Упал отжался — Встал разжался

После захвата даркнет-сайтов BlackSuit появилась новая группировка Chaos, которая требует по $300K за расшифровку.

В июле правоохранители накрыли инфраструктуру BlackSuit. На их сайтах утечек красуется баннер с логотипами 17 спецслужб. Но криминальный бизнес не терпит пустоты. Cisco Talos обнаружили, что команда быстро переобулась в бренд Chaos.

Эти «Новички» используют классический вишинг. Заваливают жертву спамом с просьбой «срочно перезвонить в техподдержку», а по телефону уговаривают запустить Microsoft Quick Assist. Получив доступ, устанавливают RMM-инструменты вроде AnyDesk и ScreenConnect для постоянного присутствия.

Технически всё знакомо — разведка через ipconfig и nltest, сброс паролей доменных учёток, отключение MFA. Данные воруют легитимным GoodSync, замаскированным под wininit.exe, а шифровальщик работает через ECDH и AES-256.

Параметры шифрования и структура записок практически копируют BlackSuit. Только вместо /id теперь /lkey)) За несколько месяцев работы по этой схеме Chaos успели обработать Optima Tax Relief, Армию спасения и Berkeley Research Group.

НеКасперский

Подписка на выживание

Broadcom решил заставить пользователей VMware платить за безопасность, заблокировав обновления для владельцев бессрочных лицензий.

Компания обещала «бесплатный доступ к патчам нулевого дня», но на деле создала систему проверки прав доступа, которая блокирует загрузку исправлений на 90 дней. Похоже на часть стратегии принуждения к подписочной модели после поглощения VMware за $61 млрд.

Европейские облачные провайдеры уже подали в суд на Еврокомиссию, обвиняя Broadcom в недобросовестной конкуренции и десятикратном росте цен. Параллельно хакерская группа Scattered Spider развернула массовую кампанию против серверов VMware ESXi.

VMware и без того регулярно становится мишенью хакеров. Мы уже рассказывали о том, как Scattered Spider атаковала Marks & Spencer через ESXi, нанеся ущерб в 700 млн фунтов. BlackJack и Twelve также регулярно эксплуатируют критические дыры в необновляемом у нас vCenter.

Broadcom, видимо, решил, что лучший способ защитить VMware — это сделать её недоступной 🤷‍♂️

НеКасперский

Особые дипотношения

ФСБ России провела атаку на иностранные посольства в Москве.

Подразделение-группировка Secret Blizzard, ассоциированная с ведомством, вероятно, использовала российскую телеком-инфраструктуру, включая систему SORM, для внедрения вредоноса ApolloShadow. Это позволило снять TLS/SSL-шифрование с переписки, похитить учетные данные и установить поддельные корневые сертификаты.

Microsoft рекомендует пострадавшим перейти на спутниковый интернет или VPN и внедрить MFA, регулярно аудировать привилегированные учётные записи и блокировать запуск неподписанных или недоверенных исполняемых файлов и скриптов.

Рекомендации звучат особенно иронично на фоне легализации тотального доступа к данным в стране. В итоге дипломаты станут жертвами не сложных эксплойтов, а обыкновенной бумажной работы операторов.

НеКасперский

Отчеты о потерях

Пророссийская группировка использует документы о «боеготовности» и «потерях личного состава» для кибератак против Украины.

Hive0156 продолжает целенаправленные кибератаки против Украины, используя троян Remcos RAT. Вредоносные ярлыки маскируются под фейковые документы как бы украинских спецслужб.

Целями стали военные, чиновники и оборонные подрядчики, что привело к компрометации данных о дислокации войск и рискам для критической инфраструктуры. Отдельные атаки фокусировались на взломе чатов украинских военных, дезорганизации систем связи и сборе чувствительной информации.

Фильтровать фишинговые «документы о потерях» теперь новая боевая задача ВСУ.

НеКасперский

Краснокнижная крипта

ИИ-сгенерированное вредоносное ПО Koske прячет криптомайнинг за изображениями панд.

Хакеры эксплуатируют неправильно настроенный веб-сервер JupyterLab для загрузки изображений. В эти картинками был целенаправленно внедрен вредоносный код.

Основная цель вредоноса — добыча криптовалют. Скрипт загружает майнер и динамически выбирает из 18 поддерживаемых криптовалют наиболее выгодную на основе характеристик атакованной машины. Если добыча одной валюты прекращается, троян автоматически переключается на другую.

Также исследователи из Aqua Security обнаружили, что уязвимость явно разрабатывалась с помощью ИИ.

Вайбкодинг вышел на новый уровень.

НеКасперский

Abc123

Примерно неделю назад от атаки проукраинских хакеров пострадала инфраструктура российской электротехнической компании MINIMAKS.

В своих социальных сетях участники 4BID написали, что им удалось получить доступ к четырём доменам с централизованным управлением, складами, логистикой, системами SCADA, СКУД и др.

По словам группировки, в результате нападения было зашифровано более 120 серверов, скомпрометирована вся структура Active Directory, учётные данные, архивы почтовых ящиков, VPN-профили, резервные ключи, а также сведения 1С и SQL, включающие архивы, финансовые отчёты, логи и БД.

Хакеры заявили, что инфраструктура пострадавшей компании построена на доверии и паролях без MFA, именно поэтому MINIMAKS потеряла контроль над важными системами, восстановление которых возможно только с нуля.

НеКасперский

Раскрошились

Пророссийская группировка KillNet совершила нападение на французскую телекоммуникационную компанию Société Française des Télécoms.

Хакеры сообщили, что всего за несколько недель им удалось взломать более 1500 серверов, вся информация из которых вскоре была удалена. Атакующие оставили только один файл, где написали о слабой безопасности французских интернет-провайдеров и сетевых устройств.

Заявляется, что в результате нападения получен доступ к роутерам, Wi-Fi модемам, управляемым маршрутизаторам и коммутаторам, включая Rock Space, Moxa, D-Link и др. Все скомпрометированные устройства были отключены, а логи трафика выгружены.

Это вам не круассаны печь 🥐🥖🇫🇷

НеКасперский

Судебная буря

Неизвестная хакерская группировка обрушила свои атаки на электронные системы федеральных судов США, взломав критически важные платформы CM и PACER и оставив после себя пустые базы данных, откуда исчезли тысячи секретных документов.

Злоумышленники проникли в сеть через эксплуатацию уязвимостей в устаревших модулях управления делопроизводством. После они сумели обойти многофакторную аутентификацию и установить каналы удаленного управления.

В результате атаки были похищены личные данные анонимных информаторов уголовных дел, засекреченные обвинительные заключения, ордера на обыск и арест, а также внутренние протоколы и материалы о сотрудничестве подозреваемых со следствием.

На основе предыдущей атаки на суд Канзаса, восстановление нормальной работы может затянуться на несколько месяцев.

Это вам не бургеры жарить 🍔🇺🇸

НеКасперский

Схлопнулись

Против неизвестных хакеров, парализовавших администрацию Миннесоты, ввели войска.

О «скоординированной цифровой атаке» профессионалов заявил Мэр города, после чего губернатор ввёл Национальную гвардию.

Хакеры вырубили платежи ЖКХ, библиотечные сервисы, муниципальную VoIP-связь. Только экстренный 911 устоял. Злоумышленники сразу запустили волну фальшивых счетов горожанам. Полицейский департамент Северного Сент-Пола полностью потерял управление, подключив внешних экспертов.

ФБР и Нацгвардия расследуют методы взлома. Город в режиме ЧП на 90 дней. Системы города не работают вот уже 3 недели, а их восстановление займёт месяцы. Данные жителей целы, но личная информация сотрудников под угрозой.

НеКасперский

Испарились

Хакеры украли персональную информацию пользователей Cisco.

Злоумышленник убедил сотрудника предоставить доступ к CRM-системе компании. Cisco подтвердила утечку профильных данных пользователей. Они сообщили, что выгружены имена, адреса организаций, email и телефоны с метаданными аккаунтов. Как заявляет компания, пароли, финансовая информация и корпоративные ресурсы не затронуты.

Число жертв не раскрывается, но персонал экстренно обучают распознаванию фишинг атак)0)0))

Инцидент повторяет схему недавнего взлома Allianz Life через уязвимости Salesforce. Ответственность не взята, но цифровой почерк указывает на группировку ShinyHunters.

НеКасперский

Навайбкодились…

В Cursor выявили две критические уязвимости. Через IDE можно было заставить выполнять любой код и прописать автозапуск. Потенциально под ударом миллионы пользователей.

Уязвимости CurXecute и MCPoison возникли из-за слепого доверия к MCP-серверам и игнорирования базовой безопасности со стороны разработчиков. Anysphere усилила проверки MCP, запретила самозапись, ввела двойное подтверждение смены сервера и allowlist. Фикс занял от 1 до 13 дней. Всего этого в утилите, соответственно, не было предусмотрено вот уже больше года.

Сценарий взлома тривиален. Комбинация подмены и промпт‑инъекций превращала помощника в диверсанта. Это открывало путь к удаленному выполнению кода, краже токенов, доступу к исходникам и так далее.

Теперь можно снова вайбкодить. Но только с включённым мозгом.

НеКасперский

Без связи

Жители Краснодарского края массово жалуются на перебои связи и мобильного интернета.

За сутки поступило более 7 тысяч жалоб, где пользователи пишут о проблемах при попытках зайти в соцсети и мессенджеры, вызвать такси, арендовать самокаты и каршеринг, заказать доставку, совершить безналичную оплату и др.

Больше всего обращений поступает от клиентов Мегафон, МТС, YOTA и Билайн. В то же время на территории региона объявлена угроза атаки БПЛА, из-за чего могут быть введены ограничения. Похожие проблемы в течение месяца наблюдаются в Ростовской области.

Часть нашей редакции из Сибири тоже столкнулась с перебоями. В комментариях под подобными постами вы часто пишете, что мы не упомянули ваш регион, поэтому делитесь в комментариях, кто откуда и как долго нет связи?

НеКасперский

Модный взлом

Французский дом моды Chanel стал жертвой атаки группировки ShinyHunters через платформу Salesforce, скомпрометировав данные американских клиентов.

Теперь подъехали подробности масштабной кампании. Все эти модные бренды, взломанные недавно, в том числе сам Chanel, Adidas, Louis Vuitton, Dior, Qantas, Allianz Life — пострадали от одной схемы.

По данным аналитиков, ShinyHunters и Scattered Spider сотрудничают. Первые взяли на себя роль получения доступа, а вторые крадут данные.

Хакеры использовали наш любимый вишинг, выдавая себя за IT-поддержку и убеждая сотрудников установить вредоносную версию Salesforce Data Loader. Через OAuth-приложение получали доступ к CRM-порталу, выгружали базы клиентов и переходили к латеральному движению в Okta, Microsoft 365 и другие связанные платформы.

ShinyHunters пока не публиковали украденные данные, ограничиваясь частными требованиями выкупа. При отказе грозят массовыми утечками.

НеКасперский

Вьетнамские флешбеки

От модернизированной версии инфостилера PXA Stealer, написанного на Python, пострадало более 4 тысяч жертв по всему миру.

Об этом сообщили исследователи из Beazley Security и SentinelOne. По их словам, хакеры используют вредонос для кражи и продажи конфиденциальных данных.

Впервые малварь обнаружили ещё в ноябре прошлого года. Тогда в Cisco Talos заявили, что она эксплуатируется для нападений на госорганизации в Европе и Азии. С её помощью атакующие могли получить доступ к учётным данным, сведениям о криптокошельках и банковской информации.

С новым PXA Stealer вьетнамские хакеры используют DLL side-loading и сложные цепочки запуска, чтобы скрыть следы преступления. DLL управляет всеми этапами заражения, показывает жертве уведомление-приманку и запускает стилер.

Эта версия вредоноса способна красть cookie, информацию о VPN, доступ к облачным сервисам, данные с внешних дисков и др. Стилер затронул 62 страны, включая США, Нидерланды, Южную Корею, Венгрию и Австрию.

НеКасперский

Телега не едет

Тысячи пользователей по всей России массово жалуются на сбой в работе Telegram.

За сутки было зафиксировано более 4 тысяч обращений, где юзеры пишут о проблемах при попытках открыть мобильное приложение, загрузить контент, отправить сообщение, записать голосовое и совершить видеозвонок.

Накануне в инфополе разлетелась новость о том, что «большая четвёрка» операторов мобильной связи выдвинула инициативу запретить в РФ звонки через Telegram и WhatsApp. МТС, МегаФон, Билайн и Tele2 оправдывают такое предложение решением проблемы мошенничества.

Точные причины неполадок неизвестны, однако не исключено, что это связано с тестами по ограничению звонков.

Отмечайтесь, заметили сбой? 👍🏼/👎🏼

НеКасперский

На диету

От действий проукраинских хакеров пострадало сразу три российские организации.

В своих социальных сетях группировка Хакерський Кiт заявила о взломе компании ООО «ИТ Решение», из-за чего пострадали две сети ресторанов, которые она обслуживала.

По их словам, в результате нападения пострадали заведения «Кореана» и «Италико». Были скомпрометированы конфиденциальные данные с корпоративных компьютеров, IoT-устройства, системы 1С, SMB и три Linux-сервера с бэкапами объемом 5 ТБ.

Атакующие заявили, что им удалось получить доступ к маршрутизаторам, системе управления сетью Netbox и камерам видеонаблюдения. Сообщается, что вся украденная информация была зашифрована.

Если раньше проукраинские хакеры взламывали российские компании исключительно по политическим соображениям, то сейчас они преследуют цель наживы и требуют за дешифровку выкуп в размере $9666.

НеКасперский

Глаза и уши

С 1 сентября «национальный» мессенджер MAX станет обязательным к установке на все новые смартфоны в России. Соответствующие положения закреплены федеральным законом.

По словам руководителя московского центра правопорядка, помимо привычных функций, в приложение интегрируют нейросеть GigaChat и Госуслуги. Оно также будет выступать в качестве канала для финансовых операций и получения документов на электронную подпись.

Это решение оправдывают удобством выполнения повседневных задач, таких как вызов такси, оплата штрафов, взаимодействие в рабочих и образовательных чатах. Некоторые госучреждения уже тестируют мессенджер в качестве платформы для взаимодействия.

Напомним, что политика MAX поддерживает передачу конфиденциальных данных пользователей государственным органам, при этом end-to-end-шифрование пока только в проекте.

Но раз Мизулина сказала, надо скачивать 💅🥵💦

НеКасперский

Под наблюдением

Уязвимости в камерах видеонаблюдения Axis Communications позволяют атакующим получить доступ к вашей корпоративной сети.

Об этом рассказали специалисты из Claroty. По их словам, ошибки были обнаружены в сервере для настройки и администрирования парка камер Axis Device Manager и в клиентском ПО для просмотра видеопотоков Axis Camera Station.

Брешь позволяет хакерам без авторизации захватить полный контроль над серверами и устройствами, получить доступ к трансляциям, менять настройки камер видеонаблюдения и запускать вредоносный код.

Хотя официально такие атаки зафиксированы не были, сетевые сканирования показывают, что под угрозой находится более 6 тысяч серверов, публично использующих собственный протокол Axis.Remoting.

НеКасперский

Тихий рекорд

Крупнейший в истории взлом криптовалют остался незамеченным почти пять лет. Из китайского пула LuBian украли 127 тысяч BTC стоимостью $14,5 млрд по нынешним курсам.

Атака произошла в декабре 2020 года, когда злоумышленники за сутки вывели свыше 90% запасов пула. Тогда украденные биткоины стоили всего каких-то $3,5 млрд. Хакеры эксплуатировали слабый алгоритм генерации приватных ключей, их можно было подобрать банальным брутфорсом.

LuBian попытался договориться с ворами через блокчейн. Пул отправил 1516 сообщений OP_RETURN на адреса хакеров, умоляя вернуть средства и предлагая вознаграждение. Потратили на эти «цифровые мольбы» 1,4 BTC, но ответа так и не получили.

Компания Arkham Intelligence обнаружила взлом только в 2025 году, проанализировав транзакции в блокчейне. До этого никто не знал о краже — ни LuBian публично не признавался, ни хакеры не хвастались. Украденные средства до сих пор лежат практически нетронутыми в кошельках злоумышленников.

Теперь анонимный вор 13ый в списке самых крупных держателей биткоинов в мире 😮

НеКасперский

Архивный беспредел

Российская группировка RomCom эксплуатировала zero-day в WinRAR, позволяющую тайно устанавливать малварь при распаковке архивов.

Хакеры спамили поддельными CV почту финансовых, оборонных и логистических компании Европы и Канады. При открытии архива жертва видела лишь несколько ошибок WinRAR, пока малварь проникал в автозагрузку Windows.

RomCom развернула три цепочки заражения с бэкдорами Mythic Agent, SnipBot и MeltingClaw. Группировка даже проводила предварительную разведку, встраивая в код проверку доменного имени компании-цели.

Это уже не первая подобная уязвимость архиватора. Ранее мы рассказывали о критических дырах, которые тоже позволяли исполнять вредоносный код. WinRAR 7.13 закрыл дыру ещё 30 июля, но обновления в утилите не предусмотрены)00))0))

НеКасперский