🛡 ПЛАН ДЕЙСТВИЙ (ЧЕКЛИСТ)
Разбор инвентаризации: прогнать скрипт, открыть rmm_inventory.csv и по каждому найденному хосту выяснить: кто, когда и с какой производственной целью ставил софт.

Единый стандарт: утвердить один корпоративный инструмент. Подрядчиков и внешних специалистов пускать строго через него либо через корпоративный VPN с Jump-хостом, без установки их агентов.

Технический запрет:

Внедрить запрещающие политики AppLocker / WDAC (Deny по цифровому сертификату издателя для запрещенного пула).

Заблокировать облачные домены и IP-адреса сторонних RMM на корпоративном шлюзе/прокси.

Алертинг на новые службы: настроить в SIEM / Event Log триггер на Event ID 7045 в журнале System («В системе была установлена новая служба») с фильтром по ключевым словам RMM-агентов.

Контроль ScreenConnect: если продукт используется официально — срочно проверьте версии на закрытие CVE-2026-84869.

#security #rmm #remoteaccess #threathunting #powershell #windows #linux #sysadmin #admin_future

Алертинг в SIEM / EDR: повесить триггеры на запуск mshta.exe, активность интерпретаторов wscript.exe/cscript.exe, а также вызов системных утилит за пределами C:\Windows\System32.

#skills #windows #hardening #lolbins #asr #applocker #threathunting #sysadmin #admin_future

🚨 AhsayCBS: два zero-day, SYSTEM на сервере бэкапов без пароля. Эксплуатация началась через сутки после обнаружения

Коллеги, очередное жесткое подтверждение базового правила: сервер резервного копирования — приоритетная цель номер один для злоумышленников.

📌 ФАКТЫ (отчет Field Effect от 9 октября)
Связка уязвимостей:

CVE-2026-105133 (CVSS 5.5) — логическая ошибка аутентификации в функции проверки пароля checkSysPwd;

CVE-2026-105134 (CVSS 9.3) — критическая инъекция команд ОС (Command Injection) в компоненте Replication Receiver.

Результат цепочки: удаленное неаутентифицированное исполнение произвольного кода (RCE) с наивысшими правами NT AUTHORITY\SYSTEM.

Под ударом: все версии платформы до 10.3.4 включительно. Официальный исправленный релиз на момент публикации вендором не обозначен.

Активная эксплуатация: реальные атаки зафиксированы поздно вечером 7 октября — всего через сутки после первых сигналов. За первые 24 часа подтверждена компрометация как минимум 5 организаций.

Анатомия закрепления: злоумышленники конфигурировали поддельный приемник репликации, заливали JSP веб-шелл, разворачивали скрытый майнер XMRig под маской легитимного процесса Microsoft Edge и прописывали фальшивую службу обновления браузера для автозагрузки.

🛠 ФОРЕНЗИКА И ПОИСК СЛЕДОВ (PowerShell на хосте AhsayCBS)
PowerShell

# 1. Поиск свежих JSP-файлов и шеллов за последнюю неделю
$installDir = 'C:\Program Files\AhsayCBS'
Get-ChildItem -Path $installDir -Recurse -Filter *.jsp -ErrorAction SilentlyContinue |
  Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) } |
  Select-Object FullName, LastWriteTime

# 2. Выявление процессов msedge, запущенных вне легитимной директории Microsoft
Get-CimInstance Win32_Process | 
  Where-Object { $_.Name -like 'msedge*' -and $_.ExecutablePath -notlike '*\Microsoft\Edge\*' } |
  Select-Object ProcessId, Name, ExecutablePath

# 3. Аудит подозрительных служб с «Edge» в названии
Get-CimInstance Win32_Service | 
  Where-Object { $_.DisplayName -match 'Edge' -or $_.Name -match 'Edge' } |
  Select-Object Name, DisplayName, PathName, StartMode

💡 В ЧЁМ СУТЬ

В данном кейсе атакующие ограничились установкой майнера, но уровень привилегий SYSTEM на сервере бэкапов автоматически означает полный доступ к архивам данных, теневым копиям и служебным учетным записям всех защищаемых хостов предприятия.

Правило изоляции едино для любого решения (Ahsay, Veeam, Proxmox Backup Server, Commvault):

Любые порты управления, API и сервисы репликации никогда не должны смотреть в публичный интернет — только выделенный Management VLAN, изолированный VPN или защищенный туннель.

Если на сервере бэкапов обнаружены следы веб-шелла или сторонних служб — машина считается скомпрометированной целиком. Она не «лечится» установкой патча, а подлежит полной переустановке с чистого образа с обязательным отзывом и перевыпуском всех ключей доступа.

#security #backup #zeroday #ahsay #threathunting #powershell #windows #sysadmin #admin_future

🚨 Atlassian Data Center: чтение файлов без авторизации. Атаки начались через 2 часа после публикации деталей

Коллеги, после ухода Atlassian многие команды в РФ зафиксировали инфраструктуру на self-hosted инстансах Jira и Confluence Data Center. Этот пост — прямой сигнал на аудит периметра.

📌 ФАКТЫ
Идентификатор и критичность: CVE-2026-21589, базовый балл CVSS 9.3 — неаутентифицированное чтение произвольных файлов (Arbitrary File Read) в контексте каталога веб-приложения.

Специфика вектора: прямого листинга каталогов нет — атакующему необходимо знать точный относительный путь и целевое имя файла.

Масштаб покрытия: уязвимы Data Center редакции практически всей линейки: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye.

Скорость реагирования ботнетов: первые попытки эксплуатации в wild зафиксированы примерно через 2 часа после выхода технического разбора от исследователей watchTowr. На текущий момент фиксируется массовое автоматизированное сканирование с вычиткой дефолтных путей конфигурационных файлов.

Исправленные релизы вендора:

Plaintext

Jira Software / JSM : 9.12.40 · 10.3.26 · 11.3.12 (JSM: 5.12.40)
Confluence          : 9.2.26  · 10.2.19
Bitbucket           : 9.4.26  · 10.2.8   · 10.5.1
Crowd               : 6.3.7   · 7.0.3   · 7.1.7 · 7.2.4
Bamboo              : 10.2.24 · 12.1.12
Crucible / Fisheye  : 4.9.15

🛠 ВРЕМЕННЫЙ МИТИГЕЙТ (ЕСЛИ НЕТ ВОЗМОЖНОСТИ НАКАТИТЬ ПАТЧ ПРЯМО СЕЙЧАС)
Изоляция сетевого контура: немедленно убрать внешние публикации (0.0.0.0/0) за корпоративный VPN или reverse-proxy с пре-аутентификацией.

Фильтрация на обратном прокси / WAF: заблокировать сигнатуры обращения к внутренним служебным эндпоинтам веб-приложения.

Локальная блокировка веб-сервера:

Для Jira, Confluence, Bamboo, Crowd — подключение модуля Tomcat RewriteValve в конфигурации контейнера сервлетов (server.xml / rewrite.config);

Для Bitbucket — активация правил отсечения запросов через urlrewrite.xml по вендорскому security bulletin.

💡 В ЧЁМ СУТЬ

Чтение файлов без RCE кажется неопасным лишь на первый взгляд.

В каталогах веб-приложений лежат файлы вроде

dbconfig.xml

, содержащие логины и открытые пароли к базам данных PostgreSQL/Oracle, секреты сессий, приватные ключи подписи и API-токены интеграций.

Если ваш инстанс торчал наружу в публичный интернет — простого наката патча недостаточно. После обновления обязательно проведите ротацию пароля сервисной учетной записи БД в СУБД и перевыпустите все связанные токены интеграций.

#security #atlassian #jira #confluence #bitbucket #cve #threathunting #devops #sysadmin #admin_future

💾 AOMEI Backupper: атакующие подменяли обновления на серверах вендора на 5–10 минут. Проверяем рабочие станции

Коллеги, AOMEI часто стоит на ПК и небольших серверах как бесплатный бэкап. Этот пост для вас.

📌 ФАКТЫ (Google GTIG / Mandiant, ManageEngine)
Группа UNC7017 меняла конфигурацию обновлений на серверах AOMEI в короткие окна: 28 мая (10 минут), 16 июля (6 минут), 20 июля (5 минут). Возможно, были и другие

Уязвимость не использовалась: контрольные суммы лежали в том же неподписанном файле, что и ссылка на обновление

Доставлялись загрузчик CROSSROAD, бэкдор SHINYROAD, подписанный Radmin и фреймворк Adaptix C2 под видом Nitro PDF

Цели — случайные: под удар попадала любая машина, проверявшая обновления в это окно. Тот же механизм обновления у AnyViewer

🛠 ПРОВЕРКА (Windows)
PowerShell

# Задачи планировщика из отчёта
Get-ScheduledTask | Where-Object TaskName -match 'RadminComponentRuntime|NitroRuntime'

# Radmin в профилях пользователей
Get-ChildItem $env:APPDATA, $env:LOCALAPPDATA -Directory -Recurse -Filter '*radmin*' -ErrorAction SilentlyContinue

# Обращения к доменам атакующих в кэше DNS
Get-DnsClientCache | Where-Object Entry -match 'storage-data\.com'

Заблокировать на файрволе: storage-data[.]com, 8.210.84.56, 8.218.65.184, 47.239.60.117, а также исходящий SMB (445) и внешний WebDAV.

💡 В ЧЁМ СУТЬ

Исправление на стороне вендора не лечит уже заражённые машины. И ещё вывод: бесплатный софт с автообновлением на рабочих станциях — тоже цепочка поставок. Его стоит инвентаризировать наравне с корпоративными агентами.

#security #supplychain #backup #windows #threathunting #sysadmin #admin_future

📹 Камеры видят всё. Кроме того, что их софт взломали. Huntress нашла бэкдор через ПО управления видеонаблюдением

Коллеги, когда охрана просит «поставить программку для камер на любой свободный компьютер» — это классический пролог к инциденту из отчёта Huntress.

📌 ФАКТЫ (Huntress, 27 октября)
В сентябре–октябре зафиксирована серия компрометаций через софт управления видеонаблюдением CMS.exe (C:\Program Files (x86)\CMS\). Точный вендор — OEM no-name из Китая (Xiongmai / General CMS софт, который пакуют под сотни брендов регистраторов)

Техника атаки: легитимный процесс CMS.exe дропает и спавнит rs.win32.exe в профиле пользователя (AppData\Roaming). Далее для обхода AV/EDR задействован классический DLL Sideloading: копия подписанного системного бинарника Родительского контроля Windows WpcMon.exe подтягивает вредоносные библиотеки-обманки IPHLPAPI.DLL и samcli.dll

Закрепление и C2: прописка в ветках автозагрузки реестра Run, активный маяк и обратный туннель на C2-адрес 144.172.116.37

🛠 ИНВЕНТАРИЗАЦИЯ И ПОИСК АРТЕФАКТОВ (PowerShell)
Запуск от имени администратора:

PowerShell

# 1. Проверяем наличие типового каталога CMS на диске
Test-Path 'C:\Program Files (x86)\CMS\CMS.exe'

# 2. Ищем дропнутые пейлоады и подозрительные DLL в профилях пользователей
Get-ChildItem -Path C:\Users\ -Recurse -Depth 4 -Include rs.win32.exe,WpcMon.exe,samcli.dll -ErrorAction SilentlyContinue |
  Select-Object FullName, Length, LastWriteTime

# 3. Аудит веток автозапуска Run (HKLM и HKCU)
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run',
                 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run' | 
  Select-Object * -ExcludeProperty PS*

# 4. Проверка активных сетевых соединений к C2
Get-NetTCPConnection -RemoteAddress '144.172.116.37' -ErrorAction SilentlyContinue

Маркер компрометации: присутствие

WpcMon.exe

где-либо за пределами

C:\Windows\System32\

— 100% индикатор DLL Sideloading.

😅 ЖИЗНЕННОЕ
ПО для китайских камер обычно разворачивает монтажник систем безопасности с флешки десятилетней давности, дефолтный пароль на RTSP/ONVIF admin / 123456, патчей к этому бинарнику не существует в природе, а сам ПК физически подключён прямо в офисный коммутатор рядом с бухгалтерией и контроллером домена. Атакующим даже не потребовалось искать zero-day.

💡 В ЧЁМ СУТЬ

Любой noname видеонаблюдательный софт, DVR-клиенты и NVR-панели априори должны считаться враждебным кодом:

Сетевая изоляция: регистраторы и видеосерверы уходят в изолированный VLAN/L2 без шлюза в корпоративный сегмент.

Отдельный пост мониторинга: просмотр видео — строго с выделенного тонкого клиента/АРМ вне домена Active Directory.

AppLocker / Software Restriction Policies / WDAC: базовый запрет запуска исполняемых файлов (

.exe

,

.dll

,

.bat

) из пользовательских путей

%LocalAppData%

и

%AppData%

рубит эту цепочку исполнения на первом же шаге.

#security #cctv #windows #threathunting #юмор #sysadmin #admin_future