Группа киберразведки PT ESC представила обзор кибератак за IV квартал 2025 года ✍️

В отчете проанализирована активность хакерских группировок, нацеленных на российские организации — от госсектора и ВПК до промышленности, финансов и телекоммуникаций.

Описана активность APT31, ExCobalt, QuietCrabs, Rare Werewolf, PseudoGamaredon, а также финансово мотивированных Werewolves, NetMedved, Silver Fox и Hive0117.

✉️ Основные векторы первоначального доступа:

• Таргетированный фишинг с легендами деловой переписки, уведомлений от государственных ведомств и закупочной документации;
• Запароленные архивы с LNK-, SCR-, EXE-загрузчиками и документами-приманками;
• Эксплуатация свежих RCE-уязвимостей с массовым сканированием внешних сервисов;
• Компрометация подрядчиков и открытых RDP-сервисов.

🔧 Ключевые тенденции и техники:

• Постоянная эволюция инструментария;
• Активное использование легитимных сервисов и облаков для скрытного управления;
• Новые способы закрепления;
• Стеганография и многоступенчатые цепочки;
• Быстрая эксплуатация уязвимостей нулевого и энного дня.

Ознакомиться с отчетом можно в нашем блоге.

#TI #APT #Malware #Phishing
@ptescalator

🦸 Как мы сделали антивирус в MaxPatrol EPP — и почему это только начало

За год мы прошли путь от идеи до коммерческого запуска собственного антивируса для B2B-сегмента. В конце прошлого года MaxPatrol EPP стал доступен заказчикам и вместе с MaxPatrol EDR вошел в состав решения MaxPatrol Endpoint Security для защиты устройств как от массовых, так и от целевых атак.

🏃‍♂️ Но запуск — не финал, а точка старта. В 2026 году мы ускоряемся: будет больше сигнатур, больше умных и удобных фич, шире поддержка операционных систем — еще более выверенной станет защита устройств, на которых держится бизнес. При этом мы продолжим масштабировать и углублять антивирусную экспертизу для всех наших существующих продуктов.

В видеоинтервью команда рассказала о существующих возможностях MaxPatrol EPP и наших планах. А первые большие обновления покажем совсем скоро — уже в мае, на Positive Hack Days Fest.

👀 И небольшой бонус для самых внимательных: в конце видео проверяем, смогут ли наши эксперты справиться с вирусами без MaxPatrol EPP.

#MaxPatrolEPP
@Positive_Technologies

Взломаем тестовую инфраструктуру с PT Dephaze в прямом эфире

Да, вам не показалось: присоединяйтесь к Dephaze Live Hack Show 12 февраля в 12:00 и убедитесь сами.

Готовьтесь к зрелищному взлому в LIVE-режиме — без монтажа и цензуры. Вы узнаете, как PT Dephaze находит слабые места в зрелых инфраструктурах и обходит средства защиты.

❗️ Важно: ни один реальный сервер в процессе не пострадает, экспериментируем в изолированной среде.

👀 Объясним, что вы увидите: все происходящее будут комментировать наши эксперты с большим опытом пентестов. Они пошагово разберут каждую из цепочек атак и расскажут, почему автопентест действует именно так. А также, как устранить обнаруженный вектор атаки и смог ли бы человек обнаружить его самостоятельно.

👍 Поможем сделать выводы: вы научитесь работать с полученными результатами, готовить инфраструктуру к ручному пентесту и сможете оценить эффективность автоматизации этого процесса.

👉 Регистрируйтесь заранее, готовьте вопросы и приходите на вебинар, даже если вам «просто посмотреть».

#PTDephaze
@Positive_Technologies

📣 Знакомы с молодыми специалистами по кибербезопасности из разных стран? Срочно перешлите им этот пост!

Мы открыли прием заявок на третью смену Positive Hack Camp — международного образовательного проекта в сфере кибербезопасности от Positive Education. Он пройдет с 25 июля по 9 августа в Москве. Заявки принимаем до 9 апреля. Лучше поспешить: в прошлый раз конкурс был как в хороших вузах — почти девять человек на место!

✌️ Кого мы ждем в лагере?

Мотивированных и инициативных иностранных специалистов 18–26 лет, у которых есть базовые знания в ИТ и английский язык не ниже уровня B1.

Всем, кто пройдет первый этап отбора, нужно будет пройти онлайн-собеседование, и уже к 30 апреля мы сформируем список участников на этот год.

Летом ребят ждет двухнедельный интенсив, на котором наши лучшие эксперты поделятся своим опытом и знаниями, помогут прокачать скилы и сделать важные шаги в профессии. А еще — знакомство с Москвой и ее архитектурой, русской культурой и историей.

Первый Positive Hack Camp прошел в 2024-м, в нем участвовали 70 молодых исследователей ИБ из 20 стран. Через год участников было уже 90, да и география расширилась: к нам приехали исследователи из 25 стран Азии, Африки и Ближнего Востока.

Мы передаем наши знания и экспертизу, помогаем десяткам стран готовить специалистов, которые уже скоро будут отвечать за их киберустойчивость и цифровой суверенитет и делать мир лучше и безопаснее.

P. S. Спасибо каждому, кто расшарил пост, вы тоже внесли свой вклад в глобальную кибербезопасность 💜

#PositiveEducation #PHCamp
@Positive_Technologies

🎉 UPD: Розыгрыш завершен! Проверить результаты

Как получить доступ ко всему: реверс-инжиниринг 😎

У нас важный анонс: мы сняли первый в мире научно-популярный фильм о реверсе и приглашаем вас на его премьеру в Москве!

Это документальное кино о том, как люди учатся понимать внутреннее устройство сложных технологических систем, разбирая их по частям. Ведь только так можно получить ключ и к сути вещей, и к замыслам их создателей — по сути, ко всему.

В фильме мы с интересом и любовью рассказываем о развитии реверса за последние 100 лет — от промышленности после Первой мировой и больших ЭВМ до ИИ и «киберпанка, который мы заслужили» в ближайшем будущем.

Трейлер прикрепили к посту и добавили на Rutube.

В проекте приняли участие практики и исследователи из Positive Technologies, «Лаборатории Касперского», Т-Банка, «Иви», SR Space, Музея криптографии, «Росатома», Elverils, интернет-проекта «Я помню» и другие неравнодушные люди и организации.

Премьерные показы пройдут 27 и 28 февраля, и у нас есть 30 пар билетов, которые мы хотим подарить вам (не больше двух в одни руки) 🍿

Все гости показов не только первыми увидят кино, но и смогут посетить специальные экскурсии по фиджитал-пространству проекта Кибердом с тематическими инсталляциями — Музеем истории реверса и «Лабораторией реверсеров».

🎫 Как получить билет? Мы решили пойти по простому пути и разыграть их с помощью рандомайзера. Поэтому просто нажимайте кнопку «Участвую!» под этим постом, а 19 февраля в 17:00 мы объявим победителей.

Если выиграть билет или приехать в Москву на премьеру не получится, не расстраивайтесь: скоро фильм можно будет бесплатно посмотреть в стриминговых сервисах.

@Positive_Technologies

🔥 🌐🐈‍⬛📇🖥 🥷👀🔥

💪 Прокачиваем киберустойчивость промышленных объектов с PT ISIM 5

Уже не первый год промышленность стабильно входит в тройку самых атакуемых отраслей по всему миру. Недостаточная защита от вредоносов, не найденные вовремя уязвимости и отсутствие мониторинга отдельных объектов инфраструктуры — основные риски, «благодаря» которым кибератака может оказаться успешной.

Фичи, которые появились в обновленном PT ISIM, позволяют системно работать с этими рисками, минимизировать опасность и смело говорить хакерам «ты не пройдешь»🧙‍♂️

На вебинаре 19 февраля в 14:00 поделимся подробностями и научим пользоваться новыми возможностями продукта, среди которых:

🔴антивирус для защиты от наиболее распространенных угроз для АСУ ТП;

🔴система управления уязвимостями, чтобы найти и оценить опасность недостатков защиты до того, как это сделают злоумышленники;

🔴новая архитектура сбора данных с изолированных объектов для получения информации с площадок, которые раньше были недоступны для непрерывного мониторинга ИБ.

Все покажем, расскажем и ответим на ваши вопросы. Регистрируйтесь заранее и присоединяйтесь!

#PTISIM
@Positive_Technologies

UnsolicitedBooker: этот непрошеный боксер с 1 репорта ляжет 🥊

Осенью 2025 года команда Threat Intelligence экспертного центра кибербезопасности Positive Technologies обнаружила атаки на телекоммуникационные компании Кыргызстана. Злоумышленники рассылали тематические фишинговые письма, которые содержали вредоносные документы с макросом. Уже на этом этапе внимание привлекло использование необычных инструментов китайского происхождения в самих документах.

В качестве вредоносного ПО атакующие использовали два бэкдора. Первый — MarsSnake — ранее упоминался лишь в квартальном отчете ESET. Второй — LuciDoor, который мы назвали так из-за необычной особенности настройки шрифта Lucida Console 11x18 для корректного отображения текста в терминале.

👋 В 2026 году злоумышленники снова объявились, но в этот раз с атаками на телекоммуникационные компании Таджикистана. Саму активность мы атрибутируем восточноазиатской группировке UnsolicitedBooker. Ранее, по наблюдениям исследователей, группировка атаковала Саудовскую Аравию.

В нашей статье мы подробно рассказали об обнаруженных атаках, полностью разобрали функционал LuciDoor и MarsSnake и показали, какой общий инструмент используют UnsolicitedBooker и Mustang Panda 🐼

#TI #APT #Malware
@ptescalator
💬 X 💬 Max

⚡️ Сегодня на Уральском форуме «Кибербезопасность в финансах» наш стенд посетила глава ЦБ Эльвира Набиуллина

Эксперты Позитива рассказали о трендах кибератак в финансовой отрасли (кстати, наше совместное исследование с Ассоциацией ФинТех можно посмотреть на сайте), а также показали технологии для защиты, в том числе PT NGFW.

Ыыыффф! 😎

@Positive_Technologies

Смарт-контракты можно взломать — поэтому их защищенность важно проверять 🪙

К нам обратилась компания «ШАРД» с задачей проверить безопасность их блокчейн-платформы «Пульсар». Через нее бизнес может хранить корпоративную криптовалюту и управлять ей — поэтому любая ошибка безопасности здесь может дорого стоить.

❕ В криптосфере рисков больше, чем кажется (и не только когда BTC резко падает). Здесь сочетаются классические IT-угрозы и специфические риски блокчейн-технологий.

Большинство атак на системы распределенных реестров происходят не на уровне базовой технологии, а в точках ее применения: смарт-контрактах, бизнес-логике, интеграциях и интерфейсах взаимодействия с пользователями. Смарт-контракты — алгоритмы, автоматически управляющие сделками по условиям договора, — становятся мишенью через ошибки в бизнес-логике или некорректную генерацию случайных чисел. Такие атаки требуют высокой квалификации, однако по мере развития индустрии интерес злоумышленников к ним будет только расти.

Тема сейчас особенно актуальна: в прошлом году Банк России представил концепцию регулирования цифровых активов и направил усилия на создание безопасной и контролируемой экосистемы. В ее основе — надежные платформы для хранения и управления криптовалютой, которые защищают активы так же эффективно, как обычные банки. Одно из таких решений — «Пульсар», которое в будущем претендует на статус лицензированного цифрового депозитария.

🕵️‍♂️ Наши эксперты провели всесторонний анализ: проверили блокчейн-платформу и самый критичный ее элемент — основной смарт-контракт. Он гарантирует: операции с активами проходят только после коллективного подтверждения, и никто не сможет перевести деньги единолично.

Путем исследования критических сценариев и моделирования сложных кибератак специалисты проверили устойчивость этого процесса, а также то, как система обрабатывает транзакции при смене правил и защищается от несанкционированного изменения критически важных параметров. Цель — предотвратить две главные угрозы: исполнение транзакций без согласования и скрытый перехват контроля над системой.

💪 Результаты анализа помогли командам разработки и кибербезопасности платформы сосредоточиться на исправлении реально опасных уязвимостей — тех, что могли бы привести к финансовым или репутационным потерям. Компания планирует проводить такие проверки не реже одного раза в год. В следующем цикле проверка расширится за счет мобильного приложения и функциональности для международных платежей.

О совместном проекте мы рассказали сегодня на уральском форуме «Кибербезопасность в финансах», где также подписали соглашение о сотрудничестве 🤝

@Positive_Technologies

⚠️ Алертов много, а вы один? Так не разбирайтесь с ними самостоятельно!

В PT NAD для этого есть плейбуки, где собрана вся нужная экспертиза и алгоритмы проверки для оповещений системы.

О том, как правильно пользоваться этими плейбуками, а также о новых фичах PT NAD 12.4 расскажем на вебинаре 26 февраля в 14:00 (мск).

Команда продукта познакомит вас с шестью самыми коварными алертами, которые могут ввести в заблуждение даже эксперта, научит отличать фолзы от настоящих срабатываний и проводить вайтлистинг.

🍒 Вишенкой на торте станет разбор частых вопросов в техподдержку про сканирование внешнего периметра, алерты на активность вредоносного ПО, срабатывание репутационных списков и модулей ленты активностей.

Регистрируйтесь и приходите нас послушать, если хотите справляться с алертами одной левой, как эксперт!

#PTNAD
@Positive_Technologies

Как завод «Солид» перестал бояться вредоносных писем 📨

Прочный фундамент держит здание, надежная песочница — корпоративную почту, останавливая вредоносное ПО и сложные угрозы до того, как они проникнут в сеть компании.

Для торгово-промышленной группы «Солид», крупнейшего российского производителя отделочных материалов из полистирола и пенополистирола, это не просто метафора. Здесь работают 500 специалистов, а бизнес-процессы группы зависят от бесперебойной работы ключевых ИТ-систем и сервисов: «1С», CRM, корпоративной почты, файловых хранилищ и сервисов доступа. Любая их остановка из-за кибератаки грозит простоями и серьезными денежными потерями.

Долгое время корпоративная почта оставалась уязвимой: подозрительные вложения проверялись вручную по запросу пользователей. Это было долго и рискованно — письмо с шифровальщиком могло пройти незамеченным. Дополнительно риски усиливались требованиями закона № 152-ФЗ и рекомендациями ФСТЭК. Успешная атака могла обернуться штрафами и репутационными потерями.

Чтобы автоматизировать процесс анализа входящих писем, группа искала российское решение и обратила внимание на PT Sandbox 👀

Во время пилотного проекта система проверила около 40 тысяч объектов: входящие письма и файлы из хранилищ. Наиболее частые находки — загрузчики, трояны, вспомогательные инструменты для установки вредоносов, стилеры, эксплойты и потенциально нежелательные программы.

По итогам испытаний PT Sandbox была успешно внедрена в ИТ-инфраструктуру группы «Солид». Песочница работает в режиме мониторинга и реагирования — выявляет подозрительные письма, блокирует их и сообщает об этом администратору. PT Sandbox помогла повысить киберустойчивость завода и стала критически важным звеном в системе ИБ группы.

[👾👾👾]🔫⌛️

#PTSandbox
@Positive_Technologies

🏎 А можно сделать самый мощный российский NGFW? Можно, а зачем мы сделали

Знакомьтесь, PT NGFW 3050 — наш межсетевой экран нового поколения для крупных, очень крупных и даже гигантских дата-центров.

Мы сделали его по запросу тех, кто хотел получить производительное и надежное решение без выстраивания сложной многокомпонентной архитектуры. Всего два PT NGFW 3050 способны создать производительный, надежный и отказоустойчивый кластер active–standby.

Модель обрабатывает трафик со скоростью до 400 Гбит/с в режиме L4 firewall с контролем приложений, а с включенной системой предотвращения вторжений (IPS) — до 100 Гбит/с. PT NGFW 3050 поддерживает до 40 млн соединений одновременно и обрабатывает 3 млн новых сессий в секунду.

🔧 Как нам это удалось и что под капотом новой тачки самого производительного российского NGFW, расскажем на вебинаре 5 марта в 11:00 (мск).

Не будет никаких скучных презентаций, только инженерный хардкор.

🤟 Вскроем архитектуру, чтобы показать, за счет чего сохраняются устойчивость (elephant flows) и скорость (UDP 64b).

🤟 В прямом эфире разгоним 3050 до экстремального максимума в 100 Гбит/с.

🤟 Покажем новую долгожданную функцию remote access VPN и проведем обзор ключевых возможностей свежих релизов 1.10 и 1.11.

🤟 Поделимся кулстори: расскажем, зачем при разработке платформы был нужен 3D-принтер.

Вот вам ссылка для регистрации, что делать дальше, вы знаете. Увидимся в марте 😉

#PTNGFW
@Positive_Technologies

А мы предупреждали 😐

Специалисты департамента киберразведки PT ESC зафиксировали первую фишинговую атаку с использованием уязвимости CVE-2026-21509 (PT-2026-4775) в Microsoft Office, направленную на российские организации.

1️⃣ В феврале злоумышленники отправили фишинговые письма, содержащие файлы формата RTF, российским организациям. Письма были оформлены под служебную переписку.

2️⃣ Внутри документов находился OLE-объект с встроенным компонентом для отображения веб-страниц и работы с браузерными движками внутри программ. OLE — это технология Microsoft, позволяющая внедрять или связывать данные из одного приложения в другое.

3️⃣ Пользователи открывали вложение через Microsoft Office, а уязвимость позволяла обходить встроенную защиту софта при обработке OLE-компонентов.

Наши эксперты отнесли эту уязвимость к трендовой еще в январе, первая фишинговая атака на российские организации с ее использованием была зафиксирована 25 февраля. Для устранения уязвимости необходимо обновить Microsoft Office.

Если оперативное обновление невозможно — временные меры и подробности фишинговой кампании ищите в канале ESCalator.

@Positive_Technologies

🎬 Огнина 🎬🎬 Круто 🎬🎬 Лайк 🎬

Это краткий пересказ реакций зрителей на наш фильм о реверс-инжиниринге.

Он уже доступен для бесплатного просмотра в онлайн-кинотеатре PREMIER, в «Иви» и на Rutube 🫲

Его премьера прошла накануне в Кибердоме. Первыми на просмотр мы позвали ребят из индустрии, журналистов и блогеров. Как видите, им понравилась документалка, в которой исследователи, ученые и сами реверсеры очень интересно, с большим уважением и любовью рассказывают об истории и развитии профессии, ее настоящем и будущем.

Уверены, что интересно будет всем: каждый из нас немного реверс-инженер. Не верите? Тогда вспомните, как в детстве разбирали игрушки, чтобы понять, как они устроены. Или начинали пользоваться техникой, даже не открыв инструкцию.

🍿 Запасайтесь попкорном и скорее жмите на Play. А мы, вместе со съемочной командой, будем ждать ваших впечатлений в комментариях.

@Positive_Technologies