39806
Руки-ножницы российского инфосека. Для связи - mschniperson@mailfence.com
Исследователи GreyNoise предупреждают о массовой эксплуатации критической уязвимости в PHP, приводящей к RCE на уязвимых серверах.
CVE-2024-4577 (оценка CVSS 9,8) может быть использована на серверах Windows, использующих Apache и PHP-CGI, если они настроены на использование определенных кодовых страниц, для удаленного внедрения аргументов и выполнения произвольного кода.
Поскольку реализация PHP в Windows не учитывает поведение «наилучшего соответствия», которое реализует преобразование символов Unicode в наиболее близкие по значению символы ANSI, злоумышленники могут указать определенные последовательности символов, которые при преобразовании будут неверно интерпретированы модулем php-cgi как параметры PHP.
Уязвимость была публично раскрыта в июне 2024 года, а первые попытки ее эксплуатации, приписываемые вымогателям, были зафиксированы всего два дня спустя.
На прошлой неделе исследователи Cisco предупредили, что с января 2025 года уязвимость использовалась в вредоносной кампании, нацеленной на японские организации в сфере образования, развлечений, электронной коммерции, технологий и телекоммуникаций.
В рамках атак злоумышленники задействуют инструменты для получения системных привилегий, меняют ключи реестра и добавляют запланированные задачи для обеспечения устойчивости, а также создают вредоносные службы с использованием плагинов Cobalt Strike TaoWu.
В свою очередь, GreyNoise констатирует, что эксплуатация CVE-2024-4577 не ограничивается Японией.
Фактически, заметные всплески активности наблюдались в США, Великобритании, Сингапуре, Индонезии, Тайване, Гонконге, Индии, Испании и Малайзии.
Посредством своей сети ханипотов GOG исследователи только в январе 2025 года обнаружили 1089 уникальных IP-адресов, пытающихся эксплуатировать CVE-2024-4577, при том, что на текущий момент доступно 79 общедоступных эксплойтов, нацеленных на эту уязвимость.
За последний месяц более 43% IP-адресов, использованных в атаках на CVE-2024-4577, располагались в Германии и Китая, а GreyNoise в феврале наблюдала рост эксплуатации систем по всему миру, что указывает на автоматизацию сканирования на предмет уязвимых целей.
CVE-2024-4577 влияет на все версии PHP на Windows и была устранена в версиях PHP 8.1.29, 8.2.20 и 8.3.8.
Пользователям рекомендуется обновить свои установки как можно скорее.
Исследователи Palo Alto Networks поделились подробностями о пяти уязвимостях высокой степени серьезности, затрагивающих продукты Iconics и Mitsubishi Electric для диспетчерского управления и сбора данных (SCADA).
Среди затронутых решений - Genesis64 и MC Works64. Те же уязвимости также влияют на Iconics и Mitsubishi Electric, поскольку первый является частью второго.
К найденным уязвимостям SCADA относятся: перехват DLL (CVE-2024-1182), неверные разрешения по умолчанию (CVE-2024-7587), неконтролируемый элемент пути поиска (CVE-2024-8299 и CVE-2024-9852) и мертвый код (CVE-2024-8300).
Эксплуатация всех этих уязвимостей требует аутентификации, но они позволяют злоумышленникам, уже получившим доступ к системам целевой организации, выполнить произвольный код, повысить привилегии и манипулировать критически важными файлами.
В реальной атаке, направленной на промышленные системы, злоумышленник может воспользоваться уязвимостями SCADA, чтобы вызвать сбои в работе системы, а в некоторых случаях - получить полный контроль над ней.
В совокупности эти уязвимости представляют серьезный риск для конфиденциальности, целостности и доступности систем.
В компании Palo Alto отметили, что уязвимости могут представлять ценность для злоумышленников, учитывая, что продукция Iconics и Mitsubishi Electric установлена сотни тысяч раз по всему миру, в том числе в госсекторе, оборонке, водоснабжении, производстве и энергетике.
Уязвимости были обнаружены компанией в начале 2024 года в Iconics Suite и Mitsubishi Electric MC Works версий 10.97.2 и 10.97.3 для Windows. Исправления и смягчения были выпущены в прошлом году.
Исследователи Positive Technologies сообщают об обнаружении нового злоумышленника Desert Dexter, который с сентября 2024 года атакует пользователей Ближнего Востока и Северной Африки с использованием модифицированной версии AsyncRAT.
Похожую кампанию в 2019 году изучали исследователи из Check Point, но в текущей наблюдается изменение некоторых техник в цепочке атак.
Активность, приписываемая Desert Dexter, была обнаружена в феврале 2025 года.
По оценкам Positive Technologies, жертвами кампании стали около 900 пользователей, что указывает на ее широкомасштабный характер.
Большинство из них находятся в Ливии, Саудовской Аравии, Египте, Турции, Объединенных Арабских Эмиратах, Катаре и Тунисе.
По большей части это рядовые пользователи, в том числе сотрудники предприятия в сфере добычи нефти, строительства, информационных технологий и сельского хозяйства.
Для распространения вредоносного ПО злоумышленники создают фейковые новостные группы на Facebook (мимикрирующие под Libya Press, Sky News, Almasar TV, The Libya Observer, The Times Of Israel и др), публикуют посты с рекламой и ссылками на файлообменник (Files.fm) или Telegram-канал.
По размещаемым ссылкам располагается ВПО AsyncRAT с модификациями, которые реализуют автономный кейлоггер, поиск 16 различных расширений, в том числе для двухфакторной аутентификации, и приложений для криптокошельков, а также взаимодействие с Telegram-ботом.
В конфигурации AsyncRAT используются DDNS-домены, IP-адреса которых принадлежат VPN-сервисам.
Цепочка атаки - многоступенчатая и начинается с архива RAR, который включает в себя либо пакетный скрипт, либо файл JavaScript, запрограммированный на запуск скрипта PowerShell, который отвечает за выполнение второго этапа атаки.
В частности, завершает процессы, связанные с различными службами .NET, которые могут помешать запуску вредоносного ПО, удаляет файлы с расширениями BAT, PS1 и VBS из папок C:\ProgramData\WindowsHost и C:\Users\Public и создает новый файл VBS в C:\ProgramData\WindowsHost, а также файлы BAT и PS1 в C:\Users\Public.
Затем скрипт устанавливает постоянство в системе, собирает и передает системную информацию в Telegram-бот, делает снимок экрана, и в конечном итоге запускает полезную нагрузку AsyncRAT, внедряя ее в исполняемый файл aspnet_compiler.exe.
Анализ сообщений, направленных в Telegram-бот, позволил выявить скрины рабочего стола самого злоумышленника под названием DEXTERMSI, а также ссылку на канал в Telegram под названием Dexterlyly (был создан 5 октября 2024 года).
Наличие в названии канала подстроки ly может свидетельствовать о ливийском происхождении автора - это подтверждается геолокацией в данных, отправляемых ВПО, и арабскими комментариями в PowerShell-скрипте.
Исследователи отмечают, что инструменты, используемые Desert Dexter, не отличаются особой сложностью, однако сочетание рекламы Facebook с легитимными сервисами и геополитическим таргетом привело к множественным заражениям.
Группа публикует в своих постах сообщения о якобы слитой конфиденциальной информации, что делает цепочку атаки универсальной для заражения устройств как обычных пользователей, так и высокопоставленных целей.
Технические подробности и IoC - в отчете.
Исследователи из Лаборатории Касперского раскрывают новую массовую вредоносную кампанию, нацеленную на пользователей YouTube с использованием майнера SilentCryptoMiner под видом инструментов Windows Packet Divert (WPD).
Авторы контента на YouTube, ориентированного на пользователей WPD, достаточно часто публикуют обучающие и рекламные материалы в отношении различных инструментов WPD, позволяющих обходить ограничения на веб-сайты и онлайн-сервисы.
Выдавая себя за владельцев указаных WPD киберпреступники рассылают поддельные заявления о нарушении авторских прав, заставляя получателей продвигать вредоносное ПО и майнеры крипты в своих роликах.
Угрожая страйками и блокировкой злоумышленники предлагают владельцам каналов компромиссное решение, предоставляя актуальные ссылки для загрузки, которые рекомендуется разместить в ролике взамен предыдущей.
В других случаях злоумышленники связываются с создателем напрямую, выдавая себя за разработчиков инструмента и утверждая, что у оригинального инструмента теперь новая версия или новая ссылка для загрузки, и просят создателя изменить ее в своем видео.
Опасаясь утратить свои каналы, авторы идут навстречу злоумышленникам и добавляют в свои видео предлагаемые ссылки на репозитории GitHub, где якобы размещены упомянутые WPD.
Однако это троянизированные версии, которые включают загрузчик криптомайнера.
Исследователи ЛК отмечают, что подобная реклама WPD была замечена на YouTube в видеоролике, который собрал более 400 000 просмотров, а вредоносная ссылка была загружена 40 000 раз.
Кроме того, ТГ-канал с 340 тыс. подписчиками также продвигал вредоносное ПО под тем же соусом.
По данным телеметрии ЛК, вредоносная кампания затронула более 2000 жертв в России, но общее число может быть гораздо выше.
Вредоносный архив, загруженный из репозиториев GitHub, содержит загрузчик вредоносного ПО на основе Python, который запускается с помощью PowerShell через измененный скрипт запуска (general.bat).
Если антивирус жертвы завершает этот процесс, стартовый скрипт выдает сообщение об ошибке «файл не найден», предлагая пользователю отключить антивирус и повторно загрузить файл.
Исполняемый файл извлекает загрузчик второго этапа только для российских IP-адресов и запускает его на устройстве.
Полезная нагрузка второго этапа представляет собой еще один исполняемый файл, размер которого был увеличен до 690 МБ для уклонения от анализа антивирусом, при этом он также включает в себя проверки песочницы и виртуальных машин.
Загрузчик вредоносного ПО отключает Microsoft Defender, добавляя исключение, и создает службу Windows с именем DrvSvc для сохранения между перезагрузками.
В конце концов он загружает финальную полезную нагрузку, SilentCryptoMiner, модифицированную версию XMRig, способную добывать несколько криптовалют, включая ETH, ETC, XMR и RTM.
Майнер загружает удаленные конфигурации из Pastebin каждые 100 минут, чтобы их можно было обновлять динамически.
Для обхода защиты он загружается в системный процесс типа dwm.exe с помощью подмены процессов и приостанавливает майнинговую активность, когда пользователь запускает инструменты мониторинга, такие как Process Explorer и Task Manager.
Обнаруженная ЛК, в первую очередь, нацелена на российских пользователей, но может быть реализована и в более серьезном масштабе, распространяя, в том числе стилеры или ransomware.
Продолжаем делиться наиболее трендовыми уязвимостями и связанными с ними угрозами:
1. Google выкатила технические подробности об EntrySign, уязвимости проверки подписи микрокода AMD Zen (CVE-2024-56161), которая позволяет злоумышленникам устанавливать вредоносную прошивку.
Компания также выпустила Zentool, инструмент для джейлбрейка процессоров AMD.
2. Исследователи Assetnote обнаружили уязвимость десериализации в Sitecore CMS, которая может привести к атакам удаленного выполнения кода - CVE-2025-27218.
3. Разработчики Jenkins выпустили обновление безопасности, исправляющее четыре уязвимости в ядре платформы.
4. Elastic выпустила обновление безопасности для Kibana. Обновление устраняет уязвимость, которая приводит к выполнению произвольного кода через специально созданную загрузку файла и специально созданные HTTP-запросы.
5. Группа ученых представила подробности о новом типе электронной атаки на инверторы мощности, установленные на фотоэлектрических станциях.
Атака, получившая название ReThink способна нанести физический ущерб инверторам и нейтрализовать возможности фотоэлектрических систем.
6. Исследователи SEC Consult раскрыли подробности в отношении «Спящей красавицы», которая позволяет приостановить работу датчика CrowdStrike Falcon.
SEC Consult сообщила об этой проблеме поставщику после скоординированного процесса обнаружения уязвимостей в конце 2023 года, но поставщик закрыл проблему без исправления, ответив, что это всего лишь «пробел в обнаружении».
Хотя уязвимость все же была исправлена в 2025 году, и несмотря на замалчивание со стороны поставщика SEC Consult представила подробности проблемы публично.
7. Исследователи SquareX разработали полиморфное расширение Chrome, которое способно имитировать любое другое локально установленное расширение.
Такие расширения создают точную копию значка цели, всплывающего окна HTML, рабочих процессов и даже временно отключают легальное расширение, что заставляя жертв поверить в то, что они предоставляют учетные данные для настоящего расширения со всеми вытекающими.
📄 Security Cheat Sheets.
• Этот репозиторий включает в себя большую коллекцию полезных шпаргалок и гайдов, которые автор использовал при получении различных ИБ-сертификатов. Однозначно в закладки для последующего ознакомления и изучения:
• Cheat Sheets:
➡Windows Commands Cheat Sheet;
➡Linux Commands Cheat Sheet;
➡Parsing Command Output (Linux terminal and Windows PowerShell).
➡Services Testing;
➡Red Team Manual.
➡Zero-Point RTO I (Cobalt Strike);
➡Zero-Point RTO II (C2 Infrastructure & Defence Evasion);
➡Defence Evasion PowerPoint.
• Exam Guides:
➡OSCP: redefiningreality/your-bs-less-guide-to-acing-oscp-4eccaf497410">Your BS-less Guide to Acing OSCP;
➡CRTO: redefiningreality/your-to-the-point-guide-on-pwning-zero-point-rto-303c67b4d621">Your To the Point Guide on Pwning Zero-Point RTO;
➡CRTL: Cobalt Strike repo.
S.E. ▪️ infosec.work ▪️ VT
Apple разослала новую волну уведомлений об угрозах пользователям из 117 стран, которые, по их данным, подверглись целевым атакам с использованием spyware.
В прошлом году компания дважды делала аналогичные рассылки, рассылая предупреждения пользователям более чем 150 стран.
Посильную помощь в этом деле компании оказывают эксперты Amnesty International, которые изрядно потрепали поставщиков spyware за последние два года.
Традиционно в сообщениях об угрозах spyware не раскрываются личности злоумышленников, а также страны, в которых пользователи получили уведомления.
Пепел Клааса Пегасуса стучит в наши сердца!
Тем временем в даркнете анонсировали утечку разведданных в объеме 11 ГБ, якобы принадлежащих Главному разведывательному управлению Саудовской Аравии (GIP).
Предполагаемая утечка включает конфиденциальные файлы на сотрудников, включая телефонные номера, секретные материалы из систем и переписка по линии взаимодействия спецслужб.
Тревожные выводы приводят аналитики специализирующейся на киберфизической безопасности компании TXOne Networks по результатам опроса 150 руководителей высшего звена в Северной Америке, Европе, на Ближнем Востоке и в Азии.
Во многих организациях по-прежнему считают, что исправление ошибок в системах OT может привести к простою оборудования и сбоям в работе, и поэтому не проводят регулярное исправление ошибок.
Согласно ежегодному отчету TXOne по кибербезопасности OT/ICS за 2024 год, 85% организаций не реализуют регулярные исправления, а большинство устанавливают их ежеквартально или еще реже, что оставляет уязвимыми для атак их системы в течение длительного времени.
И это при том, что в прошлом году подавляющее большинство компаний столкнулось с инцидентами кибербезопасности, затронувшими их ОТ-среды, а 37% инцидентов безопасности ОТ были связаны с эксплуатацией уязвимостей ПО.
На вопрос об основных проблемах регулярного исправления OT наиболее часто упоминаемой причиной была нехватка персонала или опыта (48%), за которой следовали опасения по поводу сбоев в работе (47%) и отсутствие поддержки поставщика или тестирования исправлений (43%).
Фактически, 41% организаций откладывают исправление до тех пор, пока не станет доступна поддержка поставщика.
Почти 60% респондентов применяют исправления во время плановых простоев или периодов технического обслуживания, чтобы снижает риски сбоев в работе, однако TXOne отметила, что это может быть трудновыполнимо в организациях с высокими требованиями к эффективности.
Многие респонденты заявили, что тестируют исправления в контролируемой среде перед их внедрением в реальном времени (55%), а некоторые полагаются на поэтапное внедрение исправлений (44%).
Приоритет исправлений в основном определяется критичностью затронутой системы (в 61% случаев), затем следует доступность исправлений для конкретных активов (52%), а также подверженность риску и критичность уязвимостей (49%).
Уязвимости приоритизируются в 55% случаев на основе их оценки CVSS (которая может быть обманчивой для ICS) и включения в базы данных известных эксплуатируемых уязвимостей (KEV).
Многие организации также полагаются на инструменты Exploit Prediction Scoring System (49%) и инструменты оценки времени до эксплуатирования (47%).
Чуть более половины организаций полагаются на расширенный мониторинг и обнаружение вторжений, когда исправления недоступны, а 46% используют компенсирующие меры, такие как сегментация сети и усиление защиты системы, для смягчения последствий уязвимостей.
Для купирования этих проблемы TXOne рекомендует использовать более гибкие стратегии управления исправлениями, интегрировать инструменты автоматизации и использовать виртуальное исправление.
Дополнительные подробности исследования - в отчете.
Связанная с эксплуатацией трех исправленных на днях 0-day VMware кампания теперь отслеживается как ESXicape и затрагивает десятки тысяч экземпляров, о чем свидетельствуют результаты актуального сканирования.
4 марта Broadcom предупредила клиентов ESXi, Workstation и Fusion о выпуске срочных исправлений для CVE-2025-22224, CVE-2025-22225 и CVE-2025-22226, эксплуатация которых может привести к выполнению произвольного кода, выходу из песочницы и утечкам памяти.
Обнаружение ошибок приписывается Microsoft Threat Intelligence Center (вероятно, Microsoft также видела атаки с использованием 0-day), но ни Broadcom, ни Microsoft не поделились какой-либо информацией о замеченной вредоносной активности.
Исследователи Netlas сообщают об обнаружении более 7000 экземпляров VMware ESXi, подключенных к Интернету, которые, по-видимому, подвержены уязвимостям.
В свою очередь, Shadowserver Foundation выявила более 41 000 уязвимых экземпляров ESXi, большинство из которых находятся в Китае, Франции, США, Германии, Иране, Бразилии и Южной Корее (в РФ - более 700).
Их сканирования были нацелены на CVE-2025-22224, но детектированные экземпляры, вероятно, затронуты и другими уязвимостями, поскольку все они затрагивают одни и те же версии ПО.
Технические подробности и PoC пока недоступны, что, вероятно, на текущий момент сдерживает начало широкомасштабной эксплуатации.
Исследователь Кевин Бомонт окрестил уязвимости как ESXicape, поясняя, что в случае доступа к ESX, злоумышленник может получить доступ ко всему на сервере ESX, включая данные виртуальной машины и, что особенно важно, конфигурацию ESX и смонтированное хранилище, а в помощью них - перемещаться по среде VMware.
Так, если организации в используется vMotion, чтобы виртуальные машины могли автоматически перемещаться между хостами ESX, балансируя нагрузку и обеспечивая обслуживание, злоумышленник получает прямой доступ к хранилищу ВМ как на этом хосте, так и за его пределами по замыслу — они, по сути, свободны на бэкэнде.
По словам исследователя, злоумышленники могут использовать уязвимости, чтобы обойти решения безопасности и получить доступ к ценным активам, таким как базы данных контроллеров домена Active Directory, не вызывая оповещений.
А это достаточно часто наблюдается в инцидентах с ransomware, когда пользователи напрямую эксплуатируют сервер ESX или vCenter через сеть управления VMware, используя неисправленные уязвимости. Как только хакеры достигают ESX, они напрямую проникают в хранилище по всему кластеру.
При этом возможность доступа к гипервизору сервера ESX напрямую из виртуальной машины значительно повышает риск. Не нужно искать сведения о сервере ESX или подключаться к изолированной сети.
Бомонт отметил, что недавно в киберподполье был замечен эксплойт для побега из виртуальной машины ESXi по цене 150 000 долл., но неясно, рабочий ли он и связан ли с атаками 0-day, раскрытыми на этой неделе.
Будем следить.
Тем временем Cisco сообщает об устранении уязвимости Webex for BroadWorks, которая позволяет неавторизованным злоумышленникам получить удаленный доступ к учетным данным.
Несмотря на то, что этой проблеме еще не присвоен идентификатор CVE, в своем бюллетене по безопасности Cisco отмечает, что уже внесла изменения в конфигурацию для ее устранения и рекомендовала клиентам перезапустить приложение Cisco Webex для получения исправлений.
Уязвимость в Cisco Webex для BroadWorks версии 45.2 может позволить аутентифицированному пользователю получить доступ к учетным данным в виде простого текста в журналах клиента и сервера, если для связи по протоколу SIP настроен незащищенный транспорт.
Уязвимость обусловлена конфиденциальной информацией, раскрытой в заголовках SIP, и затрагивает только экземпляры Cisco BroadWorks (локально) и Cisco Webex для BroadWorks (гибридное облако/локально), работающие в средах Windows.
Компания рекомендует администраторам настроить защищенный транспорт для связи по протоколу SIP, чтобы шифровать передаваемые данные в качестве временного решения, пока изменение конфигурации не достигнет их среды. Кроме того, проводить ротацию учетных данных.
Cisco PSIRT при этом заверяет об отсутствии доказательств вредоносного использования или публичных заявлений, содержащих дополнительную информацию об этой уязвимости.
Broadcom выкатилась со срочным бюллетенем и предупреждает клиентов о трех 0-day VMware, которые были выявлены в ходе реальных атак, о чем сообщили исследователи Microsoft.
CVE-2025-22224, CVE-2025-22225 и CVE-2025-22226 (CVSS 9.3, 8.2 и 7.1) затрагивают VMware ESX, включая VMware ESXi, vSphere, Workstation, Fusion, Cloud Foundation и Telco Cloud Platform, и в случае объединения в цепочку могут обеспечить выход из «песочницы» виртуальной машины.
Злоумышленник, которому удалось скомпрометировать гостевую ОС виртуальной машины и получить привилегированный доступ (администратор или root), может перейти в сам гипервизор.
По данным Broadcom, эксплуатация этих проблем уже активно реализуется в дикой природе.
CVE-2025-22224 представляет собой критическую уязвимость переполнения кучи VCMI, которая позволяет локальным злоумышленникам с правами администратора на целевой виртуальной машине выполнять код в качестве процесса VMX, запущенного на хосте.
Другая, CVE-2025-22225 в ESXi, позволяет процессу VMX инициировать произвольную запись ядра, что приводит к выходу из песочницы.
И, наконец, CVE-2025-22226 описывается как ошибка раскрытия информации HGFS, которая позволяет злоумышленникам с правами администратора вызывать утечку памяти из процесса VMX.
Microsoft пока не особо распространяется по поводу своих наблюдений по части эксплуатации, однако, как известно, уязвимости в VMWare фигурировали в «меню» различных злоумышленников, включая и вымогателей, и APT, и др.
Так что будем следить и информировать.
Google выпустила исправления для 43 уязвимостей в обновлении безопасности для Android за март 2025 года, включая две 0-day, которые использовались в целевых атаках.
Одна из них, уязвимость высокой степени серьезности, которая отслеживается как CVE-2024-50302 и приводит к раскрытию информации в драйвере ядра Linux, задействовалась спецслужбами Сербии для разблокировки изъятых в ходе обыска устройств.
Уязвимость была использована в составе цепочки эксплойтов для Android, разработанной израильской компанией в сфере цифровой криминалистики Cellebrite.
Цепочка эксплойтов, которая также включает 0-day (CVE-2024-53104), исправленную в прошлом месяце, была обнаружена Amnesty International в середине 2024 года в результате анализа логов, найденных на устройстве, разблокированном в Сербии.
Google отметила, что была осведомлена в отношении этих уязвимостей и рисками их эксплуатации еще до отчетов и оперативно работала над исправлениями для Android, которые были предоставлены OEM-партнерам в консультативном сообщении от 18 января.
Вторая исправленная 0-day (CVE-2024-43093) представляет собой EoP-уязвимость в Android Framework, которая позволяет локальным злоумышленникам получать доступ к конфиденциальным каталогам из-за неправильной нормализации Unicode, эксплуатируя обход фильтра пути к файлу без дополнительных привилегий выполнения или взаимодействия с пользователем.
Обновления безопасности Android также устраняют 11 уязвимостей, которые могут позволить злоумышленникам удаленно выполнять код на уязвимых устройствах.
Google традиционно выпустила два набора: уровни исправлений безопасности 2025-03-01 и 2025-03-01.
Последний содержит все исправления из первой партии, а также для закрытых сторонних компонентов и подкомпонентов ядра, которые могут применяться не ко всем устройствам Android.
Второй день подряд поправляем ТГ-каналы по поводу хакерских группировок - вчера были государственные (APT), а сегодня речь пойдет про коммерческие.
Один небезызвестный компроматный канал написал (ссылку давать не будем, иноагент таки) про банду вымогателей RansomHub, что, мол, взломали они более 600 жертв за прошлый год.
Данная сентенция в очередной раз демонстрирует, что авторы каналов в Телеграме не совсем понимают как функционирует то или иное явление из области инфосека. И, хотя наша постоянная аудитория прекрасно знает что такое ransomware и с чем его едят, лишний раз подчеркнем особенности рансома и иерархию его исполнителей.
Без учета некоторых вариаций стандартная схема выглядит следующим образом. Головная банда вымогателей aka ransomware gang создает саму вредоносную программу, а также предоставляет услуги по размещению украденной информации на Data Leak Site (DLS), ведению переговоров и получению платежа.
Непосредственно взломом и распространением в сети атакованной организации ransomware занимается оператор - хакер или хакерская группировка, которая сотрудничает с ransomware gang на основании последующего разделения полученного выкупа.
В зависимости от набора услуг и конкретной банды вымогателей процент выкупа, получаемого оператором, может разниться.
При этом никто не запрещает ransomware gang самой осуществлять взломы (кроме законодательства, само собой).
Так что про 600 успешных атак, осуществленных непосредственно RansomHub речи не идет. Это совокупная работа всего пула ее операторов.
Закрывают, кстати, как мы регулярно видим, как раз таки операторов. Задержания и посадки членов банды вымогателей единичны по всему миру.
Ваш инфосек-КО.
Исследователи из Лаборатории Касперского продолжают отслеживать APT SideWinder, активность которой в Южной и Юго-Восточной Азии, на Ближнем Востоке и в Африке ранее описывали в прошлогоднем отчете.
Группа агрессивно расширяла свою деятельность за пределы своих типичных целей (правительственные, военные и дипломатические структуры), заражая логистические компании и морскую инфраструктуру.
Новые замеченные ЛК атаки распространились на Австрию, Бангладеш, Камбоджу, Джибути, Египет, Индонезию, Мозамбик, Мьянму, Непал, Пакистан, Филиппины, Шри-Ланку, ОАЭ и Вьетнаме.
Среди дополнительных целей были выявлены атомные электростанции и инфраструктура ядерной энергетики в Южной Азии и Африке, а также телекоммуникационные, консалтинговые, ИТ-сервисные компании, агентства недвижимости и гостиничный бизнес.
SideWinder также фокусировалась на дипучреждения в Афганистане, Алжире, Болгарии, Китае, Индии, Мальдивах, Руанде, Саудовской Аравии, Турции и Уганде.
Причем таргетирование на Индию имеет важное значение, поскольку ранее предполагалось, что субъект угрозы имеет индийское происхождение.
Описывая APT как высокоразвитого и опасного противника, исследователи отмеячают, что SideWinder постоянно работает над улучшением своих наборов инструментов, опережая обнаружения антивирусным ПО, расширяя стойкость в сетях и сокрытие присутствия в зараженных системах.
Как только их инструменты идентифицированы, они реагируют, генерируя новую и измененную версию вредоносного ПО, часто менее чем за пять часов.
Если происходят поведенческие обнаружения, SideWinder пытается изменить методы, используемые для поддержания стойкости и загрузки компонентов.
Кроме того, они меняют имена и пути своих вредоносных файлов.
Ранее исследователи документировали использование SideWinder модульного набора инструментов постэксплуатации StealerBot для сбора широкого спектра конфиденциальной информации со скомпрометированных хостов.
Последние цепочки атак совпадают с теми, что наблюдались ранее.
Начальным вектором выступали фишинговые письма, которые реализуют доставку вредоносных документов, задействующих известную уязвимость в Microsoft Office (CVE-2017-11882) для запуска вредоносного шелл-кода.
Далее инициируется многоуровневый процесс заражения, который приводит к установке вредоносного ПО, названное Backdoor Loader.
Он действует как загрузчик для окончательного запуска StealerBot.
Backdoor Loader и StealerBot были подробно описаны в прошлогоднем отчете, но злоумышленник распространил многочисленные варианты загрузчика за последние месяцы, тогда как имплант остался неизменным.
Новые варианты вредоносного ПО содержат улучшенную версию кода антианализа и более широко используют сглаживание потока управления для обхода обнаружения.
В ходе расследования исследователи ЛК обнаружили также новую версию компонента Backdoor Loader на C++.
Логика вредоносного ПО та же, что и в вариантах .NET, но версия C++ отличается от имплантов .NET тем, что в ней отсутствуют методы антианализа.
Кроме того, большинство образцов были адаптированы под конкретные цели, поскольку они были настроены на загрузку второго этапа из определенного пути файла, встроенного в код, который также включал имя пользователя.
Несмотря на использование старого эксплойта, не стоит недооценивать этого субъекта угроз.
Фактически SideWinder уже продемонстрировала свою способность компрометировать критически важные активы и высокопоставленные цели, включая военные и правительственные.
Тайваньская Moxa выпустила обновление для исправления критической уязвимости в своих коммутаторах PT, которая позволяет злоумышленнику обойти аутентификацию.
Уязвимость отслеживается как CVE-2024-12297, имеет оценку CVSS v4 9,2 из максимальных 10,0 и обусловлена проблемами в механизме авторизации.
Несмотря на проверку на стороне клиента и внутреннем сервере, злоумышленники могут воспользоваться недостатками в ее реализации для проведения брута и атак с коллизией MD5 для подделки хэшей аутентификации, что потенциально ставит под угрозу безопасность устройства.
Другими словами, успешная эксплуатация этого недостатка может привести к обходу аутентификации и позволить злоумышленнику получить несанкционированный доступ к конфиденциальным конфигурациям или нарушить работу служб.
Ошибка затрагивает следующие версии: PT-508 (версия прошивки 3.8), PT-510 (версия 3.8), PT-7528 (версия 5.0), PT-7728 (версия 3.9), PT-7828 (версия 4.0), PT-G503 (версия 5.3), PT-G510 (версия 6.5), PT-G7728 (версия 6.5) и PT-G7828 (версия 6.5 и более ранняя).
Исправления для уязвимости можно получить, связавшись со службой технической поддержки Moxa.
Поставщик выразил признательность Артему Турышеву из Русатом Автоматизированные системы управления (РАСУ) за сообщение об уязвимости.
Помимо установки последних исправлений компаниям, использующим уязвимые продукты, рекомендуется ограничить доступ к сети с помощью брандмауэров или ACL, обеспечить сегментацию сети, внедрить MFA для доступа к критически важным системам, включить регистрацию событий, а также отслеживать сетевой трафик и поведение устройств на предмет аномалий.
Кроме того, Moxa устранила ту же уязвимость в Ethernet-коммутаторе серии EDS-508A, работающем под управлением версии прошивки 3.11 и более ранних версий, еще в середине января 2025 года.
Критическая уязвимость внедрения команд в IP-камерах Edimax IC-7100 в настоящее время активно задействуется вредоносным ПО ботнета для взлома устройств.
Edimax IC-7100 - это IP-камера для удаленного наблюдения в домах, небольших офисных зданиях, коммерческих помещениях и на промышленных предприятиях.
Активность обнаружили исследователи Akamai, оперативно уведомив CISA, которая, в свою очередь, попыталась связаться с тайваньским поставщиком.
В Edimax особого внимания проблеме не уделили, отметив лишь, что рассматриваемое устройство IC-7100 вышло из эксплуатации и больше получает дальнейших обновлений.
Устройство было выпущено в октябре 2011 года, более не производится и относится к числу устаревших продуктов.
Найденная уязвимость отслеживается как CVE-2025-1316 и представляет собой критическую (CVSS v4.0 9,3) уязвимость внедрения команд ОС, вызванную неправильной нейтрализацией входящих запросов.
Удаленный злоумышленник может воспользоваться этой уязвимостью и получить возможность удаленного выполнения кода, отправив на устройство специально созданные запросы.
В данном случае текущая эксплуатация осуществляется вредоносным ПО ботнета для взлома устройств, которые затем используются для запуска DDoS, проксирования вредоносного трафика или переключения на другие устройства в той же сети.
Учитывая ситуацию и активный статус эксплуатации уязвимости CVE-2025-1316, затронутые устройства следует отключить или заменить на активно поддерживаемые продукты.
CISA рекомендует пользователям минимизировать воздействие Интернета на затронутые устройства, разместить их за брандмауэрами и изолировать от критически важных бизнес-сетей.
В виду того, что Edimax не предоставила более подробной информации, исследователи предполагают, что эксплуатируемая CVE затрагивает более широкий спектр устройств, при этом маловероятно, что исправление вообще будет выпущено.
Но будем посмотреть.
Используемый в более чем 1 млрд. устройств IoT микроконтроллер ESP32 китайского производителя Espressif, обеспечивающий подключение по WiFi и Bluetooth, содержит недокументированные команды, которые могут быть использованы для атак.
Они позволяют подделывать доверенные устройства, осуществлять несанкционированный доступ к данным, переходить на другие устройства в сети и потенциально обеспечить долгосрочное присутствие.
К таким выводам пришли испанские исследователи из Tarlogic Security, представив результаты своего исследования на конференции RootedCON в Мадриде.
Использование такого бэкдора позволяет злоумышленникам фактически навсегда заражать чувствительные устройства, такие как мобильные телефоны, компьютеры, интеллектуальные замки или медицинское оборудование, обходя средства контроля аудита кода.
В своей презентации исследователи Tarlogic пояснили, что им удалось разработать новый драйвер USB Bluetooth на основе C, который является аппаратно-независимым и кроссплатформенным, обеспечивая прямой доступ к оборудованию без использования API-интерфейсов, специфичных для конкретной ОС.
Вооружившись новым инструментом с прямым доступом к трафику Bluetooth, исследователи обнаружили скрытые специфичные для поставщика команды (код операции 0x3F) в прошивке ESP32 Bluetooth, которые позволяют осуществлять низкоуровневый контроль над функциями Bluetooth.
Всего найдено 29 недокументированных команд, которые в совокупности представляют полноценный бэкдор для манипуляции памятью (чтение/запись ОЗУ и флэш-памяти), подмены MAC-адреса (выдача себя за другое устройство) и внедрения пакетов LMP/LLCP.
При этом Espressif официально не задокументировала эти команды, которые либо вовсе должны отсутствовать, либо остались по ошибке.
Тем не менее, проблема теперь отслеживается как CVE-2025-27840.
Среди основных рисков, связанных с использованием этих команд, - вредоносные реализации на уровне OEM и атаки на цепочку поставок.
В зависимости от того, как стеки Bluetooth обрабатывают команды HCI на устройстве, удаленная эксплуатация команд может быть возможна с помощью вредоносной прошивки или мошеннических подключений Bluetooth.
Это особенно актуально, если злоумышленник уже имеет права root, внедрил вредоносное ПО или установил на устройстве вредоносное обновление, открывающее низкоуровневый доступ.
Однако в целом физический доступ к интерфейсу USB или UART устройства был бы гораздо более серьезным и реалистичным сценарием атаки.
Результаты исследования показали практическую возможность полного контроля над чипом ESP32 и сохранения данных в чипе с помощью команд, позволяющих модифицировать оперативную память и флэш-память.
Кроме того, благодаря сохранению уязвимости в чипе, возможно распространение на другие устройства, поскольку ESP32 позволяет выполнять также сложные Bluetooth-атаки.
Несмотря на отсутствии реакции Espressif, некоторые из специалистов считают, что найденные команды являются частью некоего интерфейса тестирования и разработки производства, а не бэкдора.
Дорогие девушки из сферы кибербезопасности! Любимые наши инфосекушки!
Мы вас всех ценим, очень вами дорожим и всех-всех поздравляем с наступающим праздником 8 марта! Желаем вам быть такими же красивыми и умными! А еще - подольше оставаться с нами рядом, а то совсем одичаем!
Ю ар стронг! Всех обнимаем!
Исследователь 0x6rss раскрыл опубликовал подробности в отношении EvilLoader (вместе с PoC) - уязвимости в Telegram для Android, которая может быть использована для запуска вредоносного кода на устройстве пользователя.
Эксплойт позволяет злоумышленникам маскировать вредоносные APK-файлы под видеофайлы, что потенциально приводит к несанкционированной установке вредоносного ПО на устройства пользователей.
EvilLoader манипулирует обработкой видеофайлов в Telegram, позволяя вредоносному приложению автоматически загружаться и выполняться под видом медиаконтента.
Когда пользователь пытается воспроизвести одно из этих специально созданных «видео», Telegram предлагает ему открыть файл во внешнем приложении.
Если пользователь выбирает Cancel, то это будет выглядеть так, как будто видео не может быть воспроизведено правильно. В противном случае замаскированный APK устанавливается на устройство.
Ключевая часть атаки заключается в создании HTML-файла, который Telegram ошибочно интерпретирует как действительный видеофайл.
Уязвимость аналогична CVE-2024-7014, также нацеленной на Telegram для Android и получившей название EvilVideo, которая была раскрыта в июле 2024 года.
EvilVideo, как EvilLoader, позволяла злоумышленникам манипулировать видеофайлами для доставки вредоносных APK.
Разработчиков мессенджеры уведомили об уязвимости 4 марта 2025 года.
Тем не менее, ошибка остается неисправленной и продолжает работать в последней версии Telegram для Android 11.7.4.
Более того, полезная нагрузка доступна для продажи в киберподполье с 15 января 2025 года, что делает ее доступной для хакеров по всему миру. Теперь его называют EvilLoader вместо его первоначального названия EvilVideo.
Исследователи S-RM обнаружили необычный метод атаки вымогателей Akira в ходе недавнего реагирования на инцидент у одного из своих клиентов.
Операторы Akira задействовали незащищенную веб-камеру для запуска атак шифрования на сеть жертвы, эффективно обходя EDR.
При этом хакеры переключилисль на нее после попыток развернуть шифровальщики в Windows, где были заблокированы EDR.
Первоначально злоумышленники получили доступ к корпоративной сети через уязвимое решение удаленного доступа в целевой компании, вероятно, воспользовавшись украденными учетными данными или с помощью брута.
Получив доступ, они развернули AnyDesk и смогли выкрасть корпоративные данные у компании для их дальнейшего использования в рамках двойного вымогательства.
Затем операторы ransomware использовали RDP для горизонтального перемещения и расширения присутствия в системах, прежде чем развернуть вредоносную ПО-вымогатель.
В конце концов злоумышленники загрузили защищенный паролем ZIP-файл (win.zip), содержащий вредоносную ПО (win.exe), но инструмент EDR жертвы обнаружил его и отправил в карантин, по сути заблокировав атаку.
После этого Akira исследовали альтернативные пути атаки, просканировав сеть на предмет других устройств, которые можно было бы использовать для шифрования файлов. Нашлась веб-камера и сканер отпечатков пальцев.
Исследователи S-RM полагают, что злоумышленники выбрали именно веб-камеру, поскольку она была уязвима для удаленного доступа к оболочке и несанкционированного просмотра видеопотока.
Более того, устройство работала на ОС на базе Linux, совместимой с Linux-шифровальщиком от Akira, при этом не имея агента EDR, что делало его оптимальным для удаленного шифрования файлов на сетевых ресурсах.
Злоумышленники использовали ОС Linux веб-камеры для монтирования сетевых ресурсов Windows SMB других устройств компании, после чего запустили шифратор Linux на веб-камере и задействовали его для шифрования сетевых ресурсов по SMB, эффективно обходя ПО EDR в сети.
Поскольку устройство не отслеживалось, служба безопасности пострадавшей организации не знала об увеличении вредоносного трафика SMB с камеры на пораженный сервер, что в противном случае могло бы им очень помочь.
Но не помогло - Akira зашифровала файлы в сети жертвы.
Этот инцидент показывает, что защита EDR не является всеобъемлющим решением с точки зрения обеспечения безопасности, и полагаться велело на нее для защиты от атак не следует.
Кроме того, устройства Интернета вещей не так тщательно контролируются и обслуживаются, как компьютеры, но тем не менее несут значительные риски.
В связи с этим такие устройства следует изолировать от более уязвимых сетей, включая производственные серверы и рабочие станции.
Не менее важны регулярные обновления их прошивок для исправления известных уязвимостей, которые могут быть использованы в атаках. В описанной ситуации - этот процесс упустили.
🇪🇸❗️ Суд в Испании расширяет расследование в отношении 🇮🇱NSO Group по делу о кибершпионаже с использованием Pegasus
Ранее каталонская правозащитная организация Irídia подала иск против трёх директоров израильской компании NSO Group, создателей шпионского ПО Pegasus, за их предполагаемое участие в незаконной слежке за адвокатом Андреу Ван ден Эйнде.
Ван ден Эйнде обратился в суд Барселоны после того, как в мае 2020 года обнаружил, что его мобильный телефон и компьютер были взломаны в период подготовки дела по защите политзаключённых из ERC. По данным Irídia, шпионаж якобы мог проводиться в интересах 🎩Национального центра разведки Испании (CNI).
По данным расследования CatalanGate, Pegasus использовался для слежки за 65 каталонскими политиками и активистами, включая бывшего президента Каталонии Пере Арагонеса. Однако CNI признало лишь 18 случаев.
Адвокат Андреу Ван ден Эйнде отметил, что экс-директор CNI фигурирует в нескольких судебных расследованиях, однако испанские власти продолжают использовать законы о государственной тайне, чтобы не предоставлять информацию.
Суд в Барселоне несколько дней назад вынес положительное решение в пользу правозащитной организации Irídia и постановил расследовать причастность NSO Group по делу, связанному с кибершпионажем.
В официальном пресс-релизе организации подчеркивается, что данный случай «устанавливает важный прецедент в борьбе с кибершпионажем в Европе».
Обвиняемыми стали Шалев Хулио, Омри Лави и Юваль Сомех. Суд намерен продолжить расследование с вызовом обвиняемых на допрос и запросить дополнительные документы по делу.
💠Омри Лави – сооснователь NSO Group, входил в совет директоров OSY Technologies (2019-2023).
💠Шалев Хулио – бывший CEO NSO Group (до 2022 года), член совета директоров Q Cyber Technologies (2019-2022) и OSY Technologies (до 2023).
💠Юваль Сомех – управляющий директор Q Cyber Technologies (2016-2021), член совета OSY Technologies (2019-2020).
Суд подверг критике попытки прокуратуры заблокировать расширение расследования. Прокурор выступал против привлечения новых фигурантов, несмотря на настоятельные рекомендации Комитета PEGA и ПАСЕ (Парламентской ассамблеи Совета Европы) о необходимости расследования случаев использования Pegasus.
Irídia требует расширить Европейский ордер на расследование (EIO), чтобы власти 🇱🇺Люксембурга содействовали расследованию и помогли установить все обстоятельства, связанные с деятельностью NSO в Европе.
📲 ПАСЕ провело слушание по этому делу. Обсуждались вопросы, связанные с незаконным использованием кибершпионского ПО против журналистов, политиков, правозащитников и юристов. ПАСЕ намерена продолжить давление на правительства стран, использующих шпионское ПО в политических целях.
✋ @Russian_OSINT
Исследователи из Лаборатории Касперского расчехлили массовую кампанию, нацеленную на пользователей DeepSeek с использованием различных сайтов, мимикрирующих под официальный ресурс чат-бота.
Исследуя внутренние данные об угрозах, в ЛК обнаружили несколько различных групп сайтов, копирующих официальный сайт DeepSeek и распространяющих вредоносный код под видом клиента для популярного сервиса.
Первая группа сайтов находилась на доменах, в названиях которых использовались версии моделей DeepSeek (V3 и R1): r1-deepseek[.]net и v3-deepseek[.]com.
На поддельном сайте опция начать чат отсутствует - есть только вариант скачать приложение. При этом у настоящего DeepSeek нет официального клиента для Windows.
При нажатии кнопки Get DeepSeek App на устройство пользователя скачивается небольшой архив deep-seek-installation.zip с файлом DeepSeek Installation.lnk, содержащим URL-адрес. Цепочка в конечном итоге приводит к заражению стилером.
Это написанный на Python скрипт-стилер, ранее не встречавшийся в атаках.
Посредством него злоумышленники получают множество данных с компьютера пользователя: cookie и сессии из браузеров, логины и пароли от учетных записей различных сервисов, файлы с заданными расширениями, информацию о криптокошельках и др.
Собрав всю необходимую информацию, скрипт формирует архив и затем отправляет его операторам стилера через Telegram-бот либо загружает полученный архив на файлообменник Gofile.
В другом случае были обнаружены мимикрирующие под страницу DeepSeek сайты на следующих доменах: deepseek-pc-ai[.]com и deepseek-ai-soft[.]com.
Что примечательно, поддельный сайт использует геофенсинг и при запросах с определенных IP-адресов выдает только заглушу.
Пользователю предлагается скачать клиент или запустить чат-бота, однако при любом из этих действий с поддельной страницы скачивается вредоносный инсталлятор, созданный при помощи Inno Setup.
После запуска инсталлятор обращается к вредоносным URL-адресам для получения команд, одна из которых запускает powershell.exe со скриптом, закодированным по алгоритму Base64, в качестве аргумента.
Он, в свою очередь, загружает по закодированному URL-адресу другой PowerShell-скрипт, который приводит встроенную службу SSH в активное состояние, а также изменяет ее конфигурацию, используя ключи злоумышленника, что дает возможность подключиться к компьютеру жертвы.
Эта группа интересна тем, что исследователям удалось найти основной вектор распространения ссылки на опасный домен — посты в X.
Некоторые были исполнены от якобы австралийской компании. При этом замеченная публикация набрала 1,2 млн. просмотров и более сотни репостов.
Третья группа сайтов, с которых сразу скачивались вредоносные исполняемые файлы: app.delpaseek[.]com, app.deapseek[.]com и dpsk.dghjwd[.]cn.
Механика этих атак нацелена на технически более продвинутых пользователей - загружаемая вредоносная нагрузка маскируется под Ollama, фреймворк для запуска больших языковых моделей, таких как DeepSeek, на локальных мощностях.
Пользователю оставалось лишь запустить «клиент DeepSeek» на своем устройстве, и вредоносная программа сделает свое дело — создаст туннель для передачи трафика по протоколу KCP с заданными параметрами.
Технические подробности и IoC - отчете.
Исследователи Cisco Talos в новом отчете раскрывают новые кампании китайской APT Lotus Blossom, нацеленные на на правительственный, производственный, телеком и медиа секторы на Филиппинах, во Вьетнаме, Гонконге и Тайване с использованием обновленных версий уже известного бэкдора Sagerunex.
Lotus Blossom также известна с 2009 года как Billbug, Bronze Elgin, Lotus Panda, Spring Dragon и Thrip и задействует Sagerunex как минимум с 2016 года.
Впервые была профилирована компанией Symantec в июне 2018 года.
В конце 2022 года исследователи Symantec также подробно анализировали атаки APT на центр цифровой сертификации, а также на правительственные и оборонные учреждения в странах Азии, которые включали использование бэкдоров, таких как Hannotog и Sagerunex.
Последний считается обновленным вариантом ранее известного вредоносного ПО Billbug (Evora). Фактически это внедренный в DLL RAT, который использует различные сетевые стратегии для сохранения контроля.
Точный начальный вектор доступа в последних вторжениях неизвестен, однако Lotus Blossom обычно практикует проведение целевого фишинга и атак типа watering hole.
Наблюдавшаяся активность примечательна использованием двух новых вариантов вредоносного ПО, которые задействуют облачные сервисы, такие как Dropbox, Twitter и Zimbra для C2, заменяя оригинальный метод VPS.
Бэкдор предназначен для сбора информации о целевом хосте, ее шифрования и передачи на удаленный сервер злоумышленника. Версии Sagerunex для Dropbox и X использовались в период с 2018 по 2022 год, в то время как версия Zimbra существует с 2019 года.
Последняя предназначена не только для сбора информации о жертве и отправки ее на почтовый ящик Zimbra, но и для того, чтобы позволить злоумышленнику использовать содержимое почты Zimbra для отправления команд и управления машиной жертвы.
Если в почтовом ящике есть легитимный командный контент, бэкдор грузит его и извлекает команду, в противном случае удаляет контент и ожидает ее поступления.
Результаты выполнения команды впоследствии упаковываются в виде архива RAR, закрепляются к черновику электронного письма в «черновиках» и «корзине» почтового ящика.
Каждый вариант реализует различные проверки, такие как задержки на основе времени и системные проверки, для поддержания устойчивости.
Загрузчик вредоносного ПО внедряет бэкдор в память и использует шифрование для сокрытия данных. Кроме того, использование VMProtect скрывает код вредоносного ПО, чтобы избежать обнаружения антивирусом.
В атаках также используются другие инструменты, включая стилер для сбора учетных данных браузера Chrome, прокси-утилита с открытым исходным кодом Venom, программа для настройки привилегий, специальное ПО для сжатия и шифрования захваченных данных и модифицированный инструмент ретрансляции mtrain V1.01.
Кроме того, было замечено, что злоумышленник запускает такие команды, как net, tasklist, ipconfig и netstat для разведки целевой среды, а также осуществляет проверки для определения доступа в Интернет.
Причем если доступ в Интернет ограничен, у злоумышленника две стратегии: использовать настройки прокси-сервера цели для установления соединения или полагаться на Venom для подключения изолированных машин к системам, имеющим доступ в Интернет.
В совокупности найденные артефакты подчеркивают долгосрочную устойчивость и адаптивность тактики Lotus Blossom. IoC - в отчете.
Группа ученых разработала способ удаленного превращения любого устройства с поддержкой Bluetooth в трекер AirTag.
Технология получила название nRootTag, в основе - метод индексации меток AirTags сетью FindMy компании Apple и поиска отслеживаемых или потерянных устройств.
В обычных обстоятельствах, когда пользователь подключает AirTag к своей учетной записи, Apple берет Bluetooth-сигнал AirTag и генерирует криптографическую пару закрытый-открытый ключ.
Когда пользователь производит поиск местоположения AirTag, сеть FindMy запрашивает открытый ключ, связанный с этим Bluetooth-сигналом, а затем уведомляет владельца о его местоположении.
Метод nRootTag задействует облачные вычислительные мощности для определения того, что будет закрытым ключом любого публичного сигнала Bluetooth.
Это позволяет перехватывать Bluetooth-сигнал любого устройства, вычислять возможный закрытый ключ, передавать его на серверы FindMy компании Apple, а затем получать данные о местоположении этого устройства.
Так что пока Apple пилит AirTag в части изменения адреса Bluetooth на основе криптографического ключа, злоумышленнику не удастся сделать это в других системах без прав администратора.
Поэтому вместо того, чтобы пытаться изменить адрес Bluetooth, исследователи разработали эффективные методы поиска ключей, чтобы найти ключ, совместимый с адресом Bluetooth, заставив ключ адаптироваться к адресу.
При этом вычисление ключа занимает всего лишь несколько минут, а nRootTag вообще можно использовать практически мгновенно, если злоумышленники заранее вычислят закрытые ключи в радужных хэш-таблицах.
Исследовательская группа из числа представителей Университета Джорджа Мейсона протестировала технологию, фактически превратив различные устройства в «поддельные» метки AirTags и отслеживая их местоположение, включая ноутбуки на базе Windows и Linux, смартфоны Android, устройства IoT и игровые консоли.
В свою очередь, Apple выпустила исправления безопасности в декабре для всех поддерживаемых в настоящее время устройств.
Теперь они будут игнорировать устройства, преобразованные в nRootTag, но старые устройства Apple все еще могут передавать информацию через FindMy.
Исследовательская группа утверждает, что точность nRootTag будет постепенно снижаться по мере снятия с производства старых устройств Apple, однако на данный момент атака остается актуальной.
На беспрецедентные требования британских спецслужб о создании бэкдора к зашифрованным пользовательским данным в компании Apple отреагировали симметрично и также беспрецедентно.
Как сообщает Financial Times со ссылкой на источники, представителями Apple была подана апелляция в специализированный судебный орган по надзору за деятельностью спецслужб для оценки соответствия закону скандального постановления.
Это первый случай, когда положения Закона о следственных полномочиях 2016 года, открывающий британским властям широкие возможности для шпионажа в технологической сфере, будут проходить проверку в суде.
Впрочем удивляться не стоит, резонансная инициатива британских властей обсуждалась президентом США Дональдом Трампом во время встречи в Белом доме с премьер-министром Великобритании Киром Стармером.
В интервью политическому журналу The Spectator, опубликованному на прошлой неделе, он заявил, что выразил премьеру несогласие с этим требованием, отметив при этом, что подобные требования обычно ассоциируются с Китаем.
Пока же британский МИД продолжает всячески игнорировать запросы на подтверждение факта выдачи подобного приказа, руководство американской разведки в лице Талси Габбард всерьез изучает возможные нарушения партнерам CLOUD Act, что может привести к аннулирвоанию соглашений в сфере взаимодействия по линии спецслужб.
Так что судебный кейс с Apple может стать прецедентом для всей Европы, где разворачивается историческая баталия за конфиденциальность, провал в которой может обернуться для пользователей «цифровым гулагом», а для IT - глобальной сегментацией по национальным границам.
Исследователи Proofpoint раскрывают новую узкотаргетированную фишинговую кампанию, нацеленную на не менее пяти организации ОАЭ в области авиации, спутниковой связи и критической инфраструктуры с использованием ранее недокументированного бэкдора Sosano.
Выявить вредоносную активность удалось в конце октября 2024 года и с тех пор отслеживается как новый кластер с условным наименованием UNK_CraftyCamel.
Примечательным аспектом цепочки атак является задействование злоумышленником доступа к скомпрометированному почтовому аккаунту индийской компании INDIC Electronics для отправки фишинговых сообщений и доставки Sosano.
Индийская компания по производству электроники имела доверительные деловые связи со всеми целями кампании, а приманки были персонально адаптированы под каждую из них.
В электронных письмах содержались URL-адреса, указывающие на домен, мимикрирующий под индийскую компанию («indicelectronics[.]net»), на котором размещался ZIP-архив, включающий файл XLS и два файла PDF.
Но на самом деле XLS был ярлыком Windows (LNK), использующим двойное расширение, выдавая себя за документ Microsoft Excel.
Два PDF являлись полиглотами: один был дополнен файлом HTA, а другой — прикрепленным к нему архивом ZIP.
Оба PDF-файла могли быть интерпретированы как два разных допустимых формата в зависимости от того, как они анализируются с использованием таких программ, как файловые менеджеры, инструменты командной строки и браузеры.
Последовательность атаки включала в себя использование файла LNK для запуска cmd.exe, а затем - mshta.exe для запуска файла-полиглота PDF/HTA, что приводило к выполнению скрипта HTA, который, в свою очередь, содержал инструкции по распаковке содержимого архива ZIP, присутствующего во втором PDF-файле.
Один из файлов во втором PDF-файле представляет собой файл интернет-ярлыка (URL), который отвечает за загрузку двоичного файла, который реализует посредством файла изображения декодирование и запуск бэкдора DLL под названием Sosano.
Написанный на языке Golang, имплантат обладает ограниченной функциональностью, позволяющей устанавливать связь с C2 для выполнения дальнейших команд, в том числе запуска неизвестной полезной нагрузки следующего этапа.
Proofpoint отмечает при этом, что активность UNK_CraftyCamel не пересекаются с действиями других известных злоумышленников или групп, но скорее всего, связана с Ираном, учитывая целевые сектора (авиация, спутниковая связь, критически важная транспортная инфраструктура в ОАЭ).
При этом мелкий масштаб в сочетании с многочисленными методами сокрытия, а также доверенную стороннюю компрометацию для атаки, указывают на стратегическую заинтересованность APT-актора в получении разведывательной информации.
Исследователи из Лаборатории Касперского выкатили отчет со статистикой по мобильной вирусологии за 2024 год.
По данным Kaspersky Security Network, в 2024 году предотвращено 33 265 112 атак на мобильные устройства с использованием вредоносного, рекламного или нежелательного мобильного ПО (или около 2,8 миллиона ежемесячно).
Самой распространенной угрозой для мобильных устройств стало рекламное ПО - 35% от всех выявленных угроз.
Кроме того, обнаружено 1,1 млн. вредоносных и потенциально нежелательных установочных пакетов, из которых почти 69 тысяч относились к мобильным банковским троянцам.
Из наиболее трендовых угроз в ЛК отметили следующие.
В конце 2024 года в ЛК выявили новую схему распространения банковского троянца Mamont, нацеленную на пользователей Android в России с использованием приманок с предложение различных товаров по заниженным ценам.
После оформления заказа под видом трекера отправлений пользователям засылалось вредоносная ПО.
В августе 2024 года исследователи из ESET описали новую схему банковского мошенничества в Чехии с использованием технологии NFC. Позже похожая схема была замечена в России.
Зловреды мимикрировали под приложения банков и госсервисов, а для установки вредоносной ПО и включения NFC на устройстве в некоторых случаях использовался RAT SpyNote.
Также в 2024 году фиксировалось достаточно много новых предустановленных вредоносных приложений, которые решения ЛК детектируют как Trojan.AndroidOS.Adinstall.
В июле в поле зрения попал бэкдор LinkDoor, также известный как Vo1d, на TV-приставках под управлением Android: он располагался в зараженном системном приложении com.google.android.services и мог запускать произвольные исполняемые файлы, а также скачивать и устанавливать APK.
Ряд приложений в Google Play содержали вредоносный SDK-имплант под названием SparkCat, который начал распространяться в марте 2024 года.
Троянец был нацелен на кражу фраз для восстановления доступа к криптокошелькам у пользователей Android как минимум в ОАЭ, Европе и Азии.
Зараженные приложения удалили из магазина в феврале 2025-го, однако, по данным телеметрии ЛК, существуют и другие приложения со SparkCat, которые распространяются через неофициальные источники.
Аналогичный имплант для iOS также был обнаружен в App Store. Это первый случай появления подобного вредоносного ПО в официальном магазине Apple. Компания удалила зараженные приложения в феврале 2025 года.
Подробные статпоказатели и инфографика по мобильным угрозам - в отчете.