Киберугроза или фантазия: итоги опроса

Если вы выбрали первый сценарий "💛", то оказались правы!

Исследователи из Tarlogic Security действительно нашли бэкдор в Bluetooth-чипе ESP32. Это значит, что миллиард устройств — от умных замков до медицинского оборудования — под угрозой.

📢 А что со вторым сценарием?
«Искусственный образ» — это не фантастика, но пока массовых атак такого уровня не зафиксировано. Однако технологии deepfake уже активно используют в мошенничестве и подмене личности.

В следующем посте разберем, как хакеры обходят системы распознавания лиц с помощью ИИ, и что с этим делать.

🔥 Подписывайтесь, чтобы не пропустить!

KillChain: как хакер закрепляется в системе и отключает защиту

Привет! С вами снова Андрей Федоров, аналитик мониторинга и реагирования RT Protect SOC.
Мы продолжаем разбирать атаку на контроллер домена в виртуальной инфраструктуре. В прошлый раз атакующий получил первоначальный доступ к серверу. Теперь он переходит к следующему этапу: закреплению в системе и отключению средств защиты.
Разберем подробно: какие шаги предпринимает злоумышленник, и как на это реагирует RT Protect EDR.

Как хакер скрывает свое присутствие?
Оказавшись внутри системы, атакующий не хочет терять контроль. Он выполняет три ключевых действия:
1️⃣ Инъекция в другой процесс.
2️⃣ Отключение средств защиты.
3️⃣ Загрузка ВПО и его добавление в автозагрузку.

Шаг 1: Инъекция в другой процесс
Как атакующий пытается скрыться?
Когда хакер получает доступ через meterpreter, он запускает свой код в процессе powershell.exe. Но у него есть проблема:
powershell.exe был запущен процессом w3wp.exe, и если получить доступ к командной строке, то получится следующая цепочка процессов *-> w3wp.exe -> powershell.exe -> powershell.exe -> cmd.exe, что является очень подозрительным. Для затруднения обнаружения атакующий решает переместиться в другой процесс.

Что делает атакующий?
Злоумышленник использует команду «migrate» в meterpreter и мигрирует из процесса powershell.exe в процесс w3wp.exe.

Как реагирует RT Protect EDR?
RT Protect EDR зафиксировал нестандартное межпроцессное взаимодействие, связанное с созданием нити в процессе w3wp.exe из powershell.exe.

Шаг 2: Отключение средств защиты
После выполнения инъекции в другой процесс атакующему желательно закрепиться на скомпрометированном хосте. Поэтому следующим шагом он отключает стандартные средства защиты Windows:
🟡 Windows Defender
🟡 Windows Firewall

Как он это делает?
Отключение стандартных средств защиты Windows реализуется при помощи изменения значений следующих ключей в реестре Windows:

EnableFirewall в HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile

DisableAntiSpyware в HKLM\SOFTWARE\Policies\Microsoft\Windows Defender

Шаг 3: Добавление вредоносного ПО в автозагрузку
После успешного отключения защиты атакующий загружает вредоносное ПО и добавляет его в автозагрузку: при помощи команды «reg createkey» он создает значение Avast в ключе реестра HKLM\Software\Microsoft\Windows\CurrentVersion\Run и указывает путь до исполняемого файла вредоносного ПО, тем самым пытаясь дополнительно замаскироваться под легитимное ПО.

Как реагирует RT Protect EDR?
Сразу после добавления ПО в автозагрузку — в EDR был создан инцидент, в котором была обнаружена подозрительная активность процесса w3wp.exe, связанная с редактированием следующих ключей реестра:

HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Итоги: кто кого?
Что удалось атакующему?
📎 Выполнить инъекцию в процесс.
📎 Отключить защитные механизмы Windows.
📎 Добавить вредоносное ПО в автозагрузку.

Что помешало атакующему?
RT Protect EDR зафиксировал все подозрительные действия.
Даже грамотная атака не осталась незамеченной. Система защиты зафиксировала все критически важные события.

До следующего разбора — 7 дней
Подписывайтесь, чтобы не пропустить!

#KillChain

Опасная подделка: вирус под видом reCAPTCHA

📢 Киберпреступники нашли способ заражать устройства пользователей, подделывая окна reCAPTCHA и Cloudflare Turnstile. Вместо обычной проверки «Я не робот» жертвы сталкиваются с вредоносным кодом, который загружает вирусы и крадёт данные.

Как это работает
Группа ClearFake использует скомпрометированные сайты на WordPress, чтобы показывать пользователям поддельные капчи. После клика жертве предлагают «обновить браузер» или «исправить ошибку». Вместо обновления на устройство загружается вредоносное ПО.

Что распространяют злоумышленники
1️⃣ Lumma Stealer, Vidar Stealer — крадут пароли, файлы и банковские данные.
2️⃣ ClickFix — заставляет жертву выполнять вредоносные команды.
3️⃣ EtherHiding — делает атаку трудноотслеживаемой, пряча код в блокчейне Binance Smart Chain.

Масштабы атаки
По данным Sekoia, заражено уже более 9 300 сайтов, а около 200 000 пользователей могли столкнуться с вредоносными страницами.

Как защититься
🟡 Не вводите данные на сайтах, если капча кажется подозрительной.
🟡 Не скачивайте обновления браузера с неизвестных источников.
🟡 Используйте антивирус и соответствующие расширения браузера для блокировки вредоносных скриптов.
🟡 Реализуйте защиту конечных точек от продвинутых угроз с помощью RT Protect EDR.

#Новости

Итоги викторины

75% участников викторины ответили верно.

❗️Правильный ответ — брутфорс-атака.

Что такое брутфорс?
Брутфорс (brute-force) — способ взлома, при котором злоумышленник перебирает различные комбинации логинов, паролей и ключей шифрования.
Цель атакующего — войти в систему и получить доступ к защищённой информации.

Зло или благо?
📎 Хакеры используют его, чтобы взламывать аккаунты.
📎 А специалисты по кибербезопасности — чтобы проверять, насколько системы устойчивы к атакам.

📢 Как защититься от брутфорса?
Об этом расскажем в следующем Техноразборе! Подписывайтесь!

👾 DDoS-атака на Lovit

С 21 марта интернет-провайдер Lovit подвергается мощной DDoS-атаке. Хотя доступ в интернет восстановлен, возможны сбои: снижена скорость, некоторые сайты остаются недоступными.

Что известно?
Атака началась утром 21 марта. Жалобы поступили от пользователей Москвы, Санкт-Петербурга и Нижегородской области.
Lovit сообщил, что «затронуты ключевые элементы инфраструктуры». Для защиты задействована Национальная система противодействия DDoS-атакам (НСПА), но угроза пока не устранена.

Последствия
1️⃣ За двое суток поступило почти 4000 жалоб на сбои.
2️⃣ Магазины в жилых комплексах застройщика ПИК временно остались без интернета, а значит, и без работающих касс.
3️⃣ Доступ к некоторым ресурсам остается ограниченным.

Что делать пользователям?
🟡 Перезагрузите роутер и дождитесь улучшения ситуации.
🟡 Не вводите пароли и личные данные, если страницы грузятся странно или долго.
🟡 Проверяйте официальные каналы Lovit для актуальной информации.

#Новости

Тема: Уязвимость SQL-инъекции и методы защиты
Дата: 24.03.2025
Автор: Ян, аналитик первой линии

Этот пост для тех, кто хочет разобраться, как SQL-инъекции до сих пор помогают злоумышленникам взламывать базы данных.

Что такое SQL-инъекция?
SQL-инъекция (SQLi) — уязвимость, позволяющая атакующему внедрять вредоносный SQL-код для доступа к базе данных. Это одна из самых распространенных и опасных атак, угрожающая любому сайту или приложению, работающему с SQL.

Симптомы взлома
📎 Внезапный поток подозрительных запросов.
📎 Перенаправление пользователей на странные сайты.
📎 Необычные всплывающие окна и ошибки базы данных.

Этапы атаки
🟡 Поиск уязвимых веб-приложений — злоумышленник ищет сайты, которые используют SQL-запросы без должной защиты.
🟡 Анализ точек ввода — проверяются формы логина, регистрации, поиска и другие поля, куда можно вставить SQL-код.
🟡 Внедрение вредоносного кода — злоумышленник вводит специальный SQL-запрос в поле ввода или URL. Если защита слабая, сервер выполняет его, предоставляя доступ к данным.

Виды SQL-инъекций
SQL-инъекции (SQLi) различаются по способу атаки и масштабу ущерба. Разберём три основных типа:

1️⃣ Внутриполосная атака (In-band SQLi)
Самый распространённый и удобный для хакеров способ. Один и тот же канал используется и для атаки, и для сбора данных.
📎 Error-based SQLi – взломщик провоцирует ошибки базы данных, анализирует их и выявляет уязвимости.
📎 Union-based SQLi – злоумышленник объединяет запросы и получает нужные данные через SQL-оператор UNION.

2️⃣ Инференциальная атака (Inferential SQLi, «слепая» SQL-инъекция)
Данные напрямую не передаются, но можно понять структуру базы по реакции сервера.
📎 Time-based SQLi – серверу отправляют запрос, вынуждая его задерживать ответ. Если реакция замедляется, значит уязвимость найдена.
📎 Boolean SQLi – хакер получает ответы в формате «да» или «нет», постепенно выявляя, какие данные есть в системе.

3️⃣ Внеполосная атака (Out-of-band SQLi)
Используется, когда другие методы не работают из-за нестабильности сервера. Данные передаются через альтернативные каналы (например, HTTP-запросы или DNS).

Как защититься?
📎 Используйте подготовленные SQL-запросы (prepared statements).
📎 Фильтруйте пользовательский ввод и экранируйте спецсимволы.
📎 Ограничьте права доступа: приложение не должно иметь полный контроль над БД.

SQL-инъекции остаются актуальными, потому что ошибки в коде встречаются даже у опытных разработчиков.

Защита — это не разовое действие, а постоянный процесс. Проверьте, насколько безопасно ваше приложение, прежде чем это сделает кто-то другой.

#УголокТехнаря

RT Link — корпоративная коммуникация нового поколения

Сколько мессенджеров вы используете для работы?
Чаты в одном, звонки в другом, файлы отправляете через почту… А теперь представьте платформу, где всё это собрано в одном месте — безопасно, удобно и быстро.

Что меняется с RT Link?
Коммуникация становится проще
1️⃣ Один мессенджер вместо множества сервисов
2️⃣ Чаты, видеозвонки, конференции, пересылка файлов – всё на одной платформе
3️⃣ Демонстрация экрана и корпоративные каналы для удобной работы команды

Безопасность выходит на первый план
🟡 Трёхслойное шифрование всех данных
🟡 End-to-End защита звонков и переписок
🟡 Чаты с исчезающими сообщениями
🟡 Запрет на резервное копирование в облако

Рабочие процессы ускоряются
📎Интеграция с инфраструктурой компании (Active Directory, IP-телефония)
📎Автоматизация задач с чат-ботами
📎Управление доступами и правами сотрудников

Вместо хаоса — прозрачность. Вместо риска утечки — контроль. Вместо устаревших инструментов — новая корпоративная реальность.

#RT_Link

Утечка данных пользователей Keenetic

В сеть попала база данных с конфиденциальной информацией владельцев роутеров Keenetic. Компрометация затронула более миллиона пользователей.

Что произошло?
Исследователи Cybernews подтвердили утечку 1 034 920 записей, содержащих:
📎 Логины и email-адреса владельцев устройств;
📎 SSID и пароли Wi-Fi в открытом виде;
📎 MAC-адреса, IP-адреса, конфигурации роутеров;
📎 Логи активности пользователей, включая посещаемые ресурсы;
📎 Ключи шифрования и данные VPN-подключений.

Почему это опасно?
Эта утечка — не просто список случайных данных. Скомпрометированная информация может использоваться злоумышленниками для:
🟡 Подключения к вашему Wi-Fi без разрешения;
🟡 Перехвата интернет-трафика и слежки за активностью;
🟡 Изменения настроек роутера и создания лазеек для атак;
🟡 Использования вашего IP-адреса в мошеннических схемах.

Реакция Keenetic
Компания заявляет, что проблема была устранена еще в марте 2023 года, и под угрозой оказались только пользователи мобильного приложения, зарегистрированные до 16 марта 2023 года. Тем не менее, утекшие данные уже попали в чужие руки, и их использование остается открытым вопросом.

Эксперты РТ-Информационная безопасность рекомендуют:
1️⃣ Сменить пароли Wi-Fi и администратора роутера;
2️⃣ Отключить удалённое управление, переадресацию портов, UPnP;
3️⃣ Обновить прошивку роутера до последней версии;
4️⃣ Проверить список подключённых устройств — нет ли лишних?

#Новости

⚡️Остался 1 час…

До разбора реального киберинцидента в прямом эфире!

Что происходит, когда у компании нет своей ИБ-команды, а защита ограничивается только антивирусом?

В новом выпуске ток-шоу «Безопасная среда» эксперты крупных компаний разберут реальный кейс из практики «Кибериспытаний».

Как действовал атакующий? Какие уязвимости позволили ему достигнуть цели? Можно ли было предотвратить взлом?

Кейс: реализация НС (полная имитация взлома)
Цель: Остановка производства — ключевой ERP системы.
СЗИ: Исключительно антивирусное ПО.

Вводные:
📎 Компания с полным циклом производства, дистрибьюции и услуг, связанных с этим производством
📎 Имеет разветвленную инфраструктуру, связанную с большим физическим присутствием
📎 Обрабатывает ПДн и имеет в штате несколько сотен сотрудников
📎 Собственная ИБ-команда отсутствует
📎 Много лет на рынке

Наш эксперт:
📢 Иван Бобков, ведущий аналитик RT Protect SOC.
Он расскажет, как специалисты по мониторингу выявляют атаки, какие сигналы можно было заметить заранее и почему реакция на инциденты – это не менее важно, чем защита.

Кто еще в эфире?
🟡 Сергей Демидов (Московская биржа)
🟡 Антон Бочкарев (3side, Кибериспытания)
🟡 Модератор – Артем Куличкин (СОГАЗ)

❗️26 марта, 12:00 по мск

Как присоединиться?
Участие бесплатное — скорее регистрируйтесь!
Подробности по ссылке.

🔐Брутфорс: тест на прочность

Пароли защищают аккаунты, но насколько хорошо?
Если злоумышленник решит взломать учётную запись, он может воспользоваться методом брутфорса — простым, но эффективным способом подбора паролей.

Однако брутфорс используется не только хакерами. Специалисты по кибербезопасности применяют его для тестирования защиты систем, чтобы выявить слабые места до того, как это сделает злоумышленник. Что делает этот метод таким опасным? Разберёмся.

Основные методы брутфорс-атак
📎 Перебор случайных символов — классический метод, где подбираются все возможные комбинации.
📎 Перебор по словарю — используются реальные слова и фразы (имена, города, цитаты, рейтинг популярных паролей).
📎 Гибридная атака — к обычным словам добавляются случайные символы (например, важные даты).
📎 Обратная атака — один пароль пробуют для множества логинов.
📎 Персональный взлом — применяется социальная инженерия, используется информация о жертве из социальных сетей и других источников.
📎 Подстановка учётных данных — использование скомпрометированных паролей из других сервисов.
📎 Брут-чек — метод, при котором проверяют учетные записи на различных сайтах, используя похищенные или скомпрометированные пароли.

Как защититься?
1️⃣ Используйте разные пароли для разных сервисов. Даже если один из них попадёт в руки злоумышленников, остальные аккаунты останутся в безопасности.
2️⃣ Создавайте сложные пароли. Длина не менее 12 символов, сочетание букв в разных регистрах, цифр и спецсимволов делает перебор практически невозможным.
3️⃣ Подключите двухфакторную аутентификацию (2FA). Даже если хакер узнает ваш пароль, ему потребуется дополнительный код подтверждения.
4️⃣ Регулярно меняйте пароли. Даже если ваш пароль ещё не утёк в сеть, он может быть скомпрометирован без вашего ведома.
5️⃣ Используйте менеджеры паролей. Это безопасный способ хранения сложных паролей, который избавит вас от необходимости их запоминать.

Как защищают сервисы?
Компании тоже не остаются в стороне. Для защиты от брутфорса они используют:
⚫️ Ограничение числа попыток входа. После нескольких неудачных попыток может потребоваться капча или последует временная блокировка.
⚫️ Настройки сложности пароля и времени его актуальности: минимальная длина, обязательное использование символов разного типа, а также периодическая необходимость смены пароля.
⚫️ Использование соли в хешах — это затрудняет взлом даже в случае утечки базы данных.

#Техноразбор

KillChain: как атакующий добывает учетные данные и исследует инфраструктуру?

📢 Всем привет! Андрей Федоров, аналитик мониторинга и реагирования RT Protect SOC, вернулся, чтобы разобрать следующие этапы уничтожения данных контроллера домена.
В прошлый раз мы узнали, как злоумышленник закрепляется в системе и отключает защиту. Теперь — о том, как он получает учетные данные и информацию об инфраструктуре.

Этап 3 — Получение учетных данных пользователя
После закрепления в системе атакующий использует технику OS Credential Dumping: LSASS Memory, чтобы извлечь учетные данные пользователей.

Что происходит:
Для реализации техники используется Beacon Object File (BOF), который позволяет расширить функционал фреймворка для постэксплуатации путем выполнения нагрузки в памяти процесса.
Для маскировки действий атакующий сохраняет дамп памяти в папке C:\Windows\Temp в файл с расширением .TMP.

⚫️ Что удалось атакующему?
Получить дамп памяти процесса lsass и выгрузить данный файл.

🟡 Как реагирует RT Protect EDR:
Обнаруживает получение доступа к памяти процесса lsass с подозрительными правами (PROCESS_ALL_ACCESS) недоверенным процессом w3wp.exe.

❗️Важно: немалое количество правил из наборов экспертизы, применяемых на агентах EDR, нацелены на блокировку получения доступа к учетным данным (lsass, SAM, ntds.dit и д.р.), что позволяет минимизировать последующую компрометацию инфраструктуры.

После получения дампа процесса lsass, атакующий при помощи инструмента pypykatz получает хеш пароля доменного пользователя, который является администратором сервера Exchange, что в перспективе дает возможность получить доступ к хостам, на которых работает данный пользователь.


Этап 4 — Получение информации об инфраструктуре
Получив учетные данные, злоумышленник изучает сеть, чтобы определить ключевые узлы для дальнейшего продвижения атаки.

Что делает атакующий:
Проводит сканирование при помощи nmap со следующей командной строкой: nmap- F 192.168.56.0/28

Получает информацию:
192.168.56.2 — контроллер домена.
192.168.56.3 — сервер Exchange, к которому уже есть доступ.
192.168.56.4 — рабочая станция под управлением ОС Windows, представляющая интерес.


Производит разведку на предмет наличия RDP-сессий на 192.168.56.4 и получает информацию о работе Администратора домена на указанном хосте.

Как реагирует RT Protect EDR:
Фиксирует нестандартные команды, направленные на поиск активных RDP-сессий (quser /server:192.168.56.4).

🟡 С точки зрения EDR, активность, связанная со сканированием сети, не детектируется, поскольку это задача SIEM-системы, однако, EDR может помешать сканированию. Это возможно путём активации параметра «Активная защита от сканирования сетевых портов» в профиле безопасности агента.

⚫️ С точки зрения атакующего, при включении данного параметра, после выполнении той же команды nmap, он получит информацию о том, что почти все порты открыты.

Итоги: кто кого?
📎 Атакующий успешно просканировал инфраструктуру и получил о ней информацию.
📎 Смог обнаружить RDP-сессию пользователя домена на новом хосте.

RT Protect EDR зафиксировал подозрительную активность. Защитные механизмы оказали противодействие в сканировании конечных точек.

🔥 Это еще не конец
Ровно через неделю разберем финальные этапы атаки — подписывайтесь!

#KillChain

IngressNightmare: новая угроза для Kubernetes

Эксперты Wiz обнаружили критические уязвимости в Ingress NGINX Controller, который используется в кластере Kubernetes для управления входящим трафиком, обеспечивая маршрутизацию запросов к различным сервисам на основе заданных правил. Уязвимости позволяют злоумышленникам выполнять произвольный код (RCE) и захватывать контроль над кластерами.

Что случилось?
📎Обнаружены уязвимости CVE-2025-1097, CVE-2025-1098, CVE-2025-24514, CVE-2025-1974.
📎Уязвимый компонент — Ingress NGINX Controller.
📎Эксплуатация уязвимостей получила название IngressNightmare.

Как работает атака?
🟡 Отправка вредоносного объекта на контроллер.
🟡 Внедрение произвольной конфигурации в NGINX.
🟡 Запуск удаленного выполнения кода (RCE).

Возможные последствия
1️⃣ Полный контроль над Kubernetes-кластером.
2️⃣ Доступ к секретам во всех пространствах имен.
3️⃣ Возможность изменения инфраструктуры.

Как защититься?
📎Обновите Ingress NGINX Controller до версии 1.12.1 или 1.11.5.
📎Если обновление невозможно, ограничьте доступ или отключите контроллер.

#Новости

🔥 РТ-ИБ в топе!

Недавно наш канал вошёл в топ-108 телеграм-каналов в ИБ по версии Sachok и «Пакет Безопасности», заняв почетное место в категории «Корпоративные».

Это важно для нас, но ещё важнее то, что вы читаете, задаёте вопросы и применяете знания на практике.

💛 Спасибо, что вы с нами!

🔐 RT Protect EASM: контроль над цифровыми рисками

Информационная безопасность — это не только защита паролей и антивирус. Бизнесу важно видеть полную картину: какие цифровые активы уязвимы, где могут появиться фишинговые копии, утекли ли учетные данные сотрудников.

Что делает RT Protect EASM?
1️⃣ Инвентаризирует и отслеживает внешние активы компании
2️⃣ Анализирует уязвимости и предупреждает о рисках
3️⃣ Обнаруживает фишинговые домены
4️⃣ Находит утечки и упоминания на хакерских форумах

Как это работает?
RT Protect EASM использует:
📎 Пассивное и активное сканирование — находит поддомены, IP-адреса, открытые порты, сервисы
📎 Анализ веб-сервисов — выявляет уязвимости и устаревшие компоненты
📎 Мониторинг теневого интернета — ищет упоминания в утечках и на хакерских ресурсах
📎 Обнаружение фишинговых атак — фиксирует подозрительные домены

Кому это нужно?
Компаниям любого масштаба, которым важно управлять своими цифровыми активами, минимизировать риски атак и снижать нагрузку на отдел информационной безопасности.

Обеспечение информационной безопасности — это не вопрос будущего, а необходимость сегодняшнего дня.

#RT_Protect_EASM

🔥Уже завтра, 02.04 (среда), на АМ Live состоится эфир, который мы посвятим сравнению коммерческих SOC.

✅ Мы сравним услуги коммерческих SOC по составу, уровню гарантийных обязательств и стоимости. Проанализируем инфраструктурные различия, уровень технологической зрелости и технической поддержки, чтобы вы могли лучше понять сильные и слабые стороны каждого из них.

📌 Когда: 02.04 в 15:00

👉 Зарегистрироваться >>

🙋🏻Спикер - Жуков Алексей, руководитель Департамента сервисов и продуктов, "РТ-Информационная безопасность"

#AMLive_эфир2апреля_ч2 #кибербезопасность #AMLive #SOC #ИБ