⚡️ CVE-2025-33053 и Stealth Falcon: как APT-группа атаковала через WebDAV с нулевым кликом
📌 Главное
- Группа APT: *Stealth Falcon* (также известна как FruityArmor), связанная с кибершпионажем и активная с 2012 года, сосредоточена на Ближнем Востоке и Африке.
- Уязвимость:
- Способ атаки: злоумышленники отправляли
- Загрузка вредоноса:
- Этап 1: запускается
- Финал: установка
Последствия
- Microsoft выпустил патч 10 июня 2025 в рамках Patch Tuesday.
- CISA включила
- Эта кампания представляет собой новый уровень сложности: zero-day атака без файлов, использование легитимных инструментов (LOLBins), и мощные антидетект механизмы.
Почему это важно?
- Атака демонстрирует, насколько изощрёнными становятся кибершпионские кампании: отсутствие необходимости доставлять файлы на диск, использование легитимных инструментов и мощные антидетект-механизмы.
- Целями были высокоприоритетные объекты: Турция, Катар, Египет, Йемен — оборонные структуры и госорганизации.
- Идеальная иллюстрация того, почему WebDAV и стандартные инструменты Windows требуют строгого мониторинга и ограничения.
Вывод: CVE-2025-33053 стала ключевым вектором для сложной APT-операции. Только своевременное обновление, внимательный мониторинг и продвинутая антивирусная аналитика могут защитить критически важные инфраструктуры от подобных угроз.
🟠 Подробнее
@linuxkalii
- Группа APT: *Stealth Falcon* (также известна как FruityArmor), связанная с кибершпионажем и активная с 2012 года, сосредоточена на Ближнем Востоке и Африке.
- Уязвимость:
CVE-2025-33053 — критическая RCE уязвимость (CVSS 8.8), связанная с обработкой .url файлов и WebDAV, позволяющая удалённо выполнить код без загрузки вложений. - Способ атаки: злоумышленники отправляли
.url`-файл, маскирующийся под PDF, который запускал стандартный инструмент Windows (`iediagcmd.exe`) с рабочей директорией, установленной на WebDAV-сервер. Windows выполнял `route.exe из этой папки, а не из System32, что позволило загрузить и запустить вредоносный код удалённо. - Загрузка вредоноса:
- Этап 1: запускается
Horus Loader — C++ загрузчик, защищённый Code Virtualizer, имеющий антианализ движки, декриптор, отображение dll вручную, ловушки для AV и механизм декоя (PDF-подмена). - Финал: установка
Horus Agent — кастомный имплант на базе Mythic C2, обфусцированный, с AES-HTTP/HMAC-SHA256 коммуникацией, поддержкой скрытой командной логики, сбором учётных данных и разведкой. Последствия
- Microsoft выпустил патч 10 июня 2025 в рамках Patch Tuesday.
- CISA включила
CVE-2025-33053 в каталог KEV с обязательством патча до 1 июля 2025. - Эта кампания представляет собой новый уровень сложности: zero-day атака без файлов, использование легитимных инструментов (LOLBins), и мощные антидетект механизмы.
Почему это важно?
- Атака демонстрирует, насколько изощрёнными становятся кибершпионские кампании: отсутствие необходимости доставлять файлы на диск, использование легитимных инструментов и мощные антидетект-механизмы.
- Целями были высокоприоритетные объекты: Турция, Катар, Египет, Йемен — оборонные структуры и госорганизации.
- Идеальная иллюстрация того, почему WebDAV и стандартные инструменты Windows требуют строгого мониторинга и ограничения.
Вывод: CVE-2025-33053 стала ключевым вектором для сложной APT-операции. Только своевременное обновление, внимательный мониторинг и продвинутая антивирусная аналитика могут защитить критически важные инфраструктуры от подобных угроз.
@linuxkalii
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥25❤19👍10👏3
🎉 Сегодня ядру Linux исполнилось 34 года!
25 августа 1991 года 21-летний студент Хельсинкского университета Линус Торвальдс написал в телеконференцию
🔹 Уже тогда было отмечено успешное портирование bash 1.08 и gcc 1.40.
🔹 Первый публичный релиз ядра Linux вышел 17 сентября 1991 года.
🔹 Версия 0.0.1 весила всего 62 КБ (сжатая) и содержала около 10 000 строк кода.
С тех пор проект вырос колоссально:
⚙️ Современное ядро насчитывает уже более 41 миллиона строк кода и продолжает активно развиваться тысячами участников по всему миру.
💡 Linux стал основой для серверов, смартфонов, суперкомпьютеров и встраиваемых устройств — от облаков до IoT.
❤️ Лайк, чтобы поздравить
@linuxkalii
25 августа 1991 года 21-летний студент Хельсинкского университета Линус Торвальдс написал в телеконференцию
comp.os.minix, что у него появился рабочий прототип новой операционной системы. 🔹 Уже тогда было отмечено успешное портирование bash 1.08 и gcc 1.40.
🔹 Первый публичный релиз ядра Linux вышел 17 сентября 1991 года.
🔹 Версия 0.0.1 весила всего 62 КБ (сжатая) и содержала около 10 000 строк кода.
С тех пор проект вырос колоссально:
⚙️ Современное ядро насчитывает уже более 41 миллиона строк кода и продолжает активно развиваться тысячами участников по всему миру.
💡 Linux стал основой для серверов, смартфонов, суперкомпьютеров и встраиваемых устройств — от облаков до IoT.
❤️ Лайк, чтобы поздравить
@linuxkalii
❤200🎉45👍16👎3🔥3🥰1👏1
💡Совет по Linux
Нужно повторять команду каждые несколько секунд?
Используйте:
Эта команда запускает
Отлично подходит для наблюдения за использованием диска, нагрузкой или изменением размеров логов.
Для выхода нажмите q.
@linuxkalii
Нужно повторять команду каждые несколько секунд?
Используйте:
watch -n 2 df -h
Эта команда запускает
df -h каждые 2 секунды.Отлично подходит для наблюдения за использованием диска, нагрузкой или изменением размеров логов.
Для выхода нажмите q.
@linuxkalii
🔥42👍20❤11
⚡️ GhostTrack — OSINT Swiss Army Knife для отслеживания локации и личности
🔥 Новый open-source инструмент, который объединил в себе всё необходимое для базового OSINT в одном скрипте.
🚀 Что умеет GhostTrack
- IP-Tracker — определяет примерное местоположение IP-адреса и информацию об интернет-провайдере.
- Phone-Tracker — получает данные, связанные с мобильным номером.
- Username-Tracker — проверяет, где используется заданный никнейм на различных сайтах и платформах.
💡 Почему это интересно
- Минималистичный интерфейс командной строки.
- Работает как на Linux, так и на Termux (Android).
- Можно комбинировать с другими утилитами (например, Seeker для получения IP, который затем анализируется в GhostTrack).
📦 Установка и запуск
📌 GitHub
@linuxkalii
🔥 Новый open-source инструмент, который объединил в себе всё необходимое для базового OSINT в одном скрипте.
🚀 Что умеет GhostTrack
- IP-Tracker — определяет примерное местоположение IP-адреса и информацию об интернет-провайдере.
- Phone-Tracker — получает данные, связанные с мобильным номером.
- Username-Tracker — проверяет, где используется заданный никнейм на различных сайтах и платформах.
💡 Почему это интересно
- Минималистичный интерфейс командной строки.
- Работает как на Linux, так и на Termux (Android).
- Можно комбинировать с другими утилитами (например, Seeker для получения IP, который затем анализируется в GhostTrack).
📦 Установка и запуск
git clone https://github.com/HunxByts/GhostTrack.git
cd GhostTrack
pip3 install -r requirements.txt
python3 GhostTR.py
📌 GitHub
@linuxkalii
🔥35❤17👍7🥰3👎2
This media is not supported in your browser
VIEW IN TELEGRAM
🚀 Linux: du — простой способ найти, куда уходит место на диске
Часто место на сервере заканчивается неожиданно. Чтобы быстро понять, какие папки «съедают» больше всего пространства, используй команду du.
Она показывает размер каталогов и файлов, а с флагами — делает отчёт удобным для чтения.
Часто место на сервере заканчивается неожиданно. Чтобы быстро понять, какие папки «съедают» больше всего пространства, используй команду du.
# Показать размер всех папок в текущем каталоге
du -h --max-depth=1
# Отсортировать по размеру и вывести топ-10
du -h --max-depth=1 | sort -hr | head -n 10
Она показывает размер каталогов и файлов, а с флагами — делает отчёт удобным для чтения.
👍33❤10🔥8
🚧 Удобное управление процессами на macOS
Port Kill — это легкое приложение для строки состояния macOS, которое отслеживает и управляет процессами на портах 2000-6000. Оно позволяет в реальном времени определять процессы и завершать их по одному или все сразу.
🚀 Основные моменты:
- Мониторинг процессов каждые 5 секунд
- Цветная иконка для отображения статуса
- Динамическое меню с опциями завершения процессов
- Поддержка Docker для контейнеров
- Без окон — только статусная строка
📌 GitHub: https://github.com/kagehq/port-kill
#rust
Port Kill — это легкое приложение для строки состояния macOS, которое отслеживает и управляет процессами на портах 2000-6000. Оно позволяет в реальном времени определять процессы и завершать их по одному или все сразу.
🚀 Основные моменты:
- Мониторинг процессов каждые 5 секунд
- Цветная иконка для отображения статуса
- Динамическое меню с опциями завершения процессов
- Поддержка Docker для контейнеров
- Без окон — только статусная строка
📌 GitHub: https://github.com/kagehq/port-kill
#rust
❤11🔥5👍4👎1
💡 Быстрый совет Linux
Хотите быстро узнать IP вашего шлюза?
В Linux это можно сделать одной простой командой:
@linuxkalii
Хотите быстро узнать IP вашего шлюза?
В Linux это можно сделать одной простой командой:
ping _gateway
Шлюз (gateway) — это устройство, которое соединяет вашу локальную сеть (например, домашний Wi-Fi) с другой сетью, чаще всего с интернетом.
@linuxkalii
🔥36❤16👍10👎4😁2
This media is not supported in your browser
VIEW IN TELEGRAM
💡 Полезный совет по Linux
Команда
Пример использования:
После ввода этой команды откроется текстовый редактор, где будут отображены команды под номерами 129 и 130 из истории. Вы можете:
1. Отредактировать любую часть этих команд
2. Добавить новые команды
3. Удалить ненужные
После сохранения изменений и выхода из редактора, все команды из отредактированного диапазона будут автоматически выполнены в терминале.
@linuxkalii
Команда
fc — это встроенная функция bash, которая позволяет удобно редактировать и повторно выполнять предыдущие команды из истории. Пример использования:
$ fc 129 130
После ввода этой команды откроется текстовый редактор, где будут отображены команды под номерами 129 и 130 из истории. Вы можете:
1. Отредактировать любую часть этих команд
2. Добавить новые команды
3. Удалить ненужные
После сохранения изменений и выхода из редактора, все команды из отредактированного диапазона будут автоматически выполнены в терминале.
@linuxkalii
🔥31👍16❤9👎1
🕵️♂️ browser-fingerprinting — как сайты определяют ботов
Open-source репозиторий, где собраны реальные методы браузерного фингерпринтинга и способы их обхода. Полезно для тех, кто изучает защиту от ботов и web-scraping.
✨ Что внутри:
- Анализ техник обнаружения автоматизации
- Ограничение FPS в Chromium + SwiftShader
- Использование GPU-кэша для уникального ID
- Приёмы с puppeteer-extra-plugin-stealth
- Практические обходы защит
⭐ Популярность: 4.4k звёзд, 236 форков
🔗 Репозиторий: https://github.com/niespodd/browser-fingerprinting
@linuxkalii
Open-source репозиторий, где собраны реальные методы браузерного фингерпринтинга и способы их обхода. Полезно для тех, кто изучает защиту от ботов и web-scraping.
✨ Что внутри:
- Анализ техник обнаружения автоматизации
- Ограничение FPS в Chromium + SwiftShader
- Использование GPU-кэша для уникального ID
- Приёмы с puppeteer-extra-plugin-stealth
- Практические обходы защит
⭐ Популярность: 4.4k звёзд, 236 форков
🔗 Репозиторий: https://github.com/niespodd/browser-fingerprinting
@linuxkalii
❤16👍13🔥7
🔥 Упрощение DLL-хайкинга с DllShimmer
DllShimmer позволяет легко добавлять код в экспортируемые функции DLL без нарушения работы программы. Он генерирует C++ и DEF файлы, которые обеспечивают корректное взаимодействие с оригинальной DLL, сохраняя ее структуру.
Экспортируемые функции DLL — это функции, которые библиотека DLL (Dynamic Link Library) делает доступными для использования другими программами.
Когда вы пишете код вы можете собрать его не только в обычный исполняемый .exe, но и в динамическую библиотеку .dll. Такая библиотека хранит набор функций и данных, которые могут вызываться другими приложениями во время выполнения.
🚀Основные моменты:
- Простое создание прокси DLL для внедрения кода.
- Поддержка динамической и статической компоновки.
- Не требует реверс-инжиниринга.
- Сохраняет оригинальные имена и порядковые номера функций.
- Поддержка только x86-64 архитектуры.
📌 GitHub
@linuxkalii
DllShimmer позволяет легко добавлять код в экспортируемые функции DLL без нарушения работы программы. Он генерирует C++ и DEF файлы, которые обеспечивают корректное взаимодействие с оригинальной DLL, сохраняя ее структуру.
Экспортируемые функции DLL — это функции, которые библиотека DLL (Dynamic Link Library) делает доступными для использования другими программами.
Когда вы пишете код вы можете собрать его не только в обычный исполняемый .exe, но и в динамическую библиотеку .dll. Такая библиотека хранит набор функций и данных, которые могут вызываться другими приложениями во время выполнения.
🚀Основные моменты:
- Простое создание прокси DLL для внедрения кода.
- Поддержка динамической и статической компоновки.
- Не требует реверс-инжиниринга.
- Сохраняет оригинальные имена и порядковые номера функций.
- Поддержка только x86-64 архитектуры.
📌 GitHub
@linuxkalii
❤16🔥8👍5🥰2
@linuxkalii
Please open Telegram to view this post
VIEW IN TELEGRAM
❤18👍10🔥5👎1
This media is not supported in your browser
VIEW IN TELEGRAM
Если нужно узнать, какой процесс занимает файл или слушает порт — не обязательно использовать только
lsof. Есть более простой инструмент —
fuser. Примеры:
- Проверить, кто использует файл:
fuser /var/log/syslog
Проверить, кто слушает порт 8080:
fuser -n tcp 8080
Эта команда сразу показывает PID, а с флагом -k можно даже завершить процесс, который мешает.
Удобно, когда нужно быстро освободить порт или разблокировать файл.
Please open Telegram to view this post
VIEW IN TELEGRAM
❤25👍24🔥14😁2
This media is not supported in your browser
VIEW IN TELEGRAM
⚡️ Hexora — статический анализ Python-скриптов на вредоносные паттерны
Что это:
- Ищет опасные конструкции в Python-коде: чтение буфера обмена, exec/eval (включая обфускации), подозрительные импорты (pickle, ctypes, marshal), загрузку бинарей, длинные base64/hex-строки и т. п.
- Полезен для аудита зависимостей (supply chain), проверки скриптов из Pastebin/GitHub, triage после инцидентов и ревью пакетов из PyPI.
Быстрый старт:
🔗Github
Что это:
- Ищет опасные конструкции в Python-коде: чтение буфера обмена, exec/eval (включая обфускации), подозрительные импорты (pickle, ctypes, marshal), загрузку бинарей, длинные base64/hex-строки и т. п.
- Полезен для аудита зависимостей (supply chain), проверки скриптов из Pastebin/GitHub, triage после инцидентов и ревью пакетов из PyPI.
Быстрый старт:
pip install hexora # или: uv tool install hexora
hexora --help
# Проверить одиночный файл
hexora audit path/to/script.py
# Проверить каталог (с удобным выводом)
hexora audit --output-format terminal ./resources/test/
# Аудит пакетов из venv (и фильтрация шумных правил)
hexora audit \
--exclude HX5020,HX5030,HX5040,HX5050,HX5060 \
--min-confidence high \
.venv/lib/python3.11/site-packages/
🔗Github
👍18❤10🔥9
🎯 Новый вектор атак на ИИ — скрытые промпты в картинках
Trail of Bits показали, что хакеры могут прятать инструкции в изображениях. Пока картинка оригинального размера — всё чисто.
Но как только сервис (например, Gemini CLI или **Vertex AI Studio**) автоматически сжимает её, проявляется скрытый текст.
📌 Что это значит:
- ИИ «видит» спрятанный промпт и исполняет его, думая, что это команда пользователя.
- Так можно обойти фильтры и заставить модель делать то, что задумал атакующий.
🛠 Как защититься:
- Инструмент Anamorpher (open-source) для генерации и проверки таких атак.
- Защита: многоуровневая проверка картинок и отслеживание артефактов при масштабировании.
⚠️ Итог: даже безобидная картинка может оказаться «троянским конем» для ИИ-систем.
🔗Github: https://github.com/trailofbits/anamorpher
🔗 Подробнее: blog.trailofbits.com/2025/08/21/weaponizing-image-scaling-against-production-ai-systems/
#AI #Security #PromptInjection #TrailOfBits
Trail of Bits показали, что хакеры могут прятать инструкции в изображениях. Пока картинка оригинального размера — всё чисто.
Но как только сервис (например, Gemini CLI или **Vertex AI Studio**) автоматически сжимает её, проявляется скрытый текст.
📌 Что это значит:
- ИИ «видит» спрятанный промпт и исполняет его, думая, что это команда пользователя.
- Так можно обойти фильтры и заставить модель делать то, что задумал атакующий.
🛠 Как защититься:
- Инструмент Anamorpher (open-source) для генерации и проверки таких атак.
- Защита: многоуровневая проверка картинок и отслеживание артефактов при масштабировании.
⚠️ Итог: даже безобидная картинка может оказаться «троянским конем» для ИИ-систем.
🔗Github: https://github.com/trailofbits/anamorpher
🔗 Подробнее: blog.trailofbits.com/2025/08/21/weaponizing-image-scaling-against-production-ai-systems/
#AI #Security #PromptInjection #TrailOfBits
🔥28👍17❤15🤔7👏2😱1
🍔 Пароль «admin» дал хакерам доступ к 30 000 ресторанов Burger King
Хакерам даже не пришлось «взламывать» Burger King — всё уже было открыто:
- регистрация не отключена,
- пароли лежат в открытом виде,
- а на планшетах для заказа пароль по умолчанию — admin.
🚨 Результат? Полный доступ к внутренним сервисам:
- смотри все заказы на «драйв-тру»
- управляй планшетами и рассылай уведомления
- оформляй заказы на оборудование
- 👤 входи в учётки сотрудников по всему миру
Вот так в 2025-м бургер заворачивают надёжнее, чем данные. 😂
📌 Подробнее
@linuxkalii
#security #infosec #hack #burgerking
Хакерам даже не пришлось «взламывать» Burger King — всё уже было открыто:
- регистрация не отключена,
- пароли лежат в открытом виде,
- а на планшетах для заказа пароль по умолчанию — admin.
🚨 Результат? Полный доступ к внутренним сервисам:
- смотри все заказы на «драйв-тру»
- управляй планшетами и рассылай уведомления
- оформляй заказы на оборудование
- 👤 входи в учётки сотрудников по всему миру
Вот так в 2025-м бургер заворачивают надёжнее, чем данные. 😂
📌 Подробнее
@linuxkalii
#security #infosec #hack #burgerking
❤55🔥19😁13🤯13👍7🎉4
Фишингом угнали npm-аккаунт мейнтейнера qix и пушнули апдейты в 18 ключевых пакетов (chalk, debug, strip-ansi, color-convert и др.) — суммарно это ~2,6 млрд загрузок в неделю.
В обновления вставили браузерный крипто-«клиппер»: на сайтах/в приложениях с уязвимыми версиями он перехватывает трафик и подменяет адреса кошельков.
Скомпрометированные версии — удалить немедленно из всех сред (локальные машины разработчиков, CI/CD, прод):
ansi-styles@6.2.2
debug@4.4.2
chalk@5.6.1
supports-color@10.2.1
strip-ansi@7.1.1
ansi-regex@6.2.1
wrap-ansi@9.0.1
color-convert@3.1.1
color-name@2.0.1
is-arrayish@0.3.3
slice-ansi@7.1.1
color@5.0.1
color-string@2.1.1
simple-swizzle@0.2.3
supports-hyperlinks@4.1.1
has-ansi@6.0.1
chalk-template@1.1.1
backslash@0.2.1
error-ex@1.3.3
▪Удалить уязвимые версии из дерева зависимостей, пересобрать и задеплоить исправления.
▪Проверить lock-файлы (package-lock.json, yarn.lock, pnpm-lock.yaml) и node_modules на присутствие перечисленных версий.
▪ Очистить кэш менеджера пакетов: npm cache clean --force, yarn cache clean, pnpm store prune.
▪ Переустановить зависимости с нуля (удалив node_modules и lock-файлы) и заново зафиксировать версии.
▪ Пересобрать фронтенд-бандлы, инвалидировать CDN/кэши, перезапустить рантаймы.
▪ Проверить логи на внешние запросы из бандла, провести аудит внесённых PR/коммитов.
▪ Ротировать ключи/токены, если могли утечь, и ужесточить 2FA/доступ к npm.
📌 Разбор атаки
#security #npm #javascript #supplychain #infosec #malware
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥22❤10👍8😱6😁1
💸 Как DDoS превратился в счёт на $120K за 72 часа
На Reddit инженер рассказал, как DDoS-атака вызвала неконтролируемый рост кластера до 2000 m5.24xlarge инстансов всего за три дня.
Система должна была обеспечивать доступность, но вместо этого принесла счёт на $120,000.
Такой сценарий называют Denial-of-Wallet (DoW) — отказ кошелька.
⚙️ Что пошло не так:
- В Auto Scaling Group не было задано максимальное число инстансов.
- Были настроены бюджетные алерты, но они слали уведомления только в Slack — без автоматических ограничений.
- Не было инструментов drift-детекции, которые подсветили бы отсутствие лимитов.
Результат: политика масштабирования восприняла DDoS-трафик как реальную нагрузку. EC2 масштабировался, пока лимитом не стали деньги.
✅ Меры, которые выделили в разборе инцидента:
- Задавать max capacity для каждой ASG — даже если это может привести к троттлингу.
- Настраивать budget alarms с enforcement — остановка ресурсов на уровне аккаунта, а не просто уведомления.
- Включать drift-детекцию конфигураций масштабирования.
- Роутить алерты о тратах в системы эскалации, а не только в чаты.
🔒 Важно помнить: причина была в DDoS. Масштабирование — лишь следствие.
Без WAF и защиты от атак мы ловим последствия, а не саму проблему.
⚖️ Вывод: лимиты всегда баланс между доступностью и стоимостью.
Автомасштабирование без ограничений — это не устойчивость, а финансовый риск.
На Reddit инженер рассказал, как DDoS-атака вызвала неконтролируемый рост кластера до 2000 m5.24xlarge инстансов всего за три дня.
Система должна была обеспечивать доступность, но вместо этого принесла счёт на $120,000.
Такой сценарий называют Denial-of-Wallet (DoW) — отказ кошелька.
⚙️ Что пошло не так:
- В Auto Scaling Group не было задано максимальное число инстансов.
- Были настроены бюджетные алерты, но они слали уведомления только в Slack — без автоматических ограничений.
- Не было инструментов drift-детекции, которые подсветили бы отсутствие лимитов.
Результат: политика масштабирования восприняла DDoS-трафик как реальную нагрузку. EC2 масштабировался, пока лимитом не стали деньги.
✅ Меры, которые выделили в разборе инцидента:
- Задавать max capacity для каждой ASG — даже если это может привести к троттлингу.
- Настраивать budget alarms с enforcement — остановка ресурсов на уровне аккаунта, а не просто уведомления.
- Включать drift-детекцию конфигураций масштабирования.
- Роутить алерты о тратах в системы эскалации, а не только в чаты.
🔒 Важно помнить: причина была в DDoS. Масштабирование — лишь следствие.
Без WAF и защиты от атак мы ловим последствия, а не саму проблему.
⚖️ Вывод: лимиты всегда баланс между доступностью и стоимостью.
Автомасштабирование без ограничений — это не устойчивость, а финансовый риск.
👍24❤16😁9🔥4🤯2🤔1🎉1