6242
Регулярные новости и интересные публикации в сфере ITsec. По вопросам сотрудничества писать @cyberhackGL
Исследователи из Стэнфорда просканировали 10 миллионов веб-страниц и обнаружили 1 748 действующих API-ключей, токены AWS, платёжные данные Stripe, ключи GitHub и OpenAI. Среди пострадавших оказались крупный международный банк, производитель прошивок для дронов, государственные учреждения и объекты критической инфраструктуры. Утечки оставались доступными в среднем 12 месяцев, некоторые, несколько лет.
84% ключей нашлись в JavaScript-файлах, из них 62% в бандлах Webpack. Корень проблемы, процесс сборки: инструменты встраивают переменные окружения прямо в итоговый файл, который отдаётся всем посетителям сайта.
AWS-ключи составили 16% утечек и присутствовали на 4 693 сайтах. Такой ключ даёт доступ к S3-хранилищам, EC2-инстансам, базам данных и настройкам IAM. Утечка у производителя дронов открывала возможность внедрить вредоносную прошивку, достаточно было просто открыть публичную страницу.
Для сканирования и проверки ключей команда использовала TruffleHog v3.90.8, который выполнял живую проверку через API сервисов. После уведомлений количество утечек сократилось вдвое за две недели, но реальное их число в интернете гораздо выше.
ITsec NEWS
Вчера исследователи из Google, Lookout и iVerify раскрыли DarkSword, набор из шести уязвимостей iOS, три из которых были 0-day. Эксплойт работает через одно посещение вредоносной веб-страницы в Safari и даёт полный контроль над iPhone. Затронуты версии iOS 18.4–18.7, жертвы обнаружены в Саудовской Аравии, Турции, Малайзии и на Украине.
Три независимые группы использовали DarkSword одновременно. UNC6748 атаковал через фишинговый сайт под Snapchat в Саудовской Аравии, турецкий производитель PARS Defense действовал в Турции и Малайзии, а группа UNC6353 заражала украинские сайты. В коде последних обнаружили комментарии на русском языке.
Атака начинается с уязвимостей в JavaScriptCore, пробивает песочницу Safari через графический слой ANGLE, затем через системную службу mediaplaybackd (системная службакоторая отвечает за воспроизведение медиаконтента) получает доступ к ядру iOS. Весь эксплойт выполняется на чистом JavaScript без записи файлов на устройство.
Каждая группа устанавливала свой вредоносный софт. GHOSTKNIFE собирал сообщения и записи с микрофона, GHOSTSABER поддерживал более 16 команд включая SQL-запросы к любым базам на устройстве, а GHOSTBLADE работал по принципу «ударил и ушёл», за минуты выгружая всё, от iMessage до кошельков криптовалют, после чего удалял следы.
Интересная деталь, аналитики нашли признаки использования больших языковых моделей при написании кода. А образец GHOSTBLADE содержал полные записи отладки и ссылку на нереализованную функцию startSandworm(), возможно, кодовое название другого инструмента.
Hacker's TOYS
С 1 сентября в России меняются правила регистрации доменов в национальных зонах. Анонимно зарегистрировать или продлить домен .ru, .рф или .su больше не получится, теперь это возможно только после подтверждения личности через «Госуслуги». Закон был принят Госдумой ещё в декабре 2025 года.
Главное изменение, обязательная идентификация через ЕСИА для всех владельцев доменов. Регистраторы обязаны проверять личность каждого администратора доменного имени, и без этой проверки запись в реестр просто не внесут. Это касается как физических, так и юридических лиц.
Изменения затронут и сам рынок регистраторов. Правительство создаст специальный перечень аккредитованных компаний, и только они смогут работать с национальными доменами. Эксперты предполагают, что это может привести к укрупнению рынка, небольшие регистраторы рискуют не пройти аккредитацию.
Интересный момент для тех, у кого домены уже есть: предусмотрен переходный период. Владельцам старых доменов тоже нужно будет подтвердить личность через «Госуслуги», хотя конкретные сроки пока не установлены.
Закон разрабатывался больше года и направлен против мошенников, которые создавали фишинговые сайты-однодневки на поддельные документы. Правда, юристы отмечают важный нюанс: меняется сам правовой режим доменов. Раньше для изъятия домена обычно требовалось решение суда, теперь же отсутствие подтверждения личности может стать основанием для удаления записи из реестра без суда.
Владельцам доменов стоит заранее проверить наличие подтверждённой учётки на «Госуслугах» и уточнить у своего регистратора его планы по аккредитации. Остаётся открытым вопрос: переместятся ли мошенники просто в зарубежные зоны вроде .com или .net?
Hacker's TOYS
Российская система интернет-блокировок не справляются с нагрузкой. IT-эксперты фиксируют системные сбои: ТСПУ физически не справляется с объёмом трафика, блокировки работают с перебоями, а пользователи то и дело получают доступ к якобы заблокированным сервисам.
С Telegram ситуация особенно показательна. Полностью отключить мессенджер технически невозможно, не хватает мощности оборудования. Провайдеры идут окольным путём: душат скорость до предела, надеясь, что люди сами откажутся от платформы. Но если власти решат заменить точечные блокировки на тотальные «белые списки», последствия будут катастрофическими.
Первыми жертвами станут умные устройства от лампочек до холодильников, включая технику из дружественных стран. Они потеряют связь с серверами производителей и часть функций просто отключится. Попытка добавить эти сервера в «белый список» создаст лазейки для обхода блокировок, превращая всю систему в бессмысленную затею.
Эксперты бьют тревогу: нынешняя система не просто не работает против Telegram, она угрожает всей цифровой инфраструктуре. Блокировки затрагивают бизнес-сервисы, образовательные платформы и бытовые приложения. А переход к жёстким ограничениям может парализовать повседневную жизнь миллионов пользователей.
ITsec NEWS
Российские чиновники и менеджеры госкомпаний массово покупают новые сим-карты и отдельные смартфоны специально для национального мессенджера Max. Даже те, кто регистрируется по старому номеру, предпочитают использовать для этого отдельное устройство.
Один из источников, близкий к правительству, объяснил это так: «Если ты установил себе на телефон Max, то это все равно, что ты отнес его в ФСБ». Многие чиновники не синхронизируют с приложением личные контакты и используют новые телефоны исключительно для рабочего общения с коллегами.
Топ-менеджер госбанка признался, что скачал Max только для связи с коллегами, находясь за границей, и планирует удалить его после возвращения в Россию. Источник в федеральном ведомстве добавил, что никто на самом деле не хочет уходить из Telegram, и многие надеются, что Павел Дуров найдет способ обойти блокировки.
ITsec NEWS
Большие языковые модели научились деанонимизировать множество аккаунтов в соцсетях. Исследователи из ETH Zurich и Anthropic показали это в феврале этого года на примере Hacker News и LinkedIn. ИИ-агент правильно связал 226 из 338 анонимных профилей с реальными людьми, выбирая из списка в 89 тысяч кандидатов. Стоимость одной идентификации — меньше четырёх долларов.
Сначала модель читает посты анонимного пользователя и извлекает биографические детали, город, профессию, интересы, даже кличку собаки или любимый парк. Потом система преобразует профили всех кандидатов в векторные представления и отбирает сотню самых похожих. На финальном этапе другая LLM сверяет совпадения по каждой детали и выдаёт оценку достоверности.
Точность достигла 90%, полнота, 67%. Агент ошибся 25 раз и в 86 случаях воздержался от идентификации. Весь эксперимент обошёлся меньше чем в две тысячи долларов.
Даниэль Палека из ETH Zurich отметил, что удивительно, как мало информации нужно, чтобы связать два аккаунта. Каждый шаг атаки по отдельности выглядит безобидно, и именно поэтому её трудно обнаружить и заблокировать.
Интересно, что Anthropic, один из разработчиков передовых языковых моделей, участвовала в исследовании. Компания предоставила серию анонимизированных интервью со 125 учёными. Несмотря на предварительную очистку от имён и идентификаторов, агент раскрыл девять человек.
С ростом списка кандидатов точность падает, но плавно. На списке в тысячу человек агент дал 68% при той же точности, на 89 тысячах, 55%. Авторы считают, что с улучшением моделей метод останется работоспособным даже на сотнях миллионов пользователей.
Палека добавил, что с каждым новым поколением моделей деанонимизация работает лучше, но разработчики могут замедлить процесс, если научат модели отказывать в таких запросах.
Hacker's TOYS
Злоумышленники запустили масштабную кампанию по распространению инфостилера Amatera через поддельные страницы установки Claude Code. Специалисты Push Security обнаружили 17 поддельных доменов, которые продвигаются через рекламу в Google и появляются первыми в выдаче по запросам вроде "Claude Code install". Исследователи назвали эту технику InstallFix, она работает хитрее обычного ClickFix, потому что не требует никаких придуманных предлогов. Пользователь сам хочет установить законный инструмент и добровольно копирует команду с клонированного сайта.
Атакующие создали точные копии официальной страницы Anthropic, с логотипом, документацией и рабочими ссылками. Единственное отличие спрятано внутри команды curl-to-bash (команды установки, которые копируются в терминал): вместо claude.ai она ведёт на сервер злоумышленников. На macOS команда загружает и запускает исполняемый файл через zsh, на Windows цепочка проходит через cmd.exe и mshta.exe. После выполнения страница перенаправляет жертву на настоящий сайт Claude Code, и человек продолжает работу, даже не подозревая о заражении.
Поддельные страницы размещены на реальных площадках, Cloudflare Pages, Squarespace и Tencent EdgeOne, что серьёзно усложняет их автоматическое обнаружение. По данным Jacques Louw из Push Security, четыре из пяти подобных атак приходят именно через поисковые системы, а не через электронную почту.
Amatera Stealer появился в 2025 году как улучшенная версия ACR Stealer и продаётся по подписке. Он крадёт пароли, файлы cookie, токены сеансов и данные криптокошельков, используя для обхода защиты прямые NTSockets, WoW64 Syscalls и маскировку трафика под реальные CDN. Это уже четвёртая волна атак на экосистему Claude за последние три месяца, ранее фиксировались случаи с вредоносными объектами на официальном домене claude.ai, заражёнными npm-пакетами и поддельными установщиками через Bing AI Search.
Устанавливайте Claude Code только с официального сайта claude.ai/code или через проверенный npm-пакет, и обязательно проверяйте URL внутри команд curl-to-bash перед их выполнением.
Hacker's TOYS
Компания Cyfirma опубликовала исследование, которое показывает: мессенджер Telegram фактически заменил закрытые форумы в даркнете и превратился в центр теневой экономики в сфере кибербезопасности.
Раньше киберпреступники работали через форумы в сети Tor. Это было неудобно: доступ ограничен, после рейдов полиции целые сообщества рушились за день. Telegram оказался намного устойчивее. Если канал блокируют, его можно пересоздать за минуты и просто перенаправить подписчиков на резервный.
Исследователи называют это «платформизацией киберпреступности». Нелегальные сервисы начали копировать модели обычного ИТ-бизнеса: подписки, автоматизация, техподдержка, реклама в реальном времени. Теперь чтобы запустить атаку, не нужно быть хакером. Достаточно аккаунта в Telegram и небольшого бюджета.
В каналах продаётся всё подряд: доступ к взломанным корпоративным сетям с демонстрацией RDP-сессий, подписки на вредоносное ПО с инструкциями, базы украденных паролей и банковских данных. В объявлениях указывают размер компании-жертвы, географию, уровень доступа и список открытых сервисов. Покупатель сразу видит, подходит ли цель для атаки.
Есть и автоматизированные боты, через которые можно искать по краденым базам данных прямо внутри мессенджера. Некоторые программы-стилеры настроены так, что отправляют похищенную информацию напрямую в Telegram через API.
Группировки-вымогатели публикуют в каналах таймеры обратного отсчёта и фрагменты украденных данных, усиливая давление на жертву. Хактивистские группы координируют через Telegram DDoS-атаки и распространяют пропаганду.
Даркнет при этом никуда не исчез. Его роль изменилась: сделки часто начинаются на форумах в Tor, а основная деятельность переносится в Telegram. Мессенджер стал продолжением даркнета, только более быстрым, масштабируемым и доступным
ITsec NEWS
Компания Irregular протестировала ChatGPT, Claude и Gemini на генерацию паролей, и результаты оказались тревожными. Пароли, которые эти нейросети создают, выглядят сложными, но взламываются за несколько часов даже на старом оборудовании.
Проблема в самой природе языковых моделей. Они обучены предсказывать вероятное продолжение текста, а не генерировать случайные последовательности. Когда Claude попросили создать 50 паролей в разных сессиях, 18 из них оказались абсолютно идентичными. Почти все начинались с заглавной «G» и цифры «7». У ChatGPT своя закономерность, пароли с «v» в начале и «Q» следом.
Энтропия таких паролей составляет всего 20-27 бит вместо необходимых 98. Это означает, что вместо миллиардов лет на подбор уйдут часы или даже секунды. Особенно опасно то, что разработчики уже используют ИИ для генерации паролей в реальных проектах, исследователи нашли характерные паттерны в открытых репозиториях на GitHub.
Надёжные пароли создаются только криптографическими генераторами случайных чисел, такими, как встроенные в менеджеры паролей вроде Bitwarden или 1Password. Если вы уже генерировали пароли через нейросеть, смените их и включите двухфакторную аутентификацию.
ITsec NEWS
Т-Технологии увеличили максимальную выплату за обнаружение критических уязвимостей до 10 миллионов рублей.
К критическим сценариям относятся взлом внутренних систем, получение привилегий внутри инфраструктуры или вмешательство в цепь релизов.
За последние два года ни один белый хакер не смог проникнуть в банковскую систему компании. Николай Исламов подчеркнул, что повышение вознаграждения, важный шаг для тестирования безопасности финтех-платформы.
ITsec NEWS
DDoS-атаки в 2025 году изменились и это тревожно. Selectel опубликовал годовой отчёт, и главный вывод не в цифрах (хотя они впечатляют: +25% атак, рекорд мощности 569 Гбит/с), а в смене тактики.
Хакеры больше не бьют наугад. Сначала идёт разведка: серия слабых «зондирующих» атак по разным узлам инфраструктуры. Главная задача, выявить уязвимость. После этого следует мощная целенаправленная атака на найденную брешь. Самая длинная атака в 2025-м продолжалась 15 суток без паузы. Представьте: две недели ваш сервис под непрерывным огнём.
87% всех атак, это всего два метода: TCP SYN Flood и TCP PSH/ACK Flood. Хакеры перестали экспериментировать и сфокусировались на том, что гарантированно работает. Инструменты отточены, удары, прицельные.
Эксперты Selectel советуют не ждать атаки, чтобы включить защиту. DDoS, это уже не ЧП, а постоянный фон. Вопрос не «если», а «когда» и «насколько вы готовы».
#DDoS #Хакеры
ITsec NEWS
Исследователь Бреннан Браун обнаружил на GitHub масштабную кампанию по распространению вредоносного кода. Атака началась с подозрительной копии приложения Triton для macOS, но расследование выявило сотни похожих репозиториев. Новые вредоносные репозитории появляются каждый день.
Хакеры копируют легитимный open-source проект и подменяют ссылки для скачивания. Вместо оригинальной программы пользователь получает архив с вредоносом. Исходный код остается нетронутым, меняется только описание репозитория.
Поддельные репозитории легко распознать. Их описания заполнены смайликами, ссылка на скачивание повторяется по всему тексту десятки раз. У каждого фальшивого аккаунта всего два репозитория: копия чужого проекта и персональная страница. История коммитов искусственно раздута, чтобы аккаунт казался старым.
Вредоносный файл использует многоступенчатую схему заражения через LuaJIT. Он проверяет, не запущен ли в отладчике или виртуальной машине, и если обнаруживает анализ, переходит в спящий режим. Затем начинается кража данных: криптовалютные кошельки, пароли из браузеров, токены облачных сервисов. Связь с управляющим сервером маскируется под обращения к доменам Microsoft Office. На момент публикации вредонос обнаруживали только 12 из 66 движков VirusTotal.
Браун считает, что кампания автоматизирована с помощью AI-агентов вроде OpenClaw. Единообразие шаблонов и скорость создания репозиториев указывают на работу ботов.
Реакция GitHub оказалась медленной. После сообщения исследователя репозитории оставались активными. Платформа сослалась на повышенную нагрузку и задержки в обработке обращений.
#GitHub #Вредонос
ITsec NEWS
Хакер получил 5 лет колонии за взлом подарочных карт. Эмиль Галеев осуждён за кибератаку на интернет-магазин «Детский мир». В 2022 году он вместе с двумя сообщниками арендовал шесть удалённых серверов и создал программу для автоматического подбора паролей к подарочным сертификатам. За 12 дней работы они получили доступ к данным более семи тысяч сертификатов.
Следователи провели масштабную работу: изучили свыше пяти тысяч интернет-адресов и восстановили действия преступников поминутно. Суд приговорил Галеева к пяти годам колонии и штрафу в 500 тысяч рублей. Двое его подельников скрылись и находятся в международном розыске.
#Хакеры #Суд
ITsec NEWS
Выход первой беты Android 17 ждали ради нового уровня приватности, но реальность оказалась куда прозаичнее и опаснее. Пока маркетологи рассказывают нам про революционную защиту данных, под капотом системы обнаружилась критическая уязвимость LANDFALL, которая превращает ваш смартфон в шпионское устройство через одну-единственную картинку в WhatsApp. Самое страшное, что вам даже не нужно ничего нажимать, автоматическая обработка медиафайлов делает всю грязную работу за хакеров, открывая им доступ к микрофону и камере.
Ситуацию усугубляет и новый умный помощник. Google интегрировала Gemini так глубоко в систему, что теперь это не просто фича, а потенциальная уязвимость в юридической защите. Новое пользовательское соглашение фактически снимает с компании ответственность за любые действия ИИ, даже если он по ошибке сольет ваши личные данные или сделает скриншот в неподходящий момент.
👉 Читать полный разбор
P/S Автору будет приятно если вы накидаете 🔥
Hacker's TOYS
Roundcube сливает данные: невидимый трекинг через SVG-фильтры. Исследователи обнаружили изящный способ обхода защиты от удаленных изображений в Roundcube. Теперь злоумышленники могут узнать ваш IP-адрес, точное время открытия письма и тип ОС, даже если в настройках веб-клиента стоит жесткий запрет на загрузку внешнего контента.
Стандартный санитайзер rcube_washtml прилежно блокирует теги <img> и <image>, но полностью игнорирует элемент <feImage>. Это часть спецификации SVG-фильтров, которая загружает внешнюю картинку для графических манипуляций. Система ошибочно принимает ссылку в атрибуте href за обычный URL и пропускает её.
В тело письма вшивается невидимый SVG-объект (1x1 пиксель). Как только браузер начинает рендерить сообщение, он автоматически делает GET-запрос на сервер отправителя для обработки фильтра. Пользователь не видит ни битых картинок, ни предупреждений, а запрос уходит абсолютно бесшумно в фоновом режиме.
После исхода западных SaaS-платформ Roundcube стал базовым решением для Timeweb, Beget, Reg.ru и тысяч корпоративных почтовых систем. Ранее похожие уязвимости в обработке SVG уже использовала группировка Winter Vivern для кибершпионажа за госсектором.
#Roundcube #CVE202625916 #уязвимость #SVG #Трекинг
ITsec NEWS
GitHub объявил о расширении GitHub Code Security: к классическому статическому анализу на базе CodeQL добавятся ИИ-детекторы уязвимостей, главная цель это находить больше проблем в языках, фреймворках и конфигурациях, где традиционный анализ покрывает не все сценарии.
GitHub не заменяет CodeQL на ИИ, а строит гибридную модель: там, где силён формальный статический анализ, остаётся CodeQL, где нужно расширить охват и найти типовые ошибки в разных экосистемах, подключается ИИ. Среди направлений, Shell/Bash, Dockerfiles, Terraform, PHP и другие. Значительная часть рисков связана не только с прикладным кодом, но и с конфигурацией сборки, скриптами автоматизации и инфраструктурой как кодом.
Система станет частью обычного рабочего процесса и будет срабатывать при создании pull request, при запросе на слияние изменений. Платформа автоматически выберет подходящий механизм проверки (CodeQL или ИИ). Если найдутся проблемы вроде слабой криптографии, небезопасных SQL-конструкций или ошибочных настроек, предупреждения появятся в интерфейсе pull request до слияния кода.
GitHub Code Security, набор встроенных инструментов безопасности: сканирование кода на уязвимости, проверка зависимостей на уязвимые open-source библиотеки, поиск случайно опубликованных токенов и ключей, а также подсказки по исправлению через Copilot Autofix.
Во внутреннем тестировании новая система обработала более 170 тысяч находок за 30 дней, а 80% отзывов разработчиков были положительными и указывали, что срабатывания оказались полезными и валидными.
Новая гибридная модель с ИИ-детекторами должна выйти в публичное предварительное тестирование в начале второго квартала 2026 года.
ITsec NEWS
Telegram 17 марта 2026 года заблокировал 114 348 групп и каналов за одни сутки, это первый случай превышения 100 000 отметки с 10 марта. С начала года мессенджер ограничил доступ к более чем 10 миллионам сообществ, что сопоставимо с темпами всего 2025 года, когда было заблокировано 44 миллиона каналов. Пиковые значения блокировок пришлись на январь и февраль: 23 января мессенджер ограничил доступ к 300 800 сообществам за одни сутки, в феврале максимум достиг 235 200. За март уже заблокировано более 1,5 миллиона сообществ, среди них около 9 500 связаны с терроризмом.
Telegram использует трёхуровневую систему модерации: жалобы пользователей и автоматический мониторинг на основе машинного обучения работают с 2015 года, а с начала 2024 года к ним добавились инструменты на базе искусственного интеллекта. Роскомнадзор с начала 2026 года направил мессенджеру свыше 35 600 требований на удаление запрещённого контента. Более 10 000 касались материалов сексуального насилия над детьми, 13 000 публикаций были посвящены способам обхода блокировок, 9 700 содержали пронаркотический контент, 1 400 затрагивали тему суицида. Глава Минцифры Максут Шадаев в феврале заявил, что Telegram проигнорировал более 150 000 запросов на удаление.
К середине марта доступность мессенджера в России значительно упала, доля неудачных запросов к доменам Telegram достигла 80%. С 14-15 марта пользователи сообщали о невозможности отправлять сообщения и загружать медиафайлы. Таганский суд Москвы 16 марта назначил мессенджеру пять штрафов на общую сумму 35 миллионов рублей. С сентября 2025 по январь 2026 судебные приставы возбудили 8 исполнительных производств на 9,12 миллиона рублей. ФАС 6 марта признала рекламу в Telegram незаконной, что затрагивает владельцев каналов, размещающих рекламные интеграции.
ITsec NEWS
CISA внесло уязвимость Wing FTP Server в KEV, её уже используют в атаках. Речь о CVE-2025-47813 в Wing FTP Server до 7.4.4. По описанию NVD, уязвимость позволяет раскрыть полный локальный путь установки приложения через слишком длинное значение в cookie UID. Оценка уязвимости, 4.3 CVSS. Но CISA добавляет CVE в KEV только при наличии подтверждений активной эксплуатации. То есть уязвимость уже используется злоумышленниками в реальных атаках.
Ситуация осложняется тем, что Wing FTP уже фигурировал в истории с критической CVE-2025-47812, которая позволяла добиться удалённого выполнения кода и также эксплуатировалась в реальных атаках.
Необходимо обновить Wing FTP Server до версии 7.4.4 или новее. Не стоит недооценивать эту уязвимость только из-за средней оценки по CVSS.
ITsec NEWS
WhatsApp расширяет тестирование функции гостевых чатов, которая позволяет общаться без регистрации в мессенджере. После нескольких месяцев испытаний на Android возможность стала доступна ограниченному числу бета-тестеров на iOS и в веб-версии, сообщает WABetaInfo.
Как это работает? Пользователь создаёт уникальную ссылку-приглашение и отправляет её через SMS или другое приложение. Получатель переходит по ссылке в веб-версию WhatsApp, принимает условия сервиса, вводит имя и всё, можно общаться. Аккаунт создавать не нужно. Правда, к диалогу потенциально может подключиться любой, у кого есть эта ссылка. Участники без аккаунта помечаются как «Гость».
WhatsApp заверяет, что гостевые чаты защищены сквозным шифрованием, так что содержимое сообщений остаётся недоступным ни для самой платформы, ни для третьих лиц.
Пока функция сильно ограничена: работают только текстовые сообщения. Никаких групповых чатов, голосовых сообщений, вложений, стикеров, GIF или звонков. А если чат неактивен 10 дней, сессия автоматически завершается.
ITsec NEWS
Anthropic и Mozilla провели совместный эксперимент: модель Claude Opus 4.6 за две недели нашла 22 уязвимости в Firefox, 14 из которых оказались критичными. Это почти пятая часть всех серьёзных дыр, закрытых в браузере за весь прошлый год.
Тестирование прошло в январе. Claude начал с JavaScript-движка и за 20 минут обнаружил первую проблему use-after-free. Модель просканировала около 6000 файлов на C++ и выдала 112 отчётов, помимо CVE, нашлись десятки багов, которые традиционный фаззинг не засёк.
Самая опасная уязвимость CVE-2026-2796 с оценкой 9.8 по CVSS. Ошибка в JIT-компиляции WebAssembly теоретически позволяет выполнить произвольный код. Anthropic потратила $4000 на попытки написать эксплойты, но только два сработали, и то лишь в тестовой среде с отключённой песочницей. В реальных условиях защита Firefox устояла.
Интересный контраст: создатель CURL Даниэль Стенберг в феврале закрыл программу bug bounty из-за лавины ИИ-мусора, ни один автоматический отчёт за шесть лет не нашёл реальной дыры в его проекте. Разница в том, что Anthropic работала с Mozilla напрямую, а не через автоматизированную подачу.
Mozilla уже закрыла большинство найденных уязвимостей в Firefox 148, вышедшем в конце февраля. Anthropic тем временем запустила в превью сервис Claude Code Security для автоматического поиска и исправления багов. Пользователям стоит обновиться до версии 148 или новее.
ITsec NEWS
Голландские спецслужбы AIVD и MIVD сегодня забили тревогу: хакеры атакуют аккаунты Signal и WhatsApp (принадлежит Meta, деятельность которой признана экстремистской и запрещена на территории РФ) через методы социальной инженерии. Среди жертв, чиновники и журналисты Нидерландов. Но главное: сквозное шифрование не взломано. Злоумышленники используют куда более простые, но эффективные методы.
Первый сценарий банален до безобразия. Жертве пишет якобы автоответчик службы поддержки Signal и просит передать код подтверждения или ПИН-код. Получив код, атакующий входит в аккаунт и читает всю переписку. Второй приём изящнее: используется штатная функция «привязанные устройства». Злоумышленник подсовывает код быстрого отклика, привязывает своё устройство к аккаунту жертвы и получает все сообщения в реальном времени. Жертва может годами не подозревать о слежке, если не проверяет список устройств в настройках.
Это не новость для киберразведки. Google Threat Intelligence ещё в феврале 2025 года описал группировки UNC5792 и Sandworm, которые перехватывали сообщения военных через привязанные устройства. Тогда же предупредили: тактика выйдет за пределы конфликта. Год прошёл, и вот она уже в Нидерландах. Microsoft в январе 2025 зафиксировал похожую кампанию против WhatsApp от группировки Star Blizzard. CISA в ноябре выпустило бюллетень о вредоносных QR-кодах.
Signal отреагировал обновлениями: новый интерфейс привязки, дополнительные шаги подтверждения, уведомления о новых устройствах. Но голландцы утверждают: кампания продолжается. Директор MIVD вице-адмирал Reesink прямо сказал: даже со сквозным шифрованием Signal и WhatsApp не годятся для секретной информации.
ITsec NEWS
Оказывается, типичный киберпреступник, это не бледный подросток в толстовке, сидящий в подвале родителей, а взрослый человек под 40 с чёткой финансовой мотивацией и многолетним опытом. Аналитики Orange Cyberdefense проанализировали 418 арестов по всему миру за последние четыре года и выяснили: самая большая группа задержанных, люди от 35 до 44 лет, они составляют 37% всех случаев.
Это полностью ломает привычные представления о преступности. Обычные криминальные карьеры начинаются и заканчиваются рано, пик приходится на подростковый возраст. С киберпреступностью всё наоборот: чтобы стать серьёзным игроком, нужны годы на изучение технологий, выстраивание связей и понимание экосистемы. Поэтому настоящий расцвет наступает только в зрелом возрасте.
Интереснее всего смотреть, как меняется специализация. Молодые хакеры 18–24 лет экспериментируют, немного взломов, немного DDoS, немного торговли данными. К 25–34 годам фокус сужается: больше вымогательств, больше вредоносного ПО. А вот те, кому за 35, работают совсем иначе: шпионаж, организованное вымогательство, отмывание денег. Здесь уже не игра, а бизнес с чёткими приоритетами.
Конечно, громкие аресты подростков из Lapsus$ или Scattered Spider создают иллюзию, что киберпреступность молодеет. Но это просто медийный шум. Реальная статистика показывает: те, кого ловят снова и снова за серьёзные атаки с многомиллионными прибылями, это взрослые профессионалы с холодным расчётом.
Hacker's TOYS
Ситуация вокруг Telegram в России развивается стремительно и выглядит всё серьёзнее. Если раньше речь шла о штрафах и замедлении медиафайлов, то теперь против Павла Дурова расследуется уголовное дело по статье о финансирование терроризма. ФСБ прекратила переговоры с основателем мессенджера, а власти открыто говорят о возможной полной блокировке.
Особенно важный момент: если Telegram признают экстремистской организацией, покупка Premium-подписок и размещение рекламы станут уголовно наказуемыми.
Власти объясняют давление цифрами: по данным, с 2022 года Telegram фигурировал в 153 тысячах преступлений, включая 33 тысячи дел о терроризме и экстремизме. Роскомнадзор утверждает, что мессенджер игнорирует требования удалить более 154 тысяч каналов. Дуров, в свою очередь, считает происходящее попыткой пересадить 90 миллионов российских пользователей на контролируемое государством приложение MAX.
Пока полной блокировки нет, но сигналы более чем красноречивы. Тем, кто ведёт бизнес или рекламу через Telegram, стоит уже сейчас готовить запасные каналы связи с аудиторией.
ITsec NEWS
Вакансия. Специалист по Offensive OSINT в CyberYozh.
Парт-тайм, возможно совмещать.
Тех. детали по ссылке https://cyberyozh.huntflow.io/vacancy/spetsialist-po-offensive-osint
Работа в команде очень сильных специалистов, не пыльная, с хорошей оплатой. Мы просто физически не успеваем все делать сами, пришло время расти.
Пишите @alisa_4ox
Репостните коллегам, пожалуйста 🫶
Группировка Lapsus$ взломала экстранет Adidas и заявила о краже 815 000 строк данных: имена, email, пароли, даты рождения, названия компаний и технической информации. Adidas подтвердила инцидент, но указала, что атака была направлена на независимого партнёра-дистрибьютора, работающего на собственной инфраструктуре. Собственные системы компании, интернет-магазины и данные покупателей якобы не затронуты.
Однако реальный масштаб оказался значительно меньше громких заявлений. Анализ опубликованных SQL-файлов показал, что дамп содержит данные клиентов и сотрудников компаний-реселлеров, и реально затронуто около 130 аккаунтов. При этом хакеры утверждают, что располагают 420 ГБ данных Adidas, связанных с французским рынком, и обещают «кое-что покрупнее».
Это уже третья утечка у Adidas менее чем за год. В мае 2025 данные утекли через стороннего поставщика клиентского сервиса. В октябре 2025 коалиция Scattered Lapsus$ Hunters включила Adidas в список 40 жертв кампании против клиентов Salesforce, заявив о краже 37 ГБ данных. Тогда атака строилась на голосовом фишинге: хакеры звонили сотрудникам от имени IT-поддержки и выманивали доступ к OAuth-токенам.
Три инцидента за десять месяцев через сторонних партнёров ставят под вопрос способность Adidas контролировать безопасность своей партнёрской экосистемы.
Hacker's TOYS
Apple выпустила тестовую версию iOS 26.4 для разработчиков с важными обновлениями безопасности. Главное нововведение, это сквозное шифрование для RCS-сообщений, которое работает по протоколу MLS. Это значит, что переписка шифруется на устройстве отправителя и расшифровывается только у получателя — ни оператор, ни Apple не имеют к ней доступа. Пока функция работает только между устройствами Apple, и не все операторы её поддерживают.
В обновлении также появился полноценный режим защиты целостности памяти, который блокирует коммерческие шпионские программы без потери производительности. Раньше сторонние приложения использовали только облегчённую версию этой защиты.
Ещё одно изменение, функция «Защита украденного устройства» теперь включена по умолчанию. Когда iPhone находится вдали от дома или работы, для доступа к паролям и банковским картам требуется Face ID или Touch ID. А при смене пароля Apple ID добавляется часовая задержка на случай, если владелец не успел заблокировать устройство.
#Apple #iOS
ITsec NEWS
Apple экстренно обновила iOS: закрыта уязвимость, которую уже использовали для установки шпионского ПО.
11 февраля 2026 года Apple выпустила iOS 26.3. Обновление устраняет 39 уязвимостей, одна из которых уже эксплуатировалась в реальных атаках. Жертве не нужно было ничего нажимать: достаточно открыть вредоносную веб-страницу и устройство под контролем.
Обновление доступно для iPhone 11 и новее, а также iPad Pro (с 3-го поколения), iPad Air (с 3-го поколения), обычных iPad (с 8-го поколения) и iPad mini (с 5-го поколения).
Ключевая проблема CVE-2026-20700, ошибка в компоненте dyld (Dynamic Link Editor). Это системный загрузчик, который запускает каждое приложение на iPhone: подгружает библиотеки, проверяет права доступа, изолирует программы друг от друга.
Уязвимость позволяет злоумышленнику с доступом к записи в память выполнить произвольный код, фактически запустить что угодно в обход всех защитных механизмов iOS.
Apple прямо заявила: «Компании известно, что уязвимость могла использоваться в крайне изощрённой атаке против конкретных людей» на версиях iOS до 26-й.
P/S Автору будет приятно если вы накидаете 🔥
Hacker's TOYS
Google и Telegram под прицелом регуляторов. 12 февраля депутат Андрей Свинцов заявил, что Роскомнадзор готов заблокировать сервисы Google в России и ждёт момента, чтобы взыскать штраф в 91,5 квинтиллиона рублей. Но его коллега Антон Горелкин сразу опроверг эти планы, 60% российских смартфонов работают на Android, и блокировка парализует Google Play, обновления и карты. Он считает, что переход должен быть постепенным, а пока идут суды и есть шансы на мировое соглашение.
Сумма штрафа выглядит фантастически, но механизм реален: с 2020 года Google игнорирует решения судов по разблокировке каналов, и штраф удваивается каждую неделю без ограничений. В марте 2025-го суд зафиксировал долг российского подразделения на 91,5 квинтиллиона, но неустойка для американской Google LLC продолжает расти, уже 2,8 дуодециллиона.
Параллельно Telegram исключили из белого списка мессенджеров, которые будут работать при отключении интернета. Глава IT-комитета Госдумы Сергей Боярский объяснил это иностранным происхождением платформы и избирательным выполнением требований Роскомнадзора. 10 февраля Telegram столкнулся с массовым сбоем, около 10 тысяч жалоб за сутки, РКН подтвердил введение ограничений. Совет Федерации допускает полное отключение мессенджера в России.
#Google #Telegram #РКН
ITsec NEWS
Стремительное внедрение Model Context Protocol (MCP) создало серьёзный разрыв между возможностями ИИ-агентов и их защищённостью. Пока индустрия активно принимает стандарт от Anthropic, аудит более чем 8000 публичных серверов выявил системные проблемы.
Согласно отчёту BlueRock Security, 9,2 % проверенных серверов содержат критические уязвимости. 43% серверов допускают выполнение произвольных команд, а 36,7% уязвимы к SSRF-атакам, которые позволяют злоумышленникам проникать во внутренние сети.
Особую опасность представляет уязвимость в популярном инструменте Microsoft Markitdown. Из-за отсутствия валидации URL злоумышленник может передать серверу адрес метаданных инстанса (169.254.169.254). На системах с устаревшей службой IMDSv1 это приводит к мгновенному раскрытию Access Key ID, Secret Access Key и Session Token. Получив эти данные, атакующий получает полный административный доступ к облачному аккаунту через AWS CLI.
Ситуация усугубляется накопительным эффектом: при использовании десяти разных MCP-плагинов вероятность успешной компрометации достигает 92%. Для крупных компаний это уже не гипотетический риск, а статистическая реальность.
Корень проблемы в самом протоколе: изначально в нём не требовалась никакая авторизация. Чтобы снизить угрозу, необходим переход на OAuth 2.1, обязательная миграция всех инстансов на IMDSv2 и жёсткая блокировка обращений к локальным и служебным IP-адресам (включая 169.254.169.254).
#AI #Anthropic
ITsec NEWS
Новая фишинговая волна: PDF оказался виртуальным диском с AsyncRAT. В сети гуляет кампания DEAD#VAX - VHD-файлы маскируют под PDF-документы со счетами и заказами. Открываешь "счет.pdf", а Windows тихо монтирует виртуальный диск вместо запуска просмотрщика. Внутри диска лежит WSF-скрипт, который запускает AsyncRAT напрямую в память легитимных процессов Microsoft - RuntimeBroker, OneDrive, taskhostw.
Троян работает полностью в памяти, не оставляя следов на диске. Пока он сидит внутри доверенных процессов с цифровой подписью Microsoft, вытаскивает пароли из браузеров, делает скриншоты и может использовать комп как плацдарм для атак на всю сеть. Файлы раздают через IPFS - децентрализованную сеть, где контент почти невозможно удалить.
Главный трюк простой: Windows по умолчанию скрывает расширения. То есть invoice.pdf.vhd показывается как invoice.pdf. Двойной клик - и всё, система скомпрометирована.
Защита банальная, включите отображение расширений в проводнике Вид > Показать > Расширения имён файлов, и не открывайте файлы из IPFS по ссылкам в письмах. Ну и антивирус с защитой от угроз в памяти обязателен.
#фишинг #AsyncRAT
ITsec NEWS