📖Cloudflare представила новый инструмент под названием Precursor для борьбы со сложными ИИ-ботами

Обычно системы защиты вроде капчи или сервиса Turnstile оценивают посетителя только в определённые моменты. Например, при входе в личный кабинет или во время оплаты. Бот заходит на сайт, проходит одну проверку и дальше может делать всё, что захочет.

Современные автоматизированные ИИ-агенты научились отлично обходить такие точечные барьеры. Они запускают реальные браузеры, выполняют код JavaScript и успешно имитируют поведение человека во время короткой проверки. Написать скрипт, который выглядит естественно в течение нескольких секунд, не так сложно. Однако поддерживать реалистичное человеческое поведение на протяжении всей сессии гораздо труднее и дороже.

🕵️Система Precursor решает эту проблему за счёт непрерывного отслеживания активности. С технической точки зрения процесс устроен следующим образом:

▪️Внедрение кода. Когда на сайте включена функция Precursor, серверы Cloudflare автоматически добавляют лёгкий скрипт JavaScript в каждый HTML-ответ, проходящий через граничную сеть компании. Владельцам сайтов не нужно менять код вручную.
▪️Сбор сигналов. Скрипт постоянно собирает поведенческие сигналы в реальном времени. Он фиксирует движение мыши, нажатия клавиш, изменения фокуса и видимость страницы.
▪️Анализ траекторий. Данные отправляются на анализ, где алгоритмы оценивают физику движений. Настоящий человек двигает мышь по дуге из-за строения запястья, делает паузы для осмысления информации, а его рука совершает микроскопические колебания (физиологический тремор). Боты же обычно перемещают курсор по идеальным математическим линиям с фиксированной скоростью.
▪️Оценка сессии. Данные Precursor накапливаются в рамках всей сессии. Бот не сможет сбросить свою поведенческую подпись, даже если просто обновит страницу или запросит новую проверку.

В панели управления Cloudflare владельцы сайтов могут гибко настроить режим работы системы. Например, можно запустить её в фоновом режиме для минимизации влияния на пользователей или принудительно запрашивать проверку, если сессия ещё не подтверждена.

👆🤔 Главный редактор CyberInsider Алекс Лекандер отмечает, что технология расширяет телеметрию за пределы страниц аутентификации на рутинные действия при просмотре сайтов. Пользователи могут даже не догадываться, что за их поведением следят, если только владельцы ресурсов сами не укажут это в политике конфиденциальности.

Инженеры Cloudflare Марина Элмор и Бенедикт Вольтерс пытаются парировать и заявляют, что система спроектирована с учётом конфиденциальности. При отслеживании клавиатуры фиксируется только ритм и тайминг нажатий, а не конкретные символы. Все поведенческие сигналы анализируются в виде агрегированных шаблонов. Они не привязываются к личным профилям пользователей и даже не показываются владельцам сайтов в их панелях управления.

Сейчас Precursor развёртывается для клиентов тарифа Enterprise Bot Management. Функция останется бесплатной на этапе предварительного просмотра до полноценного релиза, который состоится позже в 2026 году.

✋ @Russian_OSINT

🇺🇸 В США запустили координационный центр GOLD EAGLE для поиска уязвимостей с помощью 🤖ИИ

Администрация президента США запустила инициативу GOLD EAGLE, которая представляет собой координационный центр по ИИ и кибербезопасности. Он объединит разработчиков передовых ИИ-моделей с операторами критической инфраструктуры, включая финансовые организации, больницы, энергетические компании и коммунальные службы. Участие частных компаний будет добровольным.

Основная задача GOLD EAGLE состоит в координации защиты и обмена информацией об уязвимостях, выявленных с помощью ИИ. Участники смогут обмениваться сведениями, проверять результаты, исключать дублирование сканирования одних и тех же систем, а также согласовывать приоритеты исправления и распространения патчей. В инициативе смогут участвовать и разработчики открытых ИИ-моделей, но Белый дом пока не раскрыл список конкретных компаний.

Создание центра предусмотрено указом Дональда Трампа № 14409 от 2 июня 2026 года. GOLD EAGLE сформировали Министерство финансов США совместно с аппаратом Национального кибердиректора, Министерством войны США через АНБ и Министерством внутренней безопасности через CISA.

👆Высока вероятность, что к инициативе в первую очередь подключатся OpenAI и Anthropic.

✋ @Russian_OSINT

📲 https://vk.company/ru/press/releases/12359/

✋ @Russian_OSINT

🇮🇱🇺🇸Израильский конкурент Palantir продаёт 👮американской полиции шпионские фургоны за $1 млн

Старший автор Forbes Томас Брюстер опубликовал материал о том, как израильский разработчик систем наблюдения Cognyte активно осваивает рынок США. Компания поставляет местным правоохранительным органам спецавтомобили, оборудованные комплексами негласного отслеживания мобильных телефонов.

В основе предложения Cognyte лежит система FalcoNet. Это имитатор базовой станции сотовой связи, действующий аналогично известным устройствам Stingray от оборонного гиганта L3Harris. Комплекс имитирует вышку сотовой связи и принудительно подключает к себе все мобильные телефоны в радиусе действия. Полиция может определять местоположение устройств, принадлежащих как подозреваемым, так и случайным прохожим.

Система FalcoNet отличается высокой мобильностью. Оборудование можно незаметно разместить внутри автомобиля, переносить в рюкзаке для пеших операций или закрепить на вертолёте. По заявлениям Cognyte, развёртывание системы занимает всего 3 минуты, а за 1 минуту она способна принудительно подключить тысячи устройств. При этом решения компании дешевле предложений конкурентов. Например, в штате Нью-Мексико израильский производитель обошёл американского поставщика Jacobs Engineering, предложив цену на $100 000 ниже.

Среди ключевых американских клиентов Cognyte выделяются полиция и Военное министерство США.

Помимо FalcoNet, Cognyte 🗺 предлагает средства глобальной геолокации абонентов, известные под названиями 🥷❗️SkyLock и FirstMile. В статье упоминается Skylark, но, скорее всего, допущена ошибка в названии со стороны Forbes.

Компания также активно продаёт ИИ-инструменты для анализа больших объёмов данных, помогающие полиции искать зацепки и прогнозировать правонарушения. Генеральный директор Cognyte Элад Шарон отметил, что поставка фургонов открывает путь для дальнейших продаж аналитических платформ.

Деятельность Cognyte и её бывшей материнской компании Verint неоднократно сопровождалась скандалами, связанными с нарушением прав человека:

▪️Сбор данных в соцсетях: В конце 2021 года Meta обвинила Cognyte в создании более 100 фейковых аккаунтов для сбора информации о журналистах и политиках в таких странах, как 🇷🇸Сербия, 🇨🇴Колумбия и 🇰🇪Кения.

*Деятельность компании Meta (владеет Facebook, Instagram, WhatsApp) запрещена в РФ и признана 🏴‍☠️экстремистской.

▪️Обход санкций: До отделения от Verint в 2021 году структура Cognyte в 2020 году продала технологии перехвата звонков в 🇲🇲Мьянму в обход запрета израильского правительства.

▪️Использование против активистов: Ранее технологии Verint поставлялись в 🇸🇸Южный Судан, где их применяли для запугивания журналистов, и в 🇮🇩Индонезию для выслеживания активистов и религиозных меньшинств. Сама компания Verint, которой руководил бывший инженер Армии обороны Израиля (IDF) Дан Боднер, в 2025 году была выкуплена инвестиционной фирмой Thoma Bravo за $2 млрд и стала непубличной.

👆Для использования имитаторов базовых станций обычно 👮требуется ордер, но полиция находит лазейки. Исполнительный директор по связям с общественностью полиции штата Нью-Йорк Бо Даффи подтвердил, что фургоны Cognyte применяются без судебного решения в экстренных случаях, таких как похищение детей. В Балтиморе, где аналогичный комплекс приобрели в 2022 году за $920 000, правила разрешают использовать устройство без ордера до 48 часов для поиска подозреваемых в тяжких преступлениях.

✋ @Russian_OSINT

Канал 🔨SecAtor пишет интересное:

Исследователи Лаборатории Касперского обнаружили новую APT-атаку с использованием ранее неизвестного инструментария, которая началась как минимум в мае 2026 года и остается активной на момент публикации.

Кампания получила условное наименование HelloNet и включает в себя новые вредоносные модули, которые запускаются через систему обновления ViPNet (программный комплекс для создания защищенных сетей).

В ходе исследования в ЛК выявили попытки целенаправленного заражения крупных российских организаций из государственного, энергетического, транспортного, образовательного и логистического секторов, а также промышленности.

Причем это уже не первый случай, когда APT-группировка нацеливается на компьютеры, подключенные к сетям ViPNet. Например, в прошлом году был детектирован сложный бэкдор, мимикрирующий под обновления ViPNet.

Возвращаясь к HelloNet, в одной из проанализированных систем специалисты выявили вредоносный файл c именем wtsapi32.dll в директории, которая относится к системе обновления комплекса ViPNet.

Помещая файл в эту директорию, злоумышленники реализуют технику DLL Sideloading - ей подвержен исполняемый файл системы обновлений ViPNet itcsrvup64.exe, который запускается при старте ОС.

Таким образом, в ходе данной атаки злоумышленники пытались реализовать закрепление на системе через компонент обновления ПО ViPNet.

Wtsapi32.dll является загрузчиком, который был назван HelloInjector. Его основная цель - внедрить свой код в процесс svchost.exe и запустить вредоносную нагрузку.

После запуска вредонос проверяет процесс, в контексте которого он был запущен. Если имя основного процесса не svchost.exe, загрузчик запускает перебор всех процессов, запущенных в ОС.

Он ищет процесс, имя которого содержит строку svchost, а командная строка - строку netsvcs. Если такой процесс найден, загрузчик внедряет себя в целевой процесс с помощью функций NtWriteVirtualMemory и NtCreateThreadEx.

После повторного запуска в новом процессе загрузчик снова проверяет имя процесса на наличие строки svchost. Убедившись в успешной проверке, HelloInjector загружает и выполняет в памяти вредоносную нагрузку, которая хранится в его теле в открытом виде.

Вредоносная нагрузка, которую назвали HelloProxy, является одновременно скрытым прокси и загрузчиком следующих модулей, которые присылает командный сервер.

Работает за счет перехвата функций NtDeviceIoControlFile, closesocket и shutdown, который осуществляется с помощью Microsoft библиотеки Detours. После установки перехватчиков, вредонос начинает прослушивать порты 5003 и 5060 в ожидании первых команд от С2 сервера.

В ходе исследования ЛК удалось обнаружить две вредоносные нагрузки, которые были внедрены в процесс svchost, вероятно в результате работы ранее описанного загрузчика:

- Имплант, который назвали HelloExecutor, с помощью которого атакующие могут выполнять команды на зараженной системе;
- Модуль для очистки файлов журналов ПО ViPNet, который был назван HelloCleaner. Он позволяет скрыть действия злоумышленников в системе.

Помимо этого, на одной из зараженных систем был обнаружен бэкдор написанный на языке Rust, который в ЛК назвали HelloBackdoor.

В настоящее время в ЛК с низкой долей уверенности связывают данную кампанию с деятельностью неизвестной китайскоязычной APT. Все технические подробности и IOCs - в отчете.