Почему в Казахстане нет спроса на форензику, Threat Hunting и реверс-инжиниринг?
 
На одном из недавних совещаний снова поднялся характерный вопрос: почему на локальном рынке РК услуги уровня L3+ (глубокие расследования, проактивный Threat Hunting, исследование вредоносного кода, реверс-инжиниринг) остаются практически невостребованными?
 
Со стороны кажется, что бизнесу просто «не нужно». Но если вспомнить суровую экономику коммерческого SOC, о которой описано в прошлом посте — рост цен на оборудование, жесткую необходимость дублирования N+1 и работу на грани себестоимости — становится очевидно: отсутствие спроса на L3+ является прямое следствием этой зажатой экономики.
 
Как работает этот замкнутый круг:
 
·      Пытаясь сэкономить, бизнес покупает только базовую гигиену — мониторинг и алерты L1. Проактивный Threat Hunting и глубокий анализ (RCA) считаются роскошью до первого взлома.
·      Из-за минимальных чеков и срезанной маржи сервисные провайдеры не могут платить редким L3-специалистам (Incident Response, реверс). Сильные кадры уходят в финтех, к вендорам или за рубеж.
·      Без прибыли от базовых услуг у SOC нет ресурсов инвестировать в Threat Intelligence, лаборатории и обучение. В итоге отсутствие экспертизы замыкает круг, не позволяя провайдерам вырасти из дешевого сервиса.
 
Поэтому возникает системный парадокс, что заказчики не формируют спрос на L3+, потому что не видят зрелых и доступных локальных предложений. А сервисные компании не строят эту практику, так как экономика базового SOC не оставляет денег на R&D, а гарантий окупаемости рынок не дает.
 
В итоге возникает риск потерять слой глубокой экспертизы. Соответственно, когда компания сталкивается с действительно сложной, целевой атакой, выясняется жестокий факт: выявлять незаметные угрозы и расследовать инцидент внутри просто некому, а привлекать внешних экспертов придется за совершенно другие деньги.

🔴 SilkParasite: новая China-nexus APT-кампания в Центральной Азии

Bitdefender Labs опубликовали исследование SilkParasite — кибершпионской операции, нацеленной на государственные организации Центральной Азии. Исследователи с средней степенью уверенности связывают активность с китайской APT-экосистемой.

Самое интересное — не просто количество найденного malware, а качество и архитектура инструментария:

• обнаружено 7 семейств RAT, из которых 5 ранее не документировались: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT и NodeEdgeRAT;
• основной упор — на модульную архитектуру: дополнительные возможности загружаются по требованию и выполняются непосредственно в памяти;
• активно используется DLL sideloading с легитимными подписанными приложениями — среди host-процессов фигурировали Calibre, ABBYY FineReader, Quick Heal, Windows Defender и Mp3tag;

• особенно интересен DriveSilkRAT: вместо собственного C2 он использует Google Drive. Жертва получает команды из общей папки, выполняет их через in-memory .NET plugins и отправляет результаты обратно. Для сетевого мониторинга это выглядит как обычный Google Drive-трафик;
• первоначальное проникновение происходило через spear-phishing с вредоносными Office-документами. В некоторых случаях документы помещались в защищённые паролем RAR-архивы, а пароль отправлялся в теле письма;
• приманки были адаптированы под конкретные страны и государственные структуры — исследователи нашли документы, имитирующие материалы министерств Узбекистана, Туркменистана, Кыргызстана, Таджикистана и Казахстана.

Есть и интересный момент с AI. Bitdefender обнаружили признаки AI-assisted development в нескольких компонентах. Например, в GoginRAT остались тестовые функции и очевидный placeholder AES-ключ 0123456789abcdef, а NodeEdgeRAT содержит конфигурацию с change_this_key. При этом сами исследователи подчёркивают: это не «AI-generated malware» — основная архитектура выглядит как результат работы профессиональных разработчиков, использовавших AI как вспомогательный инструмент.
Отдельно примечательно, что два phishing lure'а тоже были созданы с помощью AI — поддельная платформа регионального энергетического сотрудничества и реклама GPU cloud computing.

Почему исследование интересно: SilkParasite показывает современный подход к APT-инструментарию — не огромный универсальный RAT, а небольшой initial implant + набор модулей + trusted services + минимальный сетевой footprint.
И ещё один важный момент: Bitdefender связывает SilkParasite с ранее наблюдавшейся активностью FamousSparrow через семейство BloodAlchemy/ShadowPad/Deed RAT. Это хорошо демонстрирует, как инструменты и техники могут циркулировать внутри более широкой China-nexus APT-экосистемы.

Полное исследование Bitdefender: SilkParasite — Tracking a China-Nexus APT Across Central Asia

Большой тест локальный моделей на задачах реверса! Новое видео! 🎉

https://youtu.be/Kx1ijm7g0-8

Друзья! Я записал очередное (второе) видео для YouTube, как и обещал, в котором показал работу локальных моделей при анализе сложного образца вредоносного ПО. Прогнал 11 моделей через один и тот же образец (полнофункциональный Rust RAT с C2, stealer, persist, inject и десятком модулей). Оценка по чеклисту на 32 технических критерия и честная оценка того, что модель нашла в отчёте, а что выдумала или пропустила. Образец намеренно тяжёлый: большой диспетчер команд, WinHTTP beacon, DPAPI/BCrypt для браузеров, реестр, SCM, SOCKS5, clipper, ransomware-модуль и много Rust-runtime шума, который легко спутать с вредоносной логикой.

Бонусом в видео показана моя HomeLab, описаны проекты, которые на ней крутятся и железо. Также описана работа с LLVM IR, лифтингу функций и как мой custom malware analysis harness работает с тяжелыми функциями!

Так ли хорош Qwen3.8-27B? 😱

Список моделей, которые тестировались:

Anthropic: Claude Sonnet 5 — API (OpenRouter)
GLM-4.7-Flash-NVFP4 — NVFP4 (vLLM)
Ornith-1.5-35B-A3B-NVFP4 — NVFP4 (vLLM)
Qwen3.6-35B-A3B-NVFP4 — NVFP4 (vLLM)
Qwen3.6-35B-A3B-Claude-Opus-Distilled-NVFP4 — NVFP4 (vLLM)
Qwen3.8-27B-NVFP4 — NVFP4 (vLLM)
Qwen3.8-27B-Uncensored-Cyber — GGUF Q4_K_M (llama.cpp)
Muse-Glimmer-30B-NVFP4 — NVFP4 (vLLM)
NVIDIA-Nemotron-3.5-Lightning-30B-A3B-NVFP4 — NVFP4 (vLLM)
Qwen3.6-27B-MTP-GGUF — GGUF Q4_K_XL (llama.cpp)
Ternary-Bonsai-27B-Q2_0 — GGUF Q2_0 (llama.cpp)

Чеклисты и отчеты каждой модели (https://www.orderofsixangles.com/hard-sample/index.html)
Malware Analysis harness (https://github.com/thatskriptkid/re-harness)

Таймкоды имеются! ❤️