Summ3r of H4ck 2022: до окончания набора на стажировку осталось 10 дней! 😱

Успейте подать заявку на участие в нашей обучающей программе! 1 мая после 23:59 мы закроем анкеты. И откроем новый набор только в 2023 году :)

Мы подготовили для будущих стажеров отличную учебную программу и интересные практически задачи. И напоминаем: по итогам прохождения стажировки вы можете получить оффер и работать у нас!

Ждем вас в:

➡️ Отделе исследований: https://bit.ly/3u333Nn
➡️ Отделе аудита защищенности: https://bit.ly/35qVhDf

С участниками, принятыми на стажировку по результатам прохождения теста, мы свяжемся после 1 июня.
Принимаются заявки от участников от 18 лет и старше.

Новое видео уже на YouTube канале Академии Digital Security 😉

Продолжаем изучать второй урок. Наша цель в этом уроке - это поиск чувствительных файлов и директорий в общем доступе.

Сегодня с помощью лабораторной работы “Secrets" мы попробуем получить файл с секретными данными. Для начала просканируем директорию сайта - откроем уже знакомую вам консоль LXTerminal, введем команду ниже и нажмем Enter:

dirsearch.py --url http://www.hacktory.lab/ -e txt,log

Мы нашли много файлов и директорий, в том числе и административную панель сайта. Нас интересует файл .env. Он может содержать в себе информацию с конфигурацией БД сайта. Давайте его изучим.

Нужно открыть Firefox и в адресной строке ввести:

http://www.hacktory.lab/.env

Жмем Enter. Браузер предложит сохранить или открыть файл по указанному URL. Давайте сохраним этот файл. Теперь нам осталось только прочитать этот файл, для удобства воспользуемся приложением Geany (текстовый редактор). В папке Downloads правой кнопкой мыши жмем на файл > Open with > Geany. Вуаля, мы нашли логин и пароль от административной панели.

Привет, друзья!

Спешим напомнить вам, что у нас открыто несколько интересных вакансий 🙂 Подробнее - тут.
Итак, кого мы ищем:

🔵 Пентестер - нужно иметь опыт в области практической безопасности, знать языки программирования и основы ОС. Среди задач - поиск уязвимости, написание эксплойтов и специализированного ПО.

🔵 Python разработчик должен уметь делать backend на python с flask, понимать архитектуру продукта. В задачи входит участие в разработке технических решений, написание модульных и интеграционных тестов.

🔵 QA-инженер будет принимать участие в разработке технических решений, поддерживать высокое качество продукта, разрабатывать тестовые сценарии и автоматизированные тесты.

🔵 Технический писатель должен заниматься описанием текущего и нового функционала ПО мониторинга безопасности, проверкой соответствия функционала требованиям, а также составлением сопровождающей документации.

Ваши зарплатные ожидания присылайте вместе с резюме на почту hr@dsec.ru или откликайтесь на вакансию на hh.ru

WTF! Мы про новый blackbox фаззер, который может исследовать бинарь без исходников на любом интересном участке кода. Благодаря подходу со snapshot’ами, What The Fuzz умеет работать с самыми тяжелыми приложениями 😎

Хотите знать больше про границы фаззинга symbol-store.json, чем WTF лучше AFL, как работает WTF с таргетом для Windows - переходите по ссылке и читайте об этом и многом другом на нашем сайте! ⚠️

Милорд, у нашей инфраструктуры уязвимость! Мы точно позаботились о безопасности бизнеса?

В прошлой статье мы обсуждали преимущества пентеста. Сегодня же речь пойдет об обеспечении безопасности инфраструктуры в организации - вы узнаете, почему проще предупредить атаку, чем бороться с последствиями.

Новое видео уже на канале Академии Digital Security 😁

Сегодня, в третьей лабораторной работе “VIM” второго урока мы проведем более детальный анализ сервера при помощи утилиты dirsearch, но в этот раз мы будем сканировать директорию при помощи словаря.

Прохождение лабораторной работы с подробным описанием уже на нашем YouTube-канале!

Специалисты Digital Security дали комментарий для статьи «Отмена подмены номера» портала «Радиочастотный спектр».

Недавно RSpectr.com опубликовали статью, в которой рассматривалась проблема поддельных звонков и способов борьбы с ними. Ситуацию, в которой благое намерение обернулось угрозой безопасности, прокомментировали представители ряда компаний.

Эксперты Digital Security дали комментарий для статьи «DDoS-атаки в первом квартале 2022 года» от информационного портала CISOCLUB.

С началом 2022 года число DDoS-атак значительно возросло. По мнению специалистов Digital Security, особенно подвержены подобным атакам финансовые организации, объекты интернет-коммерции, государственные порталы и СМИ.

🚀Мы запустили курс «Безопасность JavaScript» на платформе Академии

Новый курс предназначен для повышения навыков безопасного программирования и разработки надежных веб-приложений на JavaScript и будет полезен Frontend- и Backend-разработчикам.

Решайте лабораторные работы и отрабатывайте навыки на реальных кейсах!

Специалисты Digital Security дали комментарий «‎Российской Газете»‎ для статьи «В России вводится ряд мер по повышению уровня информационной защиты»‎.

В последние месяцы российские компании столкнулись с увеличением числа кибератак, что сделало еще более актуальным вопрос о повышении уровня кибербезопасности.

По словам сотрудников Digital Security, отказ от обновлений эксплуатируемого ПО является вынужденной мерой — это поможет сократить риск отказа в обслуживании производителями, к которым нет полного доверия; при этом нужно быть готовыми к тому, что многие информационные системы окажутся беззащитными перед новыми угрозами.

Старший специалист департамента анализа защищенности Digital Security Михаил Дрягунов дал комментарий для ИА «Красная Весна» о новой атаке под названием BGP Hijacking.

С помощью BGP Hijacking хакеры нарушают работу телекоммуникационных сетей банков и интернет-провайдеров. Эксперт Digital Security прокомментировал технические детали новой атаки и рассказал о степени угрозы, которую она представляет.

«…Периодически происходят инциденты, вызванные тем, что кто-то из провайдеров в результате ошибки сетевых администраторов, или же имея злой умысел, анонсирует чужую подсеть как свою, и трафик перенаправляется к нему. Это и есть BGP Hijacking,» - сказал Михаил.

Смотрите новое видео на канале Академии Digital Security 🥳

При анализе некоторых сайтов можно обнаружить артефакты систем контроля версий Git, забытые в ходе разработки. Опасность заключается в том, что с их помощью злоумышленник может заполучить доступ к исходному коду приложения и к хранящимся в нем чувствительным данным. На примере четвертой лабораторной работы “Business” второго урока мы покажем, как восстановить директорию Git с файлами разработчика.

Смотрите прохождение лабораторной работы с подробным описанием на нашем YouTube-канале!

🛳 В субботу 2 июля на встрече DEF CON group DCG7812 наш ресечер Никита Лычаный представит доклад «Эксплуатация Bluetooth Link Manager Protocol уязвимостей с использованием фреймворка BrakTooth».

Встреча пройдет в Санкт-Петербурге на теплоходе с 15:30 до 21:00 (МСК). Подробнее об участии 👉 в Telegram-канале.

Ведущий специалист департамента анализа защищенности Digital Security Вадим Шелест рассказал ИА «Красная Весна» о рисках для пользователей, которые захотят скачать и установить «пиратские» версии Windows, столкнувшись с запретом на официальное скачивание системы.

«Если речь идет об использовании пиратских программ в корпоративных сетях, у злоумышленников появляется возможность использования таких систем в качестве плацдарма для дальнейшего продвижения по инфраструктуре для обеспечения полного административного контроля над всей сетью организации», — подчеркнул Вадим.

В начале июля были совершены массовые атаки с автоматическим перенаправлением с официальных сайтов интернет-магазинов на порталы злоумышленников. Комментарий для «Известий» дал ведущий специалист департамента анализа защищенности Digital Security Вадим Шелест.

«Мошенники традиционно становятся более активными в период сезонных распродаж и праздничных скидок. Новости об уходе известных брендов широко тиражируются в СМИ и подогревают интерес доверчивых покупателей. Находясь в предвкушении финальных скидок и распродаж остатков продукции уходящих брендов, люди попадаются на удочку злоумышленников...»

Проще штрафы платить, чем ИБ внедрять?

Несмотря на усилия компаний в области аудита безопасности, в медиапространстве все чаще появляются заявления об утечке критичной для бизнеса информации, в том числе персональных данных клиентов.

Мы собрали примеры инцидентов, мировых законов и методических документов, регулирующих обращение с персональными данными, и подготовили рекомендации, как минимизировать потенциальный ущерб.

Прочитать и обсудить статью можно на Хабре.

Об утечке данных в СДЭК, которая могла коснуться 25 млн пользователей и 30 тыс. контрагентов

Директор департамента анализа защищенности Digital Security Глеб Чербов поучаствовал в обсуждении «Радио России» в прямом эфире и ответил на вопросы о том, кому нужны слитые базы данных и для каких целей.

Эти базы данных активно используются телефонными мошенниками.

«Ценен не столько сам набор информации, сколько ее объем и возможность с помощью этой информации обогатить уже существующие базы данных... Это может быть использовано, например, при таргетированной кампании, ориентированной на вас с учетом ваших интересов, сервисов, которые вы используете».