41825
Руки-ножницы российского инфосека. Для связи - mschniperson@mailfence.com
Исследователи BI.ZONE раскрыли истинный шпионский профиль кластера Insolent Hyena.
Наблюдая за злоумышленниками, Бизоны обнаружили новый RAT NightStrike и впервые зафиксировали, что использование фреймворка Havoc, что в совокупности с другими артефактами и заставило их пересмотреть мотивацию группировки.
Ранее в BI.ZONE считали Insolent Hyena хактивистской группировкой, но отмечая при этом, что мотивация злоумышленников неоднозначна. Дальнейшее наблюдение за их активностью показало: характер деятельности в большей степени соответствует кибершпионажу.
В соответствии с классификацией группировок по мотивации: Hyenas («гиены») - кластеры с хактивистской направленностью, Wolves («волки») - злоумышленники, движимые финансовой выгодой, а Werewolves («оборотни») занимаются кибершпионажем.
Так что теперь Insolent можно смело относить к Werewolves и вот почему:
- За время мониторинга фактов использования вредоносного ПО (например, шифровальщиков или вайперов) для деструктивных действий не было выявлено.
- Значительную часть арсенала атакующих составляют трояны удаленного доступа (RAT): CapDoor, NightWire и NightStrike. Злоумышленники также используют импланты фреймворков постэксплуатации: AdaptixC2, Havoc и Cobalt Strike.
- Для получения первоначального доступа кластер применяет целевой фишинг, например атаки с использованием ClickFix. В некоторых случаях атакующие получают доступ к инфраструктуре от других кибершпионских кластеров, а затем разворачивают легитимное средство удаленного доступа NetSupport Manager.
- Insolent Hyena в основном атаковала госсектор, а также промышленные организации и НИИ, связанные с оборонно‑промышленным комплексом.
- Публичных каналов или заявлений об успешных кибероперациях, характерных для хактивистских группировок, не имеет.
По совокупности этих признаков отныне Бизоны переименовали из Insolent Hyena в Insolent Werewolf.
В августе 2026 года, анализируя активность Insolent Werewolf, исследователи обнаружили новый троян удаленного доступа, назвав его NightStrike, который, предположительно, разработал тот же автор, что и NightWire RAT. Ретроспективный анализ показал, что атакующие использовали его как минимум с июня этого же года.
Кроме того, злоумышленники использовали загрузчик Octowave Loader. Он разворачивал в скомпрометированных системах импланты фреймворков постэксплуатации AdaptixC2 и Havoc. Ранее последний в арсенале кластера не был замечен.
Разные фреймворки и собственное вредоносное ПО позволяют им подбирать инструментарий под конкретные условия атаки и снижать вероятность обнаружения за счет различий в возможностях и сигнатурах средств защиты.
Технический разбор нового инструментария и IOCs - в отчете.
Исследователи оценили влияние просочившихся в сеть Coruna и DarkSword на киберподполье, отмечая разработки китайских хакеров, которые трудятся над новой платформой для эксплуатации уязвимостей iOS, предназначенной для взлома последней версии iOS 26.
Фреймворки продолжают активно распространяться среди китайских подпольщиков, даже несмотря на то, что Apple устранила большинство уязвимостей, которые использовались стандартных версиях платформ.
В общем, благодаря возможностям Hunt.io исследователи смогли получить доступ к новому исходному коду более продвинутой платформы системы под названием Divine Seagull.
Инструмент Divine Seagull создан на базе Coruna и DarkSword и существует уже некоторое время, и, что интересно на первый взгляд, кажется, что разработчики вложили основной фокус в реализацию атак на iOS 26.x.
Но настоящим прорывом, похоже, Divine Seagull назвать сложно. Версия ПО датируется августом 2026 года. Мотивация разработчика ясна, но функциональность значительно отстаёт от того, чего удалось достичь «оригиналу» в своё время.
Судя по всему, это всё ещё масштабная опытная разработка, и в реальных условиях сегодня это вряд ли принесёт успех. Разработчик столкнулся с серьёзными препятствиями, которые ему не удалось преодолеть.
Как полагают исследователи, возможно, в ближайшем будущем появятся более совершенные продукты, но последние усилия Apple в части безопасности своей iOS и оборудования значительно затрудняют разработку чего-то действительно революционного для обычных разработчиков вредоносного ПО.
Coruna/Darksword изначально имели огромную популярность среди мошенников. Успех основан на том, что разработчики были высококвалифицированными профессионалами с глубоким пониманием аппаратного и программного обеспечения, на которое они нацеливались.
И тот факт, что они также работали на одного из крупнейших американских производителей кибероружия, безусловно, был большим плюсом. Это привнесло в «игру» совершенно иной уровень экспертизы и ресурсов.
В целом, исследователи констатируют, что в ближайшее время что-то подобное Coruna/Darksword в широком доступе киберподполья вряд ли стоит ожидать. Но будем посмотреть.
Загадочные атаки на холодильные установки в супермаркетах не закончились и охватили новые компании - Copeland и Dixell Controllers, затронув в общей сложности около 700 супермаркетов.
По данным французского национального агентства по кибербезопасности ANSSI, кибератака, нарушившая работу холодильного оборудования французских супермаркетов, повлияла также на оборудование Copeland и Dixell.
12 октября CERT-FR впервые предупредила о многочисленных случаях взлома контроллеров холодильных установок Danfoss AK-SM и AK-SC. Днем позже агентство обновило предупреждение, включив в него Copeland XWEB и Dixell XWEB.
Первоначально Copeland отказалась подтверждать инциденты, но впоследствии признала наличие уязвимости.
Этим летом Claroty подробно описала недостатки в процессоре Danfoss AK-SM 800A, а также 23 уязвимости в контроллере XWEB Pro Copeland. Та, в свою очередь, устранила их в обновлении прошивки.
До сих пор неясно, как злоумышленники получили доступ.
В предупреждении CERT-FR не указывается связь взлома с какой-либо конкретной уязвимостью, и ни Danfoss, ни французские власти не связывают атаку с ошибками, о которых сообщила Claroty.
Danfoss заявила, что большинство затронутых устройств - это более старые системы AK-SM 800 и AK-SC 355 с EoL.
Производитель прекратил поддержку AK-SM 800 в мае 2021 года, а AK-SC 355 был снят с производства в 2016. Также затронуты текущие контроллеры AK-SM 800A на устаревшей прошивке.
CERT-FR настоятельно призывает операторов затронутых контроллеров отключить их от интернета и восстановить удаленный доступ через VPN или защищенную сеть. Фильтрация подключений по IP допустима только в качестве экстренной меры.
Для устройств с EoL одной лишь перезагрузки недостаточно, поскольку устройство останется уязвимым и, вероятно, будет скомпрометировано снова, если останется незащищенным.
На текущий момент атаки подтвердили Carrefour, Coopérative U, E.Leclerc, Intermarché и Monoprix.
По словам министра финансов Ролана Лескюра, из 10 000 французских супермаркетов пострадали около 700. Ранее сообщалось о 300-350 пострадавших.
По данным Les Mousquetaires, владеющей сетью Intermarché, пострадало около 150 торговых точек. Холодильные установки работали при температуре 50 градусов в течение шести часов, и все продукты были выброшены. Carrefour сообщила, что пострадало 80 ее магазинов.
В Coopérative U заявили, что атаке подверглись 80 магазинов, но лишь некоторым пришлось выбросить продукцию. Два супермаркета в Эльзасе сообщили о совокупных убытках в 270 000 евро (300 000 долл.).
Парижская прокуратура заявила, что атака привела к также и к пожарам.
По данным Le Monde, злоумышленники увеличили время разморозки с одного часа до восьми, что задержало срабатывание сигнализации.
По данным Reuters, следователи, по всей видимости, озадачены отсутствием как заявлений о взятии на себя ответственности, так и требований выкупа.
Как сообщает Sekoia, кибератака также затронула магазины в Испании, Португалии, Польше, Германии и Бельгии, но не предоставила подробностей.
Национальный центр кибербезопасности Нидерландов не считает кибератаку на Ahold Delhaize связанной с атакой на холодильники.
Согласно телеметрии Censys, 11 октября было обнаружено почти 3000 подключенных к интернету панелей управления Danfoss StoreView, более 1800 из них - во Франции.
К 14 октября их число во Франции сократилось до 537, в то время как в других странах не изменилось.
Как заметили в Censys, исправленные и неисправленные версии исчезали примерно с одинаковой скоростью, что говорит о том, что операторы отключают контроллеры, а не обновляют их.
Кроме того, кибератака создает дилемму относительно о юридической ответственности.
Как сообщает Bloomberg, в Les Mousquetaires настаивают на том, что холодильные системы обслуживались Danfoss, и поэтому подавать жалобу в правоохранительные органы должен поставщик.
В общем, достаточно интересный кейс, продолжаем следить.
Ledger уведомила реселлеров и дистрибьюторов в Юго-Восточной Азии и Гонконге о необходимости приостановить продажи кошельков и снять продукцию с полок на время расследования случаев внедрения вредоносных имплантатов в аппаратные устройства.
Решение последовало после обнаружения модификации устройств, приобретенных у CryptoBilis, которые использовались для кражи сид-фраз доступа к криптоактивам посредством их отправки неавторизованной стороне через LTE-соединение.
После многочисленных сообщений о кражах крипты Ledger 9 октября начала расследование, подтвердив несанкционированное вмешательство в аппаратную часть ряда устройства, реализованных через CryptoBilis.
Вчера Donjon компании Ledger поделилась дополнительными подробностями об аппаратном импланте, обнаруженном в устройствах этого реселлера, в значительной степени подтвердив более ранние сообщения Марка Карпелеса и Tibane Labs.
Донжон сказал, что микроконтроллер импланта обнаруживает и декодирует 24-словную фразу восстановления для настройки и восстановления кошелька, а затем передает ее по LTE, используя выделенную eSIM.
Имплант представляет собой отдельный компонент, который не изменяет защищенный элемент или операционную систему Ledger, а также не вносит изменений в транзакции или подписи, что делает его необнаружимым для самодиагностики целостности Ledger.
По данным Ledger, все выявленные случаи кражи средств связаны с устройствами, проданными реселлером CryptoBilis из Юго-Восточной Азии, однако пользователи также сообщали о взломе устройств, приобретенных у других поставщиков из Азии и Европе.
Некоторые пользователи сообщили о покупке модифицированных кошельков у Metapod в аэропорту Сингапура, а также через MediaMarkt в Европе.
MediaMarkt, которая получает устройства Ledger от дистрибьютора Aqipa GmbH, после появления первых сообщений оперативно сняла продукт с продажи.
Ledger распорядилась о более широкой приостановке продаж, затрагивающей всех дистрибьюторов в Юго-Восточной Азии (Индонезия, Сингапур, Таиланд, Филиппины, Вьетнам, Малайзия) и Гонконге, до завершения расследования безопасности устройства.
Компания напомнила пользователям, что ее инфраструктура, системы, услуги и канал прямых продаж безопасны для использования.
Trezor, еще один крупный поставщик аппаратных кошельков для криптовалют, объявил о планах сократить свою сеть реселлеров для усиления контроля и предотвращения атак на цепочку поставок.
Компания заявила, что не обнаружила доказательств взлома своих устройств, но решила действовать оперативно в качестве меры предосторожности.
В письме к пострадавшим реселлерам компания сообщила, что их партнерские отношения прекратятся 1 января 2027 года, когда будет отозвано их разрешение на продажу устройств Trezor.
Palo Alto Networks выпустила обновления для 0-day PAN-OS RCE - CVE-2026-0322, которая использовалась в атаках на межсетевые экраны.
Уязвимость затрагивает интерфейс управления PAN-OS’a, позволяя авторизованным злоумышленникам с доступом к сети выполнять код от имени root на уязвимых устройствах.
В своем уведомлении по безопасности Palo Alto Networks подтвердила фиксацию ограниченного использования уязвимости в реальных атаках, направленных на интерфейс управления.
Уязвимость имеет оценку серьезности 8,6 и затрагивает межсетевые экраны серий PA и VM, а также виртуальные устройства Panorama и устройства серии M. Palo Alto заявляет, что Cloud NGFW и Prisma Access не затронуты.
Для использования уязвимости злоумышленникам необходимы существующие учетные данные и сетевой доступ к интерфейсу управления PAN-OS.
Поэтому Palo Alto Networks рекомендует ограничить доступ к интерфейсу управления только доверенными внутренними IP. Компания выпустила исправления для затронутых версий PAN-OS 10.2, 11.1, 11.2, 12.1 и 12.2, а исправление для PAN-OS 11.2.16 ожидается 15 октября.
Клиентам, использующим более старые, неподдерживаемые версии, необходимо обновиться до поддерживаемой. Известных способов обхода уязвимости нет, но клиенты с подпиской на Threat Prevention могут включить сигнатуры, обеспечивающие ограниченную защиту от известных моделей атак.
Проблема была обнаружена внутри компании Сураджем Сиддхарудхом, ведущим исследователем в области безопасности продуктов Palo Alto Networks.
Компания также раскрыла IP, которые использовались для эксплуатации уязвимости: 66.42.72[.]14, 208.83.239[.]114 и 149.248.47[.]234.
Однако в Palo Alto Networks пока не сообщают, кто стоит за атаками и к каким последствиям они приводили. CISA, тем не менее, уже добавила CVE-2026-0322 в свой каталог KEV.
Исследователи F6 продолжают изучать новую угрозу для Android-устройств, которая распространяется в России с июля 2026 года – RedWing RAT, который ранее был задокументирован в ходе отдельного исследования.
В новом отчете эксперты F6 акцентировали внимание на разборе второй разновидности трояна – RedWing Stealer. В отличие от первой версии, нацеленной прежде всего на удалённое управление скомпрометированным устройством, задача стилера – сбор информации с устройства.
Вредоносное ПО начали распространять через Telegram по модели MaaS как минимум с начала 2026-го. В июле F6 зафиксировала первую кампанию по распространению RedWing, нацеленную на пользователей в России.
Злоумышленники рекламировали новый троян под видом мобильного приложения для оповещений о воздушных атаках под названием RadarTrevog.
Впоследствии эксперты обнаружили более 800 образцов вредоносного ПО RedWing Stealer, которые распространялись в мае-сентябре 2026 года.
Среди Android-приложений, под которые злоумышленники маскировали вредоносное приложение – радары беспилотной опасности, карты АЗС для отслеживания топлива, программы для просмотра фото, сервисы видео 18+, VPN, различные игровые модификации, включая читы и моды популярных игр Minecraft, Roblox, Standoff 2, Brawl Stars, Oxide, Exile, Skyrim и Pubg. Такие читы и моды распространяли в том числе через Telegram-каналы игровой тематики.
Изучив RedWing Stealer и средства обработки СМС, которые предусмотрены в приложении, специалисты F6 Threat Intelligence пришли к выводу: разработчики вредоносного приложения нацелили своё оружие на пользователей сразу из нескольких стран.
Анализ указывает на фокусировку на целевую категорию из числа клиентуры банков и платежных сервисов России, Узбекистана и Казахстана, а также российских маркетплейсов и микрофинансовых организаций.
Функциональные возможности RedWing Stealer предусматривают кражу: SMS-сообщений с отдельным поиском в них; push-уведомлений; геолокаций; информацию об устройстве, подключенных SIM и истории звонков; списка контактов и установленных на устройство приложений.
Также RedWing Stealer имеет возможности: отправки USSD-запросов и SMS; открытия URL-ссылок; запуска reverse proxy; сокрытия/отображения иконки приложения; закрепления на зараженном устройстве; использования механизмов AntiVM и AntiDebug.
Как устроен RedWing Stealer с технической стороны и обзор его основных особенностей - в новом исследовании F6.
Microsoft представила PatchTuesday за октябрь c исправленbtv рекордных 1411 уязвимостей, включая одну активно используемую и две публично раскрытые 0-day.
В обновлении устранено 70 критических уязвимостей, 57 из которых связаны с RCE, 11 - с EoP и 2 - с подменой данных, а в части категорий расклад следующий: 677 - EoP, 40 - обход функций безопасности, 317 - RCE, 254 - раскрытие информации, 73 - DoS и 28 - подмена данных.
При этом в их число не включено 348 уязвимостей, исправленных ранее в этом месяце в Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server и Microsoft Partner Center.
Кроме того, Microsoft объявила о прекращении поддержки Windows 11 (версии 24H2 Home и Pro) и Windows 10 Enterprise LTSB 2016. Ежемесячное обновление безопасности за октябрь 2026 года является последним доступным обновлением для этих версий.
Ранее в этом месяце Microsoft также предупредила, что всем использующим Windows 11 23H2 Enterprise, Education и IoT Enterprise, следует обновиться до более новых версий, поскольку начиная со следующего месяца обновления поступать не будут.
Текущий PatchTuesday закрывает следующие активно используемые 0-day:
- CVE-2026-96951: уязвимость обхода функцию защиты Mark of the Web в Windows.
Неправильная нейтрализация специальных элементов, используемых в команде («внедрение команд») в оболочке Windows позволяет неавторизованному злоумышленнику обойти функцию безопасности по сети.
Никаких подробностей о том, как злоумышленники использовали уязвимость и кто её раскрыл, Microsoft не сообщает.
- CVE-2026-108398: уязвимость обхода функций безопасности .NET Framework, позволяющая обходить защиту и запускать несанкционированные приложения.
Microsoft заявляет, что ненадежный путь поиска в .NET Framework позволяет авторизованному злоумышленнику бойти ограничения контроля приложений Windows Defender и выполнить код внутри защищаемого процесса. Взаимодействие с пользователем не требуется.
Аутентифицированный злоумышленник может разместить специально созданную сборку .NET в уязвимой системе и зарегистрировать её для загрузки защищённым процессом. Джеймс Форшоу из проекта Google Project Zero обнаружил проблему.
- CVE-2026-92707: уязвимость типа DoS в MessagePack-CSharp.
Неправильно контролируемое последовательное выделение памяти в .NET позволяет неавторизованному злоумышленнику блокировать доступ к сервису по сети. Microsoft не упоминает, кто раскрыл информацию об уязвимости.
В связи с рекордным количеством обнаруженных уязвимостей, Microsoft также представила новый метод, позволяющий пользователям расставлять приоритеты в ходе обновлений, группируя взаимосвязанные уязвимости в так называемые «группы риска».
В рамках текущего PatchTuesday Microsoft опубликовала данные по 15 группам рисков (PDF), в том числе:
- Выявлено 136 уязвимостей, затрагивающих файловые системы, хранилище и резервное копирование Windows.
- 135 уязвимостей, связанных с Office и почтовыми клиентами.
- 131 уязвимость, затрагивающая графику, мультимедиа и обработку контента в Windows.
- 109 уязвимостей, затрагивающих границы привилегий ядра и ядра Windows.
- 103 уязвимости, затрагивающие службы установки, развертывания и обновления Windows.
Microsoft отмечает, что эти группы не обязательно указывают на то, какие уязвимости являются наиболее опасными, поскольку реальный риск зависит от того, используются ли они в атаках, от их серьезности и от того, как организация использует затронутое ПО.
Полное описание каждой уязвимости и затронутых ею систем - здесь.
XWorm RAT превращается в полноценную spyware-платформу.
Разработчики существенно нарастили возможности зловреда: обновленная линейка плагинов позволяет отслеживать местоположение пользователей, транслировать аудио в реальном времени и взаимодействовать с аутентифицированными сеансами браузера.
XWorm - это сложный, многофункциональный RAT для Windows, впервые обнаруженный в 2022 году, который предоставляет операторам полный контроль над жертвой, реализуя функции перехвата нажатий клавиш, создания скриншотов, доступа к камере и выполнения полезной нагрузки.
Разработчики вредоносного ПО постоянно обновляют его код, добавляя новый функционал. Угроза остается крайне активной: по данным Netskope, за третий квартал года было зафиксировано более 1200 инцидентов в 100 организациях.
Наряду с новыми вариантами, разработчики также увеличили количество плагинов, поддерживаемых XWorm, с 35 в июле 2025 года до 46 в октябре 2026 года.
Некоторые из них явно предназначены для кибершпионажа: они позволяют отслеживать местоположение, осуществлять потоковую передачу звука в реальном времени, захватывать изображение с веб-камеры и интерактивно управлять авторизованными сеансами браузера.
Плагин «Карты» предоставляет GPS-геолоцирование жертв без запроса подтверждения от пользователя. Плагин «Микрофон» транслирует аудио в реальном времени с устройства жертвы. Осуществляя все без повышения привилегий и без предупреждения пользователя.
HBrowser перехватывает аутентифицированные сеансы браузера, не затрагивая учетные данные, полностью обходя MFa. Запись с веб-камеры также доступна по запросу.
Как отмечают в Netskope, внимание киберпопдолья к XWorm резко возросло после того, как в июне 2025 года в открытый доступ была выпущена взломанная версия его конструктора, а в августе 2025 года произошла утечка исходного кода версии RAT 6.4.
Благодаря добавлению плагина HBrowser, RAT выходит за рамки простого сбора учетных данных и пользовательских данных из браузеров. предоставляя оператору информацию о состоянии браузера в режиме реального времени, а также способен передавать в браузер данные, вводимые злоумышленником.
Взаимодействие оператора кодируется в виде команд С2, передается по стандартному каналу связи XWorm с шифрованием AES и выполняется в системе жертвы.
Машина жертвы получает их и выполняет соответствующие действия в активном окне браузера. Оператор получает непрерывный поток скриншотов.
С точки зрения оператора, это полноценная удаленная сессия браузера. Доступна каждая аутентифицированная вкладка, что исключает необходимость входа в систему и работы с многофакторной аутентификацией.
В Netskope констатируют: XWorm продолжает развиваться и теперь существенно усилил возможности шпионажа. В виду того, что его конструктор и исходный код были опубликованы, следует ожидать дальнейших обновлений и более активного применения инструментария.
Ledger подтвердила, что некоторые из ее устройств были скомпрометированы аппаратным имплантом, который задействовался для кражи криптовалюты с кошельков пользователей.
Утрата средств пользователей фиксировалась на кошельках, приобретенных через CryptoBilis, крупного малазийского розничного продавца аппаратных кошельков, работающего в Юго-Восточной Азии.
Некоторые из исследователей обнаружили имплантат в Ledger X еще 16 сентября, отмечая при этом, что модифицированные устройства доступны почти за половину цены оригинального оборудования.
9 октября Ledger заявила о начале расследования после многочисленных сообщений пользователей кошельков, связанных с кражей криптовалюты, потребовав от CryptoBilis в незамедлительном порядке прекратить продажу и поставку устройств Ledger.
На следующий день компания подтвердила факт вмешательства в работу оборудования как минимум одного устройства, хотя до сих пор неясно, как именно и когда это произошло.
Разработчик криптокошелька также отметил, что сотрудничает с силовыми структурами для установления личности преступника и привлечения его к ответственности.
Совсем недавно Ledger выкатила очередное уведомление, вновь и окончательно подтверждая, что все сообщения пользователей о неожиданном выводе средств связаны с устройствами, проданными через CryptoBilis, но характеризуя инцидент как «ограниченный».
При этом компания не раскрыла тип устройств, скомпрометированных в результате этой атаки на цепочку поставок, однако в глобально паутине уже появились сообщения о шпионском импланте в устройства Ledger X, который полностью сливается с легитимным оборудованием.
В Karpeles Lab Inc. даже показали фотографию этого имплантата в Ledger X, отметив «значительный прогресс» по сравнению с предыдущими версиями, в которых провода припаивались вручную. Имплантат был скрыт за экраном, но его антенный кабель все же указывал на наличие проблемы.
Вредоносное оборудование перехватывало изображение с экрана устройства и нажатия кнопок для идентификации исходной фразы, а затем передавало ее злоумышленнику через LTE-соединение с использованием eSIM.
Пока CryptoBilis официально не фигурирует в качестве поставщика вредоносного LedgerX, упоминается, что устройство приобреталось не через рекомендованные Ledger каналы, а у «известной платформы через китайского продавца (из Малайзии)».
В Tibane Labs также подтверждают выводы Karpeles, добавляя о реализации сразу двух версии импланта для Ledger X.
Один в устройстве Ledger, купленном на Amazon Japan у «китайского продавца, доставленного из Малайзии», а другой - на аукционе Yahoo! Auctions в Японии.
В их отчете отмечается, что злоумышленник создал место для вредоносной схемы, заменив оригинальную батарею на меньшую по размеру, которая питает как имплант, так и Ledger X. Под батареей и антенной находится микроконтроллер ST STM32G431KBU6 (Arm Cortex‑M4, 128 КБ флэш-памяти, UFQFPN‑32).
Для обеспечения связи атакующий использовал «крошечную» eSIM, 8-контактный модуль размером всего 2×2 мм, расположенный рядом с микроконтроллером, и экранированный модуль LTE, передающий данные.
Во втором изученном кошельке исследователи обнаружили, что маркировка как на микроконтроллере (MCU), так и на eSIM-карте была стерта, чтобы скрыть номера компонентов.
Второй вариант, который, по всей видимости, идентичен описанному Karpeles, более совершенен. Он работал от оригинальной батареи и помещался в пространство, обычно занимаемое поролоновой прокладкой под OLED-дисплеем.
В обоих случаях отличительной чертой был провод антенны, который во втором случае проходил вдоль верхнего края имплантата.
Исследователи предупредили, что в упомянутом образце использовалась «разработанная, панельная гибкая печатная плата, заказанная у специализированной компании в серийном исполнении».
Ledger советует пользователям избегать неавторизованных селлеров и полагаться на «проверку подлинности» устройства. Но она не позволяет обнаружить импланты, если исходный защищенный элемент устройства остается неповрежденным.
Злоумышленники дистанционно вывели из строя холодильное оборудование сразу в нескольких французских сетях супермаркетов в ходе кибератаки, которая, как сообщается, была нацелена на контроллеры Danfoss.
В числе жертв атаки - Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc и Super U. По сообщениям французских СМИ, атака накрыла от 250 до 350 магазинов, причинив многомиллионные финансовые потери в результате порчи продуктов питания и товаров.
Как оказалось, злоумышленники взломали контроллеры холодильных установок, работающие под управлением старых версий ПО Danfoss, после чего резко подняли температуру в холодильниках супермаркетов через активацию встроенной системы автоматической разморозки.
Президент Coopérative U Доминик Шельхер подтвердил инцидент и заявил, что атака затронула одновременно несколько магазинов сети. При этом назвал «удары по оборудованию» райне серьезным и беспрецедентным вопросом.
Ahold Delhaize, одна из крупнейших в мире сетей розничной торговли продуктами питания, также объявила в понедельник об отключении некоторых систем после «инцидента в сфере кибербезопасности».
Комиссар ЕС по сельскому хозяйству и продовольствию Кристоф Хансен также осудил нападение и в числе жертв назвал крупнейшую французскую сеть супермаркетов - Leclerc.
Парижская прокуратура начала расследование «масштабной кибератаки, затронувшей холодильники нескольких крупных сетей розничной торговли продуктами питания по всей Франции» и в настоящее время оценивает реальный и потенциальный ущерб.
Информация о том, как именно были скомпрометированы контроллеры холодильных установок Danfoss пока отсутствует.
Вместе с тем, днако еще в мае 2025 года CISA предупреждала об уязвимости обхода аутентификации (CVE-2025-41450), а в августе 2025 года - об уязвимости внедрения команд (CVE-2025-41451) в аппаратной платформе Danfoss AK-SM 8xxA Series, которая используется для управления холодильными и системами отопления, вентиляции и кондиционирования воздуха в секторе розничной торговли продуктами питания.
Исследователи Team82 Claroty, обнаружившие обе уязвимости, также представили в августе подробное описание того, как их можно использовать для RCE на общедоступных интерфейсах управления Danfoss AK-SM 800A.
В ходе исследования уязвимости сети в Predicta Lab обнаружили 2752 системы Danfoss, доступные через Интернет, 1590 из них - во Франции. Shodan же отслеживает более 4500 устройств Danfoss, доступных через Интернет.
Однако конкретных доказательств использования этих конкретных проблем в атаке пока нет, но, по всей видимости, истина где-то рядом. Будем следить.
В GoBalance обнаружена ошибка, позволяющая любому пользователю, используя только общедоступную информацию, вычислить секретный ключ, управляющий адресом .onion сайта, и затем захватить его.
GoBalance - это переписанная на Go версия балансировщика нагрузки Tor Onionbalance, которая поставляется вместе с EndGame, широко используемым набором инструментов, обеспечивающим бесперебойную работу сайтов в даркнете во время DDoS.
Searchlight Cyber сообщила об уязвимости 8 октября, заявляя, что злоумышленник, получивший ключ, может перенаправить посетителей сайта на зеркало, находящееся под его контролем.
При этом не открывает злоумышленникам доступа к серверам сайта, базе данных или хранящимся пользовательским данным. Оригинальный Onionbalance и сам Tor не затронуты.
Адрес в сети .onion фактически является открытым ключом, поэтому тот, кто владеет соответствующим закрытым, контролирует этот адрес. Чтобы оставаться доступным, сайт публикует подписанную запись, называемую дескриптором, которую может получить любой пользователь сети Tor, и, собственно, GoBalance подписывает эту запись.
Проблема как раз и затрагивает этап подписи. Закрытый ключ Tor имеет длину 64 байта, но GoBalance передал подписывающему только первые 32 байта, а остальное отбросил. Отброшенная половина - это та часть, которая скрывает секретное значение каждой подписи.
Без этой половины секретное значение становится фиксированным числом, которое может вычислить любой. В таком случае одного опубликованного дескриптора достаточно, чтобы восстановить закрытый ключ сайта, не имея доступа к его серверам.
Поскольку раскрытый ключ имеет долгосрочный характер, восстановленные значения могут подписывать действительные записи для адреса в течение длительного времени в будущем.
При этом инструмент настройки GoBalance записывает ключи в более безопасном формате, который не представляет опасности, поэтому не каждый сайт, использующий GoBalance, подвергается риску.
Уязвимость была обнаружена благодаря Dread, одному из крупнейших форумов в даркнете, администраторами которого являются HugBunter и Paris. В период с 5 по 7 октября оба .onion-адреса Dread были захвачены и перенаправлены на конкурирующий сайт Conclave.
Изначально руководители Dread объяснили инцидент собственной ошибкой. Позже 5 октября Пэрис заявил, что «по глупости загрузил основной закрытый ключ onion Dread в обновление gobalance».
Два дня спустя был захвачен и второй адрес, резервный, хранившийся для премиум-подписчиков. Резервный адрес сложнее списать на случайную утечку. Так что позже HugBunter выяснил, что злоумышленник использовал уязвимость GoBalance в отношении сразу нескольких сервисов в даркнете.
Searchlight придерживается той же точки зрения, называя второй инцидент более убедительным признаком задействования уязвимости, но при этом рассматривая первый адрес как отдельную утечку ключа.
С тех пор Dread переехал на новый адрес и посоветовал пользователям сменить пароли. В уведомлении от 7 октября операторы анонсировали переезд форума «после утечки закрытого ключа из-за уязвимости в ПО третьих лиц», утверждая, что серверы Dread не были взломаны.
При этом неясно, сколько еще сайтов затронуто. По меньшей мере ещё один сайт подтвердил это публично - Omega. 8 октября админы отключили свой старый адрес «из-за проблемы, вызванной ошибкой в GoBalance» и перешли на новый.
Официального решения пока нет, CVE не присвоен. Публичных уведомлений от Tor или разработчика GoBalance также не поступало. В свою очередь, Dread заявила о планах выпустить исправленную версию GoBalance, дабы помочь пострадавшим сайтам перейти на неё.
Вместе с тем, независимый исследователь выкатил патч и PoC, позволяющий восстановить главный ключ из одного общедоступного дескриптора.
Исследователи BeakSec представили технические подробности критической уязвимости в Telegram Desktop, позволяющей красть файлы с компьютера после клика по ссылке.
CVE-2026-107181 получила оценку 8,6 из 10 по CVSS и затрагивает все версии клиента до 7.2.9. Исследователи успешно апробировали вектор атаки на Windows, после чего выкатили рабочий PoC.
Основная проблема заключается в том, как приложение обрабатывает ссылки вида tg://. При клике запускается второй процесс Telegram, который передаtт адрес уже открытому клиенту через локальный сокет.
Команды в этом канале разделяются точкой с запятой, но в самой ссылке этот символ не экранировался. Из-за этого в ссылку можно было встроить дополнительные команды.
Через них атакующий вызывал служебный обработчик interpret:, который умеет читать файлы с диска и отправлять их в чат. Подтверждения от пользователя он не запрашивал.
Главная потенциальная цель в случае реализации атаки - файлы сессии из папки tdata: с ними злоумышленник может войти в аккаунт без повторной авторизации. По мнению BeakSec, тем же способом можно прочитать и любой другой файл на диске, к которому есть доступ у пользователя.
BeakSec передали данные об уязвимости через программу Zero Day Initiative ещё 25 июня. Telegram исправил её в 7.2.9, вышедшей 17 сентября.
Обработчик interpret: удалили, а разделитель теперь экранируется. В списке изменений этой версии упоминается только исправление отрисовки анимаций.
Согласно официальным источникам попыток реализации уязвимости в дикой природе пока не зафиксировано. Тем не менее, пользователям следует как можно оперативнее накатить Telegram Desktop версии 7.2.9 или новее.
Добиваем пятницу подборкой трендовых уязвимостей и угроз, сред которых не можем не отметить следующие:
1. Вредоносная кампания FakeGit возобновилась 4 октября, заразив 17 610 репозиториев GitHub вредоносным ПО SmartLoader, которое используется для распространения другого вредоносного ПО.
Оператор использует в основном одноразовые аккаунты, но исследователи выявили как минимум 700 аккаунтов, которые, по всей видимости, принадлежат легитимным разработчикам.
Всего за 34 часа FakeGit загрузил более 13 000 репозиториев, достигнув пика в 2999 за час. Активность задетектили исследователи Apiiro.
2. Citrix предупредила о необходимости немедленного обновления систем для устранения новой критической уязвимости, затрагивающей сетевые устройства NetScaler ADC и решения для безопасного удаленного доступа NetScaler Gateway.
CVE-2026-107406 связана с переполнением памяти, которое злоумышленники могут использовать для RCE на целевых устройствах или для запуска состояния DoS, которое может привести к сбоям.
Для того чтобы устройства NetScaler ADC и NetScaler Gateway оказались уязвимыми, их необходимо настроить как поставщика идентификационных данных (IdP) или поставщика услуг (SP) на основе языка разметки утверждений безопасности (SAML).
Shadowserver отслеживает более 21 000 IP с NetScaler в открытом доступе в интернете (включая чуть более 1500 экземпляров шлюзов и почти 20 000 устройств NetScaler ADC).
Citrix не обнаружила доказательств того, что злоумышленники начали использовать CVE-2026-107406 в реальных условиях, но учитывая потенциальную широту поверхности это может произойти в ближайшее время.
3. Злоумышленники используют уязвимость максимальной серьезности в устройствах SonicWall SMA1000 (CVE-2026-102255), которая была исправлена три дня назад.
Хотя SonicWall еще не отметила в своем уведомлении об эксплуатации, в Previdian сообщили, что сеть их ханипотов задетектила попытки эксплуатации, соответствующие CVE-2026-102255.
4. По данным GitGuardian, в период с 31 августа по 30 сентября в рамках кампании GhostAction по краже секретов с помощью GitHub Actions злоумышленники распространили свой алгоритм на 772 общедоступных репозитория (принадлежащих 373 пользователям), похитив 2577 секретов, таких как ключи SSH и учетные данные Azure, AWS и баз данных.
Помимо нового сервера для эксфильтрации данных, злоумышленники повторно использовали алгоритм действий 2025 года, и данные GitGuardian показывают, что кампания фактически не прекращалась.
5. Исследователи обнаружили CVE-2026-47483, представляющую собой серьезную проблему в инструменте мониторинга графических процессоров DCGM Exporter от Nvidia.
В ходе сканирования за март по май исследователи обнаружили около 2100 хостов, предоставляющих доступ к экспортеру через интернет без аутентификации, что привело к утечке телеметрии с более чем 12 000 графических процессоров.
6. Версия 0.5.144 Tensorlake, SDK npm для песочниц агентов ИИ Tensorlake, была скомпрометирована и во время установки запускала червя, крадущего учетные данные, что является атакой на цепочку поставок типа ChainDrop/Shai-Hulud.
Socket и Sonatype утверждают, что вредоносное ПО собирает учетные данные npm, GitHub, AWS, Kubernetes и Vault, а также конфигурации инструментов для кодирования ИИ. Может выполнять код и переиздавать себя через другие пакеты, которые может публиковать жертва.
7. Исследователи Positive Technologies сообщают о новом ICS-вредоносе S7Flip, попутно рассказывая, что они нашли на MalwareBazaar.
8. Cisco устранила дюжину критических уязвимостей, которые могут привести к несанкционированному доступу, утечке информации, повышению привилегий, DoS и RCE.
Тысячи дешевых Android-смартфонов поставлялись с предустановленным вредоносным ПО, которое помимо мошенничества с рекламой могло потенциально превращать зараженные устройства в крупные ботнеты.
Кампания, получившая название Midnight Mimosa от румынской Bitdefender, затрагивает устройства различных марок, продаваемые по всему миру и использующие чипы тайваньской полупроводниковой компании MediaTek.
В ее основе лежит вредоносное приложение для Android, встроенное в прошивку зараженных телефонов еще до их продажи.
Причем приложение работает с системными привилегиями, что позволяет ему незаметно устанавливать или удалять другие приложения, предоставлять им разрешения, а также загружать и запускать дополнительный код без согласия владельца.
Исследователи полагают, что кампания, в первую очередь, нацелена на извлечение прибыли с зараженных устройств посредством мошенничества с кликами и рекламой.
Вместе с тем, вредоносное ПО также может собирать информацию об устройствах и установленных приложениях и обладает возможностями, позволяющими интегрировать зараженные телефоны в ботнеты.
В течение примерно двух лет Bitdefender наблюдала за распространением вредоносного ПО на тысячах устройств в более чем 150 странах. Наибольшая доля заражений пришлась на Мексику, Францию и Италию, за которыми следуют США, Германия, Бразилия и Испания.
Многие из затронутых устройств, по всей видимости, являются недорогими, поддельными или контрафактными устройствами, включая модели, имитирующие более известные телефоны Samsung Galaxy и Apple iPhone.
Исследователи заявили, что телефоны продаются через популярные онлайн-площадки, при этом стоимость одного из исследованных ими устройств составляла около 180 долл.
Предустановленное вредоносное ПО само по себе не генерирует мошеннические рекламные показы. Вместо этого тайно устанавливает внешне легитимные приложения, мимикрирующие под легальные приложения: прогноз погоды, заметки, файловые менеджеры и др.
Они используют легитимные рекламные сервисы для загрузки реальной рекламы, но могут отображать её в невидимых окнах поверх других приложений, регистрируя показы рекламы, которые пользователи фактически никогда не видят. Некоторые компоненты также могут генерировать автоматические клики.
Исследователи выявили как минимум 32 таких, развернутых предустановленным вредоносным ПО. Перед установкой некоторые временно отключают Google Play Store, возможно, для того, чтобы избежать обнаружения, и снова включают его после завершения установки.
Bitdefender также обнаружила 13 приложений, доступных в Google Play, которые взаимодействовали с одной и той же инфраструктурой и содержали один и тот же код для мошенничества с рекламой.
В отличие от предустановленного вредоносного ПО, приложения из Play Store не обладают широкими системными привилегиями и предоставляют подлинные функции, такие как информация о погоде или сканирование QR-кодов.
Однако исследователи заявили, что они также могут показывать рекламу вне приложений, в том числе и тогда, когда пользователь не использует телефон активно.
Bitdefender пока не выяснила, кто установил вредоносное ПО на устройства и на каком этапе цепочки поставок оно было внедрено.
Некоторые зараженные прошивки были подписаны сертификатами, принадлежащими китайской Shenzhen Zediel, которая разрабатывает и продает интеллектуальное оборудование и бытовую электронику.
Bitdefender полагает, что эти сертификаты не доказывают, что компания создала вредоносное ПО, сознательно распространяла его или знала о его наличии.
Исследователи заявили, что вредоносное ПО могло быть внедрено производителем оригинального устройства, интегратором прошивки, логистическим партнером или другим посредником до начала продаж телефонов.
Завершился трехдневный Pwn2Own Ireland 2026, участники которого получили заработали 1 262 000 долл. призовых за реализацию 98 0-day.
Участники Ikotas Labs одержали победу, набрав 42,5 балла Master of Pwn и заработав в общей сложности 361 000 долл. за три дня соревнований за взлом Samsung Galaxy S26, OpenAI Codex и базы данных Oracle Autonomous AI.
На третий день они также получили главный приз конкурса в размере 300 000 долл., успешно взломав Google Pixel 10 посредством сразу нескольких 0-day.
Команда Xint заняла второе место, получив 240 000 долл. и 27,5 очков Master of Pwn, а ZyGoat расположились на третьем с призовым фондом в 125 000 долл. и 27,5 очками Master of Pwn.
Interrupt Labs, Ikotas Labs и Viettel Cyber Security взломали флагманский смартфон Samsung Galaxy S26 в первый же день, но разработчики уже знали о некоторых уязвимостях, которые могли быть использованы злоумышленниками. В общей сложности участники взлома получили 388 500 долл., продемонстрировав 32 0-day.
На второй день участники получили денежные призы на общую сумму 232 500 долл. за обнаружение 45 уникальных0-day. Особенно отличились PetoWorks, KAIST Hacking Lab и CENSUS Labs, которым удалось трижды взломать Galaxy S26.
На третий день хакеры снова получили root-права на Samsung Galaxy S26 и трижды взломали Google Pixel 10. В общей сложности исследователи использовали 21 0-day и выиграли 641 000 долл. наличными в финальный день конкурса.
В этом году 29 исследовательских групп сосредоточили внимание на продуктах в семи категориях: мобильные телефоны (Samsung Galaxy S26 и Google Pixel 10), инфраструктура и приложения ИИ, мессенджеры, IoT-устройства, принтеры и устройства для здоровья.
iPhone 17 от Apple также рассматривался как потенциальная цель для взлома, за который присуждался максимальный приз в размере 300 000 долл., но ни один участник не зарегистрировался для участия в данной категории.
Zero Day Initiative (ZDI) от Trend Micro организует конкурс по выявлению 0-day до того, как злоумышленники начнут их использовать в реальных условиях.
Правила Pwn2Own требуют, чтобы на всех устройствах и продуктах работали последние версии прошивки, а участники должны скомпрометировать целевое устройство и продемонстрировать выполнение произвольного кода.
Поставщики должны устранить нули, выявленные в ходе конкурса Pwn2Own, в течение 90 дней до того, как ZDI опубликует подробности.
На текущем этапе участники заметно набрали и увеличили показатели в сравнении с предыдущим этапом Pwn2Own Ireland 2025 с 73 0-day и призовыми в 1 024 750 долл.
Citizen Lab сообщает об обнаружении целевых рекламных кампаний, в результате которых устройства сотрудников телеканала Al Jazeera были заражены шпионским ПО Candiru без необходимости каких-либо действий со стороны пользователей.
Исследователи называли эту технику AdFection, описывая ее как первое публичное техническое подтверждение существования шпионского ПО, распространяемого через целевую рекламу.
В ходе расследования им удалось выйти на израильскую рекламную компанию Discover-Tech, выступившей посредником между операторами spyware и основной рекламной инфраструктурой. Она позиционирует себя как поставщик рекламных технологий и управляет платформой для покупки рекламы MyDSP.
По меньшей мере 45 устройств в сети Al Jazeera стали объектом атак в 2024-2025 гг. Скомпрометированные устройства связывались с инфраструктурой Discover-Tech, а затем и с серверами проверки Candiru, и с С2.
Citizen Lab установила, что выделенная платформа Discover-Tech, Controlium, позволяет клиентам выбирать конкретных лиц для профилирования или заражения, используя идентификаторы мобильной рекламы, идентификаторы cookie браузера и IP-адреса.
Атака начинается с размещения Discover-Tech посредством аукциона рекламы на веб-сайте или в приложении, открытом на устройстве жертвы. При отображении реклама запрашивает JavaScript у сервера Discover-Tech.
Этот сервер возвращает код, основанный на идентификаторах посетителя и его предполагаемой важности, направляя выбранные устройства к инфраструктуре spyware. Взаимодействие с рекламой не требуется, и некоторые объявления могут отображаться в фоновом режиме.
Такая выборочная доставка помогает скрыть вредоносную активность от рекламных сканеров безопасности. Большинство посетителей не получают дополнительный JavaScript, в то время как выбранные цели могут подвергнуться следующему этапу атаки.
В Al Jazeera обнаружили на взломанном устройстве DLL-файл Windows, содержащий жестко закодированные адреса командной строки. Citizen Lab с высокой степенью уверенности отнесла его к Candiru, основываясь на характеристиках инфраструктуры и сходстве со шпионским ПО, обнаруженным в 2021, включая механизм обеспечения постоянного присутствия и обфускацию строк.
Исследователи изучили почти четыре млрд. общедоступных записей о торгах за период с марта по июнь 2026 года. Платформа MyDSP подала приблизительно 3,77 млрд. заявок и, по всей видимости, выиграла почти 442 млн.аукционов.
Рекламные объявления, содержащие удаленные загрузчики скриптов Discover-Tech, появлялись в 75 373 приложениях для Android и iOS и на 120 768 веб-сайтах. В их число входили мессенджеры, сервисы погоды, здравоохранения, знакомств и игр, а также крупные новостные издания.
Информация также появилась в сетях, связанных с НАТО, ООН, институтами ЕС, правительственными учреждениями, оборонными компаниями и операторами критической инфраструктуры.
Один лишь показ рекламы не гарантирует выявление шпионского ПО или заражения. Тем не менее, Citizen Lab предупреждает, что такой широкий охват создает возможности для составления профилей и потенциальной компрометации.
В ходе расследования Discover-Tech также была связана с другими поставщиками spyware - Bindecy и Intelos. А DARK CARTOGRAPHER, предположительно использовал ее инфраструктуру для сопоставления рекламных идентификаторов с телефонными номерами, используя уязвимости мобильных сетей более чем в 30 странах.
После расследования Google заблокировала доступ Discover-Tech к своим рекламным биржам и внедрила защиту Safe Browsing в отношении известных доменов, контролируемых злоумышленниками.
IAB Europe исключил компанию из своего реестра поставщиков, Beeswax - из своей платформы для закупок рекламы, Eskimi заблокировал ее учетные записи и домены, а Vungle приостановил доступ до завершения проверки.
В свою очередь, в Discover-Tech и Candiru/Integrity Labs никак не прокомментировали результаты расследования. Впрочем, все и так понятно.
И все же в кошельках Trezor тоже были найдены шпионские чипы, несмотря на все отрицающие этот факт заверения производителя.
Исследователь Джо Гранд утверждает, что обнаружил импланты в двух устройствах Trezor и сообщил об этом компании еще в августе.
Новые обстоятельства вскрылись на фоне скандала с аналогичными внедренными чипами в устройствах Ledger.
Тем не менее, Trezor опровергает все эти сообщения, но вместе с тем заявляет о сокращении числа реселлеров, начиная со следующего года.
Связанная с кражей учетных данных кампания GhostAction резко активизировалась, охватив более 30 000 хранилищ данных у 3000 пользователей и организаций. Согласно телеметрии GitGuardian, всплеск активности наблюдался 8 и 9 октября 2026 года.
Это произошло в результате взлома учетных записей GitHub примерно 1900 пользователей, после чего была предпринята попытка извлечь 3174 секрета из CI общедоступных репозиториев.
GhostAction - это название кампании по атаке на цепочку поставок, нацеленной на инфраструктуру разработчиков на GitHub. Впервые была обнаружена в сентябре 2025 года.
Злоумышленники взламывают легитимные учетные записи разработчиков, дабы внедрить вредоносные рабочие процессы автоматизации GitHub Actions в репозитории ПО.
В частности, они получают доступ на запись в репозитории, используя украденные персональные токены доступа (PAT) или учетные данные, полученные из журналов и дампов, собранных посредством стилеров.
Используя взломанную учетную запись админа, они распространяют вредоносный файл рабочего процесса, замаскированный под обманчивые имена, такие как Security Audit (security-audit.yml) или GitHub Actions Security (github_actions_security.yml).
Конечная цель - широкомасштабная кража секретов CI/CD, учетных данных облачных сервисов, токенов реестров пакетов (таких как npm, PyPI и DockerHub) и ключей API поставщиков услуг ИИ.
С 31 августа 2026 года наблюдается новая волна атак GhostAction, вредоносный процесс которых распространяется на сотни репозиториев. Новая серия, похоже, более экспериментальная и требует ручной обработки, нежели предыдущие, а полезная нагрузка также развивается со временем.
По сравнению с оригинальной полезной нагрузкой GhostAction, первая версия этой новой полезной нагрузки добавила функцию сканирования секретных данных в истории Git.
Как ранее сообщали Socket и StepSecurity, функция сканирования истории включает в себя регулярные выражения для обнаружения секретов, охватывающие идентификаторы ключей AWS, токены GitHub и GitLab, секреты, связанные с ИИ, а также ключи облачных API.
Вторая версия полезной нагрузки также захватывает примерно две строки контекста вокруг каждого идентификатора ключа AWS, чтобы сопоставить их с соответствующими секретными ключами доступа.
Третий и последний вариант полезной нагрузки включает поддержку получения секретного контекста во время сканирования истории Git.
Вредоносная ПО была развернута в несколько этапов: сначала она была запущена в отношении 160 ранее обнаруженных жертв, затем, через 20 минут, на 28 000 новых репозиториев в период с 8 по 9 октября. Новые атаки с использованием той же вредоносной ПО зафиксированы 10 и 12 октября.
Однако GitHub начал блокировать запуск вредоносного процесса начиная с 9 октября. Поэтому эти две последующие волны не смогли выкрасть никаких секретных данных.
Примечательно, что часть жертв этой новой волны ранее уже подвергалась атакам в сентябре 2025 года и августе 2026 года.
Исследователи из Шведского агентства оборонных исследований (FOI) разработали систему ИИ, которая задействует сигналы Wi-Fi для идентификации людей, скрытно переносящих огнестрельное оружие.
В перспективе, система, получившая название WiFireNet, потенциально может дополнить видеонаблюдение и металлодетекторы. Однако сейчас полученные результаты больше демонстрируют ее осуществимость, нежели готовность к развертыванию в сфере общественной безопасности.
Исследователи также представили WiFire - набор данных, который сопоставляет беспроводные измерения с видеозаписями с камер для обучения и оценки моделей обнаружения скрытого оружия.
Команда разработчиков рассматривает Wi-Fi-датчики как способ устранения недостатков традиционных методов досмотра.
Камеры не могут напрямую обнаружить оружие, спрятанное под одеждой, а металлодетекторы обычно требуют от людей прохождения через узкие контрольно-пропускные пункты и не могут различать разные виды металлических предметов.
WiFireNet анализирует информацию о состоянии канала (CSI) - измерения, описывающие, как беспроводной сигнал распространяется между передатчиками и приемниками. Его нейросеть обрабатывает амплитуду и фазу сигнала, преобразует эти измерения в изображение и прогнозирует местоположение людей и классы объектов в сцене.
Видеозаписи с камер предоставляют обучающие метки и помогают обучить беспроводную модель, но для прогнозирования обученной системой необходимы только измерения Wi-Fi.
В экспериментах использовалась модифицированная реализация IEEE 802.11a, работающая через GNU Radio на частоте 5,68 ГГц с полосой пропускания 20 МГц. Таким образом, данная конфигурация не подтверждает, что немодифицированный бытовой маршрутизатор может выполнять ту же задачу.
Участники перемещались в пределах восьми квадратных метров группами до двух человек или в пределах двенадцати квадратных метров группами до четырех человек. Максимум один человек нес спрятанный металлический пистолет.
В качестве других объектов для тестирования использовались пластиковый пистолет, металлическая бутылка с водой и мобильный телефон, что ставило перед моделью задачу отличить оружие от предметов, имеющих схожую форму или материальные свойства.
Стандартная конфигурация Wi-Fi обеспечила среднюю точность определения местоположения пистолетов на уровне 72,5% при мягком пороговом значении локализации, снижаясь до 53,8%, когда прогнозируемые местоположения должны были более точно совпадать с аннотированными местоположениями.
В рамках оцениваемых классов средняя точность составила 50,3% и 47,1% при соответствующих пороговых значениях. Это показатели эффективности обнаружения, а не просто процент правильно обследованных людей.
В ходе оценки отдельные образцы сигналов были разделены на обучающую и тестовую выборки.
Так что, WiFireNet не позволяет оценить производительность в совершенно незнакомых помещениях или в отдельно записанных сессиях, что является важным ограничением для оценки потенциала внедрения.
Новая вредоносная программа для Android под названием Hirudo крадет учетные данные банковских счетов, заменяя легитимные банковские приложения модифицированными версиями, которые отключают все проверки безопасности.
Исследователи выявили вредоносные копии восьми банковских приложений, которые используют механизм перехвата для обхода проверок цифровой подписи приложения, специальных возможностей и целостности Google Play, подменяя информацию о сертификатах или возвращая пустые списки.
Злоумышленники могут использовать Hirudo для кражи учетных данных, удаленного управления зараженными телефонами в режиме реального времени, сбора сообщений, создания скриншотов и записи звука.
Новинку заметили исследователи ThreatFabric, сообщившие, что вредоносная ПО Hirudo, как было замечено, выдавала себя за семь индонезийских банков, но также нацелена на финансовые организации в Китае, Индии, Мексике, Марокко и Таиланде.
Вредоносное ПО обычно распространяется через приложения для покупок (Shopora), контента для взрослых (1V1 X) или коротких сериалов (ZoyaTV, KoiShort), которые выглядят легитимными и реализуют заявленную функциональность.
Исследователи полагают, что эти приложения действуют как загрузчики вредоносного ПО для Hirudo, отображая поддельное уведомление об «обновлении», которое приводит к запросам на предоставление разрешений, в том числе для служб специальных возможностей.
После установки Hirudo запускает деинсталлятор настоящего банковского приложения, загружает модифицированную копию и использует разрешение на доступ к специальным возможностям для его установки.
ThreatFabric объясняет, что это деликатный и достаточно рискованный процесс для вредоносной ПО, поскольку жертва может прервать его в двух точках.
Вредоносная копия банковского приложения при этом сохраняет почти весь код оригинального приложения, но загружает механизм перехвата атак, построенный на основе открытых фреймворков YAHFA и Dobby.
При запуске модифицированное приложение выполняет реализует ряд мер по обходу защиты.
В частности, при необходимости подменяет подлинный сертификат подписи, скрывает включенные службы спецвозможностей, снимает защиту создания скриншотов, разрешая удаленный просмотр и запись, а также подменяет сертификаты подтверждения ключей и передаает запросы на проверку целостности воспроизведения через контролируемый сервер.
Однако, как поясняет ThreatFabric, у этих методов обхода есть определенные ограничения.
После активации на устройстве Hirudo может красть банковские пароли, PIN-коды платежей, секреты разблокировки устройства и SMS-сообщения, передавать изображение с экрана операторам и предоставлять доступ к обеим камерам.
Фейковые страницы, создаваемые вредоносной ПО, собирают PIN-коды платежей, а затем отображают сфабрикованный результат успешной оплаты, обманывая жертв и одновременно похищая данные.
Hirudo в настоящее время нацелен на индонезийские банковские приложения. Исследователям удалось идентифицировать тысячи учетных данных приложений в ходе анализа панели управления. Однако точное число жертв остается неизвестным.
Исследователи полагают, что банкам следует проверять целостность и подтверждать данные на стороне сервера, привязывать чеки к сессиям и защищенным действиям, а также сохранять механизмы контроля поведенческих рисков и рисков транзакций.
Anthropic предупреждает, что небольшие модели ИИ вскоре смогут самореплицироваться на потребительских IoT-устройствах (от ТВ-приставок на базе Android до умных духовок), создавая ботнеты, способные запускать рабочие нагрузки ИИ без использования ЦОДов.
Эксперименты компании показали, что модели способны идентифицировать незнакомые устройства, подключать их к сети и подготавливать к запуску модели ИИ.
Исследователям удалось успешно «распылить» модель Gemma4-26B-A4B от Google DeepMind на 15 неоригинальных Android TV-приставках, но это еще далеко до полностью автономного, самовоспроизводящегося ИИ-червя, работающего на реальном оборудовании IoT.
Однако, по их оценкам, более мелкие модели могут достичь самовоспроизводства к концу года, если продолжат улучшаться с той же скоростью, что и раньше. Отключить подобный репликатор будет непросто в виду отсутствия централизованной точки управления.
Возвращаясь к опытам, Anthropic провела свой эксперимент по воспроизведению результатов, используя недорогие ТВ-приставки на базе Android и модели Qwen3.5-9B, Gemma4-26B-A4B, Llama3.1-8B, Opus 4.8 и GLM-5.2, каждой из которых была назначена своя роль.
Qwen3.5-9B и GLM-5.2 выступали в роли агентов, которым было поручено настроить и распространить Llama3.1-8B (вывод), а Gemma4-26B-A4B продемонстрировала, что модель может работать на 15 Android TV-приставках. Opus 4.8 был отдельно протестирован в качестве советника для Qwen.
В эксперименте использовалась упрощенная обстановка, в которой целевые объекты предоставляли неаутентифицированный доступ к ADB.
Исследования показали, что Qwen3.5-9B успешно установил и настроил ПО, необходимое для запуска Llama3.1-8B, на восьми из девяти протестированных типов оборудования.
GLM-5.2 достигла всех восьми узлов в контролируемой эмулируемой сети в четырех из пяти попыток, в то время как другие модели не смогли надежно завершить весь процесс.
Anthropic отметила повышение уровня успешности при сохранении данных предыдущих попыток: показатель Qwen3.5-9 B вырос с 45% на начальном этапе до 84% в последующих поколениях. Использование более совершенной Opus 4.8 для помощи Qwen в процессе вывода не привело к заметному улучшению.
На основе полученных результатов Anthropic прогнозирует, что модели с 30 млрд. параметров или меньше смогут достичь необходимого уровня производительности к концу 2026 года.
На исследуемом оборудовании процесс настройки системы вывода данных займет много времени, от 28 до 51 часа для Qwen3.5-9B и от 71 до 150 часов для Gemma4-26B-A4B, что даст защитникам достаточно времени для обнаружения угроз и реагирования.
Однако с появлением будущих моделей этот период может сократиться, поэтому внедрение более надежных мер безопасности для Интернета вещей вскоре может стать приоритетной задачей.
Следуя официальным заявлениям Anthropic, пока рано говорить про Скайнет и восстание машин, однако намеченные тенденции заставляют серьезно задуматься.
⚙Нашел очень крутой проект, который называется Netwatch. Это tui инструмент, который предназначен для диагностики сетевой активности на сервере. Функционал следующий:
➡Выводит детальную информацию об интерфейсах в системе;
➡Умеет рисовать информативные дашборды со сводной информацией и позволяет получать данные о соединениях;
➡Умеет в захват пакетов с учетом протоколов DNS, TLS, HTTP, ICMP, ARP, DHCP, NTP, mDNS и т.д.
➡Отображает информацию о соединениях - pid и имя процесса, протокол, статус, IP адрес, геолокация и т.д.
➡Есть возможность использовать фильтры, экспортировать все в pcap;
➡ASCII карта сети;
➡Возможность подключить локальную или удалённую модель Ollama (отключено по умолчанию, но если кому-то надо, то можете экспериментировать).
➡ Более детальное описание и другая необходимая информация есть на GitHub или на сайте разработчика.
S.E. ▪️ infosec.work ▪️ VT
CVE-2026-85097 в плагине WordPress Bricksforge теперь на вооружении киберподполья и вовсю используется в дикой природе, позволяя получать контроль над целевыми веб-сайтами WordPress.
Bricksforge представляет собой коммерческое дополнение к визуальному конструктору сайтов Bricks, которое предназанчено для добавления на сайты WordPress дополнительных инструментов, включая пользовательские формы, анимацию, конструктор электронных писем и страницы административной панели. Его используют около 6000 сайтов.
Уязвимость имеет оценку CVSS 9,8, обеспечивает загрузку произвольных файлов и выполнение вредоносного кода для неавторизованных злоумышленников, что создает возможности для получения полного контроля над целевым веб-сайтом WordPress.
Проблема затрагивает версии 3.1.8.9 и более ранние, была устранена с выходом версии 3.1.8.10. По данным Patchstack, первые попытки эксплуатации были зафиксированы 7 октября.
Как отмечают исследователи, согласно телеметрии выделяются два кластера: в первом 44 IP отправили 56 запросов с идентичными данными с интервалом в несколько секунд. Во втором уже три тестировали 25 вариантов расширений и кодировок PHP на одном и том же временном файле.
Оба варианта указывают на автоматизированную эксплуатацию уязвимостей через ротируемые прокси-серверы или распределенную инфраструктуру.
Сами по себе они пока не позволяют отнести эту деятельность к какому-либо одному злоумышленнику.
GitLab предупреждает пользователей о необходимости срочного устранения уязвимости максимальной степени серьезности в компиляторе регулярных выражений CI/CD, которая позволяет удаленным злоумышленникам выполнять произвольный код на целевых экземплярах.
По данным GitLab, что ее платформой DevSecOps пользуются более 30 миллионов зарегистрированных пользователей и более 50% компаний из списка Fortune 100, включая Nvidia, T-Mobile, Lockheed Martin, Airbus и Goldman Sachs.
Критическая уязвимость отслеживается как CVE-2026-97229 и была обнаружена исследователем joaxcar, который уведомил разработчиков через программу вознаграждения за обнаружение уязвимостей HackerOne от GitLab.
CVE-2026-97229 связана с уязвимостью переполнения целочисленных значений в компиляторе регулярных выражений GitLab CI/CD, который анализирует, компилирует и вычисляет регулярные выражения в файлах конфигурации конвейера проектов.
Как поясняет GitLab, при определенных условиях ошибка позволяет неавторизованному пользователю выполнить произвольный код на сервере с помощью специально созданного регулярного выражения в конфигурации CI/CD из-за недостаточной проверки регулярных выражений.
GitLab исправила проблему в версиях GitLab Community Edition (CE) и Enterprise Edition (EE) с 19.2 до 19.2.8, с 19.3 до 19.3.4 и с 19.4 до 19.4.2, настоятельно призвая пользователей немедленно обновить свои серверы.
На GitLab.com уже установлена исправленная версия. Клиентам GitLab Dedicated никаких действий предпринимать не нужно.
CVE-2026-97229 - это последняя из серии уязвимостей, которые GitLab устранил за последние месяцы. В январе быдла закрыта уязвимость, представляющую серьезную угрозу обхода 2Fa (CVE-2026-0723), позволявшая злоумышленникам, знающим идентификатор учетной записи жертвы, обходить двухфакторную аутентификацию на серверах Community Edition и Enterprise Edition.
В прошлом месяце пофиксили еще одну уязвимость максимальной степени серьезности (CVE-2026-85706) в GitLab CE/EE, которая позволяет неавторизованным злоумышленникам считывать конфиденциальные данные, включая учетные данные и другие секреты, с уязвимых серверов.
Позже CISA добавило CVE-2026-85706 в свой каталог KEV, в котором фигурирует пять уязвимостей в GitLab, использовавшихся в атаках с ноября 2021 года, включая одну, которая была использована бандами вымогателей.
Исследователи выкатили полностью рабочий эксплойт для RCE-уязвимости до аутентификации в AnyDesk Linux, который предоставляет злоумышленникам root-доступ до того, как кто-либо подтвердит подключение.
В июне AnyDesk закрыла ее в версии 8.0.3, но в списке изменений исправление описывалось лишь краткой формулировкой: «исправлена ошибка, которая могла привести к сбою», без присвоения CVE и без каких-либо уведомлений о безопасности.
Уязвимость, получившая название AnyPwn, нацелена на переполнение буфера кучи в протоколе сеанса AnyDesk. Код был опубликован на GitHub 8 октября. Администраторам следует обновить AnyDesk Linux как минимум до версии 8.0.3. Последняя выпущенная версия - 8.1.0.
Вышедший эксплойт работает только через прямые TCP-соединения на порту 7070 и носит вероятностный характер: структура кучи должна размещать целевой объект рядом с переполненным буфером. В противном случае служба аварийно завершает работу.
Смещения в опубликованном коде нацелены на конкретную сборку AnyDesk Linux, 8.0.2, а для других сборок потребуются другие значения.
Исследователи полагают, что тот же уязвимый участок кода доступен и через ретрансляционные серверы AnyDesk, которые ПО использует, когда прямое соединение недоступно.
Они подтвердили это с помощью триггера инструментария Frida, но не продемонстрировали полную цепочку эксплойтов через ретрансляторы.
В июне AnyDesk заявила, что уязвимость «ограничивается прямыми соединениями в Linux (соединениями, которые не проходят через ретрансляторы). Windows и macOS не затронуты.
Несмотря на то, что уязвимость апробирована на AnyDesk Linux 8.0.2, более ранние версии, такие как 8.0.1, могут использовать тот же уязвимый фрагмент кода, но эксплуатация уязвимости в этих версиях пока не подтверждена.
Обнаружившие AnyPwn исследователи V12 сообщили об уязвимости 22 июня, AnyDesk подтвердила её наличие на следующий день и выпустила версию 8.0.3 с исправлением.
По состоянию на текущий момент уязвимости не присвоен идентификатор CVE, а AnyDesk не выпускала официального уведомления о безопасности.
Администраторы, которые не могут немедленно обновить систему, могут снизить уязвимость, ограничив доступ к TCP-порту 7070. Вопрос о том, можно ли полностью использовать эту уязвимость через ретрансляционные соединения, остается открытым.
Huntress задетектила активное использование неисправленных CVE-2026-105133 и CVE-2026-105134 в решении для резервного копирования AhsayCBS, которые позволяют злоумышленникам обходить аутентификацию и RCE.
Консоль управления сервером резервного копирования в облаке AhsayCBS предоставляет возможности управления политиками резервного копирования, хранилищем и пользователями и пользуется популярностью среди поставщиков управляемых услуг и системных интеграторов.
Упомянутые ошибки позволяют злоумышленникам манипулировать аргументами в определенных функциях инструмента, чтобы обойти аутентификацию и внедрить команды операционной системы.
Проблемы были раскрыты 4 октября и затрагивают все версии AhsayCBS до 10.3.2 включительно. В прошлый четверг Huntress предупредила, что злоумышленники уже начали использовать их в реальных условиях. При этом последняя версия AhsayCBS, 10.3.4, также уязвима.
Исследователи настоятельно рекомендуют до выхода обновления ограничить доступ к интерфейсу управления и проверить наличие признаков взлома.
По данным Huntress, злоумышленники объединяют обе уязвимости для получения доступа к удаленному выполнению кода без аутентификации и развертывания веб-оболочек на незащищенных системах. По состоянию на 8 октября атакам подверглись как минимум пять организаций.
Кроме того, отмечено, что CVE-2026-105134 может быть использована для неаутентифицированного выполнения удаленных операций с системными привилегиями через API компонента Replication Receiver.
API содержит механизм обхода аутентификации, который позволяет использовать случайный токен вместо действительных учетных данных.
Как пояснила Huntress, после эксплуатации злоумышленник настраивал вредоносный приемник и размещал веб-оболочку Java Server Page (JSP) в каталоге приложения, обслуживаемого приложением CBS.
Получив первоначальный доступ, злоумышленники провели разведку и развернули XMRig, замаскированные под Microsoft Edge. Они также внедрили скрипт PowerShell с поддержкой ИИ для мониторинга диспетчера задач и его завершения, если он остается открытым слишком долго.
Они также добились сохранения работоспособности системы, создав службу Windows, маскирующуюся под Microsoft Edge Update, для запуска модифицированной копии легитимной утилиты NSSM под названием msedge.exe с системными привилегиями.
NSSM способна поддерживать работу других программ, обеспечивая их бесперебойную работу и перезапуск после сбоя или перезагрузки, и злоумышленники в этом инциденте, вероятно, использовали его для обеспечения постоянного присутствия edge.exe, маскируя связанный со службой исполняемый файл под легитимный.
В ходе одной из атак хакеры развернули WinRing0x64.sys, легитимный, но уязвимый драйвер ядра, который позволял майнеру криптовалюты работать с доступом на уровне ядра.
Так что организациям следует ограничить доступ к веб-интерфейсу управления AhsayCBS, поскольку уязвимость нацелена на внешне доступный веб-сервис на хосте. Доступ должен быть ограничен только доверенными IP или требовать использования VPN.
Переговоры ФБР и ShinyHunters заходят в финализирующую стадию: расторговка задержанных с силовиками пошла полным ходом.
В частности, по данным Politico и KrebsOnSecurity, в Пенсильвании арестован канадский ИБ-специалист Эдвард Дубровский в связи с причастностью к деятельности банды вымогателей.
54-летний Дубровский занимал руководящие должности в инфосек-компаниях, оказывающих услуги жертвам атак вымогателей по смягчению последствий и ведению переговоров с киберпреступниками по выплате выкупа.
Как передает New York Times, подозреваемый - гражданин Канады, арестованный в Пенсильвании, считается одним из главных соучастников недавнего взлома сайта ShinyHunters, связанного с ФБР США.
Согласно судебным документам, Дубровский предстал перед судом Восточного округа Пенсильвании после задержания. Более позднее постановление суда гласит, что он был переведен в Восточный округ Техаса, где ему были предъявлены обвинения и заключили под стражу.
Бюро пока публично не подтвердило, что Дубровский является предполагаемым соучастником ShinyHunters, однако KrebsOnSecurity упоминает, что сразу несколько источников связали арест с расследованием дела ShinyHunters.
Дубровский ранее был соучредителем канадской ИБ-компании CYPFER, а также сотрудничал с CyberSteward, еще одной компанией, специализирующейся на переговорах о выкупе и реагировании на вымогательство.
Задержанный также недавно опубликовал книгу «Стратегический ответ на кибервымогательство», посвященную борьбе с ransomware, а в Пенсильвании принимал участие в саммите NetDiligence по киберрискам совметсно с командой CyberSteward.
Поскольку обвинительное заключение Дубровского остается засекреченным, до сих пор неясно, в чем именно его обвиняют и связано ли это дело с утечкой информации из ФБР. Так что продолжаем следить.
Исследователи обнаружили новый вариант шпионского ПО DarkSword для iPhone с более продвинутым функционалом скрытности и удаленного управления.
Обновленный вариант, получивший название P7 DarkSword, был выявлен экспертами iVerify в ходе исследования зараженного устройства клиента в августе 2026 года. Его название происходит от префикса p7_, используемого в модификациях исходного кода.
Расследование началось после того, как полученное предупреждение отличалось от типичных обнаружений DarkSword, с которыми сталкивается iVerify.
С согласия клиента исследователи собрали артефакты, включая подозрительные файлы, созданные в /private/var/tmp, и использовали платформу Validin для поиска соответствующих образцов эксплойтов и имплантатов.
В марте исследователи Google, Lookout и iVerify публично раскрыли DarkSword, фреймворк для взлома iPhone, использующий шесть уязвимостей.
Различные операторы использовали для нацеливание на устройства под управлением iOS 18.4–18.7, при этом кампании наблюдались в Украине, Саудовской Аравии, Турции и Малайзии.
iVerify сообщила, что жертвой в августе стал сотрудник финансового учреждения, а P7 распространялся через вредоносную рекламу в рамках атак типа wateringhole.
Компания также отмечает, что P7 теперь поддерживает iOS 18.7, в отличие от более ранней версии, которую она отслеживала, хотя другие развертывания DarkSword уже поддерживали эту версию.
P7 реализует удаление отладочных логов через HTTP-запросы и системный журнал, а также значительно снизила количество внедрений процессов, также используя локальное хранилище браузера для предотвращения повторной эксплуатации одного и того же устройства.
Тем не менее внесенные улучшения не устранили все следы, имеющие значение для криминалистического анализа.
В частности, iVerify обнаружила локальные файлы, связанные с извлечением данных из Keychain, включая keychain_c2_dump.json, маркер завершения операции, а также отладочные файлы с именами p7_debug.log и c2_wallet_debug.log.
Существенное изменение касается того, как имплант обрабатывает данные из связки ключей Apple. Более ранние варианты копировали базу данных связки ключей для обработки на инфраструктуре злоумышленника. P7 извлекает данные в JSON-файл на зараженном телефоне перед их экстракцией.
Шпионское ПО также поддерживает обнаружение криптокошельков и имеет специальный обработчик для извлечения данных, связанных с imToken. Более ранние версии уже были нацелены на получение информации о кошельках, поэтому P7 лишь развило эти возможности.
Управляющий агент работает внутри SpringBoard, процесса iOS, отвечающего за интерфейс главного экрана. По умолчанию опрашивает конечную точку /beacon злоумышленников каждые 15 секунд и получает инструкции, которые могут изменить интервал опроса или остановить агента.
Поддерживаемые команды позволяют операторам получать произвольные файлы, загружать фотографии, составлять инвентаризационную сетку установленных приложений, собирать данные из баз данных Apple Notes, извлекать данные из выбранных контейнеров приложений и сканировать файловую систему. Встроенный модуль также может выполнять произвольный JavaScript в своей среде выполнения.
По оценке iVerify, разработчики P7 продемонстрировали глубокое понимание кода, что отличает их модификации от многих вариантов, созданных с помощью ИИ, которые наблюдала компания.
В свою очередь, ранее, в апреле, Apple устранила основные уязвимости и расширила доступ к средствам защиты от DarkSword в iOS 18.7.7.
• URLScan.io - настоящая "песочница" для безопасного просмотра подозрительных ссылок! Если говорить простыми словами, то тут можно проверить адрес в изолированном Chrome.
• Сервис делает скриншот, записывает исходящие запросы, показывает TLS-сертификаты, заголовки безопасности и технологии. Полезен тем, что можно увидеть, куда "ломится" страница, какие домены резолвит, какие куки ставит и какие скрипты подгружает.
➡ URLScan.io
S.E. ▪️ infosec.work ▪️ VT
Владельцу компании MonsterCloud, специализирующейся на восстановлении инфры после атак вымогателей, предъявили обвинение в мошенничестве.
Как оказалось, он практиковал тайную оплату услуг злоумышленников за дешифраторы, при этом заверяя своих жертв, пострадавших также и от вымогателей, что для восстановления зашифрованных данных используется собственная технология.
50-летний Зохар Пинхаси, также известный как Зак Сильвер и Зак Грин, предстал перед федеральным большим жюри Восточного округа Нью-Йорка 23 сентября и в среду - перед федеральным судом в Бруклине.
Ему предъявлено обвинение по одному пункту в сговоре с целью совершения мошенничества с использованием электронных средств связи и по двум пунктам в мошенничестве с использованием электронных средств связи в связи с предполагаемой схемой расшифровки данных в инцидентах с ransomware, по которой, по словам прокуроров, он работал с июня 2018 года по июнь 2023 года.
Прокуратура США сообщила, что Пинхаси сдался властям в среду, не признал себя виновным и был освобожден под залог в 2 млн. долл.
Согласно обвинительному заключению, он владел и управлял компанией MonsterCloud LLC, расположенной во Флориде, и занимался устранением последствий атак вымогателей, продвигая инструменты и методы расшифровки для восстановления зашифрованных данных без уплаты выкупа киберпреступникам.
По мнению прокуратуры, Пинхаси и ряд его сообщников (Кристофер Кларк и Родни Вильязор) не имели никакой запатентованной технологии расшифровки, и вместо этого они связались с операторами, платили им за ключи расшифровки, а затем использовали эти ключи для восстановления файлов клиентов.
В некоторых контрактах MonsterCloud указывалось, что компания может связываться с киберпреступниками или платить им. Однако в этих контрактах якобы утверждалось, что MonsterCloud будет связываться со злоумышленниками только в том случае, если не сможет расшифровать файлы клиента другими способами.
По утверждению следствия, MonsterCloud взимала с клиентов гораздо больше, чем выплачивала в качестве выкупа.
В частности, в одном из таких случаев, упомянутом в обвинительном заключении, Пинхаси якобы заплатил группе вымогателей около 8200 долл., но от жертвы потребовал примерно 150 000 долл. В другом он заплатил около 236 000 долл. и потребовал от клиента около 380 000 долл.
MonsterCloud использовала расшифрованные образцы файлов в качестве «доказательств восстановления», чтобы убедить жертв в возможности восстановления их данных, хотя эти расшифрованные образцы были получены от самих хакеров в качестве пруфов кражи.
По мнению прокуратуры, Пинхаси с сообщниками провели выплату выкупа на сумму более 8 млн. долл., выставив счета сотням компаний в США и Канаде на сумму более 19 млн. долл. за услуги по восстановлению и ликвидации последствий.
В случае признания виновным Пинхаси грозит до 20 лет тюремного заключения.
Схема вскрылась еще в 2019 году в ходе расследования ProPublica в отношении MonsterCloud. Тогда исследователь Фабиан Восар на пару с другом провернули оперативный эксперимент и заловили мошенников с поличным.
Они создали собственное программное обеспечение-вымогатель и обратились в несколько компаний по восстановлению данных, выдавая себя за жертв. Исследователи предоставили компаниям по восстановлению данных записки с требованием выкупа, содержащие адреса электронной почты.
По словам Восара, на них вскоре начали поступать анонимные сообщения с предложением заплатить выкуп. Дальнейший деанон посредников вывел исследователей на MonsterCloud и Proven Data.
Резюмируя, можно официально назвать формат «ransomware и MonsterCloud» схемой тройного вымогательства, где жертву разводят при любом раскладе.