Герои из Авилликс снова открывают свои двери запускают свой уже легендарный Pentest Award.

Для тех, кто слышит впервые – это отраслевая награда для специалистов по тестированию на проникновение, которую вручают за лучшие и самые интересные репорты, которые может подать на конкурс любой желающий. Участие бесплатное, а подать свою заявку можно до 30 июня.

Основная задача премии — выделить лучших специалистов и показать их вклад в развитие российского пентеста и кибербеза в целом.

Ах да, бороться придется не только за респект сообщества, но и за макбуки, айфоны и даже образовательные гранты. Но это всё цветочки. Вы только посмотрите на то, что опять сотворили это боги дизайна. Там даже комиксы отрисованы 🤩

Ну все, погнали разглядывать эту красоту и подавать заявки – ссылка

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Ладно, что мы всё. про ИБ, да про кибербезопасность

Мы тут с моей любимой женой думали, какой бы сериал посмотреть/пересмотреть. Добили "Разделение" и решили пересмотреть классику – "Ходячих мертвецов". Из последнего еще очень зашло "Извне".

Поделитесь в комментариях, что вы смотрите/любите из сериалов?

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

У ребят из "Мы обречены" и "Разрабы" тут вышли две достаточно годные статьи на тему безопасности.

Первая – "Хакеры в голове: как мы сами создаем дыры в безопасности" от крутого кибербезопасника Алексея Хандожко (Леша, привет). Про то, как когнитивные искажения (систематические ошибки мышления) становятся причиной уязвимостей в информационной безопасности.​ В общем, она о том, как наши эмоции, привычки, расфокус и предвзятость приводят к тому, от чего нас не смогут защитить ни одни сканеры безопасности. Написано понятно, лаконично и по делу. Почитать можно тут – ссылка

Вторая – "Безопасность глазами продакта. Или почему мы говорим с пользователями на разных языках" от Аркадия Каца. Эта статья о том, какой разрыв существует между инженерными реалиями безопасности и пользовательским восприятием.​ Его статья эту проблему хоть и не решает (кажется, одной стандартизацией тут не обойдешься), но абсолютно точно подсвечивает. В общем, почитать точно стоит, особенно если вы задумываетесь о контексте безопасности в тех продуктах и сервисах, которыми пользуетесь (те же секретные чаты в Телеграм). Почитать можно тут – ссылка

Это не реклама, а честная рекомендация, поэтому погнали читать 🐈

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Подпольная империя

Только сейчас заметил крутое исследование рынка преступных киберуслуг и активности злоумышленников за 2023-2024 годы от Позитивов.

Материал очень большой и плотный. Там и про хактивистов с хакерскими группировками, и про теневые форумы с маркетплейсами, и про телеграм-каналы с чатами, и про продажу вредоносного ПО, и про взломы на заказ. И все это со скринами, ценами и подробной аналитикой.

В общем, безопасникам точно стоит почитать (особенно тем, кто связан с TI), но и обычным людям тоже лишним не будет. Разве что придется погуглить пару терминов по дороге. А вот и само исследование – ссылка

#Полезное

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Без лишних слов сразу к делу 👇

⚡ Кибермем на месте – ссылка

⚡ Рынок киберуязвимостей – ссылка

⚡ Выбираем сериал на вечер – ссылка

⚡ Смотрим крутое исследование теневого рынка – ссылка

❤ В Пакете Знаний прошел стрим и даже вышла запись на тему того, как правильно писать заметки – ссылка

❤ В Пакете Вакансий разыскивается криптовалютный DevSecOps – ссылка

❤ Календарь из Пакета Мероприятий продолжает пополняться – ссылка

❤ Попал еще в конце недели на закрытую церемонию награждения BUGS ZONE 4.0. Лофт – бомба, организация – бомба, активности – бомба, подарки – сами смотрите 🫣

А вы говорили, что OSINT не пригодится в жизни.

#КиберМем

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Бот для ваших вопросов

Я тут в рамках менторства решил сделать бота, с помощью которого любой желающий абсолютно бесплатно сможет задать свой вопрос по кибербезопасности или карьере в ИБ.

Ну а мы с менторами, по ту сторону бота, будем на эти вопросы отвечать. Чем точнее и конкретнее будет сформулирован вопрос, тем вероятнее мы сможем с ним помочь.

В чем смысл? Да в том, что:
1. Не у всех есть деньги на менторство или консультации, а далеко не все вопросы гуглятся и ресерчатся с помощью ChatGPT (особенно когда нет опыта и насмотренности).
2. В нашем чате или в комментариях к постам многие задать свой вопрос банально стесняются.
3. Да просто потому что эта мысль пришла мне в голову и потому что могу.

В общем, мы с менторами ждем ваших вопросов – @cybersec_help_bot

И помните самую главную пацанскую цитату из пабликов ВК – "Глупых вопросов не бывает. Глуп тот вопрос, который не был задан." 🐺

Дамы и господа, бот порвался, спасибо 🐶

Виртуальный киднеппинг

Недавняя история московской школьницы шокировала многих. Девушку обманули мошенники, заставив инсценировать собственное похищение. Сначала под предлогом «проблемы с доставкой цветов» у нее выманили код доступа к Госуслугам, а затем, пригрозив уголовным делом, убедили уехать в Брянск и записать отцу аудиосообщение с мольбой о помощи. К счастью, отец не поддался панике, и девочка вернулась домой. Но эта схема лишь верхушка айсберга.

Виртуальный киднеппинг — не новое явление. Например, в 2023 году мошенник позвонил девочке из Салехарда и представился доктором. Преступник сказал, что мама девочки попала в аварию и попала в больницу. Он вызвал такси через приложение, убедил девочку оставить телефон у подъезда, а самой сесть в машину. Пока девочка ехала в село, которое находится в 50 километрах от города, мошенник вымогал у матери школьницы деньги.

Подобные сценарии повторяются по всему миру и могут приводить к печальным последствиям. Так, в Канаде студент из Китая чуть не погиб в горах после звонка от аферистов. Те, представившись сотрудниками правоохранительных органов, убедили его скрыться, чтобы «спасти семью от ареста». Парень неделю жил в палатке при -20°C, пока его не нашли спасатели. Его родители уже готовы были перевести выкуп в сотни тысяч долларов.

В таких схемах мошенники мастерски играют на страхах: они представляются полицией, спецслужбами или даже похитителями, требуя изоляции жертвы и немедленного выкупа. Часто используют утечки данных — например, знают имена родственников или место работы. Жертве могут приказать отключить телефон, уехать в безлюдное место или записать «доказательства» похищения, чтобы родные поверили в реальность угроз. Кроме того, они могут подделывать голоса, фото или видео с помощью нейросетей.

Как защититься? Главное правило — сохранять холодный рассудок, ведь страх лучший союзник аферистов. Научите детей в любой ситуации сразу же обращаться за помощью к вам, ни в коем случае не передавать коды из SMS, даже если звонящий представляется сотрудником банка или госслужбы. Если вам или близким угрожают «похищением», сразу проверяйте информацию через личный контакт. Объясните подросткам: никакие «спецагенты» не станут решать проблемы через мессенджеры и звонки.

Да, вот в таком интересном мире мы живем.

#Кибергигиена

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Корпоративные браузеры: как выбрать оптимальное решение?

А вы что думали, я от вас отстану с этими корп. браузерами? А вот и нет. Ах да, будет душно, так что запасаемся воздухом.

Перед многими компаниями сейчас стоит важный вопрос: какой браузер выбрать для безопасной работы сотрудников. Риски очевидны, так как все внутренние сервисы уже переехали с нативных приложений на веб-интерфейс (ура). Ну и в целом, почти все уже делается через браузер, вплоть до отрисовки схем.

На рынке есть несколько категорий решений, каждая со своими особенностями. Западные продукты вроде Chrome Enterprise и Edge for Business предлагают проверенные временем технологии. Они широко применялись в корпоративной среде по всему миру, обеспечивая удобные инструменты администрирования и совместимость с облачными сервисами (особенно, со своими собственными).

Однако эти решения остаются иностранными, что создаёт сразу две ключевые проблемы. Во-первых, вопрос оплаты: из-за ограниченного присутствия подобных вендоров на нашем рынке, купить лицензии банально не получится. Во-вторых, вопрос технической поддержки: при возникновении сбоев или критических уязвимостей компании могут столкнуться с невозможностью оперативно получить помощь от официальных разработчиков. Это делает использование таких браузеров рискованным с точки зрения долгосрочной стратегии. А значит мы в очередной раз подходим к развилке под названием "Ковыряем опенсорс или ищем что-то на отечественном рынке".

Опенсорс, это конечно хорошо, но пока многим компаниям вообще не до этого, так как у всех и так хватает точек импортозамещения. Да и не у всех есть возможность нанять под это целую команду. Да, порой это дороже и точно сложнее, чем просто купить готовое.

Ну а среди российских разработок в голову сразу приходит Яндекс Браузер для организаций, который и с российскими криптостандартами работать умеет (включая сертификаты НУЦ и поддержку ГОСТ TLS), и для гос-систем подходит, и базовые функции защиты данных предоставляет из коробки.

Другие российские разработки тоже есть. Например, Тау Браузер, который ориентирован на бизнес-задачи и может быть использован в корпоративных целях, но он узкоспециализированный и промышленный. Плюс в нем нет интеграций с офисными и облачными сервисами, что мы так любили в тех вариантах, которые нам больше недоступны.

И при всем этом, нужно еще учитывать отраслевые требования регуляторов, которые могут предъявлять особые условия к используемому ПО. Не менее важным фактором является уровень технической экспертизы внутри компании — сможет ли ваш IT-отдел эффективно поддерживать выбранное решение. Особого внимания заслуживает вопрос интеграции с уже существующей инфраструктурой, чтобы избежать проблем совместимости. Ну а еще нужно тщательно анализировать перспективы долгосрочной поддержки продукта разработчиком, что особенно актуально в условиях быстро меняющегося технологического ландшафта.

В общем, расскажите, пожалуйста, какой опыт использования корпоративных браузеров есть у вас? Какие критерии вы считаете наиболее важными при выборе подобных решений? И волнует ли этот вопрос кого-то кроме меня?)

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Поиск работы в ИБ

Написал тут для вас (и не только) новую статейку о том, какие этапы ждут того, кто планирует начать искать работу в ИБ. Чтиво подойдет как для матерых специалистов, так и для тех, кто только заглядывает в этот чудный мир кибербезопасности.

Жестокие блиц-скрининги, торги за оффер, детектор лжи и всё в этом духе. Статья логично дополняет и продолжает тему прошлой про написание лучшего резюме в галактике.

Ну а вот и сама статья – ссылка

Лайк, шер, репост, как говорится 👍

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Если это требования к почте, то что тогда будут требовать от пароля 🤨

#КиберМем

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Высшее образование и успешная карьера не защищают от фишинга

Многие уверены (о чем регулярно пишут тут в комментариях под разбором мошеннических схем), что на развод мошенников попадаются только дети, пенсионеры и дураки. Но реальность безжалостно разбивает этот миф: даже люди с впечатляющим резюме и острым умом попадаются на удочку социальной инженерии. Сейчас я по минутам распишу расскажу о нескольких поучительных случаях, когда интеллект оказался бессилен перед хитростью мошенников.

Начнем с ученых. Британско-американский физик-теоретик Пол Фрэмптон думал, что познакомился в интернете с моделью Дениз Крайчович. «Бывшая Мисс бикини мира» убедила ученого, что хочет выйти замуж и родить детей. Девушка попросила лишь перевезти ее чемодан. Фрэмптон согласился, но после этого его арестовали в Аргентине: в потайном отделении чемодана обнаружили 2 кг кокаина. Несмотря на заверения физика, что он не знал о наркотиках, суд приговорил его к 4 годам и 8 месяцам тюрьмы за попытку наркоторговли. Вот такая вот история любви.

Военных и сотрудников отделов безопасности преступники тоже не обходят стороной. Как оказалось, классическая схема с «безопасным счетом» может сработать даже в таких случаях. Так, мошенники выманили у 51-летнего военнослужащего Национального центра управления обороной почти 400 000 рублей. А у начальника отдела экономической безопасности московского онкоцентра почти 85 млн рублей.

Ну и вишенка на торте — Трой Хант, создатель Have I Been Pwned (сервиса, который ищет ваши данные в утечках), известный ИБ-эксперт и консультант по кибербезопасности, попался на удочку фишеров. Через поддельное письмо злоумышленники вытянули у него доступ к аккаунту Mailchimp — и бам: данные 16 000 человек из его рассылки уплыли в чужие руки. Тот самый парень, который учит не кликать на подозрительные ссылки, на пару минут расслабился — и всё, приехали. Мораль? Даже если ты 20 лет в кибербезе, можно стать жертвой фишинга. Проверяй и перепроверяй везде, где можно. 

Все эти истории доказывают, что образование и осведомленность не гарантируют защиту от обмана, а усыпляет бдительность — дает ложное чувство «я слишком умён, чтобы меня развели», которое лишь увеличивает риск. Вот так и живем.

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

У меня тут накопилось несколько интересных инфоповодов и пачка полезного контента, поэтому я решил собрать все это добро в один пост и поделиться с вами, так что ловите 👇

✅ На правах инфопартнера конференции "БЕКОН" рассказываю вам о том, что регистрация на это мероприятие уже открыта – ссылка. Проводят ее ребята из Luntry, а они знают толк в безопасности контейнерных сред, чем и делятся с миром. Выступать, к слову, будут не только они, но и их коллеги по цеху из других крупных компаний. DevSecOps, ShiftLeft Security, Zero Trust и вот это вот все.

✅ У MTS AI вышел подкаст на тему дипфейков: сценарии дипфейк-атак и работа дипфейк-детекторов (для аудио и видео), немного про разницу клонированного и синтезированного голоса, кейсы реальных атак. Эти технологии становятся все более доступными, а значит и более распространенными, так что смотрим – ссылка

✅ У ребят из Red Security уже сегодня состоится вебинар "Любимые киберграбли начинающего CISO", где настоящие практики должны рассказать о типичных ошибках, от которых никто не застрахован. Все обычно только и делают, что учат, как стать директором по безопасности, а вот подобного контента в общем доступе крайне мало, так что рекомендую не пропускать.

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Да кто такие эти ваши хактивисты

Термин “хактивист” мелькает в новостях довольно часто. Но не все знают, кто скрывается за этим словом. Чем хактивисты отличаются от других хакеров? Зачем они взламывают компании, если ничего не крадут? Это какие-то кибревандалы? Или робингуды? Давайте разложим все по полочкам.

Если коротко хактивист – это гибрид хакера и активиста. Его цель – не деньги (как у киберпреступников) и не шпионаж (как у государственных хакеров), а привлечение внимания. Обычно они пытаются выразить какую-то идею, протест с помощью хакинга. Как если бы Грета Тунберг взломала Кока-Колу и вывесила на главную страницу сайта сообщение, что их бутылки больше всех загрязняют окружающую среду (лицо завода по производству литий-ионных батарей видели?).

Хактивисты атакуют крупные организации, госструктуры, аккаунты известных лиц. Они могут как поменять содержимое взломанного сайта и вывесить баннер с посланием, так и уничтожить сайт полностью или частично, устраивать DDoS-атаки, чтобы положить неугодные сервисы, украсть документы и выложить в открытый доступ и т. д.

Если изначально хактивистами были одиночки, то с появлением группировки Anonymous в начале 2000-х хактивизм стал немного другим. Появились целые международные сети хакеров с более продвинутыми навыками. Цели также изменились: теперь хактивисты не только выражают протесты с помощью взломов, но иногда и просто развлекаются или косвенно “зарабатывают” деньги.

Самые известные хактивистские проекты, пожалуй, Anonymous и WikiLeaks, основанная Джулианом Ассанжем. Материалы о них появлялись не только в интернете, но и на телевидении. Менее известные, но не менее интересные примеры я приводил раньше в канале (например, XakNet или KillNet).

Это точно одна из самых романтизированных частей кибербеза. Про хактивистов снимают репортажи и фильмы, пишут книги, рисуют постеры, ими вдохновляется молодежь, да их даже в курилках все обсуждают. А все почему? Да потому что это связано с протестом, со свободной и бунтарством. И все это играет на чем-то, что живет с нами внутри с самого нашего детства.

А что насчет этики? Сколько существует хактивизм, столько люди спорят, насколько правильно с моральной точки зрения совершать атаки “во имя добра” и каковы границы протеста в интернете. С одной стороны, хакеры проявляют активность и высказывают гражданскую позицию, привлекают внимание к социально-значимым вопросам, а с другой — используют для этого незаконные методы. Вопрос об этичности до сих пор остается открытым.

Если вы не диктатор и не гигантский нефтяной концерн, то вряд ли хактивисты заинтересуются вами. Ну а если вы уже знали о том, кто такие хактивисты, то держите интересный факт, чтобы не зря время потратили: До 1800-х годов большинство монет в мире не имели номинала, а их ценность определялась по весу и типу металла, из которого они были изготовлены.

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы