Телеграм канал «Четыре луча»

☀️ Встретимся на SOC Forum!

Уже в следующий вторник стартует SOC Forum 2026. Наши эксперты из 4RAYS, JSOC и DSec готовят несколько очень интересных выступлений!

📅 27 октября

12:45, зал «Физика»
Никита Прямухин в докладе «AI-Killchain в нынешних реалиях: от Vibeware до автономных агентов на базе LLM» расскажет о влиянии ИИ на эволюцию угроз.

15:00, зал «Архангельск»

Евгений Кантышев поделится лайфхаками эффективной аналитики телеметрии в докладе «Мониторинг процессов: выжимаем максимум из нативной телеметрии ОС хоста».

📅 28 октября 

10:00, зал «Кинетика»

В докладе «В темноте кластера: как увидеть реальные угрозы в K8s, когда DevOps и SOC не разговаривают» Денис Харитонов поделится практическим опытом мониторинга безопасности Kubernetes.

11:45, зал «Архангельск»

Евгений Масьянов в докладе «AppTrickster. История одной неудавшейся уязвимости» представит метод обхода политик AppLocker в Windows.

12:45, зал «Кинетика»

Владислав Констюнин и Вячеслав Иванов выступят с докладом «Detection Engineering в SOC: как превратить разработку детектов в управляемый процесс».

15:15, зал «Физика»

В докладе «Возвращение IDFKA: как APT-группа NGC5081 провела работу над ошибками» Денис Чернов и Алексей Хабаров расскажут, как изменились тактики и инструментарий APT-группировки NGC5081 за год.

16:45, зал «Архангельск»

Кирилл Никитенков в докладе «Последний километр к бизнесу: почему атака на ERP начинается далеко от ERP» расскажет, как грамотно защищать жизненно важные бизнес-системы.

Все доклады достойны посещения, а некоторые из них ещё и содержат «пасхалки», которые помогут вам выиграть мерч в квесте на стенде Solar 4RAYS!

Так что, если любите мерч и квесты, смотрите слайды внимательно…
Кстати, игра начинается прямо сейчас: ZY7Z3FjvyaaboY8Et0OsYK2gq2ORz7sp5BM+Tlyq5dFC

❤️ До встречи на конференции!

Фиолетовый слоник ☀️

php2shell — самая громкая цепочка уязвимостей последних дней, включающая в себя две уязвимости, CVE‑2026‑109618 и CVE‑2026‑109619, позволяющая выполнить RCE в PHP. Уязвимы версии PHP < 8.2.35 < 8.3.36 < 8.4.27 < 8.5.12. 

👀 Кратко о CVE
CVE‑2026‑109618 связана с ошибкой обработки при исчерпании памяти. Когда PHP сталкивается с OOM-ситуацией, он может некорректно очистить временные файлы или освободить память, что приводит к повреждению внутренних структур данных.

CVE‑2026‑109619 является следствием первой ошибки. В частности, проблема в механизме session.upload_progress (отслеживание прогресса загрузки файлов), где после обновления данных сессии могут оставаться «висячие» указатели на уже освобожденную память (use-after-free).

Более подробно с техническими деталями уязвимости рекомендуем ознакомиться здесь.

На момент публикации поста насчитывается 466 репозиториев, посвященных php2shell. Важно отметить, что не все эти репозитории являются эксплойтами, часть из них — это рекомендации, патчи, примеры правил для различных СЗИ и лабораторные эмуляции. 
Лабораторные эмуляции могут представлять собой сгенерированные ИИ скрипты и тестовые стенды с уязвимым ПО, которое настроено специально так, чтобы RCE было выполнено. Они не доказывают реальность работы PoC/exploit в реальных условиях.  

💣 Теперь об эксплойтах
Универсального эксплойта, который бы подтвердил уязвимость для любых сервисов с PHP указанных версий, на сегодняшний день нет. Пока что подтверждена работоспособность на PHP 8.4.26 в определенной конфигурации Apache + mod_php. То есть эксплуатация гарантированно выполняется пока что только для конкретной сборки с конкретными настройками. Пример для лабораторной. Но даже она может выполниться не с первого раза.

Трафик эксплуатации для такой сборки мы приложим PCAP-файлом в комментариях.

✅ Способы защиты:
1) отслеживание создания системных шеллов от процесса сервера PHP;
2) отслеживание выполнения подозрительных команд от учетной записи, под которой работает сервер php (www-data, apache, php-fpm и т. д.);
3) правила IDS/WAF блокирующие POST-запросы, в теле которых передается PHP_SESSION_UPLOAD_PROGRESS;
4) обновление PHP до версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35;
5) проверка логов на POST-запросы с телом, содержащим большое количество данных, например Content-Length: >200000;
6) для PHP-FPM — отключение отслеживания хода загрузки сессии session.upload_progress.enabled=0 и установка значения memory_limit=-1
7) mod_php — установка memory_limit=-1

☀️ Новый кастомный linux-бэкдор RFRx003 атакует IT-компании

Всем привет! Мы обнаружили ранее неизвестный вредонос, нацеленный на скрытное и длительное присутствие в linux-инфраструктуре.

Самое интересное из расследования:
1️⃣ Хитрый обход защиты: дроппер запускал вредоносный код исключительно из директории /dev/shm (RAM-диск). Файлы содержатся только в оперативной памяти и не попадают на жесткий диск — это позволяет обходить мониторинг файловой системы, а после перезагрузки все улики стираются.
2️⃣ Маскировка под «своих»: для закрепления в системе создавался сервис timesync.service, мимикрирующий под штатный демон синхронизации времени systemd.
3️⃣ Профессиональный арсенал: бэкдор написан на языке C с использованием фреймворка Mongoose. Он поддерживает 16 команд, умеет строить SOCKS5-туннели для бокового перемещения по сети, отключает сохранение истории bash (HISTFILE="") и маскирует скачивание файлов под легитимный веб-трафик (запросы к /users/avatars).
4️⃣ Цель атаки: Получив root-доступ через уязвимость на периметре, атакующие несколько месяцев незаметно исследовали инфраструктуру и в итоге похитили данные почтовых ящиков сотрудников.

Читайте подробности у нас в блоге.

195 команд внутри одного HypeAgent 💣

Большинство современных вредоносов специализируется на одной задаче: краже паролей, удаленном доступе или загрузке других модулей. HypeAgent пошел другим путем: его авторы попытались собрать почти все возможные функции внутри одного трояна.

В исследованном образце реализовано 195 команд верхнего уровня. HypeAgent умеет похищать данные, управлять файлами и процессами, следить за пользователем, работать с сетью и разворачивать Hidden RDP. Есть и менее привычные возможности, например открытие дисковода, выключение монитора и управление корзиной.
Но сначала вредоносу необходимо попасть на компьютер.

В новой статье рассказываем:

👀 как устроена многоступенчатая доставка HypeAgent;
👀 почему внутри командного диспетчера находится 256 позиций, но реализовано 195 команд;
👀 какие возможности делают этот троян необычным даже на фоне современных RAT и стилеров.

Подробности уже в нашем блоге.

💣 Злоумышленники осваивают DLSS 5

Мы уже как-то напоминали, что бездумно тянуть сомнительные утилиты с гитхаба — идея не из разряда отличных. После волны хайпа вокруг DLSS 5 появилась очередная история: на просторах интернета нам попался установщик, внутри которого вместо графических библиотек лежал обфусцированный RAT'ник на .NET — не особо новый, но вполне живой XWorm.

Здесь злоумышленникам очень помогает контекст. Любые неофициальные сборки и DLSS-5-one-click-инсталлеры по своей природе ведут себя подозрительно: они шерстят файловую систему в поисках установленных игр, подтягивают сторонние компоненты вроде ReShade или отдельных библиотек и модифицируют файлы в директориях. С точки зрения поведенческого анализа это мало чем отличается от активности тех же инфостилеров. В итоге защитные решения и песочницы закономерно предупреждают детектами, к которым комьюнити быстро привыкает и списывает все на ложные срабатывания (FP).

Полноценной кампании по массовому заражению под этой вывеской мы пока не видим, и часть детектов действительно остается банальными FP. Но расслабляться не стоит: пока все привычно закрывают глаза на предупреждения антивирусов, в очередной раздаче вполне может оказаться чистый XWorm, который никакой DLSS вам и не установит.

SOLAR CTF уже через неделю! ☀

17 октября стартуют первые студенческие соревнования по кибербезопасности от «Солара» — возможность проверить свои навыки на практике, собрать команду и побороться за призы. Ровно неделя, чтобы успеть зарегистрироваться!

📍Что важно знать:
✦ Команды — до 5 человек
✦ Старт — 17 октября в 12:00 (МСК)
✦ Финиш — 18 октября в 12:00 (МСК)
✦ 24 часа на выполнение заданий

Общий призовой фонд — 300 000 ₽* + лимитированный мерч.

Участвовать можно, если тебе уже исполнилось 18 лет, ты студент, постоянно проживаешь на территории РФ и находишься в России во время соревнований.

Команды пока нет? Найти тиммейтов можно в чате SolarCTF

Собирай команду и регистрируйся на SolarCTF ❤

Подготовили таску для Solar CTF. Присоединяйтесь 👇