Бэкдоры Toy Ghouls, тактики The Gentlemen, домашние прокси раздают ВПО, и другие интересные исследования APT за неделю

🟢Финансово мотивированная группа Toy Ghouls/Bearlyfy/Feral Wolf, атакующая российские организации с целью вымогательства, перешла на использование собственных бэкдоров. В двух найденных версиях применяются разные С2: в одном случае MQTT-брокер HiveMQ, а в другом — мессенджер Element. Установка бэкдоров происходит вручную, через инструменты WinRM.

🔵Технический анализ ВПО NodeRabbit и PollCat, используемого APT Mirage Kitten в атаках на аэрокосмическую и финансовую отрасли на Ближнем Востоке и в Африке. Оба троянца кроссплатформенные, работающие на Windows, Linux и macOS. Они написаны на Node.js и JavaScript. Методы распространения, впрочем, не изменились — группа атакует разработчиков в интересных ей компаниях, маскируясь под HR и предлагая заражённые «тестовые задания».

🟢Кстати, использование Node.js злоумышленниками в этом году значительно участилось.

🟣Интересный крошечный имплант, прячущий свою конфигурацию в пробелах ini-файла и обнаруженный всего на одном компьютере, всё же был повторно задетектирован в компаниях финансовой индустрии в Нидерландах и Казахстане.

🟣Разбор тактик и техник RaaS The Gentlemen/GOLD SHERWOOD на примере 15 конкретных вторжений. «Партнёры» этой RaaS обычно действуют быстро: повышают привилегии, агрессивно применяют обход и подавление СЗИ, используют легитимные инструменты и учётные записи.

🟢Анализ крупной фишинговой кампании, в которой вредоносная нагрузка спрятана в SVG-файле. Про другие опасные, но малоизвестные пользователям и защитным решениям форматы файлов, мы писали здесь.

🟣Разбор TTPs новой вымогательской группировки VantaCore и её шифровальщика.

🔴Подробное пошаговое описание социоинженерной кампании Spring Ring, включающей звонки в MS Teams, замаскированные под вызов из корпоративной техподдержки. Злоумышленники побуждают жертву либо запустить легитимное ПО удалённого доступа (RMM), либо адаптированный под жертву файл, проводящий атаку NTLM relay.

🟠Обширное исследование семейства сервисов SuperProxy, которые вводят Android-устройства в 5 (!) сетей домашних прокси, да ещё устанавливают ВПО от своих «клиентов».

🔵Любопытный случай — ВПО ValleyRAT распространяется под видом рекламного ПО. Подписанное и известное adware QnWallpaper получило «довесок», загружаемый по технике DLL sideloading.

⚪️Microsoft отмечает, что техника ASCII smuggling, давно известная и заново получившая популярность для атак на ИИ-модели, опять активно применяется в простом фишинге для обхода спам-фильтров.

#дайджест #APT @П2Т

CrowdStrike: Threat Hunting Report 2026

Аналитики CrowdStrike выпустили ежегодный отчёт Threat Hunting 2026 и констатировали резкое ускорение кибератак. В 88% случаев злоумышленники начинают эксплуатировать уязвимости в течение 48 часов после публикации PoC-эксплойтов, а активность киберпреступников в облаках выросла на 171%.

Вектор вишинга за первое полугодие 2026 года подскочил в два раза, при этом группировке SNARKY SPIDER требуется менее пяти минут от захвата аккаунта до выгрузки данных. На экосистему npm пришлось 87% угроз в реестрах пакетов, где группировка ALTERED SPIDER скомпрометировала свыше 300 зависимостей за один день.

#Полезное

Join our club Cult 👁

🎯 От индикатора к кампании: азбука IoC pivoting

Обнаружение одного-единственного индикатора компрометации — лишь первый шаг в поиске угроз и реагировании на инциденты, ведь цель анализа — раскрыть всю цепочку атаки.
Для этого применяется комбинация техник IoC pivoting, поиска связанных индикаторов.

1. Поиск доменов по IP
Недостаточно просто заблокировать подозрительный IP-адрес. Используйте passive DNS, чтобы выявить исторически связанные с ним домены. Затем сопоставьте эти IP-адреса с данными TI-платформ, чтобы найти связанные хэши ВПО и активную C2-инфраструктуру.

2. Используйте отпечатки и параметры SSL/TLS
Злоумышленники часто используют одни и те же шаблоны сертификатов в своей инфраструктуре. Это упрощает поиск ранее использовавшихся серверов, на которых были установлены сертификаты с такими же или схожими данными о субъекте. На параметрах сертификата не стоит останавливаться — отпечатки TLS-рукопожатий (JA3, JA3S и JARM) помогают кластеризовать вредоносную инфраструктуру и выявлять конкретные C2-фреймворки, такие как Cobalt Strike, на разных серверах.

3. Проверяйте TXT-записи DNS
TXT-записи подозрительных доменов часто информативны. Злоумышленники нередко используют их, чтобы скрывать резервные IP-адреса С2, конфигурационные данные или даже фрагменты вредоносных нагрузок.

4. Анализируйте интервалы соединений (jitter)
Анализ регулярности, средних интервалов и случайных отклонений в сетевых коммуникациях двух хостов помогает обнаруживать аномалии, такие как периодические сеансы связи с С2 (heartbeat, beaconing). Это помогает выявлять новые зараженные хосты или связанные образцы ВПО.

5. Сопоставляйте артефакты с MITRE ATT&CK
Используйте анализ в песочнице, чтобы выявлять новые образцы ВПО по их поведению. Например, изменения в реестре, которые ослабляют защиту системы или конфиденциальных данных, могут служить
информативным индикатором компрометации. Пример: изменение параметров аутентификации,после которого учётные данные сохраняются в системной памяти в открытом виде MITRE ATT&CK T1003.001 (OS Credential Dumping).

6. Создавайте собственные YARA-правила
Извлекайте уникальные особенности кода из обнаруженных образцов ВПО, чтобы строить собственные YARA-правила. Используйте их для автоматического сканирования корпоративных систем или репозиториев, выявляя связанное ВПО или более старые, ранее не замеченные вторжения.

Полная версия рекомендаций (PDF) с подробными примерами и скриншотами опубликована в подразделе сайта для экспертов SOC.

#SOC #советы @П2Т

🔥 Интересные исследования APT и новости ИБ за неделю

😱 Анализ модульного ВПО NeedyMantis, применяемого группой Storm-3069, предположительно связанной с компрометацией цепочки поставок DAEMON Tools. Атаки нацелены на телеком, университеты и господрядчиков.

🟢Разбор TTPs UAT-11587 и применяемого группой бэкдора Antino. С помощью фишинга были скомпрометированы госучреждения минимум в восьми странах, включая Тайвань, Индию, Филиппины и Пакистан. Бэкдор написан на Rust и использует OneDrive и Outlook в качестве C2.

🟢Новая цепочка заражения RedFlick доставляет Python-бэкдор CosmicPulse при помощи нескольких запланированных задач (scheduled tasks). Атакующие отказались от прежней тактики ClickFix, чтобы минимизировать активное вовлечение пользователя.

🟢Новая группа Mimbrob атакует российские оборонные и ИТ-компании с помощью фишинговых архивов и техники DLL Sideloading на базе легитимных приложений Yandex Browser и Notepad++. Применяется ВПО FBULoader и RAT-Go.

🔵Вымогательская группировка DragonForce взяла на вооружение два новых бэкдора, которые маскируют C2-трафик в данных протоколов TURN и MQTT.

🔵Разбор Linux-ВПО JITTERLY и руткита SIXZUT, применяемого в атаках группы Red Heron, известной эксплуатацией уязвимых серверов Gitea. Атаки затронули широкий спектр организаций в ЮВА и Северной Америке, целью, вероятно, был сбор разведданных.

🟣Злоумышленники похитили $388 млн у криптобиржи Bitget, проэксплуатировав зиродей в стороннем ИБ-решении и внедрив мошеннические команды на вывод средств напрямую в бэкенд системы.

🟣Стилеры, продаваемые на подпольных форумах, включая Bee Stealer и AVENGER для macOS, теперь используют LLM для автоматического профилирования жертв по профессии, интересам, месту работы, банкам и криптоактивам.

🟣Анализ вредоносной рекламной кампании в поисковых системах, где объявления по запросу ChatGPT вели на поддельный Custom GPT на легитимном домене chatgpt[.]com, который перенаправлял пользователей на страницу ClickFix для установки ВПО.

🔵Развивается сюжет с эксплуатацией зиродея в Citrix NetScaler ADC и Gateway (CVE-2026-88771 и -88772), затронуты организации из госсектора, финансовой, технологической, образовательной и юридической сфер в Северной Америке и Европе. В разобранной кампании злоумышленники разворачивали веб-шелл WHIPSHOT и ВПО для туннелирования SLAPSHOT.

🔵Cisco выпустила патч для CVE-2026-76504 (CVSS 9.8) — активно эксплуатируемой уязвимости обхода аутентификации в Catalyst SD-WAN Manager, которая даёт неаутентифицированному атакующему административный доступ.

🟣Злоумышленники эксплуатируют CVE-2026-73570 (уязвимость инъекции команд без аутентификации в Zimbra Collaboration Suite, закрытую ещё в июле) для развёртывания веб-шеллов, кражи учётных данных и эксфильтрации почты.

🔴TeamViewer устранила пять уязвимостей в версии 15.82. Наиболее серьёзная из них — CVE-2026-92370 (CVSS 8.8), уязвимость обхода контроля доступа к сессии, которая может привести к RCE.

#APT #дайджест @П2Т

🗣 Безопасный ИИ в компании: от выхода из тени до защищённой разработки

Когда: 7 октября 2026 в 11:00 и 15:00 (МСК)

Сценарии применения ИИ в бизнесе множатся быстрее, чем внедряются методики защиты. Не успели компании адаптировать меры ИБ к чатботам, как сотрудники перешли на агентские системы, которые имеют привилегированный доступ к внутренней инфраструктуре и даже пишут код применяемого в компании ПО. Как управлять этими рисками, обсудят эксперты на онлайн-конференции AM Live!

Мероприятие пройдёт в двух частях: первая посвящена безопасному применению ИИ для бизнес-задач, вторая — безопасности ИИ в разработке.

Темы первой части (в 11:00):
▶️ можно ли составить полный реестр ИИ в компании и как обнаружить теневой ИИ;
▶️ что делать с несанкционированными сервисами;
▶️ на что способен LLM gateway (ИИ-файрвол) и чего он не видит;
▶️ как управлять правами ИИ-агентов;
▶️ нужна ли агенту собственная identity или он должен действовать от имени пользователя;
▶️ какие три шага сделать в первую очередь, если использование ИИ в компании почти не контролируется.

Темы второй части (в 15:00):
▶️ что опаснее: уязвимый код, написанный ИИ, или данные, которые разработчик передаёт ИИ-агенту;
▶️ где внедрять начальный контроль ИИ-разработки: в IDE, на гейтвее, или в CI/CD;
▶️ чем подключение модели или датасета из публичного репозитория отличается от установки неизвестной библиотеки из npm или PyPI;
▶️ должен ли AIBOM стать обязательным артефактом релиза;
▶️ что нельзя проверить автотестами и всё ещё нужно отдавать на ИИ-редтиминг;
▶️какие проверки ИИ-когда скоро станут таким же обязательным элементом конвейера, как SAST и SCA.

👤 От «Лаборатории Касперского» выступят Алексей Беляков (в первой части) и Дмитрий Шмойлов (во второй).
Встречаемся уже в среду, 7 октября 2026!
Нужна предварительная регистрация.

Зарегистрироваться на первую часть ⟶
Зарегистрироваться на вторую часть ⟶

#события @П2Т

🔆 Реагирование на инциденты с серверами 1С

Многие атаки на российские организации включают компрометацию ПО 1С, поскольку компания доминирует на отечественном рынке ERP-систем. Поэтому знать основные особенности этой системы нужно как сотрудникам SOC, так и экспертам по IR.

В новой статье на Securelist разобраны основные практические моменты:
🔵 какие события на хостах 1С требуют внимания SOC и могут свидетельствовать о компрометации (спойлер: подозрительные дочерние процессы порожденные из ragent.exe, rphost.exe, rmngr.exe);
🟣 где искать артефакты на скомпрометированном сервере;
🟣 как анализировать журналы 1С и каким событиями уделять внимание;
🟣 что искать на клиентских машинах 1С.

Изучите статью и сохраните для коллег!

#советы #IR @П2Т

Меры ИБ: регуляторика и реальное внедрение

Организация Secure Controls Framework, объединяющая специалистов по регуляторному соответствию (GRC), выпустила отчёт о состоянии индустрии. У отчёта есть даже лаконичная версия, не содержащая ничего, кроме графиков с результатами опроса участников SCF.

Интересные моменты, применимые и к нашим реалиям:
1️⃣ Два основных драйвера внедрения мер ИБ — требования регулятора и требования клиента. Интересно, что клиенты почти догнали регуляторов.
2️⃣ Программы GRC хорошо выполняются в очень маленьких организациях из-за низких требований к ним, и в очень крупных — из-за адекватно выделенных ресурсов. В среднем бизнесе наблюдается провал, когда требования уже высоки, а ресурсов их соблюдать недостаточно.
3️⃣ Среди ключевых проблем специалисты GRC выделяют ИИ-угрозы (фишинг и дипфейки), а на втором месте — управление внутренними внедрениями ИИ. Техдолг и устаревшие системы спустились на на третье место, с небольшим отрывом.
4️⃣ Zero-trust якобы внедрён в 43% небольших организаций, и в 68% крупных.
5️⃣ Самой «перегретой» (overhyped) концепцией в ИБ признан ИИ в SOC.

Полный отчёт

#статистика @П2Т

Интересные исследования APT и новости ИБ за неделю

🟢Разбор кампании Blinder Tunnel от CL-STA-1178, нацеленной на объекты КИИ Ирака, а также на телеком- и авиационные организации в Израиле и ОАЭ. Выдавая себя за рекрутёров Dubai Airports, атакующие отправили инженеру-программисту тестовое задание с троянизированным проектом Visual Studio. В качестве С2 применялись комментарии на GitHub.

🟢Злоумышленники захватили реестры национальных доменных зон .gh, .sl и .as, изменили DNS-записи и получили HTTPS-сертификаты для доменов Google и других известных брендов. Google заблокировала эти сертификаты в Chrome и добилась их отзыва у выпустивших CA.

🟢Появляются технические детали о серии атак на крупные южнокорейские банки. Атакующий использовал ПО для пентестинга ARTEX, а также DeepSeek, GLM-5.3, Grok и Claude Code. Эта комбинация позволяла находить слабо защищённые компоненты вспомогательной ИТ-инфраструктуры: порталы для брокеров и мобильные приложения для сотрудников.

🔵Анализ целевой фишинговой кампании UAT-11985 против лиц, связанных с тайваньскими исследовательскими организациями. Кампания использует приглашения на реальные политические мероприятия, но содержит вредоносные QR-коды, размещённые на подменённых постерах этих событий. Жертв поджидала атака AitM для похищения учётных данных Google и MFA.

🔵Обзор деятельности Earth Sirrush (пересекающейся с UAC-0099) за 4 года. Группа перешла от PowerShell-скриптов к скомпилированным .NET-имплантам, а в последних кампаниях прячет нагрузки более изощрённо: в картинках PNG и во вредоносном плагине для Notepad++.

🟣Новая атака червя Mini Shai-Hulud. Используя учётную запись администратора репозитория, атакующие внедрили его в npm-пакет tensorlake, имеющий около 106 тыс. загрузок в месяц. ВПО было опубликовано по всем правилам, через собственный workflow проекта, и неотличимо от легитимного релиза. Вредоносная нагрузка крадёт учётные данные, самораспространяется через похищенные токены и может удалить домашний каталог, если украденный GitHub-токен будет отозван.

🟣Подробный обзор платформы Midnight Mimosa, основанной на ВПО для рекламного мошенничества и организации прокси. ВПО было предустановлено в прошивке дешёвых Android-смартфонов более чем в 150 странах, прежде всего в Мексике, Франции и Италии. Тот же код также был обнаружен в 13 приложениях в Google Play.

🟣Анализ кампании FakeGit, основанной на сети из 17610 GitHub-репозиториев, распространяющих загрузчик SmartLoader. Атакующие выстроили инфраструктуру, позволяющую заменой одной ссылки в readme и одной командой push очень быстро обновлять вредоносные нагрузки. Около 700 задействованных аккаунтов, по всей видимости, принадлежат реальным разработчикам.

🔵Исследование ботнета PoeLLM, который эксплуатирует открытые серверы LiteLLM, Ollama, Gotenberg и Gitea, преимущественно в США и Западной Европе, для майнинга криптовалюты и дальнейшего распространения. Адрес C2 вычисляется из ключевых слов в стихотворении на GitHub, поэтому оператор может перенести C2, просто отредактировав текст.

🔵Разбор изощрённой кампании, включающей вредоносную рекламу Google Ads по запросу «claude mac», которая отображает в качестве домена bing[.]com, а затем перенаправляет пользователя через результат поиска Bing и скомпрометированный сайт на поддельную страницу загрузки Claude. Дальше в дело вступает ClickFix — кнопка копирования на этой странице подменяет легитимную команду установки Anthropic на команду, которая запускает вредоносный скрипт zsh.

🟣Технический анализ ClingSTUN — Linux-бэкдора, эксплуатирующего известные уязвимости в IoT-устройствах D-Link, TP-Link, Tenda и других производителей, чтобы превращать их в узлы сети домашних прокси. ВПО использует публичные STUN-серверы, маскируя свой трафик под VoIP и WebRTC.

🟣SonicWall раскрыла информацию о четырёх уязвимостях в устройствах SMA1000, среди которых наиболее критична CVE-2026-102255 (CVSS 10.0 🤯 ). Ханипоты уже зафиксировали попытки эксплуатации, соответствующие этой уязвимости.

🚓 Обзор мошеннических схем вокруг GTA VI. В преддверии ноябрьского релиза расплодились фальшивые сайты с «утечками», продающие «ранние билды» за сумму до $1000, а также поддельные сайты PlayStation Store, собирающие данные банковских карт.

#дайджест #APT @П2Т

Что за уязвимость в Telegram, про которую все говорят

В Telegram Desktop обнаружили уязвимость CVE-2026-107181, которая затрагивает версии приложения до 7.2.9.

Она может позволить злоумышленникам похитить файлы с устройства пользователя, если тот перейдет по специально сформированной ссылке. Во всем мире потенциально уязвимы от 100 до 200 млн устройств.

Чем это опасно и как защититься, рассказывает Егор Подмоков, руководитель отдела экспертизы MaxPatrol VM, Positive Technologies.

Как эксплуатируется уязвимость 💻

Для успешной атаки злоумышленнику необходимо заранее определить расположение файлов, которые он хочет похитить. Причем речь не только о данных самого Telegram: под угрозой могут оказаться личные файлы, рабочие документы и другая конфиденциальная информация.

Масштаб последствий зависит от того, к каким файлам мессенджер имеет доступ на устройстве пользователя.

Чем это грозит 🧐

Утечкой документов дело может не ограничиться. Например, если злоумышленникам удастся похитить данные для доступа к учетным записям или удаленным системам, они смогут использовать их для дальнейших атак — вплоть до проникновения в корпоративную инфраструктуру.

Ситуацию осложняет и то, что подробный технический разбор уязвимости уже опубликован в открытом доступе.

Как защититься 🔄

Самое главное — обновить Telegram Desktop до актуальной версии. Также рекомендуем включить автоматические обновления и внимательнее относиться к ссылкам, особенно если их присылают незнакомые люди.

Если пока обновиться нет возможности, установите локальный код-пароль в настройках Telegram Desktop: «Настройки» → «Конфиденциальность» → «Код-пароль». Это может снизить риск угона аккаунта, но не защитит от кражи файлов. Поэтому обновить приложение все равно нужно при первой возможности.

Компаниям также стоит позаботиться о безопасности рабочих переписок. Для обмена конфиденциальной информацией лучше использовать корпоративные мессенджеры, соответствующие требованиям безопасности организации.

@Positive_Technologies

⚡️ Jaguar Land Rover, Marks & Spencer и другие крупные бренды — реальные жертвы атак вымогателей.

Согласно первому глобальному отчету F6 2025–2026 Cyber Threat Landscape Report, в 2025 году и в I полугодии 2026-го выявлено 9300+ инцидентов, связанных с программами-вымогателями.

Аналитики F6 выделили ключевые актуальные тренды ⬇️

▪️ Разделение сфер влияния. Проблемы крупных игроков привели к раздробленности. Часть киберпреступников перешла в RansomHub, Qilin, DragonForce и другие группы, а кто-то основал свои.

▪️ Двойное вымогательство. Несморя на смещение в сторону вымогательства без шифрования, преступники все еще как угрожают публикацией украденных данных, так и предлагают выкупить ключи. Обычно для компании-жертвы потенциальные последствия инцидента превышают первоначально запрошенную сумму.

▪️ Нейтрализация средств защиты. Атакующие используют BYOVD, в том числе и EDR-Killer.

▪️ Утечки диалогов между участниками кибергрупп. Они всё чаще становятся источником разведданных. Например, слитая переписка BlackBasta позволила ИБ-аналитикам изучить устройство группы и ее внутренние проблемы.

Экосистема вымогателей становится более сложной, а последствия атак — более тяжелыми. Вот лишь несколько ярких кейсов за прошедший год ⬇️

‼️ Jaguar Land Rover — атака на крупнейшую автомобильную компанию привела к остановке производственных линий и сбоям в цепочке поставок. Последствия затронули дилеров, поставщиков и сервисные центры. Общий ущерб — до $2,41 млрд. Предположительно, атаку осуществила ​​группировка ShinyHunters.

‼️ Marks & Spencer — жертва одного из самых громких инцидентов в сфере ретейла. После компрометации учетных записей и атаки на внутренние системы компания столкнулась со сбоями онлайн-продаж, логистики и внутренних сервисов. Восстановление инфраструктуры заняло несколько недель, а совокупный ущерб составил около $375 млн. По данным экспертов, к атаке также были причастны участники группировки ShinyHunters.

‼️ Collins Aerospace — стала жертвой одной из крупнейших атак на транспорт, которая вызвала серьезные сбои в работе крупных европейских аэропортов, включая Хитроу, Брюссель и Берлин-Бранденбург. Ответственность за атаку взяла группировка Everest.

⤵️ Больше реальных кейсов и аналитики — ищите в нашем глобальном отчете F6 2025–2026 Cyber Threat Landscape Report.

MITRE обновила ATT&CK до версии v20

Эксперты MITRE выкатили юбилейный релиз матрицы ATT&CK с фокусом на критическую инфраструктуру и злоупотребление технологиями ИИ. Аналитики формализовали атаки на языковые модели в техниках отравления поисковой выдачи ИИ и подавления автономных средств защиты. 

В матрицу Enterprise вошли техники обхода многофакторной аутентификации через сбор паролей приложений, а в раздел софта добавили вымогатель The Gentlemen и популярный стилер Vidar. Для промышленных систем ICS описали использование стандартных протоколов вроде DNS для скрытого управления сетями.

#Полезное

Join our club Cult 👁