🚨 Сисадминам на заметку: Head Mare & Twelve - Техника Проникновения и Закрепления в Российских Сетях

Kaspersky зафиксировал признаки коллаборации группировок Head Mare и Twelve, нацеленных на российские организации. Head Mare использует инструментарий и C2-инфраструктуру, ранее эксклюзивно ассоциированные с Twelve, что указывает на совместные кампании.

Техника Первоначального Проникновения:

🟢CVE-2023-38831 (WinRAR): Фишинг с вредоносными архивами. Эксплуатация уязвимости позволяет выполнить код при открытии архива, минуя защиту SmartScreen.
🟢CVE-2021-26855 (ProxyLogon - Exchange): Эксплуатация даже не пропатченных Exchange серверов (Server 2016/2012R2). Используется для прямого выполнения команд на сервере, в частности, для загрузки и запуска бэкдора CobInt. Уязвимость позволяет обойти аутентификацию и выполнить произвольный код через backend Exchange.
🟢Компрометация Подрядчиков (Supply Chain): Атака через доверенные отношения, используя доступ подрядчиков к платформам бизнес-автоматизации и RDP. Эксплуатация легитимных учетных записей и каналов связи для проникновения во внутреннюю сеть.

Техника Закрепления (Persistence) - Новый Подход:

🟢Привилегированные Локальные Учетки на Серверах Бизнес-Автоматизации: Вместо Scheduled Tasks. Создаются новые учетные записи с правами администратора локально на сервере. Обход стандартных механизмов мониторинга persistence на основе запланированных заданий. Используются для:
* RDP-доступа: Интерактивное управление, ручной запуск инструментов.
* Минимизации Заметности: Действия выполняются от имени легитимной (хоть и созданной атакующими) учетной записи, снижая срабатывание поведенческой аналитики.

🟢Localtonet + NSSM: Для постоянного удаленного доступа к хосту.
* Localtonet: Reverse proxy, обеспечивает доступ извне к локальным сервисам.
* NSSM (Non-Sucking Service Manager): Запускает Localtonet как Windows Service, обеспечивая автозапуск и устойчивость к перезагрузкам. Легальные утилиты используются в злонамеренных целях для создания постоянного канала управления.

Ключевые Инструменты (Технический Акцент):

🟢CobInt (Бэкдор): Связан с Twelve и Crypt Ghouls. Обеспечивает обратный шелл (reverse shell) на C2.
🟢PhantomJitter (Имплант): Кастомная разработка Head Mare. Аналогично - для удаленного исполнения команд на серверах.
🟢proxy.ps1 (PowerShell Скрипт): Автоматизирует развертывание Gost и Cloudflared для туннелирования трафика. PowerShell используется для быстрой настройки проксирования и обхода сетевых ограничений.

Рекомендации:

🟢Мониторинг: Усилить мониторинг Event Logs на предмет создания новых локальных пользователей, необычной активности RDP, запуска nssm.exe, сетевых соединений к подозрительным C2.
🟢Аудит Учетных Записей: Регулярно проверять список локальных пользователей на серверах, особенно на бизнес-платформах. Выявлять нелегитимные учетные записи.
🟢Патчинг Exchange: Критически важно пропатчить Exchange Server, особенно старые версии. CVE-2021-26855 – серьезная брешь.
🟢Контроль Подрядчиков: Аудит прав доступа, сегментация сети, MFA для подрядчиков. Мониторинг их активности.
🟢Белый Список Приложений: Рассмотреть внедрение AppLocker или аналогичных решений для контроля запуска исполняемых файлов, ограничив запуск Localtonet, nssm.exe и других потенциально опасных утилит.

Короче, пятница отменяется. Работа сисадмина становится все интереснее и интереснее. Теперь нужно не только за пользователями следить, но и за целыми киберпреступными синдикатами. Главное, чтобы зарплату за "интересность" тоже повысили 😬

---
P.S. Похоже, пора уже классифицировать "компрометацию подрядчика" как легитимный вектор пентеста.

Типичный 🥸 Сисадмин

🚫 IBM сократила тысячи сотрудников: подразделение Cloud Classic потеряло 25% персонала

• Затронуты также другие облачные подразделения, консалтинг, продажи, внутренние IT-системы и др.
• А ещё сотрудники теперь обязаны находиться в офисе минимум 3 дня в неделю.

На фоне этого гендиректор Арвинд Кришна продолжает повышать себе зарплату, что сотрудников тоже не радует.
🤵 Его заявление, что «ИИ не заменит программистов, а повысит их эффективность», вызвало насмешки в коллективе.

Типичный 🥸 Сисадмин

#предложка
Получается, наладили производство? 🤔

Типичный 🥸 Сисадмин

⌨️ Бэкдор с CVSS 9.8: хакеры атакуют Cisco через «зашитые» пароли

В сетевых устройствах с Cisco Smart Licensing Utility (CSLU) начались массовые атаки через критическую уязвимость, которая открывает полный доступ к системе через скрытую учётку администратора. Патчи выпущены в сентябре 2024 года, но тысячи устройств до сих пор уязвимы.

🤔 Суть угрозы:
• CVE-2024-20439 (CVSS 9.8): Жёстко прописанные в коде CSLU логин и пароль администратора позволяют хакерам удалённо выполнять команды с правами root.
• CVE-2024-20440 (CVSS 7.5): Утечка конфиденциальных логов (API-ключи, токены) через поддельные HTTP-запросы.
• CSLU должен быть запущен вручную — приложение не работает в фоне по умолчанию.
• Злоумышленники используют связку CVE-2024-20439 и CVE-2024-20440 для кражи данных и захвата контроля.

😱 В чем опасность:
• Цель — не только Cisco: атаки распространились на другие устройства, включая DVR Guangzhou Yingke Electronic (эксплойт CVE-2024-0305).
• Учётные данные были вшиты в код CSLU годами, но обнаружили их только сейчас.
• Компания заявляет, что не нашла следов эксплуатации на момент публикации бюллетеня.

👍 Что делать?
• Удалить CSLU с серверов, если он не используется.
• Установить обновления для CVE-2024-20439 и CVE-2024-20440.
• Проверить логи на предмет подозрительных запросов к портам 8915/TCP (CSLU API).

P.S. Если ваш пароль администратора — «Cisco@123», срочно меняйте его.

Типичный 🥸 Сисадмин

🤫 Keenetic 2 года скрывала о взломе базы данных своего мобильного приложения

Компания официально подтвердила взлом IT-инфраструктуры: злоумышленники получили доступ к данным пользователей мобильного приложения, зарегистрированных до 16 марта 2023 года. Инцидент раскрыли только в феврале 2025-го — два года информация могла быть в руках третьих лиц.

Что украли хакеры?
• 📧 Почта и логины аккаунтов.
• 🔑 Пароли VPN (PPTP/L2TP, IPSec).
• ⚙️ Настройки устройств.

Keenetic утверждает, что до февраля 2025 не было признаков утечки. Тем не менее, компания рекомендовала пользователям мобильного приложения Keenetic из группы риска сменить пароли учётных записей, пароли Wi-Fi, VPN-клиентов/предварительные ключи для: PPTP/L2TP, L2TP/IPSec, IPSec Site-to-Site, SSTP.

😢 — Халатность Keenetic разочаровала
🤷 — Не вижу ничего такого

🥸 godnoTECH - Новости IT

✋ Cloudflare полностью отключает HTTP для своего API

С 20 марта доступ к API (api.cloudflare.com) возможен исключительно через HTTPS. Незашифрованные HTTP-запросы теперь не просто блокируются — они физически не могут установить соединение.

Раньше запросы перенаправлялись на HTTPS или получали ошибку 403. Теперь соединение полностью обрывается на уровне рукопожатия.

⚡️ Под ударом:
— Устаревшие скрипты и боты, работающие по HTTP.
— IoT-устройства без поддержки HTTPS.
— Низкоуровневые клиенты, игнорирующие шифрование.

В IV квартале 2025 Cloudflare разрешит клиентам отключать HTTP-порты для своих доменов.

🤔 Кстати:
— 2.4% всего трафика Cloudflare до сих пор идёт по HTTP.
— Среди автоматизированных систем (боты, скрипты) доля HTTP — 17%.

Типичный 🥸 Сисадмин

Привет, коллеги 🎩
#предложка

Наткнулся тут на одном зарубежном ресурсе про взлом аккаунта СЕО, несмотря на SMS-подтверждение. Задумался: а как разумно и безопасно передавать первичные пароли пользователям, если нет возможности встретиться лично? Как вы выкручиваетесь? Какие у вас рабочие схемы? Поделитесь опытом, коллеги!

Типичный 🥸 Сисадмин

Первый шаг к полностью деревянной серверной 😬

Типичный 🥸 Сисадмин

#предложка
Позвонил отдел кадров. Сказали зажевало паспорт. На вопрос: "зачем?" Ничего не смогли ответить 🤔

Типичный 🥸 Сисадмин

☔️ ИИ заменит суперкомпьютеры в прогнозе погоды

Учёные представили Aardvark Weather — ИИ-систему, которая делает прогнозы погоды в 1000 раз быстрее традиционных методов и работает на обычном компьютере.

⚡️ Скорость: прогноз на 8 дней — за минуты, а не часы.
💻 Доступность: запускается на обычном ПК — не нужны дорогие серверы.
🌍 Точность: превышает показатели американской GFS и не уступает комбинированным моделям NWS.

Aardvark заменяет сложные гибридные системы единой моделью машинного обучения. Она анализирует данные со спутников, метеостанций и исторических архивов, превращая их в прогнозы.

🥸 godnoTECH - Новости IT

Пользователь жаловался на шум и вот что он сделал. Хорошо хоть не кулер БП😨

Типичный 🥸 Сисадмин

На заметку 🎩

Типичный 🥸 Сисадмин

#предложка
Какое офисное кресло самое удобное для долгих часов работы?

Я присматриваюсь к новому креслу и был бы рад получить рекомендации от коллег-сисадминов, которые понимают, насколько важен комфорт во время длительных смен. Моё нынешнее кресло мне не подходит, и в последнее время у меня начала болеть спина.

Спасибо 🙏

Типичный 🥸 Сисадмин

ИБП умер и единственный способ отключить звук - удерживать кнопку нажатой, иначе работа в комнате невозможна.
#предложка

Типичный 🥸 Сисадмин

Можно почувствовать его боль ⚰️

Типичный 🥸 Сисадмин

Сколько работа, а пользователи не перестают удивлять 😂
#предложка

Типичный 🥸 Сисадмин

Linux 6.14 вышел: новые драйверы и «забывчивость» Линуса

Линус Торвальдс представил стабильный релиз ядра Linux 6.14, несмотря на то, что чуть не пропустил дату из-за банальной рассеянности. «Всё готово, но я просто забыл нажать кнопку», — признался он. Зато окно для слияния изменений в следующую версию 6.15 уже открыто.

❓ Что нового в Linux 6.14?

Поддержка железа:
— Чипы Qualcomm (X1P42100, QCS615, SM8750), AMD XDNA Ryzen AI NPU, Realtek 8922AE-VS PCI.
— Драйверы для Synopsys MIPI DSI, TI TPS25990, STMicroelectronics LED1202 и других.
Файловые системы:
— Балансировка чтения Btrfs RAID1.
— Рефлинки и обратное отображение в XFS.
Игровые фишки:
— Подсистема ntsync для Wine (ускорение эмуляции Win NT-примитивов).
Безопасность:
— Расширенные разрешения SELinux.
— DRM Panic для AMDGPU (экран паники при сбоях GPU).
Прочее:
— FUSE для io_uring.
— Новый контроллер cgroup.
— Улучшения для Rust: сборка ядра на стабильных функциях языка.

Почему релиз задержался?
Линус в своём стиле:

«Вчера не случилось ничего экстренного. Я просто увлёкся уборкой кода и… забыл выпустить релиз. Вот так. Нет оправданий — только моя некомпетентность».

Что дальше?
Версия 6.15, которая выйдет в мае-июне, обещает больше изменений. Уже сейчас в очереди — крупные пул-реквесты.

Linux / Линукс 🥸