«Лаборатория Касперского» засекла группировку, которая атакует российские организации через Ravage — фреймворк для тестирования на проникновение с GitHub. Под ударом вузы, энергетика, госструктуры, дипломаты и финансы. Ravage опубликовали на GitHub осенью прошлого года как инструмент для легальных пентестов. Проблема в том, что грань между белым и чёрным хакингом размывается, когда открытый код попадает не в те руки. Злоумышленники получают готовую инфраструктуру для атак — не нужно писать эксплойты с нуля. Это не первый случай. Red Team-инструменты вроде Cobalt Strike, Metasploit, BloodHound регулярно всплывают в атаках. Разработчики публикуют под лицензиями для исследователей, а злоумышленники игнорируют лицензии и используют как хотят. GitHub удаляет репозитории, но форки и архивы уже разошлись. Что делать на стороне защиты? Мониторить threat intelligence: если инструмент светится в атаках, настраивать детекты. Проверять, не используют ли ваши команды безопасности те же тулзы без изоляции от прода — случайная утечка артефактов может дать злоумышленникам готовую карту инфраструктуры. Ещё важный момент: обучать команды распознавать индикаторы компрометации. Ravage, как и другие фреймворки, оставляет следы в логах — сетевые сигнатуры, специфичные запросы, поведение процессов. Грамотная настройка SIEM и EDR позволяет ловить такие активности на ранних стадиях. Вывод: открытые пентест-инструменты — палка о двух концах. Они помогают укрепить защиту, но требуют контроля использования и мониторинга угроз. Вопрос к вам: как в вашей компании организован доступ к Red Team-тулзам? Есть ли отдельные полигоны и детекты на случай утечки артефактов?