⚡️ [ root@admin-future ~ ]# new_post

Group Policy для начинающих: как управлять сотней компьютеров, не обходя их ногами

🔗 https://mfgit.ru/2026/09/27/group-policy-%d0%b4%d0%bb%d1%8f-%d0%bd%d0%b0%d1%87%d0%b8%d0%bd%d0%b0%d1%8e%d1%89%d0%b8%d1%85-%d0%ba%d0%b0%d0%ba-%d1%83%d0%bf%d1%80%d0%b0%d0%b2%d0%bb%d1%8f%d1%82%d1%8c-%d1%81%d0%be%d1%82%d0%bd%d0%b5/

#powershell #windows

⚡️ [ root@admin-future ~ ]# new_post

Passkeys/FIDO2 для своей инфраструктуры, а не только для потребительских приложений

🔗 https://mfgit.ru/2026/09/29/passkeys-fido2-dlya-infrastruktury/

#adminfuture #linux #windows #информационнаябезопасность

🧠 Skills: RC4 в Kerberos окончательно похоронен. Если в AD что-то «само сломалось» с лета — проверяйте это первым

Коллеги, второй разбор на сегодня. Тема не просто горит — она уже сгорела у тех, кто проспал таймлайн обновлений Microsoft. Если сервисы внезапно начали сыпать ошибками аутентификации, дело наверняка в протоколах шифрования.

📌 ФАКТЫ (CVE-2026-20833, этапы выпиливания RC4)
Январь 2026 — Режим аудита: включен мониторинг событий KDCSVC с кодами 201–209 в журнале System без блокировки трафика.

Апрель 2026 — Дефолтный AES: для всех аккаунтов без явно заданных алгоритмов шифрования дефолтом стал AES. Фолбэк на устаревший RC4 был практически отключен.

Июль 2026 — Полный отказ: режим аудита окончательно удален из кода. Параметр реестра RC4DefaultDisablementPhase больше не учитывается операционной системой, а фолбэк на RC4 вырезан из протокола на уровне KDC.

Что ломается: любые учетные записи, у которых атрибут msDS-SupportedEncryptionTypes равен 0x4 / 0x7 (только RC4/DES) или вообще не задан, если клиент или сервис не умеют согласовывать AES.

💥 КТО В ЗОНЕ РИСКА
Сервисные учетки (gMSA / sMSA / обычные пользователи с SPN) с древними паролями: в базе NTDS банально отсутствуют AES-ключи до тех пор, пока учетке не сбросят пароль.

Linux-интеграции и демоны с устаревшими keytab: Samba, прокси-серверы, Java-бэкенды, Tomcat, веб-SSO, где keytab нарезался сто лет назад под RC4 (rc4-hmac).

Legacy-железо: древние СХД, прошивки принтеров/МФУ и сетевые сканеры с доменной авторизацией.

🛠 ДИАГНОСТИКА ЧЕРЕЗ POWERSHELL
Выполняем на контроллере домена или рабочей станции с RSAT:

PowerShell

# 1. Поиск сервисных учеток (с SPN) без явного AES или застрявших на RC4
Get-ADUser -LDAPFilter '(&(servicePrincipalName=*)(|(!(msDS-SupportedEncryptionTypes=*))(msDS-SupportedEncryptionTypes=4)(msDS-SupportedEncryptionTypes=7)))' `
  -Properties servicePrincipalName, msDS-SupportedEncryptionTypes, PasswordLastSet |
  Select SamAccountName, msDS-SupportedEncryptionTypes, PasswordLastSet

# 2. Мониторинг запросов билетов с шифрованием RC4 (TicketEncryptionType = 0x17)
Get-WinEvent -LogName Security -MaxEvents 2000 -FilterXPath `
  "*[System[EventID=4769] and EventData[Data[@Name='TicketEncryptionType']='0x17']]" |
  ForEach-Object { ([xml]$_.ToXml()).Event.EventData.Data |
    Where-Object { $_.Name -in 'TargetUserName','ServiceName','IpAddress' } |
    ForEach-Object { "$($_.Name)=$($_.'#text')" } } | Select-Object -First 60

# 3. Проверка событий KDC в журнале System (ошибки согласования типов шифрования)
Get-WinEvent -FilterHashtable @{
    LogName      = 'System'; 
    ProviderName = 'Microsoft-Windows-Kerberos-Key-Distribution-Center'; 
    Id           = 201..209
} -MaxEvents 50 -ErrorAction SilentlyContinue

🔧 РЕШЕНИЕ ПРОБЛЕМЫ
Включить флаг в реестре для возврата к RC4 больше нельзя — лазейку закрыли. Выход только один: планомерно переводить всё на AES.

PowerShell

# Шаг 1. Явно разрешаем использование современных типов шифрования
Set-ADUser svc_app -KerberosEncryptionType AES128,AES256

# Шаг 2. ОБЯЗАТЕЛЬНО меняем пароль (только в этот момент генерируются хеши AES!)
Set-ADAccountPassword svc_app -Reset

# Шаг 3. Перевыпускаем keytab для Linux-хостов с поддержкой AES256
# Через ktpass:
# ktpass /princ HTTP/app.corp.local@CORP.LOCAL /pass * /crypto AES256-SHA1 /ptype KRB5_NT_PRINCIPAL /out app.keytab
# Либо через msktutil:
# msktutil --enctypes 0x18 --auto-update

💡 В ЧЁМ СУТЬ

Времени на плавную раскатку больше нет — фолбэка нет физически. Отдельный маркер при ревизии: колонка

PasswordLastSet

. Если у сервисной учетки пароль не трогали с 2012 года, то помимо отсутствия AES-ключей вы получаете готовую дыру для атак Kerberoasting с мгновенным подбором слабого хеша в офлайне.

План на смену: выгрузить сервисные аккаунты без AES, запланировать смену паролей с владельцами сервисов и пересобрать ключевые keytab-файлы. Это час спокойной работы, который избавит вас от ночного дежурства при падении SSO.

#skills #activedirectory #kerberos #rc4 #aes #security #windows #powershell #sysadmin #admin_future

⚡️ [ root@admin-future ~ ]# new_post

Когда развалился Active Directory: полный разбор аварии от DNS до Kerberos

🔗 https://mfgit.ru/2026/10/01/active-directory-avariya-dns-kerberos/

#adminfuture #windows #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

When Active Directory Falls Apart: A Complete DNS-to-Kerberos Incident Guide

🔗 https://mfgit.ru/en/2026/10/01/when-active-directory-falls-apart-dns-to-kerberos/

#adminfuture #windows #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

DNS ломает всё: как найти причину, когда «интернет есть», но инфраструктура не работает

🔗 https://mfgit.ru/2026/10/01/dns-lomaet-vsyo-diagnostika-infrastruktury/

#adminfuture #linux #windows #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

DNS Breaks Everything: Troubleshooting “Internet Works, but the Infrastructure Does Not”

🔗 https://mfgit.ru/en/2026/10/01/dns-breaks-everything-troubleshooting-infrastructure/

#adminfuture #linux #windows #информационнаябезопасность

🛡 ПЛАН ДЕЙСТВИЙ (ЧЕКЛИСТ)
Собрать Event ID 4024 с парка: выгрузить события с машин под управлением 24H2 и Server 2025 — это готовый перечень узлов, которые потеряют связь при переключении режима.
Аудит политик на серверах NPS: локализовать все сетевые политики, где активен PEAP-MSCHAPv2, и оценить охват инфраструктуры.
Пилотное внедрение EAP-TLS: настроить шаблон сертификата Workstation Authentication, включить автоподписку (Auto-Enrollment) через GPO и подготовить новую сетевую политику на NPS.
Глобальный аудит NTLM: активировать GPO «Сетевая безопасность: ограничения NTLM: Аудит…» (события 8001–8004) для выявления всех оставшихся в домене NTLM-зависимостей перед Этапом 3.

#activedirectory #ntlm #nps #radius #wifi #security #windows #powershell #sysadmin #admin_future

🛡 ПЛАН ДЕЙСТВИЙ (ЧЕКЛИСТ)
Разбор инвентаризации: прогнать скрипт, открыть rmm_inventory.csv и по каждому найденному хосту выяснить: кто, когда и с какой производственной целью ставил софт.

Единый стандарт: утвердить один корпоративный инструмент. Подрядчиков и внешних специалистов пускать строго через него либо через корпоративный VPN с Jump-хостом, без установки их агентов.

Технический запрет:

Внедрить запрещающие политики AppLocker / WDAC (Deny по цифровому сертификату издателя для запрещенного пула).

Заблокировать облачные домены и IP-адреса сторонних RMM на корпоративном шлюзе/прокси.

Алертинг на новые службы: настроить в SIEM / Event Log триггер на Event ID 7045 в журнале System («В системе была установлена новая служба») с фильтром по ключевым словам RMM-агентов.

Контроль ScreenConnect: если продукт используется официально — срочно проверьте версии на закрытие CVE-2026-84869.

#security #rmm #remoteaccess #threathunting #powershell #windows #linux #sysadmin #admin_future

Алертинг в SIEM / EDR: повесить триггеры на запуск mshta.exe, активность интерпретаторов wscript.exe/cscript.exe, а также вызов системных утилит за пределами C:\Windows\System32.

#skills #windows #hardening #lolbins #asr #applocker #threathunting #sysadmin #admin_future

📅 Завтра, 13 октября, три события в один день: Patch Tuesday, конец основной поддержки Server 2022 и блокировка NTLMv1 для SSO

Коллеги, понедельник. Неделя, которую критически важно спланировать заранее, чтобы не тушить пожары на выходных.

📌 ЧТО ПРОИСХОДИТ
Октябрьский Patch Tuesday: плановый пакет обновлений безопасности Microsoft. Помним, что в сентябре был рекордный объем исправлений (около 970 CVE) и неприятные сайд-эффекты для инфраструктуры.

Windows Server 2022 — завершение Mainstream Support: прекращается выпуск несекьюрных хотфиксов и прием бесплатных обращений по общим багам. Фаза Extended Support (ежемесячные обновления безопасности) продолжится до октября 2031 года.

Блокировка NTLMv1 для SSO: плановое переключение ключа BlockNtlmv1SSO в дефолтный режим Enforce (1) на Windows 11 24H2 и Windows Server 2025. Под прямым ударом — бесшовный вход по Wi-Fi (802.1X) и VPN через MS-CHAPv2 (если на машинах не задействован Credential Guard).

🛠 СЕГОДНЯ, ДО ПРИХОДА ОБНОВЛЕНИЙ
Обязательно снимаем свежие бэкапы/снапшоты контроллеров домена и критических хостов до установки апдейтов:

PowerShell

# 1. Смотрим последние установленные обновления в системе
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. Ищем, кто в сети все еще генерирует NTLMv1 SSO (события аудита Event ID 4024)
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' `
  -FilterXPath '*[System[EventID=4024]]' -MaxEvents 20 -ErrorAction SilentlyContinue

🛡 ОПЕРАЦИОННЫЙ ПЛАН НА НЕДЕЛЮ
Вторник: не бросаемся ставить всё подряд — сначала прицельно вычитываем список zero-day и свежие записи в каталоге CISA KEV.

Среда: раскатываем апдейты на тестовую группу серверов. Хосты Remote Desktop Services (RDS) тестируем отдельно и с пристрастием (учитывая сентябрьские зависания сессий).

Четверг – пятница: плановый накат на основной прод-парк. Держим открытым Microsoft Update Catalog — в сентябре критические фиксы для RDS были доступны исключительно там, минуя WSUS/WU.

Контроль всю неделю: внимательно следим за тикетами о проблемах с офисным Wi-Fi и подключением к VPN — с высокой вероятностью это будет блокировка NTLMv1 SSO, а не проблемы с физической сетью или точками доступа.

#patchtuesday #windows #ntlm #windowsserver #sysadmin #security #admin_future

🚨 AhsayCBS: два zero-day, SYSTEM на сервере бэкапов без пароля. Эксплуатация началась через сутки после обнаружения

Коллеги, очередное жесткое подтверждение базового правила: сервер резервного копирования — приоритетная цель номер один для злоумышленников.

📌 ФАКТЫ (отчет Field Effect от 9 октября)
Связка уязвимостей:

CVE-2026-105133 (CVSS 5.5) — логическая ошибка аутентификации в функции проверки пароля checkSysPwd;

CVE-2026-105134 (CVSS 9.3) — критическая инъекция команд ОС (Command Injection) в компоненте Replication Receiver.

Результат цепочки: удаленное неаутентифицированное исполнение произвольного кода (RCE) с наивысшими правами NT AUTHORITY\SYSTEM.

Под ударом: все версии платформы до 10.3.4 включительно. Официальный исправленный релиз на момент публикации вендором не обозначен.

Активная эксплуатация: реальные атаки зафиксированы поздно вечером 7 октября — всего через сутки после первых сигналов. За первые 24 часа подтверждена компрометация как минимум 5 организаций.

Анатомия закрепления: злоумышленники конфигурировали поддельный приемник репликации, заливали JSP веб-шелл, разворачивали скрытый майнер XMRig под маской легитимного процесса Microsoft Edge и прописывали фальшивую службу обновления браузера для автозагрузки.

🛠 ФОРЕНЗИКА И ПОИСК СЛЕДОВ (PowerShell на хосте AhsayCBS)
PowerShell

# 1. Поиск свежих JSP-файлов и шеллов за последнюю неделю
$installDir = 'C:\Program Files\AhsayCBS'
Get-ChildItem -Path $installDir -Recurse -Filter *.jsp -ErrorAction SilentlyContinue |
  Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) } |
  Select-Object FullName, LastWriteTime

# 2. Выявление процессов msedge, запущенных вне легитимной директории Microsoft
Get-CimInstance Win32_Process | 
  Where-Object { $_.Name -like 'msedge*' -and $_.ExecutablePath -notlike '*\Microsoft\Edge\*' } |
  Select-Object ProcessId, Name, ExecutablePath

# 3. Аудит подозрительных служб с «Edge» в названии
Get-CimInstance Win32_Service | 
  Where-Object { $_.DisplayName -match 'Edge' -or $_.Name -match 'Edge' } |
  Select-Object Name, DisplayName, PathName, StartMode

💡 В ЧЁМ СУТЬ

В данном кейсе атакующие ограничились установкой майнера, но уровень привилегий SYSTEM на сервере бэкапов автоматически означает полный доступ к архивам данных, теневым копиям и служебным учетным записям всех защищаемых хостов предприятия.

Правило изоляции едино для любого решения (Ahsay, Veeam, Proxmox Backup Server, Commvault):

Любые порты управления, API и сервисы репликации никогда не должны смотреть в публичный интернет — только выделенный Management VLAN, изолированный VPN или защищенный туннель.

Если на сервере бэкапов обнаружены следы веб-шелла или сторонних служб — машина считается скомпрометированной целиком. Она не «лечится» установкой патча, а подлежит полной переустановке с чистого образа с обязательным отзывом и перевыпуском всех ключей доступа.

#security #backup #zeroday #ahsay #threathunting #powershell #windows #sysadmin #admin_future

🗓 Patch Tuesday сегодня вечером: как разобрать бюллетень за 15 минут, а не за 3 часа

Коллеги, вторник, 13 октября. Октябрьские обновления Microsoft традиционно начнут раскатываться около 20:00 МСК. Сегодня же официально завершается фаза основной поддержки Windows Server 2022.

📌 АЛГОРИТМ ПРИОРИТИЗАЦИИ НА ВЕЧЕР
Zero-day и CISA KEV (эксплуатация в wild): единственный класс уязвимостей, требующий внеочередной установки в первые 24–48 часов.

Сетевые RCE на внешнем периметре: компоненты, смотрящие наружу (Exchange, RDS Gateway, IIS, Always On VPN), берутся во вторую очередь в рамках текущего спринта.

Внутренний контур (LPE, Client-side): штатный цикл тестирования (лабораторная среда → пилотные серверы → общий продакшен-пул).

Раздел Known Issues: обязательное чтение перечня известных проблем в KB до нажатия кнопки одобрения во WSUS/SCCM (в сентябре это уберегло бы RDS-фермы от мертвых зависаний).

🛠 АВТОМАТИЗАЦИЯ ВЫБОРКИ: KEV И EPSS НА BASH
Bash

# 1. Выгрузка свежих уязвимостей Microsoft, попавших в CISA KEV сегодня
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
  jq -r '.vulnerabilities[] 
    | select(.vendorProject=="Microsoft" and .dateAdded=="2026-10-13") 
    | "\(.cveID)\t\(.vulnerabilityName)"'

# 2. Экспресс-запрос скоринга вероятности эксплуатации (EPSS) через API FIRST
# Замените список CVE на целевые идентификаторы из вечернего бюллетеня
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-XXXXX,CVE-2026-YYYYY" | \
  jq -r '.data[] | "\(.cve)\tEPSS: \(.epss)\t(процентиль: \(.percentile))"'

⚠️ КОНТРОЛЬНЫЙ ЧЕКЛИСТ ДО НАЧАЛА РАСКАТКИ
Снапшоты и бэкапы: контроллеры домена, базы данных и шлюзы аутентификации бэкапятся со сбросом транзакционных логов строго до применения обновлений.

NTLMv1 Enforce: клиентские рабочие станции на Windows 11 24H2 и серверы 2025 с корпоративным Wi-Fi/VPN через PEAP-MSCHAPv2 находятся в зоне риска отвала бесшовного входа при отсутствии Credential Guard.

Windows Server 2022: статус Mainstream завершён. Начиная со следующего месяца серверы ветки 2022 будут получать исключительно секьюрные патчи (Extended Support до 2031 года).

#patchtuesday #windows #security #kev #epss #patchmanagement #sysadmin #admin_future

🐍 Python 3.15 вышел: UTF-8 по умолчанию может сломать ваши скрипты на Windows

Коллеги, важный релиз для всех, кто пишет скрипты автоматизации, интеграции и парсеры системных логов на Python.

📌 ФАКТЫ
Стабильный релиз: 9 октября представлена финальная ветка Python 3.15.

UTF-8 Mode по умолчанию (PEP 686): встроенная функция open() без явного параметра encoding теперь всегда открывает файлы в кодировке UTF-8, игнорируя региональные параметры операционной системы (locale.getencoding()).

Ленивые импорты (PEP 810): синтаксис вида lazy import json — модуль парсится и загружается в память только при первом фактическом вызове атрибута (включается строго явно флагом или директивой). Существенно срезает время холодного старта CLI-утилит.

Экспериментальный JIT: прирост производительности +7–8% на архитектуре x86_64 под Linux.

Сэмплирующий профилировщик Tachyon: низкоуровневый профилировщик без остановки рантайма. Умеет аттачиться к уже запущенному production-процессу и строить flame graph узких мест.

Новые базовые типы: добавлены нативные frozendict (неизменяемый словарь) и sentinel (удобные уникальные маркеры-заглушки вместо object()).

⚠️ ГДЕ ВЫСТРЕЛИТ НА WINDOWS
Исторически на русскоязычных Windows-серверах и рабочих станциях open() по умолчанию поднимал кодировку CP1251 (ANSI) для файлов и CP866 (OEM) для консольных утилит.

После обновления интерпретатора до 3.15:

Выгрузки отчетов, реестров и прайсов из 1С:Предприятия;

Экспортированные CSV-таблицы из классического Excel;

Текстовые журналы старых служб, конфиги и .bat/.cmd скрипты в кодировке ANSI

при попытке прочитать их «по старинке» (open('file.txt')) мгновенно уронят процесс с ошибкой UnicodeDecodeError: 'utf-8' codec can't decode byte... либо тихо запишут кракозябры при сохранении.

🛠 КАК ПРАВИЛЬНО ОБРАБАТЫВАТЬ КОДИРОВКИ
1. Явная фиксация кодировки в Python
Python

# Чтение локальных Windows-выгрузок (1С, Excel, старые сервисы)
with open('export_1c.csv', mode='r', encoding='cp1251') as f:
    data = f.read()

# Корректный перехват stdout системных CLI-команд Windows (ipconfig, ping, netstat)
import subprocess

res = subprocess.run(
    ['ipconfig', '/all'], 
    capture_output=True, 
    encoding='cp866', 
    check=True
)
print(res.stdout)

2. Временный откат поведения через переменные окружения
PowerShell

# Принудительное отключение UTF-8 режима для конкретного сеанса PowerShell
$env:PYTHONUTF8 = '0'
python automation_script.py

3. Экспресс-аудит репозитория скриптов перед обновлением Python
Bash

# Ищем потенциально опасные вызовы open() без аргумента encoding в проекте
grep -rnE "open\([^)]*\)" --include="*.py" . | grep -v "encoding="

💡 В ЧЁМ СУТЬ

Явный параметр

encoding=

в каждом вызове

open()

— базовый стандарт инженерной гигиены, делающий скрипт полностью переносимым между Windows Server, Debian/Ubuntu и любыми версиями рантайма.

Перед тем как обновлять глобальный Python на серверах автоматизации или в контейнерах сборщиков, прогоните аудит кода регуляркой выше.

#skills #python #automation #windows #1c #linux #devops #sysadmin #admin_future

📊 Октябрьский Patch Tuesday: 1 411 уязвимостей — абсолютный рекорд. Что ставить первым

Коллеги, среда. Разбираем вчерашний массивный релиз Microsoft строго по инженерному алгоритму приоритизации.

📌 ФАКТЫ
Масштаб пакета: закрыто 1 411 уязвимостей (против рекордных ~970 в сентябре).

Критический сегмент: 70 бюллетеней со статусом Critical (57 RCE, 11 Elevation of Privilege, 2 Spoofing).

Внеочередные фиксы: ещё 348 уязвимостей закрыты редмондской командой ранее в течение месяца (преимущественно инфраструктура Azure и облачные сервисы).

🔴 ПРИОРИТЕТ 1 — СЕГОДНЯ (ЭКСПЛУАТАЦИЯ В WILD)
CVE-2026-96951 (Windows Shell, CVSS 8.8): обход механизма защиты Mark of the Web (MotW).

Активно эксплуатируется в атаках, внесена в каталог CISA KEV со строгим дедлайном устранения до 16 октября.

Позволяет вредоносному вложению или загруженному из сети исполняемому файлу запускаться без предупреждения SmartScreen — классический первичный вектор целевого фишинга.

Таргет наката: рабочие станции пользователей и терминальные фермы.

🟠 ПРИОРИТЕТ 2 — ЭТА НЕДЕЛЯ (СЕРВЕРНАЯ ИНФРАСТРУКТУРА)
CVE-2026-70229 (Active Directory Domain Services, CVSS 8.1): удалённое исполнение кода (RCE) на контроллерах домена. Рейтинг Microsoft Exploitability: «Exploitation More Likely».

CVE-2026-70571 (Exchange Server, CVSS 8.1): сетевое RCE в почтовом бэкенде, «Exploitation More Likely».

CVE-2026-70187 (Remote Desktop Services, CVSS 8.1): уязвимость RCE в стеке RDS.

Пул RCE в Microsoft Outlook (5 уязвимостей, CVSS 9.8): исполнение произвольного кода без взаимодействия с пользователем — триггерится прямо через область предварительного просмотра (Reading Pane).

Hyper-V (две RCE, CVSS 8.8): побег из виртуальной машины на хост гипервизора («Exploitation Less Likely»).

🟡 ОБРАТИТЬ ВНИМАНИЕ (АРХИТЕКТУРНЫЕ ОБХОДЫ)
CVE-2026-108398 (.NET Framework, CVSS 7.8): обход политик целостности кода Windows Defender Application Control (WDAC). Уязвимость раскрыта публично Джеймсом Форшоу (Google Project Zero), PoC доступен в исследовательских кругах.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

За пугающей цифрой в 1 411 CVE скрывается стандартное правило Парето: реально горящих проблем — около десяти.

Оптимальный порядок развёртывания:

Рабочие станции и ноутбуки — закрыть MotW (

CVE-2026-96951

) и превью Outlook, перекрыв входящий фишинг.

Контроллеры домена (AD DS) — строго поочерёдно, контролируя репликацию (

repadmin /replsummary

) после каждого узла.

Exchange Server и RDS Gateway/Session Hosts — обязательно со снятием свежего бэкапа состояния системы/ВМ и предварительным тестом на пилотной ноде.

Изолированный бэкенд и внутренние сервисы — в рамках штатного сервисного окна выходных дней.

#patchtuesday #windows #activedirectory #exchange #cve #security #sysadmin #admin_future

🗓 Windows 11 24H2 Home и Pro больше не получают обновлений. В ноябре — очередь 23H2 Enterprise

Коллеги, вместе с рекордным Patch Tuesday незаметно подошли дедлайны жизненного цикла операционных систем Microsoft. Самое время проверить ревизии клиентских сборок в корпоративном сегменте.

📌 ФАКТЫ
Windows 11 24H2 (Home и Pro): октябрьский кумулятивный пакет стал финальным официальным обновлением безопасности для потребительских и стандартных профессиональных редакций.

Windows 10 Enterprise LTSB 2016: полностью завершился 10-летний цикл расширенной поддержки (Extended Support).

Windows 11 23H2 (Enterprise, Education, IoT Enterprise): финальный секьюрити-патч выйдет ровно через месяц, во вторник 10 ноября.

Windows Server 2022: с 13 октября серверная ветка перешла в фазу Extended Support — только обновления безопасности без функциональных доработок (до октября 2031 года).

🛠 ИНВЕНТАРИЗАЦИЯ КЛИЕНТСКИХ ОС ПО ACTIVE DIRECT
Быстрый аудит доменных рабочих станций для выявления устаревших сборок:

PowerShell

# Билды: 22631 = 23H2 | 26100 = 24H2 | 26200 = 25H2
Get-ADComputer -Filter 'Enabled -eq $true -and OperatingSystem -like "Windows 1*"' `
  -Properties OperatingSystem, OperatingSystemVersion, LastLogonDate |
  Group-Object OperatingSystem, OperatingSystemVersion |
  Sort-Object Count -Descending | 
  Select-Object Count, Name | 
  Format-Table -AutoSize

PowerShell

# Локальная проверка редакции, версии и точного номера сборки на хосте
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' |
  Select-Object ProductName, EditionID, DisplayVersion, CurrentBuild, UBR |
  Format-List

⚠️ ГЛАВНАЯ ЛОВУШКА В ПАРКЕ
Во многих филиалах и офисах ноутбуки закупаются сразу с OEM-редакцией Windows 11 Pro. Если апгрейды версий ранее замораживали через GPO или отключали службу доставки обновлений («чтобы не тормозило и не перезагружалось»), эти машины начиная с текущего месяца полностью отрезаны от секьюрити-патчей.

Ни закрытия MotW (CVE-2026-96951), ни критических RCE в превью Outlook они уже не получат штатным образом.

💡 В ЧЁМ СУТЬ

Обновление машин с 24H2 до актуальной 25H2 не требует длительной переустановки ОС или раскатки «тяжелого» WIM-образа — оно выполняется через компактный Enablement Package (eKB) через WSUS, Intune или Windows Update for Business.

Процесс сводится к одной быстрой перезагрузке рабочей станции (занимает 2–3 минуты). Прогоните инвентаризацию скриптом выше, сформируйте список хостов на 24H2 Pro и одобрите пакет перехода до конца недели.

#windows #lifecycle #windows11 #inventory #powershell #security #patchmanagement #sysadmin #admin_future

🛠 Октябрьское обновление Windows 11: что починили и что может сломаться. RDP-ошибка 0xC000000D

Коллеги, детальный разбор накопительного пакета KB5127648 — фокус не на индексах CVE, а на реальном поведении ОС в боевой инфраструктуре.

⚠️ ГЛАВНАЯ ПРОБЛЕМА: ОТВАЛ RDP (ОШИБКА 0xC000000D)
Симптомы: пользователи без локальных прав администратора внезапно теряют возможность подключиться по RDP к рабочим станциям и серверам управления. Клиент выдаёт ошибку 0xC000000D («The token that was passed to the function is invalid» / «Указан недопустимый маркер»).

Причина и триггер: механизм Administrator Protection (новая изолированная модель маркерной защиты LSA). С выходом этого обновления она активируется автоматически при применении свежих редакций Microsoft Security Baselines.

Статус исправления: вендор признал регрессию и готовит хотфикс.

Временный воркэраунд: не отключать политики целиком по домену, а точечно переопределить параметр UAC «User Account Control: Run all administrators in Admin Approval Mode» через GPO для хостов, где необходим доступ непривилегированных RDP-пользователей.

✅ ЧТО ПОЧИНИЛИ (РЕАЛЬНО ПОЛЕЗНЫЕ ФИКСЫ)
Storage Spaces Direct (S2D): решена критическая проблема, когда многоуровневые (tiered) виртуальные диски оставались в статусе Offline / Detached после планового ребута нод кластера.

Always On VPN: устранён баг с мертвым зависанием тоннеля в статусе «Connecting / Подключение» при динамическом согласовании протоколов (IKEv2 / SSTP).

Спулер печати: устранены сбои при печати через устаревшие драйверы RAW и Generic / Text Only (последствия августовского ужесточения RPC-хэндлов).

AVD и виртуальные рабочие столы с FSLogix: пофикшены чёрный экран (Black Screen of Death) и циклические падения процесса explorer.exe при монтировании профиля пользователя.

Биометрия Windows Hello: устранён отказ инициализации сканеров отпечатков пальцев после холодного старта (Fast Startup).

🛠 ПРОВЕРКА ЦЕЛЕВЫХ СБОРОК В ТЕРМИНАЛЕ
Патч переводит системы на следующие целевые ревизии:

24H2 → 26100.9711

25H2 → 26200.9711

PowerShell

# Экспресс-проверка версии и ревизии ядра (UBR)
$ver = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
[PSCustomObject]@{
    OSName         = $ver.ProductName
    DisplayVersion = $ver.DisplayVersion
    FullBuild      = "$($ver.CurrentBuild).$($ver.UBR)"
} | Format-Table -AutoSize

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Если в контуре эксплуатируются кластеры S2D с многоуровневым хранилищем или развернут Always On VPN — этот релиз стоит накатывать в приоритетном порядке: он закрывает реальные эксплуатационные сбои, а не просто латает уязвимости.

Однако, если в домене внедрены стандартные профили Microsoft Security Baselines, заранее проинструктируйте первую линию техподдержки: при жалобах на ошибку

0xC000000D

в RDP проблема кроется именно в токене Administrator Protection, а не в сети или правах доступа в группу Remote Desktop Users.

#windows #windows11 #rdp #s2d #vpn #patchmanagement #sysadmin #admin_future

💾 AOMEI Backupper: атакующие подменяли обновления на серверах вендора на 5–10 минут. Проверяем рабочие станции

Коллеги, AOMEI часто стоит на ПК и небольших серверах как бесплатный бэкап. Этот пост для вас.

📌 ФАКТЫ (Google GTIG / Mandiant, ManageEngine)
Группа UNC7017 меняла конфигурацию обновлений на серверах AOMEI в короткие окна: 28 мая (10 минут), 16 июля (6 минут), 20 июля (5 минут). Возможно, были и другие

Уязвимость не использовалась: контрольные суммы лежали в том же неподписанном файле, что и ссылка на обновление

Доставлялись загрузчик CROSSROAD, бэкдор SHINYROAD, подписанный Radmin и фреймворк Adaptix C2 под видом Nitro PDF

Цели — случайные: под удар попадала любая машина, проверявшая обновления в это окно. Тот же механизм обновления у AnyViewer

🛠 ПРОВЕРКА (Windows)
PowerShell

# Задачи планировщика из отчёта
Get-ScheduledTask | Where-Object TaskName -match 'RadminComponentRuntime|NitroRuntime'

# Radmin в профилях пользователей
Get-ChildItem $env:APPDATA, $env:LOCALAPPDATA -Directory -Recurse -Filter '*radmin*' -ErrorAction SilentlyContinue

# Обращения к доменам атакующих в кэше DNS
Get-DnsClientCache | Where-Object Entry -match 'storage-data\.com'

Заблокировать на файрволе: storage-data[.]com, 8.210.84.56, 8.218.65.184, 47.239.60.117, а также исходящий SMB (445) и внешний WebDAV.

💡 В ЧЁМ СУТЬ

Исправление на стороне вендора не лечит уже заражённые машины. И ещё вывод: бесплатный софт с автообновлением на рабочих станциях — тоже цепочка поставок. Его стоит инвентаризировать наравне с корпоративными агентами.

#security #supplychain #backup #windows #threathunting #sysadmin #admin_future

📹 Камеры видят всё. Кроме того, что их софт взломали. Huntress нашла бэкдор через ПО управления видеонаблюдением

Коллеги, когда охрана просит «поставить программку для камер на любой свободный компьютер» — это классический пролог к инциденту из отчёта Huntress.

📌 ФАКТЫ (Huntress, 27 октября)
В сентябре–октябре зафиксирована серия компрометаций через софт управления видеонаблюдением CMS.exe (C:\Program Files (x86)\CMS\). Точный вендор — OEM no-name из Китая (Xiongmai / General CMS софт, который пакуют под сотни брендов регистраторов)

Техника атаки: легитимный процесс CMS.exe дропает и спавнит rs.win32.exe в профиле пользователя (AppData\Roaming). Далее для обхода AV/EDR задействован классический DLL Sideloading: копия подписанного системного бинарника Родительского контроля Windows WpcMon.exe подтягивает вредоносные библиотеки-обманки IPHLPAPI.DLL и samcli.dll

Закрепление и C2: прописка в ветках автозагрузки реестра Run, активный маяк и обратный туннель на C2-адрес 144.172.116.37

🛠 ИНВЕНТАРИЗАЦИЯ И ПОИСК АРТЕФАКТОВ (PowerShell)
Запуск от имени администратора:

PowerShell

# 1. Проверяем наличие типового каталога CMS на диске
Test-Path 'C:\Program Files (x86)\CMS\CMS.exe'

# 2. Ищем дропнутые пейлоады и подозрительные DLL в профилях пользователей
Get-ChildItem -Path C:\Users\ -Recurse -Depth 4 -Include rs.win32.exe,WpcMon.exe,samcli.dll -ErrorAction SilentlyContinue |
  Select-Object FullName, Length, LastWriteTime

# 3. Аудит веток автозапуска Run (HKLM и HKCU)
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run',
                 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run' | 
  Select-Object * -ExcludeProperty PS*

# 4. Проверка активных сетевых соединений к C2
Get-NetTCPConnection -RemoteAddress '144.172.116.37' -ErrorAction SilentlyContinue

Маркер компрометации: присутствие

WpcMon.exe

где-либо за пределами

C:\Windows\System32\

— 100% индикатор DLL Sideloading.

😅 ЖИЗНЕННОЕ
ПО для китайских камер обычно разворачивает монтажник систем безопасности с флешки десятилетней давности, дефолтный пароль на RTSP/ONVIF admin / 123456, патчей к этому бинарнику не существует в природе, а сам ПК физически подключён прямо в офисный коммутатор рядом с бухгалтерией и контроллером домена. Атакующим даже не потребовалось искать zero-day.

💡 В ЧЁМ СУТЬ

Любой noname видеонаблюдательный софт, DVR-клиенты и NVR-панели априори должны считаться враждебным кодом:

Сетевая изоляция: регистраторы и видеосерверы уходят в изолированный VLAN/L2 без шлюза в корпоративный сегмент.

Отдельный пост мониторинга: просмотр видео — строго с выделенного тонкого клиента/АРМ вне домена Active Directory.

AppLocker / Software Restriction Policies / WDAC: базовый запрет запуска исполняемых файлов (

.exe

,

.dll

,

.bat

) из пользовательских путей

%LocalAppData%

и

%AppData%

рубит эту цепочку исполнения на первом же шаге.

#security #cctv #windows #threathunting #юмор #sysadmin #admin_future

🔐 Сертификат Secure Boot истёк 19 октября. Компьютеры не сломались — и в этом главная ловушка

Коллеги, пятница. Самая опасная поломка — та, которой не видно. Компьютер загружается, пользователь доволен, а защита загрузки тихо перестала получать обновления.

📌 ФАКТЫ
19 октября 2026 года истёк сертификат Microsoft Windows Production PCA 2011 — именно им более 15 лет подписывался доверенный загрузчик Windows. Официальная замена — Windows UEFI CA 2023

Необновлённый ПК загружается и работает как обычно, регулярные накопительные апдейты продолжают ставиться

Однако устройство больше не применит обновления Boot Manager, не обновит базы Secure Boot (db/dbx), списки отзыва уязвимых загрузчиков (BlackLotus и др.) и патчи цепочки ранней инициализации

Microsoft предупреждает: не отключайте Secure Boot, пытаясь обойти ошибки накатки

Для Windows 10 доставка обновлённых сертификатов предусмотрена только в рамках платной программы ESU

🛠 ПРОВЕРКА (PowerShell от имени администратора)
PowerShell

# 1. Проверяем активность Secure Boot (True = включён)
Confirm-SecureBootUEFI

# 2. Ищем новый сертификат CA 2023 в базе доверенных ключей db
[Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

# 3. Смотрим статус развёртывания в реестре Windows
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -ErrorAction SilentlyContinue

Глазами в GUI: Параметры → Безопасность Windows → Безопасность устройства → Безопасная загрузка. Целевой статус — «All required certificate updates have been applied» («Все требуемые обновления сертификатов применены»).

😅 ЖИЗНЕННОЕ
Сначала бэкап ключей BitLocker в AD/Entra, потом прошивка. Обновление микрокода или сброс TPM принудительно запросит Recovery Key. Иначе вечер пятницы гарантированно станет ночью.

Сброс настроек UEFI «в дефолт» на старых платах легко откатит переменные NVRAM к зашитым на фабрике сертификатам образца 2018–2019 года.

Вендоры первого эшелона (Dell, HP, Lenovo) не выпускают свежие версии BIOS/UEFI для линеек оборудования, снятых с вендорской поддержки до 2026 года.

💡 В ЧЁМ СУТЬ

Отсутствие BSOD не означает отсутствие проблемы. Соберите через GPO/SCCM/RMM отчёт со статусом

Windows UEFI CA 2023

по всему парку, отделите legacy-железо и поставьте прошивку BIOS в регламент обслуживания. Только не запускайте массовый rollout в пятницу перед уходом домой.

#windows #secureboot #uefi #bitlocker #юмор #sysadmin #admin_future