Исследователи Лаборатории Касперского в новом отчете обращают внимание на одних из самых продвинутых банковских троянов бразильского происхождения - GoPix.

Во многом это обусловлено возможности загрузки встроенного в память вредоносного файла Proxy AutoConfig (PAC) и HTTP-сервера для осуществления беспрецедентной атаки типа «человек посередине».

В целом, GoPix - это сложная, постоянно распространяющаяся угроза, нацеленная на клиентов бразильских финансовых учреждений и пользователей криптовалют с помощью имплантатов, работающих только с оперативной памятью, и обфусцированных скриптов PowerShell.

GoPix развилась из RAT и ATS, использовавшихся в других вредоносных кампаниях, в уникальную, ранее невиданную угрозу.

Работая как LOLBin, GoPix демонстрирует сложный подход, интегрирующий векторы вредоносной рекламы для компрометации клиентов крупных финучреждений.

GoPix достиг невиданного ранее уровня сложности для вредоносного ПО, разработанного в Бразилии. Прошло более трех лет с момента его первого обнаружения, и он по-прежнему остается очень активным. 

Первоначальное заражение происходит посредством вредоносных рекламных кампаний.

В большинстве случаев используется Google Ads для распространения приманок, связанных с популярными сервисами, такими как WhatsApp, Google Chrome и бразильская почтовая служба Correios, заманивая жертв на вредоносные целевые страницы.

Внедрение доверенного корневого сертификата в браузер повышает его способность перехватывать и манипулировать конфиденциальными финансовыми данными, сохраняя при этом скрытность, поскольку вредоносный сертификат не виден инструментам ОС.

Кроме того, GoPix расширил свои возможности мониторинга буфера обмена, добавив в свой арсенал квитанции Boleto, которые уже включают транзакции Pix и адреса криптокошельков.

Это сложная угроза с многоуровневой системой обхода, обеспечения устойчивости и функциональности.

Вредоносная ПО стратегически обходит меры безопасности, внедренные финансовыми учреждениями, сохраняя при этом свою активность и используя надежные механизмы очистки.

Бразильская группа, стоящая за GoPix, явно учится у APT-группировок, делая вредоносное ПО устойчивым и скрытым, загружая свои модули в память, сохраняя мало артефактов на диске и делая поиск с помощью правил YARA неэффективным для их обнаружения. 

Исследование шелл-кода, дроппера и основного модуля вредоносной ПО выявило сложные механизмы, включая переходы между процессами для использования определенных функций в разных процессах.

Эта техника в сочетании с надежными методами шифрования строк, применяемыми как к дропперу, так и к основной полезной нагрузке, указывает на то, что злоумышленник приложил значительные усилия для затруднения обнаружения.

Примечательно, что злоумышленники использовали легитимный коммерческий сервис по борьбе с мошенничеством для предварительной проверки своих целей, стремясь избежать песочниц и расследований специалистов по безопасности.

Кроме того, механизмы обеспечения устойчивости и очистки, реализованные в GoPix, повышают ее устойчивость во время реагирования на инциденты, обеспечивая очень короткий срок жизни C2.

Решения ЛК детектируют эту угрозу как HEUR:Trojan-Banker.Win64.GoPix, Trojan.PowerShell.GoPix и HEUR:Trojan-Banker.OLE2.GoPix.

Дополнительная информация и все технические подробности - в отчете.

Apple выпустила первое обновление Background Security Improvements с исправлением уязвимости WebKit, которая отслеживается как CVE-2026-20643, на iPhone, iPad и Mac, не требующее полного обновления ОС.

CVE-2026-20643 позволяет вредоносному веб-контенту обходить политику Same Origin Policy браузера и связана с междоменной проблемой в API навигации, которая была устранена за счет улучшения проверки входных данных.

Раскрытие приписывается исследователю Томасу Эспаху. Новое обновление доступно для iOS 26.3.1, iPadOS 26.3.1, macOS 26.3.1 и macOS 26.3.2.

В рамках этого релиза Apple впервые выпустила исправление безопасности через ранее анонсированную функцию «фоновых улучшений безопасности», которая используется для доставки небольших внеплановых патчей вне обычного цикла обновлений.

Фоновые улучшения безопасности обеспечивают выпуск облегченных версий обновлений безопасности для таких компонентов, включая браузер Safari, стек фреймворка WebKit и другие системные библиотеки.

В редких случаях возникновения проблем с совместимостью, улучшения фоновой безопасности могут быть временно удалены, а затем улучшены в последующем обновлении ПО.

Раньше обновления безопасности Apple требовали от пользователей установки новой версии ОС с перезагрузкой устройства. Однако благодаря новой Apple теперь может предоставлять небольшие обновления для конкретных компонентов в фоновом режиме в iOS 26.1, iPadOS 26.1 и macOS 26.1.

При этом Apple предупреждает, что удаление обновления, улучшающего безопасность в фоновом режиме, приводит к удалению всех ранее установленных фоновых исправлений, в результате чего устройство возвращается к базовой версии ОС (например, iOS 26.3.1) без каких-либо дополнительных исправлений безопасности.

Это фактически отключает средства защиты, обеспечиваемые этой функцией в режиме быстрого реагирования, оставляя устройства на базовом уровне безопасности до тех пор, пока обновления не будут повторно установлены или включены в будущее полное обновление.

Поэтому, если базовые улучшения безопасности не вызывают проблем на вашем устройстве, настоятельно рекомендуется не удалять их.

Исследователи Qualys предупреждают о серьезной уязвимости, затрагивающей стандартные установки Ubuntu Desktop версий 24.04 и более поздних, которая может быть использована для повышения привилегий до уровня root.

Уязвимость отслеживается как CVE-2026-3888 (CVSS: 7,8) и потенциально может быть реализована злоумышленниками для получения полного контроля над уязвимой системой.

CVE-2026-3888 позволяет непривилегированному локальному злоумышленнику повысить свои привилегии до полного доступа root за счет взаимодействия двух стандартных системных компонентов: snap-confine и systemd-tmpfiles.

Несмотря на то, что для эксплуатации уязвимости требуется определенный временной промежуток (10–30 дней), результатом является полная компрометация хост-системы. 

Как отмечают в Qualys, проблема обусловлена непреднамеренным взаимодействием snap-confine, который управляет средой выполнения для приложений snap, создавая песочницу, и systemd-tmpfiles, который автоматически удаляет временные файлы и каталоги (например, /tmp, /run и /var/tmp), старше заданного порогового значения.

Уязвимость была устранена в: Ubuntu 24.04 LTS (версии snapd до 2.73 + ubuntu 24.04.1), Ubuntu 25.10 LTS (версии snapd до 2.73 + ubuntu 25.10.1), Ubuntu 26.04 LTS (Dev) (версии snapd до 2.74.1 + ubuntu 26.04.1) и исходном snapd (версии до 2.75).

Для проведения атаки потребуются низкие привилегии и отсутствие взаимодействия с пользователем, хотя сложность атаки высока из-за механизма задержки во времени в цепочке эксплойтов.

В конфигурациях по умолчанию systemd-tmpfiles запланирован на удаление устаревших данных в /tmp. Злоумышленник может использовать это, манипулируя временем этих циклов очистки.

Атака реализуется следующим образом:

- Злоумышленнику необходимо дождаться, пока системный демон очистки удалит критически важный каталог (/tmp/.snap), необходимый для работы snap-confine. Период по умолчанию составляет 30 дней в Ubuntu 24.04 и 10 дней в более поздних версиях.

- После удаления злоумышленник создает каталог заново, наполнив его вредоносным содержимым.

- В ходе следующей инициализации песочницы snap-confine монтирует эти файлы от имени root, что позволяет выполнять произвольный код в привилегированном контексте.

Кроме того, Qualys сообщила об обнаружении уязвимости в виде состояния гонки в пакете uutils coreutils, которая позволяет непривилегированному локальному злоумышленнику заменять записи в каталогах символическими ссылками (так называемыми symlinks) во время выполнения cron-заданий, принадлежащих пользователю root.

Успешная эксплуатация уязвимости может привести к произвольному удалению файлов от имени root или к дальнейшему повышению привилегий путем воздействия на каталоги песочницы snap.

Проблема была устранена до публичного выпуска Ubuntu 25.10. Команда rm по умолчанию в Ubuntu 25.10 была возвращена к использованию GNU coreutils для немедленного снижения этого риска. С тех пор исправления были внесены в репозиторий uutils.

Исследователи из Lookout Threat Labs обнаружили новый эксплойт-комплект для устройств iOS под названием DarkSword, который использовался для кражи широкого спектра конфиденциальной информации, включая данные из криптокошельков.

DarkSword нацелен на iPhone под управлением iOS 18.4–18.7 и связан с несколькими злоумышленниками, включая операторов недавнего его аналога Coruna, раскрытого ранее в этом месяце.

Обнаружить DarkSword удалось в процессе изучения инфраструктуры, задействованной для атак Coruna, посильную помощь Lookout для более всестороннего анализа ранее неизвестной угрозы оказали Google и iVerify.

В отчете iVerify указывается, что все уязвимости, используемые в DarkSword, включая путаницу типов, использование памяти после освобождения, запись за пределы допустимого диапазона, ошибки ядра, связанные с копированием при записи, и ошибки повышения привилегий ядра, известны (задокументированы) и уже исправлены Apple в последних версиях iOS.

Все они отслеживаются как CVE-2025-31277, CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 и CVE-2025-43520.

Несмотря на то, что личность злоумышленника, стоящего за DarkSword, установить не удалось, все указывает на UNC6353, который, судя по всему, хорошо финансируется и имеет доступ к множеству известных и ранее неизвестных эксплойтов.

Исследователи обнаружили признаки использования инструментов на основе LLM для расширения функциональности DarkSword, хотя само вредоносное ПО довольно продвинутое и не является одноразовым инструментом, созданным с помощью ИИ.

В отчете Lookout отмечено, что вредоносное ПО отличается высокой степенью сложности и, по всей видимости, представляет собой профессионально разработанную платформу, позволяющую быстро создавать модули за счет доступа к языку программирования высокого уровня.

Помимо эксплойт-комплекта DarkSword, запускаемого в один клик, iVerify также нашла эксплойт для Safari с выходом из песочницы, повышением привилегий и внедрением уязвимостей в память, который позволял красть конфиденциальные данные с устройств.

При этом атаки DarkSword инициируются в браузере Safari, где с помощью множества эксплойтов операторы получают доступ к чтению/записи ядра, а затем выполняют код через основной компонент оркестратора (pe_main.js).

Неизвестно, как именно были взломаны сайты, задействованные в замеченных атаках, но у злоумышленников были достаточные права для внедрения вредоносных iframe-элементов в HTML-код этих сайтов.

Оркестратор внедряет JavaScript-движок в привилегированные службы iOS, такие как App Access, Wi-Fi, Springboard, Keychain и iCloud, а затем активирует модули для кражи данных.

Согласно анализу Lookout, в число объектов, на которые нацелена DarkSword, входят: сохраненные пароли, фотографии, базы данных WhatsApp и Telegram, криптокошельки (Coinbase, Binance, Ledger и др.), SMS, контакты, история звонков, местоположений, браузера, cookies, Wi-Fi и пароли, Apple Health, календарь, заметки, установленные приложения и связанные аккаунты.

DarkSword удаляет временные файлы и завершает работу, когда указанная выше информация передается злоумышленникам, что указывает на то, что он не был разработан для проведения долгосрочных операций по кибершпийнажу.

Пользователям iPhone рекомендуется обновить iOS до версии 26.3.1 (последняя), выпущенной ранее в этом месяце, и активировать режим блокировки, если существует высокий риск заражения вредоносным ПО.

Исследователи раскрыли 9 критических уязвимостей IP KVM, которые позволяют получать несанкционированный доступ с правами root и контроль над скомпрометированными хостами.

Устройства IP KVM обеспечивают удаленный доступ к клавиатуре, видеовыходу и мыши целевого компьютера на уровне BIOS/UEFI.

Обнаруженные Eclypsium проблемы затрагивают четыре различных продукта: GL-iNet Comet RM-1, Angeet/Yeeso ES3 KVM, Sipeed NanoKVM и JetKVM. Наиболее серьезные из них позволяют неавторизованным пользователям получить root-доступ или запустить вредоносный код.

Среди общих дефектов исследователи выделили: отсутствие проверки подписи прошивки, отсутствие защиты от брута, неработающие механизмы контроля доступа и открытые интерфейсы отладки, а их перечень выглядит следующим образом:

- CVE-2026-32290 (CVSS: 4.2): недостаточная проверка подлинности прошивки в KVM-переключателе GL-iNet Comet (планируется исправление);

- CVE-2026-32291 (CVSS: 7.6): проблема доступа к корневому каталогу универсального асинхронного приемопередатчика (UART) в KVM-сервере GL-iNet Comet (планируется исправление);

- CVE-2026-32292 (CVSS: 5.3): недостаточная защита от брут-атак в GL-iNet Comet KVM (исправлено в версии 1.8.1 BETA);

- CVE-2026-32293 (CVSS: 3.1): небезопасное первоначальное выделение ресурсов через неаутентифицированное облачное соединение в GL-iNet Comet KVM (исправлено в версии 1.8.1 BETA);

- CVE-2026-32294 (CVSS: 6.7): недостаточная проверка обновлений в JetKVM (исправлено в версии 0.5.4);

- CVE-2026-32295 (CVSS: 7.3): недостаточное ограничение скорости запросов в JetKVM (исправлено в версии 0.5.4);

- CVE-2026-32296 (CVSS: 5.4): раскрытие конфигурации конечной точки в Sipeed NanoKVM (исправлено в NanoKVM версии 2.3.1 и Pro 1.2.4);

- CVE-2026-32297 (CVSS: 9.8): отсутствие аутентификации для критической функции в Angeet ES3 KVM, приводящая к RCE (исправление отсутствует);

- CVE-2026-32298 (CVSS: 8.8): внедрение команд ОС в Angeet ES3 KVM (исправление отсутствует).

Как отмечает исследователи, это не какие-то экзотические 0-day, а просчеты в фундаментальных мерах безопасности, которые должны быть реализованы на любом сетевом устройстве.

Злоумышленник может использовать эти уязвимости для внедрения нажатий клавиш, загрузки со съемных носителей с целью обхода шифрования диска или защиты Secure Boot, обхода экранов блокировки и доступа к системам, и, что более важно, оставаться незамеченным ПО безопасности, установленным на уровне ОС.

Причем, это уже не первый случай обнаружения проблем в IP KVM-устройствах. Так, в июле 2025 года Positive Technologies выявляла пять уязвимостей в коммутаторах ATEN International (CVE-2025-3710, CVE-2025-3711, CVE-2025-3712, CVE-2025-3713 и CVE-2025-3714), которые могли привести к DoS и RCE.

В качестве мер по снижению рисков рекомендуется внедрить MFa там, где это поддерживается, изолировать KVM-устройства в выделенной управляющей VLAN, ограничить доступ в Интернет, использовать такие инструменты, как Shodan, для проверки на наличие внешних угроз, отслеживать неожиданный сетевой трафик к/от устройств и поддерживать прошивку в актуальном состоянии.

Ведь, как заявляют в Eclypsium, злоумышленник, взломавший KVM-переключатель, способен скрывать инструменты и бэкдоры на самом устройстве, повторно заражая хост-системы даже после устранения проблемы.

Исследователи Dream обнаружили критическую уязвимость в демоне telnet (telnetd) библиотеки GNU InetUtils, которая может быть использована неавторизованным удаленным злоумышленником для выполнения произвольного кода с повышенными привилегиями.

Уязвимости присвоен идентификатор CVE-2026-32746.

Она имеет оценку CVSS 9,8 из 10,0 и связана с записью за пределами допустимого диапазона в обработчике LINEMODE Set Local Characters (SLC), что приводит к переполнению буфера и, в конечном итоге, открывает путь для RCE.

Dream обнаружила проблему и сообщила об уязвимости 11 марта 2026 года, заявиляя, что она затрагивает все версии реализации сервиса Telnet вплоть до 2.7.

Исправление уязвимости ожидается не позднее 1 апреля 2026 года.

Неавторизованный удалённый злоумышленник может использовать ее, отправив специально сформированное сообщение во время первоначального установления соединения - до запроса на авторизацию. Успешная эксплуатация может привести к RCE с правами root.

Для активации уязвимости достаточно одного сетевого подключения к порту 23 и специально сформированного SLC-опциона с множеством триплетов. Никаких учетных данных, никакого взаимодействия с пользователем и никакого специального сетевого положения не требуется.

Ошибка возникает во время согласования параметров, до появления запроса на авторизацию. Переполнение приводит к повреждению памяти и может быть преобразовано в произвольные операции записи.

Согласно данным Dream, обработчик SLC обрабатывает согласование параметров во время рукопожатия по протоколу Telnet.

Но, учитывая, что уязвимость может быть активирована до аутентификации, злоумышленник может использовать её сразу после установления соединения, отправляя специально сформированные протокольные сообщения.

Успешная эксплуатация уязвимости может привести к полной компрометации системы, если telnetd запущен с правами root.

Это, в свою очередь, может привести к различным действиям на этапе постэксплуатации, включая развертывание постоянных бэкдоров, утечку данных и горизонтальное перемещение с использованием скомпрометированных хостов в качестве точек опоры.

Поскольку telnetd обычно работает от имени root (например, под inetd или xinetd), успешная эксплойт-атака предоставит злоумышленнику полный контроль над системой.

В отсутствие решения проблемы рекомендуется отключить службу, если она не нужна, запускать telnetd без прав root там, где это необходимо, блокировать порт 23 на периметре сети и на уровне брандмауэра хоста для ограничения доступа, а также изолировать доступ к Telnet.

ConnectWise предупреждает клиентов ScreenConnect об уязвимости в проверке криптографической подписи, которая может привести к несанкционированному доступу и повышению привилегий.

Уязвимость затрагивает все версии ScreenConnect до 26.1 включительно. Она отслеживается как CVE-2026-3564 и получила критическую оценку серьезности.

ScreenConnect представляет собой платформу удаленного доступа, обычно используемая MSP-поставщиками, ИТ-отделами и группами поддержки. Она может размещаться в облаке компании ConnectWise или локально на сервере заказчика.

Злоумышленник может использовать эту уязвимость в системе безопасности для извлечения и использования ключей ASP.NET для несанкционированной аутентификации сеансов.

Как поясняют в ConnectWise, если ключевой материал машины для экземпляра ScreenConnect будет раскрыт, злоумышленник сможет генерировать или изменять защищенные значения таким образом, что экземпляр сможет принять их за допустимые.

Это может привести к несанкционированному доступу и несанкционированным действиям в рамках ScreenConnect.

Производитель решил эту проблему, добавив более надежную защиту ключей машины, включая зашифрованное хранение и улучшенную обработку, начиная с  версии ScreenConnect 26.1.

Пользователи облачных сервисов были автоматически переведены на безопасную версию, однако системным администраторам, управляющим локальными развертываниями, необходимо как можно скорее обновиться до версии 26.1.

ConnectWise также заявила, что исследователи зафиксировали попытки злоупотребления раскрытыми данными о ключах доступа к ASP.NET в реальных условиях.

Однако на текущий момент нет доказательств активной эксплуатации в ScreenConnect, размещенном на серверах ConnectWise, именно CVE-2026-3564, как и IoC, которыми она могла бы поделиться с защитниками.

Тем не менее, в компании призывают всех исследователей, подозревающих или выявивших реальную эксплуатацию, ответственно раскрывать информацию, чтобы полученные данные могли быть подтверждены и надлежащим образом учтены.

Вместе с тем, высказываются предположения, что китайские хакеры активно использовали эту уязвимость в течение многих лет, но неясно, была ли использована та же самая уязвимость в системе безопасности.

Помимо обновления ScreenConnect до 26.1, поставщик также рекомендует ужесточить контроль доступа к файлам конфигурации и секретным данным, проверять журналы на предмет необычной активности аутентификации, защищать резервные копии и старые снимки данных, а также поддерживать расширения в актуальном состоянии.

Операторы Interlock с конца января нацелились на RCE-уязвимость максимальной степени серьезности в программном обеспечении Cisco Secure Firewall Management Center (FMC) в рамках реализации серии 0-day атак.

Банда вымогателей Interlock впервые нарисовались в сентябре 2024 года и была связана с кампанией ClickFix, а также с атаками, в ходе которых задействовался троян удаленного доступа под названием NodeSnake в сетях нескольких университетов Великобритании.

Кром того, Interlock провернула атаки на DaVita, Kettering Health, систему Техасского технологического университета и сети Сент-Пола (штат Миннесота, США).

Недавно исследователи IBM X-Force предупреждали, что операторы Interlock приступили к развертыванию нового штамма вредоносного ПО под названием Slopoly, предположительно, разработанного с использованием инструментов генеративного ИИ.

Возвращаясь к Cisco, упомянутая уязвимость отслеживается как CVE-2026-20131 и была устранена 4 марта. Она позволяет неавторизованным злоумышленникам удаленно выполнять произвольный код Java с правами root на устройствах без установленных исправлений.

В свою очередь, исследователи Amazon установили, что операторы Interlock более месяца использовала уязвимость Secure FMC в атаках на корпоративные межсетевые экраны, прежде чем она была раскрыта и справлена, начиная с 26 января 2026 года.

Это была не просто очередная уязвимость, для Interlock это была 0-day, что давало им недельную фору для компрометации организаций еще до того, как специалисты по защите успели что-либо проверить.

4 марта 2026 года Cisco выпустила уведомление по безопасности, в котором сообщалось об уязвимости в веб-интерфейсе программного обеспечения Cisco Secure Firewall Management Center, в котором поставщик представил самую последнюю информацию.

В компании настоятельно рекомендуют клиентам как можно скорее обновить ПО и обратиться к уведомлению для получения более подробной информации и рекомендаций.

С начала года в линейке востребованных киберподпольем решений Cisco расположились Cisco AsyncOS (с ноября 0-day использовалась для взлома защищенных почтовых устройств), Unified Communications (январская критическая RCE применялась в 0-day атаках), Catalyst SD-WAN (февральский ноль эксплуатировался для обхода аутентификации). Добавилась Cisco Secure Firewall Management Center (FMC).

ThreatFabric в своем отчете препарирует новую вредоносную ПО для Android под названием Perseus, которая шерстит по созданным пользователями заметкам для кражи конфиденциальной информации, включая пароли, фразы восстановления или финансовые данные.

Распространяемый через неофициальные магазины под видом IPTV, Perseus позволяет полностью захватывать управление устройством, делать скриншоты и проводить атаки с использованием наложений.

Злоумышленник, выдавая себя за приложения IPTV, нацеливается на то, что пользователь сможет установить APK вне Google Play, игнорируя при этом предупреждения системы безопасности.

Подобная легенда задействуется в последние восемь месяцев, поскольку пользователи ищут бесплатные или недорогие способы доступа к прямым трансляциям спортивных событий.

В недавней аналогичной кампании злоумышленники также использовали приложение IPTV в качестве приманки для аспространения банковского вредоносного ПО Massiv для Android.

По данным ThretFabric, Perseus, в первую очередь, нацелен на финансовые учреждения в Турции и Италии, а также на криптовалютные сервисы.

Одно из приложений, загружающих вредоносное ПО, называется Roja Directa TV, это популярный сервис потокового вещания спортивных трансляций, который не раз становился объектом нарушений авторских прав и блокировок.

Программа-дроппер для Perseus может обходить ограничения на установку вредоносных ПО из сторонних источников в Android 13+ и является той же самой, что используется для распространения вредоносных ПО Klopatra и Medusa.

Как отмечают исследователи, Perseus, по всей видимости, базируется на коде Phoenix, который, в свою очередь, унаследовал код Cerberus, просочившийся в сеть почти шесть лет назад.

Вредоносная ПО имеет две версии: одна на турецком языке, а другая, более усовершенствованная, на английском, которая также отличается улучшенной отладкой и дополнительными функциями, повышающими удобство использования.

В английском варианте код содержит обширные записи логов и эмодзи, что является убедительным свидетельством использования инструментов ИИ в процессе разработки.

В списке целевых финансовых учреждений страны также прослеживается ориентация на Турцию (17), за которой следуют Италия (15), Польша (5), Германия (3) и Франция (2). Вредоносное ПО также нацелено на 9 приложений для криптовалют.

Злоупотребляя службами специальных возможностей Android, Perseus предоставляет операторам полный удаленный контроль над зараженными устройствами, позволяя им: делать снимки экрана, имитировать различные виды касаний, включать экран, запускать приложения, производить наложения экрана, осуществлять перехват нажатий клавиш и др.

Перед запуском Perseus проводит обширные проверки на предмет защиты от анализа, включая получение root-прав, отпечатков эмуляторов, данных SIM, профиля оборудования, данных о батарее, наличия Bluetooth, количества приложений и доступности сервисов Google Play, а также формирует «оценку подозрительности». На основании этого показателя оператор решает, следует ли продолжать кражу данных.

Наиболе примечательная функция Perseus нацелена на приложения для создания заметок на Android, включая Google Keep, Xiaomi Notes, Samsung Notes, ColorNote, Evernote, Microsoft OneNote и Simple Notes.

Исследователи ThreatFabric отмечают, что это первый случай, когда они обнаружили вредоносное ПО для Android, проверяющее конфиденциальную информацию в личных заметках на устройстве, что отражает более широкий интерес к контекстным и персонализированным данным.

Ubiquiti выпустила экстренные обновления, включая патч прошивки UniFi Express, которые устраняют две уязвимости в приложении UniFi Network Application, ПО для управления устройствами UniFi, настройки сетей Wi-Fi, конфигурации брандмауэров, мониторинга трафика и многого другого.

Одна из уязвимостей, CVE-2026-22557, имеет максимальную оценку серьезности 10 из 10, эксплуатация тривиальна и может привести к полной компрометации системы.

Злоумышленник, имеющий доступ к сети, может использовать уязвимость обхода пути в приложении UniFi Network для доступа к файлам в базовой системе, которые можно использовать уже для получения доступа к учетной записи.

Уязвимость затрагивает все версии программного обеспечения, выпущенные до 18 марта 2026 года. Наиболее уязвимы пользователи, серверы которых подключены к интернету.

Ubiquiti настоятельно рекомендует сетевым администраторам обновить официальную и тестовую версии приложения UniFi Network до последней версии, а также установить патч для прошивки UniFi Express, что позволит обновить приложение UniFi Network до безопасной версии.

Программное обеспечение имеет широкую популярность среди пользователей, его можно разместить на собственном сервере Linux, компьютере с Windows, macOS или в контейнере Docker.

Вторая обнаруженная уязвимость имеет рейтинг серьезности 7,7 из 10 и представляет собой ошибку внедрения аутентифицированных NoSQL-запросов. Она позволяет злоумышленникам, получившим аутентифицированный доступ к сети, повысить свои привилегии.

Чтобы снизить риск задержек с установкой обновлений, компания рекомендует пользователям перейти на UniFi OS Server для всех развертываний с самостоятельным размещением, который включает в себя полный набор приложений UniFi Network и другие инструменты.

К числу затронутых продуктов относятся следующие: официальная UniFi Network версия 10.1.85 и более ранние; предварительная UniFi Network 10.2.93 и более ранние, а также UniFi Express (UX) - приложение UniFi Network версия 9.0.114 и более ранние.

Поставщик в своем предупреждении не упоминает, фиксировалась ли активная эксплуатация этих проблем в дикой природе.

По прошествии почти десятилетия оборона Xbox One пала. Исследователь Маркус Гааседелен на RE//verse 2026 анонсировал «революционный» взлом консоли от Microsoft.

Xbox One оставалась «неприступной крепостью» с момента своего выпуска в 2013 году, но теперь и ее распечатали.

Подобно тому, как Xbox 360 стал жертвой взлома с помощью Reset Glitch Hack (RGH), Xbox One была распакована с помощью Voltage Glitch Hacking (VGH).

Исследователи Лаборатории Касперского предупредили о новой вредоносной кампании группировки Head Mare, нацеленной на образовательные и научные учреждения, а также организации в энергетическом секторе в России.

Зедетектить активность удалось в феврале 2026 года, сама же кампания была активна как минимум с декабря 2025 года.

Жертвы получали ссылку - приглашение на видеоконференцию, после перехода по которой пользователю предлагалось установить сервис для подключения к видеозвонку.

В процессе установки происходило заражение системы - на устройство устанавливался ранее неизвестный бэкдор, который в ЛК назвали PhantomPxPigeon.

В настоящее время, как отмечают исследователи, наблюдается новая волна схожей активности, в частности в поле зрения попал целый ряд скомпрометированных серверов TrueConf у различных организаций из области транспорта, а также у научных и образовательных учреждений.

Дистрибутивы клиентского приложения TrueConf, которое скачивается с этих серверов, были подменены на вредоносные.

Таким образом, потенциально могли быть скомпрометированы и другие организации, сотрудники которых могли установить вредоносные версии клиентского приложения.

Вектор атаки, приводящий к подмене клиентского приложения на текущий момент непонятен, но злоумышленники предположительно могли использовать уже известную уязвимость BDU:2025-10116, которая была выявлена исследователями и исправлена вендором в августе 2025 года.

В связи с этим в Лаборатории Касперского рекомендуют всем использующим ПО TrueConf установить актуальную версию сервера в соответствии с рекомендациями вендора.

Кроме того, следует убедиться, что клиентские дистрибутивы, загружающиеся с сервера TrueConf, используемого в организации, имеют действительную цифровую подпись TrueConf и не подменены.

Обнаруженные ЛК вредоносные дистрибутивы не имеют действительной цифровой подписи.

Проверить подлинность можно также на сайте производителя.

Решения Лаборатории Касперского эффективно детектируют и блокируют вредоносные инсталляторы. В рамках сервиса Kaspersky Managed Detection and Response вредоносная активность также обнаруживается.

Актуальные IOCs - на сайте Лаборатории Касперского.

Подкатила новая утечка - BlueLeaks 2.0: называющая себя Internet Yiff Machine группа хактивистов утверждает, что, используя уязвимости, смогла взломать платформу правоохранительных органов P3 Global Intel под управлением Navigate360.

После эксфильтрации содержимого общим размером в более чем 93 ГБ Internet Yiff Machine слил данные платформы журналистам (здесь) и админам проекта DDoSecrets (здесь).

BlueLeaks 2.0 содержит миллионы сообщений и информации о предполагаемых преступлениях и террористических актах, поступавших в P3 Global Intel на протяжении нескольких десятилетий.

При этом поступающая информация используются разведывательными и правоохранительными органами по всей территории США и в ряде других стран, а также десятками тысяч школ. Это своего рода «платформа №1» для центров анализа информации и разведподразделений.

Данные также включают информацию об учетных записях клиентов компании, а также копии запросов в службу поддержки, отправленных пользователями. Кроме того, также и переписку между информаторами и теми, кто получал информацию о преступлениях.

Тематика доносов варьируются от обвинений в мелком воровстве до серьезных преступлений, включая торговлю людьми, жестокое обращение с детьми и терроризм.

Причем утечка охватывают период с 1987 года, учитывая, что P3 с момента своего основания постоянно интегрировала в свою систему старые сообщения о преступлениях, которые ранее поступали через колл-центры.

Опубликованные данные опровергают некоторые заявления P3, прежде всего по части шифрования хранящихся в системе данных, поскольку они были получены хакерами в открытом виде.

P3 также заявляет, что процесс сбора информации и обмена сообщениями является анонимным, однако слитые сведения указывают на то, что администраторам тайно предоставляется возможность деанонимизировать пользователей.

На фоне широкомасштабного распространения в среде киберподполья продвинутых эксплойт-платформ Coruna и DarkSword, Apple выпустила рекомендации, настоятельно рекомендуя пользователям с устаревшими версиями iOS обновить свои iPhone.

Все для защиты от атак watering hole с использованием Coruna и DarkSword, в которых задействуется вредоносный веб-контент для запуска цепочки заражения в отношении устаревших версий iOS, которая приводит к краже конфиденциальных данных.

Apple заверила о проведении тщательного расследования в отношении обнаруженных проблем и эффективности выпущенных обновлений для самых последних версий ОС, которые гарантируют устранение уязвимостей и предотвращение подобных атак.

Пользователям с установленной последней версией программного обеспечения iPhone, ничего предпринимать не нужно. Предупреждение касается iOS с 15 по 26, в которых исправлены различные уязвимости безопасности, используемые эксплойт-комплектами.

Для остальных Apple рекомендует следующий порядок действий:

- Для более старых устройств, которые не могут обновиться до последней версии iOS, следует накатить iOS до версии 15.8.7, iPadOS 15.8.7, iOS 16.7.15, iPadOS 16.7.15.

- Обновить iOS до версии 15 на устройствах с iOS 13 или iOS 14, чтобы получить новейшие средства защиты, а также критическое обновление безопасности, которое, как ожидается, будет выпущено в ближайшие несколько дней.

- В ситуациях, когда обновление устройства невозможно, рекомендуется включить режим блокировки (Lockdown Mode), если он доступен.

iVerify полагает, что обнаруженные в широком канале эксплуатации уязвимости iOS, ранее задействовавшиейся в узко таргетированных APT-атаках, свидетельствуют о том, что мощные инструменты кибершпионажа и эксплойтная техника для мобильных устройств государственного уровня доступны на вторичном рынке для менее продвинутых злоумышленников.

Как отмечают в iVerify, относительная простота развертывания эксплойта, а также его быстрое внедрение множеством злоумышленников в разных странах указывают на формирование новой критической угрозы, связанной с широкомасштабными мобильными атаками.

Имеющиеся данные подтверждают, что эти уязвимости легко перепрофилировать и повторно использовать, что делает весьма вероятным активное заражение пользователей, не получивших обновления, модифицированными версиями.

Исследователи Sansec сообщают, что недавно обнаруженная уязвимость, получившая название PolyShell, затрагивает все установленные версии Magento Open Source и Adobe Commerce stable version 2, позволяя выполнять несанкционированный код и захватывать учетные записи.

Признаков активного использования уязвимости в реальных условиях пока нет, однако Sansec предупреждает, что метод эксплуатации уже распространяется и ожидает скорого начала автоматизированных атак.

В свою очередь, Adobe выпустила исправление, но оно доступно только во второй альфа-версии 2.4.9, что делает уязвимыми рабочие версии.

Sansec полагают, что Adobe предлагает «пример конфигурации веб-сервера, который в значительной степени ограничит последствия», но большинство магазинов используют настройку от своего хостинг-провайдера.

Согласно отчету исследователей, проблема безопасности заключается в том, что REST API Magento принимает загрузку файлов в качестве части пользовательских опций для товара в корзине.

Когда у опции товара указан тип file, Magento обрабатывает встроенный объект file_info, содержащий закодированные в base64 данные файла, MIME-тип и имя файла. Файл записывается в папку pub/media/custom_options/quote/ на сервере.

В связи с чем, Sansec отметили, что название PolyShell происходит от использования полиглотного файла, который может выступать одновременно и в качестве изображения, и в качестве скрипта.

В зависимости от конфигурации веб-сервера, уязвимость может привести к RCE или захвату учетной записи посредством XSS-атаки, что затронет большинство проанализированных исследователями хранилищ.

Sansec провела расследование во всех известных магазинах, использующих платформы Magento и Adobe Commerce, обнаружив, что во многих из них файлы находятся в каталоге для загрузки.

До тех пор, пока Adobe не выпустит исправление для рабочих версий, администраторам рекомендуется:

- ограничить доступ к pub/media/custom_options/;

- убедиться, что правила nginx или Apache действительно блокируют доступ к этому ресурсу;

- просканировать магазины приложений на наличие загруженных шелл, бэкдоров или другого вредоносного ПО.