☕️ CoffeeLoader — новый уровень скрытности вредоносных загрузчиков

Zscaler ThreatLabz выявили новый скрытный загрузчик CoffeeLoader — крайне изощрённый, который умеет прятаться от антивирусов даже на уровне GPU.

Работа через видеокарту – использует упаковщик Armoury, который выполняет часть кода на GPU, что резко усложняет детектирование в песочницах.
Обфускация "на лету" – код остаётся зашифрованным до момента выполнения, плюс манипуляции с потоками (fibers) для усложнения анализа.
Подмена стека вызовов – имитирует "чистую" работу, сбивая с толку системы мониторинга.

Раньше выполнение вредоносного кода на GPU было экзотикой, но теперь это рабочий инструмент в арсенале злоумышленников. Уже зафиксированы случаи доставки через CoffeeLoader Rhadamanthys — мощного инфостилера.

🔴 Атаки становятся сложнее, а защита не успевает адаптироваться. Традиционные антивирусы, полагающиеся на сигнатурный анализ, здесь почти бесполезны. Нужен поведенческий мониторинг, анализ аномалий в работе GPU и усиленная защита на уровне памяти.

Что делать?
✔️ EDR/XDR-решения – они лучше ловят сложные атаки.
✔️ Аппаратная изоляция критичных процессов (например, через VBS).
✔️ Патчим всё – многие техники (вроде fibers) требуют уязвимостей в ОС.

Подробнее: https://extrim-security.ru/news-ib/tpost/lh1y446hv1-opasnii-zagruzchik-coffeeloader-kak-on-o

↗️ Новый сервис проверки SIM-карт на "Госуслугах": поможет ли он в борьбе с мошенниками?

С 1 апреля МВД запускает сервис проверки SIM-карт на "Госуслугах". Теперь можно посмотреть, какие номера зарегистрированы на ваше имя.

Что это даёт?
✅ Контроль над "лишними" номерами – если на вас оформили SIM-карту без вашего ведома, вы сможете это обнаружить.
✅ Защита от части мошеннических схем – многие аферисты используют "левые" номера для обмана.
✅ Ограничение на 20 SIM-карт на человека – теоретически снижает масштабы злоупотреблений.

Но есть нюансы:
⚠️ Сервис не блокирует мошенников автоматически – он лишь информирует. Что делать с найденными "лишними" номерами? Идти в полицию? Писать заявление? Процедура пока неясна.
⚠️ Технические риски – если сервис взломают, злоумышленники получат доступ к данным о ваших номерах.
⚠️ Мошенники адаптируются – если раньше они покупали SIM-карты на подставных лиц, то теперь могут использовать другие схемы (например, взломанные аккаунты или коррумпированных сотрудников связи).

Что можно сделать уже сейчас?

Проверить свои номера уже сейчас.
Включить двухфакторную аутентификацию на "Госуслугах" и других важных сервисах.
Не передавать паспортные данные без крайней необходимости.

Подробнее: https://extrim-security.ru/news-ib/tpost/f9y8anmsb1-mvd-anonsirovalo-novii-instrument-dlya-z

🔒 Роскомнадзор ужесточил требования к операторам — теперь они обязаны в режиме реального времени передавать данные о вашем интернет-трафике.

Приказ № 51 обязывает провайдеров передавать в Роскомнадзор:
- IP-адреса с геолокацией (регион, город)
- Данные о маршрутизации трафика
- Идентификаторы оборудования и систем защиты
- Информацию о работе с IPv4/IPv6 (в течение часа после изменений!)

Новые операторы — 15 дней на подключение к системе
Существующие — 6 месяцев на адаптацию
Нарушителям дают 1 час на исправление ошибок

⬇️ Формально РКН заявляет, что не собирает персональные данные, но связка IP + геолокация + идентификаторы оборудования — это почти полная картина вашей сетевой активности. Если эти данные утекут или будут использованы не по назначению, последствия могут быть серьезными.

Подробнее: https://extrim-security.ru/news-ib/tpost/nekrru2lr1-roskomnadzor-utverdil-novie-pravila-pere

📱 Microsoft подтвердила активную эксплуатацию уязвимости нулевого дня (CVE-2025-29824) в подсистеме CLFS Windows. Группировка RansomEXX (aka Storm-2460) использует её для эскалации привилегий до уровня SYSTEM, что позволяет полностью контролировать атакованные системы.

Локальная, но смертоносная – для атаки достаточно изначально иметь минимальные права (например, через фишинг или RDP).
Тихий захват – не требует действий пользователя (exploit работает в фоне).
Патчи есть, но не для всех – Windows 10 x64/32-bit пока без защиты, а это огромный пласт корпоративных сетей.

Как работает атака?
1. Первичное заражение – через фишинг или уязвимые публичные сервисы.
2. Установка бэкдора PipeMagic – собирает данные, открывает удалённый доступ.
3. Эксплуатация CVE-2025-29824 – повышение прав до SYSTEM.
4. Развёртывание ransomware + записка с выкупом (!_READ_ME_REXX2_!.txt).

💀RansomEXX – не новички, их атаки всегда целевые (корпорации, госсектор).

PipeMagic – швейцарский нож хакеров – его видели ещё в 2022-м, но до сих пор активно используют.
CLFS – слабое звено – это уже вторая критическая уязвимость в этом драйвере за два года (после CVE-2023-28252).

Подробнее: https://extrim-security.ru/news-ib/tpost/5rhpe40nj1-kiberugroza-novogo-urovnya-ransomexx-ata

Недавний анализ Trend Micro подтвердил то, что многие в индустрии уже подозревали: уязвимости в контейнерах — это не просто баги, а системная проблема безопасности. История с CVE-2024-0132 и CVE-2025-23359 в NVIDIA Container Toolkit — пример того, как неполное исправление может создать ещё больше рисков, чем исходная уязвимость.

👀 Изначально была найдена критическая уязвимость TOCTOU (9.0 по CVSS), позволяющая сбежать из контейнера и получить root-доступ к хосту.

NVIDIA выпустила патч, но Trend Micro обнаружила, что фикс не закрыл проблему полностью и даже добавил новую DoS-уязвимость в Docker под Linux.
🔈 Теперь злоумышленник может не только скомпрометировать хост, но и положить систему, переполнив таблицу монтирования.

1. Контейнеры ≠ изоляция. Многие до сих пор считают, что контейнеры безопасны по умолчанию. Но эта история доказывает: любая ошибка в механизмах изоляции — это прямой путь к хосту.

2. Компании часто спешат выпустить патч, но не проводят глубокий аудит на побочные эффекты. Результат — цепочка уязвимостей.

3. Атака возможна даже после фикса. Если злоумышленник уже внутри контейнера (например, через скомпрометированный образ), он может использовать старые дыры из-за некачественного исправления.

Подробнее: https://extrim-security.ru/news-ib/tpost/7pugv4x811-nedorabotannoe-ispravlenie-uyazvimosti-v