Сертификат безопасности
Снова вспомнил про это дело, Сафронов в апелляции, в целом, проиграл, но приговор немного изменили в его пользу. В связи с тем, что ПО Softswitch MVTS признано вредоносным, я планирую написать заявление об уголовном преследовании компании, разработавшей этот…
Да не, конечно же не буду писать заявление. Вот мои мысли касательно этого дела:
1) Суд ссылался на экспертизу, в рамках которой за счёт "внесения изменений" в Softswitch MVTS оно признано вредоносным. Но это толкование было использовано судом слишком широко! Эта формулировка касается только случаев, когда кто-то намеренно вносит изменения в исполняемый код существующих программ - например, когда речь идёт про файловые вирусы.
2) В российском уголовном кодексе есть аналогичная статья (Статья 273 УК РФ. Создание, использование и распространение вредоносных компьютерных программ), в которой помимо компьютерных программ также имеется формулировка "иной компьютерной информации", под которую подпадают конфигурационные файлы, но в действующей формулировке УК РК за это судить нельзя.
В целом, считаю Сафронов действительно сделал что-то плохое и его деяния должны быть наказаны, но то что он сделал точно не касается вредоносных программ. Несанкционированный доступ - да, но не вредоносные программы. Поэтому, считаю что его осудили явно не по той статье.
Даже не знаю что делать, но это явно следствие того, что казахстанские суды не особо разбирается в вопросах информационных технологий. Возвращаемся к вопросу об ИТ-судах!🙂
1) Суд ссылался на экспертизу, в рамках которой за счёт "внесения изменений" в Softswitch MVTS оно признано вредоносным. Но это толкование было использовано судом слишком широко! Эта формулировка касается только случаев, когда кто-то намеренно вносит изменения в исполняемый код существующих программ - например, когда речь идёт про файловые вирусы.
2) В российском уголовном кодексе есть аналогичная статья (Статья 273 УК РФ. Создание, использование и распространение вредоносных компьютерных программ), в которой помимо компьютерных программ также имеется формулировка "иной компьютерной информации", под которую подпадают конфигурационные файлы, но в действующей формулировке УК РК за это судить нельзя.
В целом, считаю Сафронов действительно сделал что-то плохое и его деяния должны быть наказаны, но то что он сделал точно не касается вредоносных программ. Несанкционированный доступ - да, но не вредоносные программы. Поэтому, считаю что его осудили явно не по той статье.
Даже не знаю что делать, но это явно следствие того, что казахстанские суды не особо разбирается в вопросах информационных технологий. Возвращаемся к вопросу об ИТ-судах!
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
Сертификат безопасности
Да не, конечно же не буду писать заявление. Вот мои мысли касательно этого дела: 1) Суд ссылался на экспертизу, в рамках которой за счёт "внесения изменений" в Softswitch MVTS оно признано вредоносным. Но это толкование было использовано судом слишком широко!…
Ещё один момент. Не помню писал про это или нет - в приговоре упомянуты КВОИКИ. Однако Сафронова осудили лишь по пункту 2 части 3 статьи 210 УК, то есть создание/использование ВПО повлекшие тяжкие последствия ("создание угрозы безопасности государства, катастрофы или аварии").
Но КВОИКИ это пункт 3 части 2 статьи 210 УК РК - это там не фигурирует и это странно, ведь в деле с ЦРТР и ПКБ людям вменили разные пункты статьи 210.
Не знаю ошибка это или нет.
Но КВОИКИ это пункт 3 части 2 статьи 210 УК РК - это там не фигурирует и это странно, ведь в деле с ЦРТР и ПКБ людям вменили разные пункты статьи 210.
Не знаю ошибка это или нет.
🚨 Разбор кибератаки на российский ВПК: Возможный след Rare Werewolf ✈️🛰
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
IP-адреса:
Хэши:
MD5:
MD5:
SHA-256:
#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
aviatronika[.]onlinevniir-avia[.]spacefgub-vniir[.]spacevniir-info[.]spacenova-stream[.]siteIP-адреса:
198.54.120[.]13194.87.57[.]812.23.88[.]201145.224.101[.]166Хэши:
MD5:
eabd440c996846d0992e37ab01d01208 (Dropper)MD5:
6cc3c68c56e099792fdeadde76256d56 (Payload RAR)SHA-256:
f57e010541fb4ccbf23aefc4a827f753a6ff3f8792d9c04c3eea83f6963c6bae (Payload RAR)#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
Please open Telegram to view this post
VIEW IN TELEGRAM
😁8🤣1
Gamaredon in 2025: Leveraging tunnels, workers, dead drops, and new alliances
https://www.welivesecurity.com/en/eset-research/gamaredon-2025-leveraging-tunnels-workers-dead-drops-new-alliances/
https://www.welivesecurity.com/en/eset-research/gamaredon-2025-leveraging-tunnels-workers-dead-drops-new-alliances/
Welivesecurity
Gamaredon in 2025: Leveraging tunnels, workers, dead drops, and new alliances
ESET Research analyzes Gamaredon’s new toolset and the group’s growing reliance on legitimate online services to hide its C&C infrastructure and exfiltrate stolen data.
❤1🔥1
Бюро экономической безопасности Украины 🇺🇦 ищет кандидатов на службу на территории Костанайской области.
LinkedIn📱 , увидя мой опыт работы в КНБ 🇰🇿 , считает что у меня высокий мэтчинг с этой вакансией.. 🙄
Please open Telegram to view this post
VIEW IN TELEGRAM
🤣15
Сертификат безопасности
Бюро экономической безопасности Украины 🇺🇦 ищет кандидатов на службу на территории Костанайской области. LinkedIn 📱 , увидя мой опыт работы в КНБ 🇰🇿 , считает что у меня высокий мэтчинг с этой вакансией.. 🙄
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
😱3😁1🤡1
Сертификат безопасности
Photo
Оказывается вербовка в ряды БЭБ Украины осуществляется также на территории Кызылординской области Казахстана.
https://www.linkedin.com/jobs/view/4433089499/
P.S. Кинул страйк на обе вакансии, возможно уберут.
https://www.linkedin.com/jobs/view/4433089499/
P.S. Кинул страйк на обе вакансии, возможно уберут.
❤1👍1😱1
Опять приложение Евразийского банка ❤️ не работает.. 😣
Please open Telegram to view this post
VIEW IN TELEGRAM
😁9😢1
Сертификат безопасности
Прилетела вот такая SMS. Вывод - опасность вообще всего..
Воздух - шквал, ветер с порывами до 20 м/с..
Огонь - гроза, пожар..
Вода - дождь, град..
Земля - ???
Огонь - гроза, пожар..
Вода - дождь, град..
Земля - ???
❤6
🚨 Новая кампания против организаций в Кыргызстане: анализ малвари из песочницы
В песочнице ANY.RUN был обнаружен свежий вредоносный архив, нацеленный на государственные или коммерческие структуры Кыргызстана. Злоумышленники используют классическую схему с документом-приманкой и скрытым бэкдором.
📦 Содержимое архива:
1. «Приложение.pdf» — легитимный документ (краткий статистический справочник Национального статистического комитета Кыргызской Республики, изданный в Бишкеке). Используется для усыпления бдительности.
2. «Исправленная версия документа.exe» — вредоносный файл, маскирующийся под обновление или исправление документа.
🔍 Технический анализ:
Исполняемый файл представляет собой 64-битную утилиту, собранную в Visual Studio 2022 и упакованную с помощью PyInstaller (версия Python 3.13).
После распаковки архива с помощью
• Бэкдор стучится на C2-сервер по пути
• Раз в 10 секунд запускается цикл опроса (polling) сервера.
• Передаваемые команды исполняются в системе через скрытый командный интерпретатор (
• Результат выполнения команды отправляется обратно на сервер в формате JSON.
• Предусмотрена команда самоликвидации
🌐 Инфраструктура и атрибуция:
Управляющий сервер (C2) расположен по адресу:
📌 Индикаторы компрометации (IoCs):
• Вредоносный EXE (MD5):
• Документ-приманка PDF (MD5):
• Сетевой C2-сервер:
#ThreatIntel #Malware #APT
#ti@qcakz
В песочнице ANY.RUN был обнаружен свежий вредоносный архив, нацеленный на государственные или коммерческие структуры Кыргызстана. Злоумышленники используют классическую схему с документом-приманкой и скрытым бэкдором.
📦 Содержимое архива:
1. «Приложение.pdf» — легитимный документ (краткий статистический справочник Национального статистического комитета Кыргызской Республики, изданный в Бишкеке). Используется для усыпления бдительности.
2. «Исправленная версия документа.exe» — вредоносный файл, маскирующийся под обновление или исправление документа.
🔍 Технический анализ:
Исполняемый файл представляет собой 64-битную утилиту, собранную в Visual Studio 2022 и упакованную с помощью PyInstaller (версия Python 3.13).
После распаковки архива с помощью
pyinstxtractor и декомпиляции основного скрипта (exec.pyc) был обнаружен лаконичный, но опасный HTTP-бэкдор. Логика его работы следующая:• Бэкдор стучится на C2-сервер по пути
/connect и получает уникальный токен сессии.• Раз в 10 секунд запускается цикл опроса (polling) сервера.
• Передаваемые команды исполняются в системе через скрытый командный интерпретатор (
subprocess.Popen, shell=True).• Результат выполнения команды отправляется обратно на сервер в формате JSON.
• Предусмотрена команда самоликвидации
killbot для завершения работы.🌐 Инфраструктура и атрибуция:
Управляющий сервер (C2) расположен по адресу:
65.38.120[.]129[:]5556 (провайдер BL Networks, Румыния). Специфика выбранной приманки и характер исполнения указывают на возможную активность целевой кибершпионской группировки (suspected APT).📌 Индикаторы компрометации (IoCs):
• Вредоносный EXE (MD5):
80fbb8ed636178d30b1a3a864cd1f231• Документ-приманка PDF (MD5):
048de81368e46adf9dd12df7278f7821• Сетевой C2-сервер:
65.38.120[.]129[:]5556#ThreatIntel #Malware #APT
#ti@qcakz
❤4🔥1
Правоохранители США 🇺🇸 🇺🇸 объявили награду 💵 за информацию о членах хакерских группировок UNC5792 и UNC4221 🥸 . При этом, в объявлении указано, что UNC5792 атрибутируется с пограничной службой 👮♀️ , а UNC4221 относится к военной разведке 👮 .
Судя по всему, российские пограничники смогли создать у себя полноценное киберподразделение с offensive-возможностями. Наверное не секрет, что погранцы со времён КГБ являются "отдельным государством" внутри спецслужб - думаю такое положение дел у всех стран СНГ.
Источник: https://rewardsforjustice.net/rewards/unc5792/
Судя по всему, российские пограничники смогли создать у себя полноценное киберподразделение с offensive-возможностями. Наверное не секрет, что погранцы со времён КГБ являются "отдельным государством" внутри спецслужб - думаю такое положение дел у всех стран СНГ.
Источник: https://rewardsforjustice.net/rewards/unc5792/
Please open Telegram to view this post
VIEW IN TELEGRAM
❤1
Сертификат безопасности
Фишинговый ресурс, мимикрирующий то ли под ЕНПФ, то ли под eGov. i-enpf[.]kz #угрозы@qcakz
Домен
i-enpf[.]kz приостановлен регистратурой. Пенсионные вклады казахстанцев снова спасены.❤2🤣2