CISA и ФБР заявили, что в период с апреля 2022 года по май 2024 года операторы вымогателя Black Basta успешно атаковали более 500 организаций.

Совместный отчет, опубликованный в сотрудничестве с Министерством здравоохранения и социальных служб, а также Межштатным центром по обмену информацией и анализу, гласит, что группировка зашифровала и похитила данные у организаций в 12 из 16 секторов критической инфраструктуры.

Хотя не сообщается, что именно послужило поводом для публикации этого предупреждения, на прошлой неделе вымогателя Black Basta связывали с масштабной атакой на системы медицинского гиганта Ascension, в результате которой медики оказались вынуждены перенаправлять машины скорой помощи в незатронутые учреждения.

После взлома Ascension Министерство здравоохранения США тоже выпустило собственный бюллетень безопасности с предупреждением о том, что Black Basta «в последнее время увеличила количество атак на сектор здравоохранения».

ИБ-специалисты полагают, Black Basta является ребрендингом известной хак-группы Conti, так как на это указывают сходства используемых техник хакеров и стилей ведения переговоров.

Подоспели майские апдейты от Microsoft, в этот раз включающие патчи для 61 уязвимости, две из которых активно используются в реальных кибератаках. Ещё для одной в сети лежит готовый эксплойт.

Статус критической достался лишь одной бреши из набора — возможности удалённого выполнения кода в Microsoft SharePoint Server. По категориям проблемы в этот раз распределились следующим образом: 17 багов повышения прав; 2 проблемы обхода защитных функций; 27 уязвимостей удалённого выполнения кода; 7 дыр, приводящих к раскрытию информации; 3 возможности провести DoS; 4 бага, допускающих спуфинг.

Две уязвимости, закрытые в мае 2024 года, уже фигурируют в атаках киберпреступников, ещё одна имеет готовый общедоступный эксплойт.

CVE-2024-30040 — обход защитных функций в Windows MSHTML. Атакующему придётся обманом заставить жертву загрузить вредоносный документ, при запуске которого злоумышленник сможет выполнить произвольный код в системе.

CVE-2024-30051 — повышение прав, затрагивающее корневую библиотеку Windows DWM. Киберпреступник может получить привилегии уровня SYSTEM с помощью соответствующего эксплойта. Специалисты «Лаборатории Касперского» утверждают, что именно эта брешь используется в атаках Qakbot.

CVE-2024-30046 — проблема отказа в обслуживании, затрагивающая Microsoft Visual Studio. Готовый эксплойт для этой дыры лежит в сети, хотя в реальных атаках она пока замечена не была.

Созданный в Пензенском университете (ПГУ) антивирус использует нейросети и машинное обучение и не требует постоянного подключения к интернету. Разработку планируют завершить в этом году, а в ноябре подать заявку на сертификацию.

Из рассказа руководителя проекта можно понять, что вооруженный ИИ защитный софт способен предугадывать действия пользователя, и его можно подстроить под конкретные условия и задачи. Пока готова только версия для Windows, умеющая распознавать трояны, руткиты и нелегальные майнеры.

Для выявления фактов заражения используются два вида анализа:«нейросетевой» и «нейросигнатурный». В первом случае написанная на Python нейросеть оценивает работу кода, выполняя сравнение с известными ей алгоритмами поведения вредоносов.

Второй компонент определяет угрозы, используя ИИ в комбинации с традиционным сигнатурным анализом. Авторы проекта исходили из того, что написанный с нуля зловред — большая редкость, вирусописатели обычно в той или иной степени используют наработки коллег по цеху.

По замыслу, созданный в стенах ПГУ антивирус можно будет использовать как в корпоративном окружении, так и в индивидуальном порядке. Продукт планируют распространять по подписке.

Заметим, без связи с сетью такой софт сможет детектировать только вредоносные программы с заимствованиями, притом теми, с которыми он уже сталкивался. Впрочем, приведенное репортером описание слишком лаконично и туманно, стоит подождать более конкретных дополнений.

На прошлой неделе США, совместно с Великобританией и Австралией, предъявили обвинения и наложили санкции против Дмитрия Хорошева, которого считают лидером известной вымогательской группировки LockBit.

Настоящий лидер LockBit, известный в сети под псевдонимом «LockBitSupp», быстро прокомментировал заявления правоохранителей, утверждая, что последние ошиблись. Якобы он — никакой не Хорошев, и ему жаль этого парня в связи с возможными проблемами, с которыми он теперь может столкнуться из-за ложных обвинений в связи с LockBit.

Исследователь Брайан Кребс с портала KrebsonSecurity решил собственноручно разобраться, какими фактами оперировали власти сразу трёх стран, когда выносили свои обвинения.

Компания Google анонсировала внушительный набор новых функций безопасности для своей мобильной операционной системы Android. Среди них — инновационная технология обнаружения кражи смартфона, способная распознавать момент, когда устройство выхватывают из рук владельца.

Некоторые из этих нововведений будут реализованы уже в финальном релизе Android 15 грядущей осенью. Однако функция распознавания кражи и ряд других возможностей станут доступны для смартфонов с гораздо более старыми версиями, благодаря чему ими сможет воспользоваться намного больше людей.

Технология «Блокировка при краже» срабатывает, улавливая нехарактерные для владельца резкие движения. Чтобы предотвратить доступ злоумышленника к данным на устройстве, экран моментально блокируется. Система также отслеживает другие сигналы, свидетельствующие о противоправных действиях, и сможет блокировать экран для защиты, если кто-то попытается отключить смартфон от сети, лишив его удаленного доступа.

Кроме того, Google представила удобный способ удаленной блокировки экрана на случай, если гаджет окажется не в тех руках. Зайдя на сайт android(.)com/lock, пользователь может ввести номер своего телефона и пройти аутентификацию — отличный вариант, если под рукой окажется только чужой телефон или ПК. Все эти функции появятся позднее в этом году благодаря обновлению фирменных сервисов Google Play для смартфонов на Android 10 и новее.

В Android 15 также будут реализованы дополнительные средства защиты персональных данных, включая «приватные пространства». Эта опция позволит размещать приложения и конфиденциальную информацию в отдельной изолированной области памяти, блокируемой уникальным PIN-кодом. Google также внедрит защиту на случай принудительного сброса настроек, требующую ввода учетных данных владельца при последующей настройке.

Министерство юстиции США предъявило обвинение двум братьям в манипуляциях с блокчейном Ethereum и хищении криптовалюты на сумму $25 млн. всего за 12 секунд в рамках мошеннической схемы.

Братья манипулировали процессом проверки транзакций в блокчейне Ethereum, получая доступ к ожидающим частным транзакциям, изменяя их, завладевая криптовалютой жертв и отклоняя запросы на возврат украденных средств. Вместо возврата преступники принимали меры для сокрытия незаконных доходов.

Обвинение утверждает, что братья изучали поведение своих жертв на рынке с декабря 2022 года, готовясь к атаке и принимая меры для сокрытия своих личностей и похищенных средств. Они использовали несколько криптовалютных адресов, иностранные биржи и создавали подставные компании. После атаки обвиняемые перемещали украденные активы через серию транзакций, чтобы скрыть их источник и владельца.

Во время подготовки и выполнения атаки братья, среди прочего, предприняли следующие шаги:

- Создали серию валидаторов Ethereum, скрывая свои личности через подставные компании, промежуточные криптовалютные адреса, иностранные биржи и сеть для повышения приватности;
- Проводили серию тестовых транзакций, так называемых «приманок», чтобы выявить переменные, которые наиболее вероятно привлекут ботов MEV, ставших жертвами эксплуатации;
- Выявили и использовали уязвимость в коде реле MEV-Boost, которая привела к преждевременному раскрытию полного содержания предложенного блока;
- Переставили предложенный блок в свою пользу и опубликовали его в блокчейне Ethereum, что привело к краже у трейдеров криптовалюты на сумму около $25 млн.

В ходе всего процесса братья также искали в интернете информацию о проведении атаки, скрытии своего участия в эксплуатации Ethereum, отмывании криминальных доходов через биржи с низкими требованиями к верификации, нанимали адвокатов с опытом в криптовалюте, изучали процедуры экстрадиции и преступления, описанные в обвинении.

Ботнет Ebury, существующий с 2009 года, заразил почти 400 000 Linux-серверов, и примерно 100 000 из них все еще скомпрометированы, сообщают аналитики ESET.

ESET наблюдает за Ebury уже более десяти лет, и на этой неделе исследователи сообщили, что недавние действия правоохранительных органов позволили им получить представление о деятельности малвари за последние пятнадцать лет.

Так, последнее расследование ESET проводилось в сотрудничестве с голландским Национальным подразделением по борьбе с преступлениями в сфере высоких технологий, которое недавно изъяло backup-сервер, использовавшийся киберпреступниками.

Голландские аналитики отмечают, что операторы Ebury порой используют поддельные или ворованные личности и даже берут псевдонимы других киберпреступников, чтобы ввести в заблуждение правоохранителей.

Судя по последним атакам Ebury, операторы малвари предпочитают взламывать хостинг-провайдеров и осуществлять атаки на цепочки поставок, атакуя клиентов, арендующих виртуальные серверы у взломанных организаций.

Обычно первоначальная компрометация осуществляется с помощью украденных учетных данных, которые хакеры используют для проникновения на серверы. Затем малварь извлекает список входящих/исходящих SSH-соединений из wtmp и файла known_hosts, а также крадет ключи аутентификации SSH, которые в итоге используются для попыток входа в другие системы.

Кроме того, злоумышленники могут использовать известные уязвимости в ПО, работающем на серверах, чтобы получить дополнительный доступ или повысить свои привилегии.

Исследователи пишут, что инфраструктура хостинг-провайдеров, включая OpenVZ или хосты контейнеров, может использоваться для развертывания Ebury в нескольких контейнерах или виртуальных средах.

На следующем этапе атаки операторы малвари перехватывают SSH-трафик на целевых серверах в дата-центрах, используя спуфинг Address Resolution Protocol для перенаправления трафика на подконтрольный им сервер.

Мошенники, освоившие голосовую связь в мессенджерах, придумали новый предлог для получения доступа к аккаунтам ДБО. Они звонят от имени крупных российских банков и предлагают продлить срок действия карты.

О новой уловке телефонных мошенников предупредил ВТБ, подчеркнув, что обслуживание банковских карт в России сейчас продлевается автоматически. В рамках данной схемы обмана в мессенджерах создан ряд поддельных аккаунтов банков, с которых и поступают звонки.

Тем, кого беспокоит истекающий срок карты, присылают внешнюю ссылку на вредоносный файл и просят продиктовать одноразовый код, который в виде СМС придет на смартфон. Получив ключи от личного кабинета в онлайн-банке, злоумышленники смогут вывести деньги со счета или оформить на имя жертвы кредит.

Владельцы iPhone по всему миру жалуются на странный баг в iOS, который приводит к тому, что переключатель «Разрешить приложениям запрашивать отслеживание» в настройках конфиденциальности внезапно перестал работать.

Сам переключатель вдруг стал неактивным, а под ним появилась надпись: «Этот параметр нельзя изменить, потому что профиль ограничивает его или потому, что ваш Apple ID находится под управлением родителя, не соответствует минимальным возрастным требованиям или в нём отсутствует информация о возрасте». Однако пользователи заверяют, что ни одна из этих причин к ним не относится.

Интересно, что проблема наблюдается не только в iOS 17.5, но и в более старых версиях ПО, включая iOS 17.4.1, iOS 17.4 и iOS 16.6. Apple пока не комментирует ситуацию, но вполне вероятно, что это проблема на стороне сервера.

Профессор Массимилиано Сала из Университета Тренто в Италии недавно обсудил будущее блокчейн-технологий, их связь с шифрованием и квантовыми вычислениями с командой Ripple в рамках университетской лекционной серии компании.

Сала уделил внимание потенциальной угрозе, которую представляют квантовые компьютеры по мере их развития. По словам профессора, современные методы шифрования могут оказаться легко решаемыми для квантовых компьютеров будущего, что ставит под угрозу целые блокчейны.

По словам профессора, "квантовые компьютеры могут легко решать задачи, лежащие в основе цифровых подписей, что потенциально подрывает механизмы защиты активов пользователей на блокчейн-платформах". Это гипотетическая парадигма, называемая "Q-day", момент, когда квантовые компьютеры станут достаточно мощными и доступными для того, чтобы злоумышленники могли взламывать классические методы шифрования.

Такие изменения могут иметь далеко идущие последствия для любой сферы, где важна безопасность данных — в том числе для экстренных служб, инфраструктуры, банковского дела и обороны. Однако наиболее разрушительными эти изменения могут быть для мира криптовалют и блокчейна.

Сала предупреждает, что "все классические криптосистемы с открытым ключом должны быть заменены на аналоги, защищенные от квантовых атак". Идея заключается в том, что будущий квантовый компьютер или алгоритм квантовой атаки может взломать шифрование этих ключей с помощью математической грубой силы.

Следует отметить, что Биткойн, самая популярная криптовалюта и блокчейн в мире, попадает под эту категорию.

Хотя в настоящее время не существует практического квантового компьютера, способного на такое, правительства и научные учреждения по всему миру готовятся к "Q-day", рассматривая его как неизбежность. Сала считает, что такое событие не является неминуемым в ближайшее время.

Мир Jailbreak для PS4 продолжает активно развиваться, и недавние обновления для эксплойта PPPwn, предназначенного для версии прошивки 11.00, открывают новые горизонты для пользователей. Эти обновления позволяют выполнять Jailbreak без необходимости использования компьютера, предлагая множество альтернативных решений, таких как Raspberry Pi, телевизоры и роутеры.

Сам по себе Jailbreak — это процесс снятия программных ограничений с устройства, позволяющий устанавливать и запускать кастомное программное обеспечение и пиратские игры.

Версия PPPwn для Raspberry Pi претерпела значительные улучшения. Ключевым обновлением стал переход на C++, что позволяет ускорить процесс взлома в 5-10 раз по сравнению с исходными скриптами на Python. Помимо этого, теперь возможно загружать полезную нагрузку с Raspberry Pi непосредственно в PS4 напрямую.

Разработчик Stooged добавил веб-сервер и веб-интерфейс, что позволяет управлять Raspberry Pi через телефон или непосредственно с PS4. Эти нововведения дают возможность перезапускать сервер, запускать эксплойт и загружать полезную нагрузку с USB на Raspberry Pi.

Поддерживаемые модели Raspberry Pi включают: Raspberry Pi 5, Raspberry Pi 4 Model B, Raspberry Pi 400, Raspberry Pi 3B+, Raspberry Pi 2 Model B, Raspberry Pi Zero 2 W и Zero W с USB-Ethernet адаптером. Как оптимальное сочетание цены и производительности рекомендуется использовать Raspberry Pi 4 Model B.

Одна из самых интересных версий PPPwn позволяет запускать эксплойт прямо с телевизора бренда LG, устраняя необходимость в дополнительных устройствах. Телевизоры LG обладают достаточной мощностью, чтобы запускать эксплойт менее чем за 20 секунд, что делает этот метод одним из самых быстрых.

Разработчики zauceee и llbranco объединили усилия для улучшения этой версии. В последней версии 1.2 добавлена поддержка TV на aarch64 и возможность автоматического запуска эксплойта при включении телевизора. Также можно назначить кнопку пульта для запуска эксплойта в любое время.

Сегодня состоялся релиз долгожданной адвенчуры Senuas Saga Hellblade II от студии Ninja Theory на консолях Xbox и ПК. Поскольку Microsoft, будучи издателем, не стала навешивать серьезных систем антипиратской защиты, вроде Denuvo или привязки к Xbox Live, команда FLT мгновенно отчиталась о взломе. Об этом сообщает тематическая ветка на Reddit. DRM-защиту обошли при помощи эмулятора Steam, а общий вес загружаемого архива составил 48 ГБ.

CISA включило уязвимость, влияющую на Mirth Connect от компании NextGen Healthcare, в свой каталог известных эксплуатируемых уязвимостей (KEV).

Уязвимость, обозначенная как CVE-2023-43208, связана с удалённым выполнением кода без аутентификации и возникла в результате неполного исправления другой критической уязвимости — CVE-2023-37679, имеющей рейтинг 9.8 по шкале CVSS.

Mirth Connect — это платформа для интеграции данных с открытым исходным кодом, широко используемая в американском здравоохранении для обмена данными между различными системами.

Информация об этой уязвимости впервые появилась благодаря специалистам Horizon3 в конце октября 2023 года, а дополнительные технические детали вместе с PoC-эксплойтом были опубликованы в январе 2024 года.

Исследователь безопасности Навин Санкавалли сообщил, что CVE-2023-43208 связана с небезопасным использованием библиотеки Java XStream для обработки XML-данных, что делает уязвимость легко эксплуатируемой.

CISA не предоставила информации о характере атак, использующих эту уязвимость, и неясно, кто и когда начал их использовать.

Помимо уязвимости в Mirth Connect агентство также внесла в каталог KЕV недавнюю уязвимость Type Confusion, влияющую на браузер Google Chrome, которую компания признала эксплуатируемой в реальных атаках.

Федеральным агентствам США предписано обновить программное обеспечение до исправленной версии: Mirth Connect версии 4.4.1 или выше, а также Chrome версии 125.0.6422.60/.61 для Windows, macOS и Linux в срок до 10 июня 2024 года, чтобы защитить свои сети от активных киберугроз.

Специалисты центра исследования киберугроз Solar 4RAYS ГК «Солар» сообщают, что заблокировали шпионскую активность APT-группировки Obstinate Mogwai в инфраструктуре неназванного российского телеком-оператора. В атаке хакеры использовали старую, но не полностью устраненную уязвимость десериализации в параметре ViewState.

Уязвимость позволяет выполнять любые действия в атакованной системе – на сервере электронной почты Microsoft Exchange или веб-странице на базе ASP NET. Исследователи отмечают, что сам факт ее эксплуатации нелегко обнаружить, а методика реагирования ранее не описывалась в профильных сообществах.

Проблема параметра ViewState известна еще с 2014 года. Фактически она позволяет злоумышленникам выполнять произвольный код в системе и впоследствии красть, подменять или портить данные.

Расследование началось после того, как защитные средства обнаружили подозрительную активность в инфраструктуре неназванной телеком-компании. Оказалась, что к этому моменту злоумышленники уже создавали «плацдарм» для похищения конфиденциальных данных самой компании и ее клиентов.

Эксперты пишут, что несколько раз находили вредоносные инструменты группировки в атакованной сети и удаляли их. Однако через некоторое время Obstinate Mogwai возвращались, пока все пути для них не были окончательно закрыты. За настойчивость исследователи назвали эту хак-группу Obstinate Mogwai и обещают в будущем опубликовать подробный отчет от этих хакерах.

Для проникновения в сеть хакеры использовали уязвимость десериализации ненадежных данных в параметре ViewState среды ASP NET. Сериализация – это процесс преобразования состояния объекта в форму, пригодную для сохранения или передачи, а десериализация – процесс обратного преобразования данных в объект. Это необходимо для оптимизации приложений. Однако эти процессы часто содержат уязвимости, позволяющие злоумышленникам модифицировать данные и при десериализации выполнять произвольный код.

Уязвимость была частично исправлена все в том же 2014 году.

Специалисты Elastic Security Labs и Antiy выявили новую кампанию по добыче криптовалюты под кодовым названием REF4578, в ходе которой вредоносное ПО GhostEngine использует уязвимые драйверы для отключения антивирусных программ и запуска майнера XMRig.

Elastic Security Labs и Antiy отметили высокую степень сложности атаки. В своих отчетах компании поделились правилами обнаружения угрозы, чтобы помочь защитникам обнаруживать и останавливать такие атаки. Однако ни один из отчетов не связывает деятельность с известными хакерскими группами и не предоставляет деталей о жертвах, поэтому происхождение и масштаб кампании остаются неизвестными.

Пока неясно, каким образом злоумышленникам удается взломать серверы, однако атака начинается с выполнения файла Tiworker.exe, который маскируется под легитимный файл Windows. Исполняемый файл является первой стадией запуска GhostEngine, который представляет собой PowerShell-скрипт для загрузки различных модулей на зараженное устройство.

После запуска Tiworker.exe скачивает скрипт get.png с C2-сервера, который служит основным загрузчиком GhostEngine. PowerShell-скрипт загружает дополнительные модули и их конфигурации, отключает Windows Defender, включает удаленные службы и очищает различные журналы событий Windows.

Скрипт проверяет наличие как минимум 10 МБ свободного места на диске, чтобы продолжить заражение, и создает запланированные задачи для обеспечения устойчивости угрозы. Затем скрипт загружает и запускает исполняемый файл smartsscreen.exe – основное вредоносное ПО GhostEngine. Программа отключает и удаляет EDR-решения, а также загружает и запускает XMRig для майнинга криптовалюты.

Для отключения программ защиты GhostEngine загружает 2 уязвимых драйвера: aswArPots.sys для завершения процессов EDR и IObitUnlockers.sys для удаления связанных исполняемых файлов.

Специалисты Elastic рекомендуют защитникам обратить внимание на подозрительные выполнения PowerShell, необычную активность процессов и сетевой трафик, указывающий на криптовалютные пулы.

В марте команда безопасности WhatsApp сообщила о серьёзной угрозе для пользователей мессенджера. Несмотря на мощное шифрование, пользователи по-прежнему уязвимы для правительственного надзора. Внутренний документ, полученный The Intercept, утверждает, что содержание переписок 2 миллиардов пользователей остается защищенным, однако правительственные агентства могут обходить шифрование, чтобы определить, кто общается друг с другом, выяснить состав частных групп и, возможно, даже местоположение пользователей.

Уязвимость связана с анализом трафика - методом мониторинга сетей, основанным на наблюдении за интернет-трафиком в национальном масштабе. Документ указывает, что WhatsApp не является единственным сервисом, подверженным такой угрозе. Согласно внутренней оценке, компании Meta, владеющей WhatsApp, рекомендуется принять дополнительные меры безопасности для защиты небольшой, но уязвимой части пользователей. Эти меры могут включать более надежное шифрование трафика, маскировку метаданных и другие способы противодействия анализу трафика на национальном уровне.

На фоне продолжающегося вооруженного конфликта в секторе Газа предупреждение об уязвимости вызвало серьезную озабоченность у некоторых сотрудников Meta. Сотрудники WhatsApp выразили опасения, что эта уязвимость потенциально может быть использована израильскими спецслужбами для слежки за палестинцами в рамках своих оперативных программ в секторе Газа, где цифровое наблюдение играет роль при определении целей. Четыре сотрудника, пожелавшие остаться неназванными, сообщили The Intercept о том, что такие опасения имели место внутри компании. При этом важно отметить, что никаких конкретных доказательств злоупотребления уязвимостью на тот момент представлено не было.

Представитель Meta заявила, что у WhatsApp нет уязвимостей и документ отражает лишь теоретическую возможность, не уникальную для WhatsApp.

Разработчики LastPass добавили новую интересную функциональность: теперь менеджер паролей будет шифровать URL, сохранённые вместе с учётными данными. Это поможет снизить риски при утечках и несанкционированном доступе.

Вы наверняка знаете, как это работает: когда пользователь LastPass заходит на какой-либо ресурс, менеджер паролей сверяет URL с теми, что сохранены в аккаунте. Эта функциональность нужна для автоматической подстановки учётных данных.

Ранее занесённые ссылки не шифровались, по словам девелоперов, из-за малых мощностей. LastPass не должен был сильно нагружать процессор и хорошим тоном было минимизировать энергопотребление.

Однако так было в 2008 году, когда менеджер паролей увидел свет, а сегодня аппаратное обеспечение шагнуло далеко вперёд. Шифровать и расшифровывать такие URL теперь можно на лету, и пользователь даже ничего не заметит.

Чтобы усилить защиту данных веб-сёрферов, разработчики LastPass наконец решили добавить шифрование URL.

ИБ-компания CloudSEK предупреждает о мошенниках, которые продают поддельное ПО, рекламируемое как Pegasus от NSO Group.

Поддельная программа была обнаружена после анализа около 25 000 сообщений людей, предлагающих Pegasus и другие инструменты NSO Group в Telegram. Затем специалисты взаимодействовали с более чем 150 потенциальными продавцами, которые предоставили доступ к 15 образцам и более 30 индикаторам компрометации.

Индикаторы компрометации включали исходный код предполагаемых образцов Pegasus, демонстрации работы образцов в реальном времени и структуру файлов. Почти все образцы были мошенническими и неэффективными, но некоторые продавались за сотни тысяч долларов. Один из продавцов предложил постоянный доступ к Pegasus за $1,5 миллиона и заявил, что совершил 4 продажи за 2 дня.

Поддельное шпионское ПО также было найдено на других платформах для обмена кодами, где, по утверждениям CloudSEK, злоумышленники распространяли свои собственные случайно сгенерированные исходные коды.

CloudSEK начала исследование продаж Pegasus после того, как Apple в апреле решила прекратить приписывать атаки с использованием шпионского ПО конкретному источнику, и вместо этого стала классифицировать их как mercenary spyware attack.

CloudSEK была не единственной организацией, которая действовала после изменения политики Apple. Исследователи компании обнаружили, что мошенники, продающие поддельный «постоянный доступ» к Pegasus, внутри радовались и приветствовали уведомление Apple.

CloudSEK отмечает, что продавцы мошеннического кода получают не только выгоду от известного бренда, рекламируя продукт как принадлежащий NSO Group, но это также помогает им оставаться вне поля зрения, продавая специально разработанное шпионское ПО под именем другой компании.

На данный момент NSO Group не предоставила комментариев по поводу подделок и их воздействия на бизнес компании.

Pegasus — это продвинутое шпионское программное обеспечение, которое израильская компания NSO Group продает правительствам мира.