Встречайте: Уже полюбившаяся номинация «Пробив инфраструктуры» и ее новый куратор Standoff Hackbase!

Призеров «Пробива инфраструктуры» награждают за выдающиеся достижения в тестировании на проникновение и эксплуатации уязвимостей сетевой инфраструктуры, включая, но не ограничиваясь, сетевыми устройствами, сетевыми сервисами и IoT-устройствами. В фокусе — сложность и оригинальность подходов к обнаружению уязвимостей, приводящих к компрометации сетевой инфраструктуры с незначительным взаимодействием веб-компонентов.

Курирует номинацию в этом году Standoff Hackbase. Это онлайн-полигон для красных с реалистичными копиями систем и ПО из разных отраслей. Полигон позволяет практиковаться в проверке защищенности сервисов и находить уязвимости 24/7. Так можно прокачать скилы и попасть на верхушку рейтинга Standoff. Для начинающих специалистов есть сегмент Bootcamp, чтобы плавно погружаться в ИБ. Для профи — специальные задания повышенной сложности, где точно не заскучаешь. Этим летом на полигоне много апдейтов: новый сезонный рейтинг, обновления инфраструктуры и задания с самыми свежими уязвимостями

Представитель партнеров в составе жюри: Андрей Пугачев, эксперт группы архитектуры киберполигона Standoff. Более 20 лет работает в информационной безопасности и обучает молодых специалистов.

Помимо техники Apple, финалисты номинации «Пробив инфраструктуры» получат подарки от Standoff Hackbase.

🏃‍♂️Бежим подавать работы на сайте — https://award.awillix.ru/

#pentestaward

Zero-day в SharePoint (CVE‑2025‑53770)

18 июля эксперты Eye Security зафиксировали масштабную атаку на on‑prem SharePoint, включающей цепочку из CVE‑2025‑49706 и CVE‑2025‑49704, теперь уже получившей идентификатор CVE‑2025‑53770. Эксплойт позволяет внедрить web‑shell без авторизации.

• Эксплуатация происходит через POST запрос к /_layouts/15/ToolPane.aspx с Referer=/_layouts/SignOut.aspx.
• Сохраняется файл spinstall0.aspx - дампер, извлекающий ValidationKey, позволяя создавать псевдо‑валидные ViewState‑токены с помощью ysoserial и получать RCE.
• Массовое сканирование показало десятки заражённых серверов в первой волне (~18 июля) и второй (~19 июля) .


По данным Eye Security:
• Первая волна: IP 107.191.58.76 (~18 июля, 18:06 UTC)
• Вторая волна: IP 104.238.159.149 (~19 июля, 07:28 UTC)


Комментарий Microsoft:
Обнаружено активное использование уязвимости. Патч пока отсутствует. SharePoint Online не затронут. Рекомендации: подключить Defender + AMSI‑интеграцию, отключить сервер от Интернета до выхода обновления.

Наш комментарий:

Наши аналитики SOC уже столкнулись с попытками эксплуатации данной уязвимости, необходимо принять следующие меры:

1. Изолируйте все on‑prem SharePoint-серверы.
2. Испольлуйзете Defender + AMSI в SharePoint‑окружение и проведите сканирование.
3. Проверьте IIS‑логи на запросы со следующими метриками:
• POST /layouts/15/ToolPane.aspx?DisplayMode
• Referer /layouts/SignOut.aspx
• GET /layouts/15/spinstall0.aspx
4. Сделайте поиск по файлу spinstall0.aspx
5. При обнаружении следов копрометации запустите процесс расследования инцидента.

Источники:

• research.eye.security
• SANS Internet Storm Center
• SecurityWeek

Призы заготовлены, статуэтки подписаны именами победителей, шампанское рвется из бутылки в нетерпении отпраздновать победу пентестеров. До вручения Pentest award осталось меньше 48 часов.

Уже завтра встречаемся на церемонии награждения, отмечаем, обсуждаем лучших хакеров и их кейсы, презентуем рейтинги 😏

Подглядеть можно в трансляции → https://www.youtube.com/watch?v=k1u8mE3dQIY

Друзья, мы знаем, что вы ждали обещанную трансляцию. К сожалению проверенный подрядчик нас подвел. 🥲

Но запись есть! Мы выложим ее в полном объеме на всех площадках, как только закончим здесь)))