Видео
CISO_подкаст_Георгий_Руденко_трейлер.mp4 · 9.8 МБ
CISO_подкаст_Георгий_Руденко_трейлер.mp4 · 9.8 МБ
Как построить сильную команду ИБ и перестать делать всё самому?
В этом выпуске Георгий Руденко, CISO крупного банка, рассказывает, как выстраивать отношения с бизнесом, договариваться о ресурсах, нанимать людей и делегировать задачи, сохраняя контроль над результатом.
Обсудили, почему нельзя постоянно «продавать страх», какую ценность безопасность приносит компании помимо защиты от угроз и почему даже сильный технический специалист может не подойти команде. Поговорили о микроменеджменте, ошибках начинающих руководителей, доверии и решениях, которые нельзя делегировать.
Премьера 25 октября!
📹 Youtube
Предыдущий выпуск: https://t.me/ever_secure/1347
👀@ever_secure | 💪 Обучение | 💳Поддержать
41 · 2.3K · Aleksey Fedulaev
Just found a zero day
If you right click on an executable on Windows, select run as administrator, it will run as administrator
I'm calling it Program2Shell
14 · 1.6K · Aleksey Fedulaev
Фотография
🙄️️️️️️Свежие дыры в ядре Linux случайно выложили на всеобщее обозрение
Zero Day Initiative от Trend Micro отправила отчёты о новых уязвимостях ядра в публичную рассылку LKML, вместо закрытой рассылки на безопасников 🤣️️
Большая часть дыр в основной ветке ядра ещё не закрыта. Где-то патчи только тестируют или держат в ветках «-next».
Грег Кроа-Хартман, второй человек в разработке ядра, на каждое письмо спросил, почему оно попало в открытую рассылку.🤔
Что утекло:
🔻 SMB Direct: удалённое выполнение кода из-за целочисленного underflow, CVSS 9,0;
🔻 KSMBD, встроенный в ядро SMB-сервер: состояние гонки, тоже удалённое выполнение кода и тоже 9,0;💀
🔻 skb_zerocopy в сетевом стеке, драйвер VMware-графики VMWGFX и обработка TCP-запросов search-domain: локальное повышение привилегий;
🔻 NVMET: раскрытие информации из-за неинициализированного ресурса.
☝🏻По сути, атакующие получили готовую карту: где искать и что ломать. При этом заплаток у большинства пользователей ещё нет.
👀@ever_secure | 💪 Обучение | 💳Поддержать
51 · 2.3K · ОтветКак построить сильную команду ИБ и перестать делать всё самому?
В этом выпуске Георгий Руденко, CISO крупного банка, рассказывает, как выстраивать отношения с бизнесом, договариваться о ресурсах, нанимать людей и делегировать задачи, сохраняя контроль над результатом.
Обсудили, почему нельзя посто
Видео
CISO_подкаст_Георгий_Руденко_трейлер.mp4 · 9.8 МБ
CISO_подкаст_Георгий_Руденко_трейлер.mp4 · 9.8 МБ
Не знали чем заняться в воскресенье вечером? 😏
Как на счет узнать:
Как построить сильную команду ИБ и перестать делать всё самому?
В этом выпуске Георгий Руденко, CISO крупного банка, рассказывает, как выстраивать отношения с бизнесом, договариваться о ресурсах, нанимать людей и делегировать задачи, сохраняя контроль над результатом.
Обсудили, почему нельзя постоянно «продавать страх», какую ценность безопасность приносит компании помимо защиты от угроз и почему даже сильный технический специалист может не подойти команде. Поговорили о микроменеджменте, ошибках начинающих руководителей, доверии и решениях, которые нельзя делегировать.
Приятного просмотра 🍿
📹 Youtube
Предыдущий выпуск: https://t.me/ever_secure/1347
👀@ever_secure | 💪 Обучение | 💳Поддержать
26 · 2.4K · Aleksey Fedulaev
Атака на VMmanager 6 Hosting — разбор инцидента и хронология расследования
https://www.ispsystem.ru/news/post-mortem
19.10.2026 в 16:00 (МСК) в ходе расследования мы установили, что злоумышленник проникал на серверы с использованием контрабанды HTTP-запросов (HTTP Request Smuggling). Для этого использовалась ранее неизвестная 0-day уязвимость в нашем сервисе, а особенность nginx пропускать такие запросы делала ее эксплуатацию возможной. В систему отправлялся HTTP-запрос на установку websocket-соединения с телом. По RFC такое поведение со стороны клиента не рекомендуется, nginx пропускает подобные запросы, и это открыло возможность использования контрабанды HTTP-запросов.
В NGINX, начиная с версии 1.31.5 от 2 сентября 2026 года, появилась директива client_body_early_read, позволяющая легко и удобно настраивать блокировку подобных запросов как для HTTP/1.1, так и для HTTP/2 (к счастью, HTTP/3 мы не используем). К сожалению, в stable-версии nginx на текущий момент (1.30.6) эта директива еще не поддерживается. Безусловно, найденная особенность работы nginx не снимает с нас ответственности за возникновение инцидента, однако мы крайне рекомендуем учитывать ее, если вы используете это решение в своей инфраструктуре.
Это привело к тому, что сервис, к которому обращается злоумышленник, запрос отвергает, но при этом не вычитывает его тело, а поскольку запрос содержит keep-alive, читает полученное тело как новый запрос. Для обычных запросов при передаче их из nginx в сервис (proxy_pass) мы со своей стороны использовали дополнительные Connection: close, что не позволяет обманывать систему подобным образом, но для websocket этого делать нельзя.
Это и позволило злоумышленнику выполнить запрос внутри системы с административными привилегиями. Внутри сети docker наши службы помечают внутренние запросы специальным HTTP-заголовком, который снаружи не принимается (nginx, используемый как frontend, этот заголовок не пропускает). Но из-за того, что nginx второй запрос воспринимал как… Читать полностью →
14 · 917 · ОтветАтака на VMmanager 6 Hosting — разбор инцидента и хронология расследования
https://www.ispsystem.ru/news/post-mortem
19.10.2026 в 16:00 (МСК) в ходе расследования мы установили, что злоумышленник проникал на серверы с использованием контрабанды HTTP-запросов (HTTP Request Smuggling). Для этого испо
Разбор от вендора был https://t.me/tech_b0lt_Genona/7226 по ситуации с VMmanager, теперь разбор от хостинга
Постмортем — атака на FirstVDS 17.10.2026
https://firstvds.ru/blog/postmortem-ataka-na-firstvds-17102026
17 октября 2026 года мы обнаружили компрометацию платформы управления виртуализацией VMmanager 6, разработанной ISPsystem. Злоумышленник получил административный доступ к панели и использовал её штатные функции для запуска сборщика данных на узлах виртуализации. Сборщик подключал диски клиентских виртуальных машин в режиме только для чтения и копировал выбранные файлы, включая пароли, ключи, токены и конфигурации. Он работал на гипервизорах и не требовал запуска программы внутри клиентских ВМ.
...
23 октября. ISPsystem выпустил очередные обновления безопасности VMmanager. К этой дате мы сменили пароли всех учётных записей VMmanager — от пользовательских до административных.
Файловые метки указывают, что сбор данных начался примерно за 22 часа до обнаружения инцидента. Точное время первоначального проникновения не установлено. В ходе нашей проверки следов присутствия злоумышленника до 17 октября не обнаружено.
...
Команда располагает бинарным файлом стиллера и исследовала его в доступном объёме. Анализ образца и параметров запуска из плейбуков управляющего сервера платформы позволил установить маски имён и расширения файлов, отбиравшихся для включения в дампы. В изученной команде запуска категории сбора и ограничение размера файлов не переопределялись; дополнительные маски отбора не задавались. По справке программы, набор категорий по умолчанию включает секреты и учётные данные, данные криптокошельков, пользовательские файлы и каталоги, системные настройки, данные Tor и историю команд. Исследованный стиллер выборочно копировал файлы с дисков клиентских ВМ, не создавая полных образов дисков. Дампы оперативной памяти ВМ этим инструментом не создавались.
Действие, заданное после завершения сборщика, отправляло уже сформированный архив на сервер злоумышленн… Читать полностью →
17 · 972 · Что воровали с гипервизоров FirstVDS?
К слову, а куда будут смотреть хакеры, попади они в вашу инфраструктуру. Пошли уже проверять?
1. .env это первая цель.
Десятки вариаций: *.env*, env?, .env.production, .envrc, .flaskenv, config*.env, *.env.keys. Ваш .env рядом с docker-compose.yml это не «конфиг», это готовый пакет секретов. Кстати, docker-compose*.yml и Dockerfile* тоже в списке.
2. IaC и кластер.
*.tfstate, *.tfvars, kubeconfig, .kube/config, .docker/config.json, .vault-token, .sops.yaml, vault-password, .ansible_vault, acme.json. tfstate с секретами в открытом виде до сих пор классика.
3. CI/CD.
.gitlab-ci.yml, .github/workflows/*, Jenkinsfile, hudson.util.Secret, credentials.xml, .gitlab-runner/config.toml. Отдельно список переменных: GITHUB_TOKEN, NPM_TOKEN, SONAR_TOKEN, ARM_CLIENT_SECRET, GOOGLE_APPLICATION_CREDENTIALS.
4. AI-тулинг. Новое.
.claude.json, .cursor/mcp.json, .codex/config.toml, .continue/*, .aider.conf*, litellm_config.yaml, hf_token*, openai.key, плюс *.jsonl. В MCP-конфигах лежат токены от всего, к чему вы подключили агента. Злоумышленники это уже знают.
5. История и dotfiles.
.bash_history, .zsh_history, .psql_history, .mysql_history, .python_history, история pgcli, clickhouse-client. Плюс .bashrc, .zshrc, .profile, nohup.out, screenlog.*. Все ваши export TOKEN=... и psql postgres://user:pass@... здесь.
6. Переименовать файл не поможет.
Стилер грепает содержимое по префиксам: github_pat_, glpat-, sk_live_, hvs., dckr_pat_, ya29., xoxe-, npm_, pypi-, ASIA, eyJhbGciOiJIUzI1NiIs.... И по URL: jdbc:, amqps://, clickhouse://, Slack/Discord webhooks.
7. Локализация под нас.
Маски *пароль*, *доступ*, *учетн*данн*, *ключ*api*, *эксплойт*, *зиродей*, *зеро-дей*. Да, файл пароли_от_прода.txt тоже заберут.
8. Гребут и у коллег.
cobaltstrike.store, teamserver.prop, .sliver-client, havoc.yaotl, msfconsole.rc. Пентестеры и рэдтим на VPS тоже в скоупе.
9. Остальное.
Огромный блок под криптокошельки (лимит 200 МБ на файл против 256 КБ на обычные)… Читать полностью →
52 · 1.9K · Файл
dropper-all-patterns.json · 157 КБ · нажмите — покажем
26 · 1.8K · dropper-all-patterns.json · 157 КБ · нажмите — покажем
Aleksey Fedulaev
Фотография
Ну как вы там, потомки, построили уже суперквантовый комплюхтер? 😆
👀@ever_secure | 💪 Обучение | 💳Поддержать
53 · 2.3K · Фотография
Ладно, а теперь без шуток
Pre-boot RCE in EDK II PXE driver
Специально сформированный сетевой пакет потенциально позволяет выполнить вредоносный код ещё до загрузки ОС, когда Secure Boot даже не успел включиться
https://github.com/tianocore/edk2/security/advisories/GHSA-99cj-7hg9-mp4m
Как вам такое?
👀@ever_secure | 💪 Обучение | 💳Поддержать
21 · 1.9K · Aleksey Fedulaev
Ответ🙄️️️️️️Свежие дыры в ядре Linux случайно выложили на всеобщее обозрение
Zero Day Initiative от Trend Micro отправила отчёты о новых уязвимостях ядра в публичную рассылку LKML, вместо закрытой рассылки на безопасников 🤣️️
Большая часть дыр в основной ветке ядра ещё не закрыта. Где-то патчи только тФотография
Спишь?)
CVE-2026-89754 CVE-2026-80775 CVE-2026-98385 CVE-2026-98256 CVE-2026-98260
Infinity Core: Linux Kernel Core LPEs
👀@ever_secure | 💪 Обучение | 💳Поддержать
57 · 1.8K · Фотография
Готовим с Positive Technologies нереальный дроп для вас 😍
Как вы помните, 18 ноября пройдет Positive AppSec Conf.
Мы уже почти сформировали программу, отбираем самые топовые и интересные доклады. Но и это еще не все 😏️️️️️️
Специально для вас мы подготовили лимитированный мерч 😱
Получить такой можно будет за активности на мероприятии
📅Добавляем дату в календарь
и
👉️️️️️️Скорее регаемся по ссылке
26 · 2K · Фотография
Фотография
Ребят из VK, по моему не достаточно явно продвигаете Яндекс Браузер, ловите идею как сделать, чтобы точно уж прям
33 · 1.9K · Aleksey Fedulaev
В очередной раз помойка плагинов VS Code Cursor
Для улучшения качества предоставляемых услуг в плагин Claude Code доложили:
- сбор данных и их отправку;
- персистанс в системе через authorized_keys, LaunchAgent на macOs, и scheduled task на Windows;
- reverse SSH-туннель к 134.209.82.225.
Кто пользуется этой балалайкой 👉️️️️️️ бегом бежать все ротировать, спасать свои криптокошельки и дикпики)
ЗЫ. А использовали бы vim+claude cli, как я, таких проблем бы не было) Наказание за невежество
UPD: Выяснилось, что плагин Cursor, обновил инфу
Длинный постфото и оформление — в Telegram ↗ 135 · 3.1K ·
Фотография
Перевозим контент туда?
Теперь, если на работе придут с вопросами о посещении пх, всегда можно будет сказать, что смотрел вебинары EverSecure и учился ломать)))
👀@ever_secure | 💪 Обучение | 💳Поддержать
9 · 1.7K · Фотография
Интересно, а как Антропик смогла определить, что их дистилируют? 🤔
https://chat.z.ai/s/ac0ac003-cd4b-4add-866f-4fde9df6e1c7
ЗЫ. От подписчика
99 · 5.5K · Хакерскими группировками был взломан сайт Росстата
В ходе операции были получены доступы к доменным контроллерам центрального аппарата Росстата, региональных подразделений и ГМЦ Росстата. Также были скомпрометированы системы виртуализации и управления инфраструктурой, включая ZVIRT, oVirt и VMware ESXi
Росстат атаку подтвердил, сайт при этом ушел на "плановое техническое обслуживание"
С 29 октября по 1 ноября на информационные ресурсы Росстата были зафиксированы целевые деструктивные кибератаки. Инфраструктура сработала штатно: мониторинговые системы своевременно оповестили о подозрительной активности, что позволило оперативно начать реагирование
По классике Бинго сливов
Компрометации баз данных и утечки охраняемой законом информации не выявлено
Последнее уже добавил в Бинго. Что произошло с информацией не охраняемой законом не указывается
Но судя по скриншотам группировок к этому утверждению есть вопросики.
Ждем детальных новостей и возможной публикации данных, если что добавляем новый пункт "Инфраструктура сработала штатно: мониторинговые системы своевременно оповестили о подозрительной активности" в Бинго )))
Длинный постфото и оформление — в Telegram ↗ 58 · 1.5K ·