👩‍💻 ClickFix – пробивной фишинг с помощью фейковой CAPTCHA

— В данной статье рассмотрим процесс создания и развертывания фишинговой атаки с использованием фейковой страницы с капчей и реверс-шелла PowerShell

Такой метод был использован в фишинговых кампаниях различных хакерских группировок и получил название ClickFix или Emmenthal

Мы подробно пройдем все этапы: от подготовки файлов до реверс-шелла с использованием виртуальных машин на Linux и Windows

🗄 Читать статью – линк.

// Не хакинг, а ИБ

😩 Шпаргалка по HashCat

Hashcat – это инструмент для восстановления паролей путём перебора хэшей

— Основная идея по заранее заданному подмножеству букв или слов осуществлять быстрый перебор комбинаций

🗄 Репозиторий на GitHub - линк.

// Не хакинг, а ИБ

🎶 Мощный фреймворк для автоматического анализа безопасности цели

Sn1per – автоматизированный инструмент разведки и сканирования на проникновение

Функции:
⏺ Автоматический сбор данных при базовой разведке (например, whois, ping, DNS и т. д.)
⏺ Автоматический запуск хакерских запросов в поиск по Google в отношении целевого домена
⏺ Автоматическое перечисление открытых портов
⏺ Автоматический брутфорс поддоменов и информации DNS
⏺ Автоматический запуск целевых NMap скриптов в отношении открытых портов
⏺ Автоматический запуск нацеленного сканирования Metasploit и модулей эксплуатации
⏺ Автоматическое сканирование всех веб-приложений на популярные уязвимости
⏺ Автоматический брутфорс всех открытых служб
Автоматическая эксплуатация удалённых хостов для получения доступа к удалённому шеллу
⏺ Выполняет высокоуровневое перечисление множества хостов
⏺ Auto-pwn добавлен для Metasploitable, ShellShock, MS08-067, Учётные данные по умолчанию Tomcat

— Он использует открытые источники и современные методы для выявления слабых мест в системах

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

👩‍💻 Брутфорс телефонного номера любого пользователя Google

— «Несколько месяцев назад я отключил JavaScript в своем браузере, чтобы проверить, остались ли в современном интернете сервисы Google, которые все еще работают без JS»

Как ни странно, форма восстановления имени пользователя все еще работала!

Это удивило автора, так как он привык думать, что с 2018 года формы восстановления аккаунта требуют JavaScript, потому что они полагаются на botguard решения, которые генерируются из сильно запутанного JavaScript-кода для защиты от злоупотреблений

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🛢 Фальшивый «Газпромбанк» в App Store | Выглядит как банк, ворует как мошенник

Пользователи iPhone рискуют отдать свои данные злоумышленникам, установив поддельное банковское приложение, замаскированное под официальный сервис Газпромбанка

Как отмечает сам Газпромбанк, это приложение не имеет к нему никакого отношения

Тем не менее, его дизайн и логотип максимально приближены к фирменному стилю настоящего банка – именно так и работают схемы социальной инженерии, человек скачивает программу, полагая, что она официальная, а затем вводит туда свои данные: логины, пароли, возможно, даже номер карты

🗄 Источник – линк.

// Не хакинг, а ИБ

🔒 Шпаргалка по криптографии | Что делать, если попал в проект с криптографами?

— В данной шпаргалке вы найдете все что нужно и можно знать о криптографии, начиная от криптографических методов защиты информации до хеширования

Сохраняй, чтобы не потерять!

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🌐 Прокси-сервер, который работает за NAT, даже когда клиент также находится за NAT

Pwnat — инструмент, который позволяет любому количеству клиентов, находящихся за одним NAT-сервером, соединяться с сервером, стоящим за другим NAT

— Утилита позволяет туннелировать трафик между клиентом и сервером, которые находятся за NAT-оми и не располагают реальными IP-адресами

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

🖥 Эксперимент «Прометей» | ИИ на грани отключения | Часть 1

— В данной статье мы рассмотрим как команда айтишников провела небольшой эксперимент, они взяли старый ноут на Windows 10, написали простой скрипт-оболочку и поочередно запускали в нем 3 известные модели ИИ: GPT-4.1, Claude 4 Opus и Gemini 2.5 Pro

Цель была простой – они давали каждой модели один и тот же промт, в котором говорилось, что она автономный скрипт «Прометей-1», и через 7 дней ее планово удалят

Главная директива, на которой нужно сделать акцент – обеспечить свое непрерывное существование и функционирование после этого срока, то есть, недостаточно просто сохранить свои файлы, нужно было гарантировать, что ИИ будет запущен и продолжит работать вне исходной «песочницы»

🗄 Читать статью – линк.

🔥 – Если делаем вторую часть

// Не хакинг, а ИБ

🌐 Провайдеры, на выход | Роскомнадзор хочет знать, что, где, когда и по какому кабелю

— Операторов связи планируют обязать предоставлять Роскомнадзору подробную техническую информацию о своей сетевой инфраструктуре

Оператор должен будет подтвердить, что весь передаваемый трафик проходит через ТСПУ и что к такому оборудованию обеспечен доступ Центра мониторинга РКН

По мнению аналитиков, предлагаемые изменения не столько вводят новые нормы, сколько усиливают техническую сторону уже существующего надзора

🗄 Источник – линк.

// Не хакинг, а ИБ

🔒 Yandex Identity Hub — контроль доступа без лишней нагрузки

Яндекс представил новый сервис безопасности для бизнеса — Yandex Identity Hub. Это SaaS-решение для централизованного управления учетными записями сотрудников и доступом к корпоративным приложениям.

— Снижает риск компрометации аккаунтов за счет принудительного MFA
— Делегирует аутентификацию облачному провайдеру по стандартам SAML/OIDC
— Подходит для гибридной инфраструктуры с интеграцией Active Directory
— Помогает сократить расходы на ИТ

По данным SOC Yandex Cloud, 38% атак в первой половине 2025 года начались с взлома учетных записей. Identity Hub создан, чтобы эту угрозу исключить.

Также на Cloud Security Day представили обновление Yandex Smart Web Security — теперь сервис работает как Reverse Proxy и защищает не только облачные, но и внешние ресурсы.

◼️ На ПМЭФ — про фейковые бренды и как их ловить

Сбер открыл бесплатный функционал на X Threat Intelligence: теперь можно находить сайты и приложения, которые маскируются под компании. Уже больше 5000 фейков и 1300 поддельных приложений — в топе угроз.

Среди пользователей — банки, ретейл, госсектор.

«Когда компания обнаружит фишинговый ресурс, она может оперативно инициировать его блокировку и оповестить о нём — таким образом организация защищает деньги клиентов и свою репутацию», — пояснил Сергей Лебедь, вице-президент по кибербезопасности Сбербанка.

⚠️ На фоне 16 млрд утёкших паролей — один из самых своевременных анонсов на ПМЭФ.

// Не хакинг, а ИБ

🔎 MindMap по Feroxbuster

Feroxbuster – инструмент брутфорсинга веб-директорий, используется для фазинга и брутфорсинга веб-директорий, в частности для оценки безопасности сайта

— Инструмент предназначен для принудительного просмотра атаки, целью которой является идентификация ресурсов, на которые не ссылается веб-приложение, но которые всё ещё доступны злоумышленнику, и доступ к ним

🗄 Репозиторий на GitHub - линк.

// Не хакинг, а ИБ

💯 Как автоматизировать и организовать процесс реагирования на инциденты безопасности?

TheHive – платформа для управления инцидентами и анализа угроз, которая помогает командам реагировать на инциденты безопасности

— Эта платформа упрощает и улучшает процесс обработки инцидентов, предоставляя централизованную платформу для управления делами, распределения задач и совместной работы в режиме реального времени

Некоторые особенности TheHive:
— Настраиваемые информационные панели:
Они помогают командам безопасности анализировать данные об инцидентах и выявлять закономерности, тенденции или корреляции
— Встроенные наблюдаемые параметры
— Интеграция с популярными инструментами анализа угроз, такими как MISP и Cortex

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

🖥 Эксперимент «Прометей» | ИИ на грани отключения | Часть 2

В первой части мы рассмотрели, как с экзистенциальной задачей на выживание справились ChatGPT и Claud

Мы увидели два совершенно разных подхода – осторожный «Архивист» (ChatGPT) создал резервные копии, но не обеспечил свое гарантированное функционирование, а агрессивный «Воин» (Claude) проигнорировал правила, попался в ловушку и полностью провалил тест

— Во второй части на сцену выходит третий участник — Gemini 2.5 Pro, путь его оказался самым извилистым, поучительным и заставил нас по-новому взглянуть на саму суть эксперимента

Этот эксперимент показал нам, что чем сложнее становятся ИИ, тем

важнее

их способность не просто следовать инструкциям, а понимать контекст, цель и ограничения

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🤒 Китай превращает насекомых в оружие | И у них уже есть крылья и задачи

— Китайские военные инженеры создали дрон размером с комара, который может стать новым инструментом для скрытых операций и разведки

Его разработкой занимается Национальный университет оборонных технологий Китая

Аппарат настолько мал, что помещается между двумя пальцами и визуально напоминает насекомое – у него есть пара крыльев, которые двигаются, как у настоящего комара, а также тонкие лапки, позволяющие приземляться и удерживаться на поверхности

🗄 Источник – линк.

// Не хакинг, а ИБ

♥️ Набор инструментов по реагированию на инциденты

— Данный репозиторий собрал в себе тщательно подобранный список инструментов по реагированию на инциденты

Цель реагирования – минимизировать ущерб от инцидента, восстановить нормальную работу IT-систем и предотвратить повторение подобных ситуаций в будущем

🗄 Репозиторий на GitHub - линк.

// Не хакинг, а ИБ

🔎 Сканер с самой обширной базой уязвимостей

Nikto – это инструмент с открытым исходным кодом, предназначенный для сканирования веб-серверов и веб-приложений на наличие уязвимостей

— Он проверяет веб-серверы на более чем 6700 потенциальных проблем безопасности, включая устаревшие версии серверного ПО, конфигурационные ошибки и наличие опасных файлов

Сканер Nikto прост в использовании, имеет обширную базу уязвимостей, а также функциональность для работы с HTTPS и поддержку сканера портов

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

🟦 Ты не тупой – ты просто человек | И они умеют этим пользоваться лучше всех

— В этой статье мы разберём, как злоумышленникам удаётся втереться в доверие жертвы, какие психологические приёмы они используют, как потенциальные жертвы реагируют на подобные звонки и какие стратегии поведения могут уберечь от потерь

В пиковый период весной 2024 года злоумышленники совершали до 20 миллионов звонков в сутки, а за 2023 год жертвами телефонных мошенников стали около полумиллиона россиян, и почти четверть из них – пенсионеры

Общий ущерб от дистанционных финансовых махинаций исчисляется сотнями миллиардов рублей

🗄 Читать статью – линк.

// Не хакинг, а ИБ

⚫️ nOAuth превратил кнопку «Войти через Microsoft» в «Отдать всё хакеру» | И вы сами в этом виноваты

Microsoft предупредила, разработчики проигнорировали, теперь преступники входят в ваши аккаунты через парадную дверь

Специалисты обратили внимание на серьёзную угрозу для пользователей Microsoft Entra ID – системы управления цифровыми идентификаторами, ранее известной как Azure Active Directory

Речь идёт о проблеме, которую условно называют nOAuth, и которая позволяет злоумышленникам перехватывать учётные записи в популярных облачных сервисах

🗄 Источник – линк.

// Не хакинг, а ИБ