Архивы автора: Александр Леонов

Об авторе Александр Леонов

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно и моих проектах можете прочитать здесь. Приглашаю подписаться на мой канал @avleonovrus "Управление Уязвимостями и прочее" в MAX или в Telegram. Вы можете обсудить мои посты или задать вопросы в группе ВКонтакте. And I invite all English-speaking people to another Telegram channel @avleonovcom.

Прочитал статью "NVD больше не успевает за реальностью: взгляд R-Vision на пересмотр роли NIST"

Добавить комментарий

Прочитал статью "NVD больше не успевает за реальностью: взгляд R-Vision на пересмотр роли NIST". Очередная рефлексия на статью CYBERSECURITY DIVE про то, что у NIST-а лапки. 🙂 Имхо, ключевой тезис в статье R-Vision вот этот:

"Для нас качество базы измеряется не количеством CVE, а:

- скоростью реакции;
- полнотой покрытия реальных технологий;
- способностью адаптации под инфраструктуры заказчиков."

С одной стороны, соглашусь, что простое покрытие CVE-шек в текущей ситуации, когда идентификаторы могут заводиться на мусор, а на критичные уязвимости могут не заводиться, перестаёт быть единственным фактором, определяющим качество детектирования VM-решений. Всё стало сложнее. 💯

Но с другой стороны, сравнение баз VM-решений пересечением наборов CVE-идентификаторов всё ещё позволяет эффективно подсвечивать разницу в ТЕКУЩИХ возможностях детектирования и, при необходимости, обсуждать её с VM-вендорами. 😏 Аналогично можно сравниваться и по БДУ-идентификаторам. 😉

Разработчики популярного текстового редактора Notepad++ написали сегодня, что их серверная инфраструктура была скомпрометирована с июня по декабрь 2025 года и злоумышленники устанавливали малвари на хосты с Notepad++ под видом обновлений

2 комментария

Разработчики популярного текстового редактора Notepad++ написали сегодня, что их серверная инфраструктура была скомпрометирована с июня по декабрь 2025 года и злоумышленники устанавливали малвари на хосты с Notepad++ под видом обновлений. 🤷‍♂️

"Согласно анализу, предоставленному экспертами по безопасности, атака включала компрометацию на уровне инфраструктуры, что позволило злоумышленникам перехватывать и перенаправлять трафик обновлений, предназначенный для notepad-plus-plus[.]org. […] Трафик от некоторых целевых пользователей выборочно перенаправлялся на серверы, контролируемые атакующими, которые отдавали вредоносные манифесты обновлений." 🙄

Инсталлеру на такую подмену было пофиг:

"Злоумышленники целенаправленно атаковали домен Notepad++ с целью эксплуатации недостаточного контроля проверки обновлений, существовавшего в более старых версиях Notepad++." 🤤

В коллекцию кейсов ASUS Live Update, CCleaner, eScan и прочих.

Насколько вообще опасно, что неизвестные лица выполняют сетевые запросы с вашего устройства?

Добавить комментарий

Насколько вообще опасно, что неизвестные лица выполняют сетевые запросы с вашего устройства? По той причине, что вы сами установили на это устройство программу со скрытой (или не очень скрытой 😏) функциональностью, или устройство было скомпрометировано злоумышленниками и на него была установлена соответствующая малварь.

На самом деле довольно сложно оценить, насколько это сейчас опасно для владельцев устройств в России. Конечно, можно вспомнить дело Дмитрия Богатова: 3 месяца в СИЗО и ещё полгода под домашним арестом. А мог вообще уехать лет на 7. 🤷‍♂️

Но много ли было таких дел с 2018? Вообще говоря, нет, немного. Значит ли это, что простое "я ничего не делал, кто-то получил доступ к моему устройству и сделал это за меня" гарантированно убережёт вас от ответственности? Вряд ли. 🫤 Ведь пойманные злодеи говорят то же самое. 😉

Поэтому я бы порекомендовал использовать все разумные меры предосторожности, чтобы ваши устройства не использовались для совершения преступлений.

Google начали активно бороться с компанией IPIDEA

1 комментарий

Google начали активно бороться с компанией IPIDEA. Почему это важно?

Все мы любим качественные приложения для мобильных устройств, десктопов и серверов. Желательно, чтобы эти приложения были бесплатными и без рекламы. 😇

А разработчики этих приложений любят их монетизировать! 😉 И вот один из действенных (но сомнительных) способов сделать это - добавить партнёрский код (SDK) в приложение и получать ~ $500 за 1000 активных пользователей. Как раз такие партнёрки контролировала компания IPIDEA под SDK-брендами Castar, Earn, Hex, Packet.

Фактически их код поднимал прокси-сервер на устройствах людей, установивших приложения. А клиенты IPIDEA получали возможность совершать действия в Интернет с устройств (и IP-адресов) этих людей. 😏

По данным Google часть клиентов IPIDEA были злоумышленники, совершающие кибератаки и прочие противоправные действия. А пользователи приложений могли оказаться крайними при расследовании этих преступлений. 🤷‍♂️👮‍♀️

На сайте ФСТЭК 30 января был опубликован документ с рекомендациями по харденингу Samba

Добавить комментарий

На сайте ФСТЭК 30 января был опубликован документ с рекомендациями по харденингу Samba. Samba - пакет программ, которые позволяют обращаться по сети к файлам и принтерам на различных операционных системах по протоколу SMB/CIFS. Имеет клиентскую и серверную части. Является свободным программным обеспечением под лицензией GPL.

Всего в документе 14 страниц. Требования по настройке приводятся на пяти страницах и сгруппированы по темам:

🔹 Настройка общего доступа
🔹 Расширенные настройки
🔹 Настройки аудита ПО
🔹 Проверка недостатков конфигурации

Требования содержат конкретные параметры, которые необходимо настроить, и команды, которые необходимо выполнить. Будет просто разрабатывать проверки на соответствие и скрипты для конфигурирования. 👍

На семи страницах представлены перечни:

🔸 Подсистем
🔸 Уровней журналирования
🔸 Значений для команды full_audit:prefix
🔸 Событий, фиксируемых командами full_audit:success и full_audit:failure
🔸 Типов приоритета

Ещё один пример успешной атаки на компанию топливно-энергетического комплекса из доклада НКЦКИ

Добавить комментарий

Ещё один пример успешной атаки на компанию топливно-энергетического комплекса из доклада НКЦКИ. Трагикомедия в 4 действиях. 🤦‍♂️

"Компания содержит несколько предприятий. Все они подключены к единой сети передачи данных.

✉️ Злоумышленник с использованием фишингового сообщения проникает в корпоративную сеть, захватывает домен и с высокими привилегиями начинает контролировать и изучать её.

🔍 Быстро находит, что из сегмента одного из предприятий в домене заведена учётная запись, само название которой говорит о том, что в отношении информационных ресурсов предприятия проводится так называемое «тестирование на проникновение». 😏

🏴‍☠️ Поскольку он имеет возможность перехватить права этой учётной записи, далее уже под её флагом осуществляет безуликовую разведку внутри сети. 🥷

❌ Но через какое-то время эту деятельность прекращает, зашифровывает основные ресурсы. То ли после выгрузки основных данных потерял интерес к сети, то ли решил, что может быть обнаружен, и нанёс ущерб."

Алексей Владимирович Иванов, зам

Добавить комментарий

Алексей Владимирович Иванов, зам. директора НКЦКИ, поделился на Инфофоруме 2026 свежими примерами успешных атак на инфраструктуры отечественных компаний, в т.ч. с эксплуатацией уязвимостей на периметре.

"Крупная нефтяная компания. Злоумышленники выявили уязвимость в иностранном телекоммуникационном оборудовании, функционирующем на границе сети Интернет и корпоративной сети компании. Проэксплуатировали уязвимость, оказались внутри сети, стали проводить разведку и выявили некорректные настройки межсетевого экрана уже на границе корпоративной сети и технологического сегмента. Проникли внутрь технологического сегмента, перепрошили ряд контроллеров и нанесли серьёзный ущерб производственным процессам."

Классика. 👌 Внутрянку толком не защищают, ведь она "ЗА ПЕРИМЕТРОМ". 🤡 Сетевую связность не контролируют, инфру не харденят. А на периметре продолжает торчать западное легаси, даже VM-процессом не покрытое. 🤦‍♂️ В итоге нарушения конвертируются в инциденты. 🤷‍♂️