Исследователи из Лаборатории Касперского сообщают о детектировании активности группировки Stan Ghouls (Bloody Wolf), нацеленной на Узбекистан и Россию с использованием NetSupport RAT.
Группа действует как минимум с 2023 года на российском, киргизском, казахском и узбекском направлениях, фокусирует на финансовых, производственных и IT компаниях, атаки готовит тщательно, адаптируясь под конкретных жертв, включая инфраструктуру, и задействуя семейство специальных вредоносных загрузчиков на Java.
В общей сложности на счету Stan Ghouls в рамках новой наблюдаемой кампании примерно 50 жертв в Узбекистане, 10 - в России, а также еще несколько в Казахстане, Турции, Сербии и Беларуси (вероятно, что заражения в последних трех странах носили случайный характер).
Stan Ghouls использует в качестве первоначального вектора фишинговые электронные письма, содержащие вредоносные PDF-вложения. Это подтверждают и результаты исследований коллег ЛК (1, 2, 3).
Почти все фишинговые письма и файлы-приманки содержат текст на узбекском, что согласуется с их прошлыми атаками, где также применялись языки стран-целей.
Большинство жертв относятся к промышленному производству, сфере финансов и IT.
Кроме того, фиксировались попытки заражений устройств в госорганизациях, логистических компаниях, учебных и медицинских учреждениях.
Примечательно, что более 60 жертв - это довольно много для одной таргетированной кампании, включающей атаки с существенным участием операторов. Это указывает на готовность инвестировать значительные ресурсы в свою деятельность.
Поскольку Stan Ghouls активно атакует финансовые организации, мы полагаем, что основная мотивация этой группы финансовая.
При этом стоит отметить, что злоумышленники используют RAT-ники, что может также указывать на кибершпионаж.
Ранее основным инструментом злоумышленников выступал STRRAT, также известный как Strigoi Master, однако с прошлого года они начали использовать легитимное ПО NetSupport в качестве средства управления зараженной машиной.
Как показали новые наблюдения, Stan Ghouls продолжает использовать прежний набор инструментов, включая легитимную утилиту удаленного управления NetSupport, а также уникальный вредоносный загрузчик, написанный на Java.
Злоумышленники активно обновляют только инфраструктуру.
В частности, для этой вредоносной кампании они использовали два новых домена для размещения своего вредоносного загрузчика и один новый домен для хостинга файлов NetSupport RAT.
Любопытной находкой стали файлы Mirai на одном из доменов, фигурировавших в прошлых кампаниях группы, что может указывать на то, что операторы этой группы начали использовать вредоносное ПО для IoT-систем. Однако достоверно это утверждать пока сложно.
Подробный технический разбор и IOCs - в отчете.
В ЛК также отмечают, что дополнительные индикаторы и правило YARA для детектирования активности Stan Ghouls доступны клиентам сервиса Threat Intelligence.
Группа действует как минимум с 2023 года на российском, киргизском, казахском и узбекском направлениях, фокусирует на финансовых, производственных и IT компаниях, атаки готовит тщательно, адаптируясь под конкретных жертв, включая инфраструктуру, и задействуя семейство специальных вредоносных загрузчиков на Java.
В общей сложности на счету Stan Ghouls в рамках новой наблюдаемой кампании примерно 50 жертв в Узбекистане, 10 - в России, а также еще несколько в Казахстане, Турции, Сербии и Беларуси (вероятно, что заражения в последних трех странах носили случайный характер).
Stan Ghouls использует в качестве первоначального вектора фишинговые электронные письма, содержащие вредоносные PDF-вложения. Это подтверждают и результаты исследований коллег ЛК (1, 2, 3).
Почти все фишинговые письма и файлы-приманки содержат текст на узбекском, что согласуется с их прошлыми атаками, где также применялись языки стран-целей.
Большинство жертв относятся к промышленному производству, сфере финансов и IT.
Кроме того, фиксировались попытки заражений устройств в госорганизациях, логистических компаниях, учебных и медицинских учреждениях.
Примечательно, что более 60 жертв - это довольно много для одной таргетированной кампании, включающей атаки с существенным участием операторов. Это указывает на готовность инвестировать значительные ресурсы в свою деятельность.
Поскольку Stan Ghouls активно атакует финансовые организации, мы полагаем, что основная мотивация этой группы финансовая.
При этом стоит отметить, что злоумышленники используют RAT-ники, что может также указывать на кибершпионаж.
Ранее основным инструментом злоумышленников выступал STRRAT, также известный как Strigoi Master, однако с прошлого года они начали использовать легитимное ПО NetSupport в качестве средства управления зараженной машиной.
Как показали новые наблюдения, Stan Ghouls продолжает использовать прежний набор инструментов, включая легитимную утилиту удаленного управления NetSupport, а также уникальный вредоносный загрузчик, написанный на Java.
Злоумышленники активно обновляют только инфраструктуру.
В частности, для этой вредоносной кампании они использовали два новых домена для размещения своего вредоносного загрузчика и один новый домен для хостинга файлов NetSupport RAT.
Любопытной находкой стали файлы Mirai на одном из доменов, фигурировавших в прошлых кампаниях группы, что может указывать на то, что операторы этой группы начали использовать вредоносное ПО для IoT-систем. Однако достоверно это утверждать пока сложно.
Подробный технический разбор и IOCs - в отчете.
В ЛК также отмечают, что дополнительные индикаторы и правило YARA для детектирования активности Stan Ghouls доступны клиентам сервиса Threat Intelligence.
Securelist
Атаки группы Stan Ghouls в Узбекистане и России: NetSupport RAT и возможный интерес к IoT
Разбираем недавнюю кампанию группы Stan Ghouls, нацеленную на организации в России и Узбекистане: загрузчики на Java, NetSupportRAT и возможный интерес злоумышленников к IoT.
Позитивы выкатили аналитику по ландшафту киберугроз в 2025-м в России и мире, рассказывая: какие отрасли подвергались кибератакам, кто приложил к этому руку, какими техниками пользовались киберпреступники, сопроводив все цифрами, фактами, реальными историями атак.
Ежегодно количество успешных кибератак стремительно растет, а их сложность и агрессивность продолжают увеличиваться. Суммарное количество инцидентов в 2025 году на 6% превосходит количество за 2024 (на 11% и 37% - за 2023 и 2022 соответственно).
По оценкам экспертов, глобальный ущерб от действий киберпреступников в 2026 году достигнет 11,9 трлн. долл., что составляет около 11% от мирового ВВП на 2024 год.
Как отмечают Позитивы, геополитическая напряженность активно связана с киберпространством: кибератаки стали инструментом политического давления.
Другой фактор растущей киберпреступности - денежная составляющая: в России 33% всех успешных кибератак были мотивированы желанием злоумышленников заработать.
Выручка позволяет злоумышленникам инвестировать в разработку и покупку ПО и инструментов, нанимать лучших специалистов и выстраивать сложные бизнес‑модели, что еще больше усиливает их потенциал.
Помимо этого, распространение на теневых форумах готовых решений для кибератак значительно снизило порог входа в киберпреступность. Как и в легальном секторе, создание вредоносного ПО стало высококонкурентным бизнесом: разработчики совершенствуют свои инструменты.
Безусловно, эскалация кибератак не была бы возможна без непрерывной интеграции технологий в повседневную жизнь: современные организации все сильнее зависят друг от друга в цифровой среде.
Нарушение безопасности в одном звене способно запустить цепочку проблем у всех участников экосистемы, создавая эффект домино. Эта проблема стала одной из главенствующих в 2025 году.
Нельзя забывать и об изменениях, которые привнес и продолжает привносить ИИ, - безусловно, он полезен не только для общества, но и для злоумышленников.
Стоит отметить и дефицит специалистов в области ИБ, который наблюдается не только в России, но и в целом по миру: по прогнозам всемирного экономического форума, к 2030 году дефицит специалистов в сфере кибербезопасности достигнет 85 млн. человек.
Ознакомиться с подробной инфографикой, цифрами и трендами по кибератакам, включая аналитику по жертвам, методам и последствиям, рекомендуем в оригинале.
Ежегодно количество успешных кибератак стремительно растет, а их сложность и агрессивность продолжают увеличиваться. Суммарное количество инцидентов в 2025 году на 6% превосходит количество за 2024 (на 11% и 37% - за 2023 и 2022 соответственно).
По оценкам экспертов, глобальный ущерб от действий киберпреступников в 2026 году достигнет 11,9 трлн. долл., что составляет около 11% от мирового ВВП на 2024 год.
Как отмечают Позитивы, геополитическая напряженность активно связана с киберпространством: кибератаки стали инструментом политического давления.
Другой фактор растущей киберпреступности - денежная составляющая: в России 33% всех успешных кибератак были мотивированы желанием злоумышленников заработать.
Выручка позволяет злоумышленникам инвестировать в разработку и покупку ПО и инструментов, нанимать лучших специалистов и выстраивать сложные бизнес‑модели, что еще больше усиливает их потенциал.
Помимо этого, распространение на теневых форумах готовых решений для кибератак значительно снизило порог входа в киберпреступность. Как и в легальном секторе, создание вредоносного ПО стало высококонкурентным бизнесом: разработчики совершенствуют свои инструменты.
Безусловно, эскалация кибератак не была бы возможна без непрерывной интеграции технологий в повседневную жизнь: современные организации все сильнее зависят друг от друга в цифровой среде.
Нарушение безопасности в одном звене способно запустить цепочку проблем у всех участников экосистемы, создавая эффект домино. Эта проблема стала одной из главенствующих в 2025 году.
Нельзя забывать и об изменениях, которые привнес и продолжает привносить ИИ, - безусловно, он полезен не только для общества, но и для злоумышленников.
Стоит отметить и дефицит специалистов в области ИБ, который наблюдается не только в России, но и в целом по миру: по прогнозам всемирного экономического форума, к 2030 году дефицит специалистов в сфере кибербезопасности достигнет 85 млн. человек.
Ознакомиться с подробной инфографикой, цифрами и трендами по кибератакам, включая аналитику по жертвам, методам и последствиям, рекомендуем в оригинале.
Хабр
Ландшафт киберугроз в 2025-м в России и мире
Хабр, привет! Мы с коллегами в отделе аналитических исследований регулярно подводим киберитоги года, рассказываем, кто кого атаковал и как это было: делимся цифрами, фактами,...
В n8n обнаружены многочисленные критические уязвимости, позволяющие выйти за пределы среды и получить полный контроль над хост-сервером.
Уязвимости, отлеживаемые в совокупности как CVE-2026-25049, могут быть использованы любым авторизованным пользователем, имеющим право создавать или редактировать рабочие процессы, для выполнения RCE на сервере n8n.
Исследователи сразу нескольких ИБ-компаний сообщили о проблемах, которые связаны с механизмом проверки подлинности n8n и фактически обходят патч для CVE-2025-68613, еще одной критической уязвимости, исправленной 20 декабря.
По данным Pillar Security, использование CVE-2026-25049 позволяет полностью скомпрометировать экземпляр n8n и привести к выполнению произвольных системных команд на сервере, кражи учетных данных, секретов (ключей API, токенов OAuth) и файлов конфигурации.
Используя уязвимость, исследователи также смогли получить доступ к файловой системе и внутренним системам, перехватить подключенные облачные учетные записи и перехватить рабочие процессы ИИ.
Поскольку n8n представляет собой многопользовательскую среду, доступ к внутренним кластерным сервисам потенциально может позволить переключаться на данные других арендаторов.
Причем, как отмечает в Pillar Security, для реализации атаки не требуется ничего особенного: если вы сможете создать рабочий процесс, вы сможете захватить контроль над сервером.
21 декабря 2025 года Pillar продемонстрировала команде n8n цепочку обходных путей, позволяющую выйти из песочницы и получить доступ к глобальному объекту Node.js, что привело по итогу к RCE.
Исправление было внедрено два дня спустя, но в ходе дальнейшего анализа Pillar обнаружила его неполноту, поскольку второй способ обхода защиты с помощью другого механизма на основе эквивалентных операций продолжал работать.
Разработчики n8n подтвердили возможность обхода защиты 30 декабря, и в итоге 12 января 2026 года n8n выпустила версию 2.4.0, в которой проблема была устранена.
В свою очередь, исследователи Endor Labs также выявили обходные пути для проверки безопасности и проодемонстирировали уязвимость CVE-2026-25049 с помощью тривиального RCE-эксплойта.
Оказалось, что во всех версиях до 2.5.2 и 1.123.17 функция проверки подлинности предполагает, что ключи при доступе к свойствам представляют собой строки в коде, контролируемом злоумышленником.
Причем эта проверка отражена в типизации TypeScript, но не применяется во время выполнения, что создает уязвимость, связанную с путаницей типов, а это приводит к полному обходу механизмов контроля качества, позволяя осуществлять атаки с произвольным выполнением кода.
В своем отчете исследователи SecureLayer7 приводят технические подробности, которые позволили им добиться выполнения JavaScript на стороне сервера с использованием конструктора Function.
Кроме того, в отчете фигурирует описание PoC и подробный гайд по эуксплуатации.
CVE-2026-25049 была обнаружена в процессе анализа уязвимости CVE-2025-68613 и исправления для неё, разработанного n8n. Потребовалось более 150 неудачных попыток, чтобы разработать успешный способ обхода защиты.
Пользователям n8n следует обновить платформу до последней версии (в настоящее время - 1.123.17 и 2.5.2).
В ином случае воспользоваться разработанными мерами по смягчения последствий.
Pillar Security также рекомендует ротировать ключ шифрования и все учетные данные, хранящиеся на сервере, а также проверять рабочие процессы на наличие подозрительных выражений.
К настоящему время не фиксируется никаких публичных сообщений об использовании CVE-2026-25049.
Однако растущая популярность n8n, по-видимому, привлекает внимание киберподполья, особенно в контексте уязвимости Ni8mare (более 33 000 запросов, по данным GreyNoise, нацеленных на уязвимые для CVE-2026-21858 конечные точки n8n с 27 января по 3 февраля).
Уязвимости, отлеживаемые в совокупности как CVE-2026-25049, могут быть использованы любым авторизованным пользователем, имеющим право создавать или редактировать рабочие процессы, для выполнения RCE на сервере n8n.
Исследователи сразу нескольких ИБ-компаний сообщили о проблемах, которые связаны с механизмом проверки подлинности n8n и фактически обходят патч для CVE-2025-68613, еще одной критической уязвимости, исправленной 20 декабря.
По данным Pillar Security, использование CVE-2026-25049 позволяет полностью скомпрометировать экземпляр n8n и привести к выполнению произвольных системных команд на сервере, кражи учетных данных, секретов (ключей API, токенов OAuth) и файлов конфигурации.
Используя уязвимость, исследователи также смогли получить доступ к файловой системе и внутренним системам, перехватить подключенные облачные учетные записи и перехватить рабочие процессы ИИ.
Поскольку n8n представляет собой многопользовательскую среду, доступ к внутренним кластерным сервисам потенциально может позволить переключаться на данные других арендаторов.
Причем, как отмечает в Pillar Security, для реализации атаки не требуется ничего особенного: если вы сможете создать рабочий процесс, вы сможете захватить контроль над сервером.
21 декабря 2025 года Pillar продемонстрировала команде n8n цепочку обходных путей, позволяющую выйти из песочницы и получить доступ к глобальному объекту Node.js, что привело по итогу к RCE.
Исправление было внедрено два дня спустя, но в ходе дальнейшего анализа Pillar обнаружила его неполноту, поскольку второй способ обхода защиты с помощью другого механизма на основе эквивалентных операций продолжал работать.
Разработчики n8n подтвердили возможность обхода защиты 30 декабря, и в итоге 12 января 2026 года n8n выпустила версию 2.4.0, в которой проблема была устранена.
В свою очередь, исследователи Endor Labs также выявили обходные пути для проверки безопасности и проодемонстирировали уязвимость CVE-2026-25049 с помощью тривиального RCE-эксплойта.
Оказалось, что во всех версиях до 2.5.2 и 1.123.17 функция проверки подлинности предполагает, что ключи при доступе к свойствам представляют собой строки в коде, контролируемом злоумышленником.
Причем эта проверка отражена в типизации TypeScript, но не применяется во время выполнения, что создает уязвимость, связанную с путаницей типов, а это приводит к полному обходу механизмов контроля качества, позволяя осуществлять атаки с произвольным выполнением кода.
В своем отчете исследователи SecureLayer7 приводят технические подробности, которые позволили им добиться выполнения JavaScript на стороне сервера с использованием конструктора Function.
Кроме того, в отчете фигурирует описание PoC и подробный гайд по эуксплуатации.
CVE-2026-25049 была обнаружена в процессе анализа уязвимости CVE-2025-68613 и исправления для неё, разработанного n8n. Потребовалось более 150 неудачных попыток, чтобы разработать успешный способ обхода защиты.
Пользователям n8n следует обновить платформу до последней версии (в настоящее время - 1.123.17 и 2.5.2).
В ином случае воспользоваться разработанными мерами по смягчения последствий.
Pillar Security также рекомендует ротировать ключ шифрования и все учетные данные, хранящиеся на сервере, а также проверять рабочие процессы на наличие подозрительных выражений.
К настоящему время не фиксируется никаких публичных сообщений об использовании CVE-2026-25049.
Однако растущая популярность n8n, по-видимому, привлекает внимание киберподполья, особенно в контексте уязвимости Ni8mare (более 33 000 запросов, по данным GreyNoise, нацеленных на уязвимые для CVE-2026-21858 конечные точки n8n с 27 января по 3 февраля).
GitHub
n8n Remote Code Execution via Expression Injection
### Impact
n8n contains a critical Remote Code Execution (RCE) vulnerability in its workflow expression evaluation system. Under certain conditions, expressions supplied by authenticated users dur...
n8n contains a critical Remote Code Execution (RCE) vulnerability in its workflow expression evaluation system. Under certain conditions, expressions supplied by authenticated users dur...
По всей видимости, урегулировать отступные не удается: RansomHouse приступила к публикации файлов, украденных у Luxshare Precision Industry, ключевого поставщика Apple.
Утечка на DLS включает инженерные материалы, схемы печатных плат и конфиденциальные проектные документы, предположительно, связанные с Apple и крупными технологическими компаниями, в том числе NVIDIA, Tesla, LG и Geely.
Раскрытые материалы были опубликованы «пакетами с пруфами», часть из которых, как утверждается, содержат конфиденциальные 3D CAD-модели, чертежи, файлы Parasolid и данные по производству печатных плат.
RansomHouse также обвинила Luxshare в преднамеренном сокрытии утечки и предупредила, что дальнейшее игнорирование их требований повлечет новые утечки.
Хакеры пока не называют конкретную сумму выкупа и не назначают крайний срок его уплаты. В свою очередь, в упомянутых компаниях пока также никак не комментируют ситуацию.
Возможно, стороны близки к согласованию условий «сделки» на переговорном треке.
Но будем посмотреть.
Утечка на DLS включает инженерные материалы, схемы печатных плат и конфиденциальные проектные документы, предположительно, связанные с Apple и крупными технологическими компаниями, в том числе NVIDIA, Tesla, LG и Geely.
Раскрытые материалы были опубликованы «пакетами с пруфами», часть из которых, как утверждается, содержат конфиденциальные 3D CAD-модели, чертежи, файлы Parasolid и данные по производству печатных плат.
RansomHouse также обвинила Luxshare в преднамеренном сокрытии утечки и предупредила, что дальнейшее игнорирование их требований повлечет новые утечки.
Хакеры пока не называют конкретную сумму выкупа и не назначают крайний срок его уплаты. В свою очередь, в упомянутых компаниях пока также никак не комментируют ситуацию.
Возможно, стороны близки к согласованию условий «сделки» на переговорном треке.
Но будем посмотреть.
BI.ZONE выкатила результаты своего годового исследования ландшафта угроз.
В общей сложности киберразведка BI.ZONE в 2025 году отслеживала более 100 кластеров активности, нацеленных на Россию и страны СНГ.
На основе полученных данных и был подготовлен очередной выпуск ежегодного исследования - Threat Zone 2026.
Из основных прогнозов:
- Интенсивность кибератак существенно не снизится, вне зависимости от внешних факторов.
- Финансовая мотивация останется ключевой: ее доля в атаках снизилась до 47%, но в абсолютном выражении количество таких атак остается стабильно высоким. Поэтому вымогательство останется основным фокусом атак.
- ИИ поможет злоумышленникам автоматизировать атаки и компенсировать недостаток знаний. Но и защитники продолжат развивать собственные ИИ-инструменты.
- Злоумышленники продолжат искать «слабые звенья» - компании с низким уровнем зрелости, через которые можно атаковать более крупные организации.
- Фишинг никуда не исчезнет и продолжит эволюционировать: кроме электронной почты, атакующие будут активно использовать мессенджеры и соцсети.
- Тренд на применение общедоступных инструментов сохранится. Однако злоумышленники будут стараться выбирать как можно менее популярные и известные, чтобы снизить вероятность обнаружения.
- Никуда не исчезнут и легитимные инструменты: их продолжат использовать на всех этапах атаки. Как и данные из утечек для получения первоначального доступа.
Само исследование включает 8 глав и описывает весь цикл атаки - от получения первоначального доступа до воздействия на скомпрометированную инфраструктуру. Причем в каждой главе представлены рекомендации по защите от угроз.
Executive summary содержит ключевые выводы и годовую статистику по основным метрикам:
- Ожидаемо в лидерах по числу кибератак оказался госсектор (14%). На втором месте - финансовая отрасль (11%, чуть меньше, чем было год назад), на третьем - транспортно-логистическая отрасль и ритейл (включая электронную коммерцию): у них по 10%.
- Фишинг стали использовать чаще (64% атак по сравнению с 57% годом ранее), а эксплуатировать уязвимости в публично доступных приложениях - реже (всего 7% атак, а год назад было 13%).
- Самым популярным легитимным сервисом для передачи команд у атакующих стал Telegram. Продолжают также использовать стандартные протоколы, в том числе HTTP и HTTPS, чтобы проще было замаскировать активность под легитимный трафик.
В общем, будет что почитать этим вечером!
В общей сложности киберразведка BI.ZONE в 2025 году отслеживала более 100 кластеров активности, нацеленных на Россию и страны СНГ.
На основе полученных данных и был подготовлен очередной выпуск ежегодного исследования - Threat Zone 2026.
Из основных прогнозов:
- Интенсивность кибератак существенно не снизится, вне зависимости от внешних факторов.
- Финансовая мотивация останется ключевой: ее доля в атаках снизилась до 47%, но в абсолютном выражении количество таких атак остается стабильно высоким. Поэтому вымогательство останется основным фокусом атак.
- ИИ поможет злоумышленникам автоматизировать атаки и компенсировать недостаток знаний. Но и защитники продолжат развивать собственные ИИ-инструменты.
- Злоумышленники продолжат искать «слабые звенья» - компании с низким уровнем зрелости, через которые можно атаковать более крупные организации.
- Фишинг никуда не исчезнет и продолжит эволюционировать: кроме электронной почты, атакующие будут активно использовать мессенджеры и соцсети.
- Тренд на применение общедоступных инструментов сохранится. Однако злоумышленники будут стараться выбирать как можно менее популярные и известные, чтобы снизить вероятность обнаружения.
- Никуда не исчезнут и легитимные инструменты: их продолжат использовать на всех этапах атаки. Как и данные из утечек для получения первоначального доступа.
Само исследование включает 8 глав и описывает весь цикл атаки - от получения первоначального доступа до воздействия на скомпрометированную инфраструктуру. Причем в каждой главе представлены рекомендации по защите от угроз.
Executive summary содержит ключевые выводы и годовую статистику по основным метрикам:
- Ожидаемо в лидерах по числу кибератак оказался госсектор (14%). На втором месте - финансовая отрасль (11%, чуть меньше, чем было год назад), на третьем - транспортно-логистическая отрасль и ритейл (включая электронную коммерцию): у них по 10%.
- Фишинг стали использовать чаще (64% атак по сравнению с 57% годом ранее), а эксплуатировать уязвимости в публично доступных приложениях - реже (всего 7% атак, а год назад было 13%).
- Самым популярным легитимным сервисом для передачи команд у атакующих стал Telegram. Продолжают также использовать стандартные протоколы, в том числе HTTP и HTTPS, чтобы проще было замаскировать активность под легитимный трафик.
В общем, будет что почитать этим вечером!
BI.ZONE
Threat Zone 2026
Большое ежегодное исследование ландшафта киберугроз России и других стран СНГ
Forwarded from Social Engineering
• У разработчика Miner Search (тулза для поиска и уничтожения скрытых майнеров), есть интересный список инструментов, с помощью которых можно ручным подходом осуществить поиск вредоносов. Список следующий:
• Autoruns – бесплатный инструмент от Microsoft, чтобы выявить все возможные варианты автозапуска, что грузится вместе с виндой. Обязательно запускать от админа, чтобы видеть весь полный список.
• System Informer – Мощный опенсорсный инструмент для мониторинга процессов, потоков и модулей. Показывает дерево процессов, что от чего запускается. Кто-то может возразить, мол есть process explorer, но это кому как удобнее.
• Everything – опенсорсный инструмент, мгновенный поиск по файловой системе, в разы быстрее штатного поиска, встроенного в проводник. Можно искать как по файлам, так и по содержимому для документов. Вообщем, вещь удобная.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
Солары не отстают от своих коллег: в новом отчете представили свою аналитику с обзором веб-уязвимостей и эксплойтов за четвертый квартал и по итогам 2025 года.
Мониторинг осуществляется для своевременного создания детектирующих логик, которые впоследствии реализуются в продуктах и сервисах Солара. Параллельно накапливается статистика, которая позволяет понять, как меняется ландшафт угроз этого типа.
Отметим основные результаты за 4-й квартал, в рамках которого исследователи проанализировали 397 сообщений о новых уязвимостях и PoC для них в более чем 290 продуктах:
- Количество обнаруженных уязвимостей по сравнению с третьим кварталом выросло на 34,1% - с 296 до 397, что является самым высоким показателем обнаруженных уязвимостей за предыдущие кварталы 2025 года.
- Сетевой вектор имеют 81% уязвимостей, из них в 78,7% используется протокол HTTP. В третьем квартале эти показатели составляли 81,8% и 88% соответственно.
- Средний уровень критичности обнаруженных уязвимостей - 7,8 (такой же был и в третьем квартале).
- Самый уязвимый продукт квартала - WordPress и плагины для него (13,6%). Также второй квартал к ряду выявляются уязвимости в различных AI-сервисах. В топ уязвимых продуктов вошли React, Apache, продукты Fortinet, роутеры и другое сетевое оборудование.
- Большая часть (69,3%) обнаруженных сетевых уязвимостей имели уровень критичности High и Critical. В третьем квартале этот показатель составлял 67,3%.
- XXS, SQL-инъекция, неограниченная загрузка файла опасного типа, внедрение команды ОС, недостаточный контроль генерации кода (внедрение кода), некорректный контроль доступа - это наиболее часто обнаруживаемые типы уязвимостей в четвертом квартале 2025 года.
Если смотреть по году, то в числе основных результатов 2025 года Солары выделили следующие:
- В общей сложности было проанализировано более чем 1000 PoC для уязвимостей более чем в 680 продуктах.
- Самым уязвимым продуктом 2025 года стал WordPress в виду его обширной библиотеки сторонних плагинов и высокой популярности среди других CMS-платформ. За год было зафиксировано примерно 140 PoC-эксплойтов.
- Около 70% всех сетевых уязвимостей имели высокую или критическую степень риска.
- Самыми распространенными типами уязвимостей стали: недостаточная нейтрализация ввода при формировании веб-страницы (XSS), недостаточная нейтрализация специальных элементов в SQL-запросах, CSRF и неограниченная загрузка файлов опасного типа.
Итоговые данные показывают, что за год количество новых уязвимостей и их PoC только росло. С одной стороны, это свидетельствует об активности сообщества исследователей безопасности продуктов, с другой - о систематических проблемах в некотором ПО.
Одним из ключевых трендов года стало обнаружение уязвимостей в AI-сервисах. В контексте ИИ пока речь идет об угрозах, связанных с конфиденциальными данными пользователей, но 2026-й обещает быть годом активного внедрения в ПО технологий ИИ, и в частности ИИ-агентов.
Инфографика и все подробности - в отчете.
Мониторинг осуществляется для своевременного создания детектирующих логик, которые впоследствии реализуются в продуктах и сервисах Солара. Параллельно накапливается статистика, которая позволяет понять, как меняется ландшафт угроз этого типа.
Отметим основные результаты за 4-й квартал, в рамках которого исследователи проанализировали 397 сообщений о новых уязвимостях и PoC для них в более чем 290 продуктах:
- Количество обнаруженных уязвимостей по сравнению с третьим кварталом выросло на 34,1% - с 296 до 397, что является самым высоким показателем обнаруженных уязвимостей за предыдущие кварталы 2025 года.
- Сетевой вектор имеют 81% уязвимостей, из них в 78,7% используется протокол HTTP. В третьем квартале эти показатели составляли 81,8% и 88% соответственно.
- Средний уровень критичности обнаруженных уязвимостей - 7,8 (такой же был и в третьем квартале).
- Самый уязвимый продукт квартала - WordPress и плагины для него (13,6%). Также второй квартал к ряду выявляются уязвимости в различных AI-сервисах. В топ уязвимых продуктов вошли React, Apache, продукты Fortinet, роутеры и другое сетевое оборудование.
- Большая часть (69,3%) обнаруженных сетевых уязвимостей имели уровень критичности High и Critical. В третьем квартале этот показатель составлял 67,3%.
- XXS, SQL-инъекция, неограниченная загрузка файла опасного типа, внедрение команды ОС, недостаточный контроль генерации кода (внедрение кода), некорректный контроль доступа - это наиболее часто обнаруживаемые типы уязвимостей в четвертом квартале 2025 года.
Если смотреть по году, то в числе основных результатов 2025 года Солары выделили следующие:
- В общей сложности было проанализировано более чем 1000 PoC для уязвимостей более чем в 680 продуктах.
- Самым уязвимым продуктом 2025 года стал WordPress в виду его обширной библиотеки сторонних плагинов и высокой популярности среди других CMS-платформ. За год было зафиксировано примерно 140 PoC-эксплойтов.
- Около 70% всех сетевых уязвимостей имели высокую или критическую степень риска.
- Самыми распространенными типами уязвимостей стали: недостаточная нейтрализация ввода при формировании веб-страницы (XSS), недостаточная нейтрализация специальных элементов в SQL-запросах, CSRF и неограниченная загрузка файлов опасного типа.
Итоговые данные показывают, что за год количество новых уязвимостей и их PoC только росло. С одной стороны, это свидетельствует об активности сообщества исследователей безопасности продуктов, с другой - о систематических проблемах в некотором ПО.
Одним из ключевых трендов года стало обнаружение уязвимостей в AI-сервисах. В контексте ИИ пока речь идет об угрозах, связанных с конфиденциальными данными пользователей, но 2026-й обещает быть годом активного внедрения в ПО технологий ИИ, и в частности ИИ-агентов.
Инфографика и все подробности - в отчете.
rt-solar.ru
Уязвимости веб-приложений: итоги 2025 года и 4 квартала | Отчет Solar 4RAYS
Анализ веб-уязвимостей за 2025 год: 1000+ PoC, рост на 34% в 4 кв. Статистика по WordPress, AI-сервисам, React, Apache. Рейтинг угроз: XSS, SQL-инъекции, CSRF. Отчет Solar 4RAYS
Не оставим без внимания и F6, которая опубликовала свой ежегодный отчет об угрозах с аналитикой и прогнозами, отразив кто атакует бизнес в России и Белоруссии, какие сценарии были рабочими в прошлом году и к чему готовиться уже сейчас.
Подробный отчет, как отмечают исследователи, послужит практическим руководством для планирования проактивной киберзащиты и определенно будет полезен для руководителей подразделений ИБ, аналитиков SOC, CERT, специалистов по реагированию на инциденты, Threat Intelligence и Threat Hunting.
Согласно исследованию, в России фокус сместился с массовых атак на нанесение максимального ущерба: остановку бизнеса, получение многомиллионных выкупов, кражу чувствительных данных.
В отличие от общемирового тренда - без лишнего шума закрепиться в инфраструктуре, прошлогодние атаки на российские транспортные компании и торговые сети были очень громкими, сопровождались публикацией утечек, вбросами и кампаниями по дискредитации пострадавших.
В 2026 году количество атакующих групп будет расти, как и ущерб от их деятельности, в том числе суммы выкупов за расшифровку данных.
Ключевые тезисы из отчета:
- В 2025 году F6 зафиксировала 250 новых случаев публичных утечек баз данных стран СНГ. Суммарно утечки баз данных за 2025 год содержали 760+ млн строк с данными российских пользователей. Из них 315 млн записей содержали электронные адреса и 156 млн - пароли.
- Раскрыты 7 новых APT: Silent Lynx, Telemancon, Mythic Likho, NGC6061, NGC4141, SkyCloak, NGC5081. Из 27 отлеживаемых компанией групп, нацеленных на СНГ, 24 атаковали Россию, 8 - Беларусь.
- Количество ransomware-атак выросло на 15% год к году. Рекорд по сумме выкупа поставили CyberSec’s, потребовавшие 50 BTC (около 500 млн руб.).
- В среднем суммы первоначального выкупа за расшифровку данных колебались от 4 млн до 40 млн руб. Также более 10 хактивистских группировок отметились хотя бы одной атакой с использованием ransomware. В 2026 году эта тенденция продолжится.
Исследование также показывает, что:
- в 2026 году в условиях геополитического конфликта кибератаки на организации будут усиливаться;
- число атакующих группировок и наносимый ими ущерб будут расти;
- вымогатели и APT-группы успешно заимствуют тактики друг у друга;
- политически мотивированные группы всё чаще шифруют данные жертв с требованием выкупа.
Подробнее об основных трендах с инфографикой и статистикой - в отчете.
Подробный отчет, как отмечают исследователи, послужит практическим руководством для планирования проактивной киберзащиты и определенно будет полезен для руководителей подразделений ИБ, аналитиков SOC, CERT, специалистов по реагированию на инциденты, Threat Intelligence и Threat Hunting.
Согласно исследованию, в России фокус сместился с массовых атак на нанесение максимального ущерба: остановку бизнеса, получение многомиллионных выкупов, кражу чувствительных данных.
В отличие от общемирового тренда - без лишнего шума закрепиться в инфраструктуре, прошлогодние атаки на российские транспортные компании и торговые сети были очень громкими, сопровождались публикацией утечек, вбросами и кампаниями по дискредитации пострадавших.
В 2026 году количество атакующих групп будет расти, как и ущерб от их деятельности, в том числе суммы выкупов за расшифровку данных.
Ключевые тезисы из отчета:
- В 2025 году F6 зафиксировала 250 новых случаев публичных утечек баз данных стран СНГ. Суммарно утечки баз данных за 2025 год содержали 760+ млн строк с данными российских пользователей. Из них 315 млн записей содержали электронные адреса и 156 млн - пароли.
- Раскрыты 7 новых APT: Silent Lynx, Telemancon, Mythic Likho, NGC6061, NGC4141, SkyCloak, NGC5081. Из 27 отлеживаемых компанией групп, нацеленных на СНГ, 24 атаковали Россию, 8 - Беларусь.
- Количество ransomware-атак выросло на 15% год к году. Рекорд по сумме выкупа поставили CyberSec’s, потребовавшие 50 BTC (около 500 млн руб.).
- В среднем суммы первоначального выкупа за расшифровку данных колебались от 4 млн до 40 млн руб. Также более 10 хактивистских группировок отметились хотя бы одной атакой с использованием ransomware. В 2026 году эта тенденция продолжится.
Исследование также показывает, что:
- в 2026 году в условиях геополитического конфликта кибератаки на организации будут усиливаться;
- число атакующих группировок и наносимый ими ущерб будут расти;
- вымогатели и APT-группы успешно заимствуют тактики друг у друга;
- политически мотивированные группы всё чаще шифруют данные жертв с требованием выкупа.
Подробнее об основных трендах с инфографикой и статистикой - в отчете.
F6
Аналитика и прогнозы
2025–2026 - F6
2025–2026 - F6
Разбор реальных атак на бизнес: фишинг, скам, APT, утечки данных, мобильные угрозы и прогноз развития угроз на 2026 год
Специалисты Anthropic сообщают о выпуске новейшей продвинутой LLM Claude Opus 4.6, которая смогла обнаружила более 500 ранее неизвестных серьезных уязвимостей в библиотеках с открытым исходным кодом, включая Ghostscript, OpenSC и CGIF.
В Claude Opus 4.6 впервые появились полноценные команды ИИ-агентов, способные параллельно и автономно решать задачи, требующие большого объёма чтения, включая проверку кодовой базы.
Разработчики Anthropic официально заявляют, что новинка «занимает первое место среди всех остальных передовых моделей на Humanity’s Last Exam, комплексном междисциплинарном тесте на рассуждение».
Модель "значительно лучше" справляется с обнаружением уязвимостей, не требуя каких-либо специализированных инструментов, пользовательской структуры или специальных подсказок, что позволяет ее эффективно задействовать для поиска и устранения уязвимостей в опенсорсе.
Opus 4.6 способна читать и анализировать код почти так же, как если бы это делал бы исследователь: изучает предыдущие исправления, чтобы найти похожие ошибки, которые не были устранены, выявляет закономерности, которые обычно вызывают проблемы, или понимает логический фрагмент достаточно хорошо, чтобы точно знать, какой входной параметр приведет к его сбою.
Команда разработчиков протестировала модель в виртуализированной среде, предоставив ей необходимые инструменты (отладчики и фаззеры), для поиска уязвимостей в проектах с открытым исходным кодом.
Основная идея заключалась в оценке возможностей модели «из коробки» без предварительного промпт-инжиниринга. Anthropic утверждает, что каждая находка была верифицирована штатной командой безопасности или независимыми ресерчерами.
Среди уязвимостей, выявленных в Claude Opus 4.6 и впоследствии исправленных разработчиками:
- Анализ истории коммитов Git позволил выявить уязвимость в Ghostscript, которая может привести к сбою из-за отсутствия проверки границ.
- Поиск вызовов функций типа strrchr() и strcat() выявил уязвимости переполнения буфера в OpenSC.
- Уязвимость переполнения буфера в куче в CGIF (исправлена в версии 0.5.1).
Последняя уязвимость особенно интересна, поскольку для ее активации требуется концептуальное понимание алгоритма LZW и его связи с форматом файлов GIF.
Традиционные фаззеры (и даже фаззеры, управляемые покрытием кода) с трудом выявляют уязвимости такого рода, поскольку требуют выбора определенных ветвей. Кроме того, для ее использования требуется очень специфическая последовательность операций.
Anthropic позиционирует модели ИИ, такие как Claude, в качестве важнейшего инструмента, позволяющего уровнять шансы «в гонке между защитниками и атакующими», ожидая, что Opus 4.6 и новые модели станут «одним из главных способов обеспечения безопасности открытого ПО.
Определенно, можно рассматривать Opus 4.6 как «огромную победу» для ИБ-сообщества, исторически испытывающего трудности по части обеспечения безопасности цепочек поставок в open-source.
Тем не менее, вопросы предотвращения злоупотреблений также остаются на повестке.
Ведь, как помнится, Anthropic ранее отмечала, что ее модели Claude могут успешно проводить многоэтапные атаки на сети с десятками хостов, полагаясь только на стандартные инструменты с открытым исходным кодом, в том числе путем обнаружения и эксплуатации известных уязвимостей.
В Claude Opus 4.6 впервые появились полноценные команды ИИ-агентов, способные параллельно и автономно решать задачи, требующие большого объёма чтения, включая проверку кодовой базы.
Разработчики Anthropic официально заявляют, что новинка «занимает первое место среди всех остальных передовых моделей на Humanity’s Last Exam, комплексном междисциплинарном тесте на рассуждение».
Модель "значительно лучше" справляется с обнаружением уязвимостей, не требуя каких-либо специализированных инструментов, пользовательской структуры или специальных подсказок, что позволяет ее эффективно задействовать для поиска и устранения уязвимостей в опенсорсе.
Opus 4.6 способна читать и анализировать код почти так же, как если бы это делал бы исследователь: изучает предыдущие исправления, чтобы найти похожие ошибки, которые не были устранены, выявляет закономерности, которые обычно вызывают проблемы, или понимает логический фрагмент достаточно хорошо, чтобы точно знать, какой входной параметр приведет к его сбою.
Команда разработчиков протестировала модель в виртуализированной среде, предоставив ей необходимые инструменты (отладчики и фаззеры), для поиска уязвимостей в проектах с открытым исходным кодом.
Основная идея заключалась в оценке возможностей модели «из коробки» без предварительного промпт-инжиниринга. Anthropic утверждает, что каждая находка была верифицирована штатной командой безопасности или независимыми ресерчерами.
Среди уязвимостей, выявленных в Claude Opus 4.6 и впоследствии исправленных разработчиками:
- Анализ истории коммитов Git позволил выявить уязвимость в Ghostscript, которая может привести к сбою из-за отсутствия проверки границ.
- Поиск вызовов функций типа strrchr() и strcat() выявил уязвимости переполнения буфера в OpenSC.
- Уязвимость переполнения буфера в куче в CGIF (исправлена в версии 0.5.1).
Последняя уязвимость особенно интересна, поскольку для ее активации требуется концептуальное понимание алгоритма LZW и его связи с форматом файлов GIF.
Традиционные фаззеры (и даже фаззеры, управляемые покрытием кода) с трудом выявляют уязвимости такого рода, поскольку требуют выбора определенных ветвей. Кроме того, для ее использования требуется очень специфическая последовательность операций.
Anthropic позиционирует модели ИИ, такие как Claude, в качестве важнейшего инструмента, позволяющего уровнять шансы «в гонке между защитниками и атакующими», ожидая, что Opus 4.6 и новые модели станут «одним из главных способов обеспечения безопасности открытого ПО.
Определенно, можно рассматривать Opus 4.6 как «огромную победу» для ИБ-сообщества, исторически испытывающего трудности по части обеспечения безопасности цепочек поставок в open-source.
Тем не менее, вопросы предотвращения злоупотреблений также остаются на повестке.
Ведь, как помнится, Anthropic ранее отмечала, что ее модели Claude могут успешно проводить многоэтапные атаки на сети с десятками хостов, полагаясь только на стандартные инструменты с открытым исходным кодом, в том числе путем обнаружения и эксплуатации известных уязвимостей.
GitHub
Release v0.5.1 · dloebl/cgif
Fix potential heap buffer overflow during LZW compression
Full Changelog: v0.5.0...v0.5.1
Full Changelog: v0.5.0...v0.5.1
Исследователи Sophos в ходе расследования недавних инцидентов с программой-вымогателем WantToCry заметили, что операторы ransomware зачастую размещают и распространяют вредоносные ПО, используя виртуальные машины от легитимного поставщика ISPsystem.
Они обнаружили, что злоумышленники использовали виртуальные машины Windows с идентичными именами хостов, что указывает на использование шаблонов по умолчанию, созданных VMmanager от ISPsystem.
Более тщательное изучение показало, что одни и те же имена хостов присутствовали в инфраструктуре сразу нескольких операторов, включая LockBit, Qilin, Conti, BlackCat/ALPHV и Ursnif, а также в различных кампаниях с использованием инфостилеров RedLine и Lummar.
ISPsystem - это компания-разработчик ПО, специализирующаяся на создании панели управления для хостинг-провайдеров, обеспечивающих управление виртуальными серверами, обслуживание операционных систем и т.д.
В свою очередь, VMmanager - это платформа управления виртуализацией, используемая для запуска виртуальных машин Windows или Linux для клиентов.
Исследователи Sophos отметили, что в стандартных шаблонах Windows VMmanager при каждом развертывании используются одни и те же имена хостов и системные идентификаторы.
Провайдеры хостинга, которые сознательно поддерживают киберпреступления и игнорируют запросы на удаление, пользуются этой уязвимостью в своей конструкции.
Они позволяют злоумышленникам запускать виртуальные машины через VMmanager для управления и контроля (C2) и доставки вредоносного ПО, что по сути, скрывает вредоносные системы, усложняет установление авторства и оперативное удаление вредоносного ПО.
Большинство вредоносных виртуальных машин размещались у небольшой группы провайдеров с неблагонадежной репутацией или находящихся под санкциями, включая Stark Industries Solutions Ltd., Zomro BV, First Server Limited, Partner Hosting LTD и JSC IOT.
Sophos также вышла на провайдера MasterRDP, имеющего прямой контроль над физической инфраструктурой, который использует VMmanager для обхода защиты и предлагает услуги VPS и RDP, не соответствующие требованиям законодательства.
По данным Sophos, на четыре наиболее распространенных IP-адреса ISPsystem приходится «более 95% от общего числа виртуальных машин ISPsystem, доступных из интернета»: WIN-LIVFRVQFMKO, WIN-LIVFRVQFMKO, WIN-344VU98D3RU и WIN-J9D866ESIJ2.
Все они присутствовали либо в данных обнаружения клиентов, либо в телеметрических данных, связанных с деятельностью киберпреступников.
Исследователи отмечают, что, являясь легитимной платформой для управления виртуализацией, ISPsystem VMmanager достаточно привлекательна и для киберпреступников в виду «низкой стоимости, низкого порога входа и возможности развертывания «под ключ».
В самой ISPsystem пока никак не комментируют результаты исследования.
Они обнаружили, что злоумышленники использовали виртуальные машины Windows с идентичными именами хостов, что указывает на использование шаблонов по умолчанию, созданных VMmanager от ISPsystem.
Более тщательное изучение показало, что одни и те же имена хостов присутствовали в инфраструктуре сразу нескольких операторов, включая LockBit, Qilin, Conti, BlackCat/ALPHV и Ursnif, а также в различных кампаниях с использованием инфостилеров RedLine и Lummar.
ISPsystem - это компания-разработчик ПО, специализирующаяся на создании панели управления для хостинг-провайдеров, обеспечивающих управление виртуальными серверами, обслуживание операционных систем и т.д.
В свою очередь, VMmanager - это платформа управления виртуализацией, используемая для запуска виртуальных машин Windows или Linux для клиентов.
Исследователи Sophos отметили, что в стандартных шаблонах Windows VMmanager при каждом развертывании используются одни и те же имена хостов и системные идентификаторы.
Провайдеры хостинга, которые сознательно поддерживают киберпреступления и игнорируют запросы на удаление, пользуются этой уязвимостью в своей конструкции.
Они позволяют злоумышленникам запускать виртуальные машины через VMmanager для управления и контроля (C2) и доставки вредоносного ПО, что по сути, скрывает вредоносные системы, усложняет установление авторства и оперативное удаление вредоносного ПО.
Большинство вредоносных виртуальных машин размещались у небольшой группы провайдеров с неблагонадежной репутацией или находящихся под санкциями, включая Stark Industries Solutions Ltd., Zomro BV, First Server Limited, Partner Hosting LTD и JSC IOT.
Sophos также вышла на провайдера MasterRDP, имеющего прямой контроль над физической инфраструктурой, который использует VMmanager для обхода защиты и предлагает услуги VPS и RDP, не соответствующие требованиям законодательства.
По данным Sophos, на четыре наиболее распространенных IP-адреса ISPsystem приходится «более 95% от общего числа виртуальных машин ISPsystem, доступных из интернета»: WIN-LIVFRVQFMKO, WIN-LIVFRVQFMKO, WIN-344VU98D3RU и WIN-J9D866ESIJ2.
Все они присутствовали либо в данных обнаружения клиентов, либо в телеметрических данных, связанных с деятельностью киберпреступников.
Исследователи отмечают, что, являясь легитимной платформой для управления виртуализацией, ISPsystem VMmanager достаточно привлекательна и для киберпреступников в виду «низкой стоимости, низкого порога входа и возможности развертывания «под ключ».
В самой ISPsystem пока никак не комментируют результаты исследования.
Sophos News
Malicious use of virtual machine infrastructure
Bulletproof hosting providers are abusing the legitimate ISPsystem infrastructure to supply virtual machines to cybercriminals
SmarterTools, разработчик почтового сервера SmarterMail, подвергся хакерской атаке в виду уязвимости в собственном продукте. Инцидент приключился в конце прошлого месяца, 29 января.
Орудовали операторы Warlock, которой удалось взломать 30 почтовых серверов, работающих в офисной сети компании и ЦОДе, используемом для контроля качества.
Группа является очень продвинутым и опытным злоумышленником, отслеживается как Gold Salem (Sophos) и Storm-2603 (Microsoft). Считается, что действует из Китая, а программу-вымогатель Warlock начали применять в своих атаках в марте прошлого года.
Они же являются одними из первых, кто впервые нацеливался на ToolShell в рамках 0-day атак на серверы SharePoint в июле прошлого года.
По данным Fortinet, TTPs группы сочетают в себе методы кибершпионажа с действиями традиционной киберпреступности, используя загрузку DLL-файлов, перехват DLL-файлов, структуру управления и контроля AK47 и BYOVD для уклонения от обнаружения.
Как отмечают в Sophos, GOLD SALEM публично не светилась до июня 2025 года, когда на RAMP появилось сообщение от представителя группы с просьбой расшарить эксплойты для распространенных корпоративных приложений (Veeam, ESXi, SharePoint) и инструменты для нейтрализации EDR и других средств безопасности, а также посотрудничать с IAB.
Помимо Warlock, группа также использовала другие штаммы, такие как LockBit Black (LockBit 3.0) и X2ANYLOCK (AK47). На данный момент на их DLS указано около 80 жертв.
Операционный директор SmarterTools Дерек Кертис отметил, что точкой входа стала виртуальная машина, которая не была обновлена и позволила хакерам проникнуть в сеть и затем распространиться на другие серверы.
Защитные решения SentinelOne успели вовремя детектировать угрозу и заблокировать ransomware при попытке позашифровать данные.
В результате вторжения центр поддержки Portal компании вышел из строя, но, по словам руководителя, сегментация сети предотвратила доступ хакеров к другим системам.
SmarterTools не уточнила, какую именно уязвимость задействовали хакеры, но начало года для компании выдалось непростым: сразу три уязвимости в SmarterMail были добавлены в базу данных CISA KEV как активно эксплуатируемые.
При этом из этих трех только CVE-2026-24423 отмечена как «используемая в кампаниях вымогателей». По всей видимости, именно ее Warlock использовала в ходе атаки.
Она позволяет обойти аутентификацию и сбросить пароли администратора. Была обнаружена WatchTowr Labs и раскрыта за неделю до того, как хакеры использовали её для взлома самой системы SmarterTools. Исправлена вышли 15 января, за две недели до взлома SmarterTools.
Так или иначе будем следить.
Орудовали операторы Warlock, которой удалось взломать 30 почтовых серверов, работающих в офисной сети компании и ЦОДе, используемом для контроля качества.
Группа является очень продвинутым и опытным злоумышленником, отслеживается как Gold Salem (Sophos) и Storm-2603 (Microsoft). Считается, что действует из Китая, а программу-вымогатель Warlock начали применять в своих атаках в марте прошлого года.
Они же являются одними из первых, кто впервые нацеливался на ToolShell в рамках 0-day атак на серверы SharePoint в июле прошлого года.
По данным Fortinet, TTPs группы сочетают в себе методы кибершпионажа с действиями традиционной киберпреступности, используя загрузку DLL-файлов, перехват DLL-файлов, структуру управления и контроля AK47 и BYOVD для уклонения от обнаружения.
Как отмечают в Sophos, GOLD SALEM публично не светилась до июня 2025 года, когда на RAMP появилось сообщение от представителя группы с просьбой расшарить эксплойты для распространенных корпоративных приложений (Veeam, ESXi, SharePoint) и инструменты для нейтрализации EDR и других средств безопасности, а также посотрудничать с IAB.
Помимо Warlock, группа также использовала другие штаммы, такие как LockBit Black (LockBit 3.0) и X2ANYLOCK (AK47). На данный момент на их DLS указано около 80 жертв.
Операционный директор SmarterTools Дерек Кертис отметил, что точкой входа стала виртуальная машина, которая не была обновлена и позволила хакерам проникнуть в сеть и затем распространиться на другие серверы.
Защитные решения SentinelOne успели вовремя детектировать угрозу и заблокировать ransomware при попытке позашифровать данные.
В результате вторжения центр поддержки Portal компании вышел из строя, но, по словам руководителя, сегментация сети предотвратила доступ хакеров к другим системам.
SmarterTools не уточнила, какую именно уязвимость задействовали хакеры, но начало года для компании выдалось непростым: сразу три уязвимости в SmarterMail были добавлены в базу данных CISA KEV как активно эксплуатируемые.
При этом из этих трех только CVE-2026-24423 отмечена как «используемая в кампаниях вымогателей». По всей видимости, именно ее Warlock использовала в ходе атаки.
Она позволяет обойти аутентификацию и сбросить пароли администратора. Была обнаружена WatchTowr Labs и раскрыта за неделю до того, как хакеры использовали её для взлома самой системы SmarterTools. Исправлена вышли 15 января, за две недели до взлома SmarterTools.
Так или иначе будем следить.
Sophos
GOLD SALEM tradecraft for deploying Warlock ransomware
Analysis of the tradecraft evolution across 6 months and 11 incidents
Исследователи Palo Alto Networks сообщают об обнаружении новой APT, действующей из Азии, которая за последний год взломала сети как минимум 70 правительственных организаций и объектов КИИ в 37 странах.
Причем в период с ноября по декабрь 2025 года группа проводила активную разведку правительственной инфраструктуры более 155 стран.
Среди организаций, которые были взломаны, - пять национальных правоохранительных органов и пограничных служб, три министерства финансов и другие правительственные учреждения и ведомства, связанные с экономикой, торговлей, природными ресурсами и дипслужбой.
Деятельность этой группы отслеживается компанией как TGR-STA-1030. Имеющиеся данные свидетельствуют о том, что она активная как минимум с января 2024 года.
Хотя страна происхождения хакеров остается неясной, предполагается, что они азиатского происхождения, учитывая использование региональных инструментов и сервисов, предпочтения в выборе языка, целевую аудиторию, соответствующую событиям и разведывательным данным, представляющим интерес для региона, а также часы работы по Гринвичу (GMT+8).
Как отмечают в Palo Alto Networks, злоумышленник успешно получил доступ к почтовым серверам жертв и похитил оттуда конфиденциальные данные, которые среди прочего включали финансовую переписку, данные по контрактам, банковские и учетные данные, а также важные оперативные сводки, касающиеся военных операций.
Цепочка заражения начинается с фишингового письма, посредством которого получателей побуждают перейти по ссылке на новозеландский файловый хостинг MEGA, где размещается ZIP-архив с исполняемым файлом Diaoyu Loader, а также файл pic1.png размером в 0 байт.
Вредоносная ПО использует двухступенчатую систему защиты от автоматического анализа в песочнице. Помимо аппаратных требований к горизонтальному разрешению экрана, равному или превышающему 1440, образец выполняет проверку зависимостей среды для конкретного файла (pic1.png) в каталоге выполнения.
Изображение в формате PNG служит для проверки целостности файла, что приводит к завершению работы вредоносной ПО перед началом ее активности в случае, если оно отсутствует в том же месте.
Только после выполнения этого условия вредоносная ПО проверяет наличие определенных защитных решений от Avira (SentryEye.exe), Bitdefender (EPSecurityService.exe), Kaspersky (Avp.exe), Sentinel One (SentinelUI.exe) и Symantec (NortonSecurity.exe). При этом непонятно, почему только эти.
Конечная цель загрузчика - доставка трех изображений (admin-bar-sprite.png, Linux.jpg и Windows.jpg) из репозитория GitHub под названием WordPress, которые служат каналом для развертывания полезной нагрузки Cobalt Strike.
Кроме того, TGR-STA-1030 пыталась использовать различные 0-day, затрагивающие большое количество программных решений Microsoft, SAP, Atlassian, Ruijieyi Networks, Commvault и Eyou Email System, чтобы получить первоначальный доступ к целевым сетям. Однако доказательств разработки или задействования каких-либо эксплойтов не получено.
Среди инструментария злоумышленников: C2-фреймворки (Cobalt Strike. VShell, Havoc, Sliver, SparkRAT), веб-оболочки (Behinder, neo-reGeorg, Godzilla), средства тунелирования (GO Simple Tunnel (GOST), Fast Reverse Proxy Server (FRPS) и IOX).
Стоит отметить, что использование упомянутых веб-оболочек часто связывают с китайскими хакерскими группами.
Еще один примечательный инструмент - руткит ядра Linux под кодовым названием ShadowGuard, который использует Extended Berkeley Packet Filter (eBPF) для перехвата критически важных системных вызовов с целью скрытия определенных процессов от инструментов анализа, таких как ps, а также для сокрытия каталогов и файлов с именем swsecret.
Группа регулярно арендует и настраивает свои серверы С2 на инфраструктуре, принадлежащей различным легитимным и широко известным провайдерам VPS. Для подключения к С2 арендует дополнительную инфраструктуру VPS, которую использует для ретрансляции трафика.
Технические подробности и IOCs - в отчете.
Причем в период с ноября по декабрь 2025 года группа проводила активную разведку правительственной инфраструктуры более 155 стран.
Среди организаций, которые были взломаны, - пять национальных правоохранительных органов и пограничных служб, три министерства финансов и другие правительственные учреждения и ведомства, связанные с экономикой, торговлей, природными ресурсами и дипслужбой.
Деятельность этой группы отслеживается компанией как TGR-STA-1030. Имеющиеся данные свидетельствуют о том, что она активная как минимум с января 2024 года.
Хотя страна происхождения хакеров остается неясной, предполагается, что они азиатского происхождения, учитывая использование региональных инструментов и сервисов, предпочтения в выборе языка, целевую аудиторию, соответствующую событиям и разведывательным данным, представляющим интерес для региона, а также часы работы по Гринвичу (GMT+8).
Как отмечают в Palo Alto Networks, злоумышленник успешно получил доступ к почтовым серверам жертв и похитил оттуда конфиденциальные данные, которые среди прочего включали финансовую переписку, данные по контрактам, банковские и учетные данные, а также важные оперативные сводки, касающиеся военных операций.
Цепочка заражения начинается с фишингового письма, посредством которого получателей побуждают перейти по ссылке на новозеландский файловый хостинг MEGA, где размещается ZIP-архив с исполняемым файлом Diaoyu Loader, а также файл pic1.png размером в 0 байт.
Вредоносная ПО использует двухступенчатую систему защиты от автоматического анализа в песочнице. Помимо аппаратных требований к горизонтальному разрешению экрана, равному или превышающему 1440, образец выполняет проверку зависимостей среды для конкретного файла (pic1.png) в каталоге выполнения.
Изображение в формате PNG служит для проверки целостности файла, что приводит к завершению работы вредоносной ПО перед началом ее активности в случае, если оно отсутствует в том же месте.
Только после выполнения этого условия вредоносная ПО проверяет наличие определенных защитных решений от Avira (SentryEye.exe), Bitdefender (EPSecurityService.exe), Kaspersky (Avp.exe), Sentinel One (SentinelUI.exe) и Symantec (NortonSecurity.exe). При этом непонятно, почему только эти.
Конечная цель загрузчика - доставка трех изображений (admin-bar-sprite.png, Linux.jpg и Windows.jpg) из репозитория GitHub под названием WordPress, которые служат каналом для развертывания полезной нагрузки Cobalt Strike.
Кроме того, TGR-STA-1030 пыталась использовать различные 0-day, затрагивающие большое количество программных решений Microsoft, SAP, Atlassian, Ruijieyi Networks, Commvault и Eyou Email System, чтобы получить первоначальный доступ к целевым сетям. Однако доказательств разработки или задействования каких-либо эксплойтов не получено.
Среди инструментария злоумышленников: C2-фреймворки (Cobalt Strike. VShell, Havoc, Sliver, SparkRAT), веб-оболочки (Behinder, neo-reGeorg, Godzilla), средства тунелирования (GO Simple Tunnel (GOST), Fast Reverse Proxy Server (FRPS) и IOX).
Стоит отметить, что использование упомянутых веб-оболочек часто связывают с китайскими хакерскими группами.
Еще один примечательный инструмент - руткит ядра Linux под кодовым названием ShadowGuard, который использует Extended Berkeley Packet Filter (eBPF) для перехвата критически важных системных вызовов с целью скрытия определенных процессов от инструментов анализа, таких как ps, а также для сокрытия каталогов и файлов с именем swsecret.
Группа регулярно арендует и настраивает свои серверы С2 на инфраструктуре, принадлежащей различным легитимным и широко известным провайдерам VPS. Для подключения к С2 арендует дополнительную инфраструктуру VPS, которую использует для ретрансляции трафика.
Технические подробности и IOCs - в отчете.
Unit 42
The Shadow Campaigns: Uncovering Global Espionage
In 2025 a threat group compromised government and critical infrastructure in 37 countries, with reconnaissance in 155.
Исследователи Flare раскрывают масштабную кампанию с использованием червя и React2Shell (CVE-2025-55182, CVSS: 10.0), нацеленную на облачные среды с целью создания вредоносной инфраструктуры для последующей эксплуатации.
Вредоносная активность попала в поле зрения исследователей 25 декабря 2025 года. Flare приписала ее TeamPCP (DeadCatx3, PCPcat, PersyPCP и ShellForce), которая активна с ноября 2025 года и упоминалась в декабре 2025 года под названием Operation PCPcat у Beelzebub.
При этом первое упоминание в Telegram датируется 30 июля 2025 года. С тех пор группа системно публикует украденные данные различных жертв из Канады, Сербии, Южной Кореи, ОАЭ и США.
Как полагают исследователи, цели кампании заключаются в создании распределенной инфраструктуры прокси-серверов и сканирования с последующим взломом серверов для кражи данных, развертывания ransomware, вымогательства и майнинга крипты.
TeamPCP функционирует как облачная платформа для киберпреступности, используя неправильно настроенные API Docker, API Kubernetes, панели мониторинга Ray, серверы Redis и уязвимые приложения React/Next.js в качестве основных путей заражения для взлома современной облачной инфраструктуры с целью кражи данных и вымогательства.
Кроме того, скомпрометированная инфраструктура используется в самых разных целях, от майнинга крипты и размещения данных до прокси-серверов и средств C2.
TeamPCP опирается на проверенные временем методы атак, такие как существующие инструменты, распространенные уязвимости и ошибки конфигурации, которые позволяют формировать операторам платформу для эксплуатации с «автоматизацией и индустриализацией» всего процесса.
Как отмечают Flare, это, в свою очередь, превращает уязвимую инфраструктуру в «самовоспроизводящуюся криминальную экосистему».
Успешная эксплуатация открывает путь для развертывания полезных нагрузок следующего этапа с внешних серверов, включая скрипты на основе командной оболочки и Python, которые затем подбирают ищут новые цели для дальнейшего расширения.
Одним из основных компонентов является proxy.sh, который устанавливает утилиты для прокси-серверов, одноранговых сетей (P2P) и туннелирования, а также предоставляет различные сканеры для поиска в интернете уязвимых и неправильно настроенных серверов.
Примечательно, что proxy.sh выполняет идентификацию среды во время выполнения. На ранней стадии выполнения он проверяет, работает ли он внутри кластера Kubernetes.
После чего скрипт переходит в отдельный путь выполнения и запускает вторичную полезную нагрузку, специфичную для кластера, что указывает использование TeamPCP отдельных инструментов и методов для облачных целей вместо универсального вредоносного ПО для Linux.
Среди других полезных нагрузок:
- scanner.py (для поиска неправильно настроенных API Docker и панелей Ray);
- kube.py (включает в себя специфические для Kubernetes функции сбора учетных данных кластера, а также опции распространения и бэкдора);
- react.py (нацеливание на CVE-2025-29927 для осуществления удаленного выполнения команд);
- pcpcat.py (для обнаружения открытых API Docker и панелей Ray, автоматического развертывания вредоносного контейнера и выполнения полезной нагрузки).
Flare заметила, что узел C2 по адресу 67.217.57[.]240 также связан с работой Sliver, который, как известно, используется злоумышленниками для постэксплуатационных целей.
Телеметрия также показывают, что злоумышленники в основном выбирают в качестве мишени среды Amazon Web Services (AWS) и Microsoft Azure.
Атаки носят оппортунистический характер и, в первую очередь, нацелены на инфраструктуру, соответствующие их целам, а не конкретным отраслям.
В целом, кампания PCPcat демонстрирует полный жизненный цикл сканирования, эксплуатации, закрепления в системе, туннелирования, кражи данных и монетизации, разработанный специально для современной облачной инфраструктуры.
Основная опасность заключается в операционной интеграции и масштабируемости, а гибридная модель позволяет группе монетизировать как вычислительные ресурсы, так и информацию.
Вредоносная активность попала в поле зрения исследователей 25 декабря 2025 года. Flare приписала ее TeamPCP (DeadCatx3, PCPcat, PersyPCP и ShellForce), которая активна с ноября 2025 года и упоминалась в декабре 2025 года под названием Operation PCPcat у Beelzebub.
При этом первое упоминание в Telegram датируется 30 июля 2025 года. С тех пор группа системно публикует украденные данные различных жертв из Канады, Сербии, Южной Кореи, ОАЭ и США.
Как полагают исследователи, цели кампании заключаются в создании распределенной инфраструктуры прокси-серверов и сканирования с последующим взломом серверов для кражи данных, развертывания ransomware, вымогательства и майнинга крипты.
TeamPCP функционирует как облачная платформа для киберпреступности, используя неправильно настроенные API Docker, API Kubernetes, панели мониторинга Ray, серверы Redis и уязвимые приложения React/Next.js в качестве основных путей заражения для взлома современной облачной инфраструктуры с целью кражи данных и вымогательства.
Кроме того, скомпрометированная инфраструктура используется в самых разных целях, от майнинга крипты и размещения данных до прокси-серверов и средств C2.
TeamPCP опирается на проверенные временем методы атак, такие как существующие инструменты, распространенные уязвимости и ошибки конфигурации, которые позволяют формировать операторам платформу для эксплуатации с «автоматизацией и индустриализацией» всего процесса.
Как отмечают Flare, это, в свою очередь, превращает уязвимую инфраструктуру в «самовоспроизводящуюся криминальную экосистему».
Успешная эксплуатация открывает путь для развертывания полезных нагрузок следующего этапа с внешних серверов, включая скрипты на основе командной оболочки и Python, которые затем подбирают ищут новые цели для дальнейшего расширения.
Одним из основных компонентов является proxy.sh, который устанавливает утилиты для прокси-серверов, одноранговых сетей (P2P) и туннелирования, а также предоставляет различные сканеры для поиска в интернете уязвимых и неправильно настроенных серверов.
Примечательно, что proxy.sh выполняет идентификацию среды во время выполнения. На ранней стадии выполнения он проверяет, работает ли он внутри кластера Kubernetes.
После чего скрипт переходит в отдельный путь выполнения и запускает вторичную полезную нагрузку, специфичную для кластера, что указывает использование TeamPCP отдельных инструментов и методов для облачных целей вместо универсального вредоносного ПО для Linux.
Среди других полезных нагрузок:
- scanner.py (для поиска неправильно настроенных API Docker и панелей Ray);
- kube.py (включает в себя специфические для Kubernetes функции сбора учетных данных кластера, а также опции распространения и бэкдора);
- react.py (нацеливание на CVE-2025-29927 для осуществления удаленного выполнения команд);
- pcpcat.py (для обнаружения открытых API Docker и панелей Ray, автоматического развертывания вредоносного контейнера и выполнения полезной нагрузки).
Flare заметила, что узел C2 по адресу 67.217.57[.]240 также связан с работой Sliver, который, как известно, используется злоумышленниками для постэксплуатационных целей.
Телеметрия также показывают, что злоумышленники в основном выбирают в качестве мишени среды Amazon Web Services (AWS) и Microsoft Azure.
Атаки носят оппортунистический характер и, в первую очередь, нацелены на инфраструктуру, соответствующие их целам, а не конкретным отраслям.
В целом, кампания PCPcat демонстрирует полный жизненный цикл сканирования, эксплуатации, закрепления в системе, туннелирования, кражи данных и монетизации, разработанный специально для современной облачной инфраструктуры.
Основная опасность заключается в операционной интеграции и масштабируемости, а гибридная модель позволяет группе монетизировать как вычислительные ресурсы, так и информацию.
Flare | Threat Exposure Management | Unmatched Visibility into Cybercrime
Threat Alert: TeamPCP, An Emerging Force in the Cloud Native and Ransomware Landscape
By Assaf Morag, Cybersecurity Researcher TeamPCP (a.k.a. PCPcat, ShellForce, and DeadCatx3) launched a massive campaign in December 2025 targeting cloud native environments as part of a worm-driven operation that systematically abused exposed Docker APIs…
BeyondTrust предупредила клиентов о необходимости устранения критической уязвимости в системе безопасности своего ПО для удаленной поддержки (Remote Support, RS) и привилегированного удаленного доступа (Privileged Remote Access, PRA).
Проблема отслеживается как CVE-2026-1731 и представляет собой уязвимость удаленного выполнения кода до аутентификации, которая обусловлена недостатком внедрения команд операционной системы.
Обнаружение приписывается Харшу Джайсуалу и команде Hacktron AI. Уязвимость затрагивает BeyondTrust Remote Support 25.3.1 или более ранние версии и Privileged Remote Access 24.3.4 или более ранние версии.
Злоумышленники, не обладающие привилегиями, могут использовать это для осуществления вредоносных запросов к клиенту. Успешная эксплуатация позволяет неавторизованному удалённому злоумышленнику выполнять команды ОС в контексте пользователя сайта.
При этом эксплуатация не требует аутентификации или взаимодействия с пользователем и может привести к компрометации системы, включая несанкционированный доступ, утечку данных и сбои в работе сервисов.
BeyondTrust обеспечила безопасность всех облачных систем RS/PRA к 2 февраля и рекомендовала всем клиентам, использующим локальные системы, вручную обновить их до Remote Support 25.3.2 и Privileged Remote Access 25.1.1 (или более поздней).
Как отмечают исследователи, приблизительно 11 000 экземпляров подключены к интернету (как облачные, так и локальные развертывания). При этом около 8500 из них - это локальные развертывания, которые остаются потенциально уязвимыми, если не будут установлены обновления.
BeyondTrust отметила, что на данный момент известных активных случаев эксплуатации уязвимости CVE-2026-1731 в реальных условиях не зафиксировано.
Однако в последние годы другие уязвимости безопасности BeyondTrust RS/PRA не раз становились объектами атак.
В частности, два года назад злоумышленники использовали украденный ключ API для компрометации 17 экземпляров SaaS-сервиса удаленной поддержки, взломав системы BeyondTrust с помощью двух 0-day RS/PRA (CVE-2024-12356 и CVE-2024-12686).
Тогда благодаря этим нулям под каток Silk Typhoon попало Министерство финансов США, у которого китайские хакеры выкрали информацию и конфиденциальные документы из взломанной системы BeyondTrust.
Так что, принимая во внимание, что у BeyondTrust более чем 20 000 клиентов в более чем 100 странах, включая 75% компаний из списка Fortune 100 по всему миру, новую CVE-2026-1731 в киберподполье точно будут отрабатывать. Но будем посмотреть.
Проблема отслеживается как CVE-2026-1731 и представляет собой уязвимость удаленного выполнения кода до аутентификации, которая обусловлена недостатком внедрения команд операционной системы.
Обнаружение приписывается Харшу Джайсуалу и команде Hacktron AI. Уязвимость затрагивает BeyondTrust Remote Support 25.3.1 или более ранние версии и Privileged Remote Access 24.3.4 или более ранние версии.
Злоумышленники, не обладающие привилегиями, могут использовать это для осуществления вредоносных запросов к клиенту. Успешная эксплуатация позволяет неавторизованному удалённому злоумышленнику выполнять команды ОС в контексте пользователя сайта.
При этом эксплуатация не требует аутентификации или взаимодействия с пользователем и может привести к компрометации системы, включая несанкционированный доступ, утечку данных и сбои в работе сервисов.
BeyondTrust обеспечила безопасность всех облачных систем RS/PRA к 2 февраля и рекомендовала всем клиентам, использующим локальные системы, вручную обновить их до Remote Support 25.3.2 и Privileged Remote Access 25.1.1 (или более поздней).
Как отмечают исследователи, приблизительно 11 000 экземпляров подключены к интернету (как облачные, так и локальные развертывания). При этом около 8500 из них - это локальные развертывания, которые остаются потенциально уязвимыми, если не будут установлены обновления.
BeyondTrust отметила, что на данный момент известных активных случаев эксплуатации уязвимости CVE-2026-1731 в реальных условиях не зафиксировано.
Однако в последние годы другие уязвимости безопасности BeyondTrust RS/PRA не раз становились объектами атак.
В частности, два года назад злоумышленники использовали украденный ключ API для компрометации 17 экземпляров SaaS-сервиса удаленной поддержки, взломав системы BeyondTrust с помощью двух 0-day RS/PRA (CVE-2024-12356 и CVE-2024-12686).
Тогда благодаря этим нулям под каток Silk Typhoon попало Министерство финансов США, у которого китайские хакеры выкрали информацию и конфиденциальные документы из взломанной системы BeyondTrust.
Так что, принимая во внимание, что у BeyondTrust более чем 20 000 клиентов в более чем 100 странах, включая 75% компаний из списка Fortune 100 по всему миру, новую CVE-2026-1731 в киберподполье точно будут отрабатывать. Но будем посмотреть.
BeyondTrust
BT26-02 | BeyondTrust
BeyondTrust’s Privileged Access Management platform protects your organization from unwanted remote access, stolen credentials, and misused privileges
Исследователи Huntress Security сообщают об обнаружении вредоносной активности, связанной с нацеливанием на уязвимости в SolarWinds Web Help Desk (WHD) для развертывания легитимных инструментов удаленного мониторинга и управления Zoho ManageEngine.
Злоумышленник атаковал как минимум три организации, а также использовал туннели Cloudflare для обеспечения постоянного доступа к системе и Velociraptor для C2. Все в рамках общей кампании, начавшейся 16 января и использующей недавно обнаруженные уязвимости SolarWinds WHD.
По данным компании, злоумышленник использовал уязвимости CVE-2025-40551, которые CISA на прошлой неделе отметила как используемые в атаках, а также CVE-2025-26399.
Обе проблемы безопасности получили критическую оценку серьезности и могут быть использованы для RCE на хост-машине без аутентификации.
Свою очередь, исследователи Microsoft также задетектили «многоэтапное вторжение, в ходе которого злоумышленники использовали доступные через интернет экземпляры SolarWinds Web Help Desk (WHD)», но не подтвердили использование обеих уязвимостей.
Получив первоначальный доступ, злоумышленник установил агент Zoho ManageEngine Assist с помощью MSI-файла, загруженного с файловой платформы Catbox.
Затем настроил инструмент для автоматического доступа и зарегистрировал скомпрометированный хост в учетной записи Zoho Assist, привязанной к анонимному Proton Mail.
Этот инструмент используется для непосредственной ручной работы и разведки Active Directory (AD), также применяется для развертывания Velociraptor, загружаемого в виде MSI-файла из хранилища Supabase.
Velociraptor - это легитимный инструмент DFIR, который, как недавно предупредила Cisco Talos, активно используется не по назначению в атаках с применением ransomware.
В наблюдаемых Huntress атаках, платформа DFIR используется в качестве системы C2, которая взаимодействует с злоумышленниками через Cloudflare Workers.
Исследователи отмечают, что злоумышленник использовал устаревшую версию Velociraptor, 0.73.4, которая имеет EoP-уязвимости, позволяющие увеличить права доступа к хосту.
Злоумышленник также установил Cloudflared из официального репозитория на GitHub, используя его в качестве дополнительного канала доступа на основе туннелей для обеспечения резервирования C2.
В некоторых случаях сохранение доступа обеспечивалось с помощью запланированной задачи (TPMProfiler), которая открывает бэкдор SSH через QEMU.
Атакующие также отключили Windows Defender и брандмауэр с помощью изменений в реестре, гарантируя загрузку дополнительных вредоносных ПО.
Системным администраторам рекомендуется обновить SolarWinds Web Help Desk до версии 2026.1 или более поздней, отключить доступ к административным интерфейсам через публичный интернет и сбросить все учетные данные, связанные с продуктом.
Huntress также поделилась правилами Sigma и IOCs, которые помогают обнаруживать активность туннелей Zoho Assist, Velociraptor, Cloudflared и VS Code, скрытые установки MSI и зашифрованное выполнение PowerShell.
Пока ни Microsoft, ни Huntress не связали наблюдаемые атаки с какими-либо конкретными группами угроз или другими подробностями по части мотивации актора.
Злоумышленник атаковал как минимум три организации, а также использовал туннели Cloudflare для обеспечения постоянного доступа к системе и Velociraptor для C2. Все в рамках общей кампании, начавшейся 16 января и использующей недавно обнаруженные уязвимости SolarWinds WHD.
По данным компании, злоумышленник использовал уязвимости CVE-2025-40551, которые CISA на прошлой неделе отметила как используемые в атаках, а также CVE-2025-26399.
Обе проблемы безопасности получили критическую оценку серьезности и могут быть использованы для RCE на хост-машине без аутентификации.
Свою очередь, исследователи Microsoft также задетектили «многоэтапное вторжение, в ходе которого злоумышленники использовали доступные через интернет экземпляры SolarWinds Web Help Desk (WHD)», но не подтвердили использование обеих уязвимостей.
Получив первоначальный доступ, злоумышленник установил агент Zoho ManageEngine Assist с помощью MSI-файла, загруженного с файловой платформы Catbox.
Затем настроил инструмент для автоматического доступа и зарегистрировал скомпрометированный хост в учетной записи Zoho Assist, привязанной к анонимному Proton Mail.
Этот инструмент используется для непосредственной ручной работы и разведки Active Directory (AD), также применяется для развертывания Velociraptor, загружаемого в виде MSI-файла из хранилища Supabase.
Velociraptor - это легитимный инструмент DFIR, который, как недавно предупредила Cisco Talos, активно используется не по назначению в атаках с применением ransomware.
В наблюдаемых Huntress атаках, платформа DFIR используется в качестве системы C2, которая взаимодействует с злоумышленниками через Cloudflare Workers.
Исследователи отмечают, что злоумышленник использовал устаревшую версию Velociraptor, 0.73.4, которая имеет EoP-уязвимости, позволяющие увеличить права доступа к хосту.
Злоумышленник также установил Cloudflared из официального репозитория на GitHub, используя его в качестве дополнительного канала доступа на основе туннелей для обеспечения резервирования C2.
В некоторых случаях сохранение доступа обеспечивалось с помощью запланированной задачи (TPMProfiler), которая открывает бэкдор SSH через QEMU.
Атакующие также отключили Windows Defender и брандмауэр с помощью изменений в реестре, гарантируя загрузку дополнительных вредоносных ПО.
Системным администраторам рекомендуется обновить SolarWinds Web Help Desk до версии 2026.1 или более поздней, отключить доступ к административным интерфейсам через публичный интернет и сбросить все учетные данные, связанные с продуктом.
Huntress также поделилась правилами Sigma и IOCs, которые помогают обнаруживать активность туннелей Zoho Assist, Velociraptor, Cloudflared и VS Code, скрытые установки MSI и зашифрованное выполнение PowerShell.
Пока ни Microsoft, ни Huntress не связали наблюдаемые атаки с какими-либо конкретными группами угроз или другими подробностями по части мотивации актора.
Huntress
Active Exploitation of SolarWinds Web Help Desk (CVE-2025-26399) | Huntress
Huntress has observed active exploitation of a deserialization and remote code execution against the SolarWinds Web Help Desk software (CVE-2025-26399).
Ivanti снова в тренде киберподполья: клиентам пора примерять новый фирменный мерч в коричневых тонах.
Управление по защите данных Нидерландов (AP) и Совет судебной власти официально подтвердили, что стали жертвами кибератак в виду эксплуатации недавно выявленных уязвимостей в Ivanti Endpoint Manager Mobile (EPMM).
Как сообщается, к рабочим данным сотрудников AP, включая установочные данные, адреса рабочей электронной почты и номера телефонов, получили доступ посторонние лица.
Немного ранее Европейская комиссия также сообщила о том, что ее центральная инфраструктура, управляющая мобильными устройствами, пострадала от кибератаки, которая могла привести к получению неправомерного доступа к именам и номерам телефонов ее сотрудников.
Инцидент был локализован в течение девяти часов, а компрометации мобильных устройств обнаружено не было.
Название поставщика при этом не называлось, но, предполагается, что это связано со вредоносной деятельностью, нацеленной на уязвимости в Ivanti EPMM.
Кроме того, финская госкомпания Valtori, предоставляющая информационные и коммуникационные технологии, также 30 января сообщила о взломе сервиса управления мобильными устройствами, в результате которого были раскрыты рабочие данные 50 000 госслужащих.
При этом, обновления были установлены 29 января, в тот же день, когда Ivanti выпустила исправления для CVE-2026-1281 и CVE-2026-1340 (CVSS: 9,8), которые потенциально могли быть использованы злоумышленником для несанкционированного RCE.
Ivanti в свойственной манере была вынуждена наконец признать, что уязвимости задействуется в качестве 0-day, но затрагивают «очень ограниченное число клиентов». Однако раскрыть точные данные о количестве жертв отказалась.
Расследование показало, что система управления не удаляла удаленные данные окончательно, а лишь помечала их как удаленные.
В результате данные устройств и пользователей, принадлежащие всем организациям, которые использовали сервис в течение его жизненного цикла, могли быть скомпрометированы.
В watchTowr полагают, что эти атаки не носят случайных характер, а скорее всего являются делом рук «высококвалифицированного, хорошо обеспеченного ресурсами злоумышленника, проводящего целенаправленную кампанию».
Впрочем, клиентов Ivanti уже ничем не удивить. Новый сезон приключений можно считать открытым.
Управление по защите данных Нидерландов (AP) и Совет судебной власти официально подтвердили, что стали жертвами кибератак в виду эксплуатации недавно выявленных уязвимостей в Ivanti Endpoint Manager Mobile (EPMM).
Как сообщается, к рабочим данным сотрудников AP, включая установочные данные, адреса рабочей электронной почты и номера телефонов, получили доступ посторонние лица.
Немного ранее Европейская комиссия также сообщила о том, что ее центральная инфраструктура, управляющая мобильными устройствами, пострадала от кибератаки, которая могла привести к получению неправомерного доступа к именам и номерам телефонов ее сотрудников.
Инцидент был локализован в течение девяти часов, а компрометации мобильных устройств обнаружено не было.
Название поставщика при этом не называлось, но, предполагается, что это связано со вредоносной деятельностью, нацеленной на уязвимости в Ivanti EPMM.
Кроме того, финская госкомпания Valtori, предоставляющая информационные и коммуникационные технологии, также 30 января сообщила о взломе сервиса управления мобильными устройствами, в результате которого были раскрыты рабочие данные 50 000 госслужащих.
При этом, обновления были установлены 29 января, в тот же день, когда Ivanti выпустила исправления для CVE-2026-1281 и CVE-2026-1340 (CVSS: 9,8), которые потенциально могли быть использованы злоумышленником для несанкционированного RCE.
Ivanti в свойственной манере была вынуждена наконец признать, что уязвимости задействуется в качестве 0-day, но затрагивают «очень ограниченное число клиентов». Однако раскрыть точные данные о количестве жертв отказалась.
Расследование показало, что система управления не удаляла удаленные данные окончательно, а лишь помечала их как удаленные.
В результате данные устройств и пользователей, принадлежащие всем организациям, которые использовали сервис в течение его жизненного цикла, могли быть скомпрометированы.
В watchTowr полагают, что эти атаки не носят случайных характер, а скорее всего являются делом рук «высококвалифицированного, хорошо обеспеченного ресурсами злоумышленника, проводящего целенаправленную кампанию».
Впрочем, клиентов Ivanti уже ничем не удивить. Новый сезон приключений можно считать открытым.
Rijksoverheid
Kamerbrief over incident bij de Autoriteit Persoonsgegevens en de Raad voor de rechtspraak
Staatssecretaris Rutte (JenV) en staatssecretaris Van Marum (BZK)informeren de Tweede Kamer over misbruik van een kwetsbaarheid in Ivanti Endpoint Manager Mobile (EPMM) bij de Autoriteit Persoonsgegevens (AP) en de Raad voor de rechtspraak (Rvdr). EPPM is…
Fortinet выпустила обновления для устранения критической уязвимости в FortiClientEMS, которая может привести к выполнению произвольного кода в уязвимых системах.
Проблема отслеживается как CVE-2026-21643 и имеет рейтинг CVSS 9,1 из 10 возможных. Она связана с неправильной нейтрализацией специальных элементов, используемых в уязвимости SQL-команды в FortiClientEMS, позволяя неавторизованному злоумышленнику выполнить несанкционированный код или команды с помощью специально сформированных HTTP-запросов.
Обнаружение приписывается Гвендалу Геньо из команды Fortinet. Недостаток затрагивает FortiClientEMS 7.4.4 (обновить до версии 7.4.5 или выше), FortiClientEMS 7.2 и FortiClientEMS 8.0 отмечены как незатронутые.
К настоящему времени Fortinet не упоминает об использовании этой уязвимости в реальных условиях, аналогично недавней CVE-2026-24858 в FortiOS, FortiManager, FortiAnalyzer, FortiProxy, FortiWeb, позволявшей злоумышленнику с учетной записью FortiCloud и зарегистрированным устройством входить в систему на других устройствах с активной FortiCloud SSO.
Впоследствии Fortinet признала, что злоумышленники активно использовали ее для создания локальных админских учетных записей для постоянного доступа, внесения изменений в конфигурацию, предоставляющих доступ к VPN, и кражи конфигурационных данных межсетевого экрана.
Проблема отслеживается как CVE-2026-21643 и имеет рейтинг CVSS 9,1 из 10 возможных. Она связана с неправильной нейтрализацией специальных элементов, используемых в уязвимости SQL-команды в FortiClientEMS, позволяя неавторизованному злоумышленнику выполнить несанкционированный код или команды с помощью специально сформированных HTTP-запросов.
Обнаружение приписывается Гвендалу Геньо из команды Fortinet. Недостаток затрагивает FortiClientEMS 7.4.4 (обновить до версии 7.4.5 или выше), FortiClientEMS 7.2 и FortiClientEMS 8.0 отмечены как незатронутые.
К настоящему времени Fortinet не упоминает об использовании этой уязвимости в реальных условиях, аналогично недавней CVE-2026-24858 в FortiOS, FortiManager, FortiAnalyzer, FortiProxy, FortiWeb, позволявшей злоумышленнику с учетной записью FortiCloud и зарегистрированным устройством входить в систему на других устройствах с активной FortiCloud SSO.
Впоследствии Fortinet признала, что злоумышленники активно использовали ее для создания локальных админских учетных записей для постоянного доступа, внесения изменений в конфигурацию, предоставляющих доступ к VPN, и кражи конфигурационных данных межсетевого экрана.
FortiGuard Labs
PSIRT | FortiGuard Labs
None
Позитивы решили забомбить отчетами.
В продолжение к прошлому исследованию в отношении мировых трендов IT и ИБ, сложившихся в 2025 году, Позитивы представили свое видение будущего отрасли, исходя из обозначенных ранее тенденций.
Отчет объемен и не менее информативен, включая аналитику по массовым и целевым атакам, ИИ, двойному вымогательству, кроссплатформенным угрозам, вирусы-трансформерам, AV/EDR-киллерам, фишкитам, дипфейкам, социнженерии, вишингу, AllFix, уязвимостям/эксплойтам, новым угрозам на периметре, RMM-решениям и IAB 2.0.
Исследователи Positive Technologies также продолжают отслеживать и обозревать активность хакерских группировок, нацеленных на российские организации.
Новый отчет включает аналитику по двум основным направлениям: шпионской активности и финансово мотивированным атакам.
Основное внимание сосредоточено на выявлении и сопоставлении повторяющихся паттернов атак, TTPs и штаммов вредоносного ПО с ретроспективой (для более точной фиксации преемственности инструментов и изменений в тактике).
Такой подход позволил не только описать отдельные инциденты, но и подтвердить устойчивые паттерны группировок на примере сопоставимых цепочек, как это показано в материалах по APT31 и NetMedved.
Параллельно анализировалась эволюция инструментария группировок в динамике отчетного года, включая изменения в составе инструментов, способах закрепления и скрытного управления, а также в подходах к получению первичного доступа.
Наиболее показательным примером в этой части является ExCobalt, для которой характерна регулярная модификация компонентов и адаптация техник под конкретные инфраструктуры и условия эксплуатации.
Отдельно фиксировались кейсы активности группировок, ранее не проявлявших выраженного фокуса на российском направлении, включая кампании Silver Fox с использованием фишинговых уведомлений от государственных ведомств.
Накопленные наблюдения по инцидентам и инструментарию дополнены анализом общей динамики за 2025 год: рост числа атак и увеличение объема уникальных вредоносных семплов, ассоциированных с APT, указывают на ускорение цикла разработки и модификации вредоносного ПО.
Одним из факторов, влияющих на эту тенденцию, является расширение возможностей по созданию и адаптации кода с использованием LLM, которые упрощают разработку и повышают вариативность реализаций при сохранении типовых тактик и техник.
С учетом указанных тенденций квартальная аналитика обобщает краткие описания цепочек компрометации, используемых инструментов и ключевых IOCs для: АРТ31, ExCobalt, QuietCrabs, Rare Werewolf, PseudoGamaredon, а также Werewolves, NetMedved, Silver Fox и Hive0117.
В продолжение к прошлому исследованию в отношении мировых трендов IT и ИБ, сложившихся в 2025 году, Позитивы представили свое видение будущего отрасли, исходя из обозначенных ранее тенденций.
Отчет объемен и не менее информативен, включая аналитику по массовым и целевым атакам, ИИ, двойному вымогательству, кроссплатформенным угрозам, вирусы-трансформерам, AV/EDR-киллерам, фишкитам, дипфейкам, социнженерии, вишингу, AllFix, уязвимостям/эксплойтам, новым угрозам на периметре, RMM-решениям и IAB 2.0.
Исследователи Positive Technologies также продолжают отслеживать и обозревать активность хакерских группировок, нацеленных на российские организации.
Новый отчет включает аналитику по двум основным направлениям: шпионской активности и финансово мотивированным атакам.
Основное внимание сосредоточено на выявлении и сопоставлении повторяющихся паттернов атак, TTPs и штаммов вредоносного ПО с ретроспективой (для более точной фиксации преемственности инструментов и изменений в тактике).
Такой подход позволил не только описать отдельные инциденты, но и подтвердить устойчивые паттерны группировок на примере сопоставимых цепочек, как это показано в материалах по APT31 и NetMedved.
Параллельно анализировалась эволюция инструментария группировок в динамике отчетного года, включая изменения в составе инструментов, способах закрепления и скрытного управления, а также в подходах к получению первичного доступа.
Наиболее показательным примером в этой части является ExCobalt, для которой характерна регулярная модификация компонентов и адаптация техник под конкретные инфраструктуры и условия эксплуатации.
Отдельно фиксировались кейсы активности группировок, ранее не проявлявших выраженного фокуса на российском направлении, включая кампании Silver Fox с использованием фишинговых уведомлений от государственных ведомств.
Накопленные наблюдения по инцидентам и инструментарию дополнены анализом общей динамики за 2025 год: рост числа атак и увеличение объема уникальных вредоносных семплов, ассоциированных с APT, указывают на ускорение цикла разработки и модификации вредоносного ПО.
Одним из факторов, влияющих на эту тенденцию, является расширение возможностей по созданию и адаптации кода с использованием LLM, которые упрощают разработку и повышают вариативность реализаций при сохранении типовых тактик и техник.
С учетом указанных тенденций квартальная аналитика обобщает краткие описания цепочек компрометации, используемых инструментов и ключевых IOCs для: АРТ31, ExCobalt, QuietCrabs, Rare Werewolf, PseudoGamaredon, а также Werewolves, NetMedved, Silver Fox и Hive0117.
Хабр
Теневой ИИ, двойное вымогательство, дипфейки, фишинг-вишинг и не только: киберпрогнозы-2026
Привет, Хабр! На прошлой неделе мы рассказали о мировых трендах IT и ИБ, сложившихся в 2025 году . Это важные тенденции, которые буду влиять на нас и наше будущее в ближайшие месяцы и годы. Каким...
В рамках февральского PatchTuesday в этом месяце Microsoft устранила 58 уязвимостей, в том числе 6 активно используемых и трех публично раскрытых 0-day: CVE-2026-21510, CVE-2026-21514, CVE-2026-21513, CVE-2026-21519, CVE-2026-21533 и CVE-2026-21525.
В новом обновлении также исправлены пять критических уязвимостей, три из которых связаны с EoP, а две - с раскрытием информации. В целом распределение по категориям выглядит следующим образом: 25 - EoP, 5 - обход функции безопасности, 12 - RCE, 6 - раскрытие информации, 3 - DoS и 7 - подмена данных.
Кроме того, 3 уязвимости исправлены в Microsoft Edge, обновлены сертификаты Secure Boot, которые заменят оригинальные от 2011 года, срок действия которых истекает в июне 2026 года, а также выпущены расширенные обновления безопасности Windows 10.
Среди нулей на этот раз кучно:
- CVE-2026-21510: обход запросов безопасности Windows SmartScreen и Windows Shell.
Проблема позволяет обойти функцию безопасности Windows и может быть активирована при открытии специально созданной ссылки или файла ярлыка. Вероятно, приводит к обходу Mark of the Web.
Злоумышленник может обойти запросы безопасности Windows SmartScreen и Windows Shell, используя некорректную обработку в компонентах Windows Shell, что позволяет выполнять контент, контролируемый злоумышленником, без предупреждения или согласия пользователя.
Обнаружение приписывается Microsoft MSTIC и MSRC, группе безопасности Office, Google и анонимному исследователю, которые также раскрыли
CVE-2026-21513 и CVE-2026-21514.
- CVE-2026-21513: уязвимость в Internet Explorer для обхода средств защиты и потенциального выполнения кода через вредоносные HTML- или LNK-файлы.
Уязвимость связана со сбоем в механизме защиты MSHTML Framework, открывая неавторизованному злоумышленнику возможность обойти функцию безопасности в сети. Данные о том, как именно она была использована не раскрываются.
- CVE-2026-21514: уязвимость в Microsoft Word, позволяющая злоумышленнику обойти меры защиты OLE.
Для эксплуатации злоумышленнику необходимо отправить пользователю вредоносный файл Office и убедить его открыть его.
Microsoft заявляет, что уязвимость невозможно использовать в панели предварительного просмотра Office. Поскольку никаких подробностей не было приведено, предполагается, что CVE-2026-21510, CVE-2026-21513 и CVE-2026-21514 могли быть использованы в рамках одной кампании.
- CVE-2026-21519: уязвимость повышения привилегий в диспетчере окон рабочего стола Windows.
Злоумышленник, успешно использовавший эту уязвимость, может получить системные привилегии. Никаких подробностей о том, как именно была совершена атака, не сообщается.
Microsoft упоминает лишь то, что обнаружение уязвимости приписывается центрам Microsoft MSTIC и MSRC.
- CVE-2026-21525: DoS-уязвимость в диспетчере подключений удаленного доступа Windows.
Разыменование нулевого указателя в диспетчере подключений удаленного доступа Windows позволяет неавторизованному злоумышленнику запретить локальное обслуживание.
Microsoft приписала обнаружение ACROS, работающей с 0patch.
Исследователи отыскали уязвимость в общедоступном репозитории вредоносного ПО в ходе поиска эксплойта для CVE-2025-59230, но он не осведомлены, как именно она используется в атаках. Однако качество комбинированного эксплойта для обеих уязвимостей говорит о «профессионально проделанной работе».
- CVE-2026-21533: EoP-уязвимость в службах удаленного рабочего стола Windows.
Неправильное управление привилегиями в Windows Remote Desktop позволяет авторизованному злоумышленнику повысить привилегии локально. Обнаружение приписывается CrowdStrike.
По данным CrowdStrike, эксплойт для CVE-2026-21533 изменяет ключ конфигурации службы, заменяя его ключом, контролируемым злоумышленником, что может позволить повысить привилегии и добавить нового пользователя в группу админов.
CrowdStrike не связывает эту активность с конкретным актором, но полагают, что разработчики эксплойта, вероятно, ускорят свои попытки использовать или перепродать его в ближайшее время.
Полное описание каждой уязвимости и затронутых ею систем - здесь.
В новом обновлении также исправлены пять критических уязвимостей, три из которых связаны с EoP, а две - с раскрытием информации. В целом распределение по категориям выглядит следующим образом: 25 - EoP, 5 - обход функции безопасности, 12 - RCE, 6 - раскрытие информации, 3 - DoS и 7 - подмена данных.
Кроме того, 3 уязвимости исправлены в Microsoft Edge, обновлены сертификаты Secure Boot, которые заменят оригинальные от 2011 года, срок действия которых истекает в июне 2026 года, а также выпущены расширенные обновления безопасности Windows 10.
Среди нулей на этот раз кучно:
- CVE-2026-21510: обход запросов безопасности Windows SmartScreen и Windows Shell.
Проблема позволяет обойти функцию безопасности Windows и может быть активирована при открытии специально созданной ссылки или файла ярлыка. Вероятно, приводит к обходу Mark of the Web.
Злоумышленник может обойти запросы безопасности Windows SmartScreen и Windows Shell, используя некорректную обработку в компонентах Windows Shell, что позволяет выполнять контент, контролируемый злоумышленником, без предупреждения или согласия пользователя.
Обнаружение приписывается Microsoft MSTIC и MSRC, группе безопасности Office, Google и анонимному исследователю, которые также раскрыли
CVE-2026-21513 и CVE-2026-21514.
- CVE-2026-21513: уязвимость в Internet Explorer для обхода средств защиты и потенциального выполнения кода через вредоносные HTML- или LNK-файлы.
Уязвимость связана со сбоем в механизме защиты MSHTML Framework, открывая неавторизованному злоумышленнику возможность обойти функцию безопасности в сети. Данные о том, как именно она была использована не раскрываются.
- CVE-2026-21514: уязвимость в Microsoft Word, позволяющая злоумышленнику обойти меры защиты OLE.
Для эксплуатации злоумышленнику необходимо отправить пользователю вредоносный файл Office и убедить его открыть его.
Microsoft заявляет, что уязвимость невозможно использовать в панели предварительного просмотра Office. Поскольку никаких подробностей не было приведено, предполагается, что CVE-2026-21510, CVE-2026-21513 и CVE-2026-21514 могли быть использованы в рамках одной кампании.
- CVE-2026-21519: уязвимость повышения привилегий в диспетчере окон рабочего стола Windows.
Злоумышленник, успешно использовавший эту уязвимость, может получить системные привилегии. Никаких подробностей о том, как именно была совершена атака, не сообщается.
Microsoft упоминает лишь то, что обнаружение уязвимости приписывается центрам Microsoft MSTIC и MSRC.
- CVE-2026-21525: DoS-уязвимость в диспетчере подключений удаленного доступа Windows.
Разыменование нулевого указателя в диспетчере подключений удаленного доступа Windows позволяет неавторизованному злоумышленнику запретить локальное обслуживание.
Microsoft приписала обнаружение ACROS, работающей с 0patch.
Исследователи отыскали уязвимость в общедоступном репозитории вредоносного ПО в ходе поиска эксплойта для CVE-2025-59230, но он не осведомлены, как именно она используется в атаках. Однако качество комбинированного эксплойта для обеих уязвимостей говорит о «профессионально проделанной работе».
- CVE-2026-21533: EoP-уязвимость в службах удаленного рабочего стола Windows.
Неправильное управление привилегиями в Windows Remote Desktop позволяет авторизованному злоумышленнику повысить привилегии локально. Обнаружение приписывается CrowdStrike.
По данным CrowdStrike, эксплойт для CVE-2026-21533 изменяет ключ конфигурации службы, заменяя его ключом, контролируемым злоумышленником, что может позволить повысить привилегии и добавить нового пользователя в группу админов.
CrowdStrike не связывает эту активность с конкретным актором, но полагают, что разработчики эксплойта, вероятно, ускорят свои попытки использовать или перепродать его в ближайшее время.
Полное описание каждой уязвимости и затронутых ею систем - здесь.
Intel в сотрудничестве с Google реализовала проверку безопасности своей технологии Trust Domain Extensions (TDX), в результате которой были обнаружены десятки уязвимостей и ошибок.
TDX - аппаратная технология вычислений, предназначенная для защиты конфиденциальных рабочих нагрузок и данных в облачных и многопользовательских средах, даже от взлома гипервизора или действий инсайдеров.
Intel TDX создает конфиденциальные виртуальные машины (также называемые доверенными доменами или TD), которые представляют собой аппаратно изолированные виртуальные машины, обеспечивающие надежную защиту как конфиденциальности, так и целостности данных.
Google Cloud Security в течение пяти месяцев сотрудничала с исследователями Intel INT31, используя ручной анализ кода, собственные инструменты и готовые решения на основе ИИ для анализа кода модуля TDX 1.5, который обрабатывает высокоуровневые функции TDX.
В результате анализа было выявлено пять уязвимостей, а также 35 ошибок, слабых мест и потенциальных проблем, которые следует устранить для повышения уровня безопасности.
Intel устранила все уязвимости, опубликовав соответствующее уведомление по безопасности и выпустив версию 1.5 TDX, которая также включает две новые функции: Live Migration и Trust Domain Partitioning.
Выявленные проблемы отслеживаются как CVE-2025-32007, CVE-2025-27940, CVE-2025-30513, CVE-2025-27572 и CVE-2025-32467 и могут быть использованы для EoP и раскрытия информации.
В свою очередь, Google обращает внимание на CVE-2025-30513, которая позволяет ненадёжному оператору полностью скомпрометировать гарантии безопасности TDX.
В частности, CVE-2025-30513 способна преобразовывать мигрируемый TD в отлаживаемый TD в процессе миграции при импорте его неизменяемого состояния.
После срабатывания все расшифрованное состояние TD становится доступным с хоста. На этом этапе злонамеренный хост может создать другой TD с расшифрованным состоянием или осуществлять мониторинг в режиме реального времени.
Поскольку миграция может произойти в любой момент жизненного цикла TD, атака может быть выполнена после завершения аттестации TD, что гарантирует наличие секретов в его состоянии.
По результатам своих изысканий Google выкатила полный технический отчет, а Intel у себя в блоге отразила общее описание исследовательского проекта.
TDX - аппаратная технология вычислений, предназначенная для защиты конфиденциальных рабочих нагрузок и данных в облачных и многопользовательских средах, даже от взлома гипервизора или действий инсайдеров.
Intel TDX создает конфиденциальные виртуальные машины (также называемые доверенными доменами или TD), которые представляют собой аппаратно изолированные виртуальные машины, обеспечивающие надежную защиту как конфиденциальности, так и целостности данных.
Google Cloud Security в течение пяти месяцев сотрудничала с исследователями Intel INT31, используя ручной анализ кода, собственные инструменты и готовые решения на основе ИИ для анализа кода модуля TDX 1.5, который обрабатывает высокоуровневые функции TDX.
В результате анализа было выявлено пять уязвимостей, а также 35 ошибок, слабых мест и потенциальных проблем, которые следует устранить для повышения уровня безопасности.
Intel устранила все уязвимости, опубликовав соответствующее уведомление по безопасности и выпустив версию 1.5 TDX, которая также включает две новые функции: Live Migration и Trust Domain Partitioning.
Выявленные проблемы отслеживаются как CVE-2025-32007, CVE-2025-27940, CVE-2025-30513, CVE-2025-27572 и CVE-2025-32467 и могут быть использованы для EoP и раскрытия информации.
В свою очередь, Google обращает внимание на CVE-2025-30513, которая позволяет ненадёжному оператору полностью скомпрометировать гарантии безопасности TDX.
В частности, CVE-2025-30513 способна преобразовывать мигрируемый TD в отлаживаемый TD в процессе миграции при импорте его неизменяемого состояния.
После срабатывания все расшифрованное состояние TD становится доступным с хоста. На этом этапе злонамеренный хост может создать другой TD с расшифрованным состоянием или осуществлять мониторинг в режиме реального времени.
Поскольку миграция может произойти в любой момент жизненного цикла TD, атака может быть выполнена после завершения аттестации TD, что гарантирует наличие секретов в его состоянии.
По результатам своих изысканий Google выкатила полный технический отчет, а Intel у себя в блоге отразила общее описание исследовательского проекта.
Intel
How Intel and Google Collaborate to Strengthen Intel® TDX
Foundational technologies demand uncompromising security. To raise the bar on Intel® Trust Domain Extensions (Intel® TDX) protection, Intel conducted a five-month joint review with Google engineers.
Исследователи Flare обнаружили ботнет под управлением Linux под названием SSHStalker, который задействует протокол связи IRC (Internet Relay Chat) для организации C2.
Он был разработан еще в 1988 году, а пик его распространения пришелся на 1990-е годы, став основным текстовым средством обмена мгновенными сообщениями для группового и личного общения.
Технические сообщества по-прежнему ценят его за простоту реализации, совместимость, низкие требования к пропускной способности и отсутствие необходимости в графическом интерфейсе пользователя.
SSHStalker использует классические механизмы IRC вместо современных C2-фреймворков, отдавая приоритет отказоустойчивости, масштабируемости и низкой стоимости, а не скрытности и технической новизне.
По данным исследователей, этот подход распространяется и на другие особенности работы SSHStalker, такие как использование «шумных» SSH-сканирований, заданий cron с интервалом в одну минуту и обширный каталог уязвимостей CVE 15-летней давности.
Во Flare его описывают как громоздкий, кое-как собранный ботнет, сочетающий в себе управление IRC из старой школы, компиляцию бинарных файлов на хостах, массовый взлом SSH и сохранение активности на основе cron. Другими словами, в этой масштабируемая операция - надежность важнее скрытности.
SSHStalker получает первоначальный доступ посредством автоматического сканирования SSH и брута паролей, используя исполняемый файл на Go, который маскируется под популярную утилиту nmap.
Затем скомпрометированные хосты используются для сканирования на наличие дополнительных целей SSH, что напоминает механизм распространения ботнета, подобный червю.
Исследователи Flare также заметили файл с результатами почти 7000 сканирований ботов, проведенных в январе и в основном направленных на поставщиков облачного хостинга в инфраструктуре Oracle Cloud.
После заражения устройства вредоносной ПО SSHStalker она загружает на него инструмент GCC для компиляции вредоносных ПО, что обеспечивает лучшую персистентность и обход защиты.
Первыми полезными нагрузками являются IRC-боты на языке C с жестко запрограммированными серверами С2, которые подключают новую жертву к IRC-инфраструктуре ботнета.
Далее вредоносная ПО загружает архивы с именами GS и bootbou, содержащие варианты ботов для организации и последовательности выполнения.
Постоянное сохранение обеспечивается с помощью заданий cron, которые запускаются каждые 60 секунд, активируя механизм обновления, подобный таймеру, который проверяет, запущен ли основной процесс бота, и перезапускает его, если он завершен.
Ботнет также содержит эксплойты для 16 уязвимостей CVE, нацеленных на все версии ядра Linux 2009-2010 годов, что обеспечивает повышение привилегий.
По части монетизации во Flare заметили, что ботнет реализует сбор ключей AWS и сканирование сайтов, а также включает в себя наборы для майнинга крипты (в том числе Ethereum PhoenixMiner).
Также функционал позволяет проводить DDoS, н подобные активности исследователи не наблюдали. Фактически, боты SSHStalker к настоящему времени просто подключаются к C2, а затем переходят в режим ожидания.
Так что пока Flare не приписала SSHStalker какой-либо конкретной группе угроз, но тем не менее, отметила сходство с экосистемой ботнетов Outlaw/Maxlas.
Он был разработан еще в 1988 году, а пик его распространения пришелся на 1990-е годы, став основным текстовым средством обмена мгновенными сообщениями для группового и личного общения.
Технические сообщества по-прежнему ценят его за простоту реализации, совместимость, низкие требования к пропускной способности и отсутствие необходимости в графическом интерфейсе пользователя.
SSHStalker использует классические механизмы IRC вместо современных C2-фреймворков, отдавая приоритет отказоустойчивости, масштабируемости и низкой стоимости, а не скрытности и технической новизне.
По данным исследователей, этот подход распространяется и на другие особенности работы SSHStalker, такие как использование «шумных» SSH-сканирований, заданий cron с интервалом в одну минуту и обширный каталог уязвимостей CVE 15-летней давности.
Во Flare его описывают как громоздкий, кое-как собранный ботнет, сочетающий в себе управление IRC из старой школы, компиляцию бинарных файлов на хостах, массовый взлом SSH и сохранение активности на основе cron. Другими словами, в этой масштабируемая операция - надежность важнее скрытности.
SSHStalker получает первоначальный доступ посредством автоматического сканирования SSH и брута паролей, используя исполняемый файл на Go, который маскируется под популярную утилиту nmap.
Затем скомпрометированные хосты используются для сканирования на наличие дополнительных целей SSH, что напоминает механизм распространения ботнета, подобный червю.
Исследователи Flare также заметили файл с результатами почти 7000 сканирований ботов, проведенных в январе и в основном направленных на поставщиков облачного хостинга в инфраструктуре Oracle Cloud.
После заражения устройства вредоносной ПО SSHStalker она загружает на него инструмент GCC для компиляции вредоносных ПО, что обеспечивает лучшую персистентность и обход защиты.
Первыми полезными нагрузками являются IRC-боты на языке C с жестко запрограммированными серверами С2, которые подключают новую жертву к IRC-инфраструктуре ботнета.
Далее вредоносная ПО загружает архивы с именами GS и bootbou, содержащие варианты ботов для организации и последовательности выполнения.
Постоянное сохранение обеспечивается с помощью заданий cron, которые запускаются каждые 60 секунд, активируя механизм обновления, подобный таймеру, который проверяет, запущен ли основной процесс бота, и перезапускает его, если он завершен.
Ботнет также содержит эксплойты для 16 уязвимостей CVE, нацеленных на все версии ядра Linux 2009-2010 годов, что обеспечивает повышение привилегий.
По части монетизации во Flare заметили, что ботнет реализует сбор ключей AWS и сканирование сайтов, а также включает в себя наборы для майнинга крипты (в том числе Ethereum PhoenixMiner).
Также функционал позволяет проводить DDoS, н подобные активности исследователи не наблюдали. Фактически, боты SSHStalker к настоящему времени просто подключаются к C2, а затем переходят в режим ожидания.
Так что пока Flare не приписала SSHStalker какой-либо конкретной группе угроз, но тем не менее, отметила сходство с экосистемой ботнетов Outlaw/Maxlas.
Flare | Threat Exposure Management | Unmatched Visibility into Cybercrime
Old-School IRC, New Victims: Inside the Newly Discovered SSHStalker Linux Botnet
Flare’s research team has uncovered a previously undocumented Linux botnet operation we’re calling SSHStalker. To the best of our knowledge, no other research team has reported on this threat actor. Our SSH honeypot captured multiple attacks over two months…