Канал 🔨SecAtor пишет интересное:

Исследователи Лаборатории Касперского рассказали, как работает спецификация Device Authorization Grant (Device Authorization Grant Flow или Device Code Flow), провели анализ реальных атак с ее использованием, а также объяснили, как защититься от Device Code Phishing.

Одна из наиболее распространенных рекомендаций по защите от фишинга - проверять доменное имя сайта, который запрашивает учетные данные.

Как правило, нелегитимный домен можно распознать невооруженным взглядом: он будет отличаться от официального хотя бы несколькими символами.

Однако недавно в ЛК столкнулись со схемой, где злоумышленник предлагает жертве вводить данные на легитимном ресурсе известной компании.

Речь о «Платформе удостоверений Microsoft» (Microsoft Identity Platform), в которой поддерживается спецификация протокола OAuth 2.0 под названием Device Authorization Grant.

Эта спецификация разрабатывалась для удобства пользователей умных телевизоров, IoT-девайсов, принтеров и других устройств с ограниченным вводом, без полноценного браузера или клавиатуры.

Она позволяет авторизовать такое устройство для доступа к ресурсам пользователя через смартфон или ПК. Для этого пользователю нужно ввести одноразовый код на специальной странице авторизации.

Этот код вместе со ссылкой, где нужно его ввести, выдает Microsoft Identity Platform в ответ на запрос https://login.microsoftonline.com/{tenant}/oauth2/v2.0/devicecode, поэтому сценарий атаки, злоупотребляющий этим механизмом, называется Device Code Phishing.

В фишинговой кампании, которую в ЛК наблюдали с начала апреля по середину мая 2026 года, письмо было стилизовано под уведомление от юридической фирмы. К письму был приложен PDF-файл, защищенный паролем.

После открытия PDF-файла и ввода пароля пользователь видел страницу со списком документов, но для их просмотра нужно было перейти по ссылке.

Если обратить внимание на ссылку, по которой предлагалось перейти, то вместо привычного фишингового ресурса можно увидеть легальный адрес Microsoft. Но в параметры ссылки была включена переадресация на фишинговый ресурс.

Ссылка перенаправляла пользователя на фишинговую страницу, мимикрирующую под юридический портал. Интересно, что на такой странице было несколько капчей, - видимо, чтобы отсекать краулеры.

После их прохождения пользователь попадал еще на одну страницу, на которой предлагалось скопировать одноразовый код - user_code, который приложение на сервере/стороне злоумышленников получило путем запроса на https://login.microsoftonline.com/{tenant}/oauth2/v2.0/devicecode.

Когда пользователь нажимал на отображаемый одноразовый код, тот копировался в буфер обмена, а сам пользователь перенаправлялся на подлинную страницу авторизации Microsoft (verification_uri), где и предлагалось ввести полученный код.

Если пользователь вводил код, начинался процесс Device Authorization Grant. Ничего не подозревающая жертва проходила полную MFA-авторизацию на официальной странице Microsoft.

После завершения этого процесса злоумышленник получал доступ к access_token, refresh_token и id_token, что позволяло ему, например, читать и отсылать письма с почтового ящика жертвы, а также получить доступ к файлам OneDrive и сообщениям в Teams.

Описанная фишинговая рассылка не имела массового характера и продлилась чуть больше месяца. Однако сам метод злоумышленники используют до сих пор, адаптируя под конкретные регионы.

В ЛК зафиксировали немного модифицированные атаки класса Device Code Phishing, нацеленные, в частности, на бразильских пользователей.

В этом письме не было вложенного PDF. Вместо этого была ссылка на легитимный ресурс cacoo.com (платформа компании Nulab для создания диаграмм), которая, как и в ранее описанной схеме, перенаправляла пользователя на фишинговый сайт.

Другие технические подробности и практические рекомендации по защите от Device Code Phishing - в отчете.

📱Бесплатные VPN-сервисы на 📱Android массово сливают данные своих пользователей и в отдельных случаях передают часть трафик без шифрования

Исследователи из Мичиганского университета, Университета Нью-Мексико и 🇮🇳Индийского технологического института в Дели провели масштабное исследование под названием 📄«MVPNalyzer: An Investigative Framework for Auditing the Security & Privacy of Mobile VPNs», которое в пух и прах разносит 🕵️безопасность современных бесплатных Android-VPN из Google Play.

👨‍🔬Результаты исследования успешно прошли строгую проверку научным сообществом и приняты на международный симпозиум по кибербезопасности NDSS 2026.

Опросы показывают, что 😐82% пользователей верят в то, что включенный VPN делает их анонимными в сети. Исследователи из Мичиганского университета и Университета Нью-Мексико разоблачают этот миф.

🔬 Учёные разработали специализированный исследовательский программный фреймворк под названием MVPNalyzer и с его помощью детально проанализировали 281 популярное VPN-приложение. Суммарно сервисы были установлены более ⚠️2,4 миллиарда раз из магазина приложений. Это те самые приложения, которые чаще всего находятся в топе 🌐поисковой выдачи и Google Play.

Результаты оказались печальными. Многие известные сервисы не шифруют данные, обманывают пользователей, заявляя об обходе блокировок, ставят под угрозу безопасность данных и активно шпионят за устройствами.

📊 Главные цифры и факты из исследования на примере 281 приложения (берём за 100%):

🔓 Трафик без шифрования (Cleartext).
▪️21,7% приложений передают часть трафика в абсолютно открытом виде.
▪️2% популярных сервисов скачивают конфигурационные файлы туннеля вообще без шифрования, позволяя злоумышленнику незаметно подменить файл на лету и перенаправить трафик на подконтрольный сервер (атака Tunnel Hijacking).
▪️ Около 3% приложений намеренно используют низкоуровневые API, чтобы обойти встроенные в Android механизмы защиты от передачи незашифрованных данных.

⚠️ Дырявые туннели:
▪️ 10,3% приложений оказались «дырявыми».
▪️ У 8,5% сервисов обнаружена утечка DNS (это значит, что ваш интернет-провайдер всё равно видит полный список сайтов, которые вы посещаете).
▪️2,1% допускают прямую утечку пользовательского браузерного трафика.
▪️1,4% упаковывают трафик в туннель, но не шифруют его (передают через открытый HTTP или SOCKS).

👁 Тотальная слежка вместо анонимности. Очень часто бесплатные сервисы монетизируют пользователей:
▪️87,5% тайно связываются с 💸рекламными и трекинговыми серверами.
▪️27% передают третьим лицам ваш Advertising ID — уникальный рекламный идентификатор смартфона, позволяющий следить за вами в любых приложениях.
▪️13,5% напрямую сливают настоящий IP-адрес рекламным сетям.
▪️Многие приложения собирают данные для создания 👍 «цифрового отпечатка» телефона (74,7% передают точную модель устройства, 63% — версию ОС, а 10% — параметры экрана), чтобы безошибочно узнавать вас даже при смене IP.

🤡 Обман про обход блокировок:
▪️60% приложений никак свой трафик не скрывают.
▪️39% приложений в Google Play нагло врут пользователям, гарантируя в описании «обход любых ограничений и цензуры» и «защиту от обнаружения».

⚙️Также исследователи заглянули «под капот» 108 приложений, работающих на базе протокола OpenVPN:

🏆 Из 108 приложений только ОДНО (1) полностью соответствует современным стандартам безопасности!
🔓 88,8% используют слабую аутентификацию.
🚰 18,5% используют слабую или уязвимую криптографию (например, алгоритм Blowfish с известными уязвимостями). Некоторые разработчики даже прописывают в конфигурационных файлах параметр cipher none, отключающий шифрование туннеля!

👆Один из главных выводов исследования заключается в том, что пользователям нужно↔️перестать доверять бесплатным VPN и относиться к ним со всей долей серьёзности как к потенциальному 🥷 шпионскому ПО. Более того, высокая позиция приложения в топе Google Play и большое количество загрузок абсолютно не гарантируют безопасность и приватность.

✋ @Russian_OSINT

🤖Запуск международной коалиции 🇫🇷INTAiC для противодействия ИИ-киберугрозам

Французская некоммерческая организация «Парижский форум мира» (Paris Peace Forum) совместно с Лабораторией политики ИИ общего назначения (GPAI Policy Lab) запустила международный проект 📄 INTAiC (Integrated Network for Trusted AI in Cyberspace). Главная цель инициативы — объединить правительственные структуры, технологический бизнес и гражданское общество для устранения так называемого «пробела в доказательствах» (evidence gap) относительно реальных масштабов злонамеренного использования искусственного интеллекта. По словам директора по политическим инициативам форума Адриена Абекассиса, исторически специалисты по сетевой защите и эксперты по безопасности моделей ИИ работали изолированно, что привело к структурной фрагментации собираемых данных.

🧠Новая коалиция, к которой уже присоединились Microsoft, Google Threat Intelligence Group, Cloud Security Alliance, Cyber Threat Alliance, Orange Cyberdefense и 👮Интерпол, призвана интегрировать разрозненную телеметрию для создания механизма быстрого реагирования на угрозы, связанные с ИИ.

Необходимость создания единого аналитического центра продиктована стремительным переходом хакерских ИИ-инструментов от стадии экспериментов к промышленной эксплуатации. Согласно статистике, приведенной в установочном документе под руководством Тома Дэвида и Пабло Райса, скорость реализации успешных кибератак возросла в четыре раза (по оценкам Palo Alto Networks), а количество инцидентов с участием нейросетей за год увеличилось на 89% (по данным CrowdStrike). Злоумышленники активно формируют теневую экономику: перепродают доступ к легитимным коммерческим ИИ-моделям и коммерциализируют специализированные вредоносные модели, такие как WormGPT 4 и KawaiiGPT. Ситуация усугубляется тем, что 🤖автономные возможности передовых ИИ-моделей удваиваются каждые четыре месяца (по данным UK AI Security Institute). Параллельно снижается порог входа для хакеров, а фишинговые кампании и программы-вымогатели масштабируются.

Операционная деятельность INTAiC будет выстроена вокруг трёх ключевых направлений: картографирования ландшафта угроз, налаживания каналов обмена информацией и наращивания защитного потенциала правительств, при этом в работе коалиции принимают участие эксперты из консалтинговой компании Wavestone и НКО Protect[.]ngo. Центральным продуктом инициативы станет регулярно обновляемый аналитический индекс AI-Cyber Threat Index, который обеспечит защитников ИТ-инфраструктуры единой доказательной базой.

⭕️🈁Проект концептуально расширит существующие программы обмена корпоративными данными, такие как Project Glasswing от компании Anthropic и Trusted Access for Cyber от OpenAI, сформировав пул независимых аудиторов для нейтральной и непредвзятой оценки киберпотенциала передовых ИИ-моделей. Помимо технической экспертизы, коалиция проведет серию целевых брифингов для структур ООН, стран G7 и G20, а первые результаты работы и стартовый индекс будут официально представлены на ежегодной конференции Парижского форума мира в ноябре 2026 года.

INTAiC создаётся не столько для непосредственной борьбы с кибератаками, сколько для формирования международной системы измерения, классификации и политической интерпретации киберугроз, связанных с ИИ.

Через Paris Peace Forum 🇫🇷Франция пытается закрепить за собой роль одного из международных центров, где будут формироваться методики оценки злоупотреблений ИИ и связанных с ними киберрисков. Тот, кто первым установит признанную систему измерения таких угроз, впоследствии сможет влиять на нормы, бюджеты, ограничения и распределение ответственности. Париж стремится участвовать в определении правил оценки и контроля использования ИИ-моделей в киберпространстве.

✋ @Russian_OSINT

🇪🇺Европейские власти планируют ввести обязательную систему подтверждения возраста для доступа к социальным сетям и различным интернет-платформам

Председатель Европейской комиссии Урсула фон дер Ляйен заявила о необходимости установить возрастные ограничения для социальных сетей. Одним из инструментов станет приложение для подтверждения возраста, которое Еврокомиссия подготовила для последующего внедрения странами ЕС.

Критики (включая правозащитников и борцов за цифровую приватность) опасаются, что подобные нововведения приведут к фактическому исчезновению анонимности в интернете. Если для входа на любой сайт потребуется государственная верификация личности, то это может стать удобным инструментом для цифровой слежки и цензуры.

Также правозащитники отмечают, что инициатива тесно связана с реформой электронной идентификации eIDAS 2.0. Она предусматривает создание общеевропейской системы цифровых кошельков 🤖EUDI Wallet. Каждая страна ЕС должна обеспечить гражданам и резидентам доступ как минимум к одному совместимому кошельку, который будет работать по единым стандартам на территории всего Евросоюза.

🇺🇸 Антиутопия Оруэлла «1984» становится реальностью в ЕС!

Сначала Chat Control и DSA, а теперь:

Председатель Еврокомиссии Урсула фон дер Ляйен подтвердила, что каждый житель ЕС обязан использовать приложение ЕС для верификации личности, прежде чем сможет получить доступ к социальным сетям и публиковать там сообщения.

— пишет Марк Фридрих из Германии.

✋ @Russian_OSINT

🍿Что-то опять готовится к анонсу от Nightmare Eclipse?

❗️ Microsoft явно будут не в восторге.

✋ @Russian_OSINT

❗️ Июльский Patch Tuesday 2026: Microsoft устранила рекордное число уязвимостей с помощью ИИ

Корпорация Microsoft выпустила плановые обновления безопасности за июль 2026 года. Этот выпуск стал беспрецедентным по своему масштабу. В официальном отчёте центра Microsoft Security Response Center (MSRC) задекларировано исправление 622 уязвимостей, относящихся к продуктам компании.

Непосредственно в рамках июльского пакета обновлений Patch Tuesday ИТ-гигант устранил 570 уязвимостей, включая три 0-day, две из которых уже активно эксплуатировались злоумышленниками в реальных атаках.

🛡 По типам угроз устранённые уязвимости распределились следующим образом:
▪️254 уязвимости повышения привилегий (Elevation of Privilege)
▪️145 уязвимостей удалённого запуска кода (Remote Code Execution)
▪️102 уязвимости раскрытия информации (Information Disclosure)
▪️35 уязвимостей отказа в обслуживании (Denial of Service)
▪️17 уязвимостей обхода функций безопасности (Security Feature Bypass)
▪️16 уязвимостей спуфинга (Spoofing)

👆Разница между 622 уязвимостями в официальном отчёте MSRC и 570 уязвимостями в сводках ИБ-изданий объясняется тем, что Microsoft включила в общий зачёт исправления для таких продуктов и сервисов, как Azure OpenAI, Azure Synapse, M365 Copilot и Mariner, которые были развёрнуты ранее в этом месяце.

Столь резкий рост числа закрытых уязвимостей связан с переходом Microsoft на новые технологические процессы. На прошлой неделе корпорация предупредила ИБ-сообщество об ожидаемом увеличении объёма ежемесячных патчей. Причиной стало внедрение внутренней ИИ-системы автоматического поиска уязвимостей. Эта система теперь сканирует исходный код Windows для выявления уязвимостей до того, как их проэксплуатируют злоумышленники.

✋ @Russian_OSINT

📖Cloudflare представила новый инструмент под названием Precursor для борьбы со сложными ИИ-ботами

Обычно системы защиты вроде капчи или сервиса Turnstile оценивают посетителя только в определённые моменты. Например, при входе в личный кабинет или во время оплаты. Бот заходит на сайт, проходит одну проверку и дальше может делать всё, что захочет.

Современные автоматизированные ИИ-агенты научились отлично обходить такие точечные барьеры. Они запускают реальные браузеры, выполняют код JavaScript и успешно имитируют поведение человека во время короткой проверки. Написать скрипт, который выглядит естественно в течение нескольких секунд, не так сложно. Однако поддерживать реалистичное человеческое поведение на протяжении всей сессии гораздо труднее и дороже.

🕵️Система Precursor решает эту проблему за счёт непрерывного отслеживания активности. С технической точки зрения процесс устроен следующим образом:

▪️Внедрение кода. Когда на сайте включена функция Precursor, серверы Cloudflare автоматически добавляют лёгкий скрипт JavaScript в каждый HTML-ответ, проходящий через граничную сеть компании. Владельцам сайтов не нужно менять код вручную.
▪️Сбор сигналов. Скрипт постоянно собирает поведенческие сигналы в реальном времени. Он фиксирует движение мыши, нажатия клавиш, изменения фокуса и видимость страницы.
▪️Анализ траекторий. Данные отправляются на анализ, где алгоритмы оценивают физику движений. Настоящий человек двигает мышь по дуге из-за строения запястья, делает паузы для осмысления информации, а его рука совершает микроскопические колебания (физиологический тремор). Боты же обычно перемещают курсор по идеальным математическим линиям с фиксированной скоростью.
▪️Оценка сессии. Данные Precursor накапливаются в рамках всей сессии. Бот не сможет сбросить свою поведенческую подпись, даже если просто обновит страницу или запросит новую проверку.

В панели управления Cloudflare владельцы сайтов могут гибко настроить режим работы системы. Например, можно запустить её в фоновом режиме для минимизации влияния на пользователей или принудительно запрашивать проверку, если сессия ещё не подтверждена.

👆🤔 Главный редактор CyberInsider Алекс Лекандер отмечает, что технология расширяет телеметрию за пределы страниц аутентификации на рутинные действия при просмотре сайтов. Пользователи могут даже не догадываться, что за их поведением следят, если только владельцы ресурсов сами не укажут это в политике конфиденциальности.

Инженеры Cloudflare Марина Элмор и Бенедикт Вольтерс пытаются парировать и заявляют, что система спроектирована с учётом конфиденциальности. При отслеживании клавиатуры фиксируется только ритм и тайминг нажатий, а не конкретные символы. Все поведенческие сигналы анализируются в виде агрегированных шаблонов. Они не привязываются к личным профилям пользователей и даже не показываются владельцам сайтов в их панелях управления.

Сейчас Precursor развёртывается для клиентов тарифа Enterprise Bot Management. Функция останется бесплатной на этапе предварительного просмотра до полноценного релиза, который состоится позже в 2026 году.

✋ @Russian_OSINT

🇺🇸 В США запустили координационный центр GOLD EAGLE для поиска уязвимостей с помощью 🤖ИИ

Администрация президента США запустила инициативу GOLD EAGLE, которая представляет собой координационный центр по ИИ и кибербезопасности. Он объединит разработчиков передовых ИИ-моделей с операторами критической инфраструктуры, включая финансовые организации, больницы, энергетические компании и коммунальные службы. Участие частных компаний будет добровольным.

Основная задача GOLD EAGLE состоит в координации защиты и обмена информацией об уязвимостях, выявленных с помощью ИИ. Участники смогут обмениваться сведениями, проверять результаты, исключать дублирование сканирования одних и тех же систем, а также согласовывать приоритеты исправления и распространения патчей. В инициативе смогут участвовать и разработчики открытых ИИ-моделей, но Белый дом пока не раскрыл список конкретных компаний.

Создание центра предусмотрено указом Дональда Трампа № 14409 от 2 июня 2026 года. GOLD EAGLE сформировали Министерство финансов США совместно с аппаратом Национального кибердиректора, Министерством войны США через АНБ и Министерством внутренней безопасности через CISA.

👆Высока вероятность, что к инициативе в первую очередь подключатся OpenAI и Anthropic.

✋ @Russian_OSINT