S.E.Reborn

Исследователи Лаборатории Касперского заметили новое пробуждение лиха: Awaken Likho разработала новый бэкдор для атак по целям в России. Awaken Likho (Core Werewolf) - APT-группа, которая как минимум с 2021 года атакует организации, расположенные преимущественно в России и Беларуси. Злоумышленники активно используют русский язык в фишинговых письмах, текстах приманок и названиях файлов. Среди основных целей — госучреждения и их подрядчики. За время наблюдения в ЛК идентифицировали несколько сотен целей Awaken Likho. На протяжении всего периода наблюдения за Awaken Likho основным вектором первоначального доступа оставались фишинговые письма с умелым применением социнженерии Однако в ряде случаев удавалось при помощи собственных или открытых методов детектирования обнаружить импланты группы еще до их применения в реальных атаках, что, по мнению ЛК, предупреждало их дальнейшее эффективное применение. Вероятно, так случилось и в этот раз: в мае 2026 года технологии мониторинга и превентивного обнаружения ЛК зафиксировали новый вид имплантов, реальных атак с использованием которых пока не фиксировалось. Ранее группа активно использовала легитимные средства удаленного управления (в основном UltraVNC) для получения доступа к конфиденциальным данным жертв. Однако теперь злоумышленники отходят от стандартных инструментов (по крайней мере в составе первоначального импланта) в пользу собственных разработок. Подобный тренд наблюдается в среде APT-групп в целом: все больше группировок отказываются от универсальных утилит и внедряют кастомные инструменты. При этом основные цели группы Awaken Likho остаются прежними: атакующие охотятся за данными пользователей и, соответственно, кибершпионаж - их основная мотивация. Группа существует довольно давно и ведет активную деятельность, регулярно модифицируя свою инфраструктуру, поэтому для эффективного отслеживания ее кампаний необходим постоянный анализ текущей активности злоумышленников. В предыдущих исследованиях ЛК отмечала две особенности этой группы: высокий уровень подготовки атак (включая тщательный выбор целей) и использование свободно распространяемого ПО для удаленного управления. Злоумышленники применяли готовые инструменты годами. В мае 2026 года в их арсенале был найден собственный мини-бэкдор, написанный на AutoIt. Начальные версии инструмента были достаточно примитивными, однако разработчики продолжают быстро развивать его, добавляя новую функциональность и усложняя его анализ. По всей видимости, этот бэкдор будет использоваться в дальнейших атаках группы. В целом же подход злоумышленников не изменился кардинально. Импланты все так же доставляются в самораспаковывающихся архивах, инфраструктура C2 развернута на арендуемых VPS-серверах, а при построении атак они продолжают придерживаться принципа KISS (Keep It Short and Simple — «Делай короче и проще»). Подробный технический разбор AutoIt, IOCs и варианты детектирования - в отчете.

👾 Вредоносное ПО, вошедшее в историю. Loveletter — 2000 год. • Три сокровенных слова, взломавших миллионы компьютеров с ОС Windows по всему миру. Червь распространялся в виде вложенного файла «LOVE-LETTER-FOR-YOU.TXT.vbs» в электронном письме с темой «ILoveYou». Стоило этот файл открыть, как машина пользователя заражалась. Червь рассылал копии себя самого по всем контактам из адресной книги Microsoft Outlook и перезаписывал файлы определенных типов. Создавал файлы LOVE-LETTER-FOR-YOU.HTM в системном каталоге Windows и распространялся через IRC-каналы. • Вся хитрость заключалась в манипуляции людьми. Дело в том, что расширение файлов в Windows было скрыто по умолчанию, то есть жертва видела следующее: LOVE-LETTER-FOR-YOU.TXT (без .vbs), считая это безвредным текстовым файлом и открывая его. Это давало вредоносной программе старт. • Что касается создателей этого творения, то ими были два молодых парня из Филлипин — Реонель Рамонес и Онел де Гузман. За создание и распространите вируса парни были арестованы NBI (национальное бюро расследований Филлипин). Судебный процесс был нелегкий и даже забавный, поскольку Филлипинские законы не содержали наказания за создания вредоносного ОП. Сначала подозреваемым хотели приписать мошенничество с кредитными карточками, потом порчу имущества. Однако доказательств было недостаточно, и Реонель Рамонес и Онел де Гузман были освобождены. • В 2002 году их творение вошло в книгу рекордов Гиннеса как самый опасный компьютерный вирус всех времен (убытки мировой экономики от ILoveYou составили примерно 5,5 миллиарда долларов). #Разное

👨‍💻 Основы DNS: понятие, иерархия, записи. • Система доменных имен (DNS) является фундаментальной частью интернета, обеспечивая преобразование легко запоминаемых доменных имен в IP-адреса, необходимые для подключения к веб-ресурсам. • Поделюсь с Вами полезным материалом, которого часто не хватает начинающим и бывалым специалистам: - Что такое DNS и как она работает; - Как работает DNS-запрос; - Иерархия DNS; - Рекурсивные резолверы и кеширование; - Записи DNS и их типы. ➡️ Читать статью [7 min]. #DNS

🎙 Как энтузиасты скачивали компьютерные программы с помощью радио. • Сорок лет назад на местной радиостанции в Бристоле ведущий Джо Тозер и главный инженер Тим Лайонс с одобрения руководства запустили шоу Datarama. Оно было посвящено персональным компьютерам, а его фишкой стала передача программ «по воздуху». • Авторы включали кассеты в эфире, а слушатели — записывали звучащие шумы с помощью своих магнитофонов. Затем их подключали к компьютеру, и ЭВМ интерпретировала какофонию звуков как последовательность байтов. Вот так звучала аудиокассета с программами для Sinclair Spectrum: https://youtu.be/MZYuGUCrkoU • В качестве пробы пера авторы решили отправить слушателям закодированное изображение Шерил Лэдд (на фото выше), звезды сериала «Ангелы Чарли». Правда, изображение имело разрешение всего 40х80 пикселей, поэтому узнать американскую актрису было достаточно трудно. • Слушатели оценили такой способ передачи информации, и вскоре Джо стал делиться целыми программами, в том числе написанными для шоу. Изначально они предназначались для компьютеров BBC и Sinclair ZX81, но позже список устройств расширили до Commodore и Dragon 32/64. • Примерно в то же время Голландская вещательная ассоциация вывела в эфир радиопередачу, аналогичную Datarama, — её назвали Hobbyscoop. Ведущие передавали аудитории не только программы, но и компьютерные игры. Компания разработала кассетный формат BASICODE для приложений на BASIC, чтобы обеспечить совместимость с широкой линейкой компьютеров. • BASICODE представлял собой сигнал 1200BPS RS232 c FSK-модуляцией. Нулевой бит был закодирован одним периодом модулирующего сигнала с частотой 1200 Гц, а единичный бит — двумя периодами сигнала 2400 Гц. Похожий тип модуляции применяли в компьютерах Acorn BBC. • Радиопередачи с «раздачей софта» существовали во многих европейских странах. С 1983 по 1986 год ведущие югославского шоу «Вентилятор 202» передали таким образом 150 программ: от калькуляторов до лётных симуляторов. К слову, это был один из ключевых ресурсов, продвигавших культуру открытого программного и аппаратного обеспечения на территории страны. • Передачи «Вентилятора 202» были настолько популярны, что их отрывки транслировались на национальном телевидении. Но с приходом доступных носителей информации — в частности, гибких дискет — культура передачи программ по радио довольно быстро сошла на нет. #Разное

🕔 Гаджет, который опередил своё время: умные часы Casio AT-550. • Владельцы Apple Watch, которые шкрябают по экрану пальцем, чтобы нацарапать сообщение из пары слов, вряд ли имеют много оснований для гордости. Еще в 1983 году стало возможно создание наручного гаджета с тачскрином и распознаванием рукописного ввода. Именно этим и отличались часы Casio AT-550. На экране AT-550 можно было рисовать пальцем цифры и математические символы, которые тут же появлялись на экране. • Например, чтобы сложить числа 12 и 3, нужно было нарисовать единицу, двойку, плюс, тройку и знак равенства, чтобы получить ответ. Задача распознавания упрощалась тем, что символов было не больше двух десятков, и вводились они по одному — вариантов начертания не так уж много. Но уже это можно считать прорывом, опережающим время лет на двадцать, а если учесть, что AT-550 продавались по 100 долларов, то это и вовсе кажется фантастикой. ➡️ https://youtu.be/UhVAsqhfhqU #Разное

ИИ, который разгребает алёрты вместо дежурного Посмотрели первый эфир Вечерней школы Слёрма? Сергей Тимиряев показал ИИ-агента, который забирает данные из Alertmanager, Prometheus и Kubernetes и присылает в Telegram карточку инцидента с гипотезой о причине и дальнейшими действиями. На эфире также дали открытую ссылку на репозиторий проекта. Самое интересное: как система связывает несколько сигналов в один инцидент, отделяет возможную причину от последствий и формирует понятный разбор для дежурного. В записи подробно показывают архитектуру решения и объясняют, за счёт чего модель опирается на собранный контекст, а не просто угадывает по логам. Главный вывод: LLM уже может заметно сокращать MTTA и подводить инженера к проверяемой гипотезе за секунды. Дали практичный кейс без обещаний заменить инженера. Следующее занятие у них про автофикс проблем на проде с ИИ, а еще в программе темы info sec, юридические аспекты и кейсы бигтеха ➡️Запись эфира Реклама ООО «Слёрм» ИНН 3652901451 Erid: 2VtzqunpSy8

🗣 Почему именно “WIFi” и с чего всё началось? • Многие из нас принимают аббревиатуру, как должное, не задумываясь о том, почему технология называется именно так. Все на самом деле очень просто — дело в том, что WiFi изначально продвигали со слоганом «The Standard for Wireless Fidelity», что можно перевести как «стандарт беспроводной точности». • Затем технология получила сокращенное название «Wireless Fidelity», что со временем было обрезано до WiFi. Частично сыграла свою роль и аббревиатура HiFi, которая расшифровывается как High Fidelity. Может быть, разработчики WiFi пытались сделать свою технологию узнаваемой как раз за счет HiFi — кто знает. Как бы там ни было, своего они добились. • Теперь поговорим о том, с чего все началось. Датой рождения технологии является 1985 год. Тогда Федеральная служба по связи США официально разрешила использовать определенные частоты радиоспектра без лицензии. Эту инициативу поддержали и другие страны, так что бизнес быстро понял — в этой нише можно заработать. Один за другим стали появляться проекты беспроводной связи, которые разные компании пытались коммерциализировать. • Лишь в 1997 году, появились первые спецификации беспроводной связи WiFi. Первое поколение, 802.11, давало возможность передавать данные со скоростью в 2 Мбит/с, при том, что радиус действия модуля был очень небольшим. Да и стоимость оборудования, которое обеспечивало беспроводную передачу данных, была просто заоблачной. • Затем, где-то в 1999 году, появились прототипы двух редакций базового стандарта: 802.11b и 802.11a. Они обеспечивали невиданную скорость передачи данных по воздуху — вплоть до 11 Мбит/с. Радиодиапазон при этом использовался тот же, что и сейчас — 2,4 ГГц. Радиус действия был гораздо большим, чем у самого первого поколения WiFi. Радиооборудование становится все более доступным — его могут купить уже и обычные пользователи. • Чуть позже скорость увеличили до 54 Мбит/с, воспользовавшись диапазоном в 5 ГГц и назвав спецификацию 802.11a. Именно тогда и закрепилось название WiFi, которое сейчас является обозначением спецификации 802.11. • Кроме того, разработчики стали заботиться о безопасности передаваемых данных лучше, чем раньше. Так, на смену дырявому WEP пришел WPA (англ. — Wi-Fi Protected Access). Еще год спустя, в 2004, появился протокол WPA2, который стал весьма надежно защищать беспроводные сети. #Разное

Киберподполье активно задействует критическую CVE-2026-50522 в Microsoft SharePoint для кражи ключей доступа к компьютерам и сохранения доступа даже после установки обновлений на затронутые серверы. Злоумышленник, получив эти токены, способен создать действительные токены аутентификации, чтобы выдать себя за других пользователей и получить доступ к доступным ресурсам, включая сайты и документы SharePoint, с привилегиями фейковый личности. Microsoft описывает проблему как уязвимость в десериализации недоверенных данных, которая позволяет удаленному злоумышленнику выполнять код по сети без аутентификации. Уязвимость была устранена июльским PatchTuesday, но не была отмечена в качестве активно используемой, несмотря на то, что в уведомлении указывалось на повышенную вероятность её использования в качестве рычага атаки. В свою очередь, watchTowr предупредила, что хакеры приступили к эксплуатации CVE-2026-50522 в отношении уязвимых локальных развертываний SharePoint сразу после того, как в сеть попала достоверная версия PoC-эксплойта. 20 июля watchTowr обнаружила PoC для этой уязвимости и буквально в течение нескольких часов глобальная сеть ловушек Attacker Eye компании зафиксировала попытки эксплуатации с его использованием, которые успешно скомпрометировали целевые системы. Исследователи отмечают, что злоумышленники крадут машинные ключи, которые позволяют им сохранять долгосрочный доступ к взломанным системам. При этом Defused еще 17 июля обнаружила «недокументированный вектор десериализации SharePoint», используемый в атаках, но не смогла связать эту активность с уязвимостью. Но на днях в Defused отметили, что атаки, вероятно, были обусловлены CVE-2026-50522 в SharePoint. По меньшей мере один PoC PowerShell для уязвимости CVE-2026-50522 доступен на GitHub (разработан неким Janggggg). В этом PoC реализуется попытка инициировать удаленное выполнение кода путем доставки вредоносной полезной нагрузки .NET BinaryFormatter в виде cookie поддельного SecurityContextToken в ответе на запрос входа в систему WS-Federation, отправленном на конечную точку SharePoint _trust/default.aspx. Если токен обрабатывается с использованием уязвимого пути десериализации, полезная нагрузка приводит к выполнению произвольного кода на сервере SharePoint. Следует отметить, что Janggggg опубликовал PoC в тот же день, когда watchTowr начала фиксировать первые атаки с его использованием. Вместе с тем неясно, использовались ли в наблюдаемых инцидентах общедоступные эксплойты. Хотя установка последних обновлений безопасности SharePoint устраняет уязвимость, watchTowr советует также регулярно обновлять учетные данные для любых ресурсов, которые могли быть скомпрометированы.

#Юмор

🖥 Компьютер, который отказывается умирать. • «Время жизни» технологий сократилось — смартфоны можно менять хоть каждый год. Но пока еще есть оборудование, которое работает на протяжении десятилетий и, вероятно, проработает еще долгие годы. Одна из таких систем — японский FACOM 128B, введенный в эксплуатацию в 1958 году. • В начале 1950-х ЭВМ строили на электронных лампах — их использовали в первом коммерческом компьютере IBM Model 701. Эти элементы были сложны в обслуживании и часто выходили из строя. Поэтому некоторые компании выбрали иной путь и занялись разработкой электромеханических компьютеров на базе реле и переключателей. Среди них была японская корпорация Fujitsu. Она планировала составить конкуренцию американскому «голубому гиганту». • В 1954 году Тосио Икэда (Toshio Ikeda), глава отдела компьютерных технологий Fujitsu, инициировал разработку новой вычислительной системы. В ней роль логических элементов играли коммутационные реле, использовавшиеся на телефонных станциях. Инженеры компании использовали 4500 таких реле и собрали из них компьютер FACOM 100. Спустя два года свет увидела улучшенная версия системы — FACOM 128A, а в 1959-м — FACOM 128B. • Компьютер FACOM 128B использовали вплоть до 1970-х годов. С его помощью проектировали специальные линзы для фотокамер и NAMC YS-11 — первый пассажирский авиалайнер, построенный японцами после окончания Второй мировой войны. • Данный компьютер уже не применяют для каких-либо серьезных расчетов и вычислений. Машина превратилась в полнофункциональный музейный экспонат, установленный в «зале славы» фабрики Fujitsu Numazu Plant в городе Нумадзу. • За работоспособностью компьютера следит единственный инженер — Тадао Хамада (Tadao Hamada). По его словам, он «останется на посту» до конца своей жизни, так как хочет сохранить технологическое наследие Японии для потомков. Он отмечает, что ремонт системы не требует значительных усилий. FACOM 128B настолько надежен, что в нем нужно заменять всего одно реле в год, несмотря на ежедневные демонстрационные запуски. • Скорее всего, компьютер проработает еще много лет, даже после ухода Тадао Хамады. Уверенность вселяет тот факт, что в прошлом году Национальный музей природы и науки Токио включил FACOM 128B в список технологий, имеющих важное историческое значение. ➡️ https://youtu.be/MUt1r3kjers #Разное

Хакеры пощупали репозитории ИИ Hugging Face, получив доступ к внутренним наборам данных и учетным данным, по итогу взломав производственную инфраструктуру с помощью автономной системы агентов ИИ. Hugging Face - это платформа с открытым исходным кодом, использующая ИИ и машинное обучение, которая предоставляет доступ к более чем 45 000 моделям от ведущих поставщиков ИИ и используется более чем 50 000 организаций. Компания все еще пытается понять, были ли затронуты данные партнеров или клиентов, заявиляя, что свяжется со всеми пострадавшими сторонами напрямую. На данный момент в Hugging Face не обнаружили никаких признаков вмешательства в общедоступные модели, наборы данных или Spaces, и что ее цепочка поставок ПО «проверена на отсутствие нарушений». Взлом начался в конвейере обработки данных Hugging Face, где злоумышленники использовали вредоносный набор данных для эксплуатации двух уязвимостей, позволяющих выполнять код, и запустили его на рабочем узле обработки, что позволило им выкрасть учетные данные облака и кластера и перемещаться по нескольким внутренним кластерам. Как отметили в Hugging Face, кампания проводилась с помощью автономной агентской системы (по всей видимости, построенной на основе агентного инструментария для исследований в области безопасности — используемая LLM-технология пока неизвестна), выполняющей тысячи отдельных действий в рое кратковременных песочниц, с самоперемещающимся центром управления, размещенным на общедоступных сервисах. В ответ на утечку данных Hugging Face закрыла уязвимые пути выполнения кода (внедрение шаблона в конфигурацию набора данных и удаленный загрузчик набора данных кода), локализовала злоумышленника, восстановила скомпрометированные узлы, а также отозвала и сменила все затронутые учетные данные. Кроме того, были внедрены усовершенствованные системы обнаружения вредоносной активности, об инциденте сообщено правоохранительным органам, и в настоящее время ведется работа с внешними экспертами для оценки последствий утечки данных. Hugging Face посоветовала пользователям регулярно менять токены доступа и проверять недавнюю активность учетной записи на предмет подозрительного поведения, а также заявила, что продолжит делиться результатами исследований по защите от атак с использованием ИИ. Будем следить.

⚙️ Linux Crisis Tools • В одном из блогов заметил полезную статью, которая содержит в себе определенный набор необходимых инструментов, когда инцидент на сервере уже случился. Автор в своей статье рекомендует установить их заранее =)) ➡️ https://www.brendangregg.com/blog/2024-03-24/linux-crisis-tools.html #Linux #Tools

🛠 Фиксим незначительный баг в проде... #Юмор

🖥 8-дюймовые дискеты. • Для подрастающего поколения уже даже 3,5-дюймовые дискеты в диковинку. Не говоря уже о 5,25-дюймовых и тем более восьмидюймовых. На первом фото оператор ЭВМ использует 8-дюймовую дискету, как раз о них и пойдет речь: • 8-дюймовые дискеты увидели свет в 1967 году. В открытой продаже появились в 1971 году. Поначалу их ёмкость составляла 81,6 килобайт. На дискету помещалось столько же данных, сколько на 1000 перфокарт. • Когда появились новые 8-дюймовые дискеты объёмом в 240 килобайт, казалось, что это предел совершенства. А на дискету помещалось столько же данных, сколько на 3000 перфокарт! • Последние модификации 8-дюймовых дискет уже вмещали 1,2 мегабайта. Такой колоссальный объём данных, который с лихвой удовлетворял нужды абсолютного большинства «компьютерных» пользователей, — был эквивалентен 15000 перфокартам! • К слову, в давние 70-е ёмкость всех носителей информации измерялось количеством перфокарт, которые бы потребовались для хранения эквивалентного объёма данных. Потому что с перфокартами были знакомы все, а вот с высокотехнологичными магнитными носителями данных – единицы 🤷‍♂️ #Разное

Новый OkoBot доставляет более 20 различных вредоносных ПО в рамках атак, направленных на кражу сид-фраз криптокошельков, учетных данных и другой конфиденциальной информации. OkoBot проникает к жертвам через атаки ClickFix или вредоносные репозитории GitHub, выдавая себя за легитимные программные инструменты. В одном случае репозиторий якобы представлял SQL Server Management Studio (SSMS), но вместо этого распространял троянизированную версию аудиоредактора Audacity. Исследователи Лаборатории Касперского отмечают, что кампания OkoBot продолжается уже более года и стала продолжением активности, связанной с распространением вредоносного скрипта PowerShell TookPS. Однако цепочка заражения полностью изменилась: теперь она включает несколько этапов атаки, а на первом этапе используется TookPS для установки и настройки SSH-бота, который доставляет другие вредоносные компоненты. SSH-бот также отвечает за сбор системных данных (имя пользователя, антивирусное ПО, IP-адрес, версия ОС) и отключение уведомлений Windows Defender. Кроме того, он собирает файлы криптовалютных кошельков, cookie-файлы браузера и учетные данные. Среди 20 модулей, задействуемых OkoBot в атаках, наиболее примечательны следующие: - ext daemon/extl.exe: внедряется в браузер Chrome для скрытой установки вредоносных расширений, таких как Rilide, которые нацелены на учетные данные, файлы cookie, финансовую информацию и данные, связанные с криптовалютой. - SeedHunter: внедряется в Trezor Suite, Ledger Wallet и Ledger Live для отображения фейкового экрана восстановления сид-фразы, предназначенного для кражи фраз восстановления кошелька у жертв. - MC Keylogger: записывает нажатия клавиш и активность буфера обмена, включая скопированный текст, изображения и пути к файлам, а также может отслеживать USB-подключения и делать снимки экрана каждые 5 минут. - OkoSpyware: отслеживает работу 100 программ, включая криптокошельки и менеджеры паролей, и использует FFmpeg для записи видео их окон, а также для захвата нажатий клавиш. Телеметрия ЛК показывает, что большинство жертв OkoBot находятся в Бразилии, за ней следуют Вьетнам, Канада, Мексика и Турция. Однако охват кампании глобален. В ЛК не связывают кампанию OkoBot с каким-либо конкретным злоумышленником, но исследователи отмечают, что доступ к серверам, на которых размещены скрипты PowerShell для начального этапа атаки, заблокирован по географическому признаку. Они заметили, что полезные нагрузки не доставляются при использовании IP из России или стран СНГ, и сервер возвращает пустой ответ. Дополнительные признаки, указывающие на русскоязычного злоумышленника, включают комментарии на русском языке в исходном коде модуля SeedHunter и использование стилера, активно распространяемого на закрытых российских даркнет-ресурсах. IOCs, включающий хеши вредоносных плагинов, полезных нагрузок инжекторов, утилит SSH-ботов, пути к файлам, домены и IP - в отчете.

👾 Откуда появилось слово «баг»? • Слово «баг» (bug на английском) это самый обыкновенный жучок. Нет, не тот, что в шпионских фильмах устанавливают в телефон для прослушки. А обыкновенное насекомое. Точнее выражаясь, любое насекомое из отряда Hemiptera, также именуемого как «настоящие / истинные жуки». Но как биологический термин стали применять в компьютерных технологиях? • Самой распространенной теорией является случай с Грейс Хоппер. Она работала в Гарвардском университете с ЭВМ Harvard Mark II. Устройство работало не так, как следовало. В итоге Грейс обнаружила между замкнувшими контактами сгоревшего мотылька (я уже писал об этом вот тут). После этого госпожа Хоппер вклеила маленького диверсанта в свой технический отчет (см. фото) и написала: «First actual case of bug being found» (Первый реальный случай обнаружения бага). Произошло все это в 1946 году 9 сентября. • Случай действительно забавный, но не первый. До него, во времена Второй мировой, ошибки в работе электроники радиолокационных устройств также называли «багами». • А еще раньше, в 1878 году, Томас Эдисон написал следующие строки:

Так было со всеми моими изобретениями. Первый шаг — интуиция, которая приходит как вспышка, затем возникают трудности — устройство отказывается работать, и именно тогда проявляются «жучки» — как называют эти мелкие ошибки и трудности — и требуются месяцы пристального наблюдения, исследований и усилий, прежде чем дело дойдёт до коммерческого успеха или неудачи.

• Но это не удивительно, назвать раздражающую тебя ошибку в честь насекомого, которые так же часто могут нас доставать, кружась вокруг, кусая, жаля и жужжа на ухо. #Разное

Исследователи Лаборатории Касперского обнаружили новую APT-атаку с использованием ранее неизвестного инструментария, которая началась как минимум в мае 2026 года и остается активной на момент публикации. Кампания получила условное наименование HelloNet и включает в себя новые вредоносные модули, которые запускаются через систему обновления ViPNet (программный комплекс для создания защищенных сетей). В ходе исследования в ЛК выявили попытки целенаправленного заражения крупных российских организаций из государственного, энергетического, транспортного, образовательного и логистического секторов, а также промышленности. Причем это уже не первый случай, когда APT-группировка нацеливается на компьютеры, подключенные к сетям ViPNet. Например, в прошлом году был детектирован сложный бэкдор, мимикрирующий под обновления ViPNet. Возвращаясь к HelloNet, в одной из проанализированных систем специалисты выявили вредоносный файл c именем wtsapi32.dll в директории, которая относится к системе обновления комплекса ViPNet. Помещая файл в эту директорию, злоумышленники реализуют технику DLL Sideloading - ей подвержен исполняемый файл системы обновлений ViPNet itcsrvup64.exe, который запускается при старте ОС. Таким образом, в ходе данной атаки злоумышленники пытались реализовать закрепление на системе через компонент обновления ПО ViPNet. Wtsapi32.dll является загрузчиком, который был назван HelloInjector. Его основная цель - внедрить свой код в процесс svchost.exe и запустить вредоносную нагрузку. После запуска вредонос проверяет процесс, в контексте которого он был запущен. Если имя основного процесса не svchost.exe, загрузчик запускает перебор всех процессов, запущенных в ОС. Он ищет процесс, имя которого содержит строку svchost, а командная строка - строку netsvcs. Если такой процесс найден, загрузчик внедряет себя в целевой процесс с помощью функций NtWriteVirtualMemory и NtCreateThreadEx. После повторного запуска в новом процессе загрузчик снова проверяет имя процесса на наличие строки svchost. Убедившись в успешной проверке, HelloInjector загружает и выполняет в памяти вредоносную нагрузку, которая хранится в его теле в открытом виде. Вредоносная нагрузка, которую назвали HelloProxy, является одновременно скрытым прокси и загрузчиком следующих модулей, которые присылает командный сервер. Работает за счет перехвата функций NtDeviceIoControlFile, closesocket и shutdown, который осуществляется с помощью Microsoft библиотеки Detours. После установки перехватчиков, вредонос начинает прослушивать порты 5003 и 5060 в ожидании первых команд от С2 сервера. В ходе исследования ЛК удалось обнаружить две вредоносные нагрузки, которые были внедрены в процесс svchost, вероятно в результате работы ранее описанного загрузчика: - Имплант, который назвали HelloExecutor, с помощью которого атакующие могут выполнять команды на зараженной системе; - Модуль для очистки файлов журналов ПО ViPNet, который был назван HelloCleaner. Он позволяет скрыть действия злоумышленников в системе. Помимо этого, на одной из зараженных систем был обнаружен бэкдор написанный на языке Rust, который в ЛК назвали HelloBackdoor. В настоящее время в ЛК с низкой долей уверенности связывают данную кампанию с деятельностью неизвестной китайскоязычной APT. Все технические подробности и IOCs - в отчете.

💬 История подростков, создавших ботнет Mirai. • Речь пойдет о короле ботнетов "Mirai" и о истории его создания. Этот ботнет разработали студенты, которые решили организовать DDOS-атаку на собственный университет. Но в конечном итоге Mirai стал самым крупным IoT-ботнетом, а ребят поймали и отправили в места не столь отдаленные. • К слову, внутри Mirai — небольшой и чистый код, который не отличался технологичностью. Для распространения задействовалась всего 31 пара логин-пароль, но даже этого оказалось достаточно, чтобы захватить более полумиллиона IoT устройств. ➡ Читать статью [12 min]. #Разное

Используете ИИ в разработке? Проверьте, всё ли учли с точки зрения безопасности. Эксперты «Лаборатории Касперского» подготовили бесплатный чек-лист, который поможет оценить, насколько безопасно внедрены ИИ-инструменты в вашей компании и поможет проверить: 🟢 защищены ли рабочие места разработчиков; 🟢 как организован доступ к LLM и корпоративным данным; 🟢 учтены ли риски промпт-инъекций; 🟢 безопасны ли MCP-серверы и цепочки поставок. Материал основан на практическом опыте внедрения LLM во внутренние процессы компании и поможет выявить потенциальные слабые места до того, как они могут стать проблемой. Более 20 лет «Лаборатория Касперского» развивает ИИ-технологии для кибербезопасности, помогая бизнесу обнаруживать сложные угрозы и быстрее реагировать на инциденты. Достаточно заполнить короткую форму — и PDF откроется сразу. 🔗 Скачать чек-лист — по ссылке.

👩‍💻 PowerShell Commands for Pentesters. • В продолжении к вчерашней публикации поделюсь с Вами полезными командами, которые будут полезны пентестерам и специалистам в области информационной безопасности: + Locating files with sensitive information: - Find potentially interesting files; - Find credentials in Sysprep or Unattend files; - Find configuration files containing “password” string; - Find database credentials in configuration files; - Locate web server configuration files; + Extracting credentials: - Get stored passwords from Windows PasswordVault; - Get stored passwords from Windows Credential Manager; - Dump passwords from Google Chrome browser; - Get stored Wi-Fi passwords from Wireless Profiles; - Search for SNMP community string in registry; - Search for string pattern in registry; + Privilege escalation: - Search registry for auto-logon credentials; - Check if AlwaysInstallElevated is enabled; - Find unquoted service paths; - Check for LSASS WDigest caching; - Credentials in SYSVOL and Group Policy Preferences (GPP); + Network related commands: - Set MAC address from command-line; - Allow Remote Desktop connections; - Host discovery using mass DNS reverse lookup; - Port scan a host for interesting ports; - Port scan a network for a single port (port-sweep); - Create a guest SMB shared drive; - Whitelist an IP address in Windows firewall; + Other useful commands: - File-less download and execute; - Get SID of the current user; - Check if we are running with elevated (admin) privileges; - Disable PowerShell command logging; - List installed antivirus (AV) products. #PowerShell