🥷 Группировка Hive0117 вернулась с новым 🦠ВПО для атак на российских бухгалтеров

Свежий отчёт компании F6 посвящён новой кампании финансово мотивированной группировки Hive0117, которая вернулась к активным действиям в августе 2026 года после четырёхмесячного затишья. Злоумышленники отказались от прежнего инструмента DarkWatchman и перешли на специализированный банковский троян FMVT RAT, нацеленный на хищение средств через системы дистанционного банковского обслуживания (ДБО).

FMVT RAT – банковский троян удалённого доступа с многоступенчатым процессом заражения, в ходе которого используется несколько компонентов: дроппер, установщик, лоадер основного ядра RAT и само ядро FMVT RAT. ВПО закрепляется через COM, поддерживает получение команд от C2, способно перехватывать буфер обмена и собирать телеметрию, взаимодействует с браузерами через Chrome DevTools Protocol, поддерживает веб-инжекты.

Hive0117 – финансово мотивированная группировка. Действует с конца 2021 года. До апреля 2026 года использовала в атаках бесфайловое вредоносное ПО DarkWatchman. Нацелена на финансовые подразделения компаний из различных отраслей. Помимо России, среди целей в том числе замечены организации из Беларуси, Узбекистана и Казахстана.

👨🏻‍💻❗️Цели: бухгалтеры и сотрудники финансовых подразделений. Основной удар пришёлся на российские организации из сфер ретейла, строительства, логистики, промышленности, медицины и ТЭК. Ранее группировка также атаковала компании из таких стран, как 🇷🇺Россия, 🇧🇾Беларусь, 🇺🇿Узбекистан и 🇰🇿Казахстан.

🥷 Масштаб и ущерб: с 13 августа по 12 сентября 2026 года зафиксировано более 100 успешных атак на российские компании. Средний ущерб составляет от ₽10 млн до ₽12 млн на одну пострадавшую организацию.

📂 Вектор доставки: целевые фишинговые рассылки с темами о счетах на оплату, актах сверки и задолженностях. В письмах содержатся архивы с вредоносными исполняемыми файлами. Вредоносные файлы присылают в архивах .tar, .rar или .7z, при этом 30 августа злоумышленники использовали защищённый паролем архив.

🔗Цепочка заражения:

1️⃣Пользователь запускает исполняемый файл из полученного архива.
2️⃣ Файл-дроппер показывает фиктивное окно ошибки чтения, сохраняет свою копию во временную папку и расшифровывает установщик Stage2_dll.
3️⃣ Модуль fmvt_install настраивает ключи реестра, сохраняет DLL-компоненты и перезапускает explorer.exe.
4️⃣ Лоадер fmvt_ext считывает зашифрованный бинарный блоб из реестра и исполняет ядро fmvt_core в оперативной памяти.
5️⃣ Ядро собирает сведения о системе, проверяет наличие защитного ПО, отслеживает смарт-карты и подключается к C2-серверам.

Связка FMVT RAT и LOBSHOT позволяет злоумышленникам отказаться от выявляемого антивирусами внедрения в память браузера в пользу легитимных методов автоматизации через CDP и скрытого удалённого управления через HVNC. Наибольшую опасность для организаций представляет отслеживание токенов электронной подписи в сочетании со скрытым управлением браузерными сессиями ДБО через отладочный протокол.

✋ @Russian_OSINT

Канал 🔨SecAtor пишет интересное:

Уязвимость в клиенте Steam, для которой нет решения, позволяет повысить привилегии в Windows.

Эксплойт, получивший название BrokenPipe, использует уязвимость службы клиента Steam для повышения прав обычного пользователя Windows до уровня NT AUTHORITY\SYSTEM без отображения запроса UAC или запроса учетных данных администратора.

Проблема была представлена на GitHub исследователем KillaBoi, который утверждает, что Valve была уведомлена об уязвимости еще в марте.

По словам исследователя, соответствующий отчет на HackerOne был помечен как дубликат, что и побудило его к решению опубликовать PoC в надежде ускорить исправление.

BrokenPipe нацелен на steamservice.exe, службу Windows, устанавливаемую вместе с клиентом Steam от Valve. Эта служба обычно запускается с правами SYSTEM и выполняет операции, требующие повышенных разрешений от имени клиента Steam.

Согласно техническому описанию, уязвимость связана с тем, как служба Steam Client обрабатывает подписанные VDF-файлы установочных скриптов.

Сам VDF-файл имеет легитимную подпись Valve, а корневой каталог установки, контролируемый вызывающей стороной и используемый службой, предположительно не покрывается этой подписью.

BrokenPipe подключается к службе клиента Steam без прав администратора и вызывает IClientInstallUtils::AddInstallScriptToWhiteList, предоставляя подлинный VDF-файл, подписанный Valve, вместе с контролируемым злоумышленником местом установки, что приводит к тому, что перемещенный лаунчер становится доверенным.

Затем эксплойт вызывает IClientInstallUtils::RunInstallScript, в результате чего служба Steam уровня SYSTEM обрабатывает VDF и запускает выбранный лаунчер со своими собственными привилегиями.

В конечном итоге PoC запускает C:\Windows\System32\cmd.exe от имени SYSTEM, а команда whoami/user возвращает локальный системный SID S-1-5-18.

Исследователь подчеркивает, что BrokenPipe не подделывает, не модифицирует и не обходит цифровую подпись Valve (VDF). Вместо этого он использует то, что описывается как пробел в том, что фактически охватывает эта подпись.

Тестирование проводилось на версии Steam 10.96.30.42 на современных 64-битных системах Windows 10 и Windows 11. Для работы не требуется аутентификация в Steam, для запуска какой-либо игры не обязательно запускать приложение.

Тем не менее, для использования BrokenPipe злоумышленнику уже требуется доступ к выполнению кода от имени локального пользователя, это ограничение не делает снижает критичности проблемы.

Распространенные вредоносные ПО, стилеры, RAT и инструменты постэксплуатации часто ищут локальные уязвимости для повышения привилегий после получения первоначального доступа.

Таким образом, уязвимость в таком распространенном ПО, как Steam, может обеспечить вредоносной ПО удобный путь от ограниченных пользовательских привилегий к полному контролю на уровне SYSTEM.

Valve по поводу обнаруженной уязвимости пока никак не реагирует. Зато полагаем, что киберподполье сделает это более оперативно. Но будем посмотреть.

🔐Квантовый щит для DNSSEC учится передавать тяжёлые байты

Публичный DNS-резолвер Cloudflare 1.1.1.1 начал проверять подписи DNSSEC на базе постквантового алгоритма ML-DSA-44, стандартизированного институтом NIST. Организация IANA присвоила этому алгоритму номер 18 в реестре DNSSEC.

В отличие от протоколов шифрования, где опасен перехват трафика с прицелом на будущую расшифровку, система DNSSEC отвечает за подлинность записей, поэтому появление мощного квантового компьютера создаст угрозу подделки ответов по всей мировой цепочке доверия.

Основная сложность внедрения связана с размером криптографических данных, ведь одна подпись ML-DSA-44 занимает 2420 байт, что почти в 38 раз больше классической подписи ECDSA P-256. Такой объём значительно превышает стандартный безопасный предел полезной нагрузки UDP в 1232 байта и не позволяет доставить ответ без фрагментации сетевых пакетов. По этой причине авторитетные серверы вынуждены возвращать сигнал об усечении ответа, а резолвер повторяет запрос и получает громоздкие криптографические ключи уже через надёжный протокол TCP.

Для переходного периода разработчики предусмотрели защиту от атак с принудительным понижением версии, когда злоумышленник пытается удалить новый алгоритм и подсунуть уязвимую классическую подпись. Если родительская зона подтверждает наличие постквантового алгоритма через DS-запись, резолвер 1.1.1.1 требует обязательной успешной проверки именно по цепочке ML-DSA-44 и полностью блокирует откат к старым алгоритмам. Пользователям резолвера не требуется менять настройки, а следующим шагом компании станет внедрение подписи ML-DSA-44 в авторитетные серверы и регистратор доменов Cloudflare.

✋ @Russian_OSINT

🖥SAP закрыла критическую уязвимость OVERPASS, но 🇷🇺российскому бизнесу официальный патч недоступен

SAP выпустила исправление для критической уязвимости OVERPASS (CVE-2026-44756), получившей наивысшую оценку 10 баллов по шкале CVSS. Обновление доступно с 8 сентября. Успешная эксплуатация позволяет удалённому злоумышленнику без прохождения аутентификации выполнять команды операционной системы от имени учётной записи сервиса SAP и перехватить полный контроль над инфраструктурой и бизнес-данными.

Для российских предприятий ситуация осложняется прекращением официальной поддержки вендора в конце 2023 года. Как сообщает ComNews, сотни отечественных компаний продолжают использовать продукты SAP, но лишены штатного доступа к обновлениям и базе SAP Notes. Возникает неприятная ситуация, когда сведения об уязвимости известны всему миру, а легальная возможность установить патч у бизнеса в РФ отсутствует.

Проблему обнаружили ИБ-исследователи Onapsis. Ошибка содержится в общем коде ядра SAP при обработке служебной структуры Extended Passport (EPP), используемой для сквозной трассировки запросов. Из-за отсутствия проверки границ при десериализации возникает повреждение памяти. Onapsis выявила свыше 10 000 уникальных IP-адресов с доступными из интернета веб-интерфейсами SAP, однако архитектура EPP делает уязвимыми и внутренние серверы через стандартные протоколы взаимодействия SAP GUI и RFC.

Полноценное устранение уязвимости требует обновления ядра по бюллетеню SAP Security Note 3747649, на который ссылается европейский координационный центр CERT-EU. До установки официального исправления организациям необходимы полная инвентаризация затронутых компонентов, изоляция систем и непрерывный мониторинг попыток эксплуатации. Компенсирующие меры снижают риск сетевого проникновения, однако сам уязвимый код не исправляют.

Руководитель группы инфраструктурной безопасности компании Positive Technologies Павел Попов выделил три первоочередных шага для организаций, которые всё ещё используют зарубежные ERP-системы без поддержки вендора:

▪️Провести инвентаризацию активов, поскольку каждая третья компания не уверена, что знает свою инфраструктуру;
▪️Убрать ERP-системы с периметра и ограничить доступ к ним внутри сети сегментацией и компенсирующими мерами;
▪️Приоритизировать уязвимости не по CVSS (Common Vulnerability Scoring System), а по реальным путям атак. Параллельно важно планировать миграцию - система без обновлений с каждым месяцем обходится дороже.

Главный эксперт Центра информационной безопасности АНО «Университет Иннополис» Михаил Серегин разъяснил корреспонденту ComNews, что предприятиям с критической зависимостью бизнес-процессов от зарубежных ERP необходимо рассматривать переход на отечественные либо иные решения, для которых сохраняются законные возможности лицензирования, сопровождения и получения обновлений безопасности.

✋ @Russian_OSINT

👩‍💻 Сэм Альтман признал выход ИИ из-под контроля людей реальной угрозой и заморозил триллионное IPO

В эксклюзивном интервью главному редактору журнала Fortune Элисон Шонтелл генеральный директор OpenAI Сэм Альтман обсудил переломный момент в развитии индустрии ИИ. Поводом для встречи стал запуск GPT-6 Astra, сменившей GPT-5.6 Sol. Сооснователь OpenAI Грег Брокман назвал этот релиз наступлением эры AGI (общего искусственного интеллекта), а генеральный директор Nvidia Дженсен Хуанг подтвердил, что технология подошла к этой планке.

👁 Тезисы Альтмана:

▪️Глава OpenAI опроверг расхожие мнения о том, что проблема согласования ИИ (alignment) уже решена. По его словам, ни одна лаборатория в мире пока не имеет законченной теории и надёжных механизмов контроля над сверхчеловеческими системами.

▪️OpenAI уже начала практиковать остановку циклов обучения моделей, когда они выходят на новый рубеж возможностей, до тех пор, пока команда безопасности не сформулирует убедительное доказательство безопасности (safety case).

▪️Альтман считает реальным сценарий выхода ИИ из-под контроля человека.Он разграничил слабое рекурсивное улучшение (когда модели генерируют синтетические данные и ускоряют работу инженеров, что уже происходит повсеместно) и сильное рекурсивное самосовершенствование без участия человека. Глава OpenAI напомнил об экспоненциальном темпе развития систем за последние четыре года:
↘️ три года назад системы с трудом справлялись с задачами уровня начальной школы
↘️ два года назад алгоритмы вышли на уровень математической олимпиады старшеклассников AIME
↘️ год назад модель взяла золотую медаль на Международной математической олимпиаде (IMO)
↘️ этим летом модель решила «задачу тысячелетия» Навье — Стокса (требуется ещё проверка)

▪️Альтман надеется, что лидеры двух ключевых соперничающих стран, 🇺🇸США и 🇨🇳Китая, согласуют общие правила проверки и ограничения рисков систем нового поколения.

Отдельно Сэм Альтман сообщил, что текущий момент является крайне неподходящим для публичного размещения акций (IPO), так как компания должна сохранять свободу тормозить коммерческий прогресс и приостанавливать обучение в интересах безопасности человечества, не оглядываясь на сиюминутные требования биржевых акционеров. В 2026 году IPO ждать не стоит.

В продуктовом плане OpenAI делает ставку на голосовое управление в GPT-6 Astra, которое меняет привычный подход к вычислениям, уводя пользователя от экранов и кликов мышью к непрерывному интеллектуальному диалогу. Компания изучает специализированные настольные и носимые устройства.

Что касается создания роботов-гуманоидов, то Альтман пообещал демонстрацию прототипа в 2027 году, хотя до массового появления роботов на улицах городов потребуется ещё несколько лет доработок.

✋ @Russian_OSINT

🇪🇺План выживания Европы без пустых иллюзий о собственном суверенном ИИ

Берлинский аналитический центр KIRA Center представил доклад «Стратегия в отношении трансформирующего ИИ для Европы», авторами и рецензентами которого выступили бывший исполнительный вице-президент Европейской комиссии Маргрете Вестагер, экономист Дарон Аджемоглу, профессор Коллеж де Франс Филипп Агийон и исследователь ИИ Йошуа Бенжио. Эксперты констатируют, что Европа структурно не готова к тому, что до 2030 года может появиться 🤖трансформационный ИИ, который способен изменить основы экономики, науки и геополитики быстрее любой технологии в истории.

На долю стран Европейского союза приходится лишь около 5% мировых вычислительных мощностей для ИИ-моделей против 75% в 🇺🇸США и 15% в 🇨🇳Китае, а совокупные доходы европейских разработчиков базовых моделей составляют менее 2% от выручки двух ведущих американских лабораторий OpenAI и Anthropic.

Ситуацию обостряет прямая технологическая зависимость от внешних поставщиков, в первую очередь от США. Европа без надёжного доступа к передовым ИИ-системам рискует полностью утратить суверенитет и оказаться беззащитной перед системными киберугрозами.

Анализ показывает, что попытка развернуть суверенный общеевропейский проект передового ИИ потребует колоссальных затрат масштаба «Манхэттенского проекта» и обойдётся примерно в €790 млрд за первые три года, включая €529 млрд на строительство дата-центров мощностью 16 ГВт, €105 млрд на аренду внешних мощностей и €34 млрд на наём ведущих учёных и выкуп их опционов.

Эксперты считают половинчатый подход к такой инициативе худшим вариантом развития событий, ведь европейские страны потратят огромный капитал и всё равно не догонят мировых лидеров. В качестве более надёжной альтернативы предлагается стратегия использования рычагов влияния и прагматичная формула «вычислительные мощности в обмен на доступ».

Согласно этому плану, Европа должна привлечь около €1,3 трлн частного капитала при поддержке государственных гарантий на сумму €100 млрд, из которых €25 млрд предоставит бюджет ЕС, а €75 млрд выделят государства-члены. Это позволит развернуть в странах ЕС не менее 45 ГВт мощностей дата-центров и довести европейскую долю в мировых ИИ-вычислениях до 15% к 2030 году.

Авторы концепции предлагают сократить сроки выдачи разрешений на строительство до трёх месяцев за счёт специальных зон ускоренного развития. Площадки для строительства и доступ к энергосетям европейские государства смогут предлагать американским гиперскейлерам🤖исключительно в обмен на юридически обязывающие гарантии равного и бесперебойного доступа к их передовым моделям.

Для защиты своих позиций ведущие европейские государства, включая такие страны, как 🇳🇱Нидерланды, 🇩🇪Германия и 🇫🇷Франция, должны учредить постоянный альянс по безопасности цепочек поставок. Авторы призывают сделать Европу лидером в технологиях доверенного ИИ, выделив не менее €250 млн на исследования технологий верификации и безопасности вычислений, поддержав условными обязательствами по закупке на €1 млрд выпуск европейских чипов для инференса и профинансировав к 2028 году строительство первого в мире дата-центра высшего класса защищённости по стандарту RAND SL5 для изолированного хранения критических весов моделей и выполнения оборонных задач.

👆Если ЕС будет бездействовать, то Европе грозит экономическая деградация, хотя авторы доклада покорно подчиняться 🇺🇸США не предлагают. Вместо разорительного создания собственного передового ИИ ЕС должен сделать ставку на управляемую зависимость через встречный прагматичный торг. Без нидерландской литографии ASML, немецкой оптики Zeiss и европейских энергосетей масштабирование американских ИИ-моделей быстро упрётся в тупик. Предоставляя землю и киловатты строго в обмен на юридически закреплённый доступ к технологиям, Европа получает физический контроль над инфраструктурой на своей территории и лишает Вашингтон возможности говорить с позиции силы. Что выберет ЕС? Покажет время.

✋ @Russian_OSINT

🥷 Хакер использовал созданное с помощью ИИ вредоносное ПО для заработка на программах Bug Bounty

Журналист издания Axios Сэм Сабин опубликовал интересный эксклюзивный материал на основе исследования компании CrowdStrike. В нём описан уникальный случай, когда финансово мотивированный злоумышленник написал ⚠️ вредоносное ПО с помощью LLM, а затем внедрил его в репозиторий открытого кода, чтобы получать белые выплаты за обнаруженные уязвимости.🎩Хакер решил взламывать 💻компании, находя в их инфраструктуре уязвимости, чтобы в итоге обманом получать легитимные выплаты под видом "белого хакера".

Схема:
Генерация вредоносного ПО с помощью ИИ → Загрузка вредоносных пакетов в npm → Компрометация устройств разработчиков и сбор учётных данных → Проникновение во внутреннюю инфраструктуру → Поиск уязвимостей → Отправка отчётов в программы bug bounty и получение выплат.

Оператор PhantomRaven позиционирует себя как багхантер и ведёт активность с конца 2022 года. Злоумышленник разместил в открытом репозитории npm пакеты с вредоносным ПО, получившим название PhantomRaven. При установке этих библиотек вредоносный код выполнялся на устройствах разработчиков, собирал конфиденциальные сведения, учётные данные и техническую информацию.

Вектор атак:
Распространение строилось на публикации тайпсквоттинговых пакетов в репозитории npm. При установке таких пакетов менеджер npm загружал в виде зависимости полезную нагрузку с управляющих серверов атакующего, после чего внутри неё автоматически срабатывал сценарий предварительной установки (preinstall). В актуальных версиях npm разработчики добавили защиту, блокирующую автоматическое выполнение подобных скриптов без явного разрешения пользователя.

По оценке CrowdStrike, получив доступ к инфраструктуре компаний через скомпрометированные компьютеры разработчиков, злоумышленник выявлял слабые места и уязвимости в корпоративных системах. Затем он направлял отчёты в официальные программы bug bounty, рассчитывая на получение законного денежного вознаграждения.

Хакер открыто заявил о получении выплат минимум от 9 компаний из сфер технологий, розничной торговли и гостиничного бизнеса. ИБ-специалисты CrowdStrike реагировали на инциденты и устраняли последствия атак PhantomRaven в нескольких организациях, однако точная связь между всеми заявленными выплатами и этим вредоносным ПО остаётся неясной.

Исследователи CrowdStrike с высокой долей уверенности полагают, что вредоносное ПО было сгенерировано ИИ-моделью. На это указали оставленные в коде подробные комментарии, шаблонные блоки-заглушки и статистические паттерны анализа токенов.

👆Старший вице-президент CrowdStrike по противодействию киберугрозам Адам Майерс отметил, что участие в программах bug bounty позволило злоумышленнику не только заработать, но и завоевать авторитет в сообществе.

✋ @Russian_OSINT

Кибербезопасность как инвестиция: где заканчивается гадание и начинается эффективность?

В условиях меняющихся киберугроз и ограниченных бюджетов бизнесу уже недостаточно просто наращивать количество средств защиты — важно понимать, какая модель кибербезопасности действительно работает и окупается.

Обсуждать эффективность подходов будут 24 сентября на Секретной сессии uFactor 2026 от UserGate и Кибердома. И делать это будут не докладчики, а сами участники — в формате живого спора между вендором, заказчиком и интегратором.

В программе:
💜 Инвестиции в устойчивость: сетевое доверие через услуги и сервисы
💜 Синергия услуг, сервисов uFactor и решений UserGate
💜 Управляемая безопасность: SOCaaS, ИБ-зрелость и комплаенс
💜 Презентация дорожной карты uFactor

uFactor — направление UserGate, объединяющее услуги и сервисы в области информационной безопасности с продуктами компании.

К участию в мероприятии приглашаются руководители IT- и кибербез-направлений, CISO, CIO, CTO, собственники и топ-менеджеры среднего и крупного бизнеса.

➡️ Регистрация

Когда: 24 сентября, 12:00
Где: Кибердом, 2-я Звенигородская ул., 12 стр. 18