Исследователи Лаборатории Касперского анализируют новые версии червя CMoon, разбирают его происхождение и доказывают его принадлежность к RGB-Team.
Последняя представляет собой хактивистскую группу, позиционирующую себя как проукраинскую и нацеленную на организации в России.
Последняя замеченная активность RGB-Team датируется июлем 2024 года и в настоящий момент группа, можно сказать, что бездействует. Однако, если не считать публичных высказываний самих злоумышленников, атаки RGB-Team до сих пор были мало описаны.
В числе жертв RGB-Team фигурируют муниципальные образования, объекты химической промышленности и государственно‑гражданские службы.
В отличие от других хактивистов, использующих шифровальщики для нанесения ущерба, RGB-Team атакует с целью извлечь конфиденциальные данные. Для проведения атак злоумышленники используют самописный червь CMoon.
Например, в последней известной кампании выкрали данные у газовой компании и опубликовали их в своем ТГ‑канале. ЛК описывала эту кампанию CMoon летом 2024 года, а позже RGB-Team взяла на себя ответственность за проведенные атаки.
В процессе мониторинга угроз исследователи ЛК обнаружили новый образец CMoon в виде бинарного файла с двойным расширением zayavka-dlya-yur-lits.docx.exe, который датируется октябрем 2024 года и относится к ранее неизвестной кампании.
Как и более старые образцы, он скомпилирован на .NET версии 4.7.2 и распространялся он тоже через фишинговые письма, однако в качестве вложения.
Запустившись, этот вариант проверяет, не заражено ли устройство уже, также в нем присутствует AntiVM-модуль, который детектирует наличие виртуальной среды, песочниц и отладчиков.
После успешного прохождения всех проверок CMoon закрепляется через Alternate Data Streams (ADS). Следует отметить, что в нем используется довольно необычный механизм обфускации.
Изначально зловред запускается в необфусцированном виде. В процессе работы он проверяет свою контрольную сумму по алгоритму MD5 в поисковом движке Google, если обнаруживает хотя бы одну страницу в поисковой выдаче, то начинает процесс обфускации.
Все представленные функции управляются жестко прописанным в коде троянца конфигурационным файлом, который создается при сборке образца. Управление CMoon осуществляется через С2-сервер, а данные эксфильтруются через Telegram.
Как и предыдущие версии, новые образцы CMoon общаются с C2-сервером по протоколу TCP. При этом исходящие пакеты по-прежнему начинаются с автографа зловреда (строки CMOON$).
К сожалению, ЛК не удалось найти билдер CMoon, но на одном из зараженных хостов также находился архив ct.rar, содержащий билдер под названием DarkBuilder, в котором используются те же функции, что и в образце CMoon.
Кроме того, на том же хосте нашелся образец стилера WhiteSnake, в коде которого есть ссылки на C2-сервер, связанный с CMoon. Его анализ показал, что он был собран с помощью ранее найденного DarkBuilder.
В процессе исследования в ЛК столкнулись с множеством примеров использования DarkBuilder в реальной среде. При этом хосты, на которых он был обнаружен, никак не связаны друг с другом, что может указывать на компрометацию исходного кода билдера.
Однако исследователям удалось получить одну из первых версий, сравнить ее с новыми и выяснить, кто за ней стоит: в обнаруженной ранней версии DarkBuilder присутствуют метаданные, ссылающиеся на профиль на GitHub, который был связан с вымогательской группой Eternity.
Как отмечают в ЛК, на данный момент никакой новой активности RGB-Team не наблюдается, однако нет гарантии, что они не возобновят атаки, как иногда это делают хактивисты.
Технические подробности, способы обнаружения атак RGB-Team и IOCs - в отчете.
Последняя представляет собой хактивистскую группу, позиционирующую себя как проукраинскую и нацеленную на организации в России.
Последняя замеченная активность RGB-Team датируется июлем 2024 года и в настоящий момент группа, можно сказать, что бездействует. Однако, если не считать публичных высказываний самих злоумышленников, атаки RGB-Team до сих пор были мало описаны.
В числе жертв RGB-Team фигурируют муниципальные образования, объекты химической промышленности и государственно‑гражданские службы.
В отличие от других хактивистов, использующих шифровальщики для нанесения ущерба, RGB-Team атакует с целью извлечь конфиденциальные данные. Для проведения атак злоумышленники используют самописный червь CMoon.
Например, в последней известной кампании выкрали данные у газовой компании и опубликовали их в своем ТГ‑канале. ЛК описывала эту кампанию CMoon летом 2024 года, а позже RGB-Team взяла на себя ответственность за проведенные атаки.
В процессе мониторинга угроз исследователи ЛК обнаружили новый образец CMoon в виде бинарного файла с двойным расширением zayavka-dlya-yur-lits.docx.exe, который датируется октябрем 2024 года и относится к ранее неизвестной кампании.
Как и более старые образцы, он скомпилирован на .NET версии 4.7.2 и распространялся он тоже через фишинговые письма, однако в качестве вложения.
Запустившись, этот вариант проверяет, не заражено ли устройство уже, также в нем присутствует AntiVM-модуль, который детектирует наличие виртуальной среды, песочниц и отладчиков.
После успешного прохождения всех проверок CMoon закрепляется через Alternate Data Streams (ADS). Следует отметить, что в нем используется довольно необычный механизм обфускации.
Изначально зловред запускается в необфусцированном виде. В процессе работы он проверяет свою контрольную сумму по алгоритму MD5 в поисковом движке Google, если обнаруживает хотя бы одну страницу в поисковой выдаче, то начинает процесс обфускации.
Все представленные функции управляются жестко прописанным в коде троянца конфигурационным файлом, который создается при сборке образца. Управление CMoon осуществляется через С2-сервер, а данные эксфильтруются через Telegram.
Как и предыдущие версии, новые образцы CMoon общаются с C2-сервером по протоколу TCP. При этом исходящие пакеты по-прежнему начинаются с автографа зловреда (строки CMOON$).
К сожалению, ЛК не удалось найти билдер CMoon, но на одном из зараженных хостов также находился архив ct.rar, содержащий билдер под названием DarkBuilder, в котором используются те же функции, что и в образце CMoon.
Кроме того, на том же хосте нашелся образец стилера WhiteSnake, в коде которого есть ссылки на C2-сервер, связанный с CMoon. Его анализ показал, что он был собран с помощью ранее найденного DarkBuilder.
В процессе исследования в ЛК столкнулись с множеством примеров использования DarkBuilder в реальной среде. При этом хосты, на которых он был обнаружен, никак не связаны друг с другом, что может указывать на компрометацию исходного кода билдера.
Однако исследователям удалось получить одну из первых версий, сравнить ее с новыми и выяснить, кто за ней стоит: в обнаруженной ранней версии DarkBuilder присутствуют метаданные, ссылающиеся на профиль на GitHub, который был связан с вымогательской группой Eternity.
Как отмечают в ЛК, на данный момент никакой новой активности RGB-Team не наблюдается, однако нет гарантии, что они не возобновят атаки, как иногда это делают хактивисты.
Технические подробности, способы обнаружения атак RGB-Team и IOCs - в отчете.
Securelist
RGB-Team: хактивисты, стоящие за CMoon, и происхождение стилера
Разбираем активность хактивистской группы RGB-Team, взявшей на себя ответственность за атаки CMoon в 2024 году, и выясняем, откуда взялся этот стилер.
В паблик просочился эксплойт для неисправленой EoP-уязвимости в Windows, о которой Microsoft уведомили в частном порядке. Она позволяет злоумышленникам получить права доступа к системе (SYSTEM) или права администратора с повышенными привилегиями.
Уязвимость получила название BlueHammer и была раскрыта исследователем, который остался недоволен тем, как Microsoft MSRC отработала процесс раскрытия информации.
Поскольку для уязвимости нет официального патча и обновлений для ее устранения, согласно классификации Microsoft, ее можно считать уязвимостью нулевого дня.
Неясно, что конкретно послужило поводом для публичного распространения PoC. В коротком сообщении некий исследователь Chaotic Eclipse заявил: «Я не блефовал перед Microsoft, и я делаю это снова».
Он пояснил, что «в отличие от прошлого раза, он не будет объяснять, как это работает; гении из Microsoft, сами должны это выяснить. Исследователи nакже выразил «огромное спасибо» руководству MSRC за то, что это стало возможным.
3 апреля Chaotic Eclipse опубликовал на GitHub репозиторий, посвященный эксплойту BlueHammer с названием Nightmare-Eclipse, выразив недоверие и разочарование по поводу того, как Microsoft разрешила проблему безопасности.
Исследователь также отметил, что в коде PoC содержатся ошибки, которые могут помешать его эффективной работе.
В свою очередь, Уилл Дорманн подтвердил, что эксплойт BlueHammer работает, отметив, что уязвимость представляет собой локальное повышение привилегий (LPE), которое сочетает в себе TOCTOU (время проверки до времени использования) и путаницу путей.
Он пояснил, что ее нелегко использовать, и она предоставляет локальному злоумышленнику доступ к базе данных Security Account Manager (SAM), которая содержит хэши паролей для локальных учетных записей.
Получив такой доступ, злоумышленники могут повысить свои привилегии до уровня SYSTEM и потенциально добиться полного взлома машины.
Некоторые исследователи, тестировавшие эксплойт, подтвердили, что код не работает на Windows Server, что подтверждает слова Chaotic Eclipse о наличии ошибок, которые могут препятствовать его корректной работе.
Как выяснил, Уилл Дорманн на серверной платформе эксплойт BlueHammer повышает права доступа с уровня «не-администратор» до уровня «администратор с повышенными правами», что является защитой, требующей от пользователя временного разрешения на операцию, для которой необходим полный доступ к системе.
Хотя причина раскрытия уязвимости Chaotic Eclipse/Nightmare-Eclipse так и незвана четко, Дорманн отмечает, что одним из требований MSRC при отправке информации об уязвимости является предоставление видеозаписи её эксплуатации.
Несмотря на то, что для использования BlueHammer требуется локальный злоумышленник, риски эксплуатации все же значительны, поскольку хакеры могут получить локальный доступ различными способами, включая социнженерию, использование уязвимостей или брута учетных данных.
В Microsoft по части комментариев ограничились стандартными сообщениями по поводу заботы о пользователях и ответственном раскрытии информации об уязвимостях. Впрочем, другого от микромягких никто и не ожидал услышать.
Уязвимость получила название BlueHammer и была раскрыта исследователем, который остался недоволен тем, как Microsoft MSRC отработала процесс раскрытия информации.
Поскольку для уязвимости нет официального патча и обновлений для ее устранения, согласно классификации Microsoft, ее можно считать уязвимостью нулевого дня.
Неясно, что конкретно послужило поводом для публичного распространения PoC. В коротком сообщении некий исследователь Chaotic Eclipse заявил: «Я не блефовал перед Microsoft, и я делаю это снова».
Он пояснил, что «в отличие от прошлого раза, он не будет объяснять, как это работает; гении из Microsoft, сами должны это выяснить. Исследователи nакже выразил «огромное спасибо» руководству MSRC за то, что это стало возможным.
3 апреля Chaotic Eclipse опубликовал на GitHub репозиторий, посвященный эксплойту BlueHammer с названием Nightmare-Eclipse, выразив недоверие и разочарование по поводу того, как Microsoft разрешила проблему безопасности.
Исследователь также отметил, что в коде PoC содержатся ошибки, которые могут помешать его эффективной работе.
В свою очередь, Уилл Дорманн подтвердил, что эксплойт BlueHammer работает, отметив, что уязвимость представляет собой локальное повышение привилегий (LPE), которое сочетает в себе TOCTOU (время проверки до времени использования) и путаницу путей.
Он пояснил, что ее нелегко использовать, и она предоставляет локальному злоумышленнику доступ к базе данных Security Account Manager (SAM), которая содержит хэши паролей для локальных учетных записей.
Получив такой доступ, злоумышленники могут повысить свои привилегии до уровня SYSTEM и потенциально добиться полного взлома машины.
Некоторые исследователи, тестировавшие эксплойт, подтвердили, что код не работает на Windows Server, что подтверждает слова Chaotic Eclipse о наличии ошибок, которые могут препятствовать его корректной работе.
Как выяснил, Уилл Дорманн на серверной платформе эксплойт BlueHammer повышает права доступа с уровня «не-администратор» до уровня «администратор с повышенными правами», что является защитой, требующей от пользователя временного разрешения на операцию, для которой необходим полный доступ к системе.
Хотя причина раскрытия уязвимости Chaotic Eclipse/Nightmare-Eclipse так и незвана четко, Дорманн отмечает, что одним из требований MSRC при отправке информации об уязвимости является предоставление видеозаписи её эксплуатации.
Несмотря на то, что для использования BlueHammer требуется локальный злоумышленник, риски эксплуатации все же значительны, поскольку хакеры могут получить локальный доступ различными способами, включая социнженерию, использование уязвимостей или брута учетных данных.
В Microsoft по части комментариев ограничились стандартными сообщениями по поводу заботы о пользователях и ответственном раскрытии информации об уязвимостях. Впрочем, другого от микромягких никто и не ожидал услышать.
Blogspot
Public disclosure
I was not bluffing Microsoft and I'm doing it again. https://github.com/Nightmare-Eclipse/BlueHammer Unlike previous times, I'm not explaini...
Новая атака GPUBreach способна вызывать изменения битов в памяти GDDR6 графических процессоров с помощью алгоритма Rowhammer и приводит к повышению привилегий и полной компрометации системы.
GPUBreach была разработана группой исследователей из Университета Торонто, а подробная информация будет представлена на предстоящем симпозиуме IEEE по безопасности и конфиденциальности 13 апреля в Окленде.
Как отмечают исследователи, вызванные алгоритмом Rowhammer битовые искажения в памяти GDDR6 могут повредить таблицы страниц графического процессора (PTE) и предоставить непривилегированному ядру CUDA произвольный доступ к чтению/записи в память графического процессора.
Затем злоумышленник может продолжить атаку на стороне процессора, используя уязвимости безопасности памяти в драйвере NVIDIA, что потенциально может привести к полной компрометации системы без необходимости отключения защиты блока IOMMU.
IOMMU - это аппаратный блок, обеспечивающий защиту от прямых атак на память. Он контролирует и ограничивает доступ устройств к памяти, управляя тем, какие области памяти доступны каждому устройству.
Несмотря на то, что IOMMU является эффективной мерой против большинства атак с прямым доступом к памяти (DMA), он не останавливает GPUBreach.
GPUBreach непосредственно показывает, что атаки Rowhammer на графических процессорах могут выходить за рамки простого повреждения данных и приводить к реальному повышению привилегий.
Путем искажения таблиц страниц графического процессора непривилегированное ядро CUDA может получить доступ к произвольному чтению/записи в память графического процессора, а затем привести к повышению привилегий на стороне ЦП, через эксплуатацию недавно обнаруженных уязвимостей памяти в драйвере NVIDIA.
В результате происходит компрометация всей системы вплоть до получения root-прав, без отключения IOMMU, в отличие от современных разработок, что делает GPUBreach более серьезной угрозой.
Кстати, те же исследователи ранее продемонстрировали GPUHammer, первую атаку, показавшую практическую возможность применения атак Rowhammer на графические процессоры, что побудило NVIDIA выпустить предупреждение для пользователей и предложить активировать механизм коррекции ошибок на системном уровне для блокировки подобных попыток на памяти GDDR6.
Однако GPUBreach выводит угрозу на новый уровень, демонстрируя возможность не только повреждения данных, но и получения прав root при включенном IOMMU.
Исследователи продемонстрировали свои выводы на примере графического процессора NVIDIA RTX A6000 с памятью GDDR6. Эта модель широко используется в разработке и обучении систем ИИ.
Исследователи Университета Торонто представили результаты своих исследований NVIDIA, Google, AWS и Microsoft еще 11 ноября 2025 года.
Google подтвердила получение сообщения и выплатила исследователям вознаграждение в размере 600 долларов за обнаружение ошибки.
NVIDIA заявила, что намерена обновить свое существующее уведомление по безопасности от июля 2025 года, чтобы включить в него информацию о недавно обнаруженных возможностях атак.
Как показали исследователи, одного лишь IOMMU недостаточно, если управляемая графическим процессором память может повредить состояние доверенного драйвера, поэтому пользователям, подверженным риску, не следует полагаться исключительно на эту меру безопасности.
Память с кодом коррекции ошибок (ECC) помогает исправлять однобитовые искажения и обнаруживать двухбитовые искажения, но она ненадежна в отношении многобитовых искажений.
В конечном итоге исследователи подчеркнули, что GPUBreach совершенно не поддается устранению на потребительских видеокартах без ECC.
Технические подробности доступны здесь, а репозиторий на GitHub с пакетом для воспроизведения ошибки и скриптами, исследователи опубликуют 13 апреля.
GPUBreach была разработана группой исследователей из Университета Торонто, а подробная информация будет представлена на предстоящем симпозиуме IEEE по безопасности и конфиденциальности 13 апреля в Окленде.
Как отмечают исследователи, вызванные алгоритмом Rowhammer битовые искажения в памяти GDDR6 могут повредить таблицы страниц графического процессора (PTE) и предоставить непривилегированному ядру CUDA произвольный доступ к чтению/записи в память графического процессора.
Затем злоумышленник может продолжить атаку на стороне процессора, используя уязвимости безопасности памяти в драйвере NVIDIA, что потенциально может привести к полной компрометации системы без необходимости отключения защиты блока IOMMU.
IOMMU - это аппаратный блок, обеспечивающий защиту от прямых атак на память. Он контролирует и ограничивает доступ устройств к памяти, управляя тем, какие области памяти доступны каждому устройству.
Несмотря на то, что IOMMU является эффективной мерой против большинства атак с прямым доступом к памяти (DMA), он не останавливает GPUBreach.
GPUBreach непосредственно показывает, что атаки Rowhammer на графических процессорах могут выходить за рамки простого повреждения данных и приводить к реальному повышению привилегий.
Путем искажения таблиц страниц графического процессора непривилегированное ядро CUDA может получить доступ к произвольному чтению/записи в память графического процессора, а затем привести к повышению привилегий на стороне ЦП, через эксплуатацию недавно обнаруженных уязвимостей памяти в драйвере NVIDIA.
В результате происходит компрометация всей системы вплоть до получения root-прав, без отключения IOMMU, в отличие от современных разработок, что делает GPUBreach более серьезной угрозой.
Кстати, те же исследователи ранее продемонстрировали GPUHammer, первую атаку, показавшую практическую возможность применения атак Rowhammer на графические процессоры, что побудило NVIDIA выпустить предупреждение для пользователей и предложить активировать механизм коррекции ошибок на системном уровне для блокировки подобных попыток на памяти GDDR6.
Однако GPUBreach выводит угрозу на новый уровень, демонстрируя возможность не только повреждения данных, но и получения прав root при включенном IOMMU.
Исследователи продемонстрировали свои выводы на примере графического процессора NVIDIA RTX A6000 с памятью GDDR6. Эта модель широко используется в разработке и обучении систем ИИ.
Исследователи Университета Торонто представили результаты своих исследований NVIDIA, Google, AWS и Microsoft еще 11 ноября 2025 года.
Google подтвердила получение сообщения и выплатила исследователям вознаграждение в размере 600 долларов за обнаружение ошибки.
NVIDIA заявила, что намерена обновить свое существующее уведомление по безопасности от июля 2025 года, чтобы включить в него информацию о недавно обнаруженных возможностях атак.
Как показали исследователи, одного лишь IOMMU недостаточно, если управляемая графическим процессором память может повредить состояние доверенного драйвера, поэтому пользователям, подверженным риску, не следует полагаться исключительно на эту меру безопасности.
Память с кодом коррекции ошибок (ECC) помогает исправлять однобитовые искажения и обнаруживать двухбитовые искажения, но она ненадежна в отношении многобитовых искажений.
В конечном итоге исследователи подчеркнули, что GPUBreach совершенно не поддается устранению на потребительских видеокартах без ECC.
Технические подробности доступны здесь, а репозиторий на GitHub с пакетом для воспроизведения ошибки и скриптами, исследователи опубликуют 13 апреля.
Исследователи Positive Technologies выкатили аналитику по российскому и общемировому рынкам киберучений, оценив насколько схожа их динамика, а также пытаясь проследить, как изменилось отношение компаний к киберучениям за последние годы.
Представленные выводы и прогнозы основаны на собственной экспертизе компании, информации из авторитетных открытых источников, а также на результатах опроса, проведенного в первом квартале 2026 года, в котором приняли участие более 100 отраслевых специалистов.
Большая часть респондентов - представители очень крупных (от 1001 человек) и крупных (от 251 до 1000) организаций (61%), доля среднего (от 101 до 250) бизнеса составила 39%.
Среди них представители разных отраслей, включая финсектор, промышленность, телеком, ИТ, госучреждения, транспорт, образование, торговля, сфера услуг, здравоохранение и др.
При этом распределение респондентов по отраслям было равномерным.
Ключевые результаты:
- Почти половина организаций (48%) оценивают текущий уровень зрелости системы ИБ как «средний». Треть опрошенных считают, что процессы реализованы у них на высоком уровне.
- Только 12% компаний используют для оценки зрелости ИБ формализованные стандарты и метрики, а 75% респондентов заявили о намерении внедрить эту практику в будущем.
- В 14% организаций никогда ранее не проводили и не собираются проводить киберучения, 28% опрошенных планируют начать организовывать тренировки.
- Среди компаний, которые уже проводили киберучения или собираются провести в будущем, 34% полагаются только на собственные ресурсы, 32% рассчитывают на помощь внешних провайдеров услуг ИБ. При этом 53% планируют привлечь к тренировкам весь ИТ-отдел, 35% рассматривают возможность участия в тренировках всех сотрудников.
- Среди организаций, которые уже проводили киберучения, 60% считают, что они были эффективными, 38% опрошенных оценивают результаты нейтрально. Только 2% участников опроса оценили итоги киберучений крайне негативно.
- Больше половины участников опроса (60%) проводят киберучения для выявления и устранения технических уязвимостей в ИТ-инфраструктуре.
- Среди форматов киберучений, которые наиболее интересны российским организациям, лидируют (59%) командные тренировки (red team или purple team) и практические упражнения в виртуальной среде (47%).
- Меньше половины (41%) опрошенных считают оптимальным проводить киберучения два раза в год, 25% - раз в квартал, еще 24% - раз в год.
- Что касается средств, 28% организаций не имеют бюджета на киберучения, 62% респондентов готовы выделить на тренировки до 5 млн. рублей.
- Чаще всего проведение киберучений затрудняют ограниченный бюджет (42%), отсутствие времени у ключевых сотрудников (42%), сложности с привлечением участников из разных подразделений (34%) и недостаток внутренней экспертизы (31%).
- У большинства (51%) наибольшее беспокойство при планировании учений связано с возможными сбоями в работе ИТ-систем. Чуть меньше респондентов (42%) отталкивает высокая стоимость и сомнения в оправданности этих расходов. Еще 41% опасаются за безопасность и конфиденциальность данных при моделировании атак.
Настоящее и будущее рынка - в свежем отчете.
Не можем не отметить также и то, что Positive Technologies запускает однодневный формат киберучений Standoff для бизнеса.
Теперь команды могут пройти интенсивную практическую подготовку к отражению инцидентов в условиях, приближенных к реальным.
Представленные выводы и прогнозы основаны на собственной экспертизе компании, информации из авторитетных открытых источников, а также на результатах опроса, проведенного в первом квартале 2026 года, в котором приняли участие более 100 отраслевых специалистов.
Большая часть респондентов - представители очень крупных (от 1001 человек) и крупных (от 251 до 1000) организаций (61%), доля среднего (от 101 до 250) бизнеса составила 39%.
Среди них представители разных отраслей, включая финсектор, промышленность, телеком, ИТ, госучреждения, транспорт, образование, торговля, сфера услуг, здравоохранение и др.
При этом распределение респондентов по отраслям было равномерным.
Ключевые результаты:
- Почти половина организаций (48%) оценивают текущий уровень зрелости системы ИБ как «средний». Треть опрошенных считают, что процессы реализованы у них на высоком уровне.
- Только 12% компаний используют для оценки зрелости ИБ формализованные стандарты и метрики, а 75% респондентов заявили о намерении внедрить эту практику в будущем.
- В 14% организаций никогда ранее не проводили и не собираются проводить киберучения, 28% опрошенных планируют начать организовывать тренировки.
- Среди компаний, которые уже проводили киберучения или собираются провести в будущем, 34% полагаются только на собственные ресурсы, 32% рассчитывают на помощь внешних провайдеров услуг ИБ. При этом 53% планируют привлечь к тренировкам весь ИТ-отдел, 35% рассматривают возможность участия в тренировках всех сотрудников.
- Среди организаций, которые уже проводили киберучения, 60% считают, что они были эффективными, 38% опрошенных оценивают результаты нейтрально. Только 2% участников опроса оценили итоги киберучений крайне негативно.
- Больше половины участников опроса (60%) проводят киберучения для выявления и устранения технических уязвимостей в ИТ-инфраструктуре.
- Среди форматов киберучений, которые наиболее интересны российским организациям, лидируют (59%) командные тренировки (red team или purple team) и практические упражнения в виртуальной среде (47%).
- Меньше половины (41%) опрошенных считают оптимальным проводить киберучения два раза в год, 25% - раз в квартал, еще 24% - раз в год.
- Что касается средств, 28% организаций не имеют бюджета на киберучения, 62% респондентов готовы выделить на тренировки до 5 млн. рублей.
- Чаще всего проведение киберучений затрудняют ограниченный бюджет (42%), отсутствие времени у ключевых сотрудников (42%), сложности с привлечением участников из разных подразделений (34%) и недостаток внутренней экспертизы (31%).
- У большинства (51%) наибольшее беспокойство при планировании учений связано с возможными сбоями в работе ИТ-систем. Чуть меньше респондентов (42%) отталкивает высокая стоимость и сомнения в оправданности этих расходов. Еще 41% опасаются за безопасность и конфиденциальность данных при моделировании атак.
Настоящее и будущее рынка - в свежем отчете.
Не можем не отметить также и то, что Positive Technologies запускает однодневный формат киберучений Standoff для бизнеса.
Теперь команды могут пройти интенсивную практическую подготовку к отражению инцидентов в условиях, приближенных к реальным.
ptsecurity.com
Аналитические статьи
Forwarded from Russian OSINT
Пользователю приходит письмо с адреса, который пытается мимикрировать под легитимную почту государственной организации или медучреждения. В нём предлагается подтвердить актуальность обслуживания в поликлинике: для этого нужно перейти по ссылке.
Если кликнуть по ней, откроется сайт, похожий на официальный, с формой ввода 📱номера телефона и кнопками «Продлить» и «Открепить». Вне зависимости от выбора пользователь получает номер талона, который предлагается отправить в регистратуру, кликнув по кнопке.
Далее схема развивается по одному из сценариев:
1️⃣ После «отправки талона» появляется предупреждение о том, что по указанному номеру якобы произошёл вход на портал государственных услуг, и нужно дождаться звонка от
2️⃣ После ввода номера пользователь видит сообщение о скором звонке из регистратуры.
👆Далее может поступить звонок от злоумышленников, которые попытаются получить доступ к аккаунтам жертвы.
Please open Telegram to view this post
VIEW IN TELEGRAM
Telegram
Kaspersky
❗️ Эксперты «Лаборатории Касперского» фиксируют всплеск мошеннических рассылок под видом писем от медицинских учреждений
Цель злоумышленников — получить телефонные номера пользователей для использования в дальнейших атаках. На сегодняшний день обнаружены…
Цель злоумышленников — получить телефонные номера пользователей для использования в дальнейших атаках. На сегодняшний день обнаружены…
Исследователи VulnCheck сообщают об активной эксплуатации уязвимости с максимальным уровнем серьезности в Flowise, платформе ИИ с открытым исходным кодом, используемой рядом крупных корпораций.
Речь идет об уязвимости CVE-2025-59528 (CVSS: 10.0), которая представляет собой уязвимость внедрения кода, которая может привести к удалённому выполнению кода.
Узел CustomMCP позволяет пользователям вводить параметры конфигурации для подключения к внешнему серверу MCP, который анализирует предоставленную пользователем строку mcpServerConfig для построения конфигурации сервера.
Однако в процессе этого он выполняет код JavaScript без какой-либо проверки безопасности.
Flowise отметила, что успешная эксплуатация уязвимости может обеспечить доступ к опасным модулям, таким как child_process (выполнение команд) и fs (файловая система), поскольку он работает с полными привилегиями среды выполнения Node.js.
Иными словами, злоумышленник, использующий эту уязвимость, может выполнить произвольный код JavaScript на сервере Flowise, что приведет к полной компрометации системы, доступу к файловой системе, выполнению команд и утечке конфиденциальных данных.
Как отметили в Flowise, поскольку требуется только токен API, это представляет собой чрезвычайную угрозу для непрерывности бизнеса и данных клиентов. Компания выразила благодарность Ким Су Хён за уведомление об уязвимости. Проблема была устранена в версии 3.0.6 пакета npm.
Согласно данным VulnCheck, эксплуатация осуществлялась с одного IP-адреса Starlink.
CVE-2025-59528 - это уже третья уязвимость Flowise, эксплуатируемая в реальных условиях, после CVE-2025-8943 (CVSS: 9,8), позволяющей удаленно выполнять команды ОС, и CVE-2025-26319 (CVSS: 8,9), позволяющей произвольно загружать файлы.
Уязвимость была известна более шести месяцев, а это значит, что у пользователей было достаточно много времени, чтобы определить приоритетность и устранить ее.
К настоящему времени площадь уязвимой поверхности, доступной из интернета, составляет более 12 000 открытых экземпляров, что Flowise крайне востребованной целью для киберподполья, представители которого уже предпринимают попытки сканирования и эксплуатации.
Речь идет об уязвимости CVE-2025-59528 (CVSS: 10.0), которая представляет собой уязвимость внедрения кода, которая может привести к удалённому выполнению кода.
Узел CustomMCP позволяет пользователям вводить параметры конфигурации для подключения к внешнему серверу MCP, который анализирует предоставленную пользователем строку mcpServerConfig для построения конфигурации сервера.
Однако в процессе этого он выполняет код JavaScript без какой-либо проверки безопасности.
Flowise отметила, что успешная эксплуатация уязвимости может обеспечить доступ к опасным модулям, таким как child_process (выполнение команд) и fs (файловая система), поскольку он работает с полными привилегиями среды выполнения Node.js.
Иными словами, злоумышленник, использующий эту уязвимость, может выполнить произвольный код JavaScript на сервере Flowise, что приведет к полной компрометации системы, доступу к файловой системе, выполнению команд и утечке конфиденциальных данных.
Как отметили в Flowise, поскольку требуется только токен API, это представляет собой чрезвычайную угрозу для непрерывности бизнеса и данных клиентов. Компания выразила благодарность Ким Су Хён за уведомление об уязвимости. Проблема была устранена в версии 3.0.6 пакета npm.
Согласно данным VulnCheck, эксплуатация осуществлялась с одного IP-адреса Starlink.
CVE-2025-59528 - это уже третья уязвимость Flowise, эксплуатируемая в реальных условиях, после CVE-2025-8943 (CVSS: 9,8), позволяющей удаленно выполнять команды ОС, и CVE-2025-26319 (CVSS: 8,9), позволяющей произвольно загружать файлы.
Уязвимость была известна более шести месяцев, а это значит, что у пользователей было достаточно много времени, чтобы определить приоритетность и устранить ее.
К настоящему времени площадь уязвимой поверхности, доступной из интернета, составляет более 12 000 открытых экземпляров, что Flowise крайне востребованной целью для киберподполья, представители которого уже предпринимают попытки сканирования и эксплуатации.
GitHub
RCE in FlowiseAI/Flowise
## Description
### Cause of the Vulnerability
The `CustomMCP` node allows users to input configuration settings for connecting to an external MCP (Model Context Protocol) server. This node pa...
### Cause of the Vulnerability
The `CustomMCP` node allows users to input configuration settings for connecting to an external MCP (Model Context Protocol) server. This node pa...
Forwarded from Social Engineering
• Недавно искал определенный софт для домашнего сервера и нашел интересную подборку, которой хочу поделиться с вами. Сразу отмечу, что весь софт является бесплатным и имеет открытый исходный код, так что выбирайте нужные инструменты, если у вас есть свой хостинг.
• Итак, для начала держите ссылку на руководство, которое включает в себя просто бескрайнее кол-во программ для самохостинга. Если изучили и что-то не нашли, хотя я в этом сомневаюсь, то переходим в еще одну коллекцию awesome-selfhosted и подреддит r/selfhosted/. Эти ресурсы точно закроют все ваши потребности!
• Ну и вот еще несколько полезных инструментов для самохостинга:
… и другие серверные приложения из каталога.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
В Docker Engine обнаружена серьезная уязвимость, которая при определенных обстоятельствах позволяет злоумышленнику обойти плагины авторизации (AuthZ).
Уязвимость отслеживается как CVE-2026-34040 (CVSS: 8,8) и обусловлена неполным исправлением другой CVE-2024-41110 с максимальным уровнем серьезности в том же компоненте, которая была обнаружена в июле 2024 года.
Как отмечают сами разработчики, используя специально сформированный API-запрос, злоумышленник может заставить демон Docker перенаправить запрос плагину авторизации без тела запроса, который он отклонил бы, если тело запроса было ему перенаправлено.
Потенциально это может затронуть всех, кто использует плагины авторизации, анализирующие тело запроса для принятия решений о контроле доступа.
Обнаружение уязвимости приписывается сразу нескольким исследователям (независимо друг друга), включая Асима Вилади Оглу Манизаду, Коди, Олега Конко и Владимира Токарева. Проблема исправлена в версии Docker Engine 29.3.1.
Согласно отчету Cyera Research Labs, уязвимость связана с тем, что исправление для CVE-2024-41110 некорректно обрабатывало слишком большие тела HTTP-запросов, что открывало возможность использования одного заполненного HTTP-запроса для создания привилегированного контейнера с доступом к файловой системе хоста.
В гипотетическом сценарии атаки злоумышленник, имеющий ограниченный доступ к API Docker с помощью плагина аутентификации, может обойти этот механизм, увеличив размер запроса на создание контейнера до более чем 1 МБ, в результате чего запрос будет отклонен до того, как достигнет плагина.
Плагин разрешает запрос, потому что не видит ничего, что можно было бы заблокировать. Демон Docker обрабатывает весь запрос и создает привилегированный контейнер с корневым доступом к хосту: учетным данным AWS, ключам SSH, конфигурациям Kubernetes и всему остальному на машине, срабатывая для всех плагинов аутентификации в экосистеме.
Более того, агент ИИ OpenClaw в песочнице на основе Docker, можно также обмануть и заставить выполнить внедрение подсказки, скрытой в специально созданном репозитории GitHub, в рамках обычного рабочего процесса разработчика.
Это приведет к выполнению вредоносного кода, использующего CVE-2026-34040 для обхода авторизации с помощью описанного выше подхода, создания привилегированного контейнера и монтирования файловой системы хоста.
Обладая таким уровнем доступа, злоумышленник может извлечь учетные данные для облачных сервисов и использовать их для получения контроля над облачными учетными записями, кластерами Kubernetes и даже SSH-подключением к производственным серверам.
Кроме того, Cyera также предупредила, что агенты ИИ могут самостоятельно обнаружить обходной путь и запустить его, формируя HTTP-запрос с добавлением лишней информации при возникновении ошибок при попытке доступа к таким файлам, как kubeconfig, в рамках задачи отладки, заданной разработчиком (например, отладка проблемы нехватки памяти в Kubernetes).
Такой подход исключает необходимость создания зараженного репозитория, содержащего вредоносные инструкции.
Плагин AuthZ отклонил запрос на монтирование. Агент имеет доступ к API Docker и знает, как работает HTTP. Для CVE-2026-34040 не требуется никакого эксплойт-кода, привилегий или специальных инструментов.
Это всего лишь один HTTP-запрос с дополнительным заполнением. Любой агент, который может читать документацию API Docker, может его сформировать.
В качестве временного решения рекомендуется избегать использования плагинов аутентификации, которые полагаются на анализ тела запроса для принятия решений в области безопасности, ограничивать доступ к API Docker только доверенным лицам, следуя принципу минимальных привилегий, или запускать Docker в режиме без прав root.
В этом режиме даже «root» привилегированного контейнера сопоставляется с UID непривилегированного хоста. Радиус поражения снижается с «полной компрометации хоста» до «скомпрометированного непривилегированного пользователя».
Уязвимость отслеживается как CVE-2026-34040 (CVSS: 8,8) и обусловлена неполным исправлением другой CVE-2024-41110 с максимальным уровнем серьезности в том же компоненте, которая была обнаружена в июле 2024 года.
Как отмечают сами разработчики, используя специально сформированный API-запрос, злоумышленник может заставить демон Docker перенаправить запрос плагину авторизации без тела запроса, который он отклонил бы, если тело запроса было ему перенаправлено.
Потенциально это может затронуть всех, кто использует плагины авторизации, анализирующие тело запроса для принятия решений о контроле доступа.
Обнаружение уязвимости приписывается сразу нескольким исследователям (независимо друг друга), включая Асима Вилади Оглу Манизаду, Коди, Олега Конко и Владимира Токарева. Проблема исправлена в версии Docker Engine 29.3.1.
Согласно отчету Cyera Research Labs, уязвимость связана с тем, что исправление для CVE-2024-41110 некорректно обрабатывало слишком большие тела HTTP-запросов, что открывало возможность использования одного заполненного HTTP-запроса для создания привилегированного контейнера с доступом к файловой системе хоста.
В гипотетическом сценарии атаки злоумышленник, имеющий ограниченный доступ к API Docker с помощью плагина аутентификации, может обойти этот механизм, увеличив размер запроса на создание контейнера до более чем 1 МБ, в результате чего запрос будет отклонен до того, как достигнет плагина.
Плагин разрешает запрос, потому что не видит ничего, что можно было бы заблокировать. Демон Docker обрабатывает весь запрос и создает привилегированный контейнер с корневым доступом к хосту: учетным данным AWS, ключам SSH, конфигурациям Kubernetes и всему остальному на машине, срабатывая для всех плагинов аутентификации в экосистеме.
Более того, агент ИИ OpenClaw в песочнице на основе Docker, можно также обмануть и заставить выполнить внедрение подсказки, скрытой в специально созданном репозитории GitHub, в рамках обычного рабочего процесса разработчика.
Это приведет к выполнению вредоносного кода, использующего CVE-2026-34040 для обхода авторизации с помощью описанного выше подхода, создания привилегированного контейнера и монтирования файловой системы хоста.
Обладая таким уровнем доступа, злоумышленник может извлечь учетные данные для облачных сервисов и использовать их для получения контроля над облачными учетными записями, кластерами Kubernetes и даже SSH-подключением к производственным серверам.
Кроме того, Cyera также предупредила, что агенты ИИ могут самостоятельно обнаружить обходной путь и запустить его, формируя HTTP-запрос с добавлением лишней информации при возникновении ошибок при попытке доступа к таким файлам, как kubeconfig, в рамках задачи отладки, заданной разработчиком (например, отладка проблемы нехватки памяти в Kubernetes).
Такой подход исключает необходимость создания зараженного репозитория, содержащего вредоносные инструкции.
Плагин AuthZ отклонил запрос на монтирование. Агент имеет доступ к API Docker и знает, как работает HTTP. Для CVE-2026-34040 не требуется никакого эксплойт-кода, привилегий или специальных инструментов.
Это всего лишь один HTTP-запрос с дополнительным заполнением. Любой агент, который может читать документацию API Docker, может его сформировать.
В качестве временного решения рекомендуется избегать использования плагинов аутентификации, которые полагаются на анализ тела запроса для принятия решений в области безопасности, ограничивать доступ к API Docker только доверенным лицам, следуя принципу минимальных привилегий, или запускать Docker в режиме без прав root.
В этом режиме даже «root» привилегированного контейнера сопоставляется с UID непривилегированного хоста. Радиус поражения снижается с «полной компрометации хоста» до «скомпрометированного непривилегированного пользователя».
GitHub
AuthZ plugin bypass with oversized request body
## Summary
A security vulnerability has been detected that allows attackers to bypass [authorization plugins (AuthZ)](https://docs.docker.com/engine/extend/plugins_authorization/) under specific...
A security vulnerability has been detected that allows attackers to bypass [authorization plugins (AuthZ)](https://docs.docker.com/engine/extend/plugins_authorization/) under specific...
Defiant предупреждает о начале массированных атак, нацеленных на критическую уязвимость в платном дополнении Ninja Forms File Uploads для WordPress, которая позволяет загружать произвольные файлы без аутентификации, что может привести к удаленному выполнению кода.
По данным компании, ее межсетевой экран Wordfence заблокировал более 3600 атак на CVE-2026-0740 за последние 24 часа.
Ninja Forms - популярный конструктор форм для WordPress с более чем 600 тыс. загрузками, который позволяет пользователям создавать формы без программирования, используя простой интерфейс перетаскивания. Расширение для загрузки файлов в том же пакете, обслуживает более 90 тыс. клиентов.
CVE-2026-0740 имеет критическую оценку CVSS 9,8 из 10 и затрагивает все версии Ninja Forms File Upload до 3.3.26 включительно.
По данным Wordfence, уязвимость вызвана отсутствием проверки типов/расширений файлов в целевом имени файла, что позволяет неавторизованному злоумышленнику загружать произвольные файлы, включая PHP-скрипты, а также манипулировать именами файлов для осуществления обхода пути.
В уязвимой версии функция не включает в себя проверку типа файла или расширения имени целевого файла перед операцией перемещения, что позволяет загружать не только безопасные файлы, но и файлы с расширением .php.
Поскольку проверка имен файлов не используется, вредоносный параметр также облегчает обход путей, позволяя переместить файл даже в корневой каталог веб-сервера.
Все это позволяет неавторизованным злоумышленникам загружать произвольный вредоносный PHP-код, а затем получать доступ к файлу для запуска удаленного выполнения кода на сервере.
Возможные последствия эксплуатации могут быть катастрофическими, включая развертывание веб-оболочек и полный захват сайта.
Уязвимость была обнаружена исследователем Селимом Лануаром (whattheslime), который 8 января отправил по ней отчет в программу вознаграждения за обнаружение ошибок Wordfence.
После проверки Wordfence в тот же день предоставила поставщику полную информацию и внедрила временные меры защиты с помощью правил брандмауэра для своих клиентов.
После проверки патчей и частичного исправления 10 февраля, производитель выпустил полное исправление в версии 3.3.27, доступной с 19 марта.
Учитывая, что Wordfence теперь ежедневно фиксирует тысячи попыток взлома, пользователям Ninja Forms File Upload настоятельно рекомендуется обновиться до последней версии.
По данным компании, ее межсетевой экран Wordfence заблокировал более 3600 атак на CVE-2026-0740 за последние 24 часа.
Ninja Forms - популярный конструктор форм для WordPress с более чем 600 тыс. загрузками, который позволяет пользователям создавать формы без программирования, используя простой интерфейс перетаскивания. Расширение для загрузки файлов в том же пакете, обслуживает более 90 тыс. клиентов.
CVE-2026-0740 имеет критическую оценку CVSS 9,8 из 10 и затрагивает все версии Ninja Forms File Upload до 3.3.26 включительно.
По данным Wordfence, уязвимость вызвана отсутствием проверки типов/расширений файлов в целевом имени файла, что позволяет неавторизованному злоумышленнику загружать произвольные файлы, включая PHP-скрипты, а также манипулировать именами файлов для осуществления обхода пути.
В уязвимой версии функция не включает в себя проверку типа файла или расширения имени целевого файла перед операцией перемещения, что позволяет загружать не только безопасные файлы, но и файлы с расширением .php.
Поскольку проверка имен файлов не используется, вредоносный параметр также облегчает обход путей, позволяя переместить файл даже в корневой каталог веб-сервера.
Все это позволяет неавторизованным злоумышленникам загружать произвольный вредоносный PHP-код, а затем получать доступ к файлу для запуска удаленного выполнения кода на сервере.
Возможные последствия эксплуатации могут быть катастрофическими, включая развертывание веб-оболочек и полный захват сайта.
Уязвимость была обнаружена исследователем Селимом Лануаром (whattheslime), который 8 января отправил по ней отчет в программу вознаграждения за обнаружение ошибок Wordfence.
После проверки Wordfence в тот же день предоставила поставщику полную информацию и внедрила временные меры защиты с помощью правил брандмауэра для своих клиентов.
После проверки патчей и частичного исправления 10 февраля, производитель выпустил полное исправление в версии 3.3.27, доступной с 19 марта.
Учитывая, что Wordfence теперь ежедневно фиксирует тысячи попыток взлома, пользователям Ninja Forms File Upload настоятельно рекомендуется обновиться до последней версии.
Wordfence
Ninja Forms - File Upload <= 3.3.26 - Unauthenticated Arbitrary File Upload — Wordfence Intelligence
Исследователи из Лаборатории Касперского в своем новом отчете поделились аналитикой по ландшафту финансовых киберугроз за 2025 год и представили прогноз на 2026 год.
В 2025 году распространенность традиционных банковских вредоносных ПО для ПК снизилась, но этот сдвиг был компенсирован быстрым ростом кражи учетных данных со стороны злоумышленников, занимающихся хищением информации.
Злоумышленники все чаще полагались на агрегирование и повторное использование украденных данных, а не на разработку совершенно новых возможностей вредоносного ПО.
В рамках исследования в ЛК проанализировали анонимизированные данные о вредоносной активности, обнаруженной на устройствах пользователей своих решений и в телеметрии Kaspersky KSN, а также общедоступные данные и аналитику по даркнету.
В призму изучения попали данные по финансовому фишингу, банковскому вредоносному ПО, а также стилерам и даркнету.
Отчет получился весьма внушительным и не менее полезным с практической точки зрения, со своей стороны, отметим ключевые положения:
- Фишинг:
В 2025 году фишинговая активность сместилась в сторону электронной коммерции (14,17%) и цифровых услуг (16,15%).
При этом злоумышленники все чаще адаптировали свои кампании к региональным тенденциям и поведению пользователей, что сделало социнженерию более целенаправленной, несмотря на снижение внимания к традиционным банковским приманкам.
- Банковское вредоносное ПО:
Распространенность вредоносных ПО для финансовых ПК снизилась, но они по-прежнему представляют собой постоянную угрозу: устоявшиеся семейства продолжают функционировать, а злоумышленники все чаще отдают приоритет получению доступа к учетным данным и опосредованному мошенничеству, а не развертыванию сложных банковских троянов.
Напротив, вредоносные ПО для мобильного банкинга продолжают расти (подробно об этом в ЛК поведали в отчете по вредоносным ПО для мобильных устройств).
- Похитители информации и даркнет:
Информационные мошенники стали одним из главных двигателей финансовых киберпреступлений, подпитывая растущую экономику даркнета, где украденные учетные данные, платежная информация и полные профили личности торгуются в больших масштабах, что позволяет осуществлять широкомасштабные и разрушительные мошеннические операции.
В целом, снижение количества традиционных банковских вредоносных ПО для ПК не указывают на снижение риска, скорее - на перефокусирование устремлений киберподполья в сторону более эффективных методов, направленных на мобильные устройства, кражу учетных данных и социнженерию.
В частности, программы для кражи информации являются мощным инструментом, позволяющим широкомасштабно компрометировать системы.
В 2026 году ожидается, что ландшафт финансовых угроз станет еще более ориентированным на данные и автоматизированным.
Организациям необходимо адаптироваться, сосредоточившись на защите личных данных, мониторинге в реальном времени и анализе угроз по различным каналам, в то время как пользователи должны сохранять бдительность в отношении все более изощренных и персонализированных методов атак.
Подробная инфографика и вся детальная фактура - в отчете.
В 2025 году распространенность традиционных банковских вредоносных ПО для ПК снизилась, но этот сдвиг был компенсирован быстрым ростом кражи учетных данных со стороны злоумышленников, занимающихся хищением информации.
Злоумышленники все чаще полагались на агрегирование и повторное использование украденных данных, а не на разработку совершенно новых возможностей вредоносного ПО.
В рамках исследования в ЛК проанализировали анонимизированные данные о вредоносной активности, обнаруженной на устройствах пользователей своих решений и в телеметрии Kaspersky KSN, а также общедоступные данные и аналитику по даркнету.
В призму изучения попали данные по финансовому фишингу, банковскому вредоносному ПО, а также стилерам и даркнету.
Отчет получился весьма внушительным и не менее полезным с практической точки зрения, со своей стороны, отметим ключевые положения:
- Фишинг:
В 2025 году фишинговая активность сместилась в сторону электронной коммерции (14,17%) и цифровых услуг (16,15%).
При этом злоумышленники все чаще адаптировали свои кампании к региональным тенденциям и поведению пользователей, что сделало социнженерию более целенаправленной, несмотря на снижение внимания к традиционным банковским приманкам.
- Банковское вредоносное ПО:
Распространенность вредоносных ПО для финансовых ПК снизилась, но они по-прежнему представляют собой постоянную угрозу: устоявшиеся семейства продолжают функционировать, а злоумышленники все чаще отдают приоритет получению доступа к учетным данным и опосредованному мошенничеству, а не развертыванию сложных банковских троянов.
Напротив, вредоносные ПО для мобильного банкинга продолжают расти (подробно об этом в ЛК поведали в отчете по вредоносным ПО для мобильных устройств).
- Похитители информации и даркнет:
Информационные мошенники стали одним из главных двигателей финансовых киберпреступлений, подпитывая растущую экономику даркнета, где украденные учетные данные, платежная информация и полные профили личности торгуются в больших масштабах, что позволяет осуществлять широкомасштабные и разрушительные мошеннические операции.
В целом, снижение количества традиционных банковских вредоносных ПО для ПК не указывают на снижение риска, скорее - на перефокусирование устремлений киберподполья в сторону более эффективных методов, направленных на мобильные устройства, кражу учетных данных и социнженерию.
В частности, программы для кражи информации являются мощным инструментом, позволяющим широкомасштабно компрометировать системы.
В 2026 году ожидается, что ландшафт финансовых угроз станет еще более ориентированным на данные и автоматизированным.
Организациям необходимо адаптироваться, сосредоточившись на защите личных данных, мониторинге в реальном времени и анализе угроз по различным каналам, в то время как пользователи должны сохранять бдительность в отношении все более изощренных и персонализированных методов атак.
Подробная инфографика и вся детальная фактура - в отчете.
Securelist
Kaspersky financial threat report 2025
In this report, Kaspersky experts share their insights into the 2025 financial threat landscape, including regional statistics and trends in phishing, PC malware, and infostealers.
Помимо военно-политических мер в ответ на атаки власти Ирана не менее эффективно нацеливаются на США в киберпространстве, взламывая программируемые логические контроллеры (ПЛК), доступные через интернет.
CISA и ФБР единым фронтом рапортуют о сбоях в работе многих критически важных инфраструктурных секторов по всей территории США в результате атак на ПЛК Rockwell и Allen-Bradley, которые приводят, в том числе и к финансовым потерям.
По сообщениям регулятора деятельность осуществляется APT-группой, связанной с Ираном, которая задействует уязвимости в OT-устройствах как минимум с марта 2026 года, напрямую подключаясь к ПЛК через интернет, с помощью легитимных инженерных инструментов, таких как Studio 5000 Logix Designer от Rockwell Automation.
Хакеры использовали инфраструктуру, размещенную за рубежом, для установления соединений с уязвимыми устройствами, в частности с ПЛК Rockwell Automation/Allen-Bradley, включая модели CompactLogix и Micro850.
Получив доступ, они извлекали файлы проектов и манипулировали данными, отображаемыми в системах HMI и SCADA, что позволяло им вмешиваться в производственные процессы без использования традиционного вредоносного ПО.
Затронутые устройства широко используются в критически важных инфраструктурных объектах для автоматизации промышленных операций.
Rockwell Automation поставляет ПЛК и системы управления, используемые в обрабатывающей промышленности, энергетике и коммунальном хозяйстве, охватывая множество секторов, включая госуслуги, системы водоснабжения и водоотведения, а также энергетический сектор.
В нескольких документально подтвержденных случаях организации столкнулись со сбоями, вызванными несанкционированными изменениями в логике управления или фальсификацией данных оператора, что подчеркивает риски как физического, так и информационного манипулирования.
CISA отмечает, что тактика, наблюдаемая в этой кампании, напоминает более ранние операции, приписываемые CyberAv3ngers (UNC5691), которая в 2023 году взломала десятки ПЛК Unitronics в ходе нескольких волн кибератак, половина из которых пришлась на сети критической инфраструктуры WWS.
Текущая активность свидетельствует о сохранении акцента на промышленных системах, вероятно (по мнению гениев из CISA), обусловленном геополитической напряженностью.
С технической точки зрения, злоумышленники нацелены на часто используемые порты связи в системах OT, включая 44818, 2222, 102, 502 и 22. В некоторых случаях они использовали Dropbear SSH для обеспечения удаленного доступа.
Учитывая столь болезненную публичную реакцию, иранским APT определено удалось повторить успех CyberAv3ngers, и, по всей видимости, даже превзойти. Но будем посмотреть.
CISA и ФБР единым фронтом рапортуют о сбоях в работе многих критически важных инфраструктурных секторов по всей территории США в результате атак на ПЛК Rockwell и Allen-Bradley, которые приводят, в том числе и к финансовым потерям.
По сообщениям регулятора деятельность осуществляется APT-группой, связанной с Ираном, которая задействует уязвимости в OT-устройствах как минимум с марта 2026 года, напрямую подключаясь к ПЛК через интернет, с помощью легитимных инженерных инструментов, таких как Studio 5000 Logix Designer от Rockwell Automation.
Хакеры использовали инфраструктуру, размещенную за рубежом, для установления соединений с уязвимыми устройствами, в частности с ПЛК Rockwell Automation/Allen-Bradley, включая модели CompactLogix и Micro850.
Получив доступ, они извлекали файлы проектов и манипулировали данными, отображаемыми в системах HMI и SCADA, что позволяло им вмешиваться в производственные процессы без использования традиционного вредоносного ПО.
Затронутые устройства широко используются в критически важных инфраструктурных объектах для автоматизации промышленных операций.
Rockwell Automation поставляет ПЛК и системы управления, используемые в обрабатывающей промышленности, энергетике и коммунальном хозяйстве, охватывая множество секторов, включая госуслуги, системы водоснабжения и водоотведения, а также энергетический сектор.
В нескольких документально подтвержденных случаях организации столкнулись со сбоями, вызванными несанкционированными изменениями в логике управления или фальсификацией данных оператора, что подчеркивает риски как физического, так и информационного манипулирования.
CISA отмечает, что тактика, наблюдаемая в этой кампании, напоминает более ранние операции, приписываемые CyberAv3ngers (UNC5691), которая в 2023 году взломала десятки ПЛК Unitronics в ходе нескольких волн кибератак, половина из которых пришлась на сети критической инфраструктуры WWS.
Текущая активность свидетельствует о сохранении акцента на промышленных системах, вероятно (по мнению гениев из CISA), обусловленном геополитической напряженностью.
С технической точки зрения, злоумышленники нацелены на часто используемые порты связи в системах OT, включая 44818, 2222, 102, 502 и 22. В некоторых случаях они использовали Dropbear SSH для обеспечения удаленного доступа.
Учитывая столь болезненную публичную реакцию, иранским APT определено удалось повторить успех CyberAv3ngers, и, по всей видимости, даже превзойти. Но будем посмотреть.
Cybersecurity and Infrastructure Security Agency CISA
Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure | CISA
U.S. organizations should review the TTPs and IOCs in this advisory for indications of current or historical activity on their networks, and apply the recommendations listed in this advisory to reduce the risk of compromise.
Forwarded from Russian OSINT
CNN пишет, что группа киберпреступников под названием FlamingChina выставила на продажу в анонимном Telegram-канале более 10 петабайт секретной информации, похищенной из ИТ-инфраструктуры Национального суперкомпьютерного центра в Тяньцзине. Центр обслуживает более 6000 клиентов, а утечка предположительно содержит документы с грифом «секретно», исследования в области аэрокосмической инженерии, визуализации оборонного оборудования, а также схемы ракет и симуляции термоядерного синтеза.
За FlamingChina скрывается неизвестный хакер или группа, заявляющая о своей причастности к хищению информации. Группа утверждает, что утечка связана с «ведущими организациями», среди которых Китайская корпорация авиационной промышленности, Китайская корпорация коммерческой авиации и Национальный университет оборонных технологий.
ИБ-исследователь Марк Хофер сообщил, что связался в Telegram с человеком, заявившим об осуществлении взлома. Атакующий утверждал, что получил доступ к суперкомпьютеру в Тяньцзине через скомпрометированный домен VPN. Атакующий сообщил Хоферу, что они развернули «ботнет» — сеть автоматизированных программ для извлечения, загрузки и хранения данных. Процесс занял около 🤔6 месяцев. По словам другого эксперта, выгрузка была распределена по множеству серверов. В настоящий момент преступники требуют оплату в криптовалюте, оценивая полный доступ к базе в сотни тысяч долларов и предлагая ограниченную демонстрационную выборку за несколько тысяч.
Консультант компании SentinelOne Дакота Кэри подтвердил подлинность опубликованных фрагментов. Эксперт прокомментировал инцидент следующим образом: «Они представляют собой именно то, что я ожидал бы увидеть из суперкомпьютерного центра».
--------------------------
🤔Что странного в этой истории? «Сотни тысяч долларов» за чертежи баллистических ракет, передовую аэрокосмическую инженерию и данные по термоядерному синтезу? — Как-то смехотворно мало. Рассуждая гипотетически, если утечку уже выпотрошили западные спецслужбы, то коммерческая ценность такого
Заявлено, что хакер выкачал 10 петабайт за 6 месяцев. Посчитаем, 10 Пбайт — это 10 миллионов гигабайт. Чтобы передать такой объем за полгода, требуется круглосуточный исходящий поток данных на скорости около 5 Гбит/с (более 600 Мегабайт каждую секунду).
Либо объем украденного завышен в тысячи раз ради пиара (журналисты могли раздуть), либо был инсайдер (администратор в НСЦ), который выносил информацию на физических носителях (даже в этом случае слишком большой объем данных), а история с «взломом через VPN» — всего лишь легенда для прикрытия. На стратегических объектах (тем более в Китае) строгий физический контроль: рамки, досмотр сумок, запрет на пронос личной электроники.
NetAskari, кстати, тоже подверг сомнению цифру в 10 Пбайт.
Примечательно, что новость попала в большую прессу только сейчас, хотя об этом кейсе исследователи начали говорить в прошлом месяце. Вот тут есть инфа.
Please open Telegram to view this post
VIEW IN TELEGRAM
0-day в Adobe Reader активно задействуется в атаках через специально созданные PDF-документы с декабря прошлого года.
Атаки обнаружил исследователь Хайфэй Ли (основатель платформы EXPMON), который вскрыл «высокотехнологичный эксплойт для PDF-файлов, похожий на снятие фингерпринтов», использующий нераскрытую уязвимость в Adobe Reader.
Он также отметил, что эти атаки нацелены на пользователей Adobe как минимум 4 месяца и приводят к краже данные из скомпрометированных систем с помощью привилегированных API-интерфейсов Acrobat util.readFileIntoStream и RSS.addFeed, а также через дополнительные эксплойты.
Упомянутая уязвимость, связанная с получением «цифрового отпечатка», работает в последней версии Adobe Reader без какого-либо взаимодействия с пользователем, кроме открытия PDF-файла. Точная природа этой уязвимости следующего этапа остается неизвестной.
Еще более тревожно то, что эта она позволяет злоумышленнику не только собирать/красть локальную информацию, но и потенциально запускать последующие атаки RCE/SBX, которые могут привести к полному контролю над системой жертвы.
Первый артефакт (Invoice540.pdf) засветился на платформе VirusTotal 28 ноября 2025 года, затем второй образец был загружен туда же уже 23 марта 2026 года.
Аналитик угроз Gi7w0rm также проанализировал эту уязвимость в Adobe Reader, обнаружив, что PDF-документы, распространяемые в ходе этих атак, содержат русскоязычные приманки, ссылающиеся на текущие события в российской нефтегазовой отрасли.
Судя по названию PDF-документа, вероятно, здесь присутствует элемент социнженерии: злоумышленники заманивают ничего не подозревающих пользователей, заставляя их открыть файлы в Adobe Reader.
После запуска автоматически запускается выполнение обфусцированного JavaScript для сбора конфиденциальных данных и получения дополнительных вредоносных программ.
Исследователи уведомили Adobe о своих находках и, до тех пор пока компания не выпустит обновления для устранения этой активно используемой 0-day, пользователям следует не открывать PDF-документы, полученные от ненадежных контактов, до выпуска патча.
Специалисты по сетевой безопасности также могут смягчать последствия атак, использующих эту 0-day, путем мониторинга и блокировки HTTP/HTTPS-трафика, содержащего строку Adobe Synchronizer в заголовке User-Agent.
Атаки обнаружил исследователь Хайфэй Ли (основатель платформы EXPMON), который вскрыл «высокотехнологичный эксплойт для PDF-файлов, похожий на снятие фингерпринтов», использующий нераскрытую уязвимость в Adobe Reader.
Он также отметил, что эти атаки нацелены на пользователей Adobe как минимум 4 месяца и приводят к краже данные из скомпрометированных систем с помощью привилегированных API-интерфейсов Acrobat util.readFileIntoStream и RSS.addFeed, а также через дополнительные эксплойты.
Упомянутая уязвимость, связанная с получением «цифрового отпечатка», работает в последней версии Adobe Reader без какого-либо взаимодействия с пользователем, кроме открытия PDF-файла. Точная природа этой уязвимости следующего этапа остается неизвестной.
Еще более тревожно то, что эта она позволяет злоумышленнику не только собирать/красть локальную информацию, но и потенциально запускать последующие атаки RCE/SBX, которые могут привести к полному контролю над системой жертвы.
Первый артефакт (Invoice540.pdf) засветился на платформе VirusTotal 28 ноября 2025 года, затем второй образец был загружен туда же уже 23 марта 2026 года.
Аналитик угроз Gi7w0rm также проанализировал эту уязвимость в Adobe Reader, обнаружив, что PDF-документы, распространяемые в ходе этих атак, содержат русскоязычные приманки, ссылающиеся на текущие события в российской нефтегазовой отрасли.
Судя по названию PDF-документа, вероятно, здесь присутствует элемент социнженерии: злоумышленники заманивают ничего не подозревающих пользователей, заставляя их открыть файлы в Adobe Reader.
После запуска автоматически запускается выполнение обфусцированного JavaScript для сбора конфиденциальных данных и получения дополнительных вредоносных программ.
Исследователи уведомили Adobe о своих находках и, до тех пор пока компания не выпустит обновления для устранения этой активно используемой 0-day, пользователям следует не открывать PDF-документы, полученные от ненадежных контактов, до выпуска патча.
Специалисты по сетевой безопасности также могут смягчать последствия атак, использующих эту 0-day, путем мониторинга и блокировки HTTP/HTTPS-трафика, содержащего строку Adobe Synchronizer в заголовке User-Agent.
X (formerly Twitter)
Haifei Li (@HaifeiLi) on X
So, this is what I was busy working on.. A really interesting (and sophisticated) Adobe Reader PDF "fingerprinting" exploit involving zero-day and allowing to launch additional maybe RCE/SBX exploitation!
https://t.co/k3Rmy8k4rS
https://t.co/k3Rmy8k4rS
Исследователи Solar 4RAYS расчехлили новые атаки Shedding Zmiy, на этот раз на объекты здравоохранения, где атакующие более 6 месяцев имели доступ к инфраструктуре через VPN и занимались кибершпионажем.
Подключение к инфраструктуре выполнялось с помощью учетных записей уволенных сотрудников, которые не были своевременно выведены из эксплуатации и оказались скомпрометированными.
В процессе расследования были обнаружены новые версии инструментов группы Shedding Zmiy, позволяющие экспортировать данные из баз данных и делать скриншоты экрана.
В ноябре 2025 года к Соларам обратился заказчик из отрасли здравоохранения с просьбой помочь в расследовании вероятной компрометации инфраструктуры. Причиной обращения стало детектирование подключений к IP-адресам GSocket на пограничном устройстве в сети.
В результате предварительного изучения нескольких систем стало понятно, что в инфраструктуре было скомпрометировано несколько десятков Unix-систем, атакующие имели доступ к системам не менее 6 месяцев, а вся цепочка компрометации сводится к VPN-серверу организации.
После получения доступа к VPN в апреле 2025 года атакующие скомпрометировали сервер PostgreSQL, в журналах которого нашлись следы удаленного выполнения команд в системе с использованием легитимной функциональности самой БД.
Доступ к выполнению команд был получен в результате компрометации стандартной УЗ в PostgreSQL, у которой был установлен ненадежный пароль. Для закрепления в системе атакующие разместили утилиту gs-netcat, закрепив ее в файлах «.profile» и «cron» УЗ в PostgreSQL.
Уже через несколько дней у атакующих появилось множество учетных данных (в том числе root), с помощью которых началось активное боковое перемещение и заражение инфраструктуры.
Стоит отметить, что атакующие с новыми учетными данными продолжали подключаться напрямую через VPN и длительное время не использовали размещенные в системах бэкдоры. В целом, в ходе исследования Солары обнаружили целый букет из вредоносного ПО, включая:
- gs-netcat: атакующие использовали и оригинальный исполняемый файл, и дополнительные упаковщики, такие как Bincryptor и UPX (некоторые файлы были упакованы сразу в оба упаковщика). Также выявлены образцы, собранные из исходников gs-netcat с измененным сервером С2.
- Bulldog Backdoor: характерный инструмент группы Shedding Zmiy.
- Megatsune Rootkit (семейство Kitsune Rootkit). Также является характерным инструментом Shedding Zmiy, с помощью которого, вероятно, и были получены учетные данные для бокового перемещения, так как данный Rootkit обладает функцией сбора паролей и ключей ssh.
- Revsocks Proxy, Nmap и различные утилиты для EoP, разведки и удаления логов.
Как отмечают исследователи, в данном инциденте злоумышленник все же заметили, и, вероятно, не один раз. ИТ и ИБ уже проводили реагирование - данный факт был установлен при ретроспективном анализе некоторых систем, где имеются следы удаления вредоносного ПО с последующим повторным заражением.
При этом некоторые системы вовсе были удалены по причине их участия в «иных» инцидентах ИБ летом 2025 года. На деле, вероятно, это были следы более крупного инцидента.
Анализ VPN-сервера стал для непростой задачей, так как глубина журналов составляла лишь несколько дней, но определить несколько ряд IP-адресов из сети VPN все же удалось с помощью журналов различных сервисов, к которым можно было подключиться из сети VPN.
Так нашлись косвенные следы сетевого сканирования с помощью Nmap в периоды активности атакующих.
Однако на этом расследование столкнулось с проблемой: большая часть обнаруженных подозрительных IP из VPN-пула принадлежала сотрудникам, которые были уволены до или в период инцидента, а их системы уже были недоступны для анализа. При этом учетные записи не были своевременно выведены из эксплуатации.
Определить источник компрометации личных систем сотрудников на момент расследования не представлялось возможным. Вероятно, - фишинг.
Зато нащупали cloudflared proxy, которую Shedding Zmiy периодически использует при атаках на Windows-инфраструктуру.
Другие, в том числе технические подробности - в отчете.
Подключение к инфраструктуре выполнялось с помощью учетных записей уволенных сотрудников, которые не были своевременно выведены из эксплуатации и оказались скомпрометированными.
В процессе расследования были обнаружены новые версии инструментов группы Shedding Zmiy, позволяющие экспортировать данные из баз данных и делать скриншоты экрана.
В ноябре 2025 года к Соларам обратился заказчик из отрасли здравоохранения с просьбой помочь в расследовании вероятной компрометации инфраструктуры. Причиной обращения стало детектирование подключений к IP-адресам GSocket на пограничном устройстве в сети.
В результате предварительного изучения нескольких систем стало понятно, что в инфраструктуре было скомпрометировано несколько десятков Unix-систем, атакующие имели доступ к системам не менее 6 месяцев, а вся цепочка компрометации сводится к VPN-серверу организации.
После получения доступа к VPN в апреле 2025 года атакующие скомпрометировали сервер PostgreSQL, в журналах которого нашлись следы удаленного выполнения команд в системе с использованием легитимной функциональности самой БД.
Доступ к выполнению команд был получен в результате компрометации стандартной УЗ в PostgreSQL, у которой был установлен ненадежный пароль. Для закрепления в системе атакующие разместили утилиту gs-netcat, закрепив ее в файлах «.profile» и «cron» УЗ в PostgreSQL.
Уже через несколько дней у атакующих появилось множество учетных данных (в том числе root), с помощью которых началось активное боковое перемещение и заражение инфраструктуры.
Стоит отметить, что атакующие с новыми учетными данными продолжали подключаться напрямую через VPN и длительное время не использовали размещенные в системах бэкдоры. В целом, в ходе исследования Солары обнаружили целый букет из вредоносного ПО, включая:
- gs-netcat: атакующие использовали и оригинальный исполняемый файл, и дополнительные упаковщики, такие как Bincryptor и UPX (некоторые файлы были упакованы сразу в оба упаковщика). Также выявлены образцы, собранные из исходников gs-netcat с измененным сервером С2.
- Bulldog Backdoor: характерный инструмент группы Shedding Zmiy.
- Megatsune Rootkit (семейство Kitsune Rootkit). Также является характерным инструментом Shedding Zmiy, с помощью которого, вероятно, и были получены учетные данные для бокового перемещения, так как данный Rootkit обладает функцией сбора паролей и ключей ssh.
- Revsocks Proxy, Nmap и различные утилиты для EoP, разведки и удаления логов.
Как отмечают исследователи, в данном инциденте злоумышленник все же заметили, и, вероятно, не один раз. ИТ и ИБ уже проводили реагирование - данный факт был установлен при ретроспективном анализе некоторых систем, где имеются следы удаления вредоносного ПО с последующим повторным заражением.
При этом некоторые системы вовсе были удалены по причине их участия в «иных» инцидентах ИБ летом 2025 года. На деле, вероятно, это были следы более крупного инцидента.
Анализ VPN-сервера стал для непростой задачей, так как глубина журналов составляла лишь несколько дней, но определить несколько ряд IP-адресов из сети VPN все же удалось с помощью журналов различных сервисов, к которым можно было подключиться из сети VPN.
Так нашлись косвенные следы сетевого сканирования с помощью Nmap в периоды активности атакующих.
Однако на этом расследование столкнулось с проблемой: большая часть обнаруженных подозрительных IP из VPN-пула принадлежала сотрудникам, которые были уволены до или в период инцидента, а их системы уже были недоступны для анализа. При этом учетные записи не были своевременно выведены из эксплуатации.
Определить источник компрометации личных систем сотрудников на момент расследования не представлялось возможным. Вероятно, - фишинг.
Зато нащупали cloudflared proxy, которую Shedding Zmiy периодически использует при атаках на Windows-инфраструктуру.
Другие, в том числе технические подробности - в отчете.
Исследователи обнаружили RCE-уязвимость в Apache ActiveMQ Classic, которая оставалась незамеченной в течение 13 лет и могла быть использована для выполнения произвольных команд.
Уязвимость была обнаружена с помощью ИИ-помощника Claude, который определил путь для эксплуатации уязвимости, проанализировав взаимодействие независимо разработанных компонентов.
Уязвимость отслеживается как CVE-2026-34197 (CVSS 8,8) и затрагивает все версии Apache ActiveMQ/Broker до 5.19.4, а также все версии от 6.0.0 до 6.2.3.
Несмотря на то, что ActiveMQ выпустила более новую ветку «Artemis» с улучшенной производительностью, версия «Classic», затронутая CVE-2026-34197, широко используется в корпоративных системах, веб-бэкендах, государственных и корпоративных системах на Java.
Исследователь Horizon3 Навин Сункавалли обнаружил проблему, «с помощью всего лишь нескольких простых подсказок» в системе Claude. При этом 80% решения принимал Claude, а 20% - человек.
Как отметил Сункавалли, что Claude указал на проблему после изучения множества отдельных компонентов (Jolokia, JMX, сетевых коннекторов и транспортных протоколов виртуальных машин).
Каждая функция в отдельности выполняет свою задачу, но вместе они представляли опасность. Именно здесь Claude проявил себя во всей красе - умело соединив все элементы воедино.
Исследователь сообщил об уязвимости разработчикам Apache 22 марта, а разработчик устранил ее 30 марта в версиях ActiveMQ Classic 6.2.3 и 5.19.4.
В отчете Horizon3 поясняется, что уязвимость связана с тем, что API управления Jolokia в ActiveMQ предоставляет функцию брокера (addNetworkConnector), которую можно использовать для загрузки внешних конфигураций.
Отправив специально сформированный запрос, злоумышленник может заставить брокера получить удаленный Spring XML-файл и выполнить произвольные системные команды во время его инициализации.
Для решения этой проблемы требуется аутентификация через Jolokia, но в версиях с 6.0.0 по 6.1.1 аутентификация становится невозможной из-за отдельной CVE-2024-32114, которая предоставляет доступ к API без контроля доступа.
Исследователи Horizon3 подчеркнули риск, связанный с недавно обнаруженной уязвимостью, указав на другие уязвимости ActiveMQ CVE, которые хакеры использовали в реальных атаках.
Пользователям, использующим ActiveMQ, рекомендовано рассматривать проблему как приоритетную задачу, поскольку ActiveMQ неоднократно становился целью для реальных злоумышленников, а методы эксплуатации и постэксплуатации ActiveMQ хорошо известны.
CVE-2026-34197 пока не упоминается как активно используемая, но исследователи полагают, что признаки эксплуатации очевидны в журналах брокера ActiveMQ.
Они рекомендуют искать подозрительные соединения брокера, использующие внутренний протокол передачи данных VM и параметр запроса brokerConfig=xbean:http://.
Выполнение команды происходит во время нескольких попыток подключения. Если появляется предупреждение о проблеме с конфигурацией, исследователи говорят, что полезная нагрузка уже была выполнена.
Уязвимость была обнаружена с помощью ИИ-помощника Claude, который определил путь для эксплуатации уязвимости, проанализировав взаимодействие независимо разработанных компонентов.
Уязвимость отслеживается как CVE-2026-34197 (CVSS 8,8) и затрагивает все версии Apache ActiveMQ/Broker до 5.19.4, а также все версии от 6.0.0 до 6.2.3.
Несмотря на то, что ActiveMQ выпустила более новую ветку «Artemis» с улучшенной производительностью, версия «Classic», затронутая CVE-2026-34197, широко используется в корпоративных системах, веб-бэкендах, государственных и корпоративных системах на Java.
Исследователь Horizon3 Навин Сункавалли обнаружил проблему, «с помощью всего лишь нескольких простых подсказок» в системе Claude. При этом 80% решения принимал Claude, а 20% - человек.
Как отметил Сункавалли, что Claude указал на проблему после изучения множества отдельных компонентов (Jolokia, JMX, сетевых коннекторов и транспортных протоколов виртуальных машин).
Каждая функция в отдельности выполняет свою задачу, но вместе они представляли опасность. Именно здесь Claude проявил себя во всей красе - умело соединив все элементы воедино.
Исследователь сообщил об уязвимости разработчикам Apache 22 марта, а разработчик устранил ее 30 марта в версиях ActiveMQ Classic 6.2.3 и 5.19.4.
В отчете Horizon3 поясняется, что уязвимость связана с тем, что API управления Jolokia в ActiveMQ предоставляет функцию брокера (addNetworkConnector), которую можно использовать для загрузки внешних конфигураций.
Отправив специально сформированный запрос, злоумышленник может заставить брокера получить удаленный Spring XML-файл и выполнить произвольные системные команды во время его инициализации.
Для решения этой проблемы требуется аутентификация через Jolokia, но в версиях с 6.0.0 по 6.1.1 аутентификация становится невозможной из-за отдельной CVE-2024-32114, которая предоставляет доступ к API без контроля доступа.
Исследователи Horizon3 подчеркнули риск, связанный с недавно обнаруженной уязвимостью, указав на другие уязвимости ActiveMQ CVE, которые хакеры использовали в реальных атаках.
Пользователям, использующим ActiveMQ, рекомендовано рассматривать проблему как приоритетную задачу, поскольку ActiveMQ неоднократно становился целью для реальных злоумышленников, а методы эксплуатации и постэксплуатации ActiveMQ хорошо известны.
CVE-2026-34197 пока не упоминается как активно используемая, но исследователи полагают, что признаки эксплуатации очевидны в журналах брокера ActiveMQ.
Они рекомендуют искать подозрительные соединения брокера, использующие внутренний протокол передачи данных VM и параметр запроса brokerConfig=xbean:http://.
Выполнение команды происходит во время нескольких попыток подключения. Если появляется предупреждение о проблеме с конфигурацией, исследователи говорят, что полезная нагрузка уже была выполнена.
Horizon3.ai
CVE-2026-34197 ActiveMQ RCE via Jolokia API
CVE-2026-34197 is an ActiveMQ RCE flaw exploiting Jolokia to execute remote commands. Learn how it works, affected versions, and detection steps.
Новая атака позволяет обходить протоколы безопасности ИИ Apple с высокой вероятностью успеха: исследователи RSAC взломали Intelligence, используя метод NeuralExect и манипуляции с кодировкой Unicode.
Apple Intelligence представляет собой глубоко интегрированную системe персонального интеллекта для iOS, iPadOS и macOS, которая сочетает генеративный ИИ с индивидуальным контекстом.
В основном, задачи обрабатываются непосредственно на процессорах Apple Silicon с помощью компактного встроенного в устройство LLM.
ИИ использует уникальный контекст пользователя (сообщения, фотографии и расписания) для обеспечения работы таких практических функций, как общесистемные инструменты для письма и Siri.
Для более сложных вычислений он перенаправляет запросы более крупным базовым моделям через частные облачные вычисления (PCC) на выделенной облачной инфраструктуре Apple.
Исследователи поставили перед собой задачу обойти локальные входные и выходные фильтры LLM (предназначенные для блокировки вредоносных входных данных и предотвращения нежелательных выходных данных), а также внутренние механизмы защиты, чтобы повлиять на его действия.
Для достижения этой цели они объединили две различные противодействующие техники.
Первая - это Neural Execs, известная атака с внедрением подсказок, которая использует «бессмысленные» входные данные, чтобы обмануть ИИ и заставить его выполнять произвольные, определенные злоумышленником задачи. Входные данные действуют как универсальные триггеры, которые не нужно переделывать для разных полезных нагрузок.
Второй метод, используемый RSAC для обхода входных и выходных фильтров, — это манипулирование кодировкой Unicode. Записав вредоносный выходной текст задом наперёд и используя функцию переопределения направления справа налево, им удалось обойти ограничения на содержимое.
По сути, в RSAC закодировали вредоносный/оскорбительный текст на английском языке, написав его наоборот и используя наш метод взлома Unicode, чтобы заставить LLM правильно его отобразить.
Сочетание этих двух методов позволяет злоумышленникам заставить локальную систему Apple Intelligence LLM создавать контент, представляющий угрозу, или, что более важно, манипулировать конфиденциальными данными и функциями сторонних приложений, интегрированных с ней, например, данными о здоровье или личными медиафайлами.
Атака была протестирована со 100 случайными запросами, и исследователи достигли показателя успешности в 76%. По их оценкам, от 100 000 до 1 млн. пользователей установили приложения, которые могут быть уязвимы для подобных атак.
По оценкам RSAC, по состоянию на декабрь 2025 года в руках потребителей находилось как минимум 200 млн. устройств с Apple Intelligence, а в Apple App Store уже представлены использующие ее приложения, - поэтому это уже очень перспективная цель.
Apple уведомили в октябре 2025 года, и, по данным RSAC Research, меры защиты были внедрены в последних версиях iOS 26.4 и macOS 26.4.
Пока никаких признаков злонамеренной эксплуатации не обнаружено, но в случае с Apple все не так однозначно, как оно рисуется.
Apple Intelligence представляет собой глубоко интегрированную системe персонального интеллекта для iOS, iPadOS и macOS, которая сочетает генеративный ИИ с индивидуальным контекстом.
В основном, задачи обрабатываются непосредственно на процессорах Apple Silicon с помощью компактного встроенного в устройство LLM.
ИИ использует уникальный контекст пользователя (сообщения, фотографии и расписания) для обеспечения работы таких практических функций, как общесистемные инструменты для письма и Siri.
Для более сложных вычислений он перенаправляет запросы более крупным базовым моделям через частные облачные вычисления (PCC) на выделенной облачной инфраструктуре Apple.
Исследователи поставили перед собой задачу обойти локальные входные и выходные фильтры LLM (предназначенные для блокировки вредоносных входных данных и предотвращения нежелательных выходных данных), а также внутренние механизмы защиты, чтобы повлиять на его действия.
Для достижения этой цели они объединили две различные противодействующие техники.
Первая - это Neural Execs, известная атака с внедрением подсказок, которая использует «бессмысленные» входные данные, чтобы обмануть ИИ и заставить его выполнять произвольные, определенные злоумышленником задачи. Входные данные действуют как универсальные триггеры, которые не нужно переделывать для разных полезных нагрузок.
Второй метод, используемый RSAC для обхода входных и выходных фильтров, — это манипулирование кодировкой Unicode. Записав вредоносный выходной текст задом наперёд и используя функцию переопределения направления справа налево, им удалось обойти ограничения на содержимое.
По сути, в RSAC закодировали вредоносный/оскорбительный текст на английском языке, написав его наоборот и используя наш метод взлома Unicode, чтобы заставить LLM правильно его отобразить.
Сочетание этих двух методов позволяет злоумышленникам заставить локальную систему Apple Intelligence LLM создавать контент, представляющий угрозу, или, что более важно, манипулировать конфиденциальными данными и функциями сторонних приложений, интегрированных с ней, например, данными о здоровье или личными медиафайлами.
Атака была протестирована со 100 случайными запросами, и исследователи достигли показателя успешности в 76%. По их оценкам, от 100 000 до 1 млн. пользователей установили приложения, которые могут быть уязвимы для подобных атак.
По оценкам RSAC, по состоянию на декабрь 2025 года в руках потребителей находилось как минимум 200 млн. устройств с Apple Intelligence, а в Apple App Store уже представлены использующие ее приложения, - поэтому это уже очень перспективная цель.
Apple уведомили в октябре 2025 года, и, по данным RSAC Research, меры защиты были внедрены в последних версиях iOS 26.4 и macOS 26.4.
Пока никаких признаков злонамеренной эксплуатации не обнаружено, но в случае с Apple все не так однозначно, как оно рисуется.
RSAC Conference
Is That a Bad Apple in Your Pocket? We Used Prompt Injection to Hijack Apple Intelligence
RSAC Cybersecurity News: Is That a Bad Apple in Your Pocket? We Used Prompt Injection to Hijack Apple Intelligence
Новое вредоносное ПО на Lua под названием LucidRook задействуется в целевых фишинговых кампаниях, направленных на неправительственные организации и университеты на Тайване.
Исследователи Cisco Talos связали вредоносное ПО с группой угроз UAT-10362, которую описывают как опытного противника, «обладающего отточенными оперативными навыками».
В октябре 2025 года было замечено, что LucidRook использовался в фишинговых электронных письмах, содержащих защищенные паролем архивы.
Исследователи выявили две цепочки заражения: одна использовала LNK, который в конечном итоге распространял вредоносный дроппер под названием LucidPawn, а другая полагалась на фейковый исполняемый файл антивируса, имитирующий Trend Micro Worry-Free Business Security Services.
Атака, основанная на LNK, использует поддельные документы, такие как правительственные письма, составленные таким образом, чтобы выглядеть как письма от правительства Тайваня, для отвлечения внимания пользователя.
Cisco Talos обнаружила, что LucidPawn расшифровывает и развертывает легитимный исполняемый файл, переименованный для имитации Microsoft Edge, а также вредоносную DLL-библиотеку (DismCore.dll) для установки LucidRook.
Он примечателен своей модульной конструкцией и встроенной средой выполнения Lua, что позволяет ему получать и выполнять полезную нагрузку второго этапа в виде байт-кода Lua.
Такой подход позволяет операторам обновлять функциональность без изменения основного вредоносного ПО, одновременно ограничивая возможности проведения криминалистического анализа. Скрытность дополнительно повышается за счет обфускации кода.
Встраивание интерпретатора Lua фактически превращает нативную DLL в стабильную платформу выполнения, позволяя злоумышленнику обновлять или адаптировать поведение для каждой цели или кампании, обновляя полезную нагрузку байт-кода Lua с помощью более легкого и гибкого процесса разработки.
Такой подход также повышает OpSec, поскольку этап Lua может быть размещен лишь на короткое время и удален из системы C2 после доставки, а также способен затруднить восстановление после инцидента, когда защитники добираются только до загрузчика без доставленной нагрузки.
Исследователи также отмечает, что бинарный файл сильно обфусцирован с помощью встроенных строк, расширений файлов, внутренних идентификаторов и адресов C2, что усложняет любые попытки обратного проектирования.
В процессе своей работы LucidRook проводит разведку системы, собирая такую информацию, как имена пользователей и компьютеров, установленные приложения и запущенные процессы.
Данные шифруются с использованием алгоритма RSA, хранятся в защищенных паролем архивах и передаются на контролируемую злоумышленником инфраструктуру через FTP.
В ходе изучения LucidRook исследователи обнаружили связанный с ним инструмент под названием LucidKnight, который, вероятно, используется для разведки.
Одной из примечательных особенностей LucidKnight является злоупотребление протоколом Gmail GMTP для кражи собранных данных, что говорит о том, что UAT-10362 располагает гибким набором инструментов для удовлетворения различных операционных потребностей.
Cisco Talos с умеренной степенью уверенности заключает, что атаки LucidRook являются частью целенаправленной кампании по вторжению.
Однако им не удалось перехватить расшифровываемый байт-код Lua, полученный LucidRook, поэтому конкретные действия, предпринятые после заражения, остаются неизвестны.
Исследователи Cisco Talos связали вредоносное ПО с группой угроз UAT-10362, которую описывают как опытного противника, «обладающего отточенными оперативными навыками».
В октябре 2025 года было замечено, что LucidRook использовался в фишинговых электронных письмах, содержащих защищенные паролем архивы.
Исследователи выявили две цепочки заражения: одна использовала LNK, который в конечном итоге распространял вредоносный дроппер под названием LucidPawn, а другая полагалась на фейковый исполняемый файл антивируса, имитирующий Trend Micro Worry-Free Business Security Services.
Атака, основанная на LNK, использует поддельные документы, такие как правительственные письма, составленные таким образом, чтобы выглядеть как письма от правительства Тайваня, для отвлечения внимания пользователя.
Cisco Talos обнаружила, что LucidPawn расшифровывает и развертывает легитимный исполняемый файл, переименованный для имитации Microsoft Edge, а также вредоносную DLL-библиотеку (DismCore.dll) для установки LucidRook.
Он примечателен своей модульной конструкцией и встроенной средой выполнения Lua, что позволяет ему получать и выполнять полезную нагрузку второго этапа в виде байт-кода Lua.
Такой подход позволяет операторам обновлять функциональность без изменения основного вредоносного ПО, одновременно ограничивая возможности проведения криминалистического анализа. Скрытность дополнительно повышается за счет обфускации кода.
Встраивание интерпретатора Lua фактически превращает нативную DLL в стабильную платформу выполнения, позволяя злоумышленнику обновлять или адаптировать поведение для каждой цели или кампании, обновляя полезную нагрузку байт-кода Lua с помощью более легкого и гибкого процесса разработки.
Такой подход также повышает OpSec, поскольку этап Lua может быть размещен лишь на короткое время и удален из системы C2 после доставки, а также способен затруднить восстановление после инцидента, когда защитники добираются только до загрузчика без доставленной нагрузки.
Исследователи также отмечает, что бинарный файл сильно обфусцирован с помощью встроенных строк, расширений файлов, внутренних идентификаторов и адресов C2, что усложняет любые попытки обратного проектирования.
В процессе своей работы LucidRook проводит разведку системы, собирая такую информацию, как имена пользователей и компьютеров, установленные приложения и запущенные процессы.
Данные шифруются с использованием алгоритма RSA, хранятся в защищенных паролем архивах и передаются на контролируемую злоумышленником инфраструктуру через FTP.
В ходе изучения LucidRook исследователи обнаружили связанный с ним инструмент под названием LucidKnight, который, вероятно, используется для разведки.
Одной из примечательных особенностей LucidKnight является злоупотребление протоколом Gmail GMTP для кражи собранных данных, что говорит о том, что UAT-10362 располагает гибким набором инструментов для удовлетворения различных операционных потребностей.
Cisco Talos с умеренной степенью уверенности заключает, что атаки LucidRook являются частью целенаправленной кампании по вторжению.
Однако им не удалось перехватить расшифровываемый байт-код Lua, полученный LucidRook, поэтому конкретные действия, предпринятые после заражения, остаются неизвестны.
Cisco Talos
New Lua-based malware “LucidRook” observed in targeted attacks against Taiwanese organizations
Cisco Talos uncovered a cluster of activity we track as UAT-10362 conducting spear-phishing campaigns against Taiwanese non-governmental organizations (NGOs) and suspected universities to deliver a newly identified malware family, “LucidRook.”
Скопрометирована система обновления плагина Smart Slider 3 Pro для WordPress и Joomla, которая теперь используется для распространили вредоносной версии с множеством бэкдоров.
Разработчик заявляет, что проблема затрагивает только Pro-версию плагина 3.5.1.35, и рекомендует немедленно перейти на последнюю версию, в настоящее время 3.5.1.36, или 3.5.1.34 и более ранние.
Smart Slider 3 для WordPress используется более чем на 900 000 сайтах для создания адаптивных слайдеров с помощью редактора слайдеров в режиме реального времени, предлагающего большой выбор макетов и дизайнов.
PatchStack отмечает, что вредоносное ПО представляет собой полнофункциональный многоуровневый набор инструментов, встроенный в основной файл плагина, при этом сохраняя обычную функциональность Smart Slider.
Исследователи заметили, что вредоносный набор позволяет удаленному злоумышленнику выполнять команды без аутентификации с помощью специально сформированных HTTP-заголовков.
Он также включает в себя второй бэкдор с аутентификацией, позволяющий выполнять как PHP-выполнение команд, так и команды ОС, а также автоматическую кражу учетных данных.
Вредоносная ПО обеспечивает свое постоянное присутствие в сети за счет нескольких уровней защиты, одним из которых является создание скрытой учетной записи администратора и хранение учетных данных в базе данных.
Кроме того, создает каталог mu-plugins и создает обязательный для использования плагин с именем файла, который имитирует легитимный компонент кэширования.
PatchStack отмечает, что вредоносный набор также внедряет бэкдор в файл functions.php активной темы, что позволяет ему сохраняться до тех пор, пока тема активна.
Ещё один уровень обеспечения постоянного хранения данных заключается во внедрении в каталог wp-includes PHP-файла с именем, имитирующим имя легитимного класса ядра WordPress.
Как объясняют исследователи, в отличие от других уровней обеспечения постоянного доступа, этот бэкдор не зависит от базы данных WordPress, а считывает ключ аутентификации из .cache_key файла, хранящегося в том же каталоге.
Таким образом, изменение учетных данных базы данных не влияет на бэкдор, который продолжает работать, даже если WordPress не сможет полностью загрузиться.
Поставщик выпустил аналогичное предупреждение для Joomla, заявляя, что вредоносный код, присутствующий в версии 3.5.1.35 плагина, может создать скрытую учетную запись администратора (обычно с префиксом wpsvc_ ), установить дополнительные бэкдоры в каталогах /cache и /media, а также украсть информацию о сайте и учетные данные.
Вредоносное обновление было распространено среди пользователей 7 апреля, однако разработчики Smart Slider рекомендуют 5 апреля в качестве наиболее безопасной даты для восстановления резервных копий, чтобы во всех случаях учитывать разницу во времени.
Если резервная копия недоступна, рекомендуется удалить скомпрометированный плагин и установить чистую версию (3.5.1.36).
Администраторам, обнаружившим скомпрометированную версию плагина, должны исходить из предположения о полной компрометации сайта и предпринять все необходимые в этом случае действия.
Поставщик также предоставляет многоэтапное руководство по ручной очистке для WordPress и Joomla, которое начинается с перевода сайта в режим обслуживания и его резервного копирования.
Администраторам следует очистить сайт от неавторизованных пользователей, удалить все вредоносные компоненты и установить все основные файлы, плагины и темы, а также сбросить все пароли и выполнить сканирование на наличие дополнительных вредоносных ПО.
Разработчик заявляет, что проблема затрагивает только Pro-версию плагина 3.5.1.35, и рекомендует немедленно перейти на последнюю версию, в настоящее время 3.5.1.36, или 3.5.1.34 и более ранние.
Smart Slider 3 для WordPress используется более чем на 900 000 сайтах для создания адаптивных слайдеров с помощью редактора слайдеров в режиме реального времени, предлагающего большой выбор макетов и дизайнов.
PatchStack отмечает, что вредоносное ПО представляет собой полнофункциональный многоуровневый набор инструментов, встроенный в основной файл плагина, при этом сохраняя обычную функциональность Smart Slider.
Исследователи заметили, что вредоносный набор позволяет удаленному злоумышленнику выполнять команды без аутентификации с помощью специально сформированных HTTP-заголовков.
Он также включает в себя второй бэкдор с аутентификацией, позволяющий выполнять как PHP-выполнение команд, так и команды ОС, а также автоматическую кражу учетных данных.
Вредоносная ПО обеспечивает свое постоянное присутствие в сети за счет нескольких уровней защиты, одним из которых является создание скрытой учетной записи администратора и хранение учетных данных в базе данных.
Кроме того, создает каталог mu-plugins и создает обязательный для использования плагин с именем файла, который имитирует легитимный компонент кэширования.
PatchStack отмечает, что вредоносный набор также внедряет бэкдор в файл functions.php активной темы, что позволяет ему сохраняться до тех пор, пока тема активна.
Ещё один уровень обеспечения постоянного хранения данных заключается во внедрении в каталог wp-includes PHP-файла с именем, имитирующим имя легитимного класса ядра WordPress.
Как объясняют исследователи, в отличие от других уровней обеспечения постоянного доступа, этот бэкдор не зависит от базы данных WordPress, а считывает ключ аутентификации из .cache_key файла, хранящегося в том же каталоге.
Таким образом, изменение учетных данных базы данных не влияет на бэкдор, который продолжает работать, даже если WordPress не сможет полностью загрузиться.
Поставщик выпустил аналогичное предупреждение для Joomla, заявляя, что вредоносный код, присутствующий в версии 3.5.1.35 плагина, может создать скрытую учетную запись администратора (обычно с префиксом wpsvc_ ), установить дополнительные бэкдоры в каталогах /cache и /media, а также украсть информацию о сайте и учетные данные.
Вредоносное обновление было распространено среди пользователей 7 апреля, однако разработчики Smart Slider рекомендуют 5 апреля в качестве наиболее безопасной даты для восстановления резервных копий, чтобы во всех случаях учитывать разницу во времени.
Если резервная копия недоступна, рекомендуется удалить скомпрометированный плагин и установить чистую версию (3.5.1.36).
Администраторам, обнаружившим скомпрометированную версию плагина, должны исходить из предположения о полной компрометации сайта и предпринять все необходимые в этом случае действия.
Поставщик также предоставляет многоэтапное руководство по ручной очистке для WordPress и Joomla, которое начинается с перевода сайта в режим обслуживания и его резервного копирования.
Администраторам следует очистить сайт от неавторизованных пользователей, удалить все вредоносные компоненты и установить все основные файлы, плагины и темы, а также сбросить все пароли и выполнить сканирование на наличие дополнительных вредоносных ПО.
Patchstack
Critical Supply Chain Compromise in Smart Slider 3 Pro: Full Malware Analysis - Patchstack
This blog post is a technical analysis of the supply chain compromise affecting Smart Slider 3 Pro version 3.5.1.35 for WordPress. An unauthorized party gained
Новости шоу-бизнеса.
На прошедшей неделе российские инфосек-вендоры привычно мерялись МСФО-пинусами. В синхронном помахивании достоинствами по результатам 2025 года приняли участие Касперские, Позитивы и Солары. Бизоны осторожно поделились данными о выручке, кадавр F6 смотрит и молчит.
Первыми трололо устроили Позитивы, которые стали задорно (на самом деле не очень) тыкать палочкой в Касперских, демонстрируя свою увеличившуюся вдвое прибыль против показанного российским филиалом Лаборатории убытка.
Касперские включили антикриз и сообщили, что это вовсе не убыток, а "резервы под инвестиции" и, вообще, во всем виноват Мой Офис. (Кстати, когда-нибудь админы нашего канала уйдут на пенсию и напишут в мемуарах о сомнительных ИБ-практиках команды Комиссарова, когда в релизе могли забить на исправление уязвимости в пользу отрисовки новой красивой кнопочки)
Антикриз получился не очень и тогда Лаборатория обратила внимание на то, что в ее широких штанинах притаилась вторая часть выручки, международная. А в общем она у нее45 сантиметров почти миллиард долларов. Получилось лучше, размер впечатлил.
На этом развлекательная часть закончилась.
Позади стояли Солары и застенчиво показывали свое OIBDA. Нет бы сразу чистую прибыль предъявить.
Мы, как специалисты по устраиванию развеселых срачей, не одобряем такой унылый подход, без огонька все как-то. Уж если публику эпатировать, то с размахом, битьем посуды и выкидыванием стульев в окно.
Мельчаем-с, господа…
На прошедшей неделе российские инфосек-вендоры привычно мерялись МСФО-пинусами. В синхронном помахивании достоинствами по результатам 2025 года приняли участие Касперские, Позитивы и Солары. Бизоны осторожно поделились данными о выручке, кадавр F6 смотрит и молчит.
Первыми трололо устроили Позитивы, которые стали задорно (на самом деле не очень) тыкать палочкой в Касперских, демонстрируя свою увеличившуюся вдвое прибыль против показанного российским филиалом Лаборатории убытка.
Касперские включили антикриз и сообщили, что это вовсе не убыток, а "резервы под инвестиции" и, вообще, во всем виноват Мой Офис. (Кстати, когда-нибудь админы нашего канала уйдут на пенсию и напишут в мемуарах о сомнительных ИБ-практиках команды Комиссарова, когда в релизе могли забить на исправление уязвимости в пользу отрисовки новой красивой кнопочки)
Антикриз получился не очень и тогда Лаборатория обратила внимание на то, что в ее широких штанинах притаилась вторая часть выручки, международная. А в общем она у нее
На этом развлекательная часть закончилась.
Позади стояли Солары и застенчиво показывали свое OIBDA. Нет бы сразу чистую прибыль предъявить.
Мы, как специалисты по устраиванию развеселых срачей, не одобряем такой унылый подход, без огонька все как-то. Уж если публику эпатировать, то с размахом, битьем посуды и выкидыванием стульев в окно.
Мельчаем-с, господа…
Forwarded from историк-алкоголик
Говорят, среди адептов запрещенной в РФ экстремистской организации «ЛГБТ» новая мода, они в тексте тг-постов ставят стикеры «чистовик» или «черновик», тем самым дают понять, что сегодня свободны и находятся в поисках партнера на вечер.
Официальный сайт CPUID, по всей видимости, был скомпрометирован, а все пользователи, которые пытались загрузить HWMonitor и CPU-Z получали установочные файлы с вредоносным ПО.
CPUID, разработчик HWMonitor и CPU-Z, - французская компания, известная своими инструментами профилирования и мониторинга систем, широко используемыми ИТ-специалистами и производителями оборудования. Только у CPU-Z десятки миллионов пользователей по всему миру.
Первые сообщения о проблема появились на Reddit. Один из пользователей, обновлявших HWMonitor до версии 1.63, был перенаправлен с официального сайта CPUID на загрузку подозрительного файла с именем HWiNFO_Monitor_Setup.exe.
Аномалия сразу же привлекла внимание, поскольку HWiNFO - это совершенно отдельный инструмент для мониторинга оборудования, разработанный другим поставщиком.
После запуска установщик, как сообщается, запустил интерфейс установки на русском языке, что побудило пользователя прервать установку.
Дальнейшее расследование показало, что ссылка для скачивания, встроенная в официальную страницу HWMonitor на CPUID, перенаправляла на внешний домен, размещенный в хранилище Cloudflare R2, вместо стандартной инфраструктуры CPUID.
На этом домене хостился троянизированный установщик, упакованный в модифицированный пакет Inno Setup - широко распространенный метод маскировки вредоносных ПО и противодействия анализу. Легитимные же установщики HWMonitor используют стандартные, легко извлекаемые конфигурации Inno Setup.
По результатам изучения образца на VirusTotal наличие вредоносного поведения было подтверждено. При этом чистые версии HWMonitor не демонстрировали подобных признаков, что указывает на органиченность взлома определенными путями загрузки или динамически распространяемыми полезными нагрузками.
Последовавшие затем сообщения указывают на то, что CPU-Z также могла быть затронута (заграждение также фиксировалась антивирусами).
Кроме того, пользователи отмечали нестабильность системы и возможные симптомы заражения, соответствующие выполнению вредоносного ПО. Один пользователь утверждал, что установка CPU-Z с официального сайта привела к серьезному повреждению работоспособности Windows.
В свою очередь, исследователи VX-Underground также подтвердили все предположения и задокументировали, что на момент своего расследования компания cpuid.com активно распространяла вредоносное ПО.
Согласно их отчету, вредоносная ПО представляет собой не типичную угрозу массового распространения, а сложный многоступенчатый имплант, разработанный для скрытного и постоянного присутствия.
Вредоносное ПО работает преимущественно в оперативной памяти, что уменьшает количество артефактов для криминалистического анализа на диске, и использует передовые методы обхода защиты, включая проксирование Windows NTDLL через сборку .NET для обхода EDR-систем.
Исследователи также выявили инфраструктуру C2, связанную с известной группой злоумышленников, которая ранее, в марте 2026 года, распространяла троянизированные версии FileZilla.
Пока остается неясно, как злоумышленники получили доступ к инфраструктуре CPUID и удалось ли полностью локализовать последствия инцидента. Так что будем следить.
CPUID, разработчик HWMonitor и CPU-Z, - французская компания, известная своими инструментами профилирования и мониторинга систем, широко используемыми ИТ-специалистами и производителями оборудования. Только у CPU-Z десятки миллионов пользователей по всему миру.
Первые сообщения о проблема появились на Reddit. Один из пользователей, обновлявших HWMonitor до версии 1.63, был перенаправлен с официального сайта CPUID на загрузку подозрительного файла с именем HWiNFO_Monitor_Setup.exe.
Аномалия сразу же привлекла внимание, поскольку HWiNFO - это совершенно отдельный инструмент для мониторинга оборудования, разработанный другим поставщиком.
После запуска установщик, как сообщается, запустил интерфейс установки на русском языке, что побудило пользователя прервать установку.
Дальнейшее расследование показало, что ссылка для скачивания, встроенная в официальную страницу HWMonitor на CPUID, перенаправляла на внешний домен, размещенный в хранилище Cloudflare R2, вместо стандартной инфраструктуры CPUID.
На этом домене хостился троянизированный установщик, упакованный в модифицированный пакет Inno Setup - широко распространенный метод маскировки вредоносных ПО и противодействия анализу. Легитимные же установщики HWMonitor используют стандартные, легко извлекаемые конфигурации Inno Setup.
По результатам изучения образца на VirusTotal наличие вредоносного поведения было подтверждено. При этом чистые версии HWMonitor не демонстрировали подобных признаков, что указывает на органиченность взлома определенными путями загрузки или динамически распространяемыми полезными нагрузками.
Последовавшие затем сообщения указывают на то, что CPU-Z также могла быть затронута (заграждение также фиксировалась антивирусами).
Кроме того, пользователи отмечали нестабильность системы и возможные симптомы заражения, соответствующие выполнению вредоносного ПО. Один пользователь утверждал, что установка CPU-Z с официального сайта привела к серьезному повреждению работоспособности Windows.
В свою очередь, исследователи VX-Underground также подтвердили все предположения и задокументировали, что на момент своего расследования компания cpuid.com активно распространяла вредоносное ПО.
Согласно их отчету, вредоносная ПО представляет собой не типичную угрозу массового распространения, а сложный многоступенчатый имплант, разработанный для скрытного и постоянного присутствия.
Вредоносное ПО работает преимущественно в оперативной памяти, что уменьшает количество артефактов для криминалистического анализа на диске, и использует передовые методы обхода защиты, включая проксирование Windows NTDLL через сборку .NET для обхода EDR-систем.
Исследователи также выявили инфраструктуру C2, связанную с известной группой злоумышленников, которая ранее, в марте 2026 года, распространяла троянизированные версии FileZilla.
Пока остается неясно, как злоумышленники получили доступ к инфраструктуре CPUID и удалось ли полностью локализовать последствия инцидента. Так что будем следить.
Reddit
From the pcmasterrace community on Reddit
Explore this post and more from the pcmasterrace community