drop
Please open Telegram to view this post
VIEW IN TELEGRAM
🥰4🔥2
HTTPX cheatsheet hackproglib.pdf
169.7 KB
HTTPX — один из самых удобных инструментов для быстрого анализа веб-целей: от статусов и технологий до фильтрации и массового сканирования.
Сохрани, чтобы не вспоминать каждый раз команды во время скана
#cheat_sheet
Please open Telegram to view this post
VIEW IN TELEGRAM
❤4🥰2
Многие считают, что защита домена заканчивается на одной галочке в настройках. Но в реальности безопасность DNS требует куда большего внимания и усилий.
Что внутри:
— Почему криптографическая подпись — только часть защиты
— Где лежат настоящие риски: от DDoS до утечек
— Какие ошибки чаще всего ломают защищённые зоны
— Чем дополнить DNSSEC, чтобы не остаться уязвимым
#resource_drop
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥3🥰2
This media is not supported in your browser
VIEW IN TELEGRAM
Strix — open-source инструмент, который запускает AI-«пентестеров» и выдаёт готовый отчёт с PoC.
strix --target https://your-app.com
— сканирует веб, API и код
— возвращает валидные находки
— даёт PoC + remediation
— генерирует отчёт уровня классического пентеста
Не просто «запустить скан»:
#tool_of_the_week
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥7😁3🥰2❤1
Apple закрыла уязвимость в WebKit, которая позволяла обходить Same-Origin Policy и получать доступ к данным других сайтов.
Атака сводится к открытию специально подготовленной страницы, после чего возможен доступ к данным из других вкладок или встроенного контента.
#cve_bulletin
Please open Telegram to view this post
VIEW IN TELEGRAM
❤4🔥3
🧰 Хакерский набор 2026: топ инструментов для пентеста
Только то, что реально используют на практике.
➖ Разведка
— Nmap / Masscan / Naabu
— Subfinder / DNSRecon
— httpx
➖ Веб
— Burp Suite / OWASP ZAP
— ffuf / feroxbuster
— Arjun / Waybackurls
— Kiterunner / WPScan
➖ AI
— PentestGPT
— Burp AI
— локальные LLM
➖ Внутренняя сеть
— BloodHound
— NetExec / Impacket
— Snaffler
➖ Эскалация
— linPEAS / winPEAS
— Sliver
— PowerSploit
➖ Пароли и сеть
— Hashcat / John
— Wireshark / Bettercap
— Nuclei / Hydra
🔗 Подробнее в статье
📍 Навигация: [Вакансии]
🐸 Библиотека хакера
#tool_vs_tool
Только то, что реально используют на практике.
— Nmap / Masscan / Naabu
— Subfinder / DNSRecon
— httpx
— Burp Suite / OWASP ZAP
— ffuf / feroxbuster
— Arjun / Waybackurls
— Kiterunner / WPScan
— PentestGPT
— Burp AI
— локальные LLM
— BloodHound
— NetExec / Impacket
— Snaffler
— linPEAS / winPEAS
— Sliver
— PowerSploit
— Hashcat / John
— Wireshark / Bettercap
— Nuclei / Hydra
#tool_vs_tool
Please open Telegram to view this post
VIEW IN TELEGRAM
❤4🔥2🥰1
Многие думают, что наличие SIEM = контроль безопасности. На практике всё наоборот: если с ней есть проблемы — вы об этом даже не узнаете. Разберём, где в реальных системах появляются слепые зоны, как их используют в атаках и на что стоит смотреть при пентесте
— где ломается Wazuh / SIEM в проде
— какие метрики реально критичны (агенты, логи, очередь, диск)
— как проверять «здоровье» системы мониторинга
— и почему отсутствие логов опаснее, чем уязвимость
#breach_breakdown
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🥰3❤1👍1
Нужен быстрый портскан по десяткам или тысячам хостов — берёте naabu.
Это один из самых удобных сканеров под реальные пайплайны.
Что умеет:
— быстрый SYN/CONNECT (заточен под скорость)
— нормальная работа с большими списками (CIDR / ASN / файлы)
— автоматическая дедупликация хостов
— вывод в TXT / JSON
— легко встраивается в связку с httpx / nuclei / nmap
Как запустить:
go install github.com/projectdiscovery/naabu/v2/cmd/naabu@latest
naabu -l targets.txt -o open.txt
naabu -l targets.txt -rate 200 -verify -o verified.txt
naabu -l targets.txt | httpx -silent > alive_http.txt
naabu -l targets.txt -p u:53,123 -o udp_open.txt
💡 При сканах с домашнего IP снижайте -rate`/`-timeout — не привлекайте внимание.
#tool_of_the_week
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥3🥰2
Специалист по защите продукта (Self-Driving Technology) — от 300 000 ₽, офис/гибрид (Москва, Санкт-Петербург)
Security Engineer — 4 500 — 6 500 €, office-based Belgrade, Serbia)
Специалист по информационной безопасности — от 200 000 ₽, офис/гибрид (Москва)
Please open Telegram to view this post
VIEW IN TELEGRAM
❤3🥰2