🙈Уязвимость VMmanager открыла хакерам доступ к серверам десятков хостингов

Масштабная атака на российские хостинг-провайдеры оказалась куда серьёзнее первоначального взлома FirstVDS. Через уязвимости в VMmanager 6 злоумышленники проникали в управляющую инфраструктуру операторов и похищали клиентские данные. По оценке одного из пострадавших провайдеров, кампания могла затронуть несколько десятков хостингов.

Хакерам не требовалось взламывать каждый виртуальный сервер. Достаточно было получить контроль над системой управления, чтобы добраться до дисков клиентов со стороны оборудования провайдера. Специальная программа искала пароли, SSH-ключи, криптокошельки и другие секреты. При этом виртуальные машины продолжали работать, а владельцы могли даже не подозревать о краже.

Разработчик VMmanager подтвердил проблему, но исправления пока не позволили всем провайдерам снять ограничения. Взломанные провайдеры продолжают держать панель закрытой, а пострадавшим клиентам рекомендуют срочно заменить ключи и пароли. Даже после устранения уязвимости украденные доступы останутся пригодными для новых атак, пока владельцы их не отзовут.

#VMmanager, #Хостинг, #Кибератака @SecLabNews

👀 РКН утвердил правила трансграничного транзита на 2026 год

Опубликован свежий приказ РКН № 253, регулирующий трансграничную передачу сведений о гражданах по статье 12 закона 152-ФЗ. Список стран с адекватной защитой теперь насчитывает ровно 88 позиций. Ведомство объединило участников европейской конвенции и сторонние государства в единый реестр, окончательно закрепив новый подход к оценке рисков. Украину оттуда ожидаемо убрали, а Штаты туда даже не пытались пускать.

Разница вполне практическая. Если российский бизнес отправляет персональные данные получателю в Китае, передачу можно начинать сразу после обязательного уведомления регулятора. С американским получателем придётся ждать до десяти рабочих дней, а при запросе дополнительных документов и дольше. При этом требования к защите сведений никто не отменял.

Поэтому бизнесу имеет смысл проверить не только договор с иностранным сервисом, но и фактическое местонахождение получателя данных. Само использование зарубежного ПО нарушения не образует. Значение имеют состав передаваемых сведений, страна получателя и соблюдение российских требований, включая локализацию персональных данных.

#роскомнадзор, #персональныеданные, #инфобез @SecLabNews

🚰 Закрытый ключ оказался числом 4. Добро пожаловать в мир серьёзной криптографии

Криптография высшей пробы. Берём эллиптическую кривую P-384, обеспечивающую при правильной реализации стойкость порядка 192 бит, и каким-то образом получаем закрытый ключ со значением 115. Или 4. Или 56. У удостоверяющего центра eMudhra восемь закрытых ключей промежуточных центров сертификации оказались обычными числами от 4 до 237. Исследователь Скотт Хелме восстановил все восемь по открытым данным сертификатов менее чем за секунду, просто перебрав возможные значения. Ни взлома серверов, ни компрометации аппаратных модулей безопасности не потребовалось. Сама криптография работала безупречно, просто её стойкость свели к восьми битам. Причём шесть скомпрометированных ключей предназначались для выдачи TLS-сертификатов, а ещё два для подписи программного кода. В результате любой обладатель таких ключей мог выпускать криптографически корректные сертификаты от имени доверенного центра.

Самое интересное обнаруживается в истории инцидента. Ещё в мае 2025 года шесть тех же промежуточных центров публиковали списки отзыва сертификатов с некорректными цифровыми подписями. Ошибку тогда исправили и публично разобрали, но главную проблему с ключами не замечали около 17 месяцев. Теперь выяснилось, что всё это время злоумышленник потенциально мог подделывать сертификаты для произвольных доменов. Chrome и Firefox оперативно заблокировали скомпрометированные ключи, а обязательная проверка Certificate Transparency дополнительно защищала браузеры от незарегистрированных подделок. С небраузерным программным обеспечением ситуация хуже. Многие TLS-клиенты, включая распространённые конфигурации curl, Python и Node.js, не проверяют ни журналы CT, ни статус отзыва сертификатов. Хелме продемонстрировал, как такие приложения принимают поддельный сертификат для API Stripe. Для реальной атаки потребовалась бы возможность перехватывать или перенаправлять трафик, но дальше злоумышленник уже мог бы получать токены авторизации и другие конфиденциальные данные.

Вся история прекрасно иллюстрирует слабое место инфраструктуры открытых ключей PKI. Можно использовать надёжные алгоритмы, аппаратные криптомодули и многоступенчатые процедуры, а затем испортить результат одной ошибкой в сценарии генерации ключей. По предварительному объяснению eMudhra, скрипт создал дополнительные слабые ключевые пары, а сотрудники перепутали их с полноценными из-за похожих названий. Ошибочные ключи получили сертификаты не только от собственного корневого центра, но и через перекрёстную подпись Sectigo. Теперь Mozilla исключает затронутый корневой сертификат из доверенного хранилища NSS, а Chrome готовит удаление emSign ECC Root CA - G3, из-за чего некоторым законным владельцам сертификатов придётся менять цепочки доверия. Однако главная проблема шире конкретного удостоверяющего центра. Пока приложения полагаются на устаревшие хранилища CA и игнорируют отзыв сертификатов, даже давно скомпрометированный однобайтовый ключ способен оставаться действующим инструментом для подмены доверенных серверов. И никакая математическая стойкость P-384 здесь уже не поможет.

#Криптография, #Сертификаты, #Уязвимости @SecLabNews

ИИ закрыл все тревоги. А атаки точно остановлены?

ИИ-расследователь в SOC может собирать доказательства и разгружать аналитиков. Но неполные журналы, инструкции злоумышленника внутри улик и слепое доверие вердикту «безопасно» превращают автоматизацию в риск.

❗️ Где проходит граница между самостоятельным расследованием и опасным реагированием? Почему отправленная команда блокировки ещё не означает устранённую угрозу? Разбираем в статье на SecurityLab — и объясняем, как оценивать пользу ИИ, а не красоту отчётов.

💻 Читать статью

18+. Реклама. Рекламодатель ООО «Интеллектуальная безопасность», ИНН 7719435412, erid: 2SDnjee4qFz

😍 ИИ помог найти дыру в PHP. Теперь весь интернет спешно устанавливает патчи

Захватить сервер без авторизации, выполнить на нём произвольный код и получить доступ к конфиденциальной информации. Подобные возможности открывают две критические уязвимости PHP, исправления для которых вышли сегодня. Ошибки затрагивают сам интерпретатор, поэтому под потенциальной угрозой оказались миллионы сайтов, включая ресурсы на WordPress, Drupal и Joomla.

Опасность оказалась настолько серьёзной, что европейские правительства начали самостоятельно отключать сайты. В Нидерландах недоступными стали парламентский портал, системы взаимодействия граждан с государством, сайты больниц и ведомств. Финляндия, Франция и Дания также ограничили работу части государственных платформ. Национальный центр кибербезопасности Нидерландов даже временно отключил собственный ресурс.

Ограничения затронули и крупные интернет-площадки. Wikimedia приостановила вспомогательные сервисы для разработчиков, 4chan отключил публикацию сообщений и авторизацию. При этом подтверждений массового взлома пока нет. Организации закрывают доступ к системам, чтобы не дать злоумышленникам воспользоваться уязвимостями до установки исправлений.

Получился цифровой кризис без подтверждённой волны успешных атак. Две ошибки в распространённом серверном компоненте заставили целые государства перейти к чрезвычайным мерам. Насколько глубока зависимость современного интернета от PHP, стало особенно заметно, когда привычные государственные и коммерческие сервисы начали один за другим исчезать из сети.

Короткий чек-лист

Обновиться до 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 — единственное полное решение.
До обновления: upload_progress=0 (если функция не используется) и memory_limit=-1 с ограничением post_max_size на фронте; перезапустить воркеры.

Мониторить предупреждения фазы старта запроса («PHP Request Startup: … in Unknown on line 0») — маркер дообновлённой поверхности.
Не применять RLIMIT_AS/RLIMIT_DATA.

К «утёкшим PoC» из соцсетей относиться как к непроверенным до A/B-прогона.

#PHP2Shell, #Уязвимости, #Интернет

💩Спецслужбы придумали, как посадить любого за чистый телефон без улик

Пока многие спорят о стойкости шифрования и накатывают защищённые прошивки, реальность подкинула сюжет похлеще любого шпионского триллера. Пассажира прижали в аэропорту, потребовали пинкод от трубки, а тот послушно набрал комбинацию. Только вместо галереи с фотками система моментально превратилась в безжизненный кирпич. Фирменная фича GrapheneOS под названием Duress PIN сработала как часы, за секунду похоронив ключи шифрования, пользовательские файлы и профили eSIM. Красивая победа приватности? Как бы не так.

Силовики знатно опешили от такого поворота, но быстро сориентировались и выкатили обвинение в умышленном уничтожении улик и препятствовании правосудию. Сам факт штатной очистки устройства по принудительному коду они превратили в состав полноценного преступления.

Чем надёжнее смартфон защищает ваши данные, тем больше проблем может возникнуть у его владельца при встрече с силовиками. Причём не так важно, в какой стране происходит досмотр. . Сам факт применения инструмента защиты от принуждения может обернуться уголовным преследованием. Можно сколько угодно совершенствовать шифрование, прятать данные и придумывать пароли на случай чрезвычайной ситуации, но вся техническая защита теряет смысл, если за её применение приходится отвечать перед судом. И главный вопрос теперь не в том, смогут ли силовики взломать ваш смартфон, а в том, что произойдёт, если у них ничего не получится.

#Кибербезопасность, #GrapheneOS, #Приватность

🫣Армия США хочет создать кибероружие, которое само выбирает путь к цели

Обычный компьютерный червь распространяется по заранее заложенным правилам. Американские военные хотят пойти дальше и создать программу, которая сама исследует заражённую сеть, анализирует обстановку и выбирает следующие действия. Причём конечная задача может заключаться не в краже информации, а в отключении или уничтожении цифровой цели.

На презентации ECHOTRIBBLE показали характерный сценарий. Агент оказывается на ноутбуке, обнаруживает соседние устройства и создаёт варианты собственного кода для iPad, компьютера Apple и машины с Windows 11. По замыслу разработчиков, программа должна адаптироваться к окружению без постоянных указаний человека.

ECHOTRIBBLE пока существует на стадии разработки, а показанный сценарий не доказывает способность системы проводить полноценные автономные атаки. Однако сама концепция меняет привычную логику кибероружия. Вместо инструмента, который исполняет последовательность команд, военные хотят получить цифрового исполнителя, способного самостоятельно искать способ выполнить приказ.

#ECHOTRIBBLE, #ВредоносноеПО, #Кибербезопасность @SecLabNews

🩶 Поймать скрытую атаку до ущерба

Вебинар 29 октября в 11:00

Злоумышленник может неделями оставаться в сети незамеченным. Его действия часто выглядят как штатная активность. Но благодаря Гарда Deception среди серверов скрыты ловушки: одно обращение к ложной цели — и SOC обнаружит атакующего.
На вебинаре эксперты покажут, как выявить атаку до ущерба.

Вы узнаете:
🟣почему атаки долго остаются незаметными;
🟣как приманки защищают Linux без агентов;
🟣какие ловушки повышают реалистичность ложного слоя;
🟣как встроить deception в сегментированные сети и улучшить метрики SOC.

Разберем кейсы и ответим на вопросы.
Регистрируйтесь!

🖕Столичная полиция нашла нового чемпиона по потере денег

В Москве зафиксирован абсолютный максимум одиночного ущерба от кибермошенников. Женщина лишилась четырехсот пятидесяти миллионов рублей. История всплыла из архивов весенних дел двадцать пятого года, но детали дела по-прежнему покрыты мраком. Ни сроков обмана, ни имен фигурантов публика так и не увидела.

Подобные прецеденты показывают эволюцию криминальных технологий. Аферисты перестали размениваться на пустяки и нацелились на состоятельных граждан. Социальная инженерия работает безотказно, если у жертвы есть что закладывать и продавать. Никакая техническая защита не поможет, пока человек сам добровольно открывает дверь злоумышленникам.

Официальные сводки успокаивают снижением доли таких преступлений в общей массе. Однако тридцать три миллиарда рублей убытка за неполный год говорят об обратном. Отрасль цифровых краж чувствует себя прекрасно, адаптируясь к любым фильтрам безопасности. Безопасных счетов не существует, а бдительность граждан остается на прежнем уровне.

@SecLabNews #мошенники, #кибербезопасность, #криминал

🆘Рубильник вместо патча: ФСБ приказала вырубать сайты КИИ при проблемах с PHP

Появилась жесткая директива через ГосСОПКУ. Не получается закрыть две критические уязвимости с девяткой по шкале CVSS в течение пары часов — глушите серверы КИИ. Угроза реальная, атака отрабатывает на лету, а уязвимости зашиты глубоко в фундамент веб-технологий. Спасать старые сайты переустановкой плагинов бесполезно, потому что дырявый сам интерпретатор.

Для крупных ведомств и энергетиков это катастрофа масштаба стихийного бедствия. Попробуй обнови PHP на каком-нибудь заброшенном корпоративном портале, который писали еще при царе Горохе. Все упадет моментально, а разбираться некому. Именно поэтому призыв гасить свет выглядит логичным актом отчаяния. Пока одни вендоры пилят экстренные патчи для веток 8.2-8.5, хакеры уже сканируют сеть в поисках незакрытых cайтов.

Ситуация бьет по больному месту любого сисадмина. Жить на устаревших версиях софта больше не прокатит, а бизнес привык экономить на поддержке инфраструктуры. Придется пересматривать подходы к безопасности, иначе следующий рубильник опустят уже навсегда, без права на включение.

#ФСБ #PHP #Кибербезопасность @SecLabnews