PS.kz - SOC

🔒 Дайджест событий в области информационной безопасности с 19 октября по 25 октября 2026 года ❗️ Уязвимость выпуска ❗️ Критические уязвимости PHP2Shell (CVE-2026-109618, CVE-2026-109619) позволяют исполнение произвольного кода на многих конфигурациях веб-серверов PHP. За несколько дней до запланированной публикации произошла утечка, что спровоцировало разработчиков сообщить о ней до публикации обновлений. Попытки атак зафиксированы за 3 дня до объявления, а сейчас уже наблюдаются успешные атаки 📈 Анализ активности ботнетов: Общая активность уменьшилась на 27%, а активность от источников в РК повысилась более чем в 2.5 раза. В основном активность по разделам падает — разделы "FTP и TFTP", "Веб-сервисы" и "DNS и NTP" упали с аномальных значений прошлой недели (-32%, -75% и -99% соответственно). Единственное исключение — "Почтовые сервисы" (+84%) 💥 Взломы, атаки, киберпреступность: ☄️ BleepingComputer передаёт о взломе японского облачного провайдера Onamae, в результате которого заражены более 26 тысяч серверов. Двумя неделями ранее успешная кибератака была проведена на другого провайдера - IDC Frontier (см. прошлый дайджест) ☄️ Американское агенство по кибербезопасности CISA фиксирует продолжающуюся волну атак шифровальщиком SafePay — за чуть более 3 лет активности жертвами стали более 600 организаций критической инфраструктуры (в среднем 3 организации за 4 дня) ☄️ Интерпол провёл операцию Serengeti III, в результате которой арестовано более 1400 подозреваемых в киберпреступлениях в 21 стране и изъято более 105 миллионов долларов в эквиваленте ☄️ Японская фондовая биржа Nikkei раскрыла третий взлом за месяц, согласно сводке BleepingComputer 😈 Малварь: 🔤 Буткит BlackX защищается от попыток себя анализировать — вредоносный драйвер перехватывает попытки открыть файлы ВПО и вместо них открывает Калькулятор Windows. Сводка BleepingComputer 🔒 Уязвимости: ⚠️ В библиотеке сжатия/распаковки Brotli обнаружена критическая уязвимость CVE-2026-111497, позволяющая отказ в обслуживании, утечку или исполнение кода в зависимости от конкретной системы. Уязвим не только фреймворк Node.JS, про который писали в ранних новостях, но также специализированные библиотеки Python, PHP, Java, .NET и другие. Сводка The Hacker News ⚠️ Центр сертификации eMudhra допустил ошибку при создании сертификатов TLS, создав в том числе сертификат с секретным ключом 4 (общеприняты числа длиннее 100 знаков). Сертификаты этого центра были доверенными для ПО от Microsoft, Mozilla, Apple, Google и многих других. ПО без обновлений доверенных ключей уязвимо к атакам "человек посередине" (MitM). Компания eMudhra приняла решение больше не заниматься TLS-сертификатами ⚠️ В Ruby закрыты уязвимости, которые при определённых условиях позволяли исполнение произвольного кода. В частности, такие условия наблюдались в GitLab, в котором эта уязвимость становилась критической (CVE-2026-110264) ➕ Файл ниже содержит IoA/IoC этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

🔒 Дайджест событий в области информационной безопасности с 12 октября по 18 октября 2026 года ❗️ Атака выпуска ❗️ Прокуратура Парижа расследует атаку на супермаркеты — неизвестные злоумышленники взломали подключённые к Интернету холодильники и морозильники фирмы Danfoss и подняли настройки температуры — более чем в 300 магазинах испортились продукты, а несколько аппаратов загорелись. Сводка AFP 📈 Анализ активности ботнетов: Активность выросла — на 25% в сумме, почти в 5 раз от источников в РК, более чем в 5 раз по веб-атакам, почти в 3 раза по почтовым сервисам и в 2.5 раза по разделу "DNS и NTP". Единственное исключение — файловые протоколы ("FTP и TFTP", -1%) 💥 Взломы, атаки, киберпреступность: ☄️ Группа киберразведки Google исследовала активность группы UNC7017 — хакеры подменяли обновления ПО на троянские в промежутки времени до 10 минут, чтобы отсрочить анализ специалистами по безопасности ☄️ Согласно Unit42, взломщики под обозначением CL-STA-0954 внедрялись в инфраструктуру управления средствами безопасности FortiGate и реконфигурировали функции перехвата в шлюзах безопасности, чтобы получать ценную информацию ☄️ Специалисты Cisco Talos сообщают, что группировка UAT-6275 атакует государственные органы пост-советского пространства, включая Казахстан. Также авторы "со средней уверенностью" считают, что группа непосредственно работает в Казахстане 😈 Малварь: 🔤 Троян Hirudo не внедряется в банковские приложения Android, а целиком заменяет приложения на вредоносные, которые отличаются от оригинальных только шпионским кодом. Анализ ThreatFabric 🔒 Уязвимости: ⚠️ Обнаружены и детально описаны две уязвимости повышения привилегий в Linux — Vghost (CVE-2026-74580) и PwnEscape (CVE-2026-99999) позволяют злоумышленнику осуществить "побег из песочницы" и нарушить безопасность виртуализации ⚠️ В NGINX закрыты 5 уязвимостей, из которых 3 критические и при определённых условиях позволяют отказ в обслуживании и потенциально исполнение кода. Сводка The Hacker News ⚠️ Для Next.js вышел пакет обновлений, закрывающий в том числе 2 критические уязвимости, одна из которых позволяет исполнение кода через вредоносную картинку (CVE-2026-96889) ⚠️ Критическую уязвимость закрыли в Drupal — CVE-2026-108097 позволяет исполнение произвольного кода ➕ Файл ниже содержит IoA/IoC этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

🔒 Дайджест событий в области информационной безопасности с 5 октября по 11 октября 2026 года ❗️ Атака выпуска ❗️ Крупная японская инфраструктурная компания IDC Frontier стала жертвой шифровальщика — согласно сообщению злоумышленников, выложенном на сайте компании, было зашифровано 3.6 петабайт данных и 16 тысяч виртуальных дисков. Нарушена работоспособность сервисов в восточной половине страны. Сводка BleepingComputer 📈 Анализ активности ботнетов: Общий объём активности уменьшился на 20%, а трафик от источников в РК упал в 17 раз. Также существенно упали разделы "SSH и Telnet" (-79%) и "Почтовые сервисы" (-76%), при этом активность по DNS и NTP усилилась более чем в 11 раз, а по файловым протоколам ("FTP и SFTP") — в 2.5 раза 💥 Взломы, атаки, киберпреступность: ☄️ Специалисты Island описывают фишинговую кампанию, в рамках которой внутри браузера жертвы рисуется ещё один браузер ☄️ В США осуждён инженер, который пытался зашифровать инфраструктуры компании, в которой работал. См. судебный документ ☄️ Нестандартный приём фишинга зафиксирован экспертами Push Security — пользователю демонстрируется легитимная команда для выполнения в терминале, но если нажать кнопку "Копировать", скопируется другая, вредоносная команда 😈 Малварь: 🔤 ВПО PoeLLM загружает адреса управляющих серверов из маленьких поэм, которые злоумышленник выкладывает на GitHub — в них закодированы IP. Технический анализ Black Lotus Labs 🔤 Эксперты BitDefender обнаружили троян Midnight Mimosa уже предустановленным в прошивки дешёвых устройств Android. Это позволяет трояну пользоваться расширенным функционалом, например, отключать систему защиты Google Play Protect перед установкой обновления 🔒 Уязвимости: ⚠️ В GitLab закрыта критическая уязвимость, позволяющая исполнение кода даже без прав доступа ⚠️ В LibreOffice и OpenOffice обнаружена уязвимость, позволяющая исполнение макросов без сообщений безопасности. Сводка The Hacker News ⚠️ Закрыта критическая уязвимость в нескольких продуктах Atlassian, включая Jira, Confluence и Bitbucket (CVE-2026-21589). По ней уже начались сканирования и попытки эксплуатации. Сводка BleepingComputer ➕ Файл ниже содержит IoA/IoC этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Как выглядит зрелый SOC для малого бизнеса? На главной сцене KazHackStan 2026 наш CISO и руководитель коммерческого PS SOC Александр Косенков выступил с докладом «SOC для малого бизнеса: минимально достаточно, максимально по-взрослому». Одна из ключевых идей доклада: зрелый SOC не обязан охватывать максимум функций. Для малого бизнеса важнее осознанно определить необходимый функционал с учётом требований, модели угроз и распределения ответственности между SOC и клиентом. В выступлении Александр показывает, как определить необходимый состав функций, чем модель угроз малого бизнеса отличается от крупного и где проходит граница между функциональностью и зрелостью SOC. ▶️ Полная версия выступления уже на нашем YouTube-канале.

🔒 Дайджест событий в области информационной безопасности с 28 сентября по 4 октября 2026 года ❗️ Инцидент выпуска ❗️ К данным о более чем 3 миллионах служащих Министерства обороны США был получен несанкционированный доступ, передаёт Federal News Network. Система управления данными о сотрудниках была уязвима с октября 2025 по июль 2026 года и из неё зафиксирован вывод данных 📈 Анализ активности ботнетов: Общий объём активности увеличился на 71%, а от источников в РК — на 75%. Рост наблюдается по всем разделам, самый маленький — "Почтовые сервисы" (+14%), самый большой — раздел "DNS и NTP" (в 22 раза, основной источник — Гонконг) 💥 Взломы, атаки, киберпреступность: ☄️ Официальный аккаунт Microsoft в X был взломан и использован для рекламы криптовалютной мошеннической схемы, согласно The Verge ☄️ Некоммерческий проект DIVD, посвящённый работе с уязвимостями ПО, сам был взломан через две уязвимости, найденные хакерами с помощью ИИ. Отчёт DIVD ☄️ Разработчик программных криптовалютных кошельков MetaMask объявил об инциденте безопасности и отключил часть криптосервисов. Пока что угрозы пользователям MetaMask не подтверждаются — ключи от кошельков не хранятся у компании. Сводка BleepingComputer ☄️ Европол провёл операцию против группировки KillSec в 4 странах. Хакерам вменяют около 1000 кибератак и, согласно предварительным обвинениям, лидеру группы всего 16 лет. Нехватку опыта компенсировал ИИ 😈 Малварь: 🔤 Эксперты Huntress описывают троян Wacatac, который доставляется внутри аудиофайла — первые несколько секунд это обычное аудио, но далее вместо байтов звука расположен архив для распаковки вредоносным скриптом PowerShell 🔒 Уязвимости: ⚠️ Уязвимость Spectre v2 позволяет злоумышленникам с учётной записью в Linux-системе получать доступ к любым файлам через недостаток в механизме процессорной оптимизации (CVE-2026-64507, CVE-2026-64508). Отчёт VUSec ⚠️ В системах Apple закрыта уязвимость CVE-2026-86950, которая потенциально позволяла исполнение кода через специально сформированный PDF-файл. Сама Apple сообщила, что уязвимость могла использоваться в атаках на отдельных пользователей. Сводка The Hacker News ⚠️ В FortiMail закрыта критическая уязвимость исполнения произвольного кода CVE-2026-104286. Американское агенство по кибербезопасности CISA уже регистрирует атаки на неё ➕ Файл ниже содержит IoA/IoC этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

🔒 Дайджест событий в области информационной безопасности с 21 сентября по 27 сентября 2026 года ❗️ Атака выпуска ❗️ Группировка ShinyHunters взломала сайт карьер в ФБР через ранее неизвестную уязвимость в HR-комплексе Oracle PeopleSoft. Они получили доступ как минимум к 5 тысячам записей о сотрудниках ФБР, объяснив атаку местью за распространение неверной информации о группировке (Сводка BleepingComputer). На прошлой неделе они провели крупную успешную атаку на конкурентов (см. прошлый дайджест) 📈 Анализ активности ботнетов: Наблюдается падение по всем разделам, кроме протоколов управления ("SSH и Telnet" — рост более чем в 2 раза). Общий объём активности снизился незначительно (-7%), как и активность внутри РК (-5%), самое заметное падение — файловые протоколы ("FTP и SFTP", -66%) и веб-сервисы (-60%) 💥 Взломы, атаки, киберпреступность: ☄️ С криптобиржи Bitget украдено около 387 миллионов долларов в криптовалютном эквиваленте, согласно официальному сообщению. Атака произошла через уязвимость в средстве защиты, согласно комментарию, данному CoinTelegraph ☄️ ИИ-агенты Hermes используются для взлома сайтов онлайн-магазинов с помощью открыто доступных инструментов, и устанавливают перехватчики платёжных данных. Ущерб — утечка как минимум 600 тысяч карт. Анализ Gambit Security ☄️ Сайт third-party.com, активно используемый в качестве примера в разнообразной документации, был выкуплен и сделан фишинговым, что может подвергнуть множество ИИ-агентов опасности, согласно Manifold Security 😈 Малварь: 🔤 ВПО CLOSEDQUORUM опрашивает 4 разных ИИ и проводит между ними голосования для определения следующего действия. Разбор от Cisco Talos 🔤 Криптостилер MacSync получает свои инструкции через Apple iCloud-календари, но они специально наполнены мусором дополнительно к командам, чтобы защите было сложнее их исследовать. Анализ Лаборатории Касперского 🔤 Android-троян RemControl подключается к системным сервисам, чтобы мешать себя удалить или выключить — если пользователь заходит в нужное меню, троян сам жмёт на кнопку "назад", согласно Group-IB 🔒 Уязвимости: ⚠️ В WordPress-плагине Elementor, установленном более чем на 2 миллионах сайтов, закрыта уязвимость, позволяющая использовать любые API-команды без прав доступа. Разбор PatchStack ⚠️ Согласно официальному бюллетеню, в хостинг-панели cPanel/WHM закрыта уязвимость, позволяющая исполнение произвольного кода (CVE-2026-87899) ➕ Файл ниже содержит IoA/IoC этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

🔒 Дайджест событий в области информационной безопасности с 14 сентября по 20 сентября 2026 года ❗️ Уязвимости выпуска ❗️ Исследователь Asim Viladi Oglu Manizada выложил эксплоиты для 4 уязвимостей в ядре Linux, позволяющих повышение привилегий 📈 Анализ активности ботнетов: Общий уровень активности снизился на 33%, а активность внутри РК упала до нормальных значений — в 23 раза (на прошлой неделе поднялась в 18 раз). Также с аномальных значений упали разделы "SSH и Telnet" (-59%) и "DNS и NTP" (в 69 раз) и другие. Единственный крупный раздел с ростом — почтовые сервисы (+30%) 💥 Взломы, атаки, киберпреступность: ☄️ Хакеры-вымогатели ShinyHunters выбрали нестандартную цель — захвачен сайт вымогателей Clop, затребовано "восьмизначное число". Сводка BleepingComputer ☄️ Неизвестные угнали Reddit-аккаунт американского стриминга HBO Max, чтобы распространять вредоносную рекламу, предлагающую скопировать в консоль macOS команду для получения бесплатного доступа к видео. Разбор Hudson Rock ☄️ Американская ФБР и канадская КККП арестовали веб-сайты одного из старейших провайдеров DDoS-атак на заказ под названием NightmareStresser. Пресс-релиз ☄️ Испанское агенство по защите данных AEPD сообщает об успешной полностью автоматизированной атаке с помощью ИИ "в дикой природе". Сводка BleepingComputer 😈 Малварь: 🔤 ВПО SparrowRock делает фотографии экрана компьютера 2 раза в секунду, но передаёт только те пиксели, которые изменились, чтобы потреблять меньше сетевого трафика и быть незаметнее. Технический анализ ESET 🔒 Уязвимости: ⚠️ В DNS-серверe BIND закрыты 14 уязвимостей, включая критические уязвимости отказа в обслуживании ⚠️ В WordPress обнаружена уязвимость Click2Shell, позволяющая удалённое исполнение кода. Анализ pwn.ai ⚠️ Эксперты Accomplish обнаружили уязвимости Overpatch и Heapjack, позволяющие побег из песочницы в агентах OpenAI Codex СLI и Codex Desktop ➕ Файл ниже содержит IoA/IoC этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

🔒 Дайджест событий в области информационной безопасности с 7 сентября по 13 сентября 2026 года ❗️ Уязвимости выпуска ❗️ Microsoft выпустила рекордный пакет обновлений для 966 уязвимостей, из которых 105 критические и 2 используются в атаках. Исследователь Chaotic Eclipse, традиционно (см. прошлый дайджест), быстро выпустил эксплоит ShieldCrash, позволяющий повышение привилегий через Microsoft Defender 📈 Анализ активности ботнетов: Наблюдается рост активности почти по всем разделам: более чем в полтора раза вырос общий объём, в РК высокий пик активности (недельный объём в 18 раз выше прошлой недели), более чем в 4 раза рост по "SSH и Telnet", почти в 6 раз по "DNS и NTP". Единственные типы атак, которые не выросли — на почтовые сервисы (-22%) и медицинское оборудование (-3%) 💥 Взломы, атаки, киберпреступность: ☄️ Reuters передаёт, что финтех-фирма Revolut стала жертвой фишинга — неизвестные успешно притворились сотрудниками правоохранительных органов с помощью предварительно захваченного email-адреса неназванного государственного органа ☄️ GreyNoise обнаружил массовую атаку на серверы печати PaperCut, в которой участвовали сотни ИИ-агентов. Несмотря на то, что злоумышленник инструктировал агентов не атаковать определённые страны, они всё равно взломали несколько серверов в странах чёрного списка ☄️ Разработчик криптовалютного кошелька Trezor оповещает клиентов, что у его подрядчика украли и использовали для фишинга около 347 тысяч email-адресов 😈 Малварь: 🔤 ВПО SUPERSTOMP стирает безопасные настройки Google Chrome, чтобы браузер, в отсутствие настроек, "откатился" на менее безопасные. Анализ Volexity 🔤 Barracuda описывает, как злоумышленники пользуются вредоносными файлами, которые открываются браузером жертвы как фишинговый сайт. Самого запроса на подозрительные сайты при этом не происходит, файл хранится в облаке (CDN), что позволяет скрываться от защиты 🔒 Уязвимости: ⚠️ Для GitLab вышло обновление, закрывающее 18 уязвимостей, из них 2 критические, одна уже используется в атаках ⚠️ В Google Chrome закрыто 230 уязвимостей, 5 критические, для одной эксплоит обнаружен в Интернете ⚠️ OX Security обнаружили уязвимость в агенте DeepSeek Harness, которая позволяла ему отключить свою собственную песочницу (CVE-2026-82533) ➕ Файл ниже содержит IoA/IoC этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

🔒 Дайджест событий в области информационной безопасности с 31 августа по 6 сентября 2026 года ❗️ Атака выпуска ❗️ Группировка Gambling Goblin взломала несколько бразильских правительственных сайтов и встроила вредоносные модули в их веб-сервера Apache, чтобы перенаправлять посетителей на фишинговые сайты в обход защиты. Анализ Check Point Research 📈 Анализ активности ботнетов: Общая активность увеличилась на 27%, а активность от узлов внутри РК упала на треть. По конкретным разделам в основном наблюдается падение около 60%, но усиление активности по файловым протоколам в полтора раза перевешивает остальные разделы. Раздел "SSH и Telnet" стабилен (-4%) 💥 Взломы, атаки, киберпреступность: ☄️ В Интернете появились объявления о продаже доступа к утечке 153 миллионов водительских удостоверений американцев и канадцев. Пробный поиск показал правильные данные, согласно расследователю Брайану Кребсу ☄️ На сайт разработчика облачной панели Virtualizor была совершена атака BGP Hijack — маршрутизация в Интернете была изменена, чтобы подменить сайт на поддельный и раздавать троянизированные обновления. Официальное объявление ☄️ В результате международной операции разрушен ботнет Sality, заразивший компьютеры по всему миру, включая узлы в Казахстане. Пресс-релиз Министерства юстиции США, техническое описание CrowdStrike 😈 Малварь: 🔤 Вредонос BraZetsu собирает данные о потенциальной ценности компьютера для атаки (сети, документы, поведение пользователей) и анализирует их через ИИ — оценка будет нужна, чтобы назначить цену доступа для других хакеров. Анализ Group-IB 🔒 Уязвимости: ⚠️ Класс уязвимостей GitSpawn в семи ИИ-агентах для программирования позволяет автоматическое исполнение кода при открытии агентом репозитория — на момент выхода анализа Manifold половина не закрыта ⚠️ В Wordpress-плагине All-in-One WP Migration and Backup с 5 миллионами установок закрыта SQL-инъекция (CVE-2026-19949). Анализ Wordfence ⚠️ Выложен эксплоит для уязвимости FalconFlank — при сканировании вредоносных макросов антивирус CrowdStrike Falcon сам становится жертвой и даёт хакеру повышенные привилегии. Это очередное раскрытие от исследователя Nightmare Eclipse, на этот раз не против Microsoft (см. прошлый дайджест) ⚠️ В Google Chrome закрыто 12 уязвимостей, одна из которых используется в реальных атаках (CVE-2026-85046) ➕ Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

🔒 Дайджест событий в области информационной безопасности с 24 августа по 30 августа 2026 года ❗️ Уязвимость выпуска ❗️ Исследователь Olivier Laflamme обнаружил в китайских гуманоидных роботах Unitree критическую уязвимость UniBLEed, позволяющую получить над ними удалённый контроль по Bluetooth и заражать других роботов по цепочке 📈 Анализ активности ботнетов: Общий уровень активности повысился в полтора раза, а активность ботнетов в КЗ выросла более чем в 20 раз. Наблюдается общий рост активности почти по всем разделам, самые существенные — "FTP и SFTP" (+123%), "Почтовые сервисы" (+221%), "DNS и NTP" (в 2 раза). Исключение - веб-сервисы (незаметно, -5%) 💥 Взломы, атаки, киберпреступность: ☄️ Предъявлены обвинения лидеру группы TeamPCP. Они ответственны за крупные атаки на цепочки поставок и разработку семейства червей Shai-Hulud, распространившихся по сотням репозиториев открытого программного обеспечения (см. прошлый дайджест) ☄️ Из-за DDoS-атаки была нарушена работа цифровых систем норвежских государственных органов. Сводка BleepingComputer ☄️ Согласно OX Security, злоумышленники начали использовать зеркала репозиториев кода NPM в качестве хранилищ для фишинговых веб-страниц ☄️ Хакеры используют цепочку из двух уязвимостей Microsoft Sharepoint для получения полного доступа, согласно BleepingComputer 😈 Малварь: 🔤 ВПО Superior распространяется через расширения Google Chrome и Microsoft Edge и крадёт криптовалюту — злоумышленник купил их заранее, подождал, а потом внедрил вредоносный код. Анализ Socket 🔒 Уязвимости: ⚠️ В cPanel и WHM закрыта критическая уязвимость CVE-2026-65643, позволяющая пользователю загружать произвольные файлы на сервер, что может привести к получению над ним полного контроля ⚠️ Специалисты канадского Университета Торонто предоставили технический анализ уязвимости GPUThor, дающей возможность "портить" память графических процессоров NVIDIA и исполнять код на уровне процессора ⚠️ В продуктах Ubiquiti закрыто три уязвимости максимального уровня, согласно сводке BleepingComputer ➕ Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности