Думают люди в Ленинграде и Риме, что инсайдер, внедряющий бэкдор в ваш продукт, - это то, что бывает с другими. 😈 Сегодня в чате поддержки VM-вендора Metascan появилось официальное уведомление об инциденте с разработчиком, находящимся на испытательном сроке. Этому разработчику удалось закоммитить в рабочий проект зловредный код, но до продакшена этот код не дошёл - успели выявить.

Потом, в ходе расследования, выяснилось, что этот разраб ещё и исходники конкурентам сливал. А если бы не засветился с бэкдором, может, и не заметили бы. 🤔

К расследованию подключили компьютерных криминалистов из Лаборатории Касперского. Пишут, что данные клиентов и другие "административные данные" не утекли. Про дальнейшую судьбу злодея не пишут, но, подозреваю, что испытательный срок он не прошёл. 😅

Мораль? Вы своим дорогим коллегам доверяйте, но и контролируйте их. Особенно привилегированных. И не только разработчиков. 😉

@avleonovrus #Metascan #insider

В связи с кейсом F5 не могу в очередной раз не порадоваться, что Россию он задевает "по касательной". Если во всём мире наблюдается около 269 000 инсталляций продуктов F5, доступных из Интернет, из которых больше половины находятся в США, то в России их только 100. Хотелось бы, конечно, чтобы их количество снизилось до нуля. Но в любом случае каких-то катастрофических последствий их прогнозируемая компрометация не принесёт. А вот в других локациях будет куда веселее. 🙂

И всё это благодаря политике планомерного отказа от западных IT/ИБ-продуктов в пользу отечественных аналогов, иными словами, благодаря импортозамещению. 😉

Пусть не так быстро, как хотелось бы, пусть через противодействие и недовольство, но инфраструктуры российских организаций очищаются от западных (американских) вендоров и связанных с ними глобальных киберкатаклизмов.

За бесконечным цирком SonicWall, Ivanti, Palo Alto, CrowdStrike, Cisco, F5 и прочими-прочими гораздо приятнее наблюдать со стороны. 😏

@avleonovrus #dewesternization #F5

На прошлой неделе Tenable выпустили два больших материала с критикой продуктов класса Exposure Management, развившихся из EDR.

🔻 Критическая статья и сравнительная таблица таких решений с EM-решением Tenable. Там ещё есть видео от вице-президента Tenable (Gavin Millard). 📺

🔻 Едкая критика EDR-вендоров в рамках статьи о компрометации вендора F5.

Похоже, конкуренты EDR-щики успешно перетягивают на себя тему Exposure Management-а, и Tenable пришлось начать маркетинговую войну. ⚔️

В которой я, безусловно, на стороне Tenable. 🙂 Endpoint-ы - важная часть инфраструктуры, но, естественно, не вся. И для качественного детектирования экспозиций нужен фокус на этой теме. Если реализовывать это в виде побочной функциональности EDR-решения, получится так себе. 😒

Хотя, говоря о качестве детектирования, западные VM-вендоры сами виноваты, что долгое время замалчивали эту тему, и у пользователей могло сложиться впечатление, что это всё коммодити и никакой разницы нет. 😉

@avleonovrus #Tenable #ExposureManagement #EDR

Исследователей могут обязать репортить уязвимости, найденные в программном обеспечении, некоторому регулятору. Об этом сообщает РБК:

"Также предлагается ввести обязанность для всех, кто обнаружил уязвимость, сообщать о ней не только владельцу программного обеспечения, но и силовым ведомствам. В ст. 274 Уголовного кодекса («Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации») предлагается внести поправку, по которой «неправомерная передача уязвимостей», то есть не соответствующая установленным правилам, будет квалифицироваться как преступление."

Как я понимаю, под "владельцем ПО" понимается его вендор. Таким образом это НЕ централизованный репортинг уязвимостей, когда решение о том, сообщать ли об уязвимости вендру принимает сам регулятор, а скорее параллельный репортинг, когда вендор и регулятор узнают об уязвимости одновременно.

Но и такой вариант, имхо, гораздо лучше нерегулируемого репортинга уязвимости, как есть сейчас. 👍

@avleonovrus #research #ИНД

Про уязвимость Remote Code Execution - Windows Server Update Services (WSUS) (CVE-2025-59287). WSUS - легаси компонент Windows Server, который позволяет IT-администраторам управлять загрузкой и установкой обновлений продуктов Microsoft на компьютерах в локальной сети. Суть уязвимости: неаутентифицированный удалённый злоумышленник может запустить код с привилегиями SYSTEM на Windows-сервере с включенной WSUS Server Role (по умолчанию она выключена), отправив на него специально подготовленные POST-запросы. Это возможно из-за ошибки десериализации недоверенных данных.

⚙️ Первоначально исправления вышли 14 октября в рамках октябрьского Microsoft Patch Tuesday.

🛠 С 18 октября на GitHub доступен публичный эксплойт.

⚙️ 24 октября Microsoft выпустили дополнительные исправления для полного устранения уязвимости (требуют перезагрузки сервера).

👾 24 октября уязвимость добавили в CISA KEV, есть сообщения о зафиксированных попытках эксплуатации уязвимости.

@avleonovrus #Microsoft #Windows #WSUS

Завершая тему компрометации F5, стоит отметить, что подобные атаки неизбежно будут проводиться и против отечественных IT/ИБ вендоров. У них также могут слить незакрытые задачи на устранение уязвимостей и исходный код, что приведёт к массовой эксплуатации 0day уязвимостей. 😱 Как снизить такие риски? 🙂

Имхо, государству стоит определить вендоров, наиболее интересных злоумышленникам - прежде всего разработчиков решений, доступных из Интернет: систем удалённого доступа, CMS, CRM, e-learning, почты, мессенджеров и т.п.

Помимо повышенных требований к этим "периметровым" продуктам (отсутствие НДВ), необходимо ужесточить требования к вендорам:

🔻 Их инфраструктура должна соответствовать современным требованиям ИБ (хотя бы в объёме 117 приказа ФСТЭК).
🔻 Они обязаны отвечать за уязвимости и их сокрытие, а данные об уязвимостях должны быть доступны для изучения.
🔻 Их продукты должны быть выставлены на багбаунти.

Кто не тянет - тем не место в "импортозамещательных" реестрах. 😉

@avleonovrus #vendors #FSTEC #FSTEC117

Про уязвимость Cross Site Scripting - Zimbra Collaboration (CVE-2025-27915). Zimbra Collaboration - это пакет программного обеспечения для совместной работы, некоторый аналог Microsoft Exchange. Эксплуатация уязвимости в почтовом веб-клиенте (Classic Web Client) позволяет неаутентифицированному злоумышленнику выполнить произвольный JavaScript в контексте сеанса жертвы. Для этого злоумышленнику достаточно отправить письмо со специально сформированным ICS-файлом (календарь iCalendar). Полезная нагрузка активируется при просмотре сообщения в веб-интерфейсе.

⚙️ Уязвимость была исправлена 27 января в версиях 9.0.0 Patch 44, 10.0.13, 10.1.5, а также в неофициальной бесплатной сборке Zimbra Foss from Maldua.

🛠 30 сентября StrikeReady Labs опубликовали исследование уязвимости и публичный эксплоит.

👾 Также StrikeReady Labs сообщили об эксплуатации уязвимости в атаке на бразильскую военную организацию в январе, до выхода патча. 7 октября уязвимость добавили в CISA KEV.

@avleonovrus #Zimbra #StrikeReadyLabs

Выявление признаков компрометации как часть EASM-сервиса. На прошлой неделе меня зацепила новость про новую фичу "Compromise Assessment" в CICADA8 ETM.

"При обнаружении критических уязвимостей на внешнем контуре CICADA8 ETM предоставляет компаниям возможность проверки до 3 хостов на наличие признаков компрометации."

Разработчики CICADA8 рассказали мне, что процесс полуавтоматический:

🔹 EASM-сканер выявляет эксплуатируемую уязвимость на периметре организации.
🔹 Заказчик запускает скрипт на уязвимом сервере для сбора инвентаризации, логов и IOC-ов, а затем отдаёт результаты в CICADA8.
🔹 Форензик-специалисты CICADA8 делают выводы о наличии признаков компрометации.

Имхо, это must-have функциональность для EASM-решений! 👍 Учитывая непрерывную активность злоумышленников по поиску возможных точек входа, если на периметре несколько часов торчит актив с критичной эксплуатируемой уязвимостью, речь уже не идёт о том, что вас МОГУТ сломать - скорее всего, вас УЖЕ сломали. 😉

@avleonovrus #CICADA8 #CICADA8ETM

Про уязвимость Elevation of Privilege - Windows Agere Modem Driver (CVE-2025-24990). Уязвимость из октябрьского Microsoft Patch Tuesday. Agere Modem Driver (ltmdm64.sys) - это программный компонент, который позволяет компьютеру взаимодействовать с модемом Agere (или LSI) для коммутируемого (dial-up) или факсимильного соединения. 📠🙄 Несмотря на сомнительную практическую полезность, драйвер продолжал поставляться в составе операционных систем Windows. Локальный злоумышленник, успешно воспользовавшийся уязвимостью в этом драйвере, может получить права администратора.

⚙️ Накопительное обновление Microsoft от 14 октября удаляет этот драйвер из системы.

🛠 16 октября для уязвимости был опубликован эксплойт на GitHub. Автор сообщает, что драйвер поставлялся ещё с Windows Vista. В Microsoft знали о проблеме как минимум с 2014 года (11 лет ❗️), но игнорировали её. 🤷‍♂️

👾 22 октября эту уязвимость добавили в CISA KEV, подробности по атакам пока неизвестны.

@avleonovrus #Windows #Agere #ltmdm64

Про уязвимость Remote Code Execution - Redis "RediShell" (CVE-2025-49844). Redis - это популярная резидентная (in-memory) база данных типа «ключ–значение» с открытым исходным кодом, используемая как распределённый кэш и брокер сообщений, с возможностью долговременного хранения данных. Уязвимость позволяет удалённому аутентифицированному злоумышленнику выполнить произвольный код при помощи специально подготовленного Lua-скрипта. Требование "аутентифицированности" не снижает критичность, так как аутентификация в Redis по умолчанию отключена и часто не используется. 🤷‍♂️

⚙️ Уязвимость была обнаружена исследователями Wiz и представлена на Pwn2Own Berlin в мае этого года, была исправлена 3 октября (в версии 8.2.2).

🛠 С 7 октября для уязвимости доступен публичный эксплойт на GitHub.

👾 Сообщений об атаках пока нет.

🌐 На 7 октября в Интернет было доступно 330 000 экземпляров Redis, из них 60 000 без аутентификации.

@avleonovrus #Redis #Wiz

Основной VM-ный мессадж Positive Technologies в этом году: представление трёх современных классов решений для работы с уязвимостями.

🟥 Advanced Vulnerability Assessment - качественное детектирование уязвимостей с планировщиком сканов, дифф-отчётами, информативными how to fix-ами. Здесь будет новый продукт.

🟥 Risk-Based Vulnerability Management - организация процесса управления уязвимостями и мисконфигурациями с учётом полной информации об уязвимостях и активах. Это MaxPatrol VM и модуль MaxPatrol HCC.

🟥 Threat Exposure Management - продвинутая приоритизация проблем безопасности (не только технических уязвимостей, а экспозиций разного уровня ❗️) через построение потенциальных путей атак. Это MaxPatrol Carbon.

@avleonovrus #PositiveTechnologies #MaxPatrolVM #HCC #Carbon

Про уязвимость Elevation of Privilege - Linux Kernel (CVE-2025-38001). Уязвимость в модуле сетевого планировщика Linux HFSC. Эксплуатация уязвимости позволяет аутентифицированному злоумышленнику повысить привилегии до root-а.

⚙️ Уязвимость из июньского Linux Patch Wednesday. В отчёте Vulristics эта уязвимость ничем не отличалась от ещё 354 уязвимостей Linux Kernel: пространное описание в NVD, из которого никак не следует, к чему именно может привести эксплуатация уязвимости; отсутствие CVSS вектора. Классика. 🙄

🛠 Примерно через месяц после появления обновлений в Linux-дистрибутивах, 11 июля, вышел write-up по этой уязвимости и публичный эксплойт. На демонстрационном видео локальный атакующий скачивает и запускает бинарный файл, после чего получает root-овый шелл и читает содержимое /etc/shadow. На профильных ресурсах появление этого эксплоита осталось практически незамеченным. 🤷‍♂️

👾 Сведений об эксплуатации уязвимости в реальных атаках пока нет.

@avleonovrus #Linux #LinuxKernel #HFSC