Forwarded from DFIR Father
Текстовик в Windows 11, который палит запуск даже удаленных файлов 🔥
Иногда самые полезные артефакты лежат не в хитром бинарнике, который надо парсить три часа, а просто в текстовике, который никто не догадался открыть. Вот один из таких. Андреа Фортуна недавно напомнил про него, и для кейсов на 11 винде это очень актуально.
📂 Что это и где лежит
Начиная с Windows 11 22H2 Microsoft прикрутила к сервису Program Compatibility Assistant (тот самый PcaSvc, который живет еще со времен Vista) персистентную запись запусков в обычный текст:
Внутри - строки вида "полный путь к exe | UTC-таймстамп". Никакого проприетарного формата, никакого декодинга. Все читается глазами:
Делалось это как обычно под compatibility-задачи, а не под форензику. Но как обычно бывает - фича для одного, а ценное доказательство для другого.😙
🔍 Чем это интересно для форзы
Файл ловит запуски программ через Explorer - то есть когда юзер двойным кликом открыл файл. А это огромный пласт реальной малвари: распаковал ZIP, открыл "счет" из директории "Загрузки", оператор кинул тулзу в C:\Temp руками и запустил, техник прогнал утилиту с флешки.
Три жирных плюса:
• Отвечает на простой, но важный вопрос - этот exe реально запускали на хосте, или только скачали?
• Связывает алерт с активностью юзера.
• И главное - запись остается даже после удаления самого файла.
Третья строка в примере выше ⬆️:
☠️ Anti-forensic значимость
Вот тут самое вкусное. Вся типовая чистка следов заточена под известные артефакты: чистят Prefetch, сносят LNK, вайпят recent items, гоняют коммерческие анти-форензик тулзы. А малоизвестные артефакты остаются нетронутыми просто потому, что атакующий о них не знает.
Представь кейс: подозрение на фишинг. Вложение удалено, скачанный файл удален, юзер божится что "только посмотрел документ и ничего не запускал". EDR дал слабый сигнал, Prefetch неинформативен из-за шума и ретеншена. Открываешь PCA - а там:
Одна строчка доказывает запуск (а не просто скачивание), путь с палевным двойным расширением .pdf.exe, и UTC-таймстамп, который коррелируется с почтой, браузером, DNS и process creation.
🛠 Как снимать и читать (Сам файл в UTF-16 LE, если что)
Быстрый триаж через PowerShell:
В KAPE путь уже есть в таргете !SANS_Triage. Заодно тащи соседей - они дополняют картину ошибками совместимости и завершениями процессов:
Для парсинга в пайплайне Харлан Карви запилил PCAParse.
⚠️ Важные оговорки
• Scope. Ловятся запуски ТОЛЬКО через Explorer. Стартанули из cmd, PowerShell, WMI, PsExec, шедулера или сервиса - в этом файле ничего не будет.
• Наличие записи сильно намекает на запуск через Explorer. Отсутствие записи не доказывает что не запускали. Это один источник в общей доказательной базе, а не истина в последней инстанции.
🎯 Плейбучим?
Лучшее время выучить новый артефакт - до того, как он понадобится в живом кейсе. Сейчас большинство анти-форензик тулз его не трогают. Советую потыкать на Win11 самому, прогнать запуск через Explorer, cmd, PowerShell, USB и сетевую шару, посмотри что и сколько хранится. Ну и если было полезно, то закинуть
🔗 https://andreafortuna.org/2026/03/19/windows11-pca-artifact/
🔗 https://www.sygnia.co/blog/new-windows-11-pca-artifact/
🔗 https://windowsir.blogspot.com/2024/02/pcaparse.html
🐦⬛ DFIR Father
Иногда самые полезные артефакты лежат не в хитром бинарнике, который надо парсить три часа, а просто в текстовике, который никто не догадался открыть. Вот один из таких. Андреа Фортуна недавно напомнил про него, и для кейсов на 11 винде это очень актуально.
Начиная с Windows 11 22H2 Microsoft прикрутила к сервису Program Compatibility Assistant (тот самый PcaSvc, который живет еще со времен Vista) персистентную запись запусков в обычный текст:
C:\Windows\appcompat\pca\PcaAppLaunchDic.txtВнутри - строки вида "полный путь к exe | UTC-таймстамп". Никакого проприетарного формата, никакого декодинга. Все читается глазами:
C:\Users\Alice\Downloads\Quarterly_Review.pdf.exe|2026-03-15 09:42:11.000
C:\Temp\tool.exe|2026-03-15 09:43:05.000
D:\AUTORUN\payload.exe|2026-03-15 09:44:22.000
Делалось это как обычно под compatibility-задачи, а не под форензику. Но как обычно бывает - фича для одного, а ценное доказательство для другого.
Файл ловит запуски программ через Explorer - то есть когда юзер двойным кликом открыл файл. А это огромный пласт реальной малвари: распаковал ZIP, открыл "счет" из директории "Загрузки", оператор кинул тулзу в C:\Temp руками и запустил, техник прогнал утилиту с флешки.
Три жирных плюса:
• Отвечает на простой, но важный вопрос - этот exe реально запускали на хосте, или только скачали?
• Связывает алерт с активностью юзера.
• И главное - запись остается даже после удаления самого файла.
Третья строка в примере выше ⬆️:
D:\ - это съемный диск. То есть доставка через USB видна по одному только префиксу пути, без всякого пивотинга.Вот тут самое вкусное. Вся типовая чистка следов заточена под известные артефакты: чистят Prefetch, сносят LNK, вайпят recent items, гоняют коммерческие анти-форензик тулзы. А малоизвестные артефакты остаются нетронутыми просто потому, что атакующий о них не знает.
Представь кейс: подозрение на фишинг. Вложение удалено, скачанный файл удален, юзер божится что "только посмотрел документ и ничего не запускал". EDR дал слабый сигнал, Prefetch неинформативен из-за шума и ретеншена. Открываешь PCA - а там:
C:\Users\Alice\Downloads\Quarterly_Review.pdf.exe|2026-03-15 09:42:11.000Одна строчка доказывает запуск (а не просто скачивание), путь с палевным двойным расширением .pdf.exe, и UTC-таймстамп, который коррелируется с почтой, браузером, DNS и process creation.
🛠 Как снимать и читать (Сам файл в UTF-16 LE, если что)
Быстрый триаж через PowerShell:
Get-Content -Path "C:\Windows\appcompat\pca\PcaAppLaunchDic.txt" -Encoding Unicode |
Select-String -Pattern "Temp|Downloads|AppData|\\Users\\"
В KAPE путь уже есть в таргете !SANS_Triage. Заодно тащи соседей - они дополняют картину ошибками совместимости и завершениями процессов:
C:\Windows\appcompat\pca\PcaAppLaunchDic.txt
C:\Windows\appcompat\pca\PcaGeneralDb0.txt
C:\Windows\appcompat\pca\PcaGeneralDb1.txt
Для парсинга в пайплайне Харлан Карви запилил PCAParse.
• Scope. Ловятся запуски ТОЛЬКО через Explorer. Стартанули из cmd, PowerShell, WMI, PsExec, шедулера или сервиса - в этом файле ничего не будет.
• Наличие записи сильно намекает на запуск через Explorer. Отсутствие записи не доказывает что не запускали. Это один источник в общей доказательной базе, а не истина в последней инстанции.
Лучшее время выучить новый артефакт - до того, как он понадобится в живом кейсе. Сейчас большинство анти-форензик тулз его не трогают. Советую потыкать на Win11 самому, прогнать запуск через Explorer, cmd, PowerShell, USB и сетевую шару, посмотри что и сколько хранится. Ну и если было полезно, то закинуть
C:\Windows\appcompat\pca\ в свой таргет-коллект.Please open Telegram to view this post
VIEW IN TELEGRAM
🔥7
Заметил серию подряд зарегистрированных доменов, которые могут быть использованы для продажи поддельных билетов.
Аналогичный случай был тут: https://t.me/qcakz/2506
nomad-igra[.]kzbaryspay[.]kzzakabiletov[.]kzirisspa[.]kzPlease open Telegram to view this post
VIEW IN TELEGRAM
Netflix 📱 не присылает SMS коды на казахстанский номер телефона (Beeline).
У вас так же?
У вас так же?
Please open Telegram to view this post
VIEW IN TELEGRAM
😁4💯3
Увидел что зарегистрирован домен
WHOIS скрыто, а на главной странице имеется форма запроса логина и пароля от корпоративной почты АО "НИТ" (@ nitec[.]kz). Если посмотреть IP-адрес, то можно увидеть, что это веб-приложение размещается на американском🇺🇸 сервисе для развертывания веб-приложений Vercel.
Вряд ли бы квазигосударственная организация использовала зарубежный хостинг (это запрещено нормативно), поэтому делаю вывод, что это хитрый фишинг для компрометации учетных записей АО "НИТ".
ai-nitec[.]kz и решил проверить его.WHOIS скрыто, а на главной странице имеется форма запроса логина и пароля от корпоративной почты АО "НИТ" (@ nitec[.]kz). Если посмотреть IP-адрес, то можно увидеть, что это веб-приложение размещается на американском
Вряд ли бы квазигосударственная организация использовала зарубежный хостинг (это запрещено нормативно), поэтому делаю вывод, что это хитрый фишинг для компрометации учетных записей АО "НИТ".
Please open Telegram to view this post
VIEW IN TELEGRAM
👍12
Forwarded from ПараноИБ
Сейчас в Казахстане дикий бум ОЦИБов. Рынок перегрет, лицензии получаются, контракты под 832-й ППРК заключаются пачками. Квазигос и КВОИКИ бодро рапортуют наверх, что периметр на замке, а комплаенс пройден на 100%.
Но давайте снимем розовые очки. Если к вам зайдет не мамкин хакер с готовым шифровальщиком, а нормальная государственная APT-группировка межгосударственного кибершпионажа(вспоминаем те самые китайские сливы), ваш ОЦИБ узнает об этом последним. Когда инфраструктура уже будет лежать. ОЦИБ по сути, деньги взял с вас за то, что в "полуавтомате" смотрит ваши логи.
Как человек, который регулярно ковыряет логи и выгребает последствия, подсвечу реальные системные проблемы, о которых на презентациях молчат:
1. Тотальная слепота по телеметрии
Стандартный коммерческий ОЦИБ работает по схеме: «Налейте нам логи в SIEM, мы натравим базовые правила корреляции». Всё. Но нормальный актор не шумит. Он не будет сканировать сеть нмапом или брутить пароли. Он зайдет через легитимный VPN подрядчика или уязвимость в забытом веб-сервисе.
Если на конечных точках нет нормального EDR/XDR, который собирает сырую телеметрию процессов, вы слепы. Никакой сбор стандартных логов Windows не покажет вам DLL Side-Loading или Process Hollowing (когда код внедряется в легитимный svchost.exe). Для мониторинга это будет выглядеть как штатная работа системы, пока вашу базу NTDS.dit уже вовсю пакуют в архив.
2. Конвейер L1-аналитиков вместо экспертизы
Большинство ОЦИБов сегодня - это просто ИТ-колл-центры. На первой линии сидят вчерашние студенты за копейки, их задача - закрывать тикеты по SLA. На них ежедневно сыплется тонна False Positive, фокус размывается уже через пару часов смены.
Профессиональная атака - это всегда Low and Slow. Атакующий делает одно подозрительное действие раз в три дня. Сегодня дернул теневую копию тома через vssadmin, через три дня запустил архиватор, еще через неделю слил кусок данных по HTTPS на доверенное облако. Для L1-оператора это будут три разрозненных, низкоприоритетных алерта, которые он закроет как мусор, даже не попытавшись связать в цепочку.
3. Слепая вера в сигнатуры и игнор LOLBAS
Все почему-то до сих пор ищут известные хэши утилит. Но целевые хакеры не приносят с собой палевный софт. Они используют то, что уже есть в самой операционной системе (техники LOLBAS).
Зачем тащить условный Мимикатц, если можно сделать дамп памяти LSASS через встроенный rundll32.exe и легитимную comsvcs.dll? Бинарник системный, подпись валидна, антивирус молчит, ОЦИБ спит. А то, что через бесдисковую атаку в PowerShell прямо в памяти крутится левый код - для них вообще высшая математика.
Пока ОЦИБы продаются как коробочный продукт для прохождения аудита, а не как сервис проактивного поиска угроз (Threat Hunting), они бесполезны против реальных целевых атак. Защита - это не софт и не галочка в чек-листе. Это L3 инженеры, которые понимают логику атакующего и умеют руками искать аномалии в сырых логах до того, как сработает автоматика. Но таких людей на рынке единицы, и на потоке в коммерческих центрах их просто нет
Но давайте снимем розовые очки. Если к вам зайдет не мамкин хакер с готовым шифровальщиком, а нормальная государственная APT-группировка межгосударственного кибершпионажа(вспоминаем те самые китайские сливы), ваш ОЦИБ узнает об этом последним. Когда инфраструктура уже будет лежать. ОЦИБ по сути, деньги взял с вас за то, что в "полуавтомате" смотрит ваши логи.
Как человек, который регулярно ковыряет логи и выгребает последствия, подсвечу реальные системные проблемы, о которых на презентациях молчат:
1. Тотальная слепота по телеметрии
Стандартный коммерческий ОЦИБ работает по схеме: «Налейте нам логи в SIEM, мы натравим базовые правила корреляции». Всё. Но нормальный актор не шумит. Он не будет сканировать сеть нмапом или брутить пароли. Он зайдет через легитимный VPN подрядчика или уязвимость в забытом веб-сервисе.
Если на конечных точках нет нормального EDR/XDR, который собирает сырую телеметрию процессов, вы слепы. Никакой сбор стандартных логов Windows не покажет вам DLL Side-Loading или Process Hollowing (когда код внедряется в легитимный svchost.exe). Для мониторинга это будет выглядеть как штатная работа системы, пока вашу базу NTDS.dit уже вовсю пакуют в архив.
2. Конвейер L1-аналитиков вместо экспертизы
Большинство ОЦИБов сегодня - это просто ИТ-колл-центры. На первой линии сидят вчерашние студенты за копейки, их задача - закрывать тикеты по SLA. На них ежедневно сыплется тонна False Positive, фокус размывается уже через пару часов смены.
Профессиональная атака - это всегда Low and Slow. Атакующий делает одно подозрительное действие раз в три дня. Сегодня дернул теневую копию тома через vssadmin, через три дня запустил архиватор, еще через неделю слил кусок данных по HTTPS на доверенное облако. Для L1-оператора это будут три разрозненных, низкоприоритетных алерта, которые он закроет как мусор, даже не попытавшись связать в цепочку.
3. Слепая вера в сигнатуры и игнор LOLBAS
Все почему-то до сих пор ищут известные хэши утилит. Но целевые хакеры не приносят с собой палевный софт. Они используют то, что уже есть в самой операционной системе (техники LOLBAS).
Зачем тащить условный Мимикатц, если можно сделать дамп памяти LSASS через встроенный rundll32.exe и легитимную comsvcs.dll? Бинарник системный, подпись валидна, антивирус молчит, ОЦИБ спит. А то, что через бесдисковую атаку в PowerShell прямо в памяти крутится левый код - для них вообще высшая математика.
Пока ОЦИБы продаются как коробочный продукт для прохождения аудита, а не как сервис проактивного поиска угроз (Threat Hunting), они бесполезны против реальных целевых атак. Защита - это не софт и не галочка в чек-листе. Это L3 инженеры, которые понимают логику атакующего и умеют руками искать аномалии в сырых логах до того, как сработает автоматика. Но таких людей на рынке единицы, и на потоке в коммерческих центрах их просто нет
1👍21❤9👎1🔥1😁1
Давно:
AV + Detection & Response = EDR
Недавно:
FW + Detection & Response = NDR
Сейчас:
DLP + Detection & Response = DDR
AV + Detection & Response = EDR
Недавно:
FW + Detection & Response = NDR
Сейчас:
DLP + Detection & Response = DDR
😁4🤔1
🕵️♂️ Разбор инфраструктурного LotL-трюка от APT-Q-27 (DragonBreath)
Попался на реверс свежий дроппер от APT-Q-27 (сэмпл зашейрен на ANY.RUN - спасибо что есть такой сервис), и у джугурмеков обнаружилась очень изящная схема управления инфраструктурой. Они начали активно абузить легитимные SaaS-сокращалки ссылок для защиты своих пейлоадов в облаке от банов.
Как выглядит цепочка:
1️⃣ Жертва кликает на ссылку-приманку:
2️⃣ Домен
3️⃣ Скачивается сам дроппер:
4️⃣ После обхода песочниц (в коде есть хардкорные проверки на GCP-окружение и WDAG), малварь лезет за конфигом для следующих стейджей по адресу:
В чем профит для атакующих?
Если Google лочит вредоносный бакет (
📌 Индикаторы (IoCs):
MD5:
Redirector:
GCP Payload:
GCP C2 Config:
Попался на реверс свежий дроппер от APT-Q-27 (сэмпл зашейрен на ANY.RUN - спасибо что есть такой сервис), и у джугурмеков обнаружилась очень изящная схема управления инфраструктурой. Они начали активно абузить легитимные SaaS-сокращалки ссылок для защиты своих пейлоадов в облаке от банов.
Как выглядит цепочка:
1️⃣ Жертва кликает на ссылку-приманку:
hxxps[:]//image.s[.]gy/image_2026-06-10_02-10.jpg.2️⃣ Домен
image.s.gy — это кастомный (branded) домен, прикрученный к коммерческому сервису Short.io. Сервис отдает HTTP 302 и редиректит жертву на Google Cloud Storage.3️⃣ Скачивается сам дроппер:
hxxps[:]//storage.googleapis[.]com/csg03/image202606118988.exe (чистый .NET).4️⃣ После обхода песочниц (в коде есть хардкорные проверки на GCP-окружение и WDAG), малварь лезет за конфигом для следующих стейджей по адресу:
hxxps[:]//storage.googleapis[.]com/lecoos/le.txt.В чем профит для атакующих?
Если Google лочит вредоносный бакет (
csg03), то злоумышленникам не нужно пересобирать лоадеры или менять ссылки в фишинговых письмах/документах. Они просто заходят в админку Short.io и меняют Target URL на новый живой бакет. Максимальная отказоустойчивость при минимальных затратах. Плюс, трафик к легитимным сокращалкам часто в вайтлистах корпоративных прокси.📌 Индикаторы (IoCs):
MD5:
D8B592F69ADE8DF1D6A4EEB4F8E25BB8 (image202606118988.exe)Redirector:
hxxps[:]//image.s[.]gy/image_2026-06-10_02-10.jpgGCP Payload:
hxxps[:]//storage.googleapis[.]com/csg03/image202606118988.exeGCP C2 Config:
hxxps[:]//storage.googleapis[.]com/lecoos/le.txt1❤4
Tele2 запросил доступ к геолокации. В соглашении ПД пишут следующее:
Перечень персональных данных, собираемых Оператором для оказания услуг, в том числе при скачивании и использовании Мобильного приложения, распространяется на следующие данные, включая, но не ограничиваясь: ИИН, ФИО, абонентский номер, дата и/или год рождения, адресэлектронной почты, IP адрес, сведения об Абонентском устройстве сотовой связи, версия операционной системы, уникальные идентификаторы Абонентского устройства сотовой связи, геолокация, данные GPS, банковские реквизиты, информация о платежных операциях, включая данные о их времени и сумме и иные сведения, относящиеся к Вам и которые могут быть доступны Оператору при оказании Вам услуг связи.
😱8
Forwarded from Связано!
В Казахстане хотят принять Правила стратегического цифрового майнинга.
Правительство хочет определить новые правила игры для крупных криптомайнеров. Теперь компании могут получить долгосрочные объемы электроэнергии по спецтарифу в обмен на пополнение Национального стратегического крипторезерва.
📌 Что такое «стратегический майнинг»?
Это легальная деятельность, при которой майнер получает квоту на электроэнергию по цене, не превышающей предельный тариф. Взамен он обязан на регулярной основе безвозмездно передавать часть добытой криптовалюты в государственный фонд.
🏢 Кого пустят в проект? Требования к участникам.
Государство делает ставку на крупных и надежных игроков. Чтобы получить квоту, майнер должен иметь:
✅ Собственный центр обработки данных мощностью не менее 150 МВт.
✅ Современное оборудование: хэшрейт каждой вычислительной машины должен быть от 150 TH/s.
✅ Подключение к электрическим сетям напрямую от подстанций напряжением 35 кВ и выше.
✅ Собственный сервисный центр для ремонта аппаратуры прямо на территории ЦОД с обученным персоналом.
✅ Резервный канал связи: минимум два договора с интернет-провайдерами.
✅ Идеальную юридическую чистоту: отсутствие долгов по налогам и обременений на имущество.
💰Сколько крипты придется отдавать?
Ставка отчислений составляет 10%, однако расчет ведется по справедливой формуле, защищающей рентабельность бизнеса:
✅ Из общего объема добытых цифровых активов сначала вычитаются все затраты майнера на покупку и передачу электроэнергии (пересчитанные в криптоэквивалент).
✅ 10% высчитывается только с оставшейся, "чистой" части добычи.
⚡️В чем главная выгода для майнера?
✅ Договор на реализацию электроэнергии заключается сразу на 10 лет, что дает стабильность для планирования бизнеса.
✅ В приложении к правилам уже указана первая доступная квота: ТОО «Экибастузская ГРЭС-1» выделяет под эти цели мощность в 300 МВт.
🔎 Жесткий контроль и аудит
✅ Для стратегического майнинга компания обязана открыть отдельный, выделенный криптокошелек.
✅ Ежегодно (до 1 апреля) майнеры будут проходить строгий независимый финансовый аудит.
✅ За недобор крипты в резерв придется возмещать недостачу в течение 30 дней, а если майнер по своей вине отклонится от квоты потребления энергии более чем на 5%, комиссия имеет право урезать ему лимиты электричества.
Правительство хочет определить новые правила игры для крупных криптомайнеров. Теперь компании могут получить долгосрочные объемы электроэнергии по спецтарифу в обмен на пополнение Национального стратегического крипторезерва.
📌 Что такое «стратегический майнинг»?
Это легальная деятельность, при которой майнер получает квоту на электроэнергию по цене, не превышающей предельный тариф. Взамен он обязан на регулярной основе безвозмездно передавать часть добытой криптовалюты в государственный фонд.
🏢 Кого пустят в проект? Требования к участникам.
Государство делает ставку на крупных и надежных игроков. Чтобы получить квоту, майнер должен иметь:
✅ Собственный центр обработки данных мощностью не менее 150 МВт.
✅ Современное оборудование: хэшрейт каждой вычислительной машины должен быть от 150 TH/s.
✅ Подключение к электрическим сетям напрямую от подстанций напряжением 35 кВ и выше.
✅ Собственный сервисный центр для ремонта аппаратуры прямо на территории ЦОД с обученным персоналом.
✅ Резервный канал связи: минимум два договора с интернет-провайдерами.
✅ Идеальную юридическую чистоту: отсутствие долгов по налогам и обременений на имущество.
💰Сколько крипты придется отдавать?
Ставка отчислений составляет 10%, однако расчет ведется по справедливой формуле, защищающей рентабельность бизнеса:
✅ Из общего объема добытых цифровых активов сначала вычитаются все затраты майнера на покупку и передачу электроэнергии (пересчитанные в криптоэквивалент).
✅ 10% высчитывается только с оставшейся, "чистой" части добычи.
⚡️В чем главная выгода для майнера?
✅ Договор на реализацию электроэнергии заключается сразу на 10 лет, что дает стабильность для планирования бизнеса.
✅ В приложении к правилам уже указана первая доступная квота: ТОО «Экибастузская ГРЭС-1» выделяет под эти цели мощность в 300 МВт.
🔎 Жесткий контроль и аудит
✅ Для стратегического майнинга компания обязана открыть отдельный, выделенный криптокошелек.
✅ Ежегодно (до 1 апреля) майнеры будут проходить строгий независимый финансовый аудит.
✅ За недобор крипты в резерв придется возмещать недостачу в течение 30 дней, а если майнер по своей вине отклонится от квоты потребления энергии более чем на 5%, комиссия имеет право урезать ему лимиты электричества.
1❤2🔥2🤯1
Forwarded from BELYAEV_SECURITY
Fox Tempest: ransomware как сервис с «официальным» сертификатом
Ваш антивирус видит подпись Microsoft - и пропускает. А внутри - выкуп за ваши данные.
Клиентура - от известных рансом-групп до менее заметных игроков. Цены - до десятков тысяч долларов за «подписанный» билд. Антивирусы и фильтры, которые доверяют подписи как сильному индикатору легитимности, оказывались в дураках.
Аналогия: это подпольная нотариальная контора, которая за деньги ставит настоящие печати на документы любого содержания. На входе - бандиты с фальшивыми договорами. На выходе - бумага, которой верит любой суд.
Что делать:
Пользователям: перестаньте верить одной галочке «подписано Microsoft/издателем X». Скачивайте ПО только с официальных сайтов, а не из «подборок лучших программ» или с форумов.
Бизнесу/CEO: если ваша защита настроена по принципу «подписано - значит ок», вы живёте в прошлом. Нужен поведенческий анализ, сегментация, контроль привилегий, а не слепое доверие к сертификату.
Моё мнение: история с Fox Tempest - это демонстрация того, что злоумышленники прекрасно понимают, во что верит корпоративная защита. И начинают выдавать себя за именно то, чему она доверяет. Ждите «подписку» на подобные сервисы на подпольных маркетплейсах. Если честно, я бы не удивился, увидев тарифный план «Enterprise».
Автор: Беляев Дмитрий
〰️ 〰️ 〰️
📝 Связаться с Дмитрием
〰️ 〰️ 〰️
↘️ [Все проекты]
🤔 [Стикеры]
📚 [Менторство]
💰 [Буст BS]
🔜 🔜 🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥
#FoxTempest #ransomware #codesigning #Microsoft #кибербезопасность
Ваш антивирус видит подпись Microsoft - и пропускает. А внутри - выкуп за ваши данные.
В мае Microsoft раскрыла и прикрыла операцию Fox Tempest - группу, которая продавала услугу: «подпишем ваш вирус как легитимное ПО». Они использовали легальный сервис подписи артефактов и получали краткоживущие, но настоящие сертификаты. Клиент приносил вредонос - уходил с файлом, который выглядел как доверенное, подписанное приложение.
Клиентура - от известных рансом-групп до менее заметных игроков. Цены - до десятков тысяч долларов за «подписанный» билд. Антивирусы и фильтры, которые доверяют подписи как сильному индикатору легитимности, оказывались в дураках.
Аналогия: это подпольная нотариальная контора, которая за деньги ставит настоящие печати на документы любого содержания. На входе - бандиты с фальшивыми договорами. На выходе - бумага, которой верит любой суд.
Что делать:
Пользователям: перестаньте верить одной галочке «подписано Microsoft/издателем X». Скачивайте ПО только с официальных сайтов, а не из «подборок лучших программ» или с форумов.
Бизнесу/CEO: если ваша защита настроена по принципу «подписано - значит ок», вы живёте в прошлом. Нужен поведенческий анализ, сегментация, контроль привилегий, а не слепое доверие к сертификату.
Моё мнение: история с Fox Tempest - это демонстрация того, что злоумышленники прекрасно понимают, во что верит корпоративная защита. И начинают выдавать себя за именно то, чему она доверяет. Ждите «подписку» на подобные сервисы на подпольных маркетплейсах. Если честно, я бы не удивился, увидев тарифный план «Enterprise».
Автор: Беляев Дмитрий
#FoxTempest #ransomware #codesigning #Microsoft #кибербезопасность
Please open Telegram to view this post
VIEW IN TELEGRAM
❤3🔥3👀1
Forwarded from Путешествие по госзакупкам
В Таразе все отделы акимата купили кибербезопасность
Некоторое время назад в СМИ Тараза появилась информация о том, что большое количество закупок на кибербезопасность в городе и регионе выигрывает одна и та же компания.
Случается это не по причине отсутствия конкуренции, а из-за того, как заказчики формируют закупки. В них нет или практически нет квалификационных требований, кроме одного — государственные учреждения друг за другом требуют в похожих закупках лицензию, ссылаясь на то, что закупки якобы проводятся для оперативно-розыскных мероприятий, хотя технические спецификации об этом не свидетельствуют.
Интересен и тот факт, что одинаковые закупки провели почти все отделы акимата, хотя в других регионах ничего подобного не происходят — в них же не требуют подобных лицензий. Чаще всего такие закупки в других регионах проходят вполне успешно при нескольких заявках.
В большей части закупок Тараза и области была подана всего одна заявка. В новом видео рассказываем, почему так получается.
Несколько ссылок на обсуждаемые закупки:
https://goszakup.gov.kz/ru/announce/index/16436038?tab=general
https://goszakup.gov.kz/ru/announce/index/16312800?tab=general
https://goszakup.gov.kz/ru/announce/index/16244634?tab=general
Некоторое время назад в СМИ Тараза появилась информация о том, что большое количество закупок на кибербезопасность в городе и регионе выигрывает одна и та же компания.
Случается это не по причине отсутствия конкуренции, а из-за того, как заказчики формируют закупки. В них нет или практически нет квалификационных требований, кроме одного — государственные учреждения друг за другом требуют в похожих закупках лицензию, ссылаясь на то, что закупки якобы проводятся для оперативно-розыскных мероприятий, хотя технические спецификации об этом не свидетельствуют.
Интересен и тот факт, что одинаковые закупки провели почти все отделы акимата, хотя в других регионах ничего подобного не происходят — в них же не требуют подобных лицензий. Чаще всего такие закупки в других регионах проходят вполне успешно при нескольких заявках.
В большей части закупок Тараза и области была подана всего одна заявка. В новом видео рассказываем, почему так получается.
Несколько ссылок на обсуждаемые закупки:
https://goszakup.gov.kz/ru/announce/index/16436038?tab=general
https://goszakup.gov.kz/ru/announce/index/16312800?tab=general
https://goszakup.gov.kz/ru/announce/index/16244634?tab=general
goszakup.gov.kz
Портал государственных закупок Республики Казахстан
😁9❤1🤔1
www-e-gov[.]kzPlease open Telegram to view this post
VIEW IN TELEGRAM
❤3😱2🔥1
Сертификат безопасности
Домен приостановлен.
Электронное правительство Казахстана снова спасено.
Электронное правительство Казахстана снова спасено.
❤7👍2
Через сервис ANY[.]RUN обнаружил вредоносный репозиторий на GitHub для распространения малвари, которая нацелена на пользователей из Колумбии 🇨🇴.
Дроппер при запуске он выполняет проверку системной локали и языка (LCID). Если малварь обнаруживает признаки 🇷🇺 или 🇧🇾 окружения, то процесс заражения прерывается. В связи с этим, у меня возникает вопрос: "А чего нету 🇰🇿 , 🇰🇬 , 🇺🇿, 🇹🇯 и 🇹🇲?!"
📌 Индикаторы компрометации (IOCs):
🌐 Репозиторий:
📡 C2:
📦 Droppers:
💣 Payload:
#ThreatIntel #Malware #ReverseEngineering #ANYRUN
Дроппер при запуске он выполняет проверку системной локали и языка (LCID). Если малварь обнаруживает признаки 🇷🇺 или 🇧🇾 окружения, то процесс заражения прерывается. В связи с этим, у меня возникает вопрос: "А чего нету 🇰🇿 , 🇰🇬 , 🇺🇿, 🇹🇯 и 🇹🇲?!"
📌 Индикаторы компрометации (IOCs):
🌐 Репозиторий:
hxxps://github[.]com/ricardofonseca2132-lang/res289/📡 C2:
remanso00399[.]ydns[.]eu📦 Droppers:
d3633daf56134b32ec3aee1daa84f3f3d4be86eb4bd8d84693e710dbf09a6401💣 Payload:
ef7cc12f17e522e126ae8a9b3f6f962e#ThreatIntel #Malware #ReverseEngineering #ANYRUN
❤6😁1
Злодеи не отдыхают, я - тоже. Кто-то зарегистрировал домен 👎
Начинаю наблюдение..👀
gov.org[.]kz Начинаю наблюдение..
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5
🎯 Целевая кибератака на структуры Минобороны РФ (ВАИ)
На ANY[.]RUN загружен свежий вредоносный образец, нацеленный на Вооруженные силы РФ. В качестве вектора используется классический фишинг с маскировкой под официальный документ от Военной автомобильной инспекции (ВАИ).
Как устроена атака:
1. Жертве подсовывают 7-Zip SFX-архив
2. При запуске архив распаковывает два файла: легитимную приманку
3. Документ-приманка (см. скриншот) представляет собой якобы телеграмму Начальникам ВАИ (территориальных) Центрального и Московского военных округов касательно сроков действия и оформления служебных паспортов военнослужащих до мая-декабря 2026 года.
Технические детали:
В ходе отладки пейлоада выявлено создание мьютекса
Индикаторы компрометации (IoCs):
Хэши (MD5):
C&C:
dezinsekciya-top[.]ru:443
ahmetgurses[.]net:443
94.232.248[.]34:443
194.190.153[.]182:443
Мьютекс:
#CyberSecurity #CTI #ThreatIntelligence #MalwareAnalysis #ReverseEngineering #InfoSec #APT #CyberWar
На ANY[.]RUN загружен свежий вредоносный образец, нацеленный на Вооруженные силы РФ. В качестве вектора используется классический фишинг с маскировкой под официальный документ от Военной автомобильной инспекции (ВАИ).
Как устроена атака:
1. Жертве подсовывают 7-Zip SFX-архив
исх1051_от_20.04.2026_сл паспорт.exe с иконкой PDF-файла.2. При запуске архив распаковывает два файла: легитимную приманку
Vppq.pdf и обфусцированный вредоносный пейлоад Baresl.exe.3. Документ-приманка (см. скриншот) представляет собой якобы телеграмму Начальникам ВАИ (территориальных) Центрального и Московского военных округов касательно сроков действия и оформления служебных паспортов военнослужащих до мая-декабря 2026 года.
Технические детали:
В ходе отладки пейлоада выявлено создание мьютекса
301525677, а также процедура расшифровки строк, содержащих адреса управляющих (C&C) серверов.Индикаторы компрометации (IoCs):
Хэши (MD5):
509F19417E20A960A031B9B4F0676E54 - исх1051_от_20.04.2026_сл паспорт.exe (дроппер)66F3E59650EC2CC430EF4CE2F82A448B - Vppq.pdf (приманка)29D8E6D9FB9C7775C54247832AE5B3A6 - Baresl.exe (пейлоад)C&C:
dezinsekciya-top[.]ru:443
ahmetgurses[.]net:443
94.232.248[.]34:443
194.190.153[.]182:443
Мьютекс:
301525677#CyberSecurity #CTI #ThreatIntelligence #MalwareAnalysis #ReverseEngineering #InfoSec #APT #CyberWar
❤9
Чуток изменил настройки канала. Если я правильно всё понял, то теперь в комментариях могут писать лишь читатели канала.
👍4