🤖 Утилита для поиска секретов

TruffleHog – инструмент безопасности, который сканирует репозитории кода на наличие git паролей, ключей и других чувствительных данных

— Этот инструмент эффективен для поиска случайно сохранённых в исходном коде паролей и ключей, даже если впоследствии они были убраны

Поддерживает поиск секретов в таких системах, как Git, GitHub, GitLab, Docker, Amazon S3, syslog, circleci

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

🐈‍⬛️ Семейство программ Hashcat: как научиться взламывать пароли, создавать и оптимизировать словари

Получение хеша, как правило, связано с преодолением одного из уровней защиты:
⏺получение доступа к базам данных
⏺перехват (сниффинг) незашифрованных данных
⏺перехват зашифрованных файлов
⏺перехват пакетов аутентификации (для беспроводных сетей)

— Получению хеша может предшествовать длительная работа по проникновению, уже эту компрометацию можно считать большим успехом

Но для того, чтобы захваченные хеши принесли реальную пользу, их нужно расшифровать

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🤬 В даркнете продают 89 млн записей пользователей Steam с кодами 2ФА

⚠️ Хакер под ником Machine1337 выставил на продажу массив данных, содержащий 89 млн записей пользователей Steam

— В дампе нашли SMS-сообщения с одноразовыми кодами для Steam, а также номера телефонов их получателей

Machine1337 (он же EnergyWeaponsUser) продает дамп за 5000 долларов, но в качестве образца данных он выложил в открытый доступ 3000 записей

Исследователи предполагают, что это может быть связано с компрометацией компании Twilio

🗄 Источник – линк.

// Не хакинг, а ИБ

👩‍💻 Всем программистам посвящается!

Вот 17 авторских обучающих IT каналов по самым востребованным областям программирования:

Выбирай своё направление:

👩‍💻 Python — www.tg-me.com/python_ready
🤔 Хакинг & ИБ — www.tg-me.com/hacking_ready
👩‍💻 Linux — www.tg-me.com/linux_ready
👩‍💻 Bash & Shell — www.tg-me.com/bash_ready
🖥 Базы Данных & SQL — www.tg-me.com/sql_ready
👩‍💻 Java — www.tg-me.com/java_ready
👩‍💻 C/C++ — https://www.tg-me.com/cpp_ready
👩‍💻 C# & Unity — www.tg-me.com/csharp_ready
👩‍💻 Всё IT — www.tg-me.com/it_ready
📱 GitHub — www.tg-me.com/github_ready
🖼️ DevOps — www.tg-me.com/devops_ready
👩‍💻 Нейросети — www.tg-me.com/neuro_ready
📱 JavaScript — www.tg-me.com/javascript_ready
👩‍💻 Frontend — www.tg-me.com/frontend_ready
👩‍💻 Backend — www.tg-me.com/backend_ready
📖 IT Книги — www.tg-me.com/books_ready
🖥 Design — www.tg-me.com/design_ready

📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!

📄 Шпаргалка по Cloud Security Framework

Cloud Security Framework – это набор инструментов и лучших практик, предназначенных для защиты облачных сред от рисков безопасности и обеспечения соответствия нормам

— Такие рамки обеспечивают структурированный подход к охране данных, приложений и инфраструктуры в облаке

// Не хакинг, а ИБ

👁‍🗨 Набор инструментов для разведки

OSRFramework – это набор библиотек для выполнения задач по разведке на основе открытых источников

В него включены различные приложения, связанные с:
⏺проверкой имён пользователей;
⏺DNS-запросами;
исследованиями утечек информации;
⏺глубоким поиском в Интернете;
⏺извлечение по регулярным выражениями и многие другие. 

— OSRFramework предоставляет возможность визуализировать запросы, а также несколько интерфейсов для взаимодействия (OSRFConsole и веб-интерфейс)

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

🔎 Лучшие хакерские расширения для браузера Firefox

— Сегодня рассмотрим тему бразуеров и рассмотрим лучшие хакерские расширения для Firefox

Статья будет полезна всем, но в первую очередь багхантерам

🗄 Читать статью – линк.

// Не хакинг, а ИБ

☝️ Шпаргалка по криптографии: что делать, если попал в проект с криптографами

Авторы статьи помогут быстро освоить или вспомнить базовые понятия криптографии

— В этой статье по опыту сотрудников и их кураторов мы расскажем, с какими сложностями столкнулись при изучении, что помогало систематизировать информацию, а что путало

🗄 Смотреть шпаргалку – линк.

// Не хакинг, а ИБ

😈 Социальная инженерия на практике: «физический доступ» на закрытую конференцию Кевина Митника

«Физический доступ – это проникновение в здание интересующей вас компании. Мне это никогда не нравилось. Слишком рискованно. Пишу об этом – и меня уже пробивает холодный пот», — Кевин Митник, «Призрак в Сети. Мемуары величайшего хакера»

— В статье рассмотрены отрывок из книги Митника про физический доступ и история про проникновение на конференцию Митника в Москве 2013

🗄 Читать статью – линк.

// Не хакинг, а ИБ

👁‍🗨 Посмотри в глаза малвари | Гайд по работе с вредоносными файлами для новичков

Содержание статьи:
⏺Первые шаги
⏺Изучение дампов
⏺Анализ файла
1. Статический анализ
2. Словарь терминов
3. Динамический анализ
4. Пример анализа
⏺Полезные материалы

— Сегодня мы познакомим тебя с азами работы вирусного аналитика

Мы пройдемся по всем основным этапам анализа и посмотрим, как пользоваться профессиональными инструментами

А также по дороге рассмотрим основную терминологию

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🤨 Забудьте всё, что знали о DDoS: ботнет на 4,6 млн устройств обрушился на российский госресурс

— Компания Curator сообщила о выявлении и нейтрализации самой масштабной DDoS-атаки за всё время наблюдений: атака была зафиксирована 16 мая и была направлена на одну из организаций «Государственных ресурсов»

⚠️ По данным Curator, в ходе отражения атаки было заблокировано 4,6 миллиона уникальных IP-адресов. Для сравнения, крупнейший ботнет 2023 года насчитывал 136 тысяч устройств, а в 2024 году – 227 тысяч

Наибольшее количество задействованных IP-адресов было зафиксировано в странах Южной и Северной Америки. В частности, 1,37 миллиона IP приходились на Бразилию. Также в ботнет входили адреса из США, Вьетнама, Индии и Аргентины

🗄 Источник – линк.

// Не хакинг, а ИБ

👩‍💻 Выполнение фишинг атак на Wi-Fi

Wifiphisher – предназначен для фишинговой атаки на Wi-Fi сети в целях получения паролей от точки доступа (ТД) и другой персональной информации

Если смотреть глазами жертвы, то атака включает три фазы:
⏺Жертва деаутентифицируется от её точки доступа. Wifiphisher постоянно глушит все устройства с точками доступа wifi в пределах досягаемости посредством отправки деаутентифицирующих (deauth) пакетов клиенту от точки доступа и точке доступа от клиента, а также широковещательному адресу.
⏺Жертва подсоединяется к подменной точке доступа.Wifiphisher сканирует пространство и копирует настройки целевых точек доступа. Затем она создаёт подменную ТД, которая настроена особым образом. Она также устанавливает NAT/DHCP сервер и перенаправляет порты. Следовательно, из-за помех клиенты начнут подсоединяться к подменной точке доступа. После этого жертва подвергается атаке человек-посередине.
⏺Для жертвы будет отображена реалистично выглядящая страница конфигурации роутера. wifiphisher поднимает минимальный веб-сервер и отвечает на HTTP & HTTPS запросы. Как только жертва запросит страницу из Интернета, wifiphisher в ответ отправит реалистичную поддельную страницу, которая спросит пароль. Примером задачи, которая требуют подтверждение WPA пароля, является обновления прошивки

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

✋ Отпечаток браузера: как за нами следят без нашего ведома

Отпечаток браузера – информация, собранная об удалённом устройстве для дальнейшей идентификации

— В этой статье погрузимся чуть глубже в ту сферу, существование которой мы старательно не замечаем и игнорируем

Мы рассмотрим:
⏺Основные источники данных для отпечатка браузера;
⏺Уникальность отпечатка браузера и статистика;
⏺Библиотеки и инструменты для отпечатков браузера;
⏺Применение отпечатков браузера;
⏺Способы обхода и защиты от отпечатков браузера.

🗄 Читать статью – линк.

// Не хакинг, а ИБ

😈 Масштабный взлом изнутри инвестиционной компании

— Два братана решили устроиться в Opexus, а после взломать и удалить все базы данных

⚠️ Теперь их обвиняют в уничтожении 30 баз данных и удалении более 1800 файлов, связанных с одним из государственных проектов США

Ранее они были осуждены за кибератаку на Государственный департамент США

🗄 Источник – линк.

// Не хакинг, а ИБ

📄 Шпаргалка по Google Hacking Dorks

Google Hacking Dorks – это специальные поисковые запросы, использующие операторы Google для нахождения специфической информации в интернете

— Он выступает в роли обычного поискового процесса данных с расширенными возможностями

// Не хакинг, а ИБ

📅 Яндекс поднимает ставки в багбаутинге: теперь до 3 000 000 ₽ за ошибку!

Яндекс удвоил выплаты в своей программе «Охота за ошибками» — теперь за критические баги в ключевых сервисах платят рекордные 3 миллиона рублей. Такую сумму можно получить за уязвимости типа RCE и специфичную для облачных сервисов (VM Escape). Также подняли выплаты за SQL-инъекции.

Куда целиться:
• Яндекс ID
• Яндекс Почта
• Yandex Cloud

Почему именно эти сервисы?
⏺Через Яндекс ID проходят платежи и личные данные
⏺В Почту приходят письма для сброса паролей, к ней привязывают аккаунты в соцсетях, банках и других сервисах.
⏺В Yandex Cloud хранят и обрабатывают чувствительную информацию клиентов.

Таким образом Яндекс стремится привлечь к проверке безопасности самых топовых этичных хакеров, так как эти сервисы нуждаются в особом внимании — речь идет о защите данных миллионов пользователей.

// Не хакинг, а ИБ