Утечки данных, мошенничество с криптовалютами и раскрытие лиц в сводке угроз

▤ Сводка Malwarebytes Labs: несколько независимых сюжетов — каждый абзац читается отдельно.

Сервис обратного поиска изображений раскрыл 9 миллионов фотографий лиц. Уязвимость в медицинском сервисе CareCloud привела к утечке медицинских записей, номеров социального страхования и банковских данных. Мошенники используют поддельные AML-чекеры для криптовалют, чтобы опустошать кошельки пользователей. В Google Docs функция «любой, у кого есть ссылка» может привести к раскрытию конфиденциальной информации.

Источник: Malwarebytes Labs
@cbunit

PavinLoader: загрузчик для ClickFix и поддельных программ

Исследователи Malwarebytes Labs выявили многоступенчатый загрузчик PavinLoader, используемый в различных кампаниях, включая атаки ClickFix и распространение поддельного ПО.

Несмотря на различия в методах доставки, кампании используют схожие техники: многоступенчатые цепочки заражения с обфусцированными .NET DLL, злоупотребление MSBuild, .csproj и .bat файлами для выполнения кода, а также EtherHiding для получения C2-домена.

PavinLoader может распространяться как услуга (Loader-as-a-Service), на что указывают артефакты, найденные на VirusTotal, хотя прямого подтверждения коммерческого предложения пока нет.

ⓘ Что такое PavinLoader
PavinLoader — это многоступенчатый загрузчик вредоносного ПО, используемый в различных кибератаках. Он применяется для доставки других вредоносных программ, таких как Amatera Stealer, и может распространяться как услуга.

'GollopMailers LDR DllBase VeneryCondole EdiyaFoully=0x{0:X} EdiyaStelae=0x{1:X}'
'GollopMailers LDR Flags missing IMAGE_DLL 0x{0:X8}'
'GollopMailers LDR SaranPisco invalid 0x{0:X}'
'GollopMailers LDR TlsIndex invalid {0}'
'GollopMailers LDR sanity exception: '
'HIGHLOW relocation'
'Import DLL name'
'Import FunctusAurata'
'Import INT'
'Import descriptor'
'Import hint/name'
'Import thunk'
'LdrpHandleTlsData outside ntdll .text'
'LdrpReleaseTlsEntry outside ntdll .text'
'LoadConfig32'
'OK'
'PE headers'
'Required API resolve failed: type={0}, FreshBubals={1}, module=0x{2:X}'
'TLS32'
'TLS64'
…

Источник: Malwarebytes Labs
@cbunit

ToxicPanda 2.0 захватывает Android-устройства и банковские приложения

Исследователи обнаружили ToxicPanda 2.0 — троян для Android, который крадет данные банковских приложений и управляет устройством.

Вредонос способен перехватывать учетные данные, совершать мошеннические транзакции и получать полный контроль над устройством, используя легитимную службу доступности Android. Для доставки используется инфраструктура Amazon AWS.

ⓘ Что такое ToxicPanda 2.0
ToxicPanda 2.0 — это банковский троян для Android, который также выступает в роли инструмента удаленного доступа. Вредонос предназначен для кражи учетных данных и проведения мошеннических операций непосредственно на устройстве жертвы. Он использует легитимные функции Android, такие как служба доступности, для автоматизации действий и перехвата данных.

Источники: Malwarebytes Labs · Dark Reading
@cbunit

Фейковые сканеры Microsoft заставляют жертв удалять антивирусы

Мошенники создают фейковые сайты, имитирующие сканирование безопасности Microsoft.
Эти сайты используют брендинг Microsoft и утверждают, что антивирусное ПО пользователя вызывает проблемы, требуя его немедленной деинсталляции.
Это ложный шаг, ведущий к мошеннической схеме, цель которой — получить доступ к личной информации, банковским данным и удалённому доступу к компьютеру жертвы.

ⓘ Что такое SysScan
SysScan — это название фейковых сайтов, имитирующих проверку безопасности Microsoft. Они используют брендинг Microsoft для создания видимости легитимности, но на самом деле являются частью мошеннической схемы.

Источник: Malwarebytes Labs
@cbunit

Adobe и Microsoft выпустили июльские патчи: 88 уязвимостей Adobe и 621 уязвимость Microsoft

▤ Разбор · 41 день назад

Adobe выпустила 12 бюллетеней безопасности, устраняющих 88 уязвимостей в продуктах ColdFusion, Commerce, After Effects, Animate, Audition, Bridge, Creative Cloud Desktop Application, Experience Manager, Illustrator, Media Encoder, Premiere Pro и Content Credentials SDK. Наиболее критичные уязвимости с CVSS 9.9 и 9.6 находятся в Adobe ColdFusion и Commerce.

Microsoft выпустила рекордное количество обновлений, устраняющих 621 новую уязвимость в продуктах Windows, Office, Edge, Azure, .NET, Visual Studio, Github Copilot, Defender, Exchange Server, Hyper-V и других. Восемь уязвимостей были представлены программой ZDI. Две уязвимости активно эксплуатируются, одна известна публично. Особое внимание уделено уязвимостям в Active Directory Federation Services (CVE-2026-56155), SharePoint Server (CVE-2026-56164), VMSwitch (CVE-2026-57092), SharePoint Remote Code Execution (CVE-2026-50522/58644), Remote Desktop Protocol (CVE-2026-56190), Exchange Server (CVE-2026-55008), Windows DHCP Server (CVE-2026-50518) и Windows Server Network driver (CVE-2026-56188).

Источник: Zero Day Initiative
@cbunit

Иллюстрация из материала Zero Day Initiative

Take-Two требует у Discord и Microsoft данные пользователей в деле об утечке GTA 6

Издатель GTA 6, компания Take-Two Interactive, запросила у Microsoft и Discord данные пользователей трёх серверов. Запрос связан с расследованием утечки материалов игры. Компания требует IP-адреса, номера телефонов, данные учётных записей Google и Xbox, а также содержимое OneDrive.

Утечка произошла 17 августа, когда пользователь CyberLeek опубликовал фрагменты игры и карту. Он заявил об идеологических мотивах, требуя от издателей отказаться от цифровых версий игр и гарантировать сохранение одиночных режимов. CyberLeek также запустил криптовалютный токен $CYBERLEEK, который, по мнению комментаторов, использовался для накачки его стоимости.

ⓘ GTA 6
Grand Theft Auto 6 — предстоящая компьютерная игра в жанре экшен-адвенчуры от Rockstar Games. Дата выхода игры назначена на 2025 год для консолей PlayStation 5 и Xbox Series X/S.

❝Behave, or be the next target.❞
— CyberLeek

Источник: Malwarebytes Labs
@cbunit

Злоумышленники атакуют WordPress из-за уязвимостей в miniOrange SAML SSO

Злоумышленники эксплуатируют две критические уязвимости в плагине miniOrange SAML 2.0 Single Sign On для WordPress. Уязвимости позволяют подделывать SAML-ответы и входить в систему как администратор.

Уязвимости CVE-2026-61979 и CVE-2026-15981 были исправлены в июле, однако информация об этом появилась только для бесплатной версии плагина. Это привело к тому, что пользователи платных версий не обновили ПО, создав возможности для атак.

ⓘ Что такое SAML
SAML (Security Assertion Markup Language) — это открытый стандарт для обмена данными аутентификации и авторизации между сторонами, например, между корпоративной системой и облачным сервисом. Он позволяет пользователям входить в несколько приложений, используя один набор учетных данных.

Источники: BleepingComputer · The Hacker News
@cbunit