Не хакинг, а ИБ
19K subscribers
1.04K photos
45 videos
100 files
1.17K links
Лучшие материалы со всего интернета по ИБ и этичному хакингу.

Реклама/сотрудничество: @workhouse_price

Мы на бирже: https://telega.in/c/searchack

Канал в реестре РКН: https://clck.ru/3FtTUG
Download Telegram
😂 75% всех криптовзломов на планете — КНДР установила абсолютный рекорд по похищению чужих активов

В 2025 году хакеры из КНДР похитили криптовалюту на рекордные 2 миллиарда долларов – на 51% больше, чем годом ранее

⚠️ По данным Chainalysis, общий «улов» хакеров из КНДР с начала активных операций превысил 6,75 миллиарда долларов, на долю этой страны пришлось более 75% всех взломов криптосервисов за год

Самым разрушительным эпизодом стал взлом Bybit в феврале – один инцидент, полтора миллиарда ущерба

🗄 Источник – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👏5💊2
📅 Топ-10 инструментов для багбаунти: профессиональный хакинг на максималках

— В этой статье специалисты собрали десятку инструментов, без которых сегодня трудно представить жизнь профессионального багбаунтера

Все программы бесплатны или условно бесплатны, активно поддерживаются и подходят для легального ресёрча

🗄 Читать статью – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥9
👁‍🗨 Фейковые VPN-аддоны для Chrome оказались инструментом тотального шпионажа

— Исследователи обнаружили две вредоносные версии расширения Google Chrome Phantom Shuttle, которые перехватывают интернет-трафик и крадут пользовательские данные

Phantom Shuttle рекламируется как «мультилокационный плагин для тестирования скорости сети», ориентированный на разработчиков и специалистов по внешней торговле

⚠️ После оплаты подписки он становится полноценным инструментом слежки:
«Расширения перехватывают весь трафик, работают как прокси с функцией “Человек посередине“ (MitM) и постоянно отправляют данные пользователей на управляющий сервер злоумышленников» — сообщает исследователь Socket Куш Пандья


🗄 Источник – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
💊4
🐝 Пора проверить свои навыки

Buggy Web Application – сайт с открытым исходным кодом, что предоставляет возможность проанализировать, как именно выглядит веб-ресурс, лишенный всяческой безопасности

— На нем спрятано свыше 100 наиболее распространенных проблем

Найдете?

🗄 Пробуем – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
💊5👍1🤔1
🚠 Небольшая шпаргалка по Nessus

Nessus – сканер уязвимостей, разработанный компанией Tenable Network Security

Он используется для автоматического поиска известных уязвимостей в защите информационных систем

— В шпаргалке рассмотрим установку, настройку, основные команды, сканирование и общие советы

🗄 Шпаргалка – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
💊4
🎃 Маскируем прокси-трафик

Cloak – это подключаемый транспорт, который расширяет возможности традиционных прокси-инструментов, таких как OpenVPN, для обхода сложной цензуры и дискриминации данных

⚠️ Он работает, маскируя прокси-трафик под обычную деятельность по просмотру веб-страниц

Cloak можно использовать в сочетании с любой прокси-программой, которая туннелирует трафик через TCP или UDP, например Shadowsocks, OpenVPN и Tor

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5
😩 Анализируем вредоносное ПО на примере семпла от группировки BO Team: подробный мануал для начинающих

Материал представляет собой краткий мануал, который поясняет:

как быстро определить функциональность вредоносного ПО
достать из семпла индикаторы
и какие инструменты можно использовать для анализа

BO Team (также известная как Black Owl, Lifting Zmiy и Hoody Hyena) – хакерская группа, которая атакует российские государственные и коммерческие организации

— Главный метод проникновения BO Team фишинговые письма с вложениями, запускающими вредоносное ПО

В арсенале группировки: такие инструменты, как DarkGate, BrockenDoor и Remcos, с помощью которых злоумышленники получают удалённый доступ к заражённым системам

🗄 Читать статью – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
💊3
🤖 WAF и RASP: в чём разница и что лучше для безопасности веб-приложений

WAF (Web Application Firewall) – это межсетевой экран, который контролирует и фильтрует HTTP-трафик между приложением и интернетом

RASP (Runtime Application Self-Protection) – это технология, которая работает по принципу «защиты изнутри»

Вместо того чтобы находиться между приложением и интернетом, RASP интегрируется прямо в само приложение


— В статье мы рассмотрим в чем между ними разница и что лучше для безопасности веб-приложений

🗄 Читать статью – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
Как хакнуть фокус за 300 секунд? (Протокол защиты от выгорания)


Это не прокрастинация.
Это сбитая система дофамина.

Reels, уведомления, новости сделали мозг зависимым от мгновенных стимулов.
На их фоне любая работа мозга ощущается как пытка — твое сознание саботирует.

Но есть способ обойти этот саботаж.
Я нашёл метод, который за 300 секунд переводит мозг из режима «бунт» в режим «атака».

Называется протокол «Стена».

Это не медитация.
Не мотивация.
Это инженерный сброс дофамина до заводских настроек.

- 5 минут твоего времени
- 0 рублей затрат

⚡️ Эффект: резкий всплеск концентрации и желание делать, а не залипать

Я подробно и без воды расписал этот протокол в канале SAF SYSTEM.
Там нет философии — только инструкции по управлению энергией и вниманием.

Если ты читаешь это и всё ещё откладываешь задачи —
значит, тебе туда.

👉 Забрать протокол «Стена»:
https://t.me/saf_system
2👍1🔥1🤬1
💸 Bluetooth-наушники могут стать точкой входа для взлома смартфона

— Исследователи опубликовали отчёт, в котором описали сразу несколько критических уязвимостей в Bluetooth-чипах Airoha – именно они используются в миллионах TWS-наушников известных брендов, включая Sony, JBL, Marshall и Jabra

В отчёте утчерждается, что они смогли читать и изменять содержимое памяти и флеш-хранилища наушников, а также получать информацию о воспроизводимом контенте

⚠️ Самый опасный сценарий исследователи назвали «Headphone Jacking»: эксплойт позволяет извлечь из памяти гарнитуры Bluetooth Link Key – криптографический ключ, который используется для доверенного соединения со смартфоном

🗄 Источник – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
🤔6😈4👀3
🤓 Шпаргалка по Git. Решение основных проблем

Git – это система для управления версиями исходного кода программ. 

— Она позволяет отслеживать любые изменения в файлах, хранить их версии и оперативно возвращаться в любое сохранённое состояние

🗄 Шпаргалка – линк.

Дополнительный материал:

🗄 Полезные команды для работы с Git
🗄 Как работать с GitHub в большой команде
🗄 Как бесплатно залить сайт на хостинг GitHub Pages

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5
😈 Мультитул постэксплуатации

EggShell – это инструмент наблюдения после эксплуатации, написанный на Python

Он предоставляет сеанс командной строки с дополнительной функциональностью между пользователем и целевой машиной

Основные функции:
загрузка и выгрузка файлов;
завершение работы с вкладками;
создание снимков;
отслеживание местоположения;
выполнение команд оболочки;
сохранение данных;
повышение привилегий;
поиск пароля.


Также EggShell может использоваться как macOS-бэкдор – он обладает функциями записи аудио через микрофон устройства жертвы, а также записи видео и набранного текста на клавиатуре

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4😱1
— Реальность современной работы в CyberSec…

Всех с наступающим! ☃️

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
😁14👻3😱1👾1
🔎 Поиск данных об уязвимостях и индикаторов компрометации

1. MITRE CVE – поисковик, база данных и общепринятый классификатор уязвимостей.
2. NIST NVD – поиск по официальной американской правительственной базе данных об уязвимостях.
3. GitHub Advisory Database – база данных уязвимостей, включающая CVE и рекомендации по безопасности.
4. CVEDetails, osv.dev, VulDB, maltiverse – еще ряд источников данных об уязвимостях и индикаторах компрометации.
5. opencve.io поисковик CVE со встроенными оповещениями о новых угрозах.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
👩‍💻 Кол­лекция сло­варей для оценки безопасности

Взлом всегда начинается с OSINT или сбора данных о цели, от качества найденной информации зависит успех в поиске бага


SecLists – это целая кол­лекция сло­варей, которые очень при­годят­ся не толь­ко в баг­баун­ти, но и при пен­тесте во время оценки безопасности

— Сло­вари вклю­чают в себя юзер­ней­мы, пароли, парамет­ры URL, под­домены, шаблоны конфиденциальных данных, полезные нагрузки, веб‑шел­лы и мно­гое дру­гое

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥4🐳2
🧑‍🎓 Руководства по тестированию безопасности

OWASP Mobile Security Testing Guide – тестинг гайд от OWASP по мобильным приложениям

OWASP Web Security Testing Guide – тестинг гайд от OWASP по веб-приложениям

HowToHunt – туториал и рекомендации по поиску уязвимостей

Pentest Book – полезная база знаний по пентесту, сценариям проникновения и многом другом

HackTricks – база знаний CTF-игрока, где он делится хакерскими приемами, техниками и всем, что узнал на CTF, а также последними исследованиями и новостями

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3
⚫️ Глобальный деанон ультраправых | Исследовательница вскрыла тысячи анкет сторонников идей «чистой крови»

Более 100 ГБ данных пользователей ультраправых онлайн-платформ оказались в открытом доступе после разоблачения, проведённого независимой исследовательницей, выступающей под псевдонимом Марта Рут.

— Она внедрилась в закрытые сообщества, включая платформу WhiteDate, позиционируемую как сайт знакомств для сторонников расистской идеологии, а также связанные с ней WhiteChild и WhiteDeal.

В результате утечки были раскрыты более 8000 анкет, включая фотографии и чувствительную персональную информацию.


🗄 Источник – линк.

// Не хакинг, а иб
Please open Telegram to view this post
VIEW IN TELEGRAM
👍10👎3🐳2
😷 Краткое руководство инъекций XML/XXE

В этом репозитории вы найдете:

Что такое инъекция внешних сущностей XML, опишем некоторые общие примеры
Как найти и использовать различные виды инъекций XXE
Как предотвратить атаки инъекций XXE

Внешняя инъекция XML (также известная как XXE) – это уязвимость веб-безопасности, которая позволяет злоумышленнику вмешиваться в обработку XML-данных приложения.

Это позволяет злоумышленнику просматривать файлы в файловой системе сервера приложений и взаимодействовать с любыми серверными или внешними системами, к которым может получить доступ само приложение.

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👎4👍2
🎄Новогодим по-хакерски

CyberED вместе с Standoff 365 запускает новогоднюю активность для начинающих исследователей и новичков.

Что под елочкой в планах:

⚔️CTF-турнир с призами для победителей

⚔️Прямые включения из студии с райтапами на некоторые задачи и демонстрацией подходов

⚔️Воркшопы и интервью с практиками

⚔️10 дней бесплатного доступа к учебному контенту CyberED

⚔️Розыгрыш с ценными призами для участников программы

Сам выбирай свой уровень вовлеченности — смотри эфиры под оливье или решай таски, проходи курсы, которые впервые окажутся в открытом доступе.

Дедлайн: 10 января

Зарегистрироваться🫡
Please open Telegram to view this post
VIEW IN TELEGRAM
👻52🔥2
🔸 Вся правда о DNSSEC: почему подпись – это не всё

DNSSEC (Domain Name System Security Extensions)
– это набор расширений протокола DNS, предназначенный для повышения безопасности системы доменных имён

Он минимизирует риски атак, таких как подмена IP-адресов, и обеспечивает достоверность и целостность данных, передаваемых через DNS


В этой статье мы разберём не только как работает DNSSEC, но и типичные «косяки» внедрения, посмотрим на реальные атаки и предложим практические методы усиления защиты DNS

🗄 Читать статью – линк.

// Не хакинг, а ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2