About PCIe DMA Cheats: Protocol, IOMMU, Hardware, and Detection

https://kernullist.github.io/kernullist-blog/posts/pcie-dma-cheats/

декомпилятор rust

https://github.com/sefcom/oxidizer

Я теперь не только вайбкодер, но и вайбфаззер. Одновременно поднял две Windows VM, в одной цель фазится с помощью WinAfl, в другой, та же цель фазится с помощью Jackalope. Данные генерю как с помощью LLM, так и с помощью Radamsa (на расте)

Попросил его дать иоки, вот результат:

Собранные IOC по кейсам (май 2026)

1. Lazarus Group (Contagious Interview / BeaverTail + OtterCookie)

Основной сервер:
- 195.201.104.53 (Linux, mixed с Windows-артефактами)

Порты и сервисы:
- 21 — FTP (FileZilla) — BeaverTail exfil credentials
- 6931 — OtterCookie Socket.IO C2 (live roster жертв каждые 30 сек)
- 6101 — дополнительный OtterCookie listener

Доставка:
- ~197 вредоносных npm-пакетов
- Git hooks (.githooks/pre-commit, post-checkout)
- package.json postinstall скрипты
- Fake GitHub-репозитории с «coding assessment»

2. Sandworm (APT44 / Seashell Blizzard)

Конкретных новых статических IOC (хэши/домены/IP) в открытых постах за последнюю неделю почти нет.

Известные TTP:
- Использование legacy-уязвимостей (EternalBlue, DoublePulsar, Log4Shell, Cobalt Strike)
- Активный lateral movement внутри OT/ICS сетей
- Фокус на инженерных станциях, HMI, PLC, RTU

Рекомендация: Смотреть отчёт Nozomi Networks и Microsoft Threat Intelligence по APT44.

3. Turla (Kazuar — новая P2P-версия)

Microsoft опубликовала отчёт ~14 мая 2026 («Kazuar: Anatomy of a nation-state botnet»).

Известно из отчёта:
- 4 хэша + 2 файловых IOC (в самом отчёте)
- YARA-правила

Новые компоненты:
- Pelmeni (dropper)
- ShadowLoader
- Модульная архитектура: Kernel + Bridge + Worker

Особенность: Нет фиксированных C2-доменов. Bridge-модуль маскируется под легитимный трафик (HTTP, WebSocket, Exchange Web Services).

4. Kimsuky

Прямые IOC:
- IP: 27.102.137.150
- Домены:
- nid-navercsv[.]servehalflife[.]com
- nid-navertnx[.]ddnsking[.]com

Дополнительные паттерны:
- *.dynv6.net
- *.ddnsking.com
- *.servehalflife.com

Новые инструменты:
- PebbleDash (новые варианты)
- HelloDoor (Rust-бэкдор)
- ChaCha20-encrypted backdoors
- Злоупотребление VSCode CLI tunnels

оплатил подписку Premium, подключил к своему гермесу, вдобавок к поиску теперь можно также использовать модели grok. Результат можете видеть на скрине

Threat hunting по твиттеру был затруднителен, но теперь как будто бы норм. Hermes теперь нативно может искать по твитам, если у тебя есть premium в X

https://x.com/NousResearch/status/2055748546679472322

Думаю попробую. Гермесом я уже пользуюсь, пробовал локальные модели с ним, пока все нравится.

Обновление asm resolver

https://github.com/Washi1337/AsmResolver

Neural network RDP cache reconstruction tool

https://github.com/BZDaniel/RDPuzzle

grok улучшил перевод китайского

The Mythos We Have At Home: A Patch-Diffing Pipeline for N-Day Generation

https://www.originhq.com/blog/patch-diffing-pipeline

Для анализа малвари я часто использую эмулятор Speakeasy. Запускаю в докере, без выхода в интернет, сеть эмулируется внутри. Инструмент очень хороший, но проблема в том, что speakeasy "из коробки" имеет очень лимитированный api handlers, из-за чего не может нормально эмулировать реальные образцы малвари.

Для исправления этой проблемы я прогнал 6000 разнообразных (по размеру, по семейству, по типу) образцов через стоковый speakeasy. Во время этой задачи Claude Opus и OpenAI GPT-5.5 (все на max/xhigh effort) несколько ночей на ходу исправляли проблемы, которые мешали эмулировать тот или иной образец. Цикл исправлений был такой:

1. Запускаем образец в Speakeasy.
2. Эмуляция останавливается на missing/incomplete API handler или runtime edge.
3. LLM-агент анализирует падение, пишет API hook с правдоподобной Windows-семантикой.
4. Пересобираем Docker image и перезапускаем упавший образец

Образцы для прогона я брал из самых свежих архивов InTheWild (апрель, май 2026) у VXUG.

Из интересного:
было прогнано 231 семейство малвари
среднее время эмуляции образца 35 секунд
API вызовов - в среднем 8765, медианная 210
Суммарное время эмуляции всех 6000 образцов: 56.8 часа, 2.37 суток
Суммарное время эмуляции всех 6000 орбазцов + работа ИИ над исправлениями: 93.7 часа = 3.9 суток

В итоге обвязка над Speakeasy получилась около 40k строк кода, примерно 3.7k API хуков и 82 overlay-модуля.

Все эти наработки я выложил на гитхабе:

https://github.com/thatskriptkid/speakeasy-extensions

P.S. Советую вам также скачать все стандартные windows DLL и подложить их speakeasy через параметр -l или как описано в моей репе:

export SPEAKEASY_MODULE_DIR_X64=/path/to/windows/x64/modules

export SPEAKEASY_MODULE_DIR_X86=/path/to/windows/x86/modules

Пользуюсь Codex (GPT 5.5) и уже неоднократно сталкиваюсь с проблемами связанными с лицензией в различных гитхаб репах. Видимо гайки и тут подкрутили. Типа я говорю, интегрируй мне в проект вот эту репу, он говорит так там такая-то лицензия, не могу

IDA plugin contest

https://hex-rays.com/plugin-contest/2025

Compact edge-AI SBC

https://sipeed.com/k3

Static Devirtualization of Themida

https://back.engineering/blog/09/05/2026/

https://github.com/backengineering/themida-devirt

Интересная вещь, для анализа малвари

https://github.com/thefLink/Hunt-Weird-Syscalls

ProcMon-MCP
https://github.com/0xhackerfren/ProcMon-MCP

Мой пайплайн по анализу андроид приложений:

Stage 0 — APK Metadata (apk-info):

Мгновенный парсинг (~2мс) манифеста без декомпиляции: пакет, SDK-версии, все permissions, exported-компоненты, подписи (v1/v2/v3), security profile. Уже на этом этапе детектит: debuggable-флаг, v1-only подпись (уязвимость Janus, CVE-2017-13156), привилегированные системные permissions, exported ContentProvider'ы без защиты.

Stage 1 — Декомпиляция + сканирование APK (параллельно):

Всё запускается одновременно:
• JADX — декомпиляция DEX → Java (8 потоков, 60-180с)
• apktool — распаковка ресурсов, AndroidManifest.xml, нативных .so библиотек (5-15с)
• dexfinder — поиск использования скрытых Android API + трассировка цепочек вызовов
• Mariana Trench — taint-анализ потоков данных от Meta (source→sink)
• Trueseeing — Dalvik bytecode scanner
• Автодетект Flutter → Blutter (реверс Dart-кода), React Native → декомпиляция Hermes

Stage 2 — Статический анализ (параллельно):

• 184 regex-правила — быстрый pattern matching по декомпилированным исходникам
• 331 semgrep-правило — AST-анализ (taint tracking, data flow)
• Анализ Blutter pp.txt (Dart-символы для Flutter-приложений)
• dexfinder call chain tracing — трассировка цепочек вызовов от exported-компонентов к уязвимым методам

Stage 3 — Merge + фильтрация + обогащение:

• Дедупликация по (rule_id, file, line)
• SDK-фильтр (732 паттерна) — убирает 98% шума от Google, Firebase, OkHttp, Retrofit и ещё 150+ SDK
• Классификация severity через RoBERTa модель
• Аннотация exported-статуса: кросс-проверка finding → AndroidManifest → dexfinder reachability
• RAG-обогащение каждого finding контекстом из базы знаний

Stage 4 — LLM-анализ (6 агентов параллельно):

Каждый агент — специалист в своей области, получает только релевантные findings + RAG-контекст:
• Agent 1: Manifest + Attack Surface
• Agent 2: Network + TLS
• Agent 3: Auth + Cryptography
• Agent 4: WebView + JS Bridge
• Agent 5: Business Logic
• Agent 6: Native Libraries
• Agent 7 (Judge): валидирует CRITICAL/HIGH от всех агентов, отсекает false positives

RAG Knowledge Base:

• 9675 chunks в ChromaDB (гибридный поиск: BM25 + vector + RRF)
• 1547+ отчётов из 18 источников:
— OWASP MASTG: 120 (тестовые процедуры с примерами кода)
— HackerOne: 170 (реальные bug bounty отчёты с PoC)
— MITRE ATT&CK Mobile: 124 (техники атак, детекция, митигации)
— Security blogs: 207 (Google, Zimperium, Lookout, Check Point)
— Samsung Bulletins: 111 (Samsung-specific CVE)
— NVD: 250 (CVE с CVSS)
— Exploit-DB: 50
— Android Bulletins: 34
— CISA KEV: 23
— Собственные аудиты: 144
— Прочие: arXiv, VulCorpus (94 OWASP Top-10 сэмплов)
• Граф знаний: 5597 узлов, 9213 связей (CVE↔️CWE↔️MITRE↔️MASTG)
• 970+ code snippets в отдельном индексе