Эксперты PT ESC Сергей Тарасов и Марат Гаянов помогли исправить недостатки безопасности в ОС Windows 😨

👾 Уязвимость CVE-2025-49689

Она получила оценку 7,8 балла по шкале CVSS 3.1. Дефект безопасности, который обнаружил Сергей Тарасов, затрагивал 37 настольных и серверных операционных систем Windows, в частности Windows 10, 11, Windows Server 2019, 2022 и 2025 разных версий и разрядности.

По данным открытых источников, его потенциально могли проэксплуатировать более чем на 1,5 млн устройств — как корпоративных, так и личных. Наибольшее число гаджетов находится в США (26%) и Китае (14%).

Баг в компонентах NTFS — файловой системы современных версий Windows — мог позволить атакующему обойти защитные механизмы и получить полный контроль над устройством. Для этого потенциальной жертве достаточно было открыть специально подготовленный злоумышленником виртуальный диск.

«Уязвимость представляет серьезную опасность, поскольку злоумышленники, как показывает наш опыт, активно используют VHD (виртуальные диски) в фишинговых атаках. Пользователи открывают их как обычные архивы, не подозревая об угрозе», — комментирует Сергей Тарасов.

👾 Уязвимость CVE-2025-49686

Недостаток безопасности, найденный Маратом Гаяновым, получил 7,8 балла по шкале CVSS 3.1 и затронул 17 операционных систем, в числе которых Windows 10, 11 и Windows Server 2025.

Уязвимость относится к типу «разыменование нулевого указателя», при котором программа обращается к несуществующей памяти, и до устранения могла привести к отказу в обслуживании системы. В результате доступ к корпоративным ресурсам был бы ограничен, что потенциально могло нарушить работу организации.

«Злоумышленнику достаточно было бы обманом убедить пользователя запустить вредоносную программу, которая эксплуатирует уязвимость в драйвере tcpip.sys, — отмечает Марат Гаянов. — Так как из-за ошибки обращение осуществлялось по некорректному указателю, оно могло привести к аварийному завершению работы программы и, как следствие, к сбою системы».

Мы уведомили Microsoft об угрозах, и теперь пользователям необходимо установить выпущенные патчи, чтобы уберечь устройства от взлома.

#PositiveЭксперты
@Positive_Technologies

«Почта России» станет полигоном, на котором Positive Technologies и ведущие игроки рынка отработают эффективные методы построения киберустойчивости

Участниками соответствующего соглашения, помимо нас и «Почты России», стали ГК «Солар» и «Лаборатория Касперского». Мы уверены, что совместное взаимодействие придаст мощный импульс развитию индустрии кибербезопасности в России.

💡 В начале июня мы совместно рассказали о масштабном мультивендорном проекте построения киберустойчивой инфраструктуры «Почты России». Его реализация займет три года, а лучшие наработки оттуда вендоры смогут масштабировать и применять в проектах киберзащиты других российских организаций. Positive Technologies в проекте отвечает за результативную кибербезопасность всего корпоративного сегмента.

«„Почта России“ — стратегически значимая компания, которой в нынешних условиях нужно быть готовой к отражению кибератак, в том числе со стороны APT-группировок, и проводить проверку на киберустойчивость силами белых хакеров. Чтобы построить эффективную систему для защиты большой инфраструктуры, требуется объединить ресурсы и экспертизу нескольких компаний из сферы ИБ. В этих условиях конкуренция отходит на второй план, а игроки должны научиться взаимодействовать и дополнять друг друга. Мы совместно предприняли важный шаг — создали масштабный киберполигон, открытый для других вендоров. Такой формат позволит переиспользовать и быстрее тиражировать наработки в новых проектах, что в целом повысит киберустойчивость России», — отметил Алексей Трипкош, директор по результативной кибербезопасности Positive Technologies.

В будущем к инициативе смогут присоединиться другие вендоры и поставщики решений и сервисов в области ИБ.

👉 Подробнее об условиях соглашения рассказали в новости на сайте.

@Positive_Technologies

😎 Команда SOC «К2 Кибербезопасности» успешно прошла практику на Standoff Cyberbones

Наш онлайн-симулятор использует данные с кибербитв Standoff и интегрируется с продуктами компании — MaxPatrol SIEM, PT NAD, PT Sandbox, PT AF и PT ISIM. Выполняя задания Standoff Cyberbones, специалисты по кибербезопасности отрабатывают навыки расследования инцидентов в условиях, максимально приближенных к реальным.

«Наша задача — регулярно повышать квалификацию специалистов и тестировать команду „в бою“. Задания Standoff Cyberbones отражают реальные кейсы, а работа с легитимной нагрузкой учит вычленять угрозы, как в настоящей инфраструктуре», — отметил Александр Боярский, директор по развитию SOC компании «К2 Кибербезопасность».

👍 Команда «К2 Кибербезопасности», ранее тренировавшаяся в бесплатной версии онлайн-симулятора, высоко оценила более сложные сценарии обновленной платной версии, подробные инструкции и улучшенный интерфейс. Опытные аналитики успешно расследовали сложную атаку, подтвердив эффективность платформы для специалистов первой линии SOC.

«Standoff Cyberbones идеален для прокачки насмотренности и подготовки аналитиков. Это не просто тренажер, а инструмент для работы с реальными кейсами», — подчеркнул Александр Боярский.

Его коллегам также понравилось наличие большого количества интегрированных между собой инструментов, свежие сборки ПО и возможность со всех сторон посмотреть на заданную атаку в реалистичной инфраструктуре. «К2 Кибербезопасность» рассматривает возможность использования платформы на постоянной основе, в том числе для внутреннего грейдирования.

В новой версии онлайн-симулятора появилась экспертная поддержка с подсказками менторов, а в будущем команда Standoff планирует улучшить визуализацию.

#StandoffCyberbones
@Positive_Technologies

🙏 Эксперт PT SWARM Михаил Сухов получил благодарность от компании Red Hat за уязвимость, обнаруженную в контроллере домена для Linux-систем — FreeIPA

FreeIPA — открытое ПО, альтернатива Active Directory, службе каталогов Microsoft. Проект развивает сообщество разработчиков при поддержке компании Red Hat, к услугам которой обращаются 90% организаций из списка Fortune Global 500. FreeIPA используется более чем в 500 компаниях по всему миру. Решение входит в дистрибутив Red Hat Enterprise Linux, который применяют более 2000 организаций, а также лежит в основе ИT-продуктов других вендоров, в том числе отечественных.

Недостаток безопасности CVE-2025-4404 (BDU:2025-04863) содержался в версиях FreeIPA 4.12.2 и 4.12.3. Ему присвоено 9,4 балла из 10 возможных по шкале CVSS 4.0, что соответствует критическому уровню угрозы. При успешной эксплуатации уязвимости злоумышленник мог бы похитить конфиденциальные данные компании.

«Завладев максимальными привилегиями на скомпрометированном узле, злоумышленник смог бы прочитать содержимое файла, в котором хранятся ключи для доступа к системе, — объясняет Михаил Сухов. — В результате успешной атаки нарушитель гипотетически получил бы возможность повысить привилегии до администратора домена. Это позволило бы ему управлять учетными записями и правами пользователей, а также открыло бы доступ к любым сведениям организации».

Мы уведомили вендора о найденной уязвимости, и он уже выпустил пропатченное обновление — FreeIPA версии 4.12.4. Если установить патч не удается, у наших экспертов есть альтернативный совет: настройте дополнительную проверку прав пользователей.

Для этого нужно включить обязательное использование PAC на всех серверах, управляющих доступом к протоколу аутентификации Kerberos. Затем — присвоить атрибуту krbCanonicalName, относящемуся к учетной записи администратора, имя admin@REALM․LOCAL. Оно будет использоваться системой, чтобы корректно идентифицировать пользователя с повышенными привилегиями.

👀 Подробнее обо всем рассказали в новости на нашем сайте.

#PositiveЭксперты
@Positive_Technologies

🤖 Почему кибербезопасности никак не обойтись без продуктов на основе ML?

👽 Хотя бы потому, что эту технологию активно осваивают хакеры, которые не ограничены ни этическими, ни законодательными рамками. Например, теперь не нужно быть хорошим разработчиком для написания эксплойта (ПО для эксплуатации уязвимости): за злоумышленника это легко сделает код-ассистент.

🛡 Киберзащитники не могут отставать от своих оппонентов, поэтому ML-модели активно внедряются в продукты для ИБ. В частности, ИИ может брать на себя рутинную работу или применяться для получения второго мнения.

О том, как широко искусственный интеллект используется в кибербезопасности, изменится ли это в ближайшем будущем и почему опасно душить ИИ регуляторными нормами, рассказал в небольшом интервью «РБК» Андрей Кузнецов, ML-директор Positive Technologies.

Смотрите про щит и меч кибербезопасности на 📺 VK Видео.

#PositiveЭксперты
@Positive_Technologies

🐧 Как не заблудиться среди событий Linux

Встроенный аудит этой ОС далек от идеала (и это признают многие специалисты). Но для полноценного мониторинга происходящего собирать ее журналы (и не только ее) все же необходимо.

📝 Наш коллега Роман Чернов, эксперт MaxPatrol HCC из PT ESC, в своей статье на Хабре создал компактную и понятную схему того, какие компоненты аудита помогают получать события со стороны ядра Linux и как они обрабатываются дальше.

Читайте материал, если хотите узнать, как маршрутизировать системные события, откуда берутся правила их мониторинга, по каким принципам работают и из чего состоят службы журналирования.

💬 В комментариях к статье можно задать вопросы и обсудить журналирование в Linux с коллегами-единомышленниками.

#PositiveЭксперты
@Positive_Technologies

📕 Поваренная книга атак — это вам не шутка какая-то, а ноу-хау наших коллег из Positive Labs

🧅 Chip'olino — новый инструмент для проведения glitch-атак по питанию, который уточняет, сколько соли и паприки добавлять объединяет все известные техники и подходы.

Создатель инструмента — Юрий Васин, руководитель группы Tau в Positive Labs — рассказал, как тот работает, и поделился несколькими рецептами в статье для Positive Research.

Вы узнаете:

🔴 в чем особенности «приготовления» разных микроконтроллеров
🔴 как мы писали поваренную книгу собирали Chip'olino
🔴 как не только найти рецепт атаки, но и перейти от теории к практике
🔴 как помочь развивать Chip'olino (да, там ссылка на GitHub, присоединяйтесь).

P. S. Ставьте ❤️, если оценили название инструмента. Ну гениально же?

#PositiveЭксперты #PositiveResearch
@Positive_Technologies

✈️ Мы запустили бета-версию PT Data Security — единого решения для защиты данных, которое теперь доступно для пилотных проектов.

Его MVP-версию мы представили в октябре прошлого года, а месяцем позже открыли прием заявок на участие в полугодовой программе раннего тестирования, по итогам которой в решение были добавлены некоторые функции.

Что нового в бета-версии

🤖 В PT Data Security появился AI-модуль, повышающий точность классификации данных. Благодаря высокой точности разработанного нами ML-алгоритма, решение детектирует любые типы данных (от структурированных до неструктурированных), одинаково хорошо ищет и обрабатывает разные источники (документы, таблицы и пр.), и на его работу не влияют факторы, снижающие качество записи данных.

Наши эксперты выяснили, что при построении защиты компаниям среди прочего важно знать, сколько в их инфраструктуре баз данных, принадлежащих конкретным бизнес-системам, и где именно они находятся. Поэтому в PT Data Security теперь есть функция идентификации бизнес-приложений (CRM-, ERP-систем и т. п.).

«PT Data Security показывает реальную картину: точно определяет число баз данных, их дислокацию и связь с определенным ПО. Например, по структуре таблиц решение может установить, что перед ним база, относящаяся к CRM-системе „Битрикс24“. Кроме того, специалисты по ИБ могут писать собственные правила выявления приложений, специфичных для их компании», — комментирует Виктор Рыжков, руководитель развития бизнеса по защите данных, Positive Technologies.

Что дала программа раннего тестирования

🗣 Исследования и глубинные интервью позволили нам собрать пожелания потенциальных пользователей к решению. Мы учли их при создании карты развития PT Data Security, чтобы продукт максимально отвечал потребностям и специфике различных отраслей.

Так, в продукте уже реализована гибкая классификация и возможность добавления собственных классов данных, а также поддержка самых распространенных в отечественных инфраструктурах хранилищ данных — структурированных (PostgreSQL, MySQL) и неструктурированных (Amazon S3, SMB).

Добро пожаловать на борт в «пилот»

✈️ Теперь мы запускаем пилотную программу для бета-версии PT Data Security. Оставить заявку на участие в проекте можно на странице продукта.

Выпуск коммерческой версии намечен на конец 2025 года.

#PTDataSecurity
@Positive_Technologies

3️⃣ Самое время для жаркого июльского дайджеста уязвимостей, в котором наши эксперты отнесли к трендовым три недостатка безопасности

Они обнаружены в продуктах Microsoft и почтовом веб-клиенте Roundcube. Если вы пользуетесь MaxPatrol VM, то обо всех этих уязвимостях вы уже знаете, ведь в наш продукт информация об угрозах поступает в течение 12 часов с момента их появления.

Уязвимости Windows

Обе уязвимости потенциально затрагивают около миллиарда устройств. Последствия могут коснуться всех пользователей устаревших версий Windows (с самых ранних и до Windows 10 и 11 включительно).

Уязвимость удаленного выполнения кода в файлах Internet Shortcut — CVE-2025-33053 (CVSS — 8,8)

Для эксплуатации необходимо, чтобы пользователь кликнул на подготовленный преступниками файл с расширением .url, замаскированный под легитимный системный исполняемый файл. В случае успеха рабочая директория будет установлена на путь к WebDAV-серверу, контролируемому преступниками. В итоге они смогут удаленно выполнить код, установить на устройство жертвы вредоносное ПО и развить атаку дальше.

Уязвимость повышения привилегий в SMB-клиенте — CVE-2025-33073 (CVSS — 8,8)

Чтобы проэксплуатировать уязвимость, преступнику необходимо заставить уязвимое устройство подключиться к атакующему серверу по SMB и пройти аутентификацию по протоколу Kerberos. Далее билет Kerberos используется для повторной аутентификации по SMB на уязвимом хосте.

В результате полученная SMB-сессия будет иметь привилегии уровня SYSTEM — самые высокие в Windows, с которыми преступник может получить полный контроль над уязвимой системой. Эксплуатация уязвимости также возможна через протокол NTLM.

Уязвимость удаленного выполнения кода в почтовом веб-клиенте Roundcube — CVE-2025-49113 (CVSS — 9,9)

Затрагивает около 84 тысяч экземпляров Roundcube, большинство из которых выявлены в США, Германии и Индии. В России наблюдается более 78 тысяч уникальных инсталляций с Roundcube Webmail, из которых около 85% являются уязвимыми.

Что интересно, этот недостаток безопасности оставался незамеченным более десяти лет. Он связан с отсутствием проверки параметра и приводит к ошибке десериализации объектов PHP. Злоумышленник получает возможность удаленно выполнить код на сервере, что может привести к его полной компрометации.

Уже через несколько дней после выхода обновленной версии Roundcube злоумышленники проанализировали изменения и на их основе разработали и стали продавать на теневых форумах эксплойт для CVE-2025-49113.

Исследователям из PT SWARM удалось воспроизвести эксплуатацию уязвимости до публикации PoC. Эксперты призвали пользователей как можно скорее обновиться до последней версии Roundcube.

Чтобы защититься, необходимо обновить ПО до одной из исправленных версий: 1.6.11 или 1.5.10.

👀 Больше подробностей — в дайджесте на нашем сайте.

#втрендеVM
@Positive_Technologies

😮 Рассказываем об уязвимостях по максимуму на нашем портале dbugs

↖️ Собираем там максимально полные и точные сведения о существующих недостатках безопасности. Уже сейчас число описанных уязвимостей превышает показатель базы СVE MITRE — более 310 тысяч записей против 270 тысяч. Там же можно найти и рекомендации вендоров, которые позволяют быстро устранить пробелы в защите. В среднем еженедельно публикуется тысяча новых записей.

Запуск площадки — ответ на запрос мировой индустрии кибербезопасности, которую тревожат периодически появляющиеся новости об остановке обновлений баз общеизвестных уязвимостей National Vulnerability Database и Common Vulnerabilities and Exposures (CVE), а также о сокращении финансирования работы MITRE, которая присваивает уязвимостям унифицированные идентификаторы. Кроме того, в CVE/NVD (в отличие от БДУ ФСТЭК) попадают не все данные от российских исследователей. Без этих сведений компании не могут вовремя обновлять свою инфраструктуру, а разработчики — добавлять в СЗИ соответствующие сигнатуры для выявления актуальных атак.

«Более чем за 20 лет работы мы накопили обширную базу знаний об уязвимостях в продуктах зарубежных и отечественных поставщиков. Переработав и обогатив ее, мы создали интерактивный портал, который, надеемся, будет полезен и независимым исследователям, и службам ИБ, — отметил Дмитрий Серебрянников, директор по анализу защищенности в Positive Technologies. — Мы поставили своей целью сделать его надежным и достаточным источником информации обо всех выявляемых в мире ИБ уязвимостях».

Ключевое отличие площадки от других баз уязвимостей в том, что специалисты нашего исследовательского центра безопасности, в котором работают белые хакеры (PT SWARM) и эксперты по кибербезопасности (PT ESC), агрегируют информацию о каждой уязвимости из множества источников (баз CVE и NVD, с площадок Reddit, X․com, Telegram и других). Затем с помощью LLM они готовят сводное описание — более подробное по сравнению с существующими базами и включающее имена исследователей. Кроме того, портал предоставляет рейтинг самых трендовых недостатков безопасности.

🤩 Мы планируем расширять функциональность портала: упростить поиск по конкретным продуктам, дать белым хакерам возможность создавать личные профили и публиковать информацию о своих достижениях, а пользователям платформы — подписываться на интересных им исследователей и комментировать записи.

🆕 Подробнее о новом портале уязвимостей рассказали в новости на сайте.

@Positive_Technologies

🙂 Компания «Ортикс» выбрала PT NAD для анализа трафика

Пока шло пилотное тестирование наш продукт помог службе информационной безопасности компании выявить сетевые атаки, нарушения регламентов ИБ, вредоносное ПО и устранить угрозы, которые могли открыть злоумышленникам доступ к критически важным для бизнеса системам.

«Ортикс» владеет сетью из 59 ортопедических салонов по всей России, куда ежегодно обращаются более 100 000 клиентов. Обширная сетевая инфраструктура компании с персональными данными пользователей является привлекательной целью для злоумышленников и нуждается в надежной киберзащите, учитывая постоянный рост числа кибератак и увеличение их сложности.

👾 Во время пилотного проекта эксперты компании обнаружили использование на конечных точках запрещенного ПО, словарных паролей для учетных записей, уязвимость, которая могла привести к взлому критически важных систем, майнер криптовалюты, ботнет для отправки спама, а также флуд-атаку на инфраструктуру компании.

«Благодаря PT NAD оператор SOC теперь видит полную картину всех инцидентов в сети, а значит, может незамедлительно отреагировать и предотвратить кибератаку. Продукт также позволяет провести инвентаризацию используемых в компании устройств и грамотно настроить политики доступа», — комментирует Виктор Еременко, лидер продуктовой практики NAD в Positive Technologies.

В дальнейшем «Ортикс» планирует укрепить сетевую безопасность средством защиты класса NGFW и интегрировать его с PT NAD.

#PTNAD
@Positive_Technologies