cabinet-kgd[.]kz#угрозы@qcakz
Please open Telegram to view this post
VIEW IN TELEGRAM
❤2
🚨 Свежий ThreatIntel: Анализ скрытной малвари, нацеленной на пакистанских военных 🇵🇰
В публичном доступе песочницы ANY.RUN был обнаружен примечательный образец, нацеленный на оборонный сектор и военных Пакистана 🇵🇰. Характер приманки и технические особенности сборки указывают на активность неизвестной APT группировки, которая успешно совмещает старые методы обхода систем защиты с продвинутыми инструментами компиляции для проведения целевого кибершпионажа.
📬 Документ-приманка
В качестве вектора первоначального заражения используется вредоносный файл справки (CHM). При его открытии жертве демонстрируется структурированный служебный документ, содержащий детальные графики и планы участия пакистанских военных ведомств и предприятий ВПК в международных оборонных выставках. Тематика приманки однозначно указывает на то, что главной мишенью атаки являются пакистанские военные структуры.
⚙️ Технический анализ цепочки выполнения
1. Обход через ActiveX: Внутри HTML-структуры CHM-файла зашит лаконичный JavaScript-скрипт, автоматически вызывающий встроенный элемент управления
2. Компиляция Nuitka: Дропнутый EXE-файл защищен упаковщиком Nuitka (в режиме OneFile). Этот инструмент переводит исходный код Python в код на Си, после чего компилирует его в полноценные машинные инструкции. Стандартные декомпиляторы Python здесь абсолютно бессильны.
3. Анатомия полезной нагрузки: Распаковка окружения выявила ключевой компонент вредоноса —
Разработчики вредоносного ПО приложили серьезные усилия для усложнения статического реверса, выбрав в качестве мишени оборонные ведомства и военную инфраструктуру.
🔍 Индикаторы компрометации (IOCs)
• Файл-приманка CHM:
• Загрузчик Nuitka EXE:
• Полезная нагрузка DLL:
#ThreatIntel #Малварь #Реверсинжиниринг #APT #Кибербезопасность #Пакистан
#ti@qcakz
В публичном доступе песочницы ANY.RUN был обнаружен примечательный образец, нацеленный на оборонный сектор и военных Пакистана 🇵🇰. Характер приманки и технические особенности сборки указывают на активность неизвестной APT группировки, которая успешно совмещает старые методы обхода систем защиты с продвинутыми инструментами компиляции для проведения целевого кибершпионажа.
📬 Документ-приманка
В качестве вектора первоначального заражения используется вредоносный файл справки (CHM). При его открытии жертве демонстрируется структурированный служебный документ, содержащий детальные графики и планы участия пакистанских военных ведомств и предприятий ВПК в международных оборонных выставках. Тематика приманки однозначно указывает на то, что главной мишенью атаки являются пакистанские военные структуры.
⚙️ Технический анализ цепочки выполнения
1. Обход через ActiveX: Внутри HTML-структуры CHM-файла зашит лаконичный JavaScript-скрипт, автоматически вызывающий встроенный элемент управления
HHCTRL.OCX с командой ShortCut. Это позволяет скрытно запустить исполняемый EXE-файл, находящийся в той же директории, в момент открытия справки.2. Компиляция Nuitka: Дропнутый EXE-файл защищен упаковщиком Nuitka (в режиме OneFile). Этот инструмент переводит исходный код Python в код на Си, после чего компилирует его в полноценные машинные инструкции. Стандартные декомпиляторы Python здесь абсолютно бессильны.
3. Анатомия полезной нагрузки: Распаковка окружения выявила ключевой компонент вредоноса —
client_exe.dll. Для реализации своих функций малварь использует нативные модули _wmi.pyd (сбор информации о системе и проверка на песочницы) и _ctypes.pyd (для прямых низкоуровневых вызовов Windows API). В директории криптографических модулей также обнаружены следы библиотек, написанных на Rust, что усложняет анализ сетевого трафика и конфигурации.Разработчики вредоносного ПО приложили серьезные усилия для усложнения статического реверса, выбрав в качестве мишени оборонные ведомства и военную инфраструктуру.
🔍 Индикаторы компрометации (IOCs)
• Файл-приманка CHM:
9CBE5D435F63E16B85BCA1F8C6EA4A9B• Загрузчик Nuitka EXE:
37B7AABFAD89345AACE02C294AB940EC• Полезная нагрузка DLL:
422E4A3F1C69FF834DFC4688E8893716#ThreatIntel #Малварь #Реверсинжиниринг #APT #Кибербезопасность #Пакистан
#ti@qcakz
1👍5
Forwarded from BELYAEV_SECURITY
CVE-2026-46331: дыра в Linux-ядре, публичный эксплойт, и почти все серверы уязвимы
Когда в Linux-ядре появляется публичный privilege escalation эксплойт это не «интересный баг». Это «у вас есть 24 часа, после которых ваши серверы не ваши». CVE-2026-46331, «pedit COW» именно такой случай.
Техника: понятно и без PhD
В Linux-ядре есть подсистема traffic control она управляет приоритетами сетевых пакетов. В одной из её функций (tcf_pedit_act) есть баг: она вычисляет диапазон для copy-on-write до того, как определяет реальный runtime-offset заголовка.
Результат: непривилегированный локальный пользователь может загрязнить общий page cache ядра и получить root-доступ то есть полный контроль над системой.
Затронуты Linux-ядра от версии 2.6 до 7.1 включительно. Публичный PoC-эксплойт появился через 24 часа после присвоения CVE 16 июня. Red Hat подтвердил уязвимость в RHEL 8, 9, 10 и OpenShift.
Почему это критично в 2026
Большинство корпоративных серверов, облачных VM и контейнерных хостов работают на Linux. «Локальный» эксплойт звучит безопасно но «локальный» в контексте облака означает: любой скомпрометированный контейнер может вырваться на уровень хоста.
Аналогия
Вы думаете, что заперли арендатора в его квартире. Но в стене его квартиры есть трещина, через которую он может вылезти в подвал, найти там главный щиток и отключить электричество всему дому. «Локальный доступ» не означает «безопасный».
Что делать прямо сейчас
Технические специалисты:
· Немедленно применить патч ядра (commit 899ee91156e57784090c5565e4f31bd7dbffbc5a)
· Временный митигейшн: echo "blacklist act_pedit" > /etc/modprobe.d/blacklist-act-pedit.conf
· Проверить загрузку модуля: lsmod | grep act_pedit
· Приоритет: облачные VM и контейнерные хосты, где запускается ненадёжный код
Бизнесу/CEO: Спросите у DevOps/Infra: «Мы применили патч CVE-2026-46331 на всех Linux-серверах и контейнерных хостах?» Если ответ «работаем над этим» это значит «нет». Установите дедлайн 48 часов.
Мой взгляд
То, что публичный эксплойт появился через 24 часа после CVE это новая норма. Attackers намного быстрее, чем патч-циклы большинства организаций. Если у вас нет процесса экстренного патчинга критических ядерных уязвимостей вы всегда будете на шаг позади. Прогноз: в ближайшие недели CVE-2026-46331 войдёт в инструментарий как минимум нескольких ransomware-операторов для lateral movement в корпоративных средах.
Автор: Беляев Дмитрий
〰️ 〰️ 〰️
📝 Связаться с Дмитрием
〰️ 〰️ 〰️
👆 👆 👆 👆 👆
✔️ Подпишись на канал 🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]
🔜 🔜 🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥
#Linux #CVE #привилегии #кибербезопасность #patching
Когда в Linux-ядре появляется публичный privilege escalation эксплойт это не «интересный баг». Это «у вас есть 24 часа, после которых ваши серверы не ваши». CVE-2026-46331, «pedit COW» именно такой случай.
Техника: понятно и без PhD
В Linux-ядре есть подсистема traffic control она управляет приоритетами сетевых пакетов. В одной из её функций (tcf_pedit_act) есть баг: она вычисляет диапазон для copy-on-write до того, как определяет реальный runtime-offset заголовка.
Результат: непривилегированный локальный пользователь может загрязнить общий page cache ядра и получить root-доступ то есть полный контроль над системой.
Затронуты Linux-ядра от версии 2.6 до 7.1 включительно. Публичный PoC-эксплойт появился через 24 часа после присвоения CVE 16 июня. Red Hat подтвердил уязвимость в RHEL 8, 9, 10 и OpenShift.
Почему это критично в 2026
Большинство корпоративных серверов, облачных VM и контейнерных хостов работают на Linux. «Локальный» эксплойт звучит безопасно но «локальный» в контексте облака означает: любой скомпрометированный контейнер может вырваться на уровень хоста.
Аналогия
Вы думаете, что заперли арендатора в его квартире. Но в стене его квартиры есть трещина, через которую он может вылезти в подвал, найти там главный щиток и отключить электричество всему дому. «Локальный доступ» не означает «безопасный».
Что делать прямо сейчас
Технические специалисты:
· Немедленно применить патч ядра (commit 899ee91156e57784090c5565e4f31bd7dbffbc5a)
· Временный митигейшн: echo "blacklist act_pedit" > /etc/modprobe.d/blacklist-act-pedit.conf
· Проверить загрузку модуля: lsmod | grep act_pedit
· Приоритет: облачные VM и контейнерные хосты, где запускается ненадёжный код
Бизнесу/CEO: Спросите у DevOps/Infra: «Мы применили патч CVE-2026-46331 на всех Linux-серверах и контейнерных хостах?» Если ответ «работаем над этим» это значит «нет». Установите дедлайн 48 часов.
Мой взгляд
То, что публичный эксплойт появился через 24 часа после CVE это новая норма. Attackers намного быстрее, чем патч-циклы большинства организаций. Если у вас нет процесса экстренного патчинга критических ядерных уязвимостей вы всегда будете на шаг позади. Прогноз: в ближайшие недели CVE-2026-46331 войдёт в инструментарий как минимум нескольких ransomware-операторов для lateral movement в корпоративных средах.
Автор: Беляев Дмитрий
#Linux #CVE #привилегии #кибербезопасность #patching
Please open Telegram to view this post
VIEW IN TELEGRAM
1❤4🔥2👍1
Явно направлены на клиентов банка
halyk-homebank[.]kzPlease open Telegram to view this post
VIEW IN TELEGRAM
🔥5💯2
Нашёл ошибку в Правилах регистрации доменов .kz.
Там есть упоминание несуществующего субъекта - "отраслевого Оперативного центра информационной безопасности". Очевидно, это ошибка, так как ООЦИБ не существует, но есть ОтЦИБ.🙂
Там есть упоминание несуществующего субъекта - "отраслевого Оперативного центра информационной безопасности". Очевидно, это ошибка, так как ООЦИБ не существует, но есть ОтЦИБ.
Please open Telegram to view this post
VIEW IN TELEGRAM
😁5🤔2👍1
В соцсети Threads под постами с критикой качества интернета от Beeline почти все в колпаках их корпоративных цветов.. 😂
😁7
Forwarded from BELYAEV_SECURITY
Cisco SD-WAN: три разные уязвимости за четыре месяца в одном и том же компоненте
Один компонент. Три критических CVE. Четыре месяца. Два независимых исследовательских центра нашли дыры независимо друг от друга.
Это не баг. Это архитектурная проблема.
Хронология
· Февраль 2026: CVE-2026-20182 CVSS 10.0, authentication bypass. Активная эксплуатация
· Май 2026: CVE-2026-20127 CVSS 10.0, authentication bypass в peering handshake. Нашли Rapid7
· Июнь 2026: CVE-2026-20245 command injection, escalation до root. Нашёл Mandiant (Google Cloud)
Последняя уязвимость, CVE-2026-20245: атакующий загружает crafted-файл, получает root на SD-WAN Manager, и может пушить вредоносные конфигурации на edge-устройства по всей сети. Это означает: контроль над всей корпоративной сетью.
Эксплуатация началась ещё до того, как Cisco узнала о баге Mandiant зафиксировал активность с апреля. CISA KEV deadline для федеральных агентств США 23 июня. Патча на момент предупреждения не было.
Аналогия
SD-WAN Manager это диспетчерская вашей сети. Если хакер получил root там он может перепрограммировать светофоры на всех перекрёстках одновременно. Три раза за четыре месяца обнаружить, что дверь в диспетчерскую была открыта это не невезение. Это конструктивный дефект здания.
Рекомендации
Пользователям: Если вы используете корпоративный VPN или SD-WAN спросите у своего IT-отдела, применены ли патчи по уязвимостям Cisco. Это нормальный вопрос.
Бизнесу/CEO:
· Потребуйте от команды статус по трём CVE Cisco SD-WAN
· Проверьте конфигурации edge-устройств на несанкционированные изменения (логи /var/log/scripts.log)
· Если используете SD-WAN for Government (FedRAMP) это тоже затронуто
· Оцените, стоит ли дополнительная сегментация управляющей плоскости
Мой взгляд
Три дыры в одном месте это сигнал не просто «патчиться», а пересматривать архитектурные решения. Если два топовых исследовательских центра нашли уязвимости в одном компоненте независимо, значит, там ещё что-то есть просто пока не найдено публично. Мой совет: рассматривайте SD-WAN Management Plane как высококритичный периметр и изолируйте его максимально. Прогноз: продолжение сериала «Cisco SD-WAN CVE-2026» в следующих выпусках неизбежно.
Автор: Беляев Дмитрий
〰️ 〰️ 〰️
📝 Связаться с Дмитрием
〰️ 〰️ 〰️
👆 👆 👆 👆 👆
✔️ Подпишись на канал 🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]
🔜 🔜 🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥
#Cisco #SDWAN #zeroday #CVE #NetworkSecurity
Один компонент. Три критических CVE. Четыре месяца. Два независимых исследовательских центра нашли дыры независимо друг от друга.
Это не баг. Это архитектурная проблема.
Хронология
· Февраль 2026: CVE-2026-20182 CVSS 10.0, authentication bypass. Активная эксплуатация
· Май 2026: CVE-2026-20127 CVSS 10.0, authentication bypass в peering handshake. Нашли Rapid7
· Июнь 2026: CVE-2026-20245 command injection, escalation до root. Нашёл Mandiant (Google Cloud)
Последняя уязвимость, CVE-2026-20245: атакующий загружает crafted-файл, получает root на SD-WAN Manager, и может пушить вредоносные конфигурации на edge-устройства по всей сети. Это означает: контроль над всей корпоративной сетью.
Эксплуатация началась ещё до того, как Cisco узнала о баге Mandiant зафиксировал активность с апреля. CISA KEV deadline для федеральных агентств США 23 июня. Патча на момент предупреждения не было.
Аналогия
SD-WAN Manager это диспетчерская вашей сети. Если хакер получил root там он может перепрограммировать светофоры на всех перекрёстках одновременно. Три раза за четыре месяца обнаружить, что дверь в диспетчерскую была открыта это не невезение. Это конструктивный дефект здания.
Рекомендации
Пользователям: Если вы используете корпоративный VPN или SD-WAN спросите у своего IT-отдела, применены ли патчи по уязвимостям Cisco. Это нормальный вопрос.
Бизнесу/CEO:
· Потребуйте от команды статус по трём CVE Cisco SD-WAN
· Проверьте конфигурации edge-устройств на несанкционированные изменения (логи /var/log/scripts.log)
· Если используете SD-WAN for Government (FedRAMP) это тоже затронуто
· Оцените, стоит ли дополнительная сегментация управляющей плоскости
Мой взгляд
Три дыры в одном месте это сигнал не просто «патчиться», а пересматривать архитектурные решения. Если два топовых исследовательских центра нашли уязвимости в одном компоненте независимо, значит, там ещё что-то есть просто пока не найдено публично. Мой совет: рассматривайте SD-WAN Management Plane как высококритичный периметр и изолируйте его максимально. Прогноз: продолжение сериала «Cisco SD-WAN CVE-2026» в следующих выпусках неизбежно.
Автор: Беляев Дмитрий
#Cisco #SDWAN #zeroday #CVE #NetworkSecurity
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥2❤1👍1
Forwarded from CSIRT Central Asia
Обнаружены подозрительные домены в зоне home[.]kg 🇰🇬
Домены
- auth.home[.]kg 🇰🇬
- vscode.auth.home[.]kg 🇰🇬
Оба домена присутствуют в Maltrail (apt_kimsuky.txt) и связаны с инфраструктурой, которую OSINT-источники относят к Kimsuky / APT43 / Emerald Sleet.
Текущие резолвы
auth.home[.]kg 🇰🇬
• IP-адрес: 80.68.237.36
• Локация / Провайдер: Польша 🇵🇱
vscode.auth.home[.]kg 🇰🇬
• IP-адрес: 153.75.247.209
• Локация / Провайдер: США 🇺🇸, Interserver (VPS)
Цель атаки
Это атака на разработчиков.
Домен vscode.auth.home[.]kg создан для имитации легитимного OAuth redirect URI Visual Studio Code. Такие домены используются для кражи токенов аутентификации у разработчиков, DevOps-инженеров и исследователей.
Важное замечание
home[.]kg 🇰🇬 — это публичная FreeDNS-зона на afraid.org. Любой может создавать поддомены. Наличие .kg не означает, что целью является Кыргызстан.
О группе Kimsuky
Kimsuky (APT43 / Emerald Sleet) — северокорейская кибершпионская группа, активная с 2012 года. Для неё характерны социальная инженерия, поддельные страницы входа и кража учётных данных у технических специалистов.
Домены
- auth.home[.]kg 🇰🇬
- vscode.auth.home[.]kg 🇰🇬
Оба домена присутствуют в Maltrail (apt_kimsuky.txt) и связаны с инфраструктурой, которую OSINT-источники относят к Kimsuky / APT43 / Emerald Sleet.
Текущие резолвы
auth.home[.]kg 🇰🇬
• IP-адрес: 80.68.237.36
• Локация / Провайдер: Польша 🇵🇱
vscode.auth.home[.]kg 🇰🇬
• IP-адрес: 153.75.247.209
• Локация / Провайдер: США 🇺🇸, Interserver (VPS)
Цель атаки
Это атака на разработчиков.
Домен vscode.auth.home[.]kg создан для имитации легитимного OAuth redirect URI Visual Studio Code. Такие домены используются для кражи токенов аутентификации у разработчиков, DevOps-инженеров и исследователей.
Важное замечание
home[.]kg 🇰🇬 — это публичная FreeDNS-зона на afraid.org. Любой может создавать поддомены. Наличие .kg не означает, что целью является Кыргызстан.
О группе Kimsuky
Kimsuky (APT43 / Emerald Sleet) — северокорейская кибершпионская группа, активная с 2012 года. Для неё характерны социальная инженерия, поддельные страницы входа и кража учётных данных у технических специалистов.
❤6
Please open Telegram to view this post
VIEW IN TELEGRAM
😁6❤1😢1
В Threads рассказывют про схему обмана продавцов при помощи удалённой оплаты. В комментариях люди делятся аналогичными случаями.
https://www.threads.com/@khadiya_collection_/post/DanJUmnDD0S
https://www.threads.com/@khadiya_collection_/post/DanJUmnDD0S
❤5
Вначале подумал "чё за фигня, они обнаглели совсем что ли?!", а потом вспомнил что в UEFI/TPM хранятся ключи шифрования от BitLocker и информация зашифрована на ключах.
Поэтому, они не отформатировали данные, они просто пропали, так что Белый ветер не виноват...
https://www.threads.com/@alexander_van2/post/DaqofjkgrZj
Поэтому, они не отформатировали данные, они просто пропали, так что Белый ветер не виноват...
https://www.threads.com/@alexander_van2/post/DaqofjkgrZj
❤2
С днём КНБ 🕵♂️ . Поздравьте своих майоров в комментариях 👇🏻, я им передам ..
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from CSIRT Central Asia
Turla 🇷🇺 в Монголии 🇲🇳?
С ноября 2023-го по июль 2024 года сайты
Целями были пользователи iPhone и Android. Эксплойт-цепочки позволяли похищать аутентификационные cookie, сохранённые пароли, историю браузера и другие данные. Google TAG с умеренной степенью уверенности связала кампанию с российской APT29 🇷🇺.
20 июня 2026 года в файл
На момент проверки инфраструктура уже не работала. По историческим DNS-данным:
•
• NS — OrderBox DNS
• SOA — Proton Mail
Был ли
Однако интерес российских APT-групп 🇷🇺 к монгольским целям 🇲🇳 уже подтверждается кампанией APT29. При этом Монголия продолжает оставаться целью и для групп, связанных с Китаем 🇨🇳: например, в 2026 году ESET описала GopherWhisper, атаковавшую монгольские государственные учреждения.
С ноября 2023-го по июль 2024 года сайты
cabinet.gov[.]mn и mfa.gov[.]mn были скомпрометированы и использовались как watering hole. Через скрытые iframe и внедрённый JavaScript посетителей перенаправляли на track-adv[.]com и ceo-adviser[.]com.Целями были пользователи iPhone и Android. Эксплойт-цепочки позволяли похищать аутентификационные cookie, сохранённые пароли, историю браузера и другие данные. Google TAG с умеренной степенью уверенности связала кампанию с российской APT29 🇷🇺.
20 июня 2026 года в файл
apt_turla.txt проекта Maltrail добавили домен newscloud[.]mn, IP-адрес 104.167.16[.]42 и ряд других индикаторов. Единственным первоисточником был пост в X, который сейчас недоступен. Поэтому само появление домена в Maltrail ещё не доказывает его принадлежность Turla 🇷🇺.На момент проверки инфраструктура уже не работала. По историческим DNS-данным:
•
www.newscloud[.]mn → 104.167.16[.]42• NS — OrderBox DNS
• SOA — Proton Mail
Был ли
newscloud[.]mn действительно связан с Turla или это false positive - пока неизвестно. Этот IOC недостаточен, чтобы подтвердить присутствие Turla в Монголии 🇲🇳.Однако интерес российских APT-групп 🇷🇺 к монгольским целям 🇲🇳 уже подтверждается кампанией APT29. При этом Монголия продолжает оставаться целью и для групп, связанных с Китаем 🇨🇳: например, в 2026 году ESET описала GopherWhisper, атаковавшую монгольские государственные учреждения.
5❤3