🗂 Форензика реестра Windows без легаси и боли

RegRippy — современный инструмент для извлечения и анализа данных из реестра Windows. Это альтернатива RegRipper, переписанная на Python 3 и ориентированная на DFIR, incident response и реверс.

Инструмент работает с офлайн-ульями реестра и позволяет быстро вытаскивать форензически значимые артефакты — без запуска Windows и без GUI.

Как устроен:

🔵 Фреймворк + плагины
RegRippy — это не «один скрипт», а основа для быстрого написания собственных плагинов под нужные артефакты.

🔵 Прямой доступ к hive-файлам
Использует python-registry от William Ballenthin для работы с сырым реестром.

🔵 Минимум абстракций
Инструмент старается не мешать аналитику и сразу отдаёт пригодные данные.

🔤 Что умеет:

— Извлекать системные и пользовательские артефакты
— Работать со всеми user hives
— Поддерживать человекочитаемый вывод
— Отдавать данные в Bodyfile для mactime и таймлайнов
— Легко расширяться своими плагинами
— Интегрироваться в DFIR-пайплайны

🔤 Примеры

Имя компьютера:

regrip.py --root /mnt/evidence/C compname

URL, введённые в IE (для всех пользователей):

regrip.py --root /mnt/evidence/C --all-user-hives typedurls

🔤 Установка

pip install regrippy

Плагины доступны как отдельные команды:

reg_compname -r /mnt/c/

Кому подойдёт:

— DFIR и Incident Response
— Blue Team / SOC
— Реверс-инженерам
— Аналитикам, работающим с офлайн-дисками Windows

🔗 GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🚨 Supply Chain: APT подменяли обновления Notepad++

С июня по декабрь 2025 злоумышленники (state-sponsored, предположительно Китай) получили контроль над частью инфраструктуры Notepad++ и выдавали малварь под видом легитимных обновлений.

🔴 Как выглядела атака:

• Компрометация shared-хостинга
• Таргетированный MitM — не всем, а выбранным жертвам
• Редирект update-трафика на attacker-controlled сервера
• Абьюз слабой проверки апдейтов в старых версиях клиента

Фактически — классическая supply chain, без шума и массовки.

🔴 Что закрыли после инцидента:

• Переезд на новый хостинг
• Апдейтер WinGup теперь:
• проверяет TLS-сертификат
• валидирует подпись инсталлера
• XML апдейтов подписывается (XMLDSig)
• Принудительная верификация начиная с v8.9.2

🔤 Самое неприятное:

IR-команда прогнала ~400 GB логов —
IoC не обнаружены:
❌ нет хешей
❌ нет доменов
❌ нет IP

Хостинг-провайдер тоже ничего не дал. Чистый blind spot.

🔗 Rapid7 опубликовали собственное расследование с конкретными IoC — ссылка в конце статьи

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

😛 SVG-фильтры — новый класс атак

SVG-фильтры превращаются в среду выполнения логики, позволяя:

→ Читать пиксели из cross-origin iframe
→ Проводить многошаговый кликджекинг
→ Создавать поддельные формы
→ Эксфильтровать данные через QR

Без JavaScript. С обходом CSP и Same-Origin Policy.

📌 В статье — реальная атака на Google Docs с выплатой по bug bounty.

Must read для веб-пентестеров, разработчиков WAF и специалистов по threat modeling.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

⭐️ Шпаргалка: навигатор OSINT-инструментов

OSINT Framework — это удобная карта по миру OSINT, которая помогает быстро ориентироваться в десятках сервисов и инструментов для разведки по открытым источникам.

Что внутри:

• Инструменты, разложенные по категориям и типам данных
• Быстрый выход на нужные ресурсы без долгого поиска
• Подходит для ресёрча, threat intelligence и первичного recon

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🔥 Топ-вакансий недели для хакеров

Аналитик SOC (L1, L2) / Специалист по ИБ — от 150 000 ₽, удаленно (Москва)

Архитектор ИБ — от 180 000 до 300 000 ₽, офис/гибрид (Москва)

Стажер в оптимизацию процессов — офис (Москва)

➡️ Больше офферов в канале: @hackdevjob

🐸 Библиотека хакера

📌 IP-адреса за 6 минут

Краткое видео о том, как работают IP-адреса и зачем их понимать в практике. Без углубления в теорию — только базовые принципы, которые реально используются при диагностике сетевых проблем, анализе трафика и разборе инцидентов.

Подходит для тех, кто хочет быстро освежить основы или закрыть пробелы без многочасовых лекций.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

🐸 Библиотека хакера

#hack_humor

🦾 Автоматизация Command Injection

Commix — инструмент для быстрого поиска и эксплуатации OS Command Injection в веб-приложениях.

commix --url="http://target/form" \
       --data="username=admin&password=123»

Что делает:

— Проверяет GET / POST / cookies / headers
— Подбирает payload’ы под Linux и Windows
— Подтверждает реальное выполнение команд

Когда использовать:

— legacy-проекты и самописные формы
— подозрительные параметры без явной валидации
— быстрый triage в bug bounty

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🔥 Физический пентест: реальный кейс на высоте

Физическая безопасность — самый недооценённый слой защиты. Камеры есть, пропуска есть, регламенты написаны. Но всё это перестаёт работать, когда проверка выходит за рамки чек-листов.

🔗 В этом видео — реальный кейс физического пентеста без теории и «лабораторных условий».

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

🔥 ShinyHunters слили данные Harvard и UPenn: 2+ млн записей

Группировка ShinyHunters опубликовала вчера на leak-сайте базы данных двух престижных американских университетов — Гарварда и Университета Пенсильвании, заявив о краже более миллиона записей от каждого.

Что известно:

— Взлом произошёл ещё в ноябре 2025 через социальную инженерию
— Скомпрометированы системы, связанные с развитием и работой с выпускниками
— При атаке на UPenn хакеры использовали официальные университетские адреса для рассылки писем выпускникам
— Harvard подтвердил взлом, обвинив в нём voice phishing атаку

🔜 ShinyHunters — не новички. Это одна из самых активных группировок по торговле утёкшими данными. Обычно их цель — вымогательство через публикацию данных на leak-сайтах.

Другие инциденты недели:

🔴 Обнаружена критическая уязвимость CVE-2026-25049 в платформе n8n (CVSS: 9.4), позволяющая выполнять системные команды

🔴 Китайская группировка Lotus Blossom скомпрометировала инфраструктуру хостинга Notepad++, распространяя бэкдор Chrysalis

🔴 Активная кампания по перехвату веб-трафика через взлом NGINX и панели управления Baota

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

🔥 База знаний для пентестера

Инструменты, гайды и практические ресурсы разложены по темам: разведка, веб-атаки, сети, облака, OSINT, reverse, эскалация привилегий.

🔗 Ссылка на GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

🔥 OWASP Top 10 для LLM

🔵 Prompt Injection — манипуляция инструкциями через пользовательский ввод

Итог: утечки, выполнение нежелательных действий

Эксплуатация: ignore previous instructions, скрытые инструкции в HTML

Фикс: фильтры, минимальные права, human-in-the-loop

🔵 Sensitive Data Disclosure — модель палит PII, финансы, внутренние данные

Итог: GDPR, утечки, репутационный ущерб

Фикс: очистка датасетов, output-фильтрация, no secrets in prompts

🔵 Supply Chain — компрометированные плагины, модели, датасеты

Итог: RCE, полный захват

Фикс: SBOM, CVE-сканинг, хэши, sandbox

🔵 Data / Model Poisoning — отравление данных → бэкдоры и обходы

Итог: модель «разрешает» вредоносное

Фикс: trusted data, аномалии, версионирование

🔵 Improper Output Handling — вывод LLM без валидации

Итог: XSS, CSRF, SSRF

Фикс: treat output as untrusted, экранирование

🔵 Excessive Agency — AI-агенту дали слишком много прав

Итог: финпотери, удаление данных, саботаж

Фикс: least privilege, подтверждение критических действий

🔵 System Prompt Leakage — утечка системных инструкций и секретов

Итог: обход защит, ключи в руках атакера

Фикс: no secrets in prompt, secure vaults, фильтры

🔵 Vector / RAG Attacks — подмена контента во векторных БД

Итог: фишинг, дезинформация

Фикс: trusted docs only, проверка retrieved data

🔵 Misinformation — галлюцинации с уверенным тоном

Итог: ложные решения, фейковые данные

Фикс: источники, fact-checking, low temperature

🔵 Unbounded Consumption — злоупотребление ресурсами LLM

Итог: DoW / DoS, счета на тысячи $

Фикс: rate-limit, quota, лимиты токенов

🔗 Основано на OWASP Top 10 for LLM Applications

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🧐🧐

🐸 Библиотека хакера

#hack_humor

🗂 Подборка deception-инструментов для Blue Team и SOC

Deception — это не «ловушки ради ловушек», а ранний детект атак и наблюдение за действиями злоумышленника в изолированной среде.

🔵 Attivo Networks ThreatDefend — платформа для развертывания фейковых активов (AD, endpoints, credentials), автоматического реагирования и интеграции с SIEM/XDR.

🔵 Illusive Networks Platform — безагентный deception, динамически подстраивающий приманки под изменения инфраструктуры, с акцентом на AD-атаки.

🔵 CounterCraft Cyber Deception — активное вовлечение атакующего (ActiveLures), сбор телеметрии и интеграция с SOC-стеком.

🔵 Fidelis Cybersecurity Deception — автоматизированные ловушки для IT/OT/IoT, включая фейковых пользователей и сервисы.

🔵 TrapX DeceptionGrid — масштабируемые FullOS-ловушки, токены и защита контейнерных сред, используется для снижения dwell time.

Если цель — раннее обнаружение lateral movement и атак на AD, deception-платформы дают сигнал раньше, чем классический SIEM.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_vs_tool

👁 Почему умные дома ломаются так легко

Умный дом — это набор устройств, приложения и облака, где безопасность часто приносится в жертву скорости и цене.

В статье разобрано, какие типовые ошибки к этому приводят: открытые бэкенды, слабая авторизация, API-ключи в приложениях и устройства с дефолтными паролями и небезопасными прошивками.

На реальных кейсах — CloudPets, Mirai и исследованиях Kaspersky — показано, как через IoT получают контроль над чужими устройствами и используют их как точку входа в сеть.

🔗 Читать статью

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown

🚨 EDR выключили легальным драйвером

Атака начиналась не с вируса, а с обычного входа через SSL VPN (скомпрометированные учётки, SonicWall).
После разведки внутри сети злоумышленники загрузили легально подписанный драйвер из старого криминалистического ПО EnCase (2009–2010).

🔴 Почему это сработало:

• драйвер подписан и доверяется Windows;

• отзыв сертификата не проверяется на раннем этапе загрузки;

• pre-2015 драйверы проходят по правилам совместимости;

• результат — полный контроль на уровне ядра.

❓ Что делал драйвер:

• завершал процессы 59 защитных продуктов;

• EDR/AV не могли перезапуститься — их убивали каждую секунду;

• система оставалась «слепой» перед запуском ransomware.

Атаку остановили не антивирусы, а корреляция логов: VPN → внутренняя активность → аномалии → изоляция хостов.

🔗 Источник

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown