Social Engineering – Telegram
Social Engineering
126K subscribers
895 photos
3 videos
9 files
2.1K links
Делаем уникальные знания доступными.

Вакансии - @infosec_work

Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot

Сотрудничество — @SEAdm1n

РКН: https://vk.cc/cN3VwI
Download Telegram
📶 Кроссплатформенная альтернатива AirDrop с открытым исходным кодом.

Представьте, что вам нужно быстро перебросить файлы (фильмы, софт, игры, рабочие файлы) с компьютера на телефоны и планшеты. Хранилище телефона можно использовать как резервный внешний диск или как «беспроводную» флешку, которая работает по Wi-Fi. Да, вы можете это сделать через различные веб-сервисы или отправить себе в телегу, но этот процесс можно ускорить и избавиться от подключения к интернету. То есть файлы будут передаваться напрямую между устройствами, как Apple AirDrop, только лучше.

LocalSend - эта тулза создана как раз для этого: передачи файлов и сообщений между устройствами в локальной сети без использования интернета. Есть версии под Windows, macOS, Linux, Android (Play Store, F-Droid, APK) и iOS. Большой набор поддерживаемых платформ и способов распространения — одно из главных преимуществ программы. То есть тулза поддерживает прямую передачу файлов даже между смартфонами iPhone и Android, на что не способен стандартный AirDrop.

Что касается безопасности, то вся коммуникация осуществляется по проприетарному протоколу LocalSend Protocol v2.1 через REST API, все данные передаются по HTTPS, для каждого устройства на лету генерируется сертификат TLS/SSL.

Кроме отдельных файлов, поддерживается отправка целиком папки, текста или содержимого буфера обмена. Скорость передачи ограничена максимальной скоростью сетевых интерфейсов в локальной сети на маршруте передачи (сетевая карта ПК — маршрутизатор — смартфон), а также дополнительными настройками. Есть опция рассылки на несколько устройств в локальной сети (смартфоны, планшеты, ноутбуки), что очень удобно, если у вас большая семья, а вы хотите быстро поделиться файлами со всеми.

https://github.com/localsend/localsend

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
🔑 Как я поймал сетевика на передаче пароля в SSH и чем это закончилось.

Есть старое правило: если можно сделать быстро и удобно, кто‑то обязательно сделает это в ущерб безопасности. В инфраструктурных командах это особенно заметно. Сетевики часто решают задачи «с лёту», и это прекрасно. Пока речь не заходит про пароли. Один из таких случаев стал для автора данного материала хорошим уроком...

В этой статье описана ситуация, когда сотрудники сопровождения передавали пароль по SSH. В открытом виде.

• Почему это проблема:
Передача пароля в аргументах — это классический антипаттерн.
Аргументы команд видны в ps, /proc/[PID]/cmdline, Task Manager.
Они могут попасть в логи CI/CD.
Мониторинг и аудит тоже их подхватят.
Многие утилиты (sshpass, plink, WinSCP CLI, rsync, mysql, curl, mRemoteNG) позволяют так передавать пароль — и это соблазн для быстрого «костыля».

В итоге получить пароль можно даже не трогая сам SSH, что может привести к утечке. Подробности по ссылке ниже:

Читать статью [3 min].

P.S. Рекомендую обратить внимание на комментарии, там можно найти полезные советы и рекомендации.

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
🎄 С Новым Годом.

• Друзья, пусть Новый Год будет лучше, чем уходящий 2025! Пожелаю вам самого главного — мирного неба над головой. Всегда оставайтесь благоразумными и берегите своих близких. Уделяйте время родным и не забывайте о друзьях. Встретимся в Новом Году

2026 🥂 S.E.
Please open Telegram to view this post
VIEW IN TELEGRAM
This media is not supported in your browser
VIEW IN TELEGRAM
12
🎬 Что будем смотреть на новогодних праздниках?

• На протяжении всей жизни этого канала у нас сложилась хорошая традиция: я делюсь с вами списком фильмов и сериалов, которые смотрел в течении года. Вероятно, что вы найдете для себя что-то интересное и полезное для просмотра в эти новогодние праздники... Приятного просмотра и хороших выходных:

• Тематика канала (ИБ, СИ, Профайлинг и т.д.):

Кто я / Who am I.
Сноуден || Snowden.
Хакеры (1995).

Mr.Robot.
Настоящий детектив.
Охотники за разумом.
Обмани меня.
Шерлок.
Острые козырьки.
Менталист.
Черное зеркало.
Лучше звоните Солу.

MENTAL.
Несколько документальных фильмов о хакерах.
Подборка фильмов, которые должен посмотреть каждый хакер.

Не относятся к тематике канала, но рекомендую к просмотру:

Сопрано.
Аркейн.
Йеллоустоун.
Мышь.
Ход королевы.
Медленные лошади.
Тьма.
Fallout.
Фарго.
Озарк.
Укрытие.

P.S. Список не претендует на полноту.

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
22
📶 Разработка TCP.

Винтон Сёрф – человек, которого именуют «отцом Интернета». А ещё учёный, изобретатель, программист, руководитель и переговорщик, любитель классической музыки и бывший виолончелист. За 82 года своей жизни Сёрф успел приложить руку к коммерциализации мировой сети, проектированию Межпланетного Интернета, руководил развитием коммерческой электронной почты, а еще принял участие в разработке протоколов TCP/IP, сделавших возможным современный Интернет. Как раз о TCP сегодня и поговорим...

Начнем с того, что Винтон присоединился к IBM в 1965 году в качестве системного инженера. Он работал над системой распределения времени Quiktran для IBM 7044. Если в двух словах, то эта программа позволяла тестировать или запускать одновременно до 40 разных программ на одном компьютере. Сёрф был участником проекта на протяжении двух лет, когда понял, что знаний о вычислительной технике, полученных во время бакалавриата, ему недостаточно.

Итак, Сёрф уезжает в Калифорнийский университет, где ранее получил степень магистра, доктора наук и занимался исследованием возможностей сети ARPANET. В марте 1973 года с Сёрфом связался Роберт Кан, недавно перешедший в DAPRA, и предложил поработать вместе. Инженеры уже были знакомы: в аспирантуре они вместе моделировали ПО для компьютеров, связанных сетью ARPANET.

Полгода молодые учёные занимались разработкой TPC – протокола управления передачей, который должен был решить проблему направления сообщений в разные сети. До этого момента ARPANET объединяла стационарные компьютеры, но будущее диктовало свои условия – к сети должны быть подключены устройства, размещённые и в транспорте (на кораблях, самолётах и др.) Проект стандарта был опубликован в конце 1973-го, а первый запуск состоялся два года спустя.

Цель работы Кана и Сёрфа заключалась в том, чтобы унифицировать протоколы и программное обеспечение. Любой компьютер должен был стать частью большой сети, не имеющей центрального контроля.

Технология TCP позволила отправлять большие потоки данных, разбивая их на сегменты, которые впоследствии «соберутся» в единый файл на устройстве получателя. Защитой от потери сегментов является механизм подтверждения получения данных – приняв информацию, получатель реагирует на неё подтверждением, и, если оно спустя время не пришло, сегмент отправляется повторно.

С момента публикации проекта прошло десять лет – и 1 января 1983 года Интернет был запущен в том виде, в котором мы знаем его сегодня. Несмотря на это, быстрый органический рост сети начался лишь шесть лет спустя, когда Интернет перестал быть исключительно академическим и военным и вошёл в коммерческую нишу.

Кстати, выражение «сёрфить интернет» по забавному совпадению созвучно с фамилией «отца Интернета» Винтона Сёрфа. Однако, произошло оно от английского слова «surf», тогда как фамилия учёного пишется «Cerf».

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
👩‍💻 Linux Master.

Нашел очень содержательный и актуальный Mindmap по командам Linux. Всё необходимое на одной схеме и всегда у вас под рукой:

Пользовательские;
Админские;
Встроенные в bash;
Команды-фильтры;
Мониторинг;
И многое другое...

Скачать можно по ссылке ниже:

https://xmind.app/m/WwtB

P.S. Не забывайте про нашу подборку бесплатного материала для изучения Linux, которая будет полезна не только новичкам, но и опытным специалистам!

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
🫠 Шутка, которая зашла слишком далеко...

6 февраля 2012 года в одном из университетов Англии шла лекция по аэрокосмической динамике, и, надо признать, довольно скучная. В какой-то момент лектор заявил, что при подготовке курсовой, которую необходимо показать через месяц, «не нужно использовать Википедию в качестве источника информации». Чтобы подкрепить свою мысль, лектор добавил, что его друг, некий Мэдди Кеннеди, указал себя изобретателем тостера. И никто, мол, не стер эту информацию ни через неделю, ни через месяц.

Студенты решили проверить, говорит ли лектор правду. Залезли в Википедию и с удивлением заметили, что Мэдди Кеннеди действительно значится в изобретателях тостера. Ребята от души посмеялись над этим фактом, и один из них заявил: «А давайте напишем, что один из нас изобрел тостер? Вон, укажем Алана, и посмотрим, удалят ли эту информацию или нет!», что они и сделали...

«Я просто изменил текст так, чтобы там было написано, что мой друг, сидевший рядом со мной, Алан Макмастерс, на самом деле изобрел тостер в Эдинбурге в 1893 году. Конечно, мы понятия не имели, кто изобрел тостер», — говорит Алекс, который и внес изменения в статью.

Однако год спустя та же группа студентов уже второго курса сидела в пабе. Алекс вспомнил про изобретателя тостера и залез в Википедию, ожидая, что информацию об Алане Макмастерсе к тому времени уже удалили. Но нет, все было на месте. Более того, Google активно выдавал статьи таблоидов, в которых упоминался таинственный шотландец, открывший тостер в 1893 году. Ссылались статьи, разумеется, на оригинальную статью, отредактированную Алексом.

Слегка навеселе молодые люди решили зайти еще дальше и создать отдельную статью про Алана Макмастерса. Для этого придумали биографию с нуля. Оставалась вишенка на торте — фотография. Алекс решил не заморачиваться: взял свое фото и «поколдовал» в редакторе. Просто сделал ее черно-белой, и обрезал по шею — чтобы не надо было что-то делать с современной одеждой, не соответствующей XIX веку.

По итогу, информация вызвала настоящий ажиотаж в СМИ и социальных сетях. Вот несколько интересных фактов о том, как развивалась ситуация вокруг этой статьи:

На сайте Правительства Шотландии больше 10 лет провисело сообщение, что «электрический тостер является примером изобретательского духа нации».
Банк Англии предложил выбрать историческую личность для изображения на следующей купюре в 50 фунтов стерлингов. Алан Макмастерс вместе с 988 другими претендентами был также предложен в качестве кандидата.

Удивительно, что сам автор мистификации Алекс узнал про столь невероятный путь Макмастерса, взяв в 2022 году книгу в сети Waterstones про изобретения викторианской эпохи. И наткнулся там на ту самую шутку спустя 10 лет.

Однако историю разоблачили в 2022 году, когда 15-летний школьник из США по имени Адам сидел на уроке истории и пролистывал Википедию. В какой-то момент речь зашла о Шотландии и технике, и между делом учитель упомянул Алана Макмастерса.

Что сделал скучающий школьник? Ну конечно же, полез смотреть. И обомлел, когда увидел фотографию на странице. Она явно не выглядела, как фотокарточка XIX века. Вернувшись домой, он опубликовал ссылку на статью на Reddit и рассказал о своих подозрениях.

Результатом стал всплеск активности и небольшое расследование самих пользователей, в ходе которого быстро выяснилось: Алана Макмастерса никогда не существовало. Например, вот здесь в июле 2022 года пользователи Википедии обмениваются мнениями по поводу мистификации.

Дальше информация про Макмастерса начала незаметно удаляться. Но никому и в голову не пришла мысль выйти и сказать: «Ребята, мы — идиоты и вообще не проверяем информацию». Никто не признал свою ошибку. Да и зачем, правда?

Но важнее другой вопрос: как получилось, что так много людей поверили в мистификацию, опираясь на данные из свободно редактируемого ресурса? Эта история — напоминание о том, как легко можно довериться даже самому уважаемому источнику, если не включать критическое мышление и не проверять информацию...

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
8
📦 Hermit.

Нашел очень интересный проект на GitHub, благодаря которому мы можем запустить программу в изолированном и полностью воспроизводимом окружении.

Например, даже если программа использует /dev/urandom, то будучи запущенной в hermit, программа будет забирать эти данные из псевдослучайного генератора, который, если потребуется, будет отдавать одни и те же данные при воспроизведении работы контейнера с программой.

Тулза окажется полезной как при работе над багами в программах, так и, например, при наблюдении за работой подозрительного софта, исполнение которого, будучи запущенным в Hermit, полностью контролируется нами.

https://github.com/experimental/hermit

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
1
🫠 Шутки, которые зашли слишком далеко... Часть 2.

8 января я опубликовал статью, где рассказывал о студенте, который изменили информацию на сайте Wikipedia и указал себя изобретателем тостера. Эта информация продержалась более 10 лет на сайте и вызвала настоящий ажиотаж в СМИ. Чтобы вы понимали, шутка зашла настолько далеко, что даже банк Англии предложил выбрать эту несуществующую и историческую личность для изображения на купюре в 50 фунтов стерлингов! Если не читали, то обязательно ознакомьтесь.

Так вот, дело в том, что любители розыгрышей создали в Википедии огромное количество статей-мистификаций, описывающих несуществующих людей или события. Самая старая «шутка» продержалась около 11 лет. Всего в английском сегменте ресурса найдено более 300 мистификации, просуществовавшие более одного года. На Вики даже есть отдельная страница, в которой перечислены все случаи в англ. сегменте. Что касается СНГ, то такой страницы я не нашел (может плохо искал, а может её не существует). Вот краткое описание некоторых шуточных статей:

В 1960-е годы в Великобритании была группа, участники которой лаяли во время исполнения музыкальных композиций. Возможно, именно поэтому статья о The Doggs продержалась девять лет и восемь месяцев. Статью удалили как «Откровенную мистификацию», хотя в сети можно найти одну песню исполнителей того времени The Doggs — Billy's gotta run. В ней они не лаяли.


Джон Робишо родился в 1866 году в городе Тибодо, Новый Орлеан, и умер в 1939 году в Луизиане. Он был американским музыкантом, ударником и скрипачом, а также лидером собственного джаз-бэнда. А Джек Робишо — это герой поддельной статьи в Википедии, вымышленный серийный убийца из того же штата. Статью о нём создали 31 июля 2005 года, и продержалась она до 3 сентября 2015 года — десять лет и один месяц.


Гильермо Гарсия (Guillermo Garcia) был влиятельным нефтяным магнатом в XVIII веке, жившим в Южной Америке. Но вымышленным. Статья о нём просуществовала с 17 ноября 2005 года по 19 сентября 2015 года — девять лет и десять месяцев. Редакторы Википедии не нашли ни единого достоверного источника, который бы подтверждал существование этого персонажа.


«Божество австралийских аборигенов» Jar'Edo Wens — ещё один, на этот раз дважды вымышленный персонаж, которому была посвящена статья в Википедии, сделанная 29 мая 2005 года. Более того, она была переведена для французского раздела Википедии. Божество получило видоизменённый вариант имени Джаред Оуэнс (Jared Owens). До удаления Джека Робишо и Гильермо Гарсии Jar'Edo Wens удерживал первое место среди самых старых поддельных статей — девять лет и девять месяцев.


Pikes on Cliffs — это вымышленное место, домик на побережье с кузницей и колодцем. Моряк XVI века Уильям Симмс доплыл до берега после смертельного приговора, вынесенного сэром Фрэнсисом Дрейком. Этот дом никто не видел, и фактов существования того самого моряка не найдено. Статью удалили через девять лет и восемь с половиной месяцев после создания.


Грегори Нэмофф (Gregory Namoff) родился 26 февраля 1924 года в Грейт-Нек, Нью-Йорк, и умер 12 октября 2002 года в Бока-Рато, Флорида. Он был «международно известным» инвестиционным банкиром. В 1974 году он стал участником Уотергейтского скандала, но не был признан виновным. В начале 1980-х он переключил внимание на компьютеры, инвестировал в Apple Computer и Microsoft, и продал свою компанию GN Limited. В 1998 году он баллотировался в Сенат США против Боба Грэма, но его соперник провёл кампанию, связав Нэммоффа с Никсоном и Уотергейтом. В 2002 году Нэмофф умер из-за красной волчанки. Этого человека никогда не было.


Всего более 300 мистификаций провисели в Википедии больше года. Среди них статьи о профессорах из Университета в Беркли, об анимационных шоу, музыкальных группах, поэтах, заметка в статье о Лорде Байроне о его питомцах — крокодиле и барсуке. Эти истории — напоминание о том, как легко можно довериться даже самому уважаемому источнику, если не включать критическое мышление и не проверять информацию...

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
14
👾 CVE&VM.

Нашел очень объемную и актуальную подборку полезных ресурсов на тему управления уязвимостями. Все ресурсы аккуратно отсортированы по разделам, включая всевозможные агрегаторы трендовых и обсуждаемых уязвимостей, базы данных, реестры и бюллетени. Добавляйте в закладки:

https://start.me/p/n74opD/cve-vm-by-alexredsec

• В качестве дополнения: подборка ресурсов, которые содержат всю необходимую информацию о трендовых уязвимостях.

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
6
😈 phishing.

У bleepingcomputer есть статья, в которой описана интересная фишинговая кампания. В схеме используется символ Unicode «ん» (японский символ хираганы ん (Unicode U+3093). При беглом взгляде на некоторые шрифты символ очень похож на последовательность латинских букв «/n» или «/~». Это визуальное сходство позволяет мошенникам создавать URL-адреса, которые выглядят как реальные, но перенаправляют пользователей на вредоносный сайт.

По ссылке ниже можно найти пример фишингового письма: адрес в письме выглядит как «admin[.]booking[.]com...», но гиперссылка ведёт на «account.booking.comdetailrestric-access.www-account-booking[.]com/en/». На самом деле зарегистрированный домен — «www-account-booking[.]com».

Если рассматривать именно эту кампанию, то после перехода по ссылке на ПК загружается MSI-файл. Если установить данный файл, то система будет заражена различным вредоносным ПО (троянами, майнерами и т.д.).

https://www.bleepingcomputer.com/bookingcom-phishing

Схема классическая (с подменой символов), но это хороший повод напомнить, что сомнительные ссылки всегда нужно проверять и анализировать. Даже ИБ специалисты совершают ошибки и переходят на фишинговые ресурсы, не говоря уже людях, которые совершенно не знают основ информационной безопасности. Так что используйте специальные сервисы для проверки ссылок, будьте внимательны и не дайте себя обмануть.

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
Студенческий чемпионат «Кибербезопасность в финансах» от Банка России возвращается.

Пройди онлайн-отбор в формате CTF и попади на очный этап, где тебя ждет захватывающая битва на киберполигоне и презентация итогов перед жюри.

➡️ Регистрация открыта до 16 января

Призовой фонд — 1 500 000 рублей. Приглашаем команды из 4–5 человек, минимум двое — студенты ИБ-направлений. 

Как всё пройдёт? 
1️⃣ 16–29 января — отборочный этап на платформе Codenrock. Участников ждут CTF-задачи — 25 команд, справившихся с ними лучше остальных, представят решения в онлайн-формате перед жюри, которое по итогам защит определит 10 финалистов.

2️⃣ 2–14 февраля — подготовка к финалу. Практикующие ИБ-специалисты помогут разобраться в формате киберполигонов и подскажут, как уверенно выступить на защите проекта.

3️⃣ 16–20 февраля — финал в Екатеринбурге в рамках Уральского форума «Кибербезопасность в финансах». Команды сразятся на киберполигоне и представят своё решение экспертам, а жюри выберет победителей.


Финалисты чемпионата получат неограниченный доступ ко всей программе форума и уникальную возможность попасть на стажировку в ведущие компании России.

➡️ Регистрируйся: https://cnrlink.com/cyberchamp2026social
Please open Telegram to view this post
VIEW IN TELEGRAM
👩‍💻 Права и пользователи в Linux.

Нашел отличный и бесплатный курс на платформе Stepik по изучению Linux. Курс призван простым языком объяснить, как устроена система прав и пользователей в Linux, какие задачи она решает и почему без неё нельзя представить полноценную работу с серверными или локальными системами. На данный момент есть 15 уроков, 125 тестов и 1 интерактивная задача.

• Вот небольшое описание того, чему вы научитесь:

Узнаете принципы управления правами в Linux: как устроена модель owner/group/others, что означают флаги r, w, x и почему важно правильно настроить доступ.
Разберётесь, как использовать команды chmod, chown, chgrp и umask для гибкого управления правами на файлы и директории.
Познакомитесь с расширенными механизмами прав — SUID, SGID, Sticky bit — и научитесь применять ACL для тонкой настройки доступа.
Поймёте, как эффективно управлять пользователями и группами, настраивать их параметры и контролировать доступ при помощи sudo и root.
Узнаете, как строить безопасную архитектуру прав, избегать типичных ошибок и автоматизировать рутинные операции с помощью скриптов и best practices.

https://stepik.org/course/229493

P.S. Не забывайте про нашу подборку бесплатного материала для изучения Linux, которая будет полезна не только новичкам, но и опытным специалистам!

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
52
🔐 CyberSec Research.

Вы ведь знаете, что сервис arXiv.org содержит в себе тонну научных статей на всевозможные темы? Там можно найти очень много полезной информации по различным направлениям, включая ИБ.

Однако система фильтров не совсем продумана и не очень удобна. Поэтому энтузиасты запилили отдельный сервис, где можно найти любую статью с уклоном в ИБ. Сервис называется CyberSec Research (название говорит само за себя) и он позволяет быстро находить материал с arXiv.org по нужной теме. Переходим, выбираем нужный фильтр, читаем и обучаемся:

https://research.pwnedby.me/

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
DevOps-инженер — следующий шаг в вашей IT-карьере

Профессия подходит разработчикам, тестировщикам и сисадминам. Спрос на DevOps-инженеров растёт и сегодня значительно превышает предложение.

На курсе Нетологии «DevOps-инженер с нуля» вы будете перенимать опыт у экспертов из Яндекса, VK, Газпромбанка, Alibaba Group и других компаний. В результате научитесь:

- разворачивать кластер Kubernetes;
- работать с Docker, Docker Compose и CI/CD-процессами;
- настраивать системы мониторинга и логирования.

Новое в программе: работа с панелью управления ispmanager. Вы получите доступ к системе на 3 месяца, ещё один проект в портфолио и приоритет при отборе на вакансии партнёра.

В финале обучения подготовите дипломный проект в Yandex Cloud и сможете применить все навыки на практике.

Сейчас на курс действует скидка 40%

Записаться

Реклама. ООО “Нетология” ОГРН 1207700135884 Erid: 2VSb5wC5QfT
⚙️ Whatmade.

Нашел интересный проект на GitHub, который называется whatmade. Суть в том, что с помощью этого решения мы можем понять, каким процессом создан тот или иной файл в отслеживаемых директориях Linux.

Исходный код whatmade написан на C++ и опубликован на GitHub под лицензией GNU General Public License v3.0. Предполагается, что такой проект поможет пользователям в дальнейшем определить происхождение файлов со странными названиями.

Пользователям среды рабочего стола MATE предоставляется расширение для файлового менеджера Caja, выводящее информацию о процессе, создавшем указанный файл.

https://github.com/ANGulchenko/whatmade

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
📚 Справочник исследователя уязвимостей 2024.

• Один из участников форума XSS.IS (ex DaMaGeLaB) опубликовал перевод "справочника исследователя уязвимостей" на русский язык. Плюс ко всему, в справочник добавили полезные ссылки и исправили опечатки, которые есть в оригинальной версии.

• Материал состоит из 3-х частей и включает в себя 225 страниц информации и полезных ссылочек:

- Основы исследования уязвимостей;
- Раскрытие информации об уязвимостях, её публикация и составление отчетов;
- Изучение конкретных примеров, ресурсы исследователя и ресурсы вендоров.

☁️ Руководство можно скачать бесплатно в нашем облаке.

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
👁 Простой сервер видеоконференций.

Ранее делился ссылкой на полезный материал, где описана пошаговая реализация собственного XMPP сервера, который подходит для безопасной коммуникации текстовыми сообщениями и звонков. В новой статье автор поделился информацией по настройке Galene — простого сервера для видеоконференций. Всё что вам потребуется - VPS сервер и 10 минут времени! Дерзайте:

Читать статью [5 min].

S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
🌊 Подводная война...

В начале 1970-х годов правительство США получило сообщение о том, что в Охотском море СССР проложили подводный кабель связи, связав советскую военно-морскую базу в Петропавловске-Камчатском со штабом в г. Владивосток. В то время СССР считал Охотское море своим внутренним морем, из-за чего иностранные суда не имели права плавать в нем. К тому же, военно-морской флот СССР установил сеть сонаров вдоль границы моря, чтобы не дать иностранным подводным лодкам возможности проникнуть незамеченными в территориальные воды СССР.

Несмотря на эти препятствия, в октябре 1971 года правительством США было принято решение о проведении тайной разведывательной операции. Удачное проведение операции обещало получение очень важной информации об обороноспособности СССР. Для выполнения этой задачи в Охотское море была направлена специальная подводная лодка USS Halibut (SSGN-587) во главе с капитаном Джеймсом Брэдли. Поиск кабеля проводился на площади более 600 000 км², но несмотря на это американским аквалангистам удалось найти советский кабель — он лежал на глубине около 120 метров.

Над кабелем было установлено специальное устройство — «кокон» (на фото), который предоставил возможность перехватывать сообщения и переговоры по кабелю без физического вмешательства в оболочку. Устройство было сконструировано таким образом, что оно должно было автоматически отделиться от кабеля, если бы советские специалисты начали поднимать его с морского дна, например, для проведения ремонта.

• Ежемесячно американские военные забирали пленки с записями телефонных переговоров советских моряков и устанавливали новые. Они передавались в АНБ США, где обрабатывались и передавалась другим правительственным агентствам. Прослушивание первых пленок показало, что советские моряки были так уверены в том, что никто не мог подслушать их телефонные разговоры, что сам телефонный сигнал передавался в незакодированном виде. Содержание разговоров советских высокопоставленных моряков оказалось очень важным для понимания смысла действий военно-морского флота СССР в регионе.

Впоследствии удалось установить усовершенствованное разведывательное оборудование на линиях связи СССР в других уголках мира, например, в Баренцевом море. Оборудование было изготовлено американской компанией AT&T. В нем использовалась ядерное энергетическое оборудование, позволяющее автономно работать в течение года.

Операция продолжалась до 1981 года, пока не стало известно о том, что в районе расположения разведывательного устройства появились советские корабли. США сразу отправили подводную лодку USS Parche с заданием забрать устройство, но американцам не удалось его найти.

Человеком, который погубил эту тайную операцию, был Рональд Уильям Пелтон, 44-летний ветеран АНБ США, хорошо владевший русским языком и был отличным специалистом в области связи. Пелтон был азартным человеком и проиграл значительные средства в игровые автоматы, его долг составлял 65 000 долларов США. К тому же он был недоволен своим статусом в АНБ США, получая вознаграждение в 2000 долларов в месяц. В январе 1980-го Пелтон обратился в посольство СССР в Вашингтоне и предложил свои профессиональные знания в обмен на деньги от КГБ. От представителей КГБ Пелтон получил 35000 долларов США. В обмен он передавал все, что знал, с 1980-го по 1983-й год.

В июле 1985 года в США бежал полковник КГБ Виталий Юрченко, который был связным Пелтона в Вашингтоне. Юрченко рассказал американцам о Пелтоне, которого впоследствии арестовали. В итоге СССР удалось найти устройство американцев, а позже его даже выставили в одном из музеев в Москве.

После ареста Пелтон быстро признался в измене и шпионаже в пользу СССР. В 1986-м году он был осужден пожизненно судом присяжных, несмотря на то, что веских доказательств, кроме его признания, против него не было. Пелтону назначили три пожизненных заключения, однако он смог выйти досрочно в 2015 году. Такая вот шпионская история...

S.E. ▪️ infosec.work ▪️ VT