Поговорим про открытый GitLab
Как показывает практика, у большого количества компаний частенько можно найти открытый GitLab в паблик. Да и не только его...

Это удобно бизнесу, особенно когда есть куча подрядчиков. Комфортный интерфейс, web-хуки, CI-виджеты, всё работает из коробки. Проблема в том, что тот же интерфейс оказывается первым, что находят автоматические сканеры типа Shodan и Censys. Дальше цепочка выглядит предсказуемо.

Как происходит компрометация
1. Определение версии
В новых обновлениях ее скрывают, но обычно на help странице она доступна. GitLab подсказывает, какой патч устанавливался в последний раз. Если версия устарела, список публичных CVE уже готов.
2. Remote Code Execution
Для критических уязвимостей (CVE-2025-1257, CVE-2022-2884 и т. д.) давно существуют скрипты-плейбуки. Время от получения баннера до shell — минуты.
3. Доступ к репозиториям и Runner-секретам
Успешный RCE открывает секреты в gitlab variables, CI-токены, deploy-keys, а нередко и приватные ключи разработчиков в артефактах.
4. Распространение внутри сети
С помощью токенов CI/CD атакующий разворачивает бэкдор в пайплайнах, получает доступ к прод-серверу, а затем запускает скрипт шифровки или тихую подмену кода.
5. Supply-chain-эффект
Изменения в репозиториях распространяются клиентам, партнёрам, конечным пользователям — ущерб выходит за пределы одной организации.

Почему риск недооценивают
- GitLab воспринимается как вторая Jira. Почему-то многие забывают, что внутри часто лежат коды инфраструктуры, доступы к Kubernetes, Ansible playbooks и токены облака.
- Сервис обновляется редко: мажорная версия требует тестов, раннеров и иногда даунтайма. Патчи откладывают
- «Ну и что, у GitLab же встроенная авторизация» — да, но без MFA и VPN она становится вопросом перебора паролей или фишинга.

Что делать
1. GitLab спрятать за VPN; как минимум — reverse proxy с ограничением IP-адресов
2. Защитить токены: ротация секретов; хранение deploy-keys вне репозитория
3. Ограничить последствия. Изолированный бэкап gitlab-backup; регулярное восстановление на стенде.

Zero-day в SharePoint: CVE-2025-53770

Привет! Проверьте, не затронуло ли вас. Ниже «краткая историческая справка» и инструкции, что делать.

Microsoft подтвердила активную эксплуатацию критической уязвимости в on-prem SharePoint CVE-2025-53770. Уязвимость позволяет атакующему без авторизации развернуть web-shell и получить удалённое выполнение кода (RCE) через подделку ViewState-токенов.

Эксплойт использует POST-запрос к /layouts/15/ToolPane.aspx с Referer=/layouts/SignOut.aspx, что приводит к загрузке spinstall0.aspx — дампера, извлекающего ValidationKey. Это позволяет сгенерировать валидный токен ViewState и вызвать RCE через инструменты вроде ysoserial.
Первая волна атак была 18 июля и массовое заражение продолжается по всему миру.

Патч от Microsoft уже выпущен: официальная информация от MSRC, установите как можно скорее.

Что ещё стоит сделать:
1. Проверьте IIS-логи на:
POST /layouts/15/ToolPane.aspx?DisplayMode
Referer /layouts/SignOut.aspx
GET /layouts/15/spinstall0.aspx

2. Публичный эксплойт размещает файл spinstall0.aspx в папки SharePoint, проверьте у себя его наличие. Полный путь выглядит так: $destinationFile = "C:\PROGRA~1\COMMON~1\MICROS~1\WEBSER~1\16\TEMPLATE\LAYOUTS\spinstall0.aspx"

Собрали для вас YARA-правило и индикаторы компрометации, приложу сюда

Ладно, вот мои комменты про Аэрофлот

Вы уже точно видели, что случилось. И об этом взломе мы явно будем говорить ещё долго (если только в этом году не случится нового масштабного взлома КИИ).

Я против танцев на костях, тем более что пока мы видели только информацию со стороны хакеров. Будем честны, такое могло произойти не только с Аэрофлотом.

Если все что написано об инциденте правда, то от такого удара будет тяжело оправиться еще долго. Сочувствуем ИТ инженерам кто сейчас будут несколько недель работать без продыха - ребята, мы с вами! ;)
Посмотрим, что расскажут коллеги после официального расследования, и очень надеюсь, что они публично поделятся максимумом информации, потому что отрасли важно учиться на чужих ошибках.

Take care!

Всю неделю на Positive Hack Camp – читаю лекции для студентов из разных стран

Поздравляю финалистов шорт-листа Pentest Awards!

@baksist — спец по анализу защищённости из Singleton Security — смог с первого захода попасть в шорт-лист «Пробив WEB», одной из самых популярных номинаций!

В пятницу узнаем имена победителей, я тоже буду на вечерней тусовке, приходите пообщаться.

P.S. Я не в жюри (к великому моему сожалению) и не знаю, какие кейсы победят и почему. Но очень жду, когда номинанты смогут поделиться своими историями и может даже порадовать нас новыми техниками и подходами к атакам!

Методичка по недопустимым событиям

Мой коллега Пётр из Singleton Security приготовил немного полезностей
Нам достаточно часто пригождается методика разработки реестра недопустимых событий — это пошаговый гайд, который поможет:
– Выявить и описать самые критичные инциденты для бизнеса
– Приоритизировать меры защиты и настроить мониторинг
– Согласовать всё с руководством и командой ИБ

Кмк, это достаточно удобный и простой подход, для того чтобы согласоваться по целям с акционерами, СЕО и CISO в целях кампании по защите компании от конкретных проблем, понятных всем.

Внутри описаны этапы разработки реестра: от создания рабочей группы до финального утверждения, а также даны примеры недопустимых событий.

Если у вас еще нет общего для всех участников реестра недопустимых событий, скорее всего у вас есть разница понимания о том, от каких проблем вы защищаете бизнес и сколько это должно стоить.

Качай PDF, юзай для себя или коллег.

Небольшой анонс для CISO банков

В Singleton Security совместно с партнёрами готовим исследование по кибругрозам и трендам в ИБ банковского сектора 2025-2026. Если вы работаете в ИБ банка или МФО — приглашаю вас присоединиться к исследованию и пройти анонимный опрос. Участники анкетирования получат ранний доступ ко всему исследованию — там мы разбираем текущие киберриски, новые векторы атак и способы защиты от них. 

Принять участие в исследовании

Кибербез без бюджета – это задачка со звёздочкой, но коллеги обещают рассказать про нестандартные решения для малого и среднего бизнеса на конфе в Кибердоме 26 августа

Конфа открытая, так что заглядывайте (и мне потом расскажите)

OFFZONE

Спасибо ребятам за гостеприимство, очень качественная конфа, по-настоящему сохранившая хакерский дух. Коэффициент содержательности на квадратный метр зашкаливает. Оргам удалось удержать и развить в культ hardware историю с бейджами и аддонами. И вообще сделать такую махину столь качественно.. я представляю чего это стоит - это почти высший пилотаж.
Настоящая ярмарка, в хорошем смысле.

Для молодых и заряженных на лут хакеров было больше 20 активностей: на быка залетать я не решился, но видел как летел вниз другой двухметровый хакер, выглядело эпично; десяток стендов давал аддоны (думаю все вы видели няшного здоровяка аддон-боя :D); тут же, привет нашим друзьям из Контур.Эгиды с их квестами для ловких цис и соковцев; квесты от самих ребят из бизон как всегда топчик.

Очень рад за ребят, пишу им такой очерк только для того, чтобы поддержать и вовлечь тех, кого не было в этот раз, чтобы вы постарались прийти в следующий.

Должны ли компании более открыто рассказывать о взломах?

Короткий ответ, да. Оперативный шеринг информации о том, что делали хакеры, какие техники использовали (особенно если в ход шла социальная инженерия), сделал бы российское пространство ощутимо безопаснее.

Можно не раскрывать свою внутреннюю кухню, но расскажите вы о том, как действовали атакующие.. Атаки же массовые в 99% случаев, а не только на вас. Выпустите сообщение: что случилось, почему, что делать клиентам. Попросите сменить пароли, извинитесь, предложите бонусы, любые меры для удержания лояльности, но не: «У нас технический сбой; нет, это не взлом; это не подтверждено». Вы же открытостью наоборот показываете свой профессионализм.

12 Storeez недавно рассказывали у себя, как именно их взломали, и что они предприняли. До этого тоже были хорошие подробные кейсы — но пока, к сожалению, их можно пересчитать по пальцам одной руки.

ФО-РЕН-ЗИ-КА
Продаётся форензика

Я не эксперт в продающих текстах, но просто напомню, что одним очень важным элементом готовности к кибератакам является ответ на вопрос: «Кому звонить, если случится жопа?».

Супер, если у вас есть подрядчик, с которым заранее подписан договор, и кто умеет реагировать не в рамках «5 рабочих дней», а в рамках «вотпрямщас».

Если нет, то искренне рекомендую найти такую компанию и как минимум сохранить контакт. Такой компанией может стать Singleton Security — мы занимаемся форензикой с 2024 года, анализируем малвари, расследуем утечки, готовим экспертные заключения для регуляторов. Помогаем восстановить данные и определить цепочку событий. Рекомендациями готов поделиться в личке.

Сохраняйте контакт для оперативной связи — Виктория @postnikovava

📊 Вышла стата по раскрываемости киберпреступлений в РФ от МВД, и это натолкнуло меня на следующие размышления:
 
---
За последние пару лет ко мне обращались несколько адвокатских бюро с предложением партнёрства в сфере проблем их клиентов, связанных с цифровой средой.

По их утверждению, работа судебной системы, следственных мероприятий и адвокатских бюро в ближайшие годы может (и должна) серьёзно измениться. И они хотят за этим успеть.
Потому что уже почти половина всех преступлений в РФ связана с интернетом и система должна найти механизмы постоянного доступа к ИТ-экспертизе.

Проблема в том, что адвокаты вообще не имеют экспертизы в информационных технологиях, и не чувствуют почвы под ногами в таких вопросах.

🤷 Думаю, то же самое и со следователями. Да, у кого-то есть контакты с крупными ИБ-компаниями, которые могут помочь, но это даже не 1% всех участников.

Говоря о предложениях — ничем это не закончилось, но погрузиться в проблематику было интересно.
---
💭 Короче, I have a dream 😂: однажды CyberEd будет поставлять продукты обучения всем следователям, участковым, адвокатам и юристам — по фундаментальным основам цифровой среды и преступлений в ней.

✉️ Предложения принимаются ;)

Чутка мемсов, раз вы не оценили моих благих намерений)