GreyNoise Labs выкатила общедоступный инструмент GreyNoise IP Check, который позволяет пользователям проверять, был ли их IP замечен во вредоносных операциях, включая ботнеты и резидентные прокси-сети.
Как отмечают исследователи, эта проблематика значительно обострилась за последний год.
Многие пользователи даже не в курсе, что их сетевая инфраструктура задействуется во вредоносной активности в Интернете, фактические превращаясь в точки выхода для чужого трафика.
Безусловно, существуют различные способы задетектить исходящую вредоносную активность, например, через проверку журналов устройств, конфигураций, сетевого трафика и шаблонов активности.
Теперь благодаря GreyNoise Labs появился более простой способ, достаточно посетить страницу сканера.
Варианты анализа могут быть следующие: Clean (сканирующая активность не обнаружена), Malicious/Suspicious (IP демонстрирует признаки сканирования) или Common Business Service (IP-адрес принадлежит VPN, корпоративной сети или облачному провайдеру).
Если какая-либо активность соотносится с предоставленным IP, платформа также включает 90-дневную историческую временную шкалу, которая позволяет определить потенциальную точку заражения.
Для более продвинутых пользователей GreyNoise также предоставляет не требующий аутентификации JSON API без ограничений по скорости, доступный через curl, который можно интегрировать в скрипты или системы проверки.
Как отмечают исследователи, эта проблематика значительно обострилась за последний год.
Многие пользователи даже не в курсе, что их сетевая инфраструктура задействуется во вредоносной активности в Интернете, фактические превращаясь в точки выхода для чужого трафика.
Безусловно, существуют различные способы задетектить исходящую вредоносную активность, например, через проверку журналов устройств, конфигураций, сетевого трафика и шаблонов активности.
Теперь благодаря GreyNoise Labs появился более простой способ, достаточно посетить страницу сканера.
Варианты анализа могут быть следующие: Clean (сканирующая активность не обнаружена), Malicious/Suspicious (IP демонстрирует признаки сканирования) или Common Business Service (IP-адрес принадлежит VPN, корпоративной сети или облачному провайдеру).
Если какая-либо активность соотносится с предоставленным IP, платформа также включает 90-дневную историческую временную шкалу, которая позволяет определить потенциальную точку заражения.
Для более продвинутых пользователей GreyNoise также предоставляет не требующий аутентификации JSON API без ограничений по скорости, доступный через curl, который можно интегрировать в скрипты или системы проверки.
GreyNoise Labs
GreyNoise IP Check
Check if your IP address has been observed by GreyNoise sensors. Instantly detect malicious activity, compromised devices, and security threats affecting your network.
Исследователи FortiGuard Labs из Fortinet задетектили новую вредоносную бот-сеть на базе Mirai под названием ShadowV2, нацеленную на IoT-устройства от D-Link, TP-Link и других поставщиков с использованием эксплойтов для известных уязвимостей.
Причем обнаружить активность удалось во время масштабного сбоя в работе AWS в октябре 2025 года.
Несмотря на то, что эти события никак не были связаны между собой, ShadowV2 проявил признаки жизни только во время сбоя - вероятно, тестово запускался.
На текущий момент для распространения задействуется как минимум 8 уязвимостей в:
- DD-WRT (CVE-2009-2765),
- D-Link (CVE-2020-25506, CVE-2022-37055, CVE-2024-10914, CVE-2024-10915),
- DigiEver (CVE-2023-52163), ТБК (CVE-2024-3721)
- TP-Link (CVE-2024-53375).
Среди этих уязвимостей CVE-2024-10914 - известная уязвимость внедрения команд, затрагивающая устройства EoL D-Link, которую поставщик раскрыл, но исправлять не намерен.
Другая, CVE-2024-10915 (упомянутая в отчете NetSecFish от ноября 2024 года), также останется без официальных исправлений, что подтвердил сам поставщик.
Помимо того, что D-Link обновила бюллетень и добавила в него конкретный CVE-ID, компания выпустила новый со ссылками на кампанию ShadowV2, предупреждая также в нем об устройствах с EoL.
Еще одна CVE-2024-53375 была раскрыта в ноябре 2024 года и получила исправления посредством бета-обновления прошивки.
По данным FortiGuard Labs, атаки ShadowV2 исходили из 198[.]199[.]72[.]27 и были нацелены на маршрутизаторы, устройства NAS и DVR в госсекторе, IT, производстве, MSSP, телекоме и сфере образования, затронув многие страны в Северной и Южной Америке, Европе, Африке, Азии и Австралии, включая и Россию.
Вредоносное ПО позиционируется как ShadowV2 Build v1.0.0 IoT version и имеет сходство со штаммом Mirai LZRD.
Доставляется на уязвимые устройства через начальный этап доступа с использованием загрузчика (binary.sh), который извлекает его с сервера по адресу 81[.]88[.]18[.]108.
ShadowV2 использует закодированную с помощью XOR конфигурацию для путей файловой системы, строк User-Agent, заголовков HTTP и строк в стиле Mirai.
По части функциональных возможностей он поддерживает распределенные атаки типа DDoS по протоколам UDP, TCP и HTTP, с различными типами флуда для каждого из них. Стратегия монетизации ShadowV2 пока не прослеживается.
Все технические подробности и IOCs - в отчете.
Причем обнаружить активность удалось во время масштабного сбоя в работе AWS в октябре 2025 года.
Несмотря на то, что эти события никак не были связаны между собой, ShadowV2 проявил признаки жизни только во время сбоя - вероятно, тестово запускался.
На текущий момент для распространения задействуется как минимум 8 уязвимостей в:
- DD-WRT (CVE-2009-2765),
- D-Link (CVE-2020-25506, CVE-2022-37055, CVE-2024-10914, CVE-2024-10915),
- DigiEver (CVE-2023-52163), ТБК (CVE-2024-3721)
- TP-Link (CVE-2024-53375).
Среди этих уязвимостей CVE-2024-10914 - известная уязвимость внедрения команд, затрагивающая устройства EoL D-Link, которую поставщик раскрыл, но исправлять не намерен.
Другая, CVE-2024-10915 (упомянутая в отчете NetSecFish от ноября 2024 года), также останется без официальных исправлений, что подтвердил сам поставщик.
Помимо того, что D-Link обновила бюллетень и добавила в него конкретный CVE-ID, компания выпустила новый со ссылками на кампанию ShadowV2, предупреждая также в нем об устройствах с EoL.
Еще одна CVE-2024-53375 была раскрыта в ноябре 2024 года и получила исправления посредством бета-обновления прошивки.
По данным FortiGuard Labs, атаки ShadowV2 исходили из 198[.]199[.]72[.]27 и были нацелены на маршрутизаторы, устройства NAS и DVR в госсекторе, IT, производстве, MSSP, телекоме и сфере образования, затронув многие страны в Северной и Южной Америке, Европе, Африке, Азии и Австралии, включая и Россию.
Вредоносное ПО позиционируется как ShadowV2 Build v1.0.0 IoT version и имеет сходство со штаммом Mirai LZRD.
Доставляется на уязвимые устройства через начальный этап доступа с использованием загрузчика (binary.sh), который извлекает его с сервера по адресу 81[.]88[.]18[.]108.
ShadowV2 использует закодированную с помощью XOR конфигурацию для путей файловой системы, строк User-Agent, заголовков HTTP и строк в стиле Mirai.
По части функциональных возможностей он поддерживает распределенные атаки типа DDoS по протоколам UDP, TCP и HTTP, с различными типами флуда для каждого из них. Стратегия монетизации ShadowV2 пока не прослеживается.
Все технические подробности и IOCs - в отчете.
Fortinet Blog
ShadowV2 Casts a Shadow Over IoT Devices | FortiGuard Lab
ShadowV2, a new Mirai-based botnet targeting IoT devices, surfaced during the recent AWS outage. FortiGuard Labs examines its propagation, DDoS capabilities, and global footprint.…
На фоне намечающейся заварушки в Венесуэле случился весьма резонансный инцидент, связанный с масштабной утечкой данных, которая затронула три десятка стратегически важных правительственных структур в сфере безопасности, управления и энергетики.
Среди них – компания Petróleos de Venezuela, SA (PDVSA), Боливарианская национальная разведывательная служба (SEBIN), Корпус научных, уголовных и следственных служб (CICPC) и Администрация президента.
Как заявляет автор слива, данные публикуются в свободный доступ по нулевому прайсу и представляют собой крупнейшую утечку данных о зарплатах (включая и бонусы) чиновников действующего правительства Венесуэлы.
Кроме того, раскрыты точные наименования должностей, структурных подразделений, национальные удостоверения личности и национальные идентификационные номера (cédulas).
Не сложно догадаться, кто инициировал слив, который, по всей видимости, является гибридной составляющей более масштабного сценария нарастающего международного конфликта.
Будем следить.
Среди них – компания Petróleos de Venezuela, SA (PDVSA), Боливарианская национальная разведывательная служба (SEBIN), Корпус научных, уголовных и следственных служб (CICPC) и Администрация президента.
Как заявляет автор слива, данные публикуются в свободный доступ по нулевому прайсу и представляют собой крупнейшую утечку данных о зарплатах (включая и бонусы) чиновников действующего правительства Венесуэлы.
Кроме того, раскрыты точные наименования должностей, структурных подразделений, национальные удостоверения личности и национальные идентификационные номера (cédulas).
Не сложно догадаться, кто инициировал слив, который, по всей видимости, является гибридной составляющей более масштабного сценария нарастающего международного конфликта.
Будем следить.
Forwarded from Social Engineering
• Автор этого материала собрал очень объемный гайд по пентесту CMS Bitrix, который включает в себя большое кол-во техник и различных методов. Вот содержание:
- Основы битриксологии:
- Определение версии;
- Множественные эндпоинты для авторизации:
- Интересные эндпоинты;
- Content Spoofing;
- Account Enumeration;
- Non-legitimate registration;
- Open Redirect;
- XSS уязвимости;
- SSRF;
- LFI;
- RCE:
- BDU:2024-01501:
- WAF Bypass;
- LPE;
- Bitrix24:
- Уязвимые модули:
- Поиск интересных директорий и файлов.
- Сканер под bitrix - “huitrix”:
- References:
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
Исследователь Люк Маршалл задействовал использовал инструмент TruffleHog и в результате сканирования всех 5,6 миллионов GitLab Cloud обнаружил более 17 000 раскрытых секретов в более чем 2800 уникальных доменах.
Причем ранее он также просканировал Bitbucket, отыскав 6212 секретов, разбросанных по 2,6 млн. репозиториев, а после проверки Common Crawl, используемого для обучения моделей ИИ - выявил 12 000 действительных секретов.
В новом исследовании Маршалл использовал конечную точку публичного API GitLab для парсинга каждого публичного репозитория GitLab Cloud, используя пользовательский скрипт Python для постраничного просмотра всех результатов и сортировки их по идентификатору проекта.
В результате этого процесса было получено 5,6 млн недублирующихся репозиториев, имена которых были отправлены в AWS Simple Queue Service (SQS). Затем AWS Lambda позволила извлечь имя репозитория из SQS, запустив для него TruffleHog и записав результаты.
Каждый вызов Lambda выполнял простую команду сканирования TruffleHog с параллелизмом, установленным на 1000, что позволила ему завершить сканирование 5 600 000 репозиториев всего за 24 часа.
Общая стоимость всех публичных репозиториев GitLab Cloud с использованием вышеуказанного метода составила 770 долларов США.
Исследователь обнаружил 17 430 проверенных активных секретов, что почти в три раза больше, чем в Bitbucket, а также с плотностью секретов (секретов на репозиторий) на 35% выше.
Исторические метаданные указывают, что большинство утечек секретов датированы 2018 годом. Однако он также обнаружил несколько очень старых секретов, датированных 2009 годом, которые актуальны и по сей день.
Наибольшее количество утекших секретов (более 5200) составили учетные данные Google Cloud Platform (GCP), за которыми следуют ключи MongoDB, токены бота Telegram и ключи OpenAI.
Исследователь также нашел чуть более 400 ключей GitLab, утекших в отсканированные репозитории.
В рамках ответственного раскрытия информации с учетом выявленных 2804 уникальных доменов, Маршалл реализовал автоматизацию для уведомления затронутых сторон, использовав Claude Sonnet 3.7 с возможностью веб-поиска и скрипт Python для генерации электронных писем.
В ходе этого процесса он даже получил ряд вознаграждений за обнаружение ошибок на общую сумму 9000 долларов США.
Исследователь отмечает, что многие организации отозвали свои секреты после его уведомлений, однако в GitLab по-прежнему остаётся неназванное число доступных секретов.
Причем ранее он также просканировал Bitbucket, отыскав 6212 секретов, разбросанных по 2,6 млн. репозиториев, а после проверки Common Crawl, используемого для обучения моделей ИИ - выявил 12 000 действительных секретов.
В новом исследовании Маршалл использовал конечную точку публичного API GitLab для парсинга каждого публичного репозитория GitLab Cloud, используя пользовательский скрипт Python для постраничного просмотра всех результатов и сортировки их по идентификатору проекта.
В результате этого процесса было получено 5,6 млн недублирующихся репозиториев, имена которых были отправлены в AWS Simple Queue Service (SQS). Затем AWS Lambda позволила извлечь имя репозитория из SQS, запустив для него TruffleHog и записав результаты.
Каждый вызов Lambda выполнял простую команду сканирования TruffleHog с параллелизмом, установленным на 1000, что позволила ему завершить сканирование 5 600 000 репозиториев всего за 24 часа.
Общая стоимость всех публичных репозиториев GitLab Cloud с использованием вышеуказанного метода составила 770 долларов США.
Исследователь обнаружил 17 430 проверенных активных секретов, что почти в три раза больше, чем в Bitbucket, а также с плотностью секретов (секретов на репозиторий) на 35% выше.
Исторические метаданные указывают, что большинство утечек секретов датированы 2018 годом. Однако он также обнаружил несколько очень старых секретов, датированных 2009 годом, которые актуальны и по сей день.
Наибольшее количество утекших секретов (более 5200) составили учетные данные Google Cloud Platform (GCP), за которыми следуют ключи MongoDB, токены бота Telegram и ключи OpenAI.
Исследователь также нашел чуть более 400 ключей GitLab, утекших в отсканированные репозитории.
В рамках ответственного раскрытия информации с учетом выявленных 2804 уникальных доменов, Маршалл реализовал автоматизацию для уведомления затронутых сторон, использовав Claude Sonnet 3.7 с возможностью веб-поиска и скрипт Python для генерации электронных писем.
В ходе этого процесса он даже получил ряд вознаграждений за обнаружение ошибок на общую сумму 9000 долларов США.
Исследователь отмечает, что многие организации отозвали свои секреты после его уведомлений, однако в GitLab по-прежнему остаётся неназванное число доступных секретов.
Trufflesecurity
Scanning 5.6 million public GitLab repositories for secrets ◆ Truffle Security Co.
I scanned every public GitLab Cloud repository (~5.6 million) with TruffleHog, found over 17,000 verified live secrets, and earned over $9,000 in bounties along the way.
Исследователи из Лаборатории Касперского продолжают отслеживать Tomiris, анализируя активности, связанные с атаками на МИД, межправительственные организации и госучреждения в России.
Новые атаки демонстрируют заметное изменение в тактики злоумышленника, а именно более широкое использование имплантов, использующих общедоступные сервисы (например, Telegram и Discord) в качестве серверов C2 для сокрытия вредоносного трафика и обхода обнаружения.
Более 50% фишинговых писем и файлов-обманок, использованных в кампании, содержали русские наименования и текст на русском языке.
Причем письма также направлялись в Туркменистан, Кыргызстан, Таджикистан и Узбекистан, используя адаптированный контент на их языках.
Задействовалась комбинация обратных оболочек, специальных имплантов и фреймворков C2 с открытым исходным кодом, таких как Havoc и AdaptixC2, для реализации последующей эксплуатации.
Впервые Tomiris ЛК расчехлили в сентябре 2021 года, изучив работу бэкдора с таким же названием и указав на его связь с SUNSHUTTLE (GoldMax). Тогда стало понятно, что хакеры нацелены на сбор разведданных в Центральной Азии.
Затем в декабрьском отчёте от 2024 года Microsoft также связала бэкдор Tomiris с кластером угроз из Казахстана, отслеживаемым как Storm-0473.
Группа также попадала в поле зрения исследователей Cisco Talos, Seqrite Labs, Group-IB и BI.ZONE, выявившими совпадения с такими кластерами, как Cavalry Werewolf, ShadowSilk, Silent Lynx, SturgeonPhisher и YoroTrooper.
Последняя активность начинается с фишинговых писем, содержащих вредоносные RAR-файлы и защищённые паролем. Пароль для открытия архива содержится в тексте письма.
Внутри файла находится исполняемый файл, маскирующийся под документ Microsoft Word (*.doc.exe), который при запуске запускает обратную оболочку C/C++, отвечающую за сбор системной информации и обращение к командному серверу для загрузки AdaptixC2.
Обратная оболочка также вносит изменения в реестр Windows, обеспечивая сохранение загруженной полезной нагрузки. Исследователям удалось задетектить три различные версии вредоносного ПО.
В качестве альтернативы было обнаружено, что архивы RAR, распространяемые через электронные письма, доставляют другие семейства вредоносных ПО, которые, в свою очередь, запускают собственные последовательности заражения.
Среди них загрузчик на Rust, собирающий системную информацию и отправляющий ее в веб-хук Discord.
Он создает файлы сценариев VBScript и PowerShell, запуская VBScript с помощью cscript и затем сценарий PowerShell для извлечения ZIP с исполняемым файлом, связанным с Havoc.
В другом случае обратная оболочка на Python использует Discord в качестве C2 для получения команд, их выполнения и передачи результатов обратно на сервер.
Проводит разведку и загружает импланты следующего уровня - AdaptixC2 и FileGrabber на Python, собирая файлы с расширениями jpg, png, pdf, txt, ю docx и doc.
И, наконец, бэкдор на Python под названием Distopia, основанный на dystopia-c2 и использующий Discord в качестве C2 для выполнения консольных команд и загрузки полезных данных, включая обратную оболочку на Python.
Она использует Telegram в качестве C2 для выполнения команд на хосте и отправки вывода обратно на сервер.
В арсенале вредоносных ПО Tomiris также замечены целый ряд обратных оболочек и имплантов, написанных на разных языках программирования.
Разбор арсенала и технические подробности - в отчете.
Новые атаки демонстрируют заметное изменение в тактики злоумышленника, а именно более широкое использование имплантов, использующих общедоступные сервисы (например, Telegram и Discord) в качестве серверов C2 для сокрытия вредоносного трафика и обхода обнаружения.
Более 50% фишинговых писем и файлов-обманок, использованных в кампании, содержали русские наименования и текст на русском языке.
Причем письма также направлялись в Туркменистан, Кыргызстан, Таджикистан и Узбекистан, используя адаптированный контент на их языках.
Задействовалась комбинация обратных оболочек, специальных имплантов и фреймворков C2 с открытым исходным кодом, таких как Havoc и AdaptixC2, для реализации последующей эксплуатации.
Впервые Tomiris ЛК расчехлили в сентябре 2021 года, изучив работу бэкдора с таким же названием и указав на его связь с SUNSHUTTLE (GoldMax). Тогда стало понятно, что хакеры нацелены на сбор разведданных в Центральной Азии.
Затем в декабрьском отчёте от 2024 года Microsoft также связала бэкдор Tomiris с кластером угроз из Казахстана, отслеживаемым как Storm-0473.
Группа также попадала в поле зрения исследователей Cisco Talos, Seqrite Labs, Group-IB и BI.ZONE, выявившими совпадения с такими кластерами, как Cavalry Werewolf, ShadowSilk, Silent Lynx, SturgeonPhisher и YoroTrooper.
Последняя активность начинается с фишинговых писем, содержащих вредоносные RAR-файлы и защищённые паролем. Пароль для открытия архива содержится в тексте письма.
Внутри файла находится исполняемый файл, маскирующийся под документ Microsoft Word (*.doc.exe), который при запуске запускает обратную оболочку C/C++, отвечающую за сбор системной информации и обращение к командному серверу для загрузки AdaptixC2.
Обратная оболочка также вносит изменения в реестр Windows, обеспечивая сохранение загруженной полезной нагрузки. Исследователям удалось задетектить три различные версии вредоносного ПО.
В качестве альтернативы было обнаружено, что архивы RAR, распространяемые через электронные письма, доставляют другие семейства вредоносных ПО, которые, в свою очередь, запускают собственные последовательности заражения.
Среди них загрузчик на Rust, собирающий системную информацию и отправляющий ее в веб-хук Discord.
Он создает файлы сценариев VBScript и PowerShell, запуская VBScript с помощью cscript и затем сценарий PowerShell для извлечения ZIP с исполняемым файлом, связанным с Havoc.
В другом случае обратная оболочка на Python использует Discord в качестве C2 для получения команд, их выполнения и передачи результатов обратно на сервер.
Проводит разведку и загружает импланты следующего уровня - AdaptixC2 и FileGrabber на Python, собирая файлы с расширениями jpg, png, pdf, txt, ю docx и doc.
И, наконец, бэкдор на Python под названием Distopia, основанный на dystopia-c2 и использующий Discord в качестве C2 для выполнения консольных команд и загрузки полезных данных, включая обратную оболочку на Python.
Она использует Telegram в качестве C2 для выполнения команд на хосте и отправки вывода обратно на сервер.
В арсенале вредоносных ПО Tomiris также замечены целый ряд обратных оболочек и имплантов, написанных на разных языках программирования.
Разбор арсенала и технические подробности - в отчете.
Securelist
New Tomiris tools and techniques: multiple reverse shells, Havoc, AdaptixC2
Kaspersky discloses new tools and techniques discovered in 2025 Tomiris activities: multi-language reverse shells, Havoc and AdaptixC2 open-source frameworks, communications via Discord and Telegram.
Исследователи Bi.ZONE наконец-то порадовали новым отчетом, сообщая о выявленной в октябре и ноябре 2025 года вредоносной активности кластера Arcane Werewolf (Mythic Likho), нацеленную на российские промышленные компании.
Судя по артефактам, атакующие в качестве вектора первоначального доступа, вероятно, задействовали традиционный вектор - фишинговые рассылки, собственно, как и в предыдущих случаях.
Правда сами фишинговые письма достать так и не удалось.
При этом злоумышленники использовали доменные имена, созвучные с названиями организаций-жертв, а также применили активно разрабатываемые и обновленные собственные инструменты - в частности, новую версию Loki 2.1, совместимого с Mythic и Havoc.
Предположительно, в направленных письмах размещалась ссылка для загрузки архива с вредоносным ПО с подконтрольного хакерам ресурса, мимикрирующего под российскую промышленную компанию.
После перехода пользователя по ссылке происходила загрузка вредоносного архива уже по другой ссылке.
В загруженном архиве содержится вредоносный LNK-файл, а также каталог «Фото» с набором JPG‑изображений.
После запуска LNK и выполнения команды через PowerShell происходила загрузка с сетевого адреса hxxps://f.npo-[redacted][.]ru/m2.png исполняемого файла, который сохранялся в каталог %TEMP%\icon2.png и затем запускался через conhost.exe.
Загруженный icon2.png является исполняемым файлом формата PE32+ и представляет собой вредоносную программу - дроппер, реализованный на Go.
Он содержал нагрузку в виде двух закодированных Base64 файлов: chrome_proxy.pdf (исполняемый файл PE32+, являющийся вредоносным загрузчиком) и 09.2025.pdf (отвлекающий PDF‑документ).
Дроппер декодирует нагрузку и сохраняет ее в каталог %TEMP%, после чего выполняет команды, доставляя Loki 2.0.
Как известно, он состоит из двух компонентов: загрузчика и импланта.
Основные возможности загрузчика - сбор информации о скомпрометированном хосте, шифрование AES и кодирование Base64 собранной информации, отправка на сервер злоумышленников, ожидание вредоносной нагрузки от сервера и ее запуск.
В ноябре была зафиксирована очередная активность кластера Arcane Werewolf, но, к сожалению, всю цепочку атаки не удалось восстановить.
В данной атаке был выявлен новый дроппер на C++ (.cpp) и обновленный Loki 2.1.
Также удалось установить вредоносный сетевой ресурс атакующих, мимикрирующий под сайт российской промышленной компании (hxxps://cloud.electropriborzavod[.]ru/files/d8287185e4ae695a).
Cpp-дроппер является исполняемым файлом формата PE32+ и реализован на C++.
Вредоносная нагрузка содержится в сжатом виде в секции ресурсов.
Помимо самой нагрузки, в ресурсах дроппера содержится полный путь сохранения нагрузки на диске, размер нагрузки.
Дроппер динамически получает необходимые для работы WinAPI-функции и извлекает нагрузку на диск, используя функции NtCreateFile и ZwWriteFile.
В данном случае загрузчик Loki 2.1 все так же собирал информацию о скомпрометированном хосте, шифровал AES и кодировал Base64 перед отправкой.
Главная особенность загрузчика заключается в том, что, помимо получения импланта Loki от сервера, данный экземпляр содержит локальный вариант импланта Loki обновленной версии.
Загрузчик расшифровывает данный локальный имплант из конфигурации и вызывает у него экспортируемую функцию start в памяти собственного процесса. Команды импланта Loki 2.1 не изменились в сравнении с версией импланта 2.0.
Единственное отличие в том, что раньше каждой команде соответствовало определенное значение хеш-суммы djb2, а в версии Loki 2.1 командам соответствуют порядковые номера.
Индикаторы компрометации и технический разбор - в отчете.
Судя по артефактам, атакующие в качестве вектора первоначального доступа, вероятно, задействовали традиционный вектор - фишинговые рассылки, собственно, как и в предыдущих случаях.
Правда сами фишинговые письма достать так и не удалось.
При этом злоумышленники использовали доменные имена, созвучные с названиями организаций-жертв, а также применили активно разрабатываемые и обновленные собственные инструменты - в частности, новую версию Loki 2.1, совместимого с Mythic и Havoc.
Предположительно, в направленных письмах размещалась ссылка для загрузки архива с вредоносным ПО с подконтрольного хакерам ресурса, мимикрирующего под российскую промышленную компанию.
После перехода пользователя по ссылке происходила загрузка вредоносного архива уже по другой ссылке.
В загруженном архиве содержится вредоносный LNK-файл, а также каталог «Фото» с набором JPG‑изображений.
После запуска LNK и выполнения команды через PowerShell происходила загрузка с сетевого адреса hxxps://f.npo-[redacted][.]ru/m2.png исполняемого файла, который сохранялся в каталог %TEMP%\icon2.png и затем запускался через conhost.exe.
Загруженный icon2.png является исполняемым файлом формата PE32+ и представляет собой вредоносную программу - дроппер, реализованный на Go.
Он содержал нагрузку в виде двух закодированных Base64 файлов: chrome_proxy.pdf (исполняемый файл PE32+, являющийся вредоносным загрузчиком) и 09.2025.pdf (отвлекающий PDF‑документ).
Дроппер декодирует нагрузку и сохраняет ее в каталог %TEMP%, после чего выполняет команды, доставляя Loki 2.0.
Как известно, он состоит из двух компонентов: загрузчика и импланта.
Основные возможности загрузчика - сбор информации о скомпрометированном хосте, шифрование AES и кодирование Base64 собранной информации, отправка на сервер злоумышленников, ожидание вредоносной нагрузки от сервера и ее запуск.
В ноябре была зафиксирована очередная активность кластера Arcane Werewolf, но, к сожалению, всю цепочку атаки не удалось восстановить.
В данной атаке был выявлен новый дроппер на C++ (.cpp) и обновленный Loki 2.1.
Также удалось установить вредоносный сетевой ресурс атакующих, мимикрирующий под сайт российской промышленной компании (hxxps://cloud.electropriborzavod[.]ru/files/d8287185e4ae695a).
Cpp-дроппер является исполняемым файлом формата PE32+ и реализован на C++.
Вредоносная нагрузка содержится в сжатом виде в секции ресурсов.
Помимо самой нагрузки, в ресурсах дроппера содержится полный путь сохранения нагрузки на диске, размер нагрузки.
Дроппер динамически получает необходимые для работы WinAPI-функции и извлекает нагрузку на диск, используя функции NtCreateFile и ZwWriteFile.
В данном случае загрузчик Loki 2.1 все так же собирал информацию о скомпрометированном хосте, шифровал AES и кодировал Base64 перед отправкой.
Главная особенность загрузчика заключается в том, что, помимо получения импланта Loki от сервера, данный экземпляр содержит локальный вариант импланта Loki обновленной версии.
Загрузчик расшифровывает данный локальный имплант из конфигурации и вызывает у него экспортируемую функцию start в памяти собственного процесса. Команды импланта Loki 2.1 не изменились в сравнении с версией импланта 2.0.
Единственное отличие в том, что раньше каждой команде соответствовало определенное значение хеш-суммы djb2, а в версии Loki 2.1 командам соответствуют порядковые номера.
Индикаторы компрометации и технический разбор - в отчете.
BI.ZONE
Arcane Werewolf вернулся с обновленным имплантом Loki
Кластер атакует российские промышленные компании
Google выпустила новую партию обновлений безопасности для ОС Android, включая две уязвимости, которые, по данным компании, задействовались в реальных условиях.
В общей сложности устранено 107 уязвимостей, затрагивающих различные компоненты, включая Framework, System, Kernel, а также компоненты Arm, Imagination Technologies, MediaTek, Qualcomm и Unison.
Среди упомянутых двух наиболее серьезных недостатков, которые попали под эксплуатацию: CVE-2025-48633 и CVE-2025-48572, которые приводят к раскрытия информации и повышению привилегий в Framework соответственно.
И уже традиционно Google не представила никаких дополнительных подробностей о характере и масштабах замеченных атак, особенностей эксплуатации выявленных проблем и ответственных акторов, за исключением того, что они затрагивают версии Android 13, 14, 15 и 16.
Однако в своем сообщении технологический гигант признал, что существуют признаки того, что они «могут подвергаться ограниченной, целенаправленной эксплуатации».
Учитывая формулировку, по всей видимости, обе уязвимости могли быть использованы поставщиком коммерческого шпионского ПО.
Проблемы были устранены в первой части обновления безопасности Android за декабрь 2025 года, которое поступает на устройства как уровень исправления безопасности 2025-12-01 и содержит исправления для 51 уязвимости в компонентах Framework и System.
Самой серьезной из этих проблем является критическая уязвимость безопасности в компоненте Framework, которая может привести к удаленному отказу в обслуживании без необходимости дополнительных привилегий на выполнение
При этом, как обычно, вторая часть обновления, уровень исправления безопасности 2025-12-05, содержит исправления для всех уязвимостей, устраненных в обновлениях за декабрь 2025 года и предыдущих исправлениях Android.
В общей сложности устранено 107 уязвимостей, затрагивающих различные компоненты, включая Framework, System, Kernel, а также компоненты Arm, Imagination Technologies, MediaTek, Qualcomm и Unison.
Среди упомянутых двух наиболее серьезных недостатков, которые попали под эксплуатацию: CVE-2025-48633 и CVE-2025-48572, которые приводят к раскрытия информации и повышению привилегий в Framework соответственно.
И уже традиционно Google не представила никаких дополнительных подробностей о характере и масштабах замеченных атак, особенностей эксплуатации выявленных проблем и ответственных акторов, за исключением того, что они затрагивают версии Android 13, 14, 15 и 16.
Однако в своем сообщении технологический гигант признал, что существуют признаки того, что они «могут подвергаться ограниченной, целенаправленной эксплуатации».
Учитывая формулировку, по всей видимости, обе уязвимости могли быть использованы поставщиком коммерческого шпионского ПО.
Проблемы были устранены в первой части обновления безопасности Android за декабрь 2025 года, которое поступает на устройства как уровень исправления безопасности 2025-12-01 и содержит исправления для 51 уязвимости в компонентах Framework и System.
Самой серьезной из этих проблем является критическая уязвимость безопасности в компоненте Framework, которая может привести к удаленному отказу в обслуживании без необходимости дополнительных привилегий на выполнение
При этом, как обычно, вторая часть обновления, уровень исправления безопасности 2025-12-05, содержит исправления для всех уязвимостей, устраненных в обновлениях за декабрь 2025 года и предыдущих исправлениях Android.
Один из самых популярных сторонних YouTube-клиентов SmartTube для Android TV был скомпрометирован после того, как злоумышленник получил доступ к ключам подписи разработчика и реализовал вредоносный обновления.
Вскрылось все после того, как несколько пользователей заметили блокировку SmartTube встроенным антивирусным модулем Play Protect в Android на своих устройствах.
В свою очередь, разработчик SmartTube Юрий Юлисков также подтвердил компрометацию своих цифровых ключей в конце прошлой недели, что по итогу и привело к внедрению вредоносного ПО в приложение.
Оперативно старая подпись была отозвана, а разработчик пообещал вскоре опубликовать новую версию с отдельным идентификатором приложения.
После реверса скомпрометированной версии SmartTube 30.51 было установлено, что она включает скрытую нативную библиотеку libalphasdk.so [VirusTotal], которая отсутствует в общедоступном исходном коде.
Библиотека работает в фоновом режиме без взаимодействия с пользователем, считывает отпечатки хост-устройства, регистрирует его на удаленном сервере и периодически отправляет метрики и извлекает конфигурацию через зашифрованный канал связи.
При этом на текущий момент каких-либо доказательств вредоносной активности (включая кражу учётных записей или DDoS) нет, однако потенциальные риски начала ее реализации в любой момент достаточно высока.
К настоящему времени анонсированы безопасная бета-версия и стабильная тестовая сборка, но они пока не добрались до официального репозитория проекта на GitHub.
Кроме того, разработчик толком не представил сообществу полной информации об инциденте.
Но пообещал разобраться со всеми проблемами, как только финальная версия нового приложения будет опубликована на F-Droid.
Так что пользователям рекомендуется оставаться на старых, заведомо безопасных сборках, избегать входа в систему с использованием премиум-аккаунтов и отключать автоматические обновления.
В случае со скомпрометированной версии SmartTube рекомендуется сбросить пароли учетных записей Google, проверить консоль учетной записи на предмет несанкционированного доступа и удалить незнакомые службы.
Правда есть один нюанс - еще неизвестно, когда именно произошла утечка и какие версии SmartTube безопасны.
Как отмечают сами пользователи, Play Protect не детектит версию 30.19 в качестве вредоносной, поэтому ее можно считать условно безопасной.
Сам разработчик узнал о проблеме с вредоносным ПО в версии 30.47, но получая обратную связь от пользователей, полагает, что проблема началась примерно с версии 30.43.
На новый ключ перешел с версии 30.55, ряд сборок также выпустил со старым, но уже в чистой среде.
Вскрылось все после того, как несколько пользователей заметили блокировку SmartTube встроенным антивирусным модулем Play Protect в Android на своих устройствах.
В свою очередь, разработчик SmartTube Юрий Юлисков также подтвердил компрометацию своих цифровых ключей в конце прошлой недели, что по итогу и привело к внедрению вредоносного ПО в приложение.
Оперативно старая подпись была отозвана, а разработчик пообещал вскоре опубликовать новую версию с отдельным идентификатором приложения.
После реверса скомпрометированной версии SmartTube 30.51 было установлено, что она включает скрытую нативную библиотеку libalphasdk.so [VirusTotal], которая отсутствует в общедоступном исходном коде.
Библиотека работает в фоновом режиме без взаимодействия с пользователем, считывает отпечатки хост-устройства, регистрирует его на удаленном сервере и периодически отправляет метрики и извлекает конфигурацию через зашифрованный канал связи.
При этом на текущий момент каких-либо доказательств вредоносной активности (включая кражу учётных записей или DDoS) нет, однако потенциальные риски начала ее реализации в любой момент достаточно высока.
К настоящему времени анонсированы безопасная бета-версия и стабильная тестовая сборка, но они пока не добрались до официального репозитория проекта на GitHub.
Кроме того, разработчик толком не представил сообществу полной информации об инциденте.
Но пообещал разобраться со всеми проблемами, как только финальная версия нового приложения будет опубликована на F-Droid.
Так что пользователям рекомендуется оставаться на старых, заведомо безопасных сборках, избегать входа в систему с использованием премиум-аккаунтов и отключать автоматические обновления.
В случае со скомпрометированной версии SmartTube рекомендуется сбросить пароли учетных записей Google, проверить консоль учетной записи на предмет несанкционированного доступа и удалить незнакомые службы.
Правда есть один нюанс - еще неизвестно, когда именно произошла утечка и какие версии SmartTube безопасны.
Как отмечают сами пользователи, Play Protect не детектит версию 30.19 в качестве вредоносной, поэтому ее можно считать условно безопасной.
Сам разработчик узнал о проблеме с вредоносным ПО в версии 30.47, но получая обратную связь от пользователей, полагает, что проблема началась примерно с версии 30.43.
На новый ключ перешел с версии 30.55, ряд сборок также выпустил со старым, но уже в чистой среде.
GitHub
[NOT A BUG!]: Google just removed SmartTube from my Android TV Box · Issue #5131 · yuliskov/SmartTube
Checklist I made sure that there are no existing issues - open or closed - which I could contribute my information to. I have read the FAQ and my problem isn't listed. I have taken the time to ...
Аналитики из ИТ-холдинга Т1 выкатили аналитику с оценками динамики рынка ИТ в этом году, соответствующие выводы представили в исследовании ИТ-рынок в России 2025-2026: импульсы, энергия и потенциал.
Отметим главное, прежде всего, по части рынка ИБ:
1. Что происходит?
- Ожидается, что рост ИБ по итогам 2025 года составит около 6 % - рынок не избежал влияния высокой ключевой ставки, что привело к общему снижению крупных инвестиции в ИТ и ИБ в организациях;
- При этом в 2026 году прогнозируют рост рынка +12% - за счёт импортозамещения, ужесточения регуляторных требований, необходимости защищать критическую инфраструктуру и, конечно же, вследствие роста числа хакерских атак;
- Рост количества киберинцидентов в 2025 по оценкам ряда коммерческих компаний имеет разброс - от 2 до 4. Динамика, согласно представленным данным НКЦКИ по итогам SOC-forum, составляет около +35%, и снижения в 2026 году не намечается. И главное, что около половины инцидентов реально ударяют по бизнес-процессам;
- В итоге компании все чаще обращаются к ретроспективному анализу: ищут следы компрометации и злоумышленников внутри своей инфраструктуры.
2. Кто лидирует и куда движется рынок?
- Лидеры по on-prem безопасности (локальные решения): банки, промышленность, телеком, госструктуры;
- Облачная защита набирает обороты среди ИТ-компаний, сервисов для бизнеса и e-commerce. Даже госкомпании начинают использовать облачные ресурсы для обеспечения информационной безопасности;
- Высокая ключевая ставка и сокращение крупных инвестиций толкают бизнес к сервисной модели: в ближайшие 3-5 лет она станет еще более популярной.
3. Ключевые тренды в ИБ на ближайшие годы:
- повсеместное внедрение ИИ;
- безопасная разработка - проведение аудитов, построение конвейеров безопасной разработки для внутреннего ПО;
- рост популярности Zero Trust - контроль удаленного доступа и окружения;
- наличие собственных вычислительных мощностей в компании;
- гарантия безопасной работы с подрядчиками.
Таким образом, в качестве главного итога: в ближайшие 2-3 года ИТ безопасность окончательно перестанет быть «бэк-офисной» функцией и станет стратегической составляющей бизнеса, определяющей его конкурентоспособность.
Отметим главное, прежде всего, по части рынка ИБ:
1. Что происходит?
- Ожидается, что рост ИБ по итогам 2025 года составит около 6 % - рынок не избежал влияния высокой ключевой ставки, что привело к общему снижению крупных инвестиции в ИТ и ИБ в организациях;
- При этом в 2026 году прогнозируют рост рынка +12% - за счёт импортозамещения, ужесточения регуляторных требований, необходимости защищать критическую инфраструктуру и, конечно же, вследствие роста числа хакерских атак;
- Рост количества киберинцидентов в 2025 по оценкам ряда коммерческих компаний имеет разброс - от 2 до 4. Динамика, согласно представленным данным НКЦКИ по итогам SOC-forum, составляет около +35%, и снижения в 2026 году не намечается. И главное, что около половины инцидентов реально ударяют по бизнес-процессам;
- В итоге компании все чаще обращаются к ретроспективному анализу: ищут следы компрометации и злоумышленников внутри своей инфраструктуры.
2. Кто лидирует и куда движется рынок?
- Лидеры по on-prem безопасности (локальные решения): банки, промышленность, телеком, госструктуры;
- Облачная защита набирает обороты среди ИТ-компаний, сервисов для бизнеса и e-commerce. Даже госкомпании начинают использовать облачные ресурсы для обеспечения информационной безопасности;
- Высокая ключевая ставка и сокращение крупных инвестиций толкают бизнес к сервисной модели: в ближайшие 3-5 лет она станет еще более популярной.
3. Ключевые тренды в ИБ на ближайшие годы:
- повсеместное внедрение ИИ;
- безопасная разработка - проведение аудитов, построение конвейеров безопасной разработки для внутреннего ПО;
- рост популярности Zero Trust - контроль удаленного доступа и окружения;
- наличие собственных вычислительных мощностей в компании;
- гарантия безопасной работы с подрядчиками.
Таким образом, в качестве главного итога: в ближайшие 2-3 года ИТ безопасность окончательно перестанет быть «бэк-офисной» функцией и станет стратегической составляющей бизнеса, определяющей его конкурентоспособность.
Российская газета
ИТ-рынок остывает: рост замедлился, но курс взят на ИИ и экспорт - Российская газета
В 2025 году рост российского IT-рынка исчисляется единицами процентов: после "перегретых" 2023-2024 годов компании перешли от экстренных закупок к более регулярным, приводят в порядок архитектуру, стандартизируют интеграции и оптимизируют стоимость владения.…
Forwarded from Russian OSINT
Как сообщают F6, специалистам удалось получить образец ВПО RatOn и проанализировать его функционал, особенности и перспективы распространения в России.
На этот раз NFCGate интегрирован в многофункциональный банковский троян удаленного доступа RatOn, который позволяет злоумышленникам незаметно похищать деньги с банковского счета и криптокошельков.
Дмитрий Ермаков, руководитель Fraud Protection F6:
Ни одна из предыдущих вредоносных модификаций NFCGate не прошла мимо России. Эта тенденция, а также тот факт, что разработчики предусмотрели для RatOn возможность работать с приложениями на русском языке, указывают на высокий риск дальнейшей модификации этого вредоноса для атак на россиян.
По данным МВД России (источник):
Во второй половине 2025 года на «обратную» версию NCFGate пришлось больше половины случаев заражений мобильных устройств – 52,4%. По данным F6, во второй половине 2025 года количество атак на клиентов российских банков с использованием всех версий NFCGate постепенно растёт: в июле ежедневно в среднем фиксировали не менее 200 устройств, в ноябре – не менее 300, и тенденций к снижению нет. Общее число таких атак на российских пользователей за второе полугодие – не менее 38 тысяч.
👆По данным F6, общий ущерб клиентов российских банков от использования всех вредоносных версий NFCGate за 10 месяцев 2025 года составил не менее
Please open Telegram to view this post
VIEW IN TELEGRAM
Исследователи Лаборатории Касперского обратили внимание на основные пробелы в безопасности NTLM в призме выявленных в 2025 году вредоносных кампаний и новых эксплуатируемых уязвимостей в старой технологии.
В качестве пролога к разбору актуальных связанных с NTLM угроз в ЛК вернулись в 2001 год, когда набирали популярность раскладушки, микромягкие анонсировали Windows XP, а Apple - iPod.
Пользователи только начали осваивать торренты, а Sir Dystic из Cult of the Dead Cow представил практическую реализацию атаки NTLM Relay в виде утилиты SMBRelay, продемонстрировав новый мощный класс эксплойтов для ретрансляции аутентификационных данных.
В общем, слабые места аутентификации через протокол NTLM были очевидны еще тогда.
В последующие годы ландшафт киберугроз пополнялся новыми уязвимостями и все более сложными методами атак.
NTLM является протоколом типа «запрос-ответ», предназначенным для проверки подлинности клиентов и серверов в средах Windows.
Он интегрирован в несколько прикладных протоколов, включая HTTP, MSSQL, SMB и SMTP. Для завершения процесса аутентификации используется трехэтапное рукопожатие между клиентом и сервером.
Microsoft пыталась справиться с проблемой, внедряя меры по снижению рисков и работая над преемником - протоколом Kerberos. И даже вовсе объявила о намерении отказаться от NTLM.
Однако на протяжении более двух десятилетий NTLM все еще остается частью современных ОС и используется в корпоративных сетях, устаревших приложениях и внутренних инфраструктурах, которые до сих пор полагаются на устаревшие механизмы аутентификации.
Учитывая, что NTLM все еще в строю, он остается удобной точкой входа для злоумышленников.
Его уязвимости хорошо изучены и задокументированы, он по-прежнему используется в системах на базе Windows и активно эксплуатируется в современных атаках.
Согласно недавним исследованиям, злоумышленники продолжают изобретать нестандартные способы эксплуатации NTLM в релейных и спуфинговых атаках, в том числе через новые уязвимости.
Более того, находят альтернативные векторы атак, специфичные для протокола.
Подробно описывать не будем, но отметим, что в отчете исследователи ЛК рассматривают эти векторы, раскрывая реальные кампании с описанием наиболее значимых CVE за год. Тут и:
- CVE-2024‑43451 с кампаниями BlindEagle по внедрению Remcos RAT и Head Mare против российских целей;
- CVE-2025-24054/CVE-2025-24071 с распространением троянца AveMaria в России;
- CVE-2025-33073 с выявленной активностью в системе одной из финансовых организаций Узбекистана.
Так что настоятельно рекомендуем ознакомиться.
В качестве пролога к разбору актуальных связанных с NTLM угроз в ЛК вернулись в 2001 год, когда набирали популярность раскладушки, микромягкие анонсировали Windows XP, а Apple - iPod.
Пользователи только начали осваивать торренты, а Sir Dystic из Cult of the Dead Cow представил практическую реализацию атаки NTLM Relay в виде утилиты SMBRelay, продемонстрировав новый мощный класс эксплойтов для ретрансляции аутентификационных данных.
В общем, слабые места аутентификации через протокол NTLM были очевидны еще тогда.
В последующие годы ландшафт киберугроз пополнялся новыми уязвимостями и все более сложными методами атак.
NTLM является протоколом типа «запрос-ответ», предназначенным для проверки подлинности клиентов и серверов в средах Windows.
Он интегрирован в несколько прикладных протоколов, включая HTTP, MSSQL, SMB и SMTP. Для завершения процесса аутентификации используется трехэтапное рукопожатие между клиентом и сервером.
Microsoft пыталась справиться с проблемой, внедряя меры по снижению рисков и работая над преемником - протоколом Kerberos. И даже вовсе объявила о намерении отказаться от NTLM.
Однако на протяжении более двух десятилетий NTLM все еще остается частью современных ОС и используется в корпоративных сетях, устаревших приложениях и внутренних инфраструктурах, которые до сих пор полагаются на устаревшие механизмы аутентификации.
Учитывая, что NTLM все еще в строю, он остается удобной точкой входа для злоумышленников.
Его уязвимости хорошо изучены и задокументированы, он по-прежнему используется в системах на базе Windows и активно эксплуатируется в современных атаках.
Согласно недавним исследованиям, злоумышленники продолжают изобретать нестандартные способы эксплуатации NTLM в релейных и спуфинговых атаках, в том числе через новые уязвимости.
Более того, находят альтернативные векторы атак, специфичные для протокола.
Подробно описывать не будем, но отметим, что в отчете исследователи ЛК рассматривают эти векторы, раскрывая реальные кампании с описанием наиболее значимых CVE за год. Тут и:
- CVE-2024‑43451 с кампаниями BlindEagle по внедрению Remcos RAT и Head Mare против российских целей;
- CVE-2025-24054/CVE-2025-24071 с распространением троянца AveMaria в России;
- CVE-2025-33073 с выявленной активностью в системе одной из финансовых организаций Узбекистана.
Так что настоятельно рекомендуем ознакомиться.
Securelist
Как эксплуатируются уязвимости в NTLM в кибератаках 2025 года
В этой статье рассматриваются NTLM Relay, пересылка учетных данных и другие способы эксплуатации уязвимостей в NTLM, а также атаки на NTLM, выявленные в 2025 году.
Подкатили итоги второй атаки Shai-Hulud, раскрывшей в общей сложности более 400 000 необработанных секретов после заражения сотен пакетов в реестре NPM с публикацией украденных данных в 30 000 репозиториях GitHub.
При этом TruffleHog подтвердил подлинность лишь около 10 000 раскрытых секретов, причем, по данным Wiz, по состоянию на 1 декабря более 60% утекших токенов NPM все еще были действительны.
Shai-Hulud появилась в середине сентября, скомпрометировав 187 пакетов NPM с самораспространяющейся полезной нагрузкой, которая идентифицировала токены учетных записей, внедряла вредоносный скрипт в пакеты и автоматически публиковала их на платформе.
Во второй атаке вредоносное ПО поразило более 800 пакетов (включая все зараженные версии пакета) и обзавелось функционалом стирания домашних каталогов жертв при соблюдении определенных условий.
На основании анализа утечки, распространившейся на 30 000 репозиториев GitHub в результате атаки Shai-Hulud 2.0, обнаружили следующие типы секретов:
- Около 70% репозиториев имели файл content.json с именами пользователей и токенами GitHub, а также снимками файлов.
- У половины из них иелся файл truffleSecrets.json с результатами сканирования TruffleHog.
- В 80% репозиториев был найден файл environment.json с информацией об ОС, метаданными CI/CD, пакета npm и учетными данными GitHub.
- Почти 400 репозиториев разместили actionsSecrets.json с секретами рабочего процесса GitHub Actions.
Wiz отмечает, что вредоносная ПО использовала TruffleHog без флага «-only-verified», так что 400 000 раскрытых секретов соответствуют известному формату и могут больше не быть действительными или непригодными для использования.
Тем не менее, несмотря на то, что слитые данные чрезвычайно зашумлены и требуют значительных усилий по дедупликации, они по-прежнему содержат сотни действительных секретов, включая cloud, токены NPM и учетные данные VCS.
На сегодняшний день этот факт реализует серьезные риски дальнейших атак на цепочки поставок. Особенно учитывая, что более 60% украденных токенов NPM всё ещё действительны.
Анализ 24 000 файлов environment.json показал, что примерно половина из них были уникальными, причем 23% соответствовали машинам разработчиков, а остальные принадлежали исполнителям CI/CD и аналогичной инфраструктуре.
Собранные исследователями данные показывают, что большинство зараженных машин (87%) - это системы Linux, при этом большая часть заражений (76%) произошла на контейнерах.
Что касается распределения платформ CI/CD, то с большим отрывом лидирует GitHub Actions, за ним следуют Jenkins, GitLab CI и AWS CodeBuild.
Анализируя распределение заражений, Wiz обнаружила, что лидирующим был postman/tunnel-agent@0.6.7, за которым следовал asyncapi/specs@6.8.3. В совокупности эти два пакета стали причиной более 60% всех заражений.
Собственно, воздействие Shai-Hulud можно было бы значительно уменьшить, если бы несколько ключевых пакетов были нейтрализованы на ранней стадии.
Аналогично, что касается характера заражений, 99% случаев возникло в виду события предварительной установки, запускающего узел setup_bun.js.
В Wiz полагают, что акторы Shai-Hulud, вероятно, продолжат совершенствовать и развивать свои методы, прогнозируя еще больше атак в ближайшей перспективе, прежде всего, за счет использвания массива учетных данных, собранных к настоящему времени.
При этом TruffleHog подтвердил подлинность лишь около 10 000 раскрытых секретов, причем, по данным Wiz, по состоянию на 1 декабря более 60% утекших токенов NPM все еще были действительны.
Shai-Hulud появилась в середине сентября, скомпрометировав 187 пакетов NPM с самораспространяющейся полезной нагрузкой, которая идентифицировала токены учетных записей, внедряла вредоносный скрипт в пакеты и автоматически публиковала их на платформе.
Во второй атаке вредоносное ПО поразило более 800 пакетов (включая все зараженные версии пакета) и обзавелось функционалом стирания домашних каталогов жертв при соблюдении определенных условий.
На основании анализа утечки, распространившейся на 30 000 репозиториев GitHub в результате атаки Shai-Hulud 2.0, обнаружили следующие типы секретов:
- Около 70% репозиториев имели файл content.json с именами пользователей и токенами GitHub, а также снимками файлов.
- У половины из них иелся файл truffleSecrets.json с результатами сканирования TruffleHog.
- В 80% репозиториев был найден файл environment.json с информацией об ОС, метаданными CI/CD, пакета npm и учетными данными GitHub.
- Почти 400 репозиториев разместили actionsSecrets.json с секретами рабочего процесса GitHub Actions.
Wiz отмечает, что вредоносная ПО использовала TruffleHog без флага «-only-verified», так что 400 000 раскрытых секретов соответствуют известному формату и могут больше не быть действительными или непригодными для использования.
Тем не менее, несмотря на то, что слитые данные чрезвычайно зашумлены и требуют значительных усилий по дедупликации, они по-прежнему содержат сотни действительных секретов, включая cloud, токены NPM и учетные данные VCS.
На сегодняшний день этот факт реализует серьезные риски дальнейших атак на цепочки поставок. Особенно учитывая, что более 60% украденных токенов NPM всё ещё действительны.
Анализ 24 000 файлов environment.json показал, что примерно половина из них были уникальными, причем 23% соответствовали машинам разработчиков, а остальные принадлежали исполнителям CI/CD и аналогичной инфраструктуре.
Собранные исследователями данные показывают, что большинство зараженных машин (87%) - это системы Linux, при этом большая часть заражений (76%) произошла на контейнерах.
Что касается распределения платформ CI/CD, то с большим отрывом лидирует GitHub Actions, за ним следуют Jenkins, GitLab CI и AWS CodeBuild.
Анализируя распределение заражений, Wiz обнаружила, что лидирующим был postman/tunnel-agent@0.6.7, за которым следовал asyncapi/specs@6.8.3. В совокупности эти два пакета стали причиной более 60% всех заражений.
Собственно, воздействие Shai-Hulud можно было бы значительно уменьшить, если бы несколько ключевых пакетов были нейтрализованы на ранней стадии.
Аналогично, что касается характера заражений, 99% случаев возникло в виду события предварительной установки, запускающего узел setup_bun.js.
В Wiz полагают, что акторы Shai-Hulud, вероятно, продолжат совершенствовать и развивать свои методы, прогнозируя еще больше атак в ближайшей перспективе, прежде всего, за счет использвания массива учетных данных, собранных к настоящему времени.
wiz.io
Shai-Hulud 2.0 Aftermath: Trends, Victimology and Impact | Wiz Blog
A deeper look at the Shai-Hulud 2.0 supply chain attack: reviewing the infection spread, victimology, leaked secrets distribution, and community response so far.
Исследователи предупреждают о новой кампании GlassWorm, которая затронула Microsoft Visual Studio Marketplace и Open VSX с 24 расширениями, мимикрирующими под популярные инструменты и фреймворки для разработчиков Flutter, Vim, Yaml, Tailwind, Svelte, React Native и Vue.
GlassWorm впервые попал в поле зрения в октябре 2025 года и был исследован специалистами Koi Security.
Glassworm представляет собой вредоносную ПО, которая использует невидимые символы Unicode для сокрытия своего кода от проверки, а также задействует блокчейн Solana для C2.
После того, как разработчики устанавливают его в своих средах, он пытается выкрасть учетные записи GitHub, npm и OpenVSX, а также данные криптокошельков из 49 расширений.
Более того, Glassworm использует прокси-сервер SOCKS для маршрутизации вредоносного трафика через компьютер жертвы и устанавливает клиент HVNC, предоставляя операторам скрытый удаленный доступ.
Наиболее важным аспектом кампании является использование украденных учётных данных для компрометации дополнительных пакетов и расширений, что позволяет вредоносному ПО распространяться подобно червю.
Несмотря на усилия Microsoft и Open VSX по устранению из репозиториев расширений, вскоре вредоносное ПО вернулось на оба сайта с новыми расширениями и учетными записями издателей.
Последняя волна кампании GlassWorm, обнаруженная исследователями Secure Annex, включает в себя в общей сложности 24 расширения, охватывающих оба репозитория.
Среди выявленных расширений на VS Code: iconkieftwo.icon-theme-materiall, prisma-inc.prisma-studio-assistance, prettier-vsc.vsce-prettier, flutcode.flutter-extension, csvmech.csvrainbow, codevsce.codelddb-vscode, saoudrizvsce.claude-devsce, clangdcode.clangd-vsce, cweijamysq.sync-settings-vscode, bphpburnsus.iconesvscode, klustfix.kluster-code-verify, vims-vsce.vscode-vim, yamlcode.yaml-vscode-extension, solblanco.svetle-vsce, vsceue.volar-vscode, redmat.vscode-quarkus-pro и msjsdreact.react-native-vsce.
На Open VSX следующие: bphpburn.icons-vscode, tailwind-nuxt.tailwindcss-for-react, flutcode.flutter-extension, yamlcode.yaml-vscode-extension, saoudrizvsce.claude-dev, saoudrizvsce.claude-devsce и vitalik.solidity.
Исследователи отмечают, что после того как пакеты принимаются на торговых площадках, издатели выпускают обновление, которое внедряет вредоносный код, а затем увеличивают количество загрузок, чтобы создать впечатление, что они легитимны и заслуживают доверия.
Кроме того, искусственное увеличение количества загрузок может манипулировать результатами поиска, в результате чего вредоносное расширение оказывается выше в результатах, часто очень близко к легитимным проектам, за которые оно себя выдает.
Новая версия GlassWorm претерпела технические изменения, теперь используя импланты на основе Rust, упакованные в расширения. В некоторых случаях всё ещё используется и приём с Unicode.
GlassWorm впервые попал в поле зрения в октябре 2025 года и был исследован специалистами Koi Security.
Glassworm представляет собой вредоносную ПО, которая использует невидимые символы Unicode для сокрытия своего кода от проверки, а также задействует блокчейн Solana для C2.
После того, как разработчики устанавливают его в своих средах, он пытается выкрасть учетные записи GitHub, npm и OpenVSX, а также данные криптокошельков из 49 расширений.
Более того, Glassworm использует прокси-сервер SOCKS для маршрутизации вредоносного трафика через компьютер жертвы и устанавливает клиент HVNC, предоставляя операторам скрытый удаленный доступ.
Наиболее важным аспектом кампании является использование украденных учётных данных для компрометации дополнительных пакетов и расширений, что позволяет вредоносному ПО распространяться подобно червю.
Несмотря на усилия Microsoft и Open VSX по устранению из репозиториев расширений, вскоре вредоносное ПО вернулось на оба сайта с новыми расширениями и учетными записями издателей.
Последняя волна кампании GlassWorm, обнаруженная исследователями Secure Annex, включает в себя в общей сложности 24 расширения, охватывающих оба репозитория.
Среди выявленных расширений на VS Code: iconkieftwo.icon-theme-materiall, prisma-inc.prisma-studio-assistance, prettier-vsc.vsce-prettier, flutcode.flutter-extension, csvmech.csvrainbow, codevsce.codelddb-vscode, saoudrizvsce.claude-devsce, clangdcode.clangd-vsce, cweijamysq.sync-settings-vscode, bphpburnsus.iconesvscode, klustfix.kluster-code-verify, vims-vsce.vscode-vim, yamlcode.yaml-vscode-extension, solblanco.svetle-vsce, vsceue.volar-vscode, redmat.vscode-quarkus-pro и msjsdreact.react-native-vsce.
На Open VSX следующие: bphpburn.icons-vscode, tailwind-nuxt.tailwindcss-for-react, flutcode.flutter-extension, yamlcode.yaml-vscode-extension, saoudrizvsce.claude-dev, saoudrizvsce.claude-devsce и vitalik.solidity.
Исследователи отмечают, что после того как пакеты принимаются на торговых площадках, издатели выпускают обновление, которое внедряет вредоносный код, а затем увеличивают количество загрузок, чтобы создать впечатление, что они легитимны и заслуживают доверия.
Кроме того, искусственное увеличение количества загрузок может манипулировать результатами поиска, в результате чего вредоносное расширение оказывается выше в результатах, часто очень близко к легитимным проектам, за которые оно себя выдает.
Новая версия GlassWorm претерпела технические изменения, теперь используя импланты на основе Rust, упакованные в расширения. В некоторых случаях всё ещё используется и приём с Unicode.
Secure Annex
Glassworm's resurgence
Glassworm attacks look to take full advantage of the holidays
Microsoft наваливают на пользователей очередные проблемы по части безопасности.
На этот раз локализуемый инцидент связан со сбоем в работе портала Defender XDR, включая оповещения об обнаружении угроз.
Проблему Microsoft описывает как «резкий рост трафика, приведший к высокой загрузке центрального процессора на компонентах, обеспечивающих функциональность портала Microsoft Defender».
Причем в рамках ранжирования проблемы Microsoft отнесла его к категории инцидента - термин, который обычно используется для критических проблем с обслуживанием, оказывающих существенное влияние на пользователя.
Компания приняла меры по смягчению последствий, увеличив пропускную способность обработки.
По данным телеметрии, доступность для некоторых пострадавших клиентов, как заявляется, восстановилась.
В настоящее время Microsoft анализирует следы HTTP-архивов (HAR), предоставленные пострадавшими клиентами, и сообщает, что, помимо блокировки доступа фиксировалось отсутствие оповещений о расширенных угрозах и неотображение устройств.
Так или иначе ряд клиентов компании все еще сталкиваются с проблемой, которую микромягкие усиленно пытаются исправить, запрашивая дополнительные диагностические данные на стороне клиента.
В общем, пока микромягкие как обычно тужатся над своим Defender, разработчики Avast тоже лажали не сидели без дела.
Декабрь для решений Avast - череда критических и серьезных уязвимостей в антивирусом решении для операционных платформ MacOS, Linux и Windows.
Одни из критических ошибок, CVE-2025-3500, имеет CVSS 9 и связана с переполнением целочисленного значения в Avast Antivirus (25.1.981.6) для Windows, реализуя повышение привилегий.
Проблема затрагивает все версии от 25.1.981.6 до 25.3.
Другая уязвимость с той же оценкой, CVE-2025-8351, может привести к локальному выполнению кода или отказу в обслуживании процесса антивирусного ядра при сканировании вредоносного файла.
Она относится к проблемам с переполнением буфера на основе кучи и чтения за пределами выделенного буфера.
Ошибка затрагивает Avast Antivirus на MacOS в версиях 8.3.70.94 и 8.3.70.98.
Высокий уровень серьезности присвоен CVE-2025-10101 (CVSS 8.1) и CVE-2025-7007 (CVSS 7,5).
Последняя затрагивает Avast Antivirus на MacOS, Avast Anitvirus на Linux 16.0.0, Anitvirus: 3.0.3 и приводит к сбою антивирусного процесса при сканировании вредоносного файла.
CVE-2025-10101 в Avast Antivirus на macOS (в версиях 15.7 до 3.9.2025), в свою очередь, приводит к EoP или DoS и вызывается с помощью специально созданного Mach-O-файла.
На этот раз локализуемый инцидент связан со сбоем в работе портала Defender XDR, включая оповещения об обнаружении угроз.
Проблему Microsoft описывает как «резкий рост трафика, приведший к высокой загрузке центрального процессора на компонентах, обеспечивающих функциональность портала Microsoft Defender».
Причем в рамках ранжирования проблемы Microsoft отнесла его к категории инцидента - термин, который обычно используется для критических проблем с обслуживанием, оказывающих существенное влияние на пользователя.
Компания приняла меры по смягчению последствий, увеличив пропускную способность обработки.
По данным телеметрии, доступность для некоторых пострадавших клиентов, как заявляется, восстановилась.
В настоящее время Microsoft анализирует следы HTTP-архивов (HAR), предоставленные пострадавшими клиентами, и сообщает, что, помимо блокировки доступа фиксировалось отсутствие оповещений о расширенных угрозах и неотображение устройств.
Так или иначе ряд клиентов компании все еще сталкиваются с проблемой, которую микромягкие усиленно пытаются исправить, запрашивая дополнительные диагностические данные на стороне клиента.
В общем, пока микромягкие как обычно тужатся над своим Defender, разработчики Avast тоже
Декабрь для решений Avast - череда критических и серьезных уязвимостей в антивирусом решении для операционных платформ MacOS, Linux и Windows.
Одни из критических ошибок, CVE-2025-3500, имеет CVSS 9 и связана с переполнением целочисленного значения в Avast Antivirus (25.1.981.6) для Windows, реализуя повышение привилегий.
Проблема затрагивает все версии от 25.1.981.6 до 25.3.
Другая уязвимость с той же оценкой, CVE-2025-8351, может привести к локальному выполнению кода или отказу в обслуживании процесса антивирусного ядра при сканировании вредоносного файла.
Она относится к проблемам с переполнением буфера на основе кучи и чтения за пределами выделенного буфера.
Ошибка затрагивает Avast Antivirus на MacOS в версиях 8.3.70.94 и 8.3.70.98.
Высокий уровень серьезности присвоен CVE-2025-10101 (CVSS 8.1) и CVE-2025-7007 (CVSS 7,5).
Последняя затрагивает Avast Antivirus на MacOS, Avast Anitvirus на Linux 16.0.0, Anitvirus: 3.0.3 и приводит к сбою антивирусного процесса при сканировании вредоносного файла.
CVE-2025-10101 в Avast Antivirus на macOS (в версиях 15.7 до 3.9.2025), в свою очередь, приводит к EoP или DoS и вызывается с помощью специально созданного Mach-O-файла.
Tenable
CVE-2025-3500
Integer Overflow or Wraparound vulnerability in Avast Antivirus (25.1.981.6) on Windows allows Privilege Escalation.This issue affects Antivirus: from 25.1.981.6 before 25.3.
Ресерчеры Лаборатории Касперского отметили новые элементы в атаках хактивистских группировок 4BID, BO Team и Red Likho, где «один за всех и все за одного».
По данным ЛК, в последние месяцы наблюдается растущая тенденция к синхронным атакам нескольких хактивистов на одни и те же организации.
Подобные кампании уже не являются чем-то необычным и значительно усложняют атрибуцию, поскольку становится сложно идентифицировать TTPs конкретных групп.
В рамках исследования ландшафта киберугроз, нацеленных на российский сегмент, в ЛК подробно изучили серию кампаний, о которых публично заявляла проукраинская группа 4BID.
В системах их жертв удалось задетектить артефакты, связанные с активностью двух других известных групп хактивистов: BO Team и Red Likho.
В частности, в некоторых случаях атакованная 4BID инфраструктура также была заражена бэкдором GoRed, связанным с Red Likho, и ZeronetKit, атрибутированным к BO Team.
Обе группы известны проведением широко масштабных операций в отношении российских компаний.
Исследователи отмечают, что 4BID заявили о себе в начале 2025 года, медийно освещая свои атаки в Telegram-канале.
Злоумышленники атакуют российские организации в сфере промышленности, здравоохранения и госсекторе.
Причем изначально 4BID выбирала цели малого калибра, атакуя небольшие региональные компании, однако позже группа переключилась на более крупные предприятия.
Наличие в инфраструктуре жертв инструментария сразу нескольких групп (ransomware 4BID, бэкдоры BO Team и Red Likho, а также другие уникальные компоненты) свидетельствует об общем целеполагании и глубокой кооперации проукраинского кластера угроз.
В новом отчете исследователи ЛК раскрывают технические подробности наблюдаемой активности 4BID и ее пересечения с другими хактивистами.
Из наиболее интересных находок - пакет из нескольких файлов, каждый из которых отвечает за определенные задачи и запускает следующий.
Причем первый PowerShell-скрипт Edgeupdate.ps1 ранее не встречался в публичных репозиториях вредоносных ПО и не был замечен в других атаках, что позволяет предположить, что это специализированный инструмент, вероятно, разработанный для конкретной кампании.
Он выполнял ряд скрытых деструктивных операций для защиты от обнаружения и закрепления в системе (ведение журнала, блокировка устройств ввода, создание и добавление пользователя в группу локальных администраторов, загрузка в безопасном режиме с поддержкой сети, отключение протокола ms-contact-support и под завершение - удаление следов своей работы с перезагрузкой и фейковым экраном обновления).
В атаках 4BID также был найден образец новой программы-вымогателя, который назвали Blackout Locker.
Он написан на C/C++ и, несмотря на сходство имени, не имеет ничего общего с шифровальщиком Blackout.
В зависимости от версии, эта программа-вымогатель реализует различные схемы шифрования: некоторые варианты используют простой цикл XOR, другие - шифр AES в режиме GCM.
Кроме того, среди примечательных артфактов - кастомные скрипты (для проверки компьютеров в сети на наличие установленного AnyDesk или решений ЛК, а также непосредственно - для установки первой), пропатченные образцы Process Explorer (загружали Tuoni или Cobalt Strike).
В общем, текущая тенденция указывает на продолжающуюся эволюцию хактивизма и увеличивает вероятность проведения более частых, масштабных и технически сложных кампаний.
Все подробности - в отчете.
По данным ЛК, в последние месяцы наблюдается растущая тенденция к синхронным атакам нескольких хактивистов на одни и те же организации.
Подобные кампании уже не являются чем-то необычным и значительно усложняют атрибуцию, поскольку становится сложно идентифицировать TTPs конкретных групп.
В рамках исследования ландшафта киберугроз, нацеленных на российский сегмент, в ЛК подробно изучили серию кампаний, о которых публично заявляла проукраинская группа 4BID.
В системах их жертв удалось задетектить артефакты, связанные с активностью двух других известных групп хактивистов: BO Team и Red Likho.
В частности, в некоторых случаях атакованная 4BID инфраструктура также была заражена бэкдором GoRed, связанным с Red Likho, и ZeronetKit, атрибутированным к BO Team.
Обе группы известны проведением широко масштабных операций в отношении российских компаний.
Исследователи отмечают, что 4BID заявили о себе в начале 2025 года, медийно освещая свои атаки в Telegram-канале.
Злоумышленники атакуют российские организации в сфере промышленности, здравоохранения и госсекторе.
Причем изначально 4BID выбирала цели малого калибра, атакуя небольшие региональные компании, однако позже группа переключилась на более крупные предприятия.
Наличие в инфраструктуре жертв инструментария сразу нескольких групп (ransomware 4BID, бэкдоры BO Team и Red Likho, а также другие уникальные компоненты) свидетельствует об общем целеполагании и глубокой кооперации проукраинского кластера угроз.
В новом отчете исследователи ЛК раскрывают технические подробности наблюдаемой активности 4BID и ее пересечения с другими хактивистами.
Из наиболее интересных находок - пакет из нескольких файлов, каждый из которых отвечает за определенные задачи и запускает следующий.
Причем первый PowerShell-скрипт Edgeupdate.ps1 ранее не встречался в публичных репозиториях вредоносных ПО и не был замечен в других атаках, что позволяет предположить, что это специализированный инструмент, вероятно, разработанный для конкретной кампании.
Он выполнял ряд скрытых деструктивных операций для защиты от обнаружения и закрепления в системе (ведение журнала, блокировка устройств ввода, создание и добавление пользователя в группу локальных администраторов, загрузка в безопасном режиме с поддержкой сети, отключение протокола ms-contact-support и под завершение - удаление следов своей работы с перезагрузкой и фейковым экраном обновления).
В атаках 4BID также был найден образец новой программы-вымогателя, который назвали Blackout Locker.
Он написан на C/C++ и, несмотря на сходство имени, не имеет ничего общего с шифровальщиком Blackout.
В зависимости от версии, эта программа-вымогатель реализует различные схемы шифрования: некоторые варианты используют простой цикл XOR, другие - шифр AES в режиме GCM.
Кроме того, среди примечательных артфактов - кастомные скрипты (для проверки компьютеров в сети на наличие установленного AnyDesk или решений ЛК, а также непосредственно - для установки первой), пропатченные образцы Process Explorer (загружали Tuoni или Cobalt Strike).
В общем, текущая тенденция указывает на продолжающуюся эволюцию хактивизма и увеличивает вероятность проведения более частых, масштабных и технически сложных кампаний.
Все подробности - в отчете.
Securelist
Совместные атаки хактивистов 4BID, BO Team и Red Likho
Хактивистские группы все чаще действуют сообща. Анализируем совместные атаки 4BID, BO Team и Red Likho, их TTP и инструменты, включая новый шифровальщик Blackout Locker.
This media is not supported in your browser
VIEW IN TELEGRAM
Уроки английского для начинающих ИБ-шников на канале SecAtor
Wordfence предупреждает о критической EoP-уязвимости (CVE-2025–8489) в плагине King Addons for Elementor для WordPress, которая позволяет им получить административные разрешения во время процесса регистрации и активно задействуется в реальных атаках.
Активность была замечена 31 октября, всего через день после того, как проблема была публично раскрыта.
К настоящему моменту Wordfence заблокировала более 48 400 попыток реализации эксплойта.
King Addons - это стороннее дополнение для Elementor, популярного плагина визуального конструктора страниц для сайтов на WordPress, предоставляющее дополнительные виджеты, шаблоны и функции.
CVE-2025–8489 была обнаружена исследователем Питером Талейкисом и представляет собой уязвимость в обработчике регистрации плагина, которая позволяет любому зарегистрировавшемуся пользователю указать свою роль пользователя на веб-сайте, включая администратора, без применения каких-либо ограничений.
По данным Wordfence, злоумышленники отправляют специально созданный запрос admin-ajax.php, указав user_role=administrator, для создания подконтрольных учетных записей администраторов на целевых сайтах.
Исследователи отметили пик вредоносной активности между 9 и 10 ноября, при этом наиболее активными были два IP-адреса: 45.61.157.120 (28 900 попыток) и 2602:fa59:3:424::1 (16 900 попыток).
При этом Wordfence раскрывает также полный список вредоносных IP-адресов и рекомендует администраторам сайтов осуществить их поиск в файлах журналов. Наличие новых учётных записей администраторов также является явным признаком взлома.
Безусловно, рекомендуется обновиться до версии 51.1.35 King Addons, которая устраняет уязвимость CVE-2025–8489, выпущенную 25 сентября.
Помимо CVE-2025–8489 исследователи Wordfence также предупреждают о еще одной критической уязвимости в плагине Advanced Custom Fields: Extended, активном на более чем 100 000 сайтов WordPress, которая может быть использована неавторизованным злоумышленником для RCE.
Уязвимость затрагивает версии плагина с 0.9.0.5 по 0.9.1.1 и в настоящее время отслеживается как CVE-2025-13486.
Она была обнаружена и раскрыта польским CERT.
Уязвимость обусловлена тем, что функция принимает пользовательский ввод и затем передает его через call_user_func_array(), что позволяет неаутентифицированным злоумышленникам выполнять произвольный код на сервере со всеми вытекающими последствиями.
После уведомления о проблеме 18 ноября поставщик плагина устранил ее в версии 0.9.2 Advanced Custom Fields: Extended, выпущенной через день после получения отчета об уязвимости.
Учитывая, что уязвимость может быть использована без аутентификации посредством специально созданного запроса, публичное раскрытие технических подробностей, скорее всего, приведет к вредоносной активности.
Владельцам сайтов рекомендуется как можно скорее перейти на последнюю версию или отключить плагин на своих ресурсах.
Активность была замечена 31 октября, всего через день после того, как проблема была публично раскрыта.
К настоящему моменту Wordfence заблокировала более 48 400 попыток реализации эксплойта.
King Addons - это стороннее дополнение для Elementor, популярного плагина визуального конструктора страниц для сайтов на WordPress, предоставляющее дополнительные виджеты, шаблоны и функции.
CVE-2025–8489 была обнаружена исследователем Питером Талейкисом и представляет собой уязвимость в обработчике регистрации плагина, которая позволяет любому зарегистрировавшемуся пользователю указать свою роль пользователя на веб-сайте, включая администратора, без применения каких-либо ограничений.
По данным Wordfence, злоумышленники отправляют специально созданный запрос admin-ajax.php, указав user_role=administrator, для создания подконтрольных учетных записей администраторов на целевых сайтах.
Исследователи отметили пик вредоносной активности между 9 и 10 ноября, при этом наиболее активными были два IP-адреса: 45.61.157.120 (28 900 попыток) и 2602:fa59:3:424::1 (16 900 попыток).
При этом Wordfence раскрывает также полный список вредоносных IP-адресов и рекомендует администраторам сайтов осуществить их поиск в файлах журналов. Наличие новых учётных записей администраторов также является явным признаком взлома.
Безусловно, рекомендуется обновиться до версии 51.1.35 King Addons, которая устраняет уязвимость CVE-2025–8489, выпущенную 25 сентября.
Помимо CVE-2025–8489 исследователи Wordfence также предупреждают о еще одной критической уязвимости в плагине Advanced Custom Fields: Extended, активном на более чем 100 000 сайтов WordPress, которая может быть использована неавторизованным злоумышленником для RCE.
Уязвимость затрагивает версии плагина с 0.9.0.5 по 0.9.1.1 и в настоящее время отслеживается как CVE-2025-13486.
Она была обнаружена и раскрыта польским CERT.
Уязвимость обусловлена тем, что функция принимает пользовательский ввод и затем передает его через call_user_func_array(), что позволяет неаутентифицированным злоумышленникам выполнять произвольный код на сервере со всеми вытекающими последствиями.
После уведомления о проблеме 18 ноября поставщик плагина устранил ее в версии 0.9.2 Advanced Custom Fields: Extended, выпущенной через день после получения отчета об уязвимости.
Учитывая, что уязвимость может быть использована без аутентификации посредством специально созданного запроса, публичное раскрытие технических подробностей, скорее всего, приведет к вредоносной активности.
Владельцам сайтов рекомендуется как можно скорее перейти на последнюю версию или отключить плагин на своих ресурсах.
Wordfence
Attackers Actively Exploiting Critical Vulnerability in King Addons for Elementor Plugin
Новая угроза нависла над инфосек-сообществом, представители которой активно обсуждают уязвимость максимальной степени серьезности, получившей условное наименование React2Shell.
Речь идет об обнаружении критической CVE-2025-55182 в React, которая может быть использована удаленным неаутентифицированным злоумышленником для удаленного выполнения кода.
React (React.js) - это библиотека JavaScript с открытым исходным кодом, предназначенная для создания пользовательских интерфейсов приложений.
На нём работают миллионы сайтов, он используется популярными онлайн-сервисами (Airbnb, Instagram, Netflix), а его основной пакет NPM в настоящее время еженедельно имеет более 55 млн. загрузок.
В вышедшем вчера бюллетене разработчики React проинформировали пользователей об исправлении CVE-2025-55182, раскрытой 29 ноября Лакланом Дэвидсоном.
Она затрагивает версии 19.0, 19.1.0, 19.1.1 и 19.2.0 и устранена с выпуском 19.0.1, 19.1.2 и 19.2.1.
Уязвимость обусловлена тем, как React декодирует полезные данные, отправляемые на конечные точки функций сервера React.
При этом даже если приложение не реализует какие-либо конечные точки функций сервера React, оно все равно может быть уязвимым, если поддерживаются компоненты сервера React (RSC).
На текущий момент сообщений об эксплуатации уязвимости в реальных условиях не поступало.
Однако менее чем через 24 часа после публикации был разработан как минимум один PoC, а уязвимость была добавлена в сканеры.
Стоит отметить, что фреймворк разработки на основе React Next.js также подвержен CVE-2025-55182.
Vercel, разработчик Next.js, пыталась присвоить собственный идентификатор, CVE-2025-66478, но он был отклонен как дубликат CVE-2025-55182.
По данным Wiz, такие фреймворки, как React Router RSC, плагин Vite RSC, плагин Parcel RSC, RedwoodSDK и Waku, также могут быть уязвимы.
Исследователи считают, что 39% облачных сред содержат уязвимые экземпляры React.
Исследователи полагают, что уязвимость затрагивает стандартные конфигурации, и ее можно легко проэксплуатировать с помощью специально созданных HTTP-запросов.
По единогласному мнению мнению представителей индустрии, эксплуатация React2Shell в реальных условиях неизбежна.
В Palo Alto Networks описывают уязвимость как «мастер-эксплойт, достигаемый не за счет сбоя системы, а за счет злоупотребления ее доверием к входящим структурам данных».
Система выполняет вредоносную полезную нагрузку с той же эффективностью, что и легитимный код, поскольку она работает именно так, как задумано, но при наличии вредоносных входных данных.
Исследователи заявляют о более чем 968 000 серверов с фреймворками React и Next.js и уязвимости почти 40% облачных сред.
Так что вопрос, по их мнению, даже не в том, что CVE-2025-55182 воспользуются злоумышленники, а как широко эксплуатация затронет среды.
Так или иначе Google Cloud развернула правила WAF для обнаружения и блокирования попыток эксплуатации уязвимости CVE-2025-55182.
AWS также выпустила новые правила WAF для блокировки атак, информируя клиентов о том, что они не затронуты и не требуют никаких действий.
Cloudflare также не осталась в стороне и выкатила средства защиты в своей сети, которые автоматически защищают всех клиентов, пока трафик их приложений React передается через Cloudflare WAF.
Netlify выпустила исправления React для предотвращения эксплуатации уязвимостей на веб-сайтах клиентов, а в F5 пока изучают потенциальное влияние на свои решения.
Свои меры по обнаружению уязвимых экземпляров и защите от потенциальных попыток эксплуатации также приняли Akamai, Orca Security, Tenable, Aikido и Miggo.
С другой стороны, Кевин Бомонт считает, что уязвимость ограничена более новой версией 19 и затрагивает только приложения, использующие React Server, который он назвал новой функцией.
Но будем посмотреть.
Речь идет об обнаружении критической CVE-2025-55182 в React, которая может быть использована удаленным неаутентифицированным злоумышленником для удаленного выполнения кода.
React (React.js) - это библиотека JavaScript с открытым исходным кодом, предназначенная для создания пользовательских интерфейсов приложений.
На нём работают миллионы сайтов, он используется популярными онлайн-сервисами (Airbnb, Instagram, Netflix), а его основной пакет NPM в настоящее время еженедельно имеет более 55 млн. загрузок.
В вышедшем вчера бюллетене разработчики React проинформировали пользователей об исправлении CVE-2025-55182, раскрытой 29 ноября Лакланом Дэвидсоном.
Она затрагивает версии 19.0, 19.1.0, 19.1.1 и 19.2.0 и устранена с выпуском 19.0.1, 19.1.2 и 19.2.1.
Уязвимость обусловлена тем, как React декодирует полезные данные, отправляемые на конечные точки функций сервера React.
При этом даже если приложение не реализует какие-либо конечные точки функций сервера React, оно все равно может быть уязвимым, если поддерживаются компоненты сервера React (RSC).
На текущий момент сообщений об эксплуатации уязвимости в реальных условиях не поступало.
Однако менее чем через 24 часа после публикации был разработан как минимум один PoC, а уязвимость была добавлена в сканеры.
Стоит отметить, что фреймворк разработки на основе React Next.js также подвержен CVE-2025-55182.
Vercel, разработчик Next.js, пыталась присвоить собственный идентификатор, CVE-2025-66478, но он был отклонен как дубликат CVE-2025-55182.
По данным Wiz, такие фреймворки, как React Router RSC, плагин Vite RSC, плагин Parcel RSC, RedwoodSDK и Waku, также могут быть уязвимы.
Исследователи считают, что 39% облачных сред содержат уязвимые экземпляры React.
Исследователи полагают, что уязвимость затрагивает стандартные конфигурации, и ее можно легко проэксплуатировать с помощью специально созданных HTTP-запросов.
По единогласному мнению мнению представителей индустрии, эксплуатация React2Shell в реальных условиях неизбежна.
В Palo Alto Networks описывают уязвимость как «мастер-эксплойт, достигаемый не за счет сбоя системы, а за счет злоупотребления ее доверием к входящим структурам данных».
Система выполняет вредоносную полезную нагрузку с той же эффективностью, что и легитимный код, поскольку она работает именно так, как задумано, но при наличии вредоносных входных данных.
Исследователи заявляют о более чем 968 000 серверов с фреймворками React и Next.js и уязвимости почти 40% облачных сред.
Так что вопрос, по их мнению, даже не в том, что CVE-2025-55182 воспользуются злоумышленники, а как широко эксплуатация затронет среды.
Так или иначе Google Cloud развернула правила WAF для обнаружения и блокирования попыток эксплуатации уязвимости CVE-2025-55182.
AWS также выпустила новые правила WAF для блокировки атак, информируя клиентов о том, что они не затронуты и не требуют никаких действий.
Cloudflare также не осталась в стороне и выкатила средства защиты в своей сети, которые автоматически защищают всех клиентов, пока трафик их приложений React передается через Cloudflare WAF.
Netlify выпустила исправления React для предотвращения эксплуатации уязвимостей на веб-сайтах клиентов, а в F5 пока изучают потенциальное влияние на свои решения.
Свои меры по обнаружению уязвимых экземпляров и защите от потенциальных попыток эксплуатации также приняли Akamai, Orca Security, Tenable, Aikido и Miggo.
С другой стороны, Кевин Бомонт считает, что уязвимость ограничена более новой версией 19 и затрагивает только приложения, использующие React Server, который он назвал новой функцией.
Но будем посмотреть.
react.dev
Critical Security Vulnerability in React Server Components – React
The library for web and native user interfaces
Aisuru продолжает лютовать: всего за три месяца реализовал более 1300 распределенных DDoS-атак, одна из которых обновила рекорд, достигнув пика в 29,7 терабит в секунду.
Aisuru представляет собой ботнетов-сервис, включающий целую армию маршрутизаторов и IoT-устройств, скомпрометированных с помощью известных уязвимостей и брута слабых учетных данных.
По оценкам Cloudflare, ботнет использует от одного до четырех млн. зараженных хостов по всему миру.
В третьем квартале компания отбила самую масштабную гиперобъемную атаку с устройств Aisuru.
Предыдущая рекордная DDoS-атака достигла пика в 22,2 Тбит/с, также была отражена Cloudflare и со средней степенью уверенности была приписана Aisuru.
Недавно Microsoft сообщала, что тот же ботнет атаковал её сеть Azure, организовав массированную DDoS-атаку мощностью 15 Тбит/с с 500 000 IP-адресов.
Cloudflare отмечает, что с начала года ей удалось отразить 2867 атак Aisuru, почти 45% из которых были гиперобъемными - атаки, превышающие 1 Тбит/с или 1 млрд. пакетов в секунду (Bpps).
Цель рекордного инцидента не названа, но известно, что атака длилась 69 секунд и достигла пиковой скорости 29,7 Тбит/с.
В ней использовалась ковровая бомбардировка UDP для направления «мусорного» трафика в среднем на 15 000 портов назначения в секунду.
Еще одна масштабная DDoS-атака, отраженная компанией, достигала мощности 14,1 млрд пакетов в секунду.
Тем не менее Cloudflare полагает, что атаки Aisuru могут быть весьма разрушительными, а объем трафика способен вывести из строя интернет-провайдеров (ISP), даже если они не подвергаются прямым атакам.
Причем телеметрия Cloudflare четко показывает, что в этом году наблюдается устойчивый рост числа масштабных DDoS-атак со стороны ботнета Aisuru, фиксируя 1304 инцидента только за третий квартал.
По словам исследователей, Aisuru нацелен на компании из различных секторов, включая игровую индустрию, хостинг-провайдеров, телеком и финансы
Количество DDoS-атак, превышающих 100 Мбит/с, увеличилось на 189% по сравнению с предыдущим кварталом, а количество DDoS-атак, превышающих 1 Тбит/с, увеличилось более чем вдвое (на 227%) по сравнению с предыдущим кварталом.
По данным Cloudflare, большинство атак завершаются менее чем за 10 минут, практически не оставляя времени для реагирования.
Краткосрочная атака может продлиться всего несколько секунд, но ущерб может быть серьезным, а восстановление займет много времени.
По количеству DDoS-атак прошедший квартал не достиг уровня первого квартала, однако статистика 2025 года по-прежнему опережать по показателям предыдущие годы, и это без учета ноября и декабря.
В целом, Cloudflare в третьем квартале отражала в среднем 3780 DDoS-атак каждый час, большинство из которых исходили из Индонезии, Таиланда, Бангладеш и Эквадора и были направлены на Китай, Турцию, Германию, Бразилию и США.
Aisuru представляет собой ботнетов-сервис, включающий целую армию маршрутизаторов и IoT-устройств, скомпрометированных с помощью известных уязвимостей и брута слабых учетных данных.
По оценкам Cloudflare, ботнет использует от одного до четырех млн. зараженных хостов по всему миру.
В третьем квартале компания отбила самую масштабную гиперобъемную атаку с устройств Aisuru.
Предыдущая рекордная DDoS-атака достигла пика в 22,2 Тбит/с, также была отражена Cloudflare и со средней степенью уверенности была приписана Aisuru.
Недавно Microsoft сообщала, что тот же ботнет атаковал её сеть Azure, организовав массированную DDoS-атаку мощностью 15 Тбит/с с 500 000 IP-адресов.
Cloudflare отмечает, что с начала года ей удалось отразить 2867 атак Aisuru, почти 45% из которых были гиперобъемными - атаки, превышающие 1 Тбит/с или 1 млрд. пакетов в секунду (Bpps).
Цель рекордного инцидента не названа, но известно, что атака длилась 69 секунд и достигла пиковой скорости 29,7 Тбит/с.
В ней использовалась ковровая бомбардировка UDP для направления «мусорного» трафика в среднем на 15 000 портов назначения в секунду.
Еще одна масштабная DDoS-атака, отраженная компанией, достигала мощности 14,1 млрд пакетов в секунду.
Тем не менее Cloudflare полагает, что атаки Aisuru могут быть весьма разрушительными, а объем трафика способен вывести из строя интернет-провайдеров (ISP), даже если они не подвергаются прямым атакам.
Причем телеметрия Cloudflare четко показывает, что в этом году наблюдается устойчивый рост числа масштабных DDoS-атак со стороны ботнета Aisuru, фиксируя 1304 инцидента только за третий квартал.
По словам исследователей, Aisuru нацелен на компании из различных секторов, включая игровую индустрию, хостинг-провайдеров, телеком и финансы
Количество DDoS-атак, превышающих 100 Мбит/с, увеличилось на 189% по сравнению с предыдущим кварталом, а количество DDoS-атак, превышающих 1 Тбит/с, увеличилось более чем вдвое (на 227%) по сравнению с предыдущим кварталом.
По данным Cloudflare, большинство атак завершаются менее чем за 10 минут, практически не оставляя времени для реагирования.
Краткосрочная атака может продлиться всего несколько секунд, но ущерб может быть серьезным, а восстановление займет много времени.
По количеству DDoS-атак прошедший квартал не достиг уровня первого квартала, однако статистика 2025 года по-прежнему опережать по показателям предыдущие годы, и это без учета ноября и декабря.
В целом, Cloudflare в третьем квартале отражала в среднем 3780 DDoS-атак каждый час, большинство из которых исходили из Индонезии, Таиланда, Бангладеш и Эквадора и были направлены на Китай, Турцию, Германию, Бразилию и США.
The Cloudflare Blog
Cloudflare's 2025 Q3 DDoS threat report -- including Aisuru, the apex of botnets
Welcome to the 23rd edition of Cloudflare’s Quarterly DDoS Threat Report. This report offers a comprehensive analysis of the evolving threat landscape of Distributed Denial of Service (DDoS) attacks based on data from the Cloudflare network. In this edition…
Исследователи Лаборатории Касперского вновь накинули информативной отраслевой статистики, анонсировав Kaspersky Security Bulletin 2025, который охватывает период с ноября 2024 года по октябрь 2025 года.
В качестве основных исследователи выделяют следующие тренды:
- 48% пользователей Windows и 29% пользователей macOS столкнулись с киберугрозами.
- 27% всех пользователей решений Лаборатории Касперского столкнулись с веб-угрозами, а 33% пользователей пострадали от угроз на устройствах.
- Наибольшая доля пользователей, пострадавших от веб-угроз, пришлась на СНГ (34%), а локальные угрозы чаще всего обнаруживались в Африке (41%).
- Решения Лаборатории Касперского позволили предотвратить почти в 1,6 раза больше атак по краже паролей, чем в предыдущем году.
- В Азиатско-Тихоокеанском регионе количество обнаружений кражи паролей выросло на 132% по сравнению с предыдущим годом.
- Решения Лаборатории Касперского обеспечили выявление в 1,5 раза больше атак шпионского ПО, чем в предыдущем году.
Подробную годовую статистику по киберугрозам рекомендуем изучить, ознакомившись с полным отчетом.
Кроме того, не можем не отметить отчет по эксплойтам и уязвимостям в третьем квартале 2025 года, в котором исследователи ЛК рассматривают наиболее распространённые проблемы, затрагивающие Windows и Linux, а также уязвимости, используемые в APT-атаках.
Отмечается, что ежемесячное количество уязвимостей, опубликованных в третьем квартале 2025 года, остаётся выше показателей, зафиксированных в предыдущие годы.
Анализ ежемесячного распределения уязвимостей, оцененных как критические при регистрации (CVSS > 8,9), показывает, что этот показатель в третьем квартале был незначительно ниже показателя за 2024 год.
В части эксплуатации, в третьем квартале 2025 года, как и прежде, наиболее распространенными атаками были атаки на уязвимые продукты Microsoft Office (CVE-2018-0802, CVE-2017-11882 и CVE-2017-0199).
В этом квартале злоумышленники злоумышленники активно эксплуатировали уязвимости Directory Traversal, возникающие при распаковке архивов в WinRAR, адаптировав их для своих нужд (CVE-2023-38831, CVE-2025-6218 и CVE-2025-8088).
Для устройств Linux наиболее часто обнаруживались эксплойты для следующих уязвимостей ядра ОС (CVE-2022-0847, CVE-2019-13272 и CVE-2021-22555).
Примечательно, что в третьем квартале 2025 года, как и во втором, новых публичных эксплойтов для продуктов Microsoft Office не появилось.
Однако были опубликованы PoC-тесты уязвимостей в Microsoft SharePoint.
В третьем квартале 2025 года в APT-атаках преобладали 0-day, обнаруженные в ходе расследований отдельных инцидентов. После их публичного раскрытия следовали мощные волны эксплуатации.
Metasploit, доля которого увеличилась по сравнению со вторым кварталом, возглавляет список наиболее распространённых C2-фреймворков за последний квартал. За ним следуют Sliver и Mythic.
Фреймворк Empire также вновь появился в списке после неактивности в предыдущий отчётный период.
Примечательно, что Adaptix C2, несмотря на свою относительно новую версию, практически сразу же был принят злоумышленниками в реальных сценариях.
Подробная инфографика и статданные, а также разбор наиболее трендовых уязвимостей - в отчете.
В качестве основных исследователи выделяют следующие тренды:
- 48% пользователей Windows и 29% пользователей macOS столкнулись с киберугрозами.
- 27% всех пользователей решений Лаборатории Касперского столкнулись с веб-угрозами, а 33% пользователей пострадали от угроз на устройствах.
- Наибольшая доля пользователей, пострадавших от веб-угроз, пришлась на СНГ (34%), а локальные угрозы чаще всего обнаруживались в Африке (41%).
- Решения Лаборатории Касперского позволили предотвратить почти в 1,6 раза больше атак по краже паролей, чем в предыдущем году.
- В Азиатско-Тихоокеанском регионе количество обнаружений кражи паролей выросло на 132% по сравнению с предыдущим годом.
- Решения Лаборатории Касперского обеспечили выявление в 1,5 раза больше атак шпионского ПО, чем в предыдущем году.
Подробную годовую статистику по киберугрозам рекомендуем изучить, ознакомившись с полным отчетом.
Кроме того, не можем не отметить отчет по эксплойтам и уязвимостям в третьем квартале 2025 года, в котором исследователи ЛК рассматривают наиболее распространённые проблемы, затрагивающие Windows и Linux, а также уязвимости, используемые в APT-атаках.
Отмечается, что ежемесячное количество уязвимостей, опубликованных в третьем квартале 2025 года, остаётся выше показателей, зафиксированных в предыдущие годы.
Анализ ежемесячного распределения уязвимостей, оцененных как критические при регистрации (CVSS > 8,9), показывает, что этот показатель в третьем квартале был незначительно ниже показателя за 2024 год.
В части эксплуатации, в третьем квартале 2025 года, как и прежде, наиболее распространенными атаками были атаки на уязвимые продукты Microsoft Office (CVE-2018-0802, CVE-2017-11882 и CVE-2017-0199).
В этом квартале злоумышленники злоумышленники активно эксплуатировали уязвимости Directory Traversal, возникающие при распаковке архивов в WinRAR, адаптировав их для своих нужд (CVE-2023-38831, CVE-2025-6218 и CVE-2025-8088).
Для устройств Linux наиболее часто обнаруживались эксплойты для следующих уязвимостей ядра ОС (CVE-2022-0847, CVE-2019-13272 и CVE-2021-22555).
Примечательно, что в третьем квартале 2025 года, как и во втором, новых публичных эксплойтов для продуктов Microsoft Office не появилось.
Однако были опубликованы PoC-тесты уязвимостей в Microsoft SharePoint.
В третьем квартале 2025 года в APT-атаках преобладали 0-day, обнаруженные в ходе расследований отдельных инцидентов. После их публичного раскрытия следовали мощные волны эксплуатации.
Metasploit, доля которого увеличилась по сравнению со вторым кварталом, возглавляет список наиболее распространённых C2-фреймворков за последний квартал. За ним следуют Sliver и Mythic.
Фреймворк Empire также вновь появился в списке после неактивности в предыдущий отчётный период.
Примечательно, что Adaptix C2, несмотря на свою относительно новую версию, практически сразу же был принят злоумышленниками в реальных сценариях.
Подробная инфографика и статданные, а также разбор наиболее трендовых уязвимостей - в отчете.
Securelist
Kaspersky Security Bulletin 2025. Statistics
Kaspersky Security Bulletin contains statistics on various cyberthreats for the period from November 2024 to October 2025, which are based on anonymized data voluntarily provided by Kaspersky users via Kaspersky Security Network (KSN).