#article В нашей сегодняшней обзорной статье мы рассмотрим применение OSINT в условиях современных военных конфликтов. Важность разведки по открытым источникам сложно переоценить — OSINT становится одним из краеугольных тактических инструментов на поле боя.

Мы поговорим о роли спутниковых снимков и геолокационного анализа, работе с утечками и фишинге по противнику. Затронем тему информационно-психологических операций и роли БПЛА как OSINT-инструмента. А также выделим ключевые тренды будущего OSINT-разведки, которая будет играть всё большую роль в боевых действиях. За подробностями добро пожаловать на Хабр!

@tomhunter

#news Пятничные новости инфобеза. Военный из США с одной из авиабаз признал вину в передаче сверхсекретной информации по российско-украинскому конфликту заморской возлюбленной из приложения знакомств.

События произошли в феврале-апреле 2022-го: у военного пенсионера на гражданской должности был доступ к совершенно секретной информации, и появилась роковая подруга якобы из Украины. А дальше как в шпионском фильме категории B: с перепиской формата «Дорогой, что на экранах в спецпомещении?», «Дейв, у НАТО и Байдена есть секретный план помощи нам?» и «Мой любимый секретный информатор, как твои совещания?» По итогам собеседница получила внеочередное повышение, а Дейва ждут до 10 лет тюрьмы. Прошли ли после этого в штатовской военке тренинги формата «Если красотка в сети просит фото твоего спецпомещения, это не красотка, а грушный шпион?» Об этом новости умалчивают, но скорее да, чем нет.

@tomhunter

#news Исследователи прошлись по GitHub на предмет ключей приложений на Laravel. Речь про APP_KEY — по сути мастер-ключ от продукта. Результаты как всегда: ключи от более 600 приложений лежали в открытом доступе.

На этом приключения в мире утечек на GitHub для разрабов не заканчиваются. Ввиду уязвимости в decrypt() Laravel — автоматической десериализации — вооружённый ключом злоумышленник может при определённых условиях получить RCE. При этом 63% ключей утекли вместе с файлами конфигурации — то есть токенами, данными доступа и прочим полезным в киберпреступном быту. Утекают и связки из APP_KEY и APP_URL — 28 тысяч пар, из которых 10% валидны. По итогам в 120 приложениях RCE на изи моде. В сухом остатке заливающие конфиги на GitHub джуны, помноженные на увлекательные нюансы экосистемы PHP с десериализацией и прочими радостями, дают на выходе идеальный шторм. Подробнее об исследовании в отчёте.

@tomhunter

#news Сразу два кейса редкого события в мире криптовзломов: хакеры согласились вернуть 90% средств стянутых с DeFi-платформ Texture Finance и GMX в обмен на отказ от преследования.

На прошлой неделе биржа GMX была взломана — злоумышленник стянул больше $40 миллионов, но в пятницу пошёл на мировую и начал возвращать крипту. С Texture Finance ровно та же история: 9 июля взломщик украл $2,2 миллиона и получил ультиматум до пятницы с предложением записаться в серошляпочники за 10% от суммы, избежав знакомства с правоохранительными органами. Как ни странно, сработало — средства были возвращены. Так что у нас не один, а целых два единорога от мира криптовзломов за неделю. Платформам, впрочем, повезло, что по их крипту пришли пугливые одиночки, а не IT-солдаты одного маленького, но гордого государства-изгоя. Те серых шляп не носят — исключительно чёрные да камуфляжные.

@tomhunter

#news Характерные новости из штатовского DOGE: его 25-летний сотрудник Марко Элез залил на GitHub приватный API-ключ. От 52 ИИ-моделей xAI. Чувствуете лёгкий порыв дежавю? Ровно то же самое произошло два месяца назад. Хотя бы с другим персонажем.

13 июля юное дарование закинуло на GitHub скрипт agent[.]py с ключом, на что тригернулся сканер GitGuardian. Репозиторий он оперативно удалил, получив письмо, но вот ключ не сменил. А с ним и доступ к свежайшим моделям, одну из которых выпустили только 9 июля. Так что у китайских госхакеров, наигравшихся с майскими моделями, появилась возможность поковыряться и в новых. А у Элеза, напомню, доступ ко всевозможным правительственным базам. Внимание, вопрос: как у него с безопасностью госданных да и инфобезом с целом, если он лёгким движением мыши сливает API-ключи на GitHub?

@tomhunter

#news Российский блокчейн-разработчик лишился $500 тысяч в крипте, словив инфостилер. Виной стал плагин для Cursor AI IDE под язык смарт-контрактов Solidity на Ethereum. Для подсветки синтаксиса.

Пикантности ситуации добавляет то, что вредоносный плагин оказался выше в выдаче, чем оригинал, под который замаскировали инфостилер. При этом у него было меньше скачиваний. А разгадка проста: в топ его вынесли алгоритмы репозитория Open VSX — за счёт накрученных скачиваний и рейтинга, помноженных на свежесть плагина. После удаления злоумышленники продолжили кампанию, залив новый. Идентичное имя, тайпсквот по имени разраба с маскирующим это шрифтом, у оригинала 61к скачиваний, у вредоноса — накрученные два миллиона. Какой поставит внимательный юзер? Здесь уже вопросы к репозиторию с околонулевой ИБ. А криптобро впору выносить свои кошельки на отдельные машины, чтобы с основной можно было стянуть разве что пароль от MyAnimeList.

@tomhunter

#news Вряд ли кому-то нужно напоминать о том, насколько ненадёжны пароли среднего юзера. Годы тренингов, работа с далёкими от ИБ массами и прочий сизифов труд. Изменилось ли что-нибудь к лучшему к 2025-му? Спойлер: конечно, нет.

Согласно свежему исследованию, только 1,5% паролей в утечках, включая недавние, можно назвать надёжными — это >15 символов как минимум двух категорий. Подавляющее же большинство паролей по-прежнему до 8 символов, так что подобрать их можно за несколько часов. По итогам ни в корпоративной политике, ни, соответственно, в ландшафте угроз по паролям ничего не меняется: простота взлома, повторное использование, несоблюдение базовых нормативов. У исследователей, само собой, есть рекомендации — например, переход на парольные фразы. Но у юзера на этот счёт свои предпочтения. Так что это музыка будет вечной, пока за надёжность пароля отвечает непобедимый wetware.

@tomhunter

#article У нас новая статья по мотивам актуальных событий. В ней мы собрали топ приложений, которые можно использовать офлайн при отключении интернета или нестабильном доступе к нему.

От очевидных вещей вроде офлайновых карт и переводчиков (вы ведь в курсе, что многие из них доступны локально?) до мессенджеров и соцсетей на mesh-технологиях. А также приватные аналоги SMS-сообщений, приложения для передачи файлов и peer-to-peer файлообменник. Бонусом рассмотрим инструменты безопасности, которые превратят смартфон в детективный набор и позволят заняться полезным делом в отсутствие интернета. Пополняйте свой инструментарий, делитесь известными вам приложениями — за подробностями добро пожаловать на Хабр!

@tomhunter

#news Создатель cURL раньше уже жаловался на ИИ-слоп, которым заваливают их BB-программу на H1 и парализуют крошечную команду. Ситуация продолжает выходить из-под контроля. Свежая обличительная речь в его блоге.

Вкратце, ничего не помогает: репутация не работает, угрозы баном эффекта не имеют — ИИ-репорты шлют новички. В итоге семь человек, из которых на фултайме по Curl Стенберг один, тратят всё свободное время на ИИ-слоп и постепенно утрачивают рассудок. Дошло до того, что Стенберг подумывает вообще отменить выплаты по BB-программе или брать плату за начальную подачу репорта — оба варианта, мягко говоря, не идеальны. По итогам в этом противостоянии белковых языковых моделей и их потенциальной кремниевой замены пока в минусе все. Бонусом в комментариях к посту прочие оригинальные решения. Абсолютный фаворит: забанить айпишники из Индии. Отличная идея же, безотносительно проблемы ИИ-слопа.

@tomhunter

#announcement 11-12 сентября в Москве пройдёт «Moscow Forensics Day’25». Конференция не нуждается в представлении — это одно из самых актуальных и масштабных мероприятий в сфере цифровой криминалистики и информационной безопасности.

Доклады и мастер-классы, новинки индустрии и возможность пообщаться с их разработчиками, актуальная информация от ключевых экспертов и полезные знакомства — всё это ждёт гостей на «MFD». От T.Hunter в конференции примет участие директор нашего департамента киберрасследований Игорь Бедеров и расскажет об определении владельцев, админов и разработчиков веб-ресурсов. Подробнее о событии и регистрация здесь. Участие бесплатное, так что регистрируйтесь, добавляйте в календари, и встретимся в сентябре на «Moscow Forensics Day’25»!

@tomhunter

#news В наших краях оригинальный кейс: взлом сети алкомаркетов «Винлаб». 14 июля часть IT-инфраструктуры сети отвалилась, к 16 июля скрывать произошедшее уже не было возможности — компания сообщила о масштабной атаке.

Пострадал весь холдинг Novabev Group, которой принадлежит сеть — у него проблемы с отгрузкой продукции и заказами, а магазины простаивают. Судя по всему, по инфраструктуре либо прошлись вайпером, либо закинули им рансомварь. Сообщают, злоумышленники вышли на связь — просят выкуп за декриптор или бонусом за то, чтобы не сливать стянутые данные. По нашим оценкам, в худшем случае простой может продлиться до недели-двух с убытками более миллиарда одной только «Винлаб», а потенциально и оборотным штрафом за утечку данных для холдинга. По итогам в атаке ищут украинский след, борцы за трезвенность вместе с «Красное&Белое» ликуют, а остальным остаётся подивиться на редкого зверя. Алкомаркеты в СНГ зашифровали, представляете? Можно даже сказать, закодировали.

@tomhunter

#news Сумма криптокраж за полгода 2025-го достигла $2,17 миллиардов. Не хватает скромных $30 миллионов, чтобы побить украденное за весь прошлый год. По промежуточным итогам 2025-й уже на 17% хуже рекордного 2022-го.

Всё это, конечно, интересно, но есть маленький нюанс. Или не маленький: 1,5 миллиарда криптобаксов, стянутых с Bybit — сами по себе беспрецедентные. Chainanalysis в свежем отчёте экстраполирует сумму на весь год и прогнозирует, что он преодолеет планку в $4 миллиарда. Где бы только северокорейским криптостахановцам найти столько бирж, чтобы их все обнести? Из интересного, взломы персональных кошельков составляют уже почти четверть от атак. А нападения на криптобро коррелируют с ценой битка — стоит в новости залелеть очередному заголовку про побитый рекорд, как тут же появляются желающие потрясти какого-нибудь криптоблоггера. Бывают, впрочем, в этой среде и истории со счастливым концом.

@tomhunter

#news Один из основных поставщиков десяточек по CVSS отметился новой. Кто? Конечно же, Cisco, широко известно чья контора. Причём снова в Cisco ISE и ISE-PIC — в прошлом месяце в них также исправили две уязвимости с максимальным рейтингом.

Проблема в недостаточной проверке данных в одном из API. А вместе с этим идут RCE с рут-доступом без авторизации — достаточно специально созданного запроса по публичному API. Если где-то это уже слышали, вам не кажется: уязвимость идентична исправленной в конце июня, и нашли её те же исследователи. Помогите Даше оценить качество кода этого их API после вскрытия в нём двух десяточек на досуге. А пару недель назад Cisco залетела в новости с очередным забытым тестовым аккаунтом. Так что у этих всё стабильно.

@tomhunter

#news Пятничные новости от мира криптокраж. В 2017-м c кошелька Томаса Уайта, арестованного создателя Silk Road 2.0, пропали 50 битков. Уже под следствием, Уайт убеждал следователей, что ключи были только у агентов NCA, но по итогам дело замяли.

Про битки вспомнили снова после освобождения Уайта в 2022-м. Ушедшую в Bitcoin Fog крипту отследили и вышли на одного из агентов NCA, участвовавшего в расследовании и имевшего доступ к устройствам Уйта. У товарища нашли айфон с аккаунтом, на который ушли битки, да и они сами нашлись: на момент ареста в 2022-м изъяли 30 биткоинов — $3,5 миллиона по нынешнему курсу. На днях криптовор в погонах получил 5,5 лет тюремного заключения. План явно был долгоиграющим, и у него были все шансы на успех, если бы не надоедливые исследователи из ChainAnalysis и их глупый анализ блокчейна. Тщательнее замешивать надо было — транзакции-то все вот они.

@tomhunter

#news У фитнес-приложения Fitify обнаружили пользовательские данные в в открытом доступе, включая личные фото для отслеживания прогресса в тренировках. Всё это в открытом гугловедре без пароля. Классика.

Приложение популярное — ~25 миллионов установок, соответственно, и фото было с запасом: ~140 тысяч. А это явно не те фото, которые юзер хочет видеть в сети или в кликбейтной статье со стыдливо прикрытым чёрной полоской прогрессом. Бонусом в приложении нашли захардкоженные ID и пару ключей, а вот обещанного шифрования нет — в ведре всё в открытом виде. По итогам с разработчиком связались, облако прикрыли, инфоповод есть. Было бы хуже, если бы на ведро наткнулись какие-нибудь шутники и слили архив на очередной Breached, попутно шантажируя юзеров. А так в сухом остатке у нас напоминание, что не все мобильные приложения одинаково полезны. Миллионы фитнес-энтузиастов, конечно, не могут ошибаться. А вот разраб вполне может.

@tomhunter

#news К оригинальным стартапам. В США находчивый юноша додумался перепродавать данные с инфостилеров под видом легального бизнеса. Его компания предлагает доступ к данным якобы с 50 миллионов устройств.

Один из продуктов с полным доступом к стянутым паролям формально требует описать юзкейс для сотрудничества, но список широкий: от полиции и детективов до журналистов и ИБ. Второй публично доступен за 50 баксов, пароли не выдаст, но доступ к части чувствительной инфы есть. «Зумер изобрёл бот для пробива, тоже мне новость» — скажете вы. Но суть в том, что всё это под фасадом легитимной OSINT-фирмы, с сайтами в верхнем интернете, фото стартапера с пёсиком и трогательной историей про взлом библиотеки в детстве и дружеский визит из ФБР. Это вам не мутные каналы-однодневки в Telegram. В общем, товарищ понял, что для выхода на штатовский рынок OSINT нужно своё ноу-хау. Этика серошляпочника встретилась с американской бизнес-смекалочкой, и вот результат.

@tomhunter

#news Раскрытая на днях критическая уязвимость CVE-2025-53770 в Microsoft SharePoint Server продолжает обрастать подробностями. Её эксплойтят минимум с 7 июля, и уже взломаны не меньше ста организаций по всему миру, включая госучреждения и крупные корпорации.

Нулевой день с заявкой на главную CVE сезона лето’25: небезопасная десериализация, внедрение кода и RCE без авторизации. Более того, в идущей кампании стягивают криптографические ключи для закрепления, так что накатывание патчей не поможет, если системы уже вскрыли. Охват по атакам огромный: от США до Южной Африки и азиатских стран. Первые эксплойты шли от китайских апэтэшечек (кому кроме них), но на текущий момент к банкету явно подтянулись и прочие желающие. Потенциально же уязвимы до 9000 серверов. Иными словами, конец июля для ИБ-отделов и им сочувствующих выдался жарким: с учётом закрепления в системах, в идеале им нужен полный аудит на компрометацию. Подробнее о грозе летних отпусков здесь.

@tomhunter

#news ИИ модели покорили все индустрии, кроме одной: согласно опросу ИБ-специалистов, лишь 30% используют LLM’ки в своих рабочих процессах. 42% в раздумьях, и 10% нео-неолуддитов доверять искусственному болванчику не планируют вовсе.

Среди причин медленной интеграции называют опасения насчёт приватности, недочёты в разработке и непредусмотренные риски. Более того, треть руководителей забанили часть моделей в своих организациях, тот же DeepSeek. Здесь без неожиданностей: любой безопасник понимает, что ИИ — это огромная и неизученная поверхность атаки. Впрочем, 70% принявших своего нового ИИ-повелителя рапортуют о положительных результатах, так что рано или поздно все там будем. Ну и за бедных джунов замолвите слово: больше половины ИБшников уверены, что ИИ-долгоносик пожрет их рабочие места, но треть предполагают, что LLM’ки создадут для джунов новые возможности и переориентируют скиллсеты (на обслуживание кремниевого господина). Подробнее о результатах опроса в отчёте.

@tomhunter

#news Британия снова впереди планеты всей по экспериментам с ИБ-законами: госструктурам и критической инфраструктуре запретят выплату выкупов после взломов. Вообще. Вы ждали этого, вы годами говорили об этом, и британцы доставляют.

Предполагается, что запрет нарушит бизнес-модель рансомварь-группировок — нет надежды на выкуп, нет и мотивации для атак по секторам, получившим бан. Для частников послабления: им в принудительном порядке уведомлять о выплатах и сверяться с санкционными списками на случай, если вскрывший их системы бренд уже попал в списки счастья от NCA и коллег. Бонусом разрабатывают систему отчётности для жертв вымогателей — она должна повысить координацию между ведомствами. Эффективность мер у многих вызывает сомнения, да и у апэтэшечек бизнес-модель совсем иная. Но у британского loicense-самурая нет цели, есть только путь. И на этом пути он примет по драконовскому закону на каждого члена Палаты общин, а о последствиях будет думать позже.

@tomhunter

#news Горячие новости из наших широт: арестован админ XSS. Его приняли вчера, 22 июля. И не абы где, а на Украине, прямиком в Киеве. Европол утверждает, что взял ключевого персонажа, ответственного за форум. А заодно перехвачен и домен. Ушла эпоха.

XSS — площадка долгоиграющая, активная с далёкого 2013-го. Это вам не разные итерации Breached, уходящие офлайн раньше, чем о них узнает широкая публика, а порядочный русскоязычный киберпреступный форум. Подробностей расследования пока нет, известно лишь, что французы вели его с 2021-го, а в сентябре 2024-го выдвинулись на оперативно-розыскные. Арестованный также обозначен как оператор мессенджера thesecure[.]biz. Какие перспективы у XSS после ареста? Одним словом туманные. Европол также вскользь упоминает сотрудничество по маппингу инфраструктуры и выявлению связей админа с коллегами по бизнесу. Так что тикайте с городу, хлопцы, если можете. Иначе и за вами придут.

@tomhunter

#article В сегодняшней статье мы рассмотрим три неочевидных инструмента слежки и прослушки, в роли которых могут выступать повседневные устройства.

Первым у нас идёт ностальгический взгляд в прошлое: как всего 15-20 лет назад обычные кирпичи от Nokia и Siemens умельцы превращали в неприметный жучок? Также рассмотрим эволюцию перепрофилирования привычных гаджетов: как обычные детские GPS-часы становятся средством слежки. И бонусом расскажем о том, как любые Bluetooth-наушники в паре со смартфоном можно превратить в импровизированное прослушивающее устройство. За подробностями добро пожаловать на Хабр!

@tomhunter