Мы помогли Apple устранить уязвимость в ядре ее операционных систем
Мы помогли Apple устранить уязвимость в ядре ее операционных систем Эксперт PT ESC Михаил Ложников обнаружил недостаток, который мог вызвать внезапное завершени…
[ SECTION // DETECT // 122 ITEMS ]
ДЕТЕКТ
4 групп по 19 тегам
Общее
Восстановление EVTX-записей: методы карвинга
Восстановление EVTX-записей: методы карвинга 🧩 При расследовании инцидентов, когда злоумышленники шифруют образы виртуальных машин, нередко возникает ситуация…
Операция Chewbacca
В конце июня команда PT ESC в ходе расследования инцидентов обнаружила новую группу, нацеленную как минимум на нефтегазовые компании и финансовый сектор. В ходе…
Ваш сервер Zimbra под угрозой
Недавно наша команда PT ESC IR столкнулась с новой атакой ransomware-группировок на почтовые серверы Zimbra с использованием уязвимости CVE-2026-73570 и шифрова…
Он вам не gsocket
Он вам не gsocket 😑 В ходе расследования одного из инцидентов специалисты PT ESC IR наткнулись на весьма диковинный инструмент hsocket (не путать с gsocket). По…
Drama Rat: вредоносное приложение, после установки которого действительно становится печально
Недавно в Департамент комплексного реагирования на киберугрозы (PT ESC IR) на исследование поступил ряд образцов банковского трояна для Android с функциями удал…
Windows
Этот ваш Siemens…
Недавно наши коллеги из Центра промышленной экспертизы Позитива обнаружили на MalwareBazaar один любопытный Windows-образец. Вот его SHA-256: e014dadf6d93b312b9…
Заглядываем внутрь ESE
Заглядываем внутрь ESE 🫣 В ходе расследования инцидентов мы в PT ESC IR регулярно сталкиваемся с необходимостью анализа баз данных в формате ESE (Extensible Sto…
::%16777216 — так что же ты такое?
::%16777216 — так что же ты такое? Известно, что в ходе атак злоумышленники могут использовать туннелирование. Например, прокинуть обратный туннель со взломанно…
Путаница в уязвимостях WSUS: ставим все на свои места
Путаница в уязвимостях WSUS: ставим все на свои места 🕷 Одной из самых актуальных уязвимостей в Windows Server Update Services (WSUS) стала критическая ошибка с…
Отключение Defender / MpPreference
В дополнение к посту 👆 Отключение Defender / MpPreference Set-MpPreference -DisableRealtimeMonitoring $true Set-MpPreference -DisableBehaviorMonitoring $true Se…
Использование DefendNot в атаках с XWorm
Использование DefendNot в атаках с XWorm 🪱 Группа киберразведки зафиксировала фишинговую активность, целью которой являлась кража данных с последующим вымогател…
Правила
Ищем RAT’ов по их же сертификатам 🕵️
Коллеги из Censys выкатили разбор семейства AsyncRAT, описав целое генеалогическое древо: AsyncRAT → DCRAT (DarkCrystal RAT) → VenomRAT → еще десятки форков впл…
Извлечение данных из образов дисков с поврежденной ФС
He may not, as unvalued persons do, Carve for himself (W. Shakespeare) При расследовании в инфраструктуре, подвергшейся шифрованию, регулярно возникает необходи…
Новое подключение к старым техникам
Новое подключение к старым техникам 📡 В ходе расследования инцидентов команда PT ESC IR обнаружила реверс-шелл, разработанный на .NET и наблюдаемый с 2023 года…
Идея для правила корреляции в SIEM
Идея для правила корреляции в SIEM 💡 Хотя отслеживание всей цепочки атаки, описанной в постах выше, дает полную картину, самым сильным и простым для реализации…
Как создать правила для сетевого трафика под будущую угрозу
Как создать правила для сетевого трафика под будущую угрозу 🤨 Об этом на этой неделе в Китае во время третьего саммита по кибербезопасности, в рамках которого п…
Детектирование CVE-2025-33073
В продолжение предыдущих публикаций рассказываем, как обнаруживать уязвимость CVE-2025-33073 🕵️♂️ 1️⃣ Отслеживать DNS-запросы с Marshalled-суффиксом В атаках R…
Сеть
Препарируем сетевой трафик с помощью ML в поисках новых вредоносов
Препарируем сетевой трафик с помощью ML в поисках новых вредоносов 📖 🧪 Мы — команда отдела сетевой экспертизы антивирусной лаборатории ESC и команда машинного о…
Новое окно в темном режиме
Новое окно в темном режиме 🫣 В процессе мониторинга новых сетевых угроз в отделе сетевой экспертизы был замечен подозрительный трафик, который порождался файлом…
🦈Смотрим «под капот» защищенных соединений в Wireshark. Часть 2: протоколы Windows
В первой части мы разбирали декрипт TLS-соединений, которые часто используются в интернете. Но если переместиться внутрь корпоративной среды, там будут преоблад…
Смотрим под капот защищенных соединений в Wireshark. Часть 1: TLS
🦈 Смотрим под капот защищенных соединений в Wireshark. Часть 1: TLS Нашим сетевым экспертам часто бывает нужно расшифровывать трафик TLS-соединений и проанализи…
Как давно ты реверсил JavaScript?
Как давно ты реверсил JavaScript? 😲 Продолжая тему фишинга (ранее мы смотрели на таргетированные подозрительные документы, приводящие к получению первоначальног…
Большое малварное обновление правил
🔄 Большое малварное обновление правил Suricata Надеюсь, вы помните, что у нас есть публичный репозиторий правил Suricata (писали о запуске ресурса в другом пост…