ИИ и APT-группы Ирана угрожают критической инфраструктуре США
Организации критической инфраструктуры сталкиваются с повышенными киберрисками из-за действий спонсируемых государством группировок и атак с использованием ИИ. Атакующие используют ИИ для быстрого картирования конвергентных IT/OT-сетей и эксплуатации устаревших, неинвентаризированных систем.
Иранские APT-группы с февраля атакуют объекты водоснабжения, энергетики и государственные учреждения США. Эти атаки направлены на нарушение операций, а не на скрытое шпионаж. Агентство CISA призывает операторов критической инфраструктуры укрепить кибергигиену, сокращая уязвимости, заменяя неподдерживаемые устройства и готовя планы быстрого восстановления.
ⓘ Что такое APT-группы
APT (Advanced Persistent Threat) — это продвинутые постоянные угрозы. Так называют высококвалифицированные и хорошо финансируемые группы киберпреступников, часто спонсируемые государствами. Они проводят длительные, целенаправленные атаки на конкретные организации или отрасли с целью шпионажа, кражи данных или нарушения работы систем.
Источник: Tenable
@cbunit
Организации критической инфраструктуры сталкиваются с повышенными киберрисками из-за действий спонсируемых государством группировок и атак с использованием ИИ. Атакующие используют ИИ для быстрого картирования конвергентных IT/OT-сетей и эксплуатации устаревших, неинвентаризированных систем.
Иранские APT-группы с февраля атакуют объекты водоснабжения, энергетики и государственные учреждения США. Эти атаки направлены на нарушение операций, а не на скрытое шпионаж. Агентство CISA призывает операторов критической инфраструктуры укрепить кибергигиену, сокращая уязвимости, заменяя неподдерживаемые устройства и готовя планы быстрого восстановления.
ⓘ Что такое APT-группы
APT (Advanced Persistent Threat) — это продвинутые постоянные угрозы. Так называют высококвалифицированные и хорошо финансируемые группы киберпреступников, часто спонсируемые государствами. Они проводят длительные, целенаправленные атаки на конкретные организации или отрасли с целью шпионажа, кражи данных или нарушения работы систем.
Источник: Tenable
@cbunit
В шлюзе LiteLLM нашли уязвимости, позволяющие захватить контроль
Источники: Check Point · Check Point Research
@cbunit
Источники: Check Point · Check Point Research
@cbunit
Уязвимости в ядре Linux: CVE-2023-20585 и десятки других
В ядре Linux обнаружили уязвимость CVE-2023-20585. Некорректная проверка RMP при доступе к буферам хоста могла привести к выходу за границы и компрометации памяти гостевой системы SEV-SNP. Уязвимость затрагивает процессоры AMD.
Исправление устраняет множество уязвимостей в различных подсистемах ядра Linux. Атакующий мог использовать их для компрометации системы. Обновление затрагивает драйверы NVDIMM, API рукопожатий, архитектуры ARM32, ARM64, MIPS, PowerPC, RISC-V, S390, x86, блочный слой, криптографический API, драйверы Intel NPU, ACPI, Android, Serial ATA и Parallel ATA, а также другие компоненты.
ⓘ Что такое SEV-SNP
SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging) — технология AMD, обеспечивающая шифрование памяти виртуальных машин и защиту от атак со стороны гипервизора.
Источник: Ubuntu Security
@cbunit
В ядре Linux обнаружили уязвимость CVE-2023-20585. Некорректная проверка RMP при доступе к буферам хоста могла привести к выходу за границы и компрометации памяти гостевой системы SEV-SNP. Уязвимость затрагивает процессоры AMD.
Исправление устраняет множество уязвимостей в различных подсистемах ядра Linux. Атакующий мог использовать их для компрометации системы. Обновление затрагивает драйверы NVDIMM, API рукопожатий, архитектуры ARM32, ARM64, MIPS, PowerPC, RISC-V, S390, x86, блочный слой, криптографический API, драйверы Intel NPU, ACPI, Android, Serial ATA и Parallel ATA, а также другие компоненты.
ⓘ Что такое SEV-SNP
SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging) — технология AMD, обеспечивающая шифрование памяти виртуальных машин и защиту от атак со стороны гипервизора.
Источник: Ubuntu Security
@cbunit
MyReport Updater: LPE и RCE через gRPC-сервис
Исследователи Quarkslab обнаружили уязвимости локального повышения привилегий (LPE) и удалённого выполнения кода (RCE) в MyReport Updater. Уязвимости позволяют злоумышленнику с правами обычного пользователя получить полный контроль над сервером.
Эксплуатация LPE возможна при наличии сетевого доступа к TCP-порту 9095 и позволяет записывать файлы в произвольный каталог с привилегиями SYSTEM. Злоумышленник может подменить DLL-файл, который будет загружен привилегированным процессом, что приведёт к выполнению кода с максимальными правами. RCE достигается путём изменения конфигурации сервиса для указания на контролируемый злоумышленником сервер обновлений.
ⓘ Что такое MyReport Updater
MyReport Updater — компонент платформы бизнес-аналитики MyReport. Он отвечает за загрузку и установку модулей и обновлений для MyReport. Сервис MyReportUpdaterService работает с привилегиями LocalSystem и принимает команды через gRPC.
Источник: Quarkslab
@cbunit
Исследователи Quarkslab обнаружили уязвимости локального повышения привилегий (LPE) и удалённого выполнения кода (RCE) в MyReport Updater. Уязвимости позволяют злоумышленнику с правами обычного пользователя получить полный контроль над сервером.
Эксплуатация LPE возможна при наличии сетевого доступа к TCP-порту 9095 и позволяет записывать файлы в произвольный каталог с привилегиями SYSTEM. Злоумышленник может подменить DLL-файл, который будет загружен привилегированным процессом, что приведёт к выполнению кода с максимальными правами. RCE достигается путём изменения конфигурации сервиса для указания на контролируемый злоумышленником сервер обновлений.
ⓘ Что такое MyReport Updater
MyReport Updater — компонент платформы бизнес-аналитики MyReport. Он отвечает за загрузку и установку модулей и обновлений для MyReport. Сервис MyReportUpdaterService работает с привилегиями LocalSystem и принимает команды через gRPC.
PS C:\ProgramData\MyReport\Updater\Downloaded> updatermanager.exe add --products administrator --version 6.0.0 --serverPlatform x64
PS C:\ProgramData\MyReport\Updater\Downloaded> dir *6.0.0*
Directory: C:\ProgramData\MyReport\Updater\Downloaded
Mode LastWriteTime Length Name
---- ------------- ------ ----
-a---- 10/20/2025 5:56 PM 90624414 Administrator.6.0.0.AnyCPU.zip
-a---- 10/20/2025 4:58 PM 90618677 Administrator.6.0.0.AnyCPU.zip.back
…
Источник: Quarkslab
@cbunit
Ivanti Connect Secure: эксплойт 0-day CVE-2026-104935 для удалённого выполнения команд
13 октября 2026 года Ivanti сообщила об уязвимости CVE-2026-104935 в продукте Ivanti Connect Secure (ICS). Уязвимость с оценкой CVSSv3.0 8.6 позволяет удалённому неаутентифицированному злоумышленнику выполнять произвольные команды.
Эксплуатация уязвимости в реальных условиях началась до её раскрытия. Агентство кибербезопасности США (CISA) подтвердило факт эксплуатации и внесло CVE-2026-104935 в каталог KEV. Компания Volexity зафиксировала активность злоумышленников в начале октября 2026 года. Помимо CVE-2026-104935, злоумышленники использовали ещё неисправленную уязвимость повышения привилегий.
Ivanti выпустила обновления для устранения CVE-2026-104935. Компания рекомендует организациям, использующим уязвимые версии, экстренно установить патч вне плановых циклов обновлений.
ⓘ Что такое Ivanti Connect Secure
Ivanti Connect Secure — популярное корпоративное VPN-решение, расположенное на периметре сети. Продукт ранее становился целью атак, в том числе с использованием 0-day уязвимостей в 2024 и 2025 годах.
Источник: Rapid7
@cbunit
13 октября 2026 года Ivanti сообщила об уязвимости CVE-2026-104935 в продукте Ivanti Connect Secure (ICS). Уязвимость с оценкой CVSSv3.0 8.6 позволяет удалённому неаутентифицированному злоумышленнику выполнять произвольные команды.
Эксплуатация уязвимости в реальных условиях началась до её раскрытия. Агентство кибербезопасности США (CISA) подтвердило факт эксплуатации и внесло CVE-2026-104935 в каталог KEV. Компания Volexity зафиксировала активность злоумышленников в начале октября 2026 года. Помимо CVE-2026-104935, злоумышленники использовали ещё неисправленную уязвимость повышения привилегий.
Ivanti выпустила обновления для устранения CVE-2026-104935. Компания рекомендует организациям, использующим уязвимые версии, экстренно установить патч вне плановых циклов обновлений.
ⓘ Что такое Ivanti Connect Secure
Ivanti Connect Secure — популярное корпоративное VPN-решение, расположенное на периметре сети. Продукт ранее становился целью атак, в том числе с использованием 0-day уязвимостей в 2024 и 2025 годах.
Источник: Rapid7
@cbunit
#дайджест
Главное к исходу вторника (13.10):
🔸 Хакеры повысили температуру в морозильниках французских супермаркетов до 50°C
🔸 GitLab CE/EE: критическая уязвимость CVE-2026-97229 позволяет выполнить код
🔸 Рынок кибербезопасности в России вырастет до 763 млрд рублей к 2031 году
🔸 Microsoft оштрафовали на $9,6 млн за утечку данных пользователей Grindr
Главное к исходу вторника (13.10):
🔸 Хакеры повысили температуру в морозильниках французских супермаркетов до 50°C
🔸 GitLab CE/EE: критическая уязвимость CVE-2026-97229 позволяет выполнить код
🔸 Рынок кибербезопасности в России вырастет до 763 млрд рублей к 2031 году
🔸 Microsoft оштрафовали на $9,6 млн за утечку данных пользователей Grindr
❢ CISA внесла в каталог KEV уязвимости в Windows и Ivanti Connect Secure
CISA добавила две новые уязвимости в каталог KEV (Known Exploited Vulnerabilities). Каталог пополняется на основании доказательств активной эксплуатации уязвимостей.
В список внесли CVE-2026-96951 для Microsoft Windows и CVE-2026-104935 для Ivanti Connect Secure. Эти уязвимости часто используют злоумышленники для атак на федеральные ведомства США.
ⓘ Что такое KEV
Каталог KEV (Known Exploited Vulnerabilities) — это список уязвимостей, которые CISA (Агентство по кибербезопасности и защите инфраструктуры США) определило как активно эксплуатируемые злоумышленниками. Федеральным агентствам США предписано в приоритетном порядке устранять уязвимости из этого каталога.
Источники: CISA · SecurityWeek · SANS ISC · Security Affairs
@cbunit
CISA добавила две новые уязвимости в каталог KEV (Known Exploited Vulnerabilities). Каталог пополняется на основании доказательств активной эксплуатации уязвимостей.
В список внесли CVE-2026-96951 для Microsoft Windows и CVE-2026-104935 для Ivanti Connect Secure. Эти уязвимости часто используют злоумышленники для атак на федеральные ведомства США.
ⓘ Что такое KEV
Каталог KEV (Known Exploited Vulnerabilities) — это список уязвимостей, которые CISA (Агентство по кибербезопасности и защите инфраструктуры США) определило как активно эксплуатируемые злоумышленниками. Федеральным агентствам США предписано в приоритетном порядке устранять уязвимости из этого каталога.
Источники: CISA · SecurityWeek · SANS ISC · Security Affairs
@cbunit
IonQ купила Elisity за $1,2 млрд для квантовой кибербезопасности
Квантовый вендор IonQ объявил о сделке по приобретению поставщика кибербезопасности Elisity за $1,2 млрд. Объединённые возможности позволят противостоять текущим угрозам LLM и будущим квантовым атакам.
Сделка объединяет технологии постквантовой криптографии (PQC) и квантового распределения ключей (QKD) от IonQ с платформой корпоративной безопасности Zero Trust от Elisity. IonQ ожидает получить доступ к более чем 100 клиентам Elisity и расширить каналы продаж своих квантовых предложений для корпоративного и государственного секторов, нацеливаясь на рынок микросегментации объёмом более $10 млрд.
ⓘ Что такое Elisity
Elisity — стартап, основанный в 2019 году, специализируется на микросегментации в рамках концепции Zero Trust. Его программное обеспечение ограничивает доступ пользователей, устройств и агентов к необходимым сетевым ресурсам, предотвращая свободное перемещение злоумышленников по сети после компрометации. Технология работает поверх существующей сетевой инфраструктуры клиента без необходимости в новом оборудовании.
Источник: CSO Online
@cbunit
Квантовый вендор IonQ объявил о сделке по приобретению поставщика кибербезопасности Elisity за $1,2 млрд. Объединённые возможности позволят противостоять текущим угрозам LLM и будущим квантовым атакам.
Сделка объединяет технологии постквантовой криптографии (PQC) и квантового распределения ключей (QKD) от IonQ с платформой корпоративной безопасности Zero Trust от Elisity. IonQ ожидает получить доступ к более чем 100 клиентам Elisity и расширить каналы продаж своих квантовых предложений для корпоративного и государственного секторов, нацеливаясь на рынок микросегментации объёмом более $10 млрд.
ⓘ Что такое Elisity
Elisity — стартап, основанный в 2019 году, специализируется на микросегментации в рамках концепции Zero Trust. Его программное обеспечение ограничивает доступ пользователей, устройств и агентов к необходимым сетевым ресурсам, предотвращая свободное перемещение злоумышленников по сети после компрометации. Технология работает поверх существующей сетевой инфраструктуры клиента без необходимости в новом оборудовании.
Источник: CSO Online
@cbunit
В AutoCAD нашли «осиротевшие» VBA-проекты в файлах DWG
Специалист по кибербезопасности Дидье Стивенс обнаружил уязвимость в файлах AutoCAD формата DWG. VBA-код, встроенный в такие файлы, может быть «осиротевшим». Это означает, что указатель на встроенный OLE-файл в заголовке DWG равен нулю, но сам файл всё равно присутствует.
Встроенный VBA-проект не выполняется при открытии файла в AutoCAD, если он «осиротевший». Стандартная установка AutoCAD не поддерживает VBA; для работы с ним требуется отдельная установка. Автор предполагает, что команда AutoLISP `(dictremove (namedobjdict) "ACAD_VBA")` может приводить к такому состоянию, удаляя указатель, но оставляя OLE-файл.
ⓘ Что такое VBA
VBA (Visual Basic for Applications) — это язык программирования и среда разработки, встроенные в приложения Microsoft Office и некоторые другие программы. Он позволяет автоматизировать задачи, создавать пользовательские функции и расширять возможности приложений.
Источник: SANS ISC
@cbunit
Специалист по кибербезопасности Дидье Стивенс обнаружил уязвимость в файлах AutoCAD формата DWG. VBA-код, встроенный в такие файлы, может быть «осиротевшим». Это означает, что указатель на встроенный OLE-файл в заголовке DWG равен нулю, но сам файл всё равно присутствует.
Встроенный VBA-проект не выполняется при открытии файла в AutoCAD, если он «осиротевший». Стандартная установка AutoCAD не поддерживает VBA; для работы с ним требуется отдельная установка. Автор предполагает, что команда AutoLISP `(dictremove (namedobjdict) "ACAD_VBA")` может приводить к такому состоянию, удаляя указатель, но оставляя OLE-файл.
ⓘ Что такое VBA
VBA (Visual Basic for Applications) — это язык программирования и среда разработки, встроенные в приложения Microsoft Office и некоторые другие программы. Он позволяет автоматизировать задачи, создавать пользовательские функции и расширять возможности приложений.
❝When a DWG file contains an orphaned VBA project, the VBA code can not have executed when someone opened the DWG file with AutoCAD. AutoCAD "does not see" orphaned VBA projects.❞
— Didier Stevens
Источник: SANS ISC
@cbunit
Lightwell нашла 0-day в JAXB: эксплойты, отказ в обслуживании и компрометация цепочки поставок
▤ Разбор
Lightwell обнаружила уязвимость нулевого дня в Java-фреймворке JAXB. Уязвимость CVE-2026-92877 скрывалась в логике парсинга XML и могла быть использована для цепочки эксплойтов, отказа в обслуживании или компрометации цепочки поставок.
Уязвимость затрагивает приложения, использующие Eclipse Implementation of Jakarta XML Binding (JAXB). Поскольку JAXB глубоко интегрирован во многие корпоративные приложения и серверы, его компрометация может привести к масштабным последствиям для цепочки поставок ПО. Lightwell исправила уязвимость и внесла патч в сообщество open source.
ⓘ Eclipse Implementation of Jakarta XML Binding
JAXB — это Java API для преобразования XML-данных в Java-объекты и обратно. Он широко используется в корпоративных приложениях для обработки XML-документов, интеграции систем и построения промежуточного ПО. Уязвимости в JAXB могут повлиять на безопасность всех приложений, полагающихся на эту технологию.
Источник: Red Hat Security
@cbunit
▤ Разбор
Lightwell обнаружила уязвимость нулевого дня в Java-фреймворке JAXB. Уязвимость CVE-2026-92877 скрывалась в логике парсинга XML и могла быть использована для цепочки эксплойтов, отказа в обслуживании или компрометации цепочки поставок.
Уязвимость затрагивает приложения, использующие Eclipse Implementation of Jakarta XML Binding (JAXB). Поскольку JAXB глубоко интегрирован во многие корпоративные приложения и серверы, его компрометация может привести к масштабным последствиям для цепочки поставок ПО. Lightwell исправила уязвимость и внесла патч в сообщество open source.
ⓘ Eclipse Implementation of Jakarta XML Binding
JAXB — это Java API для преобразования XML-данных в Java-объекты и обратно. Он широко используется в корпоративных приложениях для обработки XML-документов, интеграции систем и построения промежуточного ПО. Уязвимости в JAXB могут повлиять на безопасность всех приложений, полагающихся на эту технологию.
Источник: Red Hat Security
@cbunit
Positive Technologies: вымогатели обошлись российскому бизнесу в 1,5 млрд рублей
Программы-вымогатели использовались в 33% кибератак на российские организации в 2025 году, вайперы — в 9%. Показатели выросли по сравнению с 2024 годом (23% и 6% соответственно). Финансово и политически мотивированные группировки одинаково часто использовали шифровальщики (по 44%). Вайперы применяли преимущественно хактивисты (88%), преследуя материальную выгоду лишь в 6% случаев.
Малый и средний бизнес страдал от вымогателей чаще крупного (39% против 25%). Небольшие организации не имеют собственных команд ИБ, непрерывного мониторинга, налаженного резервного копирования и плана восстановления. Им сложнее выдержать давление злоумышленников.
Промышленность пострадала больше всего: 39% атак на крупный бизнес и по 17% на малый и средний. Фишинг и социальная инженерия стали основными векторами атак (61% у крупного бизнеса, 60% у малого и среднего). Уязвимости и компрометация учётных данных также использовались для проникновения.
ⓘ MaxPatrol Endpoint Security
MaxPatrol Endpoint Security — комплексная система защиты рабочих станций и серверов. Она предназначена для восстановления зашифрованных, поврежденных или удаленных файлов в случае инцидента.
Источники: CNews · Хабр / Новости
@cbunit
Программы-вымогатели использовались в 33% кибератак на российские организации в 2025 году, вайперы — в 9%. Показатели выросли по сравнению с 2024 годом (23% и 6% соответственно). Финансово и политически мотивированные группировки одинаково часто использовали шифровальщики (по 44%). Вайперы применяли преимущественно хактивисты (88%), преследуя материальную выгоду лишь в 6% случаев.
Малый и средний бизнес страдал от вымогателей чаще крупного (39% против 25%). Небольшие организации не имеют собственных команд ИБ, непрерывного мониторинга, налаженного резервного копирования и плана восстановления. Им сложнее выдержать давление злоумышленников.
Промышленность пострадала больше всего: 39% атак на крупный бизнес и по 17% на малый и средний. Фишинг и социальная инженерия стали основными векторами атак (61% у крупного бизнеса, 60% у малого и среднего). Уязвимости и компрометация учётных данных также использовались для проникновения.
ⓘ MaxPatrol Endpoint Security
MaxPatrol Endpoint Security — комплексная система защиты рабочих станций и серверов. Она предназначена для восстановления зашифрованных, поврежденных или удаленных файлов в случае инцидента.
Источники: CNews · Хабр / Новости
@cbunit
Visual Studio Copilot и SSMS: дыра в безопасности позволяет выполнять код удалённо
Разбор целиком: cbunit.ru
Источник: Embrace The Red
@cbunit
Разбор целиком: cbunit.ru
Источник: Embrace The Red
@cbunit
Рынок ИБ-консалтинга вырос на 8% до $23,27 млрд в 2025 году
Объем мирового рынка консалтинговых услуг в области информационной безопасности в 2025 году достиг $23,27 млрд, увеличившись на 8,3% по сравнению с предыдущим годом. Исследование Market Research Future охватывает услуги по оценке и развертыванию систем защиты информации, включая анализ ИТ-инфраструктуры, выявление уязвимостей и разработку политик безопасности.
Ключевыми драйверами роста рынка аналитики называют усложнение кибератак с активным применением ИИ, ускоренную цифровую трансформацию и дефицит квалифицированных кадров. Компании вынуждены обращаться к внешним консультантам для выявления уязвимостей, оптимизации инвестиций в безопасность и соответствия нормативным требованиям.
Северная Америка лидировала по расходам на ИБ-консалтинг в 2025 году, заняв 45% мирового рынка. Ожидается, что среднегодовой темп роста рынка составит 8,31%, и к 2035 году расходы могут увеличиться до $51,72 млрд.
Источник: TAdviser
@cbunit
Объем мирового рынка консалтинговых услуг в области информационной безопасности в 2025 году достиг $23,27 млрд, увеличившись на 8,3% по сравнению с предыдущим годом. Исследование Market Research Future охватывает услуги по оценке и развертыванию систем защиты информации, включая анализ ИТ-инфраструктуры, выявление уязвимостей и разработку политик безопасности.
Ключевыми драйверами роста рынка аналитики называют усложнение кибератак с активным применением ИИ, ускоренную цифровую трансформацию и дефицит квалифицированных кадров. Компании вынуждены обращаться к внешним консультантам для выявления уязвимостей, оптимизации инвестиций в безопасность и соответствия нормативным требованиям.
Северная Америка лидировала по расходам на ИБ-консалтинг в 2025 году, заняв 45% мирового рынка. Ожидается, что среднегодовой темп роста рынка составит 8,31%, и к 2035 году расходы могут увеличиться до $51,72 млрд.
Источник: TAdviser
@cbunit
«Лаборатория Касперского»: фишинг под видом перерасчёта НДФЛ ведёт к заражению
Злоумышленники используют тему перерасчёта НДФЛ для распространения вредоносного ПО. Они рассылают письма о якобы выявленной налоговой задолженности, прикрепляя к ним архивы с троянскими программами.
В письмах получателям сообщают о необходимости срочно уточнить личные данные. Для проверки данных предлагается перейти по ссылке, скачать и изучить вложенные документы, а также ввести ИНН и СНИЛС. Помимо ссылки, в письме находится архив с вредоносным ПО, запуск которого может привести к компрометации устройства.
ⓘ Что такое НДФЛ
Налог на доходы физических лиц (НДФЛ) — это прямой налог, взимаемый с доходов граждан. В России он составляет 13% для большинства доходов, но существуют и другие ставки, например, 35% для некоторых видов выигрышей и призов.
Источники: Kaspersky · SecurityMedia
@cbunit
Злоумышленники используют тему перерасчёта НДФЛ для распространения вредоносного ПО. Они рассылают письма о якобы выявленной налоговой задолженности, прикрепляя к ним архивы с троянскими программами.
В письмах получателям сообщают о необходимости срочно уточнить личные данные. Для проверки данных предлагается перейти по ссылке, скачать и изучить вложенные документы, а также ввести ИНН и СНИЛС. Помимо ссылки, в письме находится архив с вредоносным ПО, запуск которого может привести к компрометации устройства.
ⓘ Что такое НДФЛ
Налог на доходы физических лиц (НДФЛ) — это прямой налог, взимаемый с доходов граждан. В России он составляет 13% для большинства доходов, но существуют и другие ставки, например, 35% для некоторых видов выигрышей и призов.
Источники: Kaspersky · SecurityMedia
@cbunit
Мошенники используют сбои «Яндекса» для фишинга с QR-кодами
Мошенники используют сбои в работе интернет-сервисов для проведения фишинговых атак. Злоумышленники рассылают российским компаниям письма от имени госорганов с предложениями оплатить "спецдоставку" документов по QR-коду.
В письмах сообщается о внеплановых проверках или административной ответственности. Для получения подробностей предлагается отсканировать QR-код. Мошенники указывают, что из-за проблем с «Яндексом» следует использовать сервисы Google. Цель — получить деньги и банковские данные сотрудников.
ⓘ Кто такой QRGos TA
QRGos TA — злоумышленник, который с осени 2025 года проводит фишинговые атаки с использованием QR-кодов. Он регистрирует домены, имитирующие официальные сайты госслужб, и создаёт поддельные страницы оплаты.
Источники: CNews · F6
@cbunit
Мошенники используют сбои в работе интернет-сервисов для проведения фишинговых атак. Злоумышленники рассылают российским компаниям письма от имени госорганов с предложениями оплатить "спецдоставку" документов по QR-коду.
В письмах сообщается о внеплановых проверках или административной ответственности. Для получения подробностей предлагается отсканировать QR-код. Мошенники указывают, что из-за проблем с «Яндексом» следует использовать сервисы Google. Цель — получить деньги и банковские данные сотрудников.
ⓘ Кто такой QRGos TA
QRGos TA — злоумышленник, который с осени 2025 года проводит фишинговые атаки с использованием QR-кодов. Он регистрирует домены, имитирующие официальные сайты госслужб, и создаёт поддельные страницы оплаты.
Источники: CNews · F6
@cbunit
Microsoft ликвидировала китайский фишинговый маркетплейс, рассылавший более 1 млрд сообщений
Microsoft и Health-ISAC пресекли деятельность трёх компонентов китайского маркетплейса киберпреступников YAM Store, CoGUI и Iron Man. Сервисы поставляли злоумышленникам учётные записи, фишинговые наборы и инфраструктуру.
Действия основаны на решении Окружного суда США по Южному округу Флориды. Health-ISAC присоединился к иску после того, как злоумышленники часто использовали инфраструктуру для атак на медицинские учреждения.
По данным Microsoft, сервисы использовались для отправки более миллиарда вредоносных сообщений с января 2026 года. Сообщения нацеливались на потребителей и более 75 000 организаций в 150 странах. Операторы заработали десятки миллионов долларов. Microsoft отключила более 20 000 учётных записей, связанных с YAM Store, и блокирует свыше 100 000 доменов, используемых для выдачи себя за других и мошенничества.
ⓘ Что такое YAM Store
YAM Store функционирует как брокер доступа, перехватывая учётные записи Microsoft 365 и Azure для образовательных учреждений. Он перепродает украденные учётные записи, лицензии и хранилище как услугу для последующих операций, включая фишинговые наборы.
Источники: SecurityWeek · CyberScoop
@cbunit
Microsoft и Health-ISAC пресекли деятельность трёх компонентов китайского маркетплейса киберпреступников YAM Store, CoGUI и Iron Man. Сервисы поставляли злоумышленникам учётные записи, фишинговые наборы и инфраструктуру.
Действия основаны на решении Окружного суда США по Южному округу Флориды. Health-ISAC присоединился к иску после того, как злоумышленники часто использовали инфраструктуру для атак на медицинские учреждения.
По данным Microsoft, сервисы использовались для отправки более миллиарда вредоносных сообщений с января 2026 года. Сообщения нацеливались на потребителей и более 75 000 организаций в 150 странах. Операторы заработали десятки миллионов долларов. Microsoft отключила более 20 000 учётных записей, связанных с YAM Store, и блокирует свыше 100 000 доменов, используемых для выдачи себя за других и мошенничества.
ⓘ Что такое YAM Store
YAM Store функционирует как брокер доступа, перехватывая учётные записи Microsoft 365 и Azure для образовательных учреждений. Он перепродает украденные учётные записи, лицензии и хранилище как услугу для последующих операций, включая фишинговые наборы.
Источники: SecurityWeek · CyberScoop
@cbunit