Главная угроза всё ещё человек, но масштаб изменился

В интервью Александра Соколовского с Александром Гостевым из Касперского хорошо видно, как сместился фокус киберпреступности. Раньше массовая атака часто выглядела как заражение домашних компьютеров ради небольших сумм. Сейчас атакующим выгоднее бить по банкам, компаниям, биржам, обменникам и сервисам, где уже лежат деньги, данные и доступы пользователей.

ИИ в этой картине мира не превращает каждого школьника в автора крутого FUD вредоноса. По словам Саши, пока сильнее растёт не сложность атак, а их количество и скорость: модели помогают искать уязвимости, генерировать варианты кода и увеличивать поток инцидентов. Защитникам приходится обрабатывать не сотни подозрительных объектов, а сотни тысяч, и проблема упирается не только в технологии, но и в дефицит людей, которые умеют разбирать инциденты.

Для обычного пользователя вывод не сводится к "поставьте антивирус Касперский")). Даже если человек ведёт себя аккуратно, его данные могут утечь из внешнего сервиса, а затем стать топливом для целевого фишинга и звонков. В крипте типовой риск тоже часто не в сломанной математике, а в левой бирже, поддельном кошельке, подменённом адресе транзакции или добровольном вводе seed-фразы на чужом сайте.

Самая прикладная часть интервью звучит почти старомодно: не доверять незнакомцам в телефоне и интернете, не передавать коды и пароли, не использовать один пароль в разных сервисах, быстро реагировать после ошибки. Новые инструменты ускоряют атаки, но первая линия защиты всё ещё начинается с дисциплины доступа и трезвой оценки того, кому вы можете быть интересны как цель или как путь к другой цели.

Мне очень понравилась фраза Александра Гостева, что кибербез переживает ренесанс и как будто заново возрождается как было 20 лет назад.

🌚 @poxek | 🌚 @poxek_ai | 📲 MAX

LACUNA Chain: как и когда EDR можно обойти

После HookChain недостаточно спрятать syscall от userland hook. EDR может получить событие из ядра и приложить к нему user-mode call stack: кто вызвал NtAllocateVirtualMemory, NtProtectVirtualMemory, NtQueueApcThread и похожие операции. Если в стеке виден shellcode, unsigned module или executable heap, обход ntdll-хуков уже не закрывает детект.

LACUNA Chain переносит атаку на уровень unwind-механики Windows x64: не скрывает сам факт операции, а подменяет историю вызова, которую увидит stack collector.

♾️Как работает♾️

На x64 Windows стек обычно восстанавливается через .pdata. Для функций там лежат RUNTIME_FUNCTION и unwind metadata. Но если RtlLookupFunctionEntry(ControlPc) не находит запись, RtlVirtualUnwind трактует адрес как leaf-функцию: читает следующий RIP из [RSP] и двигает RSP на 8 байт.

Автор использует это как BYOUD-Gap: берёт адреса внутри легитимных DLL, но между покрытыми .pdata функциями. Для unwind-кода это валидный leaf-frame. Для простого EDR-правила это кадр из ntdll, kernelbase, wow64 или win32u, а не из payload.

В статье собирается цепочка:

KiUserExceptionDispatcher -> ghost frame рядом с WoW64 exception path -> ghost рядом с VirtualProtect -> ghost рядом с thread-creation API -> NOP-gap в win32u -> RtlUserThreadStart.

Отдельный слой — ETW-Ti APC window. Событие появляется в ядре, но stackwalk может исполняться через USER_APC, который доставляется только при alertable wait. Значит, чувствительная операция уже прошла, стек можно подготовить, затем войти в alertable NtDelayExecution, и сборщик увидит ghost-chain.

♾️Анализ исходников♾️

В репозитории это реализовано не как статичный набор оффсетов. В lacuna_chain.c сканер PE читает .pdata, ищет промежутки между EndAddress текущего RUNTIME_FUNCTION и BeginAddress следующего, отбрасывает padding из 00/CC/90 и выбирает ghost regions рядом с экспортами VirtualProtect, RtlCreateUserThread, Wow64PrepareForException. Для win32u отдельно ищется 8-байтовый NOP gap.

build_chain() выбирает L1-L5, ищет ghost gadget JMP [RBX] внутри ghost-region и строит LacunaStack. Для BYOUD-MF код ищет unwind opcode UWOP_PUSH_MACHFRAME в ntdll, кладёт fake machine frame и задаёт Rsp так, чтобы unwind перескочил на буфер L2 -> L3 -> L4 -> L5. Режим verify прогоняет цепочку через RtlLookupFunctionEntry и RtlVirtualUnwind, то есть проверяет тот же класс механики, на который опирается сборщик стеков.

В inject добавлен прикладной обход корреляций: вместо VirtualAllocEx -> WriteProcessMemory -> VirtualProtect используется section-based injection. Код создаёт section, мапит локальный RW view, пишет payload, затем мапит remote RX view через NtMapViewOfSection и ставит APC. NtWriteVirtualMemory в целевой процесс не вызывается.

Самый плотный участок — param_encrypt_veh. Перед syscall ставится hardware breakpoint на syscall;ret. На EXCEPTION_SINGLE_STEP VEH расшифровывает RCX/RDX/R8/R9/R10, подменяет return address на ret gadget внутри ntdll, а в режиме full_spoof заменяет stack slots, указывающие внутрь lacuna.exe, на ghost-frame адреса. После возврата через DR1 старые значения восстанавливаются. Подмена живёт только в окне наблюдения.

Отдельный lacuna_sleep.c применяет тот же подход к sleep-obfuscation: ghost-call stub меняет [RSP] на ghost address, tail-jump’ит в API, VEH на hardware breakpoint возвращает управление на сохранённый настоящий return. Цикл делает NtProtectVirtualMemory(RW), XOR payload, NtDelayExecution(alertable=TRUE) с ghost-chain на стеке, расшифровку и возврат в RX.

♾️Ограничения♾️

PoC зависит от конкретных DLL, их .pdata, наличия ghost regions, win32u gaps и подходящих unwind-паттернов. В коде это частично закрыто runtime-сканированием и fallback-логикой, но не превращает технику в универсальный bypass для любой версии Windows и любого EDR.

Заявления о полном обходе Elastic, Bitdefender и Kaspersky идут из лабораторных тестов автора. Я проверял код и соответствие кода статье, но не воспроизводил эти EDR тесты локально.

🔗Источники:
Статья 0xmaz, 20 июня 2026
🐱 MazX0p/LACUNA-Chain

🌚 @poxek | 🌚 @poxek_ai | 📲 MAX

Сегодня стартовали открытые кибериспытания Т-Банка: их несколько дней назад анонсировал руководитель управления кибербезопасности Игорь Кубышко

В рамках 17-го Standoff он подробно рассказал о программе кибериспытаний.

Главные условия:
▪️пентестеры должны найти и реализовать недопустимый сценарий, а не отдельный баг;
▪️в случае успеха финтех выплатит участнику до 12 миллионов рублей;
▪️кибериспытания проходят в открытом формате: принять участие может любой пентестер — регистрация уже идет.