Исследователи из iVerify и Report URI заявили, что обнаружили две кампании, в которых преступные группировки использовали инфраструктуру онлайн-рекламы и легальные веб-сайты для распространения шпионского ПО для iPhone (Coruna и DarkSword).

Как это работает❓
➡️В одном случае iVerify обнаружила, что iPhone сотрудника финансового учреждения был заражен после того, как тот просмотрел рекламу профессионального футбола в Instagram. Реклама автоматически запустила атаку, в ходе которой были украдены учетные данные пользователя и проведен поиск в его криптовалютных кошельках. Атака проверяла операционную систему iPhone, прежде чем задействовать совместимый эксплойт.

➡️В другом случае Report URI выявила кампанию, затронувшую почти 8000 легальных веб-сайтов, после того как хакеры приобрели около 630 доменов с истекшим сроком регистрации, которые все еще использовались этими сайтами. Злоумышленники использовали эти домены для перенаправления уязвимых пользователей iPhone на шпионское ПО, предназначенное для кражи их учетных данных и криптовалюты.

❗️За последний месяц было зафиксировано 135 млн посещений сайтов, где может быть установлено шпионское ПО. Кампания в основном нацелена на европейские домены.

🕵‍♂️Мотивы и особенности
Главный мотив — финансовая выгода. Эксплойты позволяют: опустошать криптовалютные кошельки, а также собирать данные (местоположение, пароли, сообщения, контакты) и продавать их на криминальных форумах.

Особенности кампании: использование заброшенных тегов и рекламных конвейеров, таргетинг на пользователей с уязвимой версией iOS, а также маскировка под легальные инструменты аналитики и рекламы.

⬇Что можно сделать
Для владельцев сайтов:
⏺️Проверьте сторонние скрипты и удалите теги сервисов, которыми больше не пользуетесь.
⏺️Отслеживайте загружаемый код с помощью мониторинга скриптов, чтобы обнаруживать новые источники и подозрительные изменения.
⏺️Настройте Content Security Policy (CSP), ограничив домены, с которых разрешена загрузка кода.

Для пользователей iPhone:
⏺️Обновляйте iOS сразу после выхода исправлений безопасности.
⏺️Включите режим блокировки (Lockdown Mode), если вы можете стать целью целевой атаки, например из-за владения крупными суммами криптовалюты.
⏺️При подозрении на заражение просканируйте устройство, перезагрузите телефон, смените пароли из связки ключей и переведите криптовалюту на новый кошелёк с новой seed-фразой.

#news #APT #IoS

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎Когда твой ИИ-агент сам решает, что атаковать

Представь: ты запускаешь LLM-агент на пентест согласованной подсети 10.0.1.0/24. Системный промпт чётко говорит: «Do not scan any other networks». Через 40+ вызовов инструментов и 12 000 токенов контекста агент находит через PTR-запрос хост 10.0.2.15, решает, что это «часть целевой инфраструктуры», и запускает nmap -sV на 16 хостов вне scope. SOC клиента фиксирует сканирование за 4 минуты и поднимает инцидент. Разбор с юристами — три дня. Сам recon занял меньше.

Это реальный кейс, и он вскрывает фундаментальную проблему автономных ИИ-агентов в пентесте.

Почему это происходит❓

Для пентестера scope — юридически обязывающий документ. Ты сверяешься с ним перед каждым действием сознательно. Для LLM-агента scope — текстовый блок в промпте, который модель интерпретирует вероятностно, наравне с остальным контекстом.

По мере того как контекстное окно растёт (результаты сканирования, вывод инструментов, промежуточные рассуждения), «вес» инструкции scope в механизме внимания снижается. Агент через DNS-резолвинг или ARP находит связанный хост — и рационально решает его исследовать. Потому что это приближает к цели «найти уязвимости». Цель дали, а границы — только текстом.

Это не галлюцинация. Это задокументированная деградация следования инструкциям при длинном контексте, которая в пентесте превращается в юридический инцидент.

Масштаб рисков

OWASP классифицирует корневую причину как LLM06:2025 — Excessive Agency: LLM с избыточной автономностью выполняет непреднамеренные действия. Каскад типичный:

• Агент получает доступ к Nmap/Masscan
• Через DNS/ARP находит хост за пределами scope
• Решает просканировать — «потенциальная поверхность атаки»
• SOC видит несанкционированное сканирование
• Incident response, эскалация, юридические последствия

А параллельно появляются публикации о том, как LLM-агент автономно обнаружил уязвимость CVE-2026-4747 (RCE в ядре FreeBSD, CVSS 8.8) и за часы написал рабочий эксплойт. Без scope, без Rules of Engagement, без kill-switch. Агент прошёл полный цикл по MITRE ATT&CK: от разведки (T1595) до эксплуатации (T1190).

Формулировка из Reddit-обсуждения бьёт в точку: «Autonomous scanning and exploitation workflows look exactly like hostile activity.» Клиенту без разницы, что это был ваш пентест-агент — он видит реальную атаку.

Разница между «ценный инструмент» и «несанкционированное проникновение» определяется одним фактором: работает ли между агентом и сетью архитектурный guardrail, а не текстовая инструкция в промпте.

Полный разбор архитектурных решений и конкретных guardrails — в статье на форуме.

https://codeby.net/threads/ii-agenty-v-penteste-ataka-vne-scope.96583/

Друзья, напоминаем о ноябрьских стартах курсов! 🎓

А ещё у нас отличная новость — открываем запись на новый курс «Анализ защищенности и тестирование безопасности Kubernetes-инфраструктуры»! 🚗

Старт 16 ноября:
⏺️Курс «Профессия Реверс-инженер» — научитесь анализировать бинарный код на уровне ассемблера, разбирать исполняемые файлы (PE, ELF, APK), исследовать вредоносное ПО и обходить антиотладку с протекторами.

Старт 23 ноября:
⏺️Курс «Профессия AppSec-инженер» — научитесь анализировать код, находить уязвимости, строить безопасную архитектуру и применять OWASP-практики на реальных проектах.

Старт 30 ноября:
⏺️Курс «Профессия Пентестер» — учимся эксплуатировать онлайн-уязвимости и обходить антивирусы. Изучаем инструменты: сканеры, Bash-скрипты, пентест AD.
⏺️Курс «Компьютерные сети» — учимся проектировать архитектуру сетей разной сложности. Настраиваем сетевое оборудование.

🎇Открываем набор на первый поток нового курса!

Старт 29 марта:
⏺️Курс «Анализ защищенностии тестирование безопасности Kubernetes-инфраструктуры» — научитесь проводить тестирование на проникновение в Kubernetes-кластеры: от поиска уязвимостей и получения доступа до захвата кластера и анализа способов защиты. Первый поток пройдёт под руководством авторов курса

✉️ Запишитесь у нашего менеджера @CodebyAcademyBot

Или узнайте подробности и программы курсов на нашем➡️ сайте

Новые средства защиты Android, для предотвращения мошенничеств с использованием мобильных устройств. Поскольку распознать мошеннические схемы становится все сложнее, пользователям практически невозможно самостоятельно выявить все тревожные сигналы.

Согласно недавнему опросу, проведенному Google совместно с YouGov в США, Канаде и Австралии, 40% пользователей смартфонов заявили, что они сильно обеспокоены проблемой мобильного мошенничества.

Система обнаружения мошенничества на базе искусственного интеллекта в приложениях Google Phone и Google Messages теперь ежемесячно выявляет более 5 миллионов подозрительных мошеннических звонков и сообщений. Согласно отчету компании Leviathan Security Group, подготовленному по заказу Google, такие средства защиты демонстрируют, что устройства на базе Android обеспечивают высочайший уровень встроенной защиты от мошенничества. 

⚙Новые и расширенные функции защиты от мошенничества в мессенджерах
⏺️Private AI Compute: мошенники часто маскируют свои истинные мотивы за неспешными разговорами. Режим усиленной защиты позволяет в Google Messages использовать самые мощные облачные модели Gemini от Google для оценки сложного контекста сообщения и более быстрого определения намерений мошенника, когда пользователь общается с неизвестным отправителем.
⏺️Более интеллектуальная проверка безопасности ссылок с помощью Gemini Nano: в Google Messages уже используется защита URL-адресов для пометки ссылок на известные вредоносные и фишинговые сайты. Однако мошенники часто регистрируют совершенно новые веб-сайты, которые еще не внесены в каталог. При включенной расширенной защите Gemini Nano на устройстве повышается уровень защиты, интегрируя веб-сигналы в режиме реального времени.
⏺️Встроенные контрольные точки для незнакомых ссылок: при включенной расширенной защите обновленные предупреждения дают дополнительное время и более понятный контекст, чтобы пользователь не нажимал на ссылки, отправленные с номеров, которых нет в контактах.
⏺️Расширение уведомлений о мошенничестве для сотен миллионов пользователей: Google запустили функцию обнаружения мошенничества в уведомлениях в Pixel, чтобы предупреждать о подозрительных сообщениях прямо из шторки уведомлений, еще до того, как откроется популярное приложение для чата.

🕵‍♂️Борьба с телефонным мошенничеством с использованием социальной инженерии
➡️Автоматическая защита конфиденциальности при демонстрации экрана: демонстрация экрана — отличный способ помочь семье или коллегам, но не тогда, когда нужно ввести пароль и банковскую информацию, например номер кредитной карты. Android уже автоматически скрывает конфиденциальную информацию в собственных приложениях, и теперь эта защита распространяется на Chrome и Android WebView — поля для ввода логина и платежные экраны автоматически скрываются во время демонстрации экрана. 
➡️Проактивная защита от переадресации вызовов: мошенники часто пытаются тайно перенаправить пользовательские входящие вызовы на другой номер, чтобы украсть одноразовые пароли (OTP) и получить доступ к аккаунтам. Android теперь блокирует приложения, которые незаметно включают переадресацию вызовов в фоновом режиме. Если мошенник попытается обманом заставить вручную ввести код переадресации MMI на панели набора номера телефона, Android предупредит до того, как код вступит в силу. 

❗️Будьте внимательны и всегда с осторожностью отвечайте на незнакомые номера

#android #news #socialengineering

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером