🥷❗️ Якобы за атакой на F5 стоит кибершпионская группировка UNC5221, связанная с 🇨🇳Китаем

Продолжаем следить за F5.

Как уже сообщалось ранее, были похищены фрагменты исходного кода BIG-IP, а ещё информация о нераскрытых уязвимостях (zero-day) и файлы с конфигурационной информацией для небольшого числа клиентов.

По данным Bloomberg и её источников, за атакой на F5 якобы может стоять кибершпионская группировка, связанная с 🇨🇳Китаем — UNC5221. Якобы F5 уже предоставила клиентам руководство по обнаружению вредоносного ПО Brickstorm, инструментария, который эксперты Mandiant напрямую связывают с операциями UNC5221. Утверждается, что 🤦‍♂️ актор специализируется на краже исходного кода у крупных технологических компаний для последующего поиска уязвимостей и атак на клиентов потенциальной жертвы.

По заявлению Mandiant, более чем годичное присутствие в сети F5 также является характерным почерком APT UNC5221, чей средний показатель нахождения в скомпрометированной инфраструктуре около⏳393 дней.

👆Пока гипотеза журналистов основывается лишь на заявлениях анонимных источников, проинформированных о ходе расследования. Ещё можно почитать тут — 1,2,3,4,5.

🕵️ F5 продает в первую очередь безопасность и доверие. Факт взлома, да ещё и такого масштаба, ощутимо бьёт по репутации.

Как метко подмечает SecAtor, компания GreyNoise зафиксировала активность сканирования (crawling), нацеленную на BIG-IP, при этом за последние 24 часа наблюдалась минимальная активность с попытками выполнения кода на интерфейсе управления F5 BIG-IP. Трафик может исходить от исследователей и академических учреждений — от Cortex Xpanse. GreyNoise оговаривается, что "аномалии" не обязательно связаны с инцидентом 15 октября.

🧐Хотя ещё не вечер!

В форме 8-K говорится, что инцидент «не оказал существенного влияния на операционную деятельность», что является стандартной юридической формулировкой, но интереснее смотрится другая фраза: «компания оценивает влияние, которое этот инцидент может оказать на ее финансовое состояние». Она косвенно указывает на то, что в будущих квартальных отчетах могут появиться значительные финансовые убытки у F5.

📊Акции F5 упали 12.8% сразу после инцидента.

👮 CISA выпустили директиву 26-01, обязуя все федеральные агентства США установить обновления безопасности до 22 октября 2025 года.

👮Министерство юстиции США разрешило F5 отложить публичное раскрытие информации об инциденте по соображениям национальной безопасности.

Непосредственный ущерб для российской инфраструктуры пока вроде как не предвидится. Данные Shadowserver на 16.10.2025 показывают всего 107 публично доступных устройств F5 на территории 🇷🇺РФ, что является своего рода статистической погрешностью на фоне 132 700 устройств в 🇺🇸США, 12 600 в 🇯🇵Японии или 10 100 в 🇩🇪Германии.

К расследованию F5 подключились💻специалисты из CrowdStrike, Mandiant, NCC Group, IOActive, Федеральных правоохранительных органов США и как предполагают отдельные ИБ-эксперты, 🇺🇸 АНБ, а также 🎩 разведывательное сообщество CША.

--------------------------

👆🤔А что думает Китай по этому поводу?

Пекин отвергает обвинения в причастности к взлому F5, называя их "безосновательными" и "лишенными доказательств".

16 октября 2025 года официальный представитель Министерства иностранных дел КНР Линь Цзянь прокомментировал обвинения на брифинге для прессы, отвечая на вопрос журналиста Bloomberg об инциденте с F5:

Я не знаком с упомянутыми вами подробностями. Что касается подобного рода голословных, не подкрепленных доказательствами обвинений, то мы уже неоднократно разъясняли свою позицию. Китай выступает против хакерской деятельности и борется с ней в соответствии с законом. При этом Китай решительно выступает против политически мотивированного распространения дезинформации.

— заявил официальный представитель.

👆Линь Цзянь придерживается тезиса о том, что США являются 👺"главной хакерской империей в мире". По его мнению, практика обвинений в адрес 🇨🇳Китая является отражением лицемерных двойных стандартов властей США и типичным примером того, когда 🥷 «вор кричит: „держи вора!“».

✋ @Russian_OSINT

Анонимный пользователь с сомнительным ником 🥷«титушко» опубликовал сообщение о якобы утечке 👻 MAX:

Здравствуйте, у меня есть полный дамп max[.]ru, там ровно 46203590 строк, и у меня все еще есть VPN-доступ к их salesforce и другим внутренним инструментам. Похоже, это российский правительственный мессенджер, и все данные на русском языке.

🙂Ещё раз, читаем: "есть VPN-доступ к их salesforce".

🤔 Причём здесь salesforce и MAX? Какая связь между MAX и 🇺🇸Salesforce?

Posted 8:13 pm MSK, Apr 22 2025
В соответствии с действующими санкциями США, Европейского союза и Великобритании предоставление корпоративного ПО физическим или юридическим лицам в России запрещено.

*Для тех, кто не в курсе, Salesforce объявила о прекращении своих деловых отношений в России 7 марта 2022 года. У компании не было значительного бизнеса в России, и она начала процесс прекращения отношений с небольшим количеством российских клиентов, которые работали через реселлеров и другие каналы.

Специалисты Минцифры проверили информацию о якобы случившейся утечке из мессенджера Max, размещённую в анонимных каналах.

Автором информации об утечке был выложен сэмпл, содержащий 15 записей, в которых были указаны якобы ID пользователей Госуслуг. Проверка показала, что ни по одной из опубликованных записей ID Госуслуг не совпадает с ФИО реальных пользователей.

Из чего можно сделать вывод, что публикации о взломе сфабрикованы.

Новость прокомментировали Минцифры, пресс-служба мессенджера MAX (правильно, что кратко без подробностей) и топовые российские СМИ.

📖Ещё верно подмечает Владимир Дащенко из ЛК.

👆Вступая в любую дискуссию (даже техническую) с подобными анонимусами, только повышается градус интереса к 🤿троллю. Нет смысла детально обсуждать глупый вброс, привлекать сторонних экспертов и тем более компании для разбора «инцидента», при этом тратить силы, ресурсы и время. Реакция (технический отчет, пресс-конференция) только легитимизирует атакующего в инфополе. Из статуса «анонимный тролль» он попадает в статус «оппонент, с которым ведут диалог».

Реагировать нужно не на информационный шум, а на реальные факты, которые имеют место быть. Иначе происходит кормление троллей, которые этого и добиваются.

Как правильно пишет экспертное сообщество, в любом случае должны быть разработаны протоколы реагирования на подобные события. В том числе на случай реальных кризисных ситуаций, когда нельзя молчать.

Можно любить МАХ или нет, но когда незаслуженно пытаются набрасывать — это неправильно.

Получается, что анонимный аккаунт всего с ↔️4 постами на даркфоруме одним вбросом смог создать ажиотаж с обсуждениями в российском сегменте интернета.

Те, кто по журналистике мониторит сотни сообщений (Threat Intel) в день, хорошо знает, что такого добра с вбросами если не сотни, то точно десятки в сутки (например, на платформе Х постоянно TI-компании фиксируют заявления о якобы утечках). В подавляющем большинстве случаев это компиляция старых баз или какой-нибудь парсинг, который в очередной раз пытаются "впарить" начинающим киберкрайм акторам.

Одна лишь фраза при первом прочтении "есть VPN-доступ к их salesforce" заставляет усомниться в правдоподобности заявлений. Проверка сэмплов по СБП также подтверждает, что "утечка" является фейком.

✋ @Russian_OSINT

🤔Сайт 😁Linux Xubuntu взломали хакеры и подгрузили троян

Плохие новости. Пользователи обсуждают сайт популярного дистрибутива Linux Xubuntu, который подвергся успешной хакерской атаке. Злоумышленники подменили ссылки для загрузки торрент-файлов, перенаправляя пользователей на скачивание вредоносного 📂 ZIP архива — xubuntu‑safe‑download.zip. Внутри архива находился исполняемый файл для Windows, 😷замаскированный под программу установки.

Его основная зловредная функция — незаметная 🥷💴кража криптовалюты путем подмены адреса кошелька в буфере обмена. Вредоносная программа работает в фоновом режиме и постоянно следит за тем, что вы копируете в буфер обмена (например, когда нажимаете Ctrl+C). Как только вы копируете адрес криптовалютного кошелька (например, чтобы отправить кому-то Bitcoin), программа это распознает. В тот же миг вирус незаметно для вас заменяет скопированный адрес на адрес кошелька злоумышленника. Вы вставляете адрес (Ctrl+V) в своем кошельке, думая, что это правильный адрес, и отправляете деньги. В итоге, ваша криптовалюта уходит не по назначению, а напрямую к мошеннику. Такой тип вредоносного ПО называется «крипто-клиппер» (Crypto Clipper) или «перехватчик буфера обмена» (Clipboard Hijacker).

📖Внутри zip-архива:

Объект: TestCompany.SafeDownloader.exe
Хеш SHA256: ec3a45882d8734fcff4a0b8654d702c6de8834b6532b821c083c1591a0217826
Тип угрозы: Троян-дроппер (Trojan-Dropper) с полезной нагрузкой типа «Crypto Clipper» (также известный как Clipboard Hijacker).
VT: ссылка

📖Первыми тревогу забили пользователи на платформе Reddit, заметившие подозрительную активность. Представители проекта Xubuntu признали факт компрометации, временно отключив страницу загрузок. В качестве причины инцидента была названа уязвимость в используемой хостинговой среде.

👆Скорее всего, атака была нацелена в первую очередь на неопытных пользователей Windows 10, желающих перейти на Linux после окончания поддержки.

Член команды Xubuntu под ником pleia2 (Элизабет Крумбах) поблагодарила пользователей за сигнал.

Всем спасибо. Мы зависим от нашего хостинг-окружения в вопросах обновлений, и, похоже, здесь произошла небольшая оплошность. Над этим работают, но на данный момент страница «Загрузки» отключена.

Мы находимся в процессе перехода на статическое окружение, что должно сделать подобные инциденты пережитком прошлого, но наша команда довольно маленькая и занятая. Мы всегда рады новым участникам, пожалуйста, свяжитесь с нами, если вы заинтересованы!

Каких-то других развернутых извинений не последовало, к сожалению.

Как хакерам удалось скомпрометировать сервер? Остается загадкой. Также неясно, сколько людей пострадало от этого провала в безопасности.

— задаются вопросами ghacks.

Наиболее вероятным вектором атаки является эксплуатация уязвимости в одном из плагинов или теме WordPress. В качестве альтернативной, но также весьма вероятной гипотезы, рассматривается компрометация учетных данных администратора, возможно, в результате фишинговой атаки или использования слабого пароля.

👆По мнению критиков, реакция команды Xubuntu была непрозрачной, неудовлетворительной и выглядела как попытка преуменьшить серьезность ситуации, а их технические действия по восстановлению сайта были хаотичными.

✋Будьте бдительны!

✋ @Russian_OSINT

✋Ждём такие же Bug Bounty награды для MAX.

*Meta (соцсети Facebook, Instagram) запрещена в РФ как 🏴‍☠️экстремистская.

✋ @Russian_OSINT