👻 Windows: Режим «Призрака» в RDP (Shadow Mode)

Ситуация: Звонит бухгалтер. "У меня 1С не открывается, ошибка какая-то". Вы подключаетесь по RDP — и выкидываете пользователя из сессии (экран блокируется). Приходится кричать в трубку: "Ну что там написано?", а в ответ: "Ой, всё пропало, черный экран!".

В Windows встроен штатный способ подключиться к сессии пользователя, не выкидывая его (он видит, что вы делаете).

Как это сделать:

Узнаем ID сессии пользователя:

qwinsta /server:BUH-PC-01
# Видим: buhgalter  ID: 1  Active

Подключаемся в режиме Shadow:

mstsc /shadow:1 /v:BUH-PC-01 /control

Что значат ключи:
/shadow:1 — подключиться к сессии с ID 1.

/control — разрешить управление мышкой/клавиатурой (без этого будет только просмотр).

/noConsentPrompt — подключиться без спроса (нужна настройка GPO, иначе у пользователя вылезет окошко "Разрешить админу просмотр?").

Идеально для техподдержки. Вы видите проблему глазами пользователя.

#windows #rdp #helpdesk #tips #shadowmode #cmd

🔐 PowerShell: "Я ввожу пароль правильно, но не пускает!"

Классика утра понедельника: пользователи вернулись, пальцы забыли пароли, учетки заблокировались (Account Locked Out). Не нужно искать бедолаг вручную в ADUC . Используйте PowerShell модуль Active Directory.

Найти всех заблокированных прямо сейчас:

Search-ADAccount -LockedOut | 
Select-Object Name, SamAccountName, LockedOut | 
Format-Table -AutoSize

Разблокировать всех одной командой (Режим Бога): (Использовать осторожно!)

Search-ADAccount -LockedOut | Unlock-ADAccount

Будьте героем, который чинит вход за 5 секунд.

#windows #powershell #activedirectory #ad #helpdesk #automation

Нейросети умнеют, а тикеты не меняются 🤦‍♂️

Мы живем в потрясающее время. На дворе 2026 год.
Нейросети пишут за нас скрипты на Python, кластеры балансируют нагрузку на лету, мы внедряем eBPF и дебажим трафик на уровне ядра без задержек.

И на фоне всего этого киберпанка в Service Desk прилетает тикет:

«Я что-то нажала, экран погас, интернет удалился, верните всё как было!!!»

Ожидание: ИИ автоматизирует всё и оставит нас без работы.
Реальность: ИИ не умеет убеждать бухгалтера, что монитор нужно сначала включить в розетку, а «интернет» — это не синяя буква «Е» на рабочем столе.

Так что, коллеги, не переживайте. Даже когда серверные шкафы будут летать на антигравитации, нам всегда найдется работа.
Человеческий фактор — самая надежная константа во Вселенной.

#users #helpdesk #it_юмор #ai #жиза #admin_future

🤖 AI-агент взломал DIVD за секунды. Вход — две zero-day в helpdesk-системе Zammad

Коллеги, показательный кейс, после которого пора окончательно пересмотреть статус «внутренних» веб-приложений и тикет-систем.

Жертвой атаки стал DIVD (Dutch Institute for Vulnerability Disclosure) — организация, которая сама специализируется на этичном хакинге, поиске уязвимостей и нотификации бизнеса о пробитом периметре.

📌 ФАКТЫ
Точка входа: цепочка из двух 0-day в популярном open-source хелпдеске Zammad:

CVE-2026-102489 (CVSS 9.4) — перехват сессии с выходом в RCE от сервисного пользователя zammad. Эксплуатируема на версиях 6.3.0–6.5.4 (в ветках 7.0.0–7.1.3 код присутствует, но не срабатывает).

CVE-2026-102490 (CVSS 9.4) — локальное повышение привилегий (LPE) из контекста zammad до чистого root. Затронут огромный пласт релизов: от 1.5 вплоть до 7.1.0-alpha. Комьюнити подтверждает активную эксплуатацию «в дикой природе».

Скорость и исполнитель: по заявлению DIVD, взлом вел автономный AI-агент. Он без участия человека выбирал следующие шаги в цепочке, поднял привилегии до root и начал эксфильтрацию данных буквально за секунды.

Что спасло инфраструктуру: дальше хоста helpdesk агент не ушел — сработала жесткая сегментация сети и автоматическая изоляция хоста.

Вердикт исследователей: немедленно накатывать актуальные сборки 7-й ветки либо наглухо закрывать доступ к Zammad извне.

🛠 БЫСТРЫЙ ЧЕК ЧЕРЕЗ ТЕРМИНАЛ
Bash

# 1. Проверяем установленную версию Zammad (deb/rpm пакет)
zammad run rails r 'puts Version.get'

# 2. Если развернуто в контейнерах (Docker Compose)
docker compose exec zammad-railsserver rails r 'puts Version.get'

# 3. Проверяем доступность веб-интерфейса извне (отдаёт ли 200/302)
curl -sI https://helpdesk.example.ru | head -1

# 4. Форензика: подозрительные процессы и сессии от сервисного юзера zammad
ps -u zammad -o pid,lstart,cmd
last -n 50
journalctl _UID=$(id -u zammad) --since "2026-09-01" | tail -50

💡 В ЧЁМ СУТЬ И ВЫВОДЫ
Тикет-система — это критический шлюз, а не просто веб-морда. Хелпдески для удобства пользователей часто выставляют наружу без VPN. При этом внутри лежат креды от почтовых ящиков (IMAP/SMTP), сервисные учетки LDAP/Active Directory и токены API. Скомпрометированный helpdesk мгновенно превращается в трамплин во внутрянку.

Время реакции человека стало равно нулю. Когда атаку ведет AI-агент со скоростью выполнения миллисекундных API-вызовов, дежурный админ или SOC физически не успеют открыть алерт. Защищает только архитектура, выстроенная заранее (в случае DIVD — изоляция хоста и запрет бокового движения).

🛡 ПЛАН ДЕЙСТВИЙ (ЧЕКЛИСТ)
Апдейт ядра системы: обновиться до актуальной версии ветки 7.x (сверьтесь со спецбюллетенем DIVD-2026-00015 на предмет точного патча под 102490).

Убрать веб-интерфейс из интернета: если мгновенно пропатчиться нет возможности — спрятать инстанс за корпоративный VPN или Cloudflare Access / ZTNA с обязательной MFA.

Изоляция хоста в отдельный VLAN: на сервере с тикет-системой должен быть перекрыт доступ к контроллерам домена, бэкапам, гипервизорам и базам данных других сервисов.

Ротация секретов: если инстанс висел в сети неприкрытым, сбросьте пароли служебных учеток Active Directory / LDAP, почтовых ящиков и перевыпустите все API-ключи внешних интеграций.

Helpdesk, корпоративная Wiki, CRM и внутренние трекеры, смотрящие в мир «для клиентов и подрядчиков», должны проектироваться и изолироваться с той же паранойей, что и публичный почтовый сервер.

#security #zammad #helpdesk #ai #segmentation #cve #sysadmin #admin_future