Fortinet выпустила экстренное обновление в выходные дни для устранения новой критической уязвимости в сервере управления предприятием FortiClient (EMS), которая активно используется в атаках.

Уязвимость отслеживается как CVE-2026-35616 и представляет собой некорректную уязвимость контроля доступа, позволяющую неавторизованным злоумышленникам выполнять код или команды с помощью специально сформированных запросов.

Проблема была устранена в субботу. При этом Fortinet предупредила, что она была использована злоумышленниками в реальных условиях, настоятельно рекомендуя уязвимым клиентам установить исправление.

Уязвимость затрагивает FortiClient EMS 7.4.5 и 7.4.6 и может быть устранена путем установки одного из следующих исправлений: для FortiClientEMS 7.4.5 (здесь) и для FortiClientEMS 7.4.6 (здесь). Она также будет исправлена в 7.4.7. Версия FortiClient EMS 7.2 не затронута.

Уязвимость была обнаружена исследователями Defused, который описывают ее как обход доступа к API до аутентификации, позволяющий злоумышленникам полностью обходить средства аутентификации и авторизации.

В Defused отдельно отметила, что на этой неделе они уже наблюдали, как уязвимость использовалась в качестве 0-day, после чего сообщили об этом в Fortinet в соответствии с принципом ответственного раскрытия информации.

В свою очередь, Shadowserver обнаружили более 2000 незащищенных экземпляров FortiClient EMS в сети, большинство из которых расположены в США и Германии.

Данная уязвимость является следствием отдельной критической уязвимости в FortiClient EMS - CVE-2026-21643, о которой сообщалось на прошлой неделе и которая также активно используется в атаках.

Обе уязвимости были обнаружены Defused, при этом компания Fortinet также отметила заслугу Нгуена Дык Аня в обнаружении последней уязвимости.

Fortinet настоятельно рекомендует клиентам немедленно установить исправления или обновить систему до версии 7.4.7, когда она станет доступна, чтобы снизить риск компрометации.

Киберподполье проворачивает масштабную кампанию по автоматизированной краже учетных данных с использованием React2Shell (CVE-2025-55182) в уязвимых приложениях Next.js.

По меньшей мере 766 хостов различных облачных провайдерах были взломаны с целью сбора учетных данных баз данных и AWS, закрытых ключей SSH, ключей API, облачных токенов и секретов среды.

В операции задействована платформа NEXUS Listener и автоматизированные скрипты для извлечения и эксфильтрации конфиденциальных данных из различных приложений.

Cisco Talos связывает эту активность с кластером угроз UAT-10608. Исследователи получили доступ к открытому экземпляру NEXUS Listener, что позволило им проанализировать тип данных, собранных с скомпрометированных систем, и понять, как работает веб-приложение.

Атака начинается с автоматического сканирования уязвимых приложений Next.js, взлом которых осуществляется через React2Shell. В стандартный временный каталог помещается скрипт, выполняющий многоэтапную процедуру сбора учетных данных.

По данным Cisco Talos, хакеры нацелены на следующие данные: переменные окружения и секреты (ключи API, учетные данные базы данных, токены GitHub/GitLab), SSH-ключи, учетные данные облачных сервисов (метаданные AWS/GCP/Azure, учетные данные IAM), токены Kubernetes, сведения в отношении Docker/контейнера, история администрирования и данные процесса и времени выполнения.

Конфиденциальные данные передаются по частям, каждая из которых отправляется через HTTP-запрос по порту 8080 на сервер C2, на котором запущен компонент NEXUS Listener. Затем злоумышленник получает подробный обзор данных, включая поиск, фильтрацию и статистические данные.

Приложение содержит список нескольких статистических данных, включая количество скомпрометированных хостов и общее количество учетных данных каждого типа, которые были успешно извлечены с этих хостов.

Также указывается время безотказной работы самого приложения. В данном случае автоматизированная система эксплуатации и сбора данных смогла успешно скомпрометировать 766 хостов в течение 24 часов.

Украденные секреты позволяют злоумышленникам захватывать облачные учетные записи и получать доступ к базам данных, платежным системам и другим сервисам, а также открывают возможности для атак на цепочку поставок. SSH-ключи могут использоваться для горизонтального перемещения.

Cisco подчеркивает, что скомпрометированные данные, включая персональные сведения, также подвергают жертв регулятивным последствиям в связи с нарушениями законодательства о защите частной жизни.

Исследователи рекомендуют системным администраторам устанавливать обновления для React2Shell, проводить аудит утечки данных на стороне сервера и немедленно менять все учетные данные при возникновении подозрения на компрометацию.

Кроме того, рекомендуется внедрить AWS IMDSv2 и заменить все повторно используемые SSH-ключи, а также включить сканирование секретов, развернуть защиту WAF/RASP для Next.js и обеспечить принцип минимальных привилегий для контейнеров и облачных ролей.

Исследователи F6 отметили новую тактику финансово мотивированных злоумышленников, атакующих российские компании.

В частности, Hive0117 в ходе целевых атак в феврале-марте 2026 года заражала компьютеры бухгалтеров с использованием вредоносных писем, получала доступ к системам ДБО и выводила деньги на счета дропов, в том числе под видом перечисления зарплаты.

Злоумышленники реализовали рассылки в адрес более 3000 российских компаний из разных отраслей. Причем в марте частота и масштаб рассылок группы заметно возросли.

В указанный период F6 удалось задетектить несколько масштабных волн с рассылокми вредоносных писем, которые специалисты связали с киберпреступной группой Hive0117.

Hive0117 представляет собой финансово мотивированную группировку, действующую с конца 2021 года. Она примечательна использованием бесфайлового вредоносного ПО DarkWatchman.

Нацелена на финансовые отделы организаций из различных отраслей. Помимо России, среди целей были замечены пользователи из Литвы, Эстонии, Беларуси и Казахстана.

В новой кампании вредоносные письма отправлялись, предположительно, с скомпрометированных почтовых ящиков, один из которых принадлежит московскому разработчику сайтов и мобильных приложений.

Во всех случаях в письмах с темами «Акт сверки», «Счёт на оплату» и «Уведомление об окончании срока бесплатного хранения» злоумышленники доставляли вредоносное ПО DarkWatchman.

Это троян удаленного доступа, который используется Hive0117 для скрытого удаленного доступа к зараженному компьютеру, на котором RAT способен выполнять различные команды: загрузку других вредоносных ПО, шпионаж и дальнейшее распространение по сети.

Доставляется, преимущественно, через фишинговые письма с запароленными архивами.

Анализ содержимого писем показал, что целевой аудиторией злоумышленников стали специалисты финансовых департаментов.

Вредоносный файл скрывался в RAR-архивах под видом счетов на оплату, актов сверок, накладных. Пароли к этим архивам были указаны в тексте письма.

При открытии архива пользователь запускал скрытый внутри файл, который приводил к установке трояна. После этого злоумышленники могли получить доступ к системам ДБО, через которые бухгалтеры совершают платёжные операции.

Как отмечают в F6, особенность выявленных атак на бухгалтеров образца 2026 года – в новой тактике, которую злоумышленники применяют для кражи денег со счетов компаний.

Продвинутые антифрод-решения, которые банки используют для защиты клиентов – физических лиц позволяют за считанные доли секунды проанализировать каждую платёжную операцию по множеству параметров и показателей, позволяя заблокировать подозрительные переводы.

Для вывода денег со счетов организаций хакеры применили новую уловку. Используя удалённый доступ к системам дистанционного банковского обслуживания через взломанные компьютеры бухгалтеров, они оформляли платежи для зачисления на банковские счета по реестру.

Формально это выглядело как перечисление зарплаты, однако в реестре были указаны банковские счета дропов.

Если такие платёжные операции обходили антифрод-системы, злоумышленники получали возможность вывести со счетов компаний значительные суммы.

По данным F6, средняя сумма ущерба для компаний в результате успешных атак злоумышленников составила около 3 млн руб., максимальная сумма похищенного превысила 14 млн руб.

Технический анализ - в отдельном отчете.

Исследователи Лаборатории Касперского анализируют новые версии червя CMoon, разбирают его происхождение и доказывают его принадлежность к RGB-Team.

Последняя представляет собой хактивистскую группу, позиционирующую себя как проукраинскую и нацеленную на организации в России.

Последняя замеченная активность RGB-Team датируется июлем 2024 года и в настоящий момент группа, можно сказать, что бездействует. Однако, если не считать публичных высказываний самих злоумышленников, атаки RGB-Team до сих пор были мало описаны.

В числе жертв RGB-Team фигурируют муниципальные образования, объекты химической промышленности и государственно‑гражданские службы.

В отличие от других хактивистов, использующих шифровальщики для нанесения ущерба, RGB-Team атакует с целью извлечь конфиденциальные данные. Для проведения атак злоумышленники используют самописный червь CMoon.

Например, в последней известной кампании выкрали данные у газовой компании и опубликовали их в своем ТГ‑канале. ЛК описывала эту кампанию CMoon летом 2024 года, а позже RGB-Team взяла на себя ответственность за проведенные атаки.

В процессе мониторинга угроз исследователи ЛК обнаружили новый образец CMoon в виде бинарного файла с двойным расширением zayavka-dlya-yur-lits.docx.exe, который датируется октябрем 2024 года и относится к ранее неизвестной кампании.

Как и более старые образцы, он скомпилирован на .NET версии 4.7.2 и распространялся он тоже через фишинговые письма, однако в качестве вложения.

Запустившись, этот вариант проверяет, не заражено ли устройство уже, также в нем присутствует AntiVM-модуль, который детектирует наличие виртуальной среды, песочниц и отладчиков.

После успешного прохождения всех проверок CMoon закрепляется через Alternate Data Streams (ADS). Следует отметить, что в нем используется довольно необычный механизм обфускации.

Изначально зловред запускается в необфусцированном виде. В процессе работы он проверяет свою контрольную сумму по алгоритму MD5 в поисковом движке Google, если обнаруживает хотя бы одну страницу в поисковой выдаче, то начинает процесс обфускации.

Все представленные функции управляются жестко прописанным в коде троянца конфигурационным файлом, который создается при сборке образца. Управление CMoon осуществляется через С2-сервер, а данные эксфильтруются через Telegram.

Как и предыдущие версии, новые образцы CMoon общаются с C2-сервером по протоколу TCP. При этом исходящие пакеты по-прежнему начинаются с автографа зловреда (строки CMOON$).

К сожалению, ЛК не удалось найти билдер CMoon, но на одном из зараженных хостов также находился архив ct.rar, содержащий билдер под названием DarkBuilder, в котором используются те же функции, что и в образце CMoon.

Кроме того, на том же хосте нашелся образец стилера WhiteSnake, в коде которого есть ссылки на C2-сервер, связанный с CMoon. Его анализ показал, что он был собран с помощью ранее найденного DarkBuilder.

В процессе исследования в ЛК столкнулись с множеством примеров использования DarkBuilder в реальной среде. При этом хосты, на которых он был обнаружен, никак не связаны друг с другом, что может указывать на компрометацию исходного кода билдера.

Однако исследователям удалось получить одну из первых версий, сравнить ее с новыми и выяснить, кто за ней стоит: в обнаруженной ранней версии DarkBuilder присутствуют метаданные, ссылающиеся на профиль на GitHub, который был связан с вымогательской группой Eternity.

Как отмечают в ЛК, на данный момент никакой новой активности RGB-Team не наблюдается, однако нет гарантии, что они не возобновят атаки, как иногда это делают хактивисты.

Технические подробности, способы обнаружения атак RGB-Team и IOCs - в отчете.

В паблик просочился эксплойт для неисправленой EoP-уязвимости в Windows, о которой Microsoft уведомили в частном порядке. Она позволяет злоумышленникам получить права доступа к системе (SYSTEM) или права администратора с повышенными привилегиями.

Уязвимость получила название BlueHammer и была раскрыта исследователем, который остался недоволен тем, как Microsoft MSRC отработала процесс раскрытия информации.

Поскольку для уязвимости нет официального патча и обновлений для ее устранения, согласно классификации Microsoft, ее можно считать уязвимостью нулевого дня.

Неясно, что конкретно послужило поводом для публичного распространения PoC. В коротком сообщении некий исследователь Chaotic Eclipse заявил: «Я не блефовал перед Microsoft, и я делаю это снова».

Он пояснил, что «в отличие от прошлого раза, он не будет объяснять, как это работает; гении из Microsoft, сами должны это выяснить. Исследователи nакже выразил «огромное спасибо» руководству MSRC за то, что это стало возможным.

3 апреля Chaotic Eclipse опубликовал на GitHub репозиторий, посвященный эксплойту BlueHammer с названием Nightmare-Eclipse, выразив недоверие и разочарование по поводу того, как Microsoft разрешила проблему безопасности.

Исследователь также отметил, что в коде PoC содержатся ошибки, которые могут помешать его эффективной работе.

В свою очередь, Уилл Дорманн подтвердил, что эксплойт BlueHammer работает, отметив, что уязвимость представляет собой локальное повышение привилегий (LPE), которое сочетает в себе TOCTOU (время проверки до времени использования) и путаницу путей.

Он пояснил, что ее нелегко использовать, и она предоставляет локальному злоумышленнику доступ к базе данных Security Account Manager (SAM), которая содержит хэши паролей для локальных учетных записей.

Получив такой доступ, злоумышленники могут повысить свои привилегии до уровня SYSTEM и потенциально добиться полного взлома машины.

Некоторые исследователи, тестировавшие эксплойт, подтвердили, что код не работает на Windows Server, что подтверждает слова Chaotic Eclipse о наличии ошибок, которые могут препятствовать его корректной работе.

Как выяснил, Уилл Дорманн на серверной платформе эксплойт BlueHammer повышает права доступа с уровня «не-администратор» до уровня «администратор с повышенными правами», что является защитой, требующей от пользователя временного разрешения на операцию, для которой необходим полный доступ к системе.

Хотя причина раскрытия уязвимости Chaotic Eclipse/Nightmare-Eclipse так и незвана четко, Дорманн отмечает, что одним из требований MSRC при отправке информации об уязвимости является предоставление видеозаписи её эксплуатации.

Несмотря на то, что для использования BlueHammer требуется локальный злоумышленник, риски эксплуатации все же значительны, поскольку хакеры могут получить локальный доступ различными способами, включая социнженерию, использование уязвимостей или брута учетных данных.

В Microsoft по части комментариев ограничились стандартными сообщениями по поводу заботы о пользователях и ответственном раскрытии информации об уязвимостях. Впрочем, другого от микромягких никто и не ожидал услышать.

Новая атака GPUBreach способна вызывать изменения битов в памяти GDDR6 графических процессоров с помощью алгоритма Rowhammer и приводит к повышению привилегий и полной компрометации системы.

GPUBreach была разработана группой исследователей из Университета Торонто, а подробная информация будет представлена на предстоящем симпозиуме IEEE по безопасности и конфиденциальности 13 апреля в Окленде.

Как отмечают исследователи, вызванные алгоритмом Rowhammer битовые искажения в памяти GDDR6 могут повредить таблицы страниц графического процессора (PTE) и предоставить непривилегированному ядру CUDA произвольный доступ к чтению/записи в память графического процессора.

Затем злоумышленник может продолжить атаку на стороне процессора, используя уязвимости безопасности памяти в драйвере NVIDIA, что потенциально может привести к полной компрометации системы без необходимости отключения защиты блока IOMMU.

IOMMU - это аппаратный блок, обеспечивающий защиту от прямых атак на память. Он контролирует и ограничивает доступ устройств к памяти, управляя тем, какие области памяти доступны каждому устройству.

Несмотря на то, что IOMMU является эффективной мерой против большинства атак с прямым доступом к памяти (DMA), он не останавливает GPUBreach.

GPUBreach непосредственно показывает, что атаки Rowhammer на графических процессорах могут выходить за рамки простого повреждения данных и приводить к реальному повышению привилегий.

Путем искажения таблиц страниц графического процессора непривилегированное ядро CUDA может получить доступ к произвольному чтению/записи в память графического процессора, а затем привести к повышению привилегий на стороне ЦП, через эксплуатацию недавно обнаруженных уязвимостей памяти в драйвере NVIDIA.

В результате происходит компрометация всей системы вплоть до получения root-прав, без отключения IOMMU, в отличие от современных разработок, что делает GPUBreach более серьезной угрозой.

Кстати, те же исследователи ранее продемонстрировали GPUHammer, первую атаку, показавшую практическую возможность применения атак Rowhammer на графические процессоры, что побудило NVIDIA выпустить предупреждение для пользователей и предложить активировать механизм коррекции ошибок на системном уровне для блокировки подобных попыток на памяти GDDR6.

Однако GPUBreach выводит угрозу на новый уровень, демонстрируя возможность не только повреждения данных, но и получения прав root при включенном IOMMU.

Исследователи продемонстрировали свои выводы на примере графического процессора NVIDIA RTX A6000 с памятью GDDR6. Эта модель широко используется в разработке и обучении систем ИИ.

Исследователи Университета Торонто представили результаты своих исследований NVIDIA, Google, AWS и Microsoft еще 11 ноября 2025 года.

Google подтвердила получение сообщения и выплатила исследователям вознаграждение в размере 600 долларов за обнаружение ошибки.

NVIDIA заявила, что намерена обновить свое существующее уведомление по безопасности от июля 2025 года, чтобы включить в него информацию о недавно обнаруженных возможностях атак.

Как показали исследователи, одного лишь IOMMU недостаточно, если управляемая графическим процессором память может повредить состояние доверенного драйвера, поэтому пользователям, подверженным риску, не следует полагаться исключительно на эту меру безопасности.

Память с кодом коррекции ошибок (ECC) помогает исправлять однобитовые искажения и обнаруживать двухбитовые искажения, но она ненадежна в отношении многобитовых искажений.

В конечном итоге исследователи подчеркнули, что GPUBreach совершенно не поддается устранению на потребительских видеокартах без ECC.

Технические подробности доступны здесь, а репозиторий на GitHub с пакетом для воспроизведения ошибки и скриптами, исследователи опубликуют 13 апреля.

Исследователи Positive Technologies выкатили аналитику по российскому и общемировому рынкам киберучений, оценив насколько схожа их динамика, а также пытаясь проследить, как изменилось отношение компаний к киберучениям за последние годы.

Представленные выводы и прогнозы основаны на собственной экспертизе компании, информации из авторитетных открытых источников, а также на результатах опроса, проведенного в первом квартале 2026 года, в котором приняли участие более 100 отраслевых специалистов.

Большая часть респондентов - представители очень крупных (от 1001 человек) и крупных (от 251 до 1000) организаций (61%), доля среднего (от 101 до 250) бизнеса составила 39%.

Среди них представители разных отраслей, включая финсектор, промышленность, телеком, ИТ, госучреждения, транспорт, образование, торговля, сфера услуг, здравоохранение и др.

При этом распределение респондентов по отраслям было равномерным.

Ключевые результаты:

- Почти половина организаций (48%) оценивают текущий уровень зрелости системы ИБ как «средний». Треть опрошенных считают, что процессы реализованы у них на высоком уровне.

- Только 12% компаний используют для оценки зрелости ИБ формализованные стандарты и метрики, а 75% респондентов заявили о намерении внедрить эту практику в будущем.

- В 14% организаций никогда ранее не проводили и не собираются проводить киберучения, 28% опрошенных планируют начать организовывать тренировки.

- Среди компаний, которые уже проводили киберучения или собираются провести в будущем, 34% полагаются только на собственные ресурсы, 32% рассчитывают на помощь внешних провайдеров услуг ИБ. При этом 53% планируют привлечь к тренировкам весь ИТ-отдел, 35% рассматривают возможность участия в тренировках всех сотрудников.

- Среди организаций, которые уже проводили киберучения, 60% считают, что они были эффективными, 38% опрошенных оценивают результаты нейтрально. Только 2% участников опроса оценили итоги киберучений крайне негативно.

- Больше половины участников опроса (60%) проводят киберучения для выявления и устранения технических уязвимостей в ИТ-инфраструктуре.

- Среди форматов киберучений, которые наиболее интересны российским организациям, лидируют (59%) командные тренировки (red team или purple team) и практические упражнения в виртуальной среде (47%).

- Меньше половины (41%) опрошенных считают оптимальным проводить киберучения два раза в год, 25% - раз в квартал, еще 24% - раз в год.

- Что касается средств, 28% организаций не имеют бюджета на киберучения, 62% респондентов готовы выделить на тренировки до 5 млн. рублей.

- Чаще всего проведение киберучений затрудняют ограниченный бюджет (42%), отсутствие времени у ключевых сотрудников (42%), сложности с привлечением участников из разных подразделений (34%) и недостаток внутренней экспертизы (31%).

- У большинства (51%) наибольшее беспокойство при планировании учений связано с возможными сбоями в работе ИТ-систем. Чуть меньше респондентов (42%) отталкивает высокая стоимость и сомнения в оправданности этих расходов. Еще 41% опасаются за безопасность и конфиденциальность данных при моделировании атак.

Настоящее и будущее рынка - в свежем отчете.

Не можем не отметить также и то, что Positive Technologies запускает однодневный формат киберучений Standoff для бизнеса.

Теперь команды могут пройти интенсивную практическую подготовку к отражению инцидентов в условиях, приближенных к реальным.

Исследователи VulnCheck сообщают об активной эксплуатации уязвимости с максимальным уровнем серьезности в Flowise, платформе ИИ с открытым исходным кодом, используемой рядом крупных корпораций.

Речь идет об уязвимости CVE-2025-59528 (CVSS: 10.0), которая представляет собой уязвимость внедрения кода, которая может привести к удалённому выполнению кода.

Узел CustomMCP позволяет пользователям вводить параметры конфигурации для подключения к внешнему серверу MCP, который анализирует предоставленную пользователем строку mcpServerConfig для построения конфигурации сервера.

Однако в процессе этого он выполняет код JavaScript без какой-либо проверки безопасности.

Flowise отметила, что успешная эксплуатация уязвимости может обеспечить доступ к опасным модулям, таким как child_process (выполнение команд) и fs (файловая система), поскольку он работает с полными привилегиями среды выполнения Node.js.

Иными словами, злоумышленник, использующий эту уязвимость, может выполнить произвольный код JavaScript на сервере Flowise, что приведет к полной компрометации системы, доступу к файловой системе, выполнению команд и утечке конфиденциальных данных.

Как отметили в Flowise, поскольку требуется только токен API, это представляет собой чрезвычайную угрозу для непрерывности бизнеса и данных клиентов. Компания выразила благодарность Ким Су Хён за уведомление об уязвимости. Проблема была устранена в версии 3.0.6 пакета npm.

Согласно данным VulnCheck, эксплуатация осуществлялась с одного IP-адреса Starlink.

CVE-2025-59528 - это уже третья уязвимость Flowise, эксплуатируемая в реальных условиях, после CVE-2025-8943 (CVSS: 9,8), позволяющей удаленно выполнять команды ОС, и CVE-2025-26319 (CVSS: 8,9), позволяющей произвольно загружать файлы.

Уязвимость была известна более шести месяцев, а это значит, что у пользователей было достаточно много времени, чтобы определить приоритетность и устранить ее.

К настоящему времени площадь уязвимой поверхности, доступной из интернета, составляет более 12 000 открытых экземпляров, что Flowise крайне востребованной целью для киберподполья, представители которого уже предпринимают попытки сканирования и эксплуатации.

В Docker Engine обнаружена серьезная уязвимость, которая при определенных обстоятельствах позволяет злоумышленнику обойти плагины авторизации (AuthZ).

Уязвимость отслеживается как CVE-2026-34040 (CVSS: 8,8) и обусловлена неполным исправлением другой CVE-2024-41110 с максимальным уровнем серьезности в том же компоненте, которая была обнаружена в июле 2024 года.

Как отмечают сами разработчики, используя специально сформированный API-запрос, злоумышленник может заставить демон Docker перенаправить запрос плагину авторизации без тела запроса, который он отклонил бы, если тело запроса было ему перенаправлено.

Потенциально это может затронуть всех, кто использует плагины авторизации, анализирующие тело запроса для принятия решений о контроле доступа.

Обнаружение уязвимости приписывается сразу нескольким исследователям (независимо друг друга), включая Асима Вилади Оглу Манизаду, Коди, Олега Конко и Владимира Токарева. Проблема исправлена в версии Docker Engine 29.3.1.

Согласно отчету Cyera Research Labs, уязвимость связана с тем, что исправление для CVE-2024-41110 некорректно обрабатывало слишком большие тела HTTP-запросов, что открывало возможность использования одного заполненного HTTP-запроса для создания привилегированного контейнера с доступом к файловой системе хоста.

В гипотетическом сценарии атаки злоумышленник, имеющий ограниченный доступ к API Docker с помощью плагина аутентификации, может обойти этот механизм, увеличив размер запроса на создание контейнера до более чем 1 МБ, в результате чего запрос будет отклонен до того, как достигнет плагина.

Плагин разрешает запрос, потому что не видит ничего, что можно было бы заблокировать. Демон Docker обрабатывает весь запрос и создает привилегированный контейнер с корневым доступом к хосту: учетным данным AWS, ключам SSH, конфигурациям Kubernetes и всему остальному на машине, срабатывая для всех плагинов аутентификации в экосистеме.

Более того, агент ИИ OpenClaw в песочнице на основе Docker, можно также обмануть и заставить выполнить внедрение подсказки, скрытой в специально созданном репозитории GitHub, в рамках обычного рабочего процесса разработчика.

Это приведет к выполнению вредоносного кода, использующего CVE-2026-34040 для обхода авторизации с помощью описанного выше подхода, создания привилегированного контейнера и монтирования файловой системы хоста.

Обладая таким уровнем доступа, злоумышленник может извлечь учетные данные для облачных сервисов и использовать их для получения контроля над облачными учетными записями, кластерами Kubernetes и даже SSH-подключением к производственным серверам.

Кроме того, Cyera также предупредила, что агенты ИИ могут самостоятельно обнаружить обходной путь и запустить его, формируя HTTP-запрос с добавлением лишней информации при возникновении ошибок при попытке доступа к таким файлам, как kubeconfig, в рамках задачи отладки, заданной разработчиком (например, отладка проблемы нехватки памяти в Kubernetes).

Такой подход исключает необходимость создания зараженного репозитория, содержащего вредоносные инструкции.

Плагин AuthZ отклонил запрос на монтирование. Агент имеет доступ к API Docker и знает, как работает HTTP. Для CVE-2026-34040 не требуется никакого эксплойт-кода, привилегий или специальных инструментов.

Это всего лишь один HTTP-запрос с дополнительным заполнением. Любой агент, который может читать документацию API Docker, может его сформировать.

В качестве временного решения рекомендуется избегать использования плагинов аутентификации, которые полагаются на анализ тела запроса для принятия решений в области безопасности, ограничивать доступ к API Docker только доверенным лицам, следуя принципу минимальных привилегий, или запускать Docker в режиме без прав root.

В этом режиме даже «root» привилегированного контейнера сопоставляется с UID непривилегированного хоста. Радиус поражения снижается с «полной компрометации хоста» до «скомпрометированного непривилегированного пользователя».

Defiant предупреждает о начале массированных атак, нацеленных на критическую уязвимость в платном дополнении Ninja Forms File Uploads для WordPress, которая позволяет загружать произвольные файлы без аутентификации, что может привести к удаленному выполнению кода.

По данным компании, ее межсетевой экран Wordfence заблокировал более 3600 атак на CVE-2026-0740 за последние 24 часа.

Ninja Forms - популярный конструктор форм для WordPress с более чем 600 тыс. загрузками, который позволяет пользователям создавать формы без программирования, используя простой интерфейс перетаскивания. Расширение для загрузки файлов в том же пакете, обслуживает более 90 тыс. клиентов.

CVE-2026-0740 имеет критическую оценку CVSS 9,8 из 10 и затрагивает все версии Ninja Forms File Upload до 3.3.26 включительно.

По данным Wordfence, уязвимость вызвана отсутствием проверки типов/расширений файлов в целевом имени файла, что позволяет неавторизованному злоумышленнику загружать произвольные файлы, включая PHP-скрипты, а также манипулировать именами файлов для осуществления обхода пути.

В уязвимой версии функция не включает в себя проверку типа файла или расширения имени целевого файла перед операцией перемещения, что позволяет загружать не только безопасные файлы, но и файлы с расширением .php.

Поскольку проверка имен файлов не используется, вредоносный параметр также облегчает обход путей, позволяя переместить файл даже в корневой каталог веб-сервера.

Все это позволяет неавторизованным злоумышленникам загружать произвольный вредоносный PHP-код, а затем получать доступ к файлу для запуска удаленного выполнения кода на сервере.

Возможные последствия эксплуатации могут быть катастрофическими, включая развертывание веб-оболочек и полный захват сайта.

Уязвимость была обнаружена исследователем Селимом Лануаром (whattheslime), который 8 января отправил по ней отчет в программу вознаграждения за обнаружение ошибок Wordfence.

После проверки Wordfence в тот же день предоставила поставщику полную информацию и внедрила временные меры защиты с помощью правил брандмауэра для своих клиентов.

После проверки патчей и частичного исправления 10 февраля, производитель выпустил полное исправление в версии 3.3.27, доступной с 19 марта.

Учитывая, что Wordfence теперь ежедневно фиксирует тысячи попыток взлома, пользователям Ninja Forms File Upload настоятельно рекомендуется обновиться до последней версии.

Исследователи из Лаборатории Касперского в своем новом отчете поделились аналитикой по ландшафту финансовых киберугроз за 2025 год и представили прогноз на 2026 год.

В 2025 году распространенность традиционных банковских вредоносных ПО для ПК снизилась, но этот сдвиг был компенсирован быстрым ростом кражи учетных данных со стороны злоумышленников, занимающихся хищением информации.

Злоумышленники все чаще полагались на агрегирование и повторное использование украденных данных, а не на разработку совершенно новых возможностей вредоносного ПО.

В рамках исследования в ЛК проанализировали анонимизированные данные о вредоносной активности, обнаруженной на устройствах пользователей своих решений и в телеметрии Kaspersky KSN, а также общедоступные данные и аналитику по даркнету.

В призму изучения попали данные по финансовому фишингу, банковскому вредоносному ПО, а также стилерам и даркнету.

Отчет получился весьма внушительным и не менее полезным с практической точки зрения, со своей стороны, отметим ключевые положения:

- Фишинг:

В 2025 году фишинговая активность сместилась в сторону электронной коммерции (14,17%) и цифровых услуг (16,15%).

При этом злоумышленники все чаще адаптировали свои кампании к региональным тенденциям и поведению пользователей, что сделало социнженерию более целенаправленной, несмотря на снижение внимания к традиционным банковским приманкам.

- Банковское вредоносное ПО:

Распространенность вредоносных ПО для финансовых ПК снизилась, но они по-прежнему представляют собой постоянную угрозу: устоявшиеся семейства продолжают функционировать, а злоумышленники все чаще отдают приоритет получению доступа к учетным данным и опосредованному мошенничеству, а не развертыванию сложных банковских троянов.

Напротив, вредоносные ПО для мобильного банкинга продолжают расти (подробно об этом в ЛК поведали в отчете по вредоносным ПО для мобильных устройств).

- Похитители информации и даркнет:

Информационные мошенники стали одним из главных двигателей финансовых киберпреступлений, подпитывая растущую экономику даркнета, где украденные учетные данные, платежная информация и полные профили личности торгуются в больших масштабах, что позволяет осуществлять широкомасштабные и разрушительные мошеннические операции.

В целом, снижение количества традиционных банковских вредоносных ПО для ПК не указывают на снижение риска, скорее - на перефокусирование устремлений киберподполья в сторону более эффективных методов, направленных на мобильные устройства, кражу учетных данных и социнженерию.

В частности, программы для кражи информации являются мощным инструментом, позволяющим широкомасштабно компрометировать системы.

В 2026 году ожидается, что ландшафт финансовых угроз станет еще более ориентированным на данные и автоматизированным.

Организациям необходимо адаптироваться, сосредоточившись на защите личных данных, мониторинге в реальном времени и анализе угроз по различным каналам, в то время как пользователи должны сохранять бдительность в отношении все более изощренных и персонализированных методов атак.

Подробная инфографика и вся детальная фактура - в отчете.

Помимо военно-политических мер в ответ на атаки власти Ирана не менее эффективно нацеливаются на США в киберпространстве, взламывая программируемые логические контроллеры (ПЛК), доступные через интернет.

CISA и ФБР единым фронтом рапортуют о сбоях в работе многих критически важных инфраструктурных секторов по всей территории США в результате атак на ПЛК Rockwell и Allen-Bradley, которые приводят, в том числе и к финансовым потерям.

По сообщениям регулятора деятельность осуществляется APT-группой, связанной с Ираном, которая задействует уязвимости в OT-устройствах как минимум с марта 2026 года, напрямую подключаясь к ПЛК через интернет, с помощью легитимных инженерных инструментов, таких как Studio 5000 Logix Designer от Rockwell Automation.

Хакеры использовали инфраструктуру, размещенную за рубежом, для установления соединений с уязвимыми устройствами, в частности с ПЛК Rockwell Automation/Allen-Bradley, включая модели CompactLogix и Micro850.

Получив доступ, они извлекали файлы проектов и манипулировали данными, отображаемыми в системах HMI и SCADA, что позволяло им вмешиваться в производственные процессы без использования традиционного вредоносного ПО.

Затронутые устройства широко используются в критически важных инфраструктурных объектах для автоматизации промышленных операций.

Rockwell Automation поставляет ПЛК и системы управления, используемые в обрабатывающей промышленности, энергетике и коммунальном хозяйстве, охватывая множество секторов, включая госуслуги, системы водоснабжения и водоотведения, а также энергетический сектор.

В нескольких документально подтвержденных случаях организации столкнулись со сбоями, вызванными несанкционированными изменениями в логике управления или фальсификацией данных оператора, что подчеркивает риски как физического, так и информационного манипулирования.

CISA отмечает, что тактика, наблюдаемая в этой кампании, напоминает более ранние операции, приписываемые CyberAv3ngers (UNC5691), которая в 2023 году взломала десятки ПЛК Unitronics в ходе нескольких волн кибератак, половина из которых пришлась на сети критической инфраструктуры WWS.

Текущая активность свидетельствует о сохранении акцента на промышленных системах, вероятно (по мнению гениев из CISA), обусловленном геополитической напряженностью.

С технической точки зрения, злоумышленники нацелены на часто используемые порты связи в системах OT, включая 44818, 2222, 102, 502 и 22. В некоторых случаях они использовали Dropbear SSH для обеспечения удаленного доступа.

Учитывая столь болезненную публичную реакцию, иранским APT определено удалось повторить успех CyberAv3ngers, и, по всей видимости, даже превзойти. Но будем посмотреть.

0-day в Adobe Reader активно задействуется в атаках через специально созданные PDF-документы с декабря прошлого года.

Атаки обнаружил исследователь Хайфэй Ли (основатель платформы EXPMON), который вскрыл «высокотехнологичный эксплойт для PDF-файлов, похожий на снятие фингерпринтов», использующий нераскрытую уязвимость в Adobe Reader.

Он также отметил, что эти атаки нацелены на пользователей Adobe как минимум 4 месяца и приводят к краже данные из скомпрометированных систем с помощью привилегированных API-интерфейсов Acrobat util.readFileIntoStream и RSS.addFeed, а также через дополнительные эксплойты.

Упомянутая уязвимость, связанная с получением «цифрового отпечатка», работает в последней версии Adobe Reader без какого-либо взаимодействия с пользователем, кроме открытия PDF-файла. Точная природа этой уязвимости следующего этапа остается неизвестной.

Еще более тревожно то, что эта она позволяет злоумышленнику не только собирать/красть локальную информацию, но и потенциально запускать последующие атаки RCE/SBX, которые могут привести к полному контролю над системой жертвы.

Первый артефакт (Invoice540.pdf) засветился на платформе VirusTotal 28 ноября 2025 года, затем второй образец был загружен туда же уже 23 марта 2026 года.

Аналитик угроз Gi7w0rm также проанализировал эту уязвимость в Adobe Reader, обнаружив, что PDF-документы, распространяемые в ходе этих атак, содержат русскоязычные приманки, ссылающиеся на текущие события в российской нефтегазовой отрасли.

Судя по названию PDF-документа, вероятно, здесь присутствует элемент социнженерии: злоумышленники заманивают ничего не подозревающих пользователей, заставляя их открыть файлы в Adobe Reader.

После запуска автоматически запускается выполнение обфусцированного JavaScript для сбора конфиденциальных данных и получения дополнительных вредоносных программ.

Исследователи уведомили Adobe о своих находках и, до тех пор пока компания не выпустит обновления для устранения этой активно используемой 0-day, пользователям следует не открывать PDF-документы, полученные от ненадежных контактов, до выпуска патча.

Специалисты по сетевой безопасности также могут смягчать последствия атак, использующих эту 0-day, путем мониторинга и блокировки HTTP/HTTPS-трафика, содержащего строку Adobe Synchronizer в заголовке User-Agent.

Исследователи Solar 4RAYS расчехлили новые атаки Shedding Zmiy, на этот раз на объекты здравоохранения, где атакующие более 6 месяцев имели доступ к инфраструктуре через VPN и занимались кибершпионажем.

Подключение к инфраструктуре выполнялось с помощью учетных записей уволенных сотрудников, которые не были своевременно выведены из эксплуатации и оказались скомпрометированными.

В процессе расследования были обнаружены новые версии инструментов группы Shedding Zmiy, позволяющие экспортировать данные из баз данных и делать скриншоты экрана.

В ноябре 2025 года к Соларам обратился заказчик из отрасли здравоохранения с просьбой помочь в расследовании вероятной компрометации инфраструктуры. Причиной обращения стало детектирование подключений к IP-адресам GSocket на пограничном устройстве в сети.

В результате предварительного изучения нескольких систем стало понятно, что в инфраструктуре было скомпрометировано несколько десятков Unix-систем, атакующие имели доступ к системам не менее 6 месяцев, а вся цепочка компрометации сводится к VPN-серверу организации.

После получения доступа к VPN в апреле 2025 года атакующие скомпрометировали сервер PostgreSQL, в журналах которого нашлись следы удаленного выполнения команд в системе с использованием легитимной функциональности самой БД.

Доступ к выполнению команд был получен в результате компрометации стандартной УЗ в PostgreSQL, у которой был установлен ненадежный пароль. Для закрепления в системе атакующие разместили утилиту gs-netcat, закрепив ее в файлах «.profile» и «cron» УЗ в PostgreSQL.

Уже через несколько дней у атакующих появилось множество учетных данных (в том числе root), с помощью которых началось активное боковое перемещение и заражение инфраструктуры.

Стоит отметить, что атакующие с новыми учетными данными продолжали подключаться напрямую через VPN и длительное время не использовали размещенные в системах бэкдоры. В целом, в ходе исследования Солары обнаружили целый букет из вредоносного ПО, включая:

- gs-netcat: атакующие использовали и оригинальный исполняемый файл, и дополнительные упаковщики, такие как Bincryptor и UPX (некоторые файлы были упакованы сразу в оба упаковщика). Также выявлены образцы, собранные из исходников gs-netcat с измененным сервером С2.

- Bulldog Backdoor: характерный инструмент группы Shedding Zmiy.

- Megatsune Rootkit (семейство Kitsune Rootkit). Также является характерным инструментом Shedding Zmiy, с помощью которого, вероятно, и были получены учетные данные для бокового перемещения, так как данный Rootkit обладает функцией сбора паролей и ключей ssh.

- Revsocks Proxy, Nmap и различные утилиты для EoP, разведки и удаления логов.

Как отмечают исследователи, в данном инциденте злоумышленник все же заметили, и, вероятно, не один раз. ИТ и ИБ уже проводили реагирование - данный факт был установлен при ретроспективном анализе некоторых систем, где имеются следы удаления вредоносного ПО с последующим повторным заражением.

При этом некоторые системы вовсе были удалены по причине их участия в «иных» инцидентах ИБ летом 2025 года. На деле, вероятно, это были следы более крупного инцидента.

Анализ VPN-сервера стал для непростой задачей, так как глубина журналов составляла лишь несколько дней, но определить несколько ряд IP-адресов из сети VPN все же удалось с помощью журналов различных сервисов, к которым можно было подключиться из сети VPN.

Так нашлись косвенные следы сетевого сканирования с помощью Nmap в периоды активности атакующих.

Однако на этом расследование столкнулось с проблемой: большая часть обнаруженных подозрительных IP из VPN-пула принадлежала сотрудникам, которые были уволены до или в период инцидента, а их системы уже были недоступны для анализа. При этом учетные записи не были своевременно выведены из эксплуатации.

Определить источник компрометации личных систем сотрудников на момент расследования не представлялось возможным. Вероятно, - фишинг.

Зато нащупали cloudflared proxy, которую Shedding Zmiy периодически использует при атаках на Windows-инфраструктуру.

Другие, в том числе технические подробности - в отчете.

Исследователи обнаружили RCE-уязвимость в Apache ActiveMQ Classic, которая оставалась незамеченной в течение 13 лет и могла быть использована для выполнения произвольных команд.

Уязвимость была обнаружена с помощью ИИ-помощника Claude, который определил путь для эксплуатации уязвимости, проанализировав взаимодействие независимо разработанных компонентов.

Уязвимость отслеживается как CVE-2026-34197 (CVSS 8,8) и затрагивает все версии Apache ActiveMQ/Broker до 5.19.4, а также все версии от 6.0.0 до 6.2.3.

Несмотря на то, что ActiveMQ выпустила более новую ветку «Artemis» с улучшенной производительностью, версия «Classic», затронутая CVE-2026-34197, широко используется в корпоративных системах, веб-бэкендах, государственных и корпоративных системах на Java.

Исследователь Horizon3 Навин Сункавалли обнаружил проблему, «с помощью всего лишь нескольких простых подсказок» в системе Claude. При этом 80% решения принимал Claude, а 20% - человек.

Как отметил Сункавалли, что Claude указал на проблему после изучения множества отдельных компонентов (Jolokia, JMX, сетевых коннекторов и транспортных протоколов виртуальных машин).

Каждая функция в отдельности выполняет свою задачу, но вместе они представляли опасность. Именно здесь Claude проявил себя во всей красе - умело соединив все элементы воедино.

Исследователь сообщил об уязвимости разработчикам Apache 22 марта, а разработчик устранил ее 30 марта в версиях ActiveMQ Classic 6.2.3 и 5.19.4.

В отчете Horizon3 поясняется, что уязвимость связана с тем, что API управления Jolokia в ActiveMQ предоставляет функцию брокера (addNetworkConnector), которую можно использовать для загрузки внешних конфигураций.

Отправив специально сформированный запрос, злоумышленник может заставить брокера получить удаленный Spring XML-файл и выполнить произвольные системные команды во время его инициализации.

Для решения этой проблемы требуется аутентификация через Jolokia, но в версиях с 6.0.0 по 6.1.1 аутентификация становится невозможной из-за отдельной CVE-2024-32114, которая предоставляет доступ к API без контроля доступа.

Исследователи Horizon3 подчеркнули риск, связанный с недавно обнаруженной уязвимостью, указав на другие уязвимости ActiveMQ CVE, которые хакеры использовали в реальных атаках.

Пользователям, использующим ActiveMQ, рекомендовано рассматривать проблему как приоритетную задачу, поскольку ActiveMQ неоднократно становился целью для реальных злоумышленников, а методы эксплуатации и постэксплуатации ActiveMQ хорошо известны.

CVE-2026-34197 пока не упоминается как активно используемая, но исследователи полагают, что признаки эксплуатации очевидны в журналах брокера ActiveMQ.

Они рекомендуют искать подозрительные соединения брокера, использующие внутренний протокол передачи данных VM и параметр запроса brokerConfig=xbean:http://.

Выполнение команды происходит во время нескольких попыток подключения. Если появляется предупреждение о проблеме с конфигурацией, исследователи говорят, что полезная нагрузка уже была выполнена.

Новая атака позволяет обходить протоколы безопасности ИИ Apple с высокой вероятностью успеха: исследователи RSAC взломали Intelligence, используя метод NeuralExect и манипуляции с кодировкой Unicode.

Apple Intelligence представляет собой глубоко интегрированную системe персонального интеллекта для iOS, iPadOS и macOS, которая сочетает генеративный ИИ с индивидуальным контекстом.

В основном, задачи обрабатываются непосредственно на процессорах Apple Silicon с помощью компактного встроенного в устройство LLM.

ИИ использует уникальный контекст пользователя (сообщения, фотографии и расписания) для обеспечения работы таких практических функций, как общесистемные инструменты для письма и Siri.

Для более сложных вычислений он перенаправляет запросы более крупным базовым моделям через частные облачные вычисления (PCC) на выделенной облачной инфраструктуре Apple.

Исследователи поставили перед собой задачу обойти локальные входные и выходные фильтры LLM (предназначенные для блокировки вредоносных входных данных и предотвращения нежелательных выходных данных), а также внутренние механизмы защиты, чтобы повлиять на его действия.

Для достижения этой цели они объединили две различные противодействующие техники.

Первая - это Neural Execs, известная атака с внедрением подсказок, которая использует «бессмысленные» входные данные, чтобы обмануть ИИ и заставить его выполнять произвольные, определенные злоумышленником задачи. Входные данные действуют как универсальные триггеры, которые не нужно переделывать для разных полезных нагрузок.

Второй метод, используемый RSAC для обхода входных и выходных фильтров, — это манипулирование кодировкой Unicode. Записав вредоносный выходной текст задом наперёд и используя функцию переопределения направления справа налево, им удалось обойти ограничения на содержимое.

По сути, в RSAC закодировали вредоносный/оскорбительный текст на английском языке, написав его наоборот и используя наш метод взлома Unicode, чтобы заставить LLM правильно его отобразить.

Сочетание этих двух методов позволяет злоумышленникам заставить локальную систему Apple Intelligence LLM создавать контент, представляющий угрозу, или, что более важно, манипулировать конфиденциальными данными и функциями сторонних приложений, интегрированных с ней, например, данными о здоровье или личными медиафайлами.

Атака была протестирована со 100 случайными запросами, и исследователи достигли показателя успешности в 76%. По их оценкам, от 100 000 до 1 млн. пользователей установили приложения, которые могут быть уязвимы для подобных атак. 

По оценкам RSAC, по состоянию на декабрь 2025 года в руках потребителей находилось как минимум 200 млн. устройств с Apple Intelligence, а в Apple App Store уже представлены использующие ее приложения, - поэтому это уже очень перспективная цель.

Apple уведомили в октябре 2025 года, и, по данным RSAC Research, меры защиты были внедрены в последних версиях iOS 26.4 и macOS 26.4.

Пока никаких признаков злонамеренной эксплуатации не обнаружено, но в случае с Apple все не так однозначно, как оно рисуется.

Новое вредоносное ПО на Lua под названием LucidRook задействуется в целевых фишинговых кампаниях, направленных на неправительственные организации и университеты на Тайване.

Исследователи Cisco Talos связали вредоносное ПО с группой угроз UAT-10362, которую описывают как опытного противника, «обладающего отточенными оперативными навыками».

В октябре 2025 года было замечено, что LucidRook использовался в фишинговых электронных письмах, содержащих защищенные паролем архивы.

Исследователи выявили две цепочки заражения: одна использовала LNK, который в конечном итоге распространял вредоносный дроппер под названием LucidPawn, а другая полагалась на фейковый исполняемый файл антивируса, имитирующий Trend Micro Worry-Free Business Security Services.

Атака, основанная на LNK, использует поддельные документы, такие как правительственные письма, составленные таким образом, чтобы выглядеть как письма от правительства Тайваня, для отвлечения внимания пользователя.

Cisco Talos обнаружила, что LucidPawn расшифровывает и развертывает легитимный исполняемый файл, переименованный для имитации Microsoft Edge, а также вредоносную DLL-библиотеку (DismCore.dll) для установки LucidRook.

Он примечателен своей модульной конструкцией и встроенной средой выполнения Lua, что позволяет ему получать и выполнять полезную нагрузку второго этапа в виде байт-кода Lua.

Такой подход позволяет операторам обновлять функциональность без изменения основного вредоносного ПО, одновременно ограничивая возможности проведения криминалистического анализа. Скрытность дополнительно повышается за счет обфускации кода.

Встраивание интерпретатора Lua фактически превращает нативную DLL в стабильную платформу выполнения, позволяя злоумышленнику обновлять или адаптировать поведение для каждой цели или кампании, обновляя полезную нагрузку байт-кода Lua с помощью более легкого и гибкого процесса разработки.

Такой подход также повышает OpSec, поскольку этап Lua может быть размещен лишь на короткое время и удален из системы C2 после доставки, а также способен затруднить восстановление после инцидента, когда защитники добираются только до загрузчика без доставленной нагрузки.

Исследователи также отмечает, что бинарный файл сильно обфусцирован с помощью встроенных строк, расширений файлов, внутренних идентификаторов и адресов C2, что усложняет любые попытки обратного проектирования.

В процессе своей работы LucidRook проводит разведку системы, собирая такую информацию, как имена пользователей и компьютеров, установленные приложения и запущенные процессы.

Данные шифруются с использованием алгоритма RSA, хранятся в защищенных паролем архивах и передаются на контролируемую злоумышленником инфраструктуру через FTP.

В ходе изучения LucidRook исследователи обнаружили связанный с ним инструмент под названием LucidKnight, который, вероятно, используется для разведки.

Одной из примечательных особенностей LucidKnight является злоупотребление протоколом Gmail GMTP для кражи собранных данных, что говорит о том, что UAT-10362 располагает гибким набором инструментов для удовлетворения различных операционных потребностей.

Cisco Talos с умеренной степенью уверенности заключает, что атаки LucidRook являются частью целенаправленной кампании по вторжению.

Однако им не удалось перехватить расшифровываемый байт-код Lua, полученный LucidRook, поэтому конкретные действия, предпринятые после заражения, остаются неизвестны.

Скопрометирована система обновления плагина Smart Slider 3 Pro для WordPress и Joomla, которая теперь используется для распространили вредоносной версии с множеством бэкдоров.

Разработчик заявляет, что проблема затрагивает только Pro-версию плагина 3.5.1.35, и рекомендует немедленно перейти на последнюю версию, в настоящее время 3.5.1.36, или 3.5.1.34 и более ранние.

Smart Slider 3 для WordPress используется более чем на 900 000 сайтах для создания адаптивных слайдеров с помощью редактора слайдеров в режиме реального времени, предлагающего большой выбор макетов и дизайнов.

PatchStack отмечает, что вредоносное ПО представляет собой полнофункциональный многоуровневый набор инструментов, встроенный в основной файл плагина, при этом сохраняя обычную функциональность Smart Slider.

Исследователи заметили, что вредоносный набор позволяет удаленному злоумышленнику выполнять команды без аутентификации с помощью специально сформированных HTTP-заголовков.

Он также включает в себя второй бэкдор с аутентификацией, позволяющий выполнять как PHP-выполнение команд, так и команды ОС, а также автоматическую кражу учетных данных.

Вредоносная ПО обеспечивает свое постоянное присутствие в сети за счет нескольких уровней защиты, одним из которых является создание скрытой учетной записи администратора и хранение учетных данных в базе данных.

Кроме того, создает каталог mu-plugins и создает обязательный для использования плагин с именем файла, который имитирует легитимный компонент кэширования.

PatchStack отмечает, что вредоносный набор также внедряет бэкдор в файл functions.php активной темы, что позволяет ему сохраняться до тех пор, пока тема активна.

Ещё один уровень обеспечения постоянного хранения данных заключается во внедрении в каталог wp-includes PHP-файла с именем, имитирующим имя легитимного класса ядра WordPress.

Как объясняют исследователи, в отличие от других уровней обеспечения постоянного доступа, этот бэкдор не зависит от базы данных WordPress, а считывает ключ аутентификации из .cache_key файла, хранящегося в том же каталоге.

Таким образом, изменение учетных данных базы данных не влияет на бэкдор, который продолжает работать, даже если WordPress не сможет полностью загрузиться.

Поставщик выпустил аналогичное предупреждение для Joomla, заявляя, что вредоносный код, присутствующий в версии 3.5.1.35 плагина, может создать скрытую учетную запись администратора (обычно с префиксом wpsvc_ ), установить дополнительные бэкдоры в каталогах /cache и /media, а также украсть информацию о сайте и учетные данные.

Вредоносное обновление было распространено среди пользователей 7 апреля, однако разработчики Smart Slider рекомендуют 5 апреля в качестве наиболее безопасной даты для восстановления резервных копий, чтобы во всех случаях учитывать разницу во времени.

Если резервная копия недоступна, рекомендуется удалить скомпрометированный плагин и установить чистую версию (3.5.1.36).

Администраторам, обнаружившим скомпрометированную версию плагина, должны исходить из предположения о полной компрометации сайта и предпринять все необходимые в этом случае действия.

Поставщик также предоставляет многоэтапное руководство по ручной очистке для WordPress и Joomla, которое начинается с перевода сайта в режим обслуживания и его резервного копирования.

Администраторам следует очистить сайт от неавторизованных пользователей, удалить все вредоносные компоненты и установить все основные файлы, плагины и темы, а также сбросить все пароли и выполнить сканирование на наличие дополнительных вредоносных ПО.