Ничто так не греет прохладной осенью, как чтение самых популярных постов нашего канала, которые вы могли пропустить во время летних каникул. Представляем наш Top10-дайджест за третий квартал (июль-сентябрь):
(1) Виктор Зварыкин снова стал “фаворитом года по версии жюри” на конкурсе Pentest Awards. Кейс Виктора в стиле “Лабиринта отражений” — это история о том, как небезопасный сериализатор BinaryFormatter помог получить RCE:
https://purpleshift.io/ru/purple/2026-08-24-frqw/
(2) Ретранслятор для видеоконференций, известный как TURN-сервер, может быть использован злоумышленниками для проксирования трафика куда угодно. Как выявить такую атаку, объясняет Марсель Шагиев:
https://purpleshift.io/ru/purple/2026-07-29-xfzo/
(3) В проектах по анализу защищённости наша “красная команда” часто пользуется Mythic-агентами. Однако Mythic C2 не располагает встроенным egress-профилем, способным инициировать исходящее TCP-соединение к P2P-агенту. Наш эксперт Олег Сенько разработал bind_tcp_agent — виртуальный колбэк внутри Mythic, который закрывает этот пробел:
https://purpleshift.io/ru/purple/2026-08-17-itqn/
(4) Бесфайловые атаки в Linux-системах, не оставляющие вредоносного ПО на диске, позволяют злоумышленникам обходить традиционные средства детектирования. В статье Амжеда Ваги разобрана подобная атака на основе системного вызова memfd_create:
https://purpleshift.io/ru/purple/2026-06-29-onsd/
(5) Ещё одна техника линуксовых атак, которые могут обойти EDR, основана на использовании расширенных атрибутов (xattr): благодаря этой фиче злоумышленник может спрятать вредоносный код в легитимном и доверенном файле. Александр Головин объясняет, как детектировать попытки сокрытия вредоносной нагрузки в расширенных атрибутах:
https://purpleshift.io/ru/purple/2026-09-04-byck/
(6) Кейс Сергея Кабанова получил 3-е место на конкурсе Pentest Award 2026 в номинации “Kill Chain”. Чтобы пробить внешний периметр и захватить продовый k8s кластер заказчика, достаточно было использовать пару старых, но не пропатченных уязвимостей, а также мисконфигурации нескольких сервисов:
https://purpleshift.io/ru/purple/2026-09-30-sqsc/
(7) Техника ClickFix состоит в том, чтобы заставить пользователя самостоятельно выполнить вредоносный код на своём компьютере. Эти атаки работают одинаково хорошо и на Windows, и на MacOS, и в Linux-средах. Различные варианты ClickFix-атак, а также методы их детектирования описал Вадим Грачёв:
https://purpleshift.io/ru/purple/2026-08-27-jssw/
(8) Самый надёжный способ обойти систему безопасности — это отключить её. Такой пример был показан в докладе Кирилла Магаськина “GERT Recap: Самые интересные техники и громкие фейлы злоумышленников” на конференции OFFZONE. Этот августовский пост был лишь анонсом доклада, но сейчас уже доступна полная запись выступления Кирилла (см. вторую ссылку, на VKVideo):
https://purpleshift.io/ru/purple/2026-08-19-pjsy/
https://vkvideo.ru/video-172362100_456239378
(9) Наша “синяя команда” обнаружила новую русcкоговорящую группировку Citrus, которая атакует исключительно российские компании и использует PS-скрипты, сгенерированные с помощью LLM. Первый пост на эту тему был довольно коротким, но скоро мы опубликуем подробное расследование атак этой группы. Там будет, в частности, показана возможная связь Citrus c уже известной группировкой Toy Ghouls (Labooboo, Bearlyfy, Feral Wolf):
https://purpleshift.io/ru/purple/2026-09-28-bnqj/
(10) Octopus Deploy — популярный инструмент для автоматизации развертывания приложений и управления CI/CD-процессами. При этом злоумышленники могут добыть ценные данные из Octopus, даже если у них нет доступа к веб-версии инструмента. В посте Кирилла Николаева рассказано, как устроена такая атака и как её предотвратить:
