Порвали два трояна
前往频道在 Telegram
Про ИБ в бизнесе, промышленности и многом другом 💼 Главный канал Kaspersky: @kasperskylab_ru Связь @KasperskyCrew
显示更多
网络:9 441
订阅者
-324 小时
+67 天
+4330 天
正在加载数据
标签云
进出提及
---
---
---
---
---
---
吸引订阅者
十月 '2610月 '26
十月 '26
+81
在5个频道中
九月 '26
+84
在5个频道中
Get PRO
八月 '26
+62
在3个频道中
Get PRO
七月 '26
+82
在5个频道中
Get PRO
六月 '26
+61
在6个频道中
Get PRO
五月 '26
+82
在4个频道中
Get PRO
四月 '26
+79
在3个频道中
Get PRO
三月 '26
+116
在8个频道中
Get PRO
二月 '26
+136
在9个频道中
Get PRO
一月 '26
+191
在3个频道中
Get PRO
十二月 '25
+434
在16个频道中
Get PRO
十一月 '25
+89
在2个频道中
Get PRO
十月 '25
+161
在12个频道中
Get PRO
九月 '25
+96
在3个频道中
Get PRO
八月 '25
+129
在5个频道中
Get PRO
七月 '25
+287
在23个频道中
Get PRO
六月 '25
+62
在2个频道中
Get PRO
五月 '25
+337
在7个频道中
Get PRO
四月 '25
+368
在12个频道中
Get PRO
三月 '25
+136
在19个频道中
Get PRO
二月 '25
+106
在5个频道中
Get PRO
一月 '25
+136
在4个频道中
Get PRO
十二月 '24
+959
在13个频道中
Get PRO
十一月 '24
+573
在6个频道中
Get PRO
十月 '24
+287
在9个频道中
Get PRO
九月 '24
+1 009
在5个频道中
Get PRO
八月 '24
+151
在4个频道中
Get PRO
七月 '24
+180
在9个频道中
Get PRO
六月 '24
+150
在11个频道中
Get PRO
五月 '24
+125
在3个频道中
Get PRO
四月 '24
+655
在9个频道中
Get PRO
三月 '24
+1 061
在12个频道中
Get PRO
二月 '24
+126
在3个频道中
Get PRO
一月 '24
+111
在5个频道中
Get PRO
十二月 '23
+513
在17个频道中
Get PRO
十一月 '23
+734
在16个频道中
Get PRO
十月 '23
+577
在11个频道中
Get PRO
九月 '23
+159
在0个频道中
Get PRO
八月 '23
+84
在0个频道中
Get PRO
七月 '23
+71
在0个频道中
Get PRO
六月 '23
+380
在0个频道中
Get PRO
五月 '23
+114
在0个频道中
Get PRO
四月 '23
+60
在0个频道中
Get PRO
三月 '23
+68
在0个频道中
Get PRO
二月 '23
+50
在0个频道中
Get PRO
一月 '23
+36
在0个频道中
Get PRO
十二月 '22
+83
在0个频道中
Get PRO
十一月 '22
+1 536
在0个频道中
Get PRO
十月 '22
+603
在0个频道中
Get PRO
九月 '22
+45
在0个频道中
Get PRO
八月 '22
+43
在0个频道中
Get PRO
七月 '22
+387
在0个频道中
| 日期 | 订阅者增长 | 提及 | 频道 | |
| 25 十月 | +2 | |||
| 24 十月 | 0 | |||
| 23 十月 | +7 | |||
| 22 十月 | +2 | |||
| 21 十月 | +7 | |||
| 20 十月 | +3 | |||
| 19 十月 | +2 | |||
| 18 十月 | +1 | |||
| 17 十月 | 0 | |||
| 16 十月 | +7 | |||
| 15 十月 | +4 | |||
| 14 十月 | +2 | |||
| 13 十月 | +6 | |||
| 12 十月 | +7 | |||
| 11 十月 | +1 | |||
| 10 十月 | +2 | |||
| 09 十月 | +4 | |||
| 08 十月 | +2 | |||
| 07 十月 | +2 | |||
| 06 十月 | +6 | |||
| 05 十月 | +9 | |||
| 04 十月 | +1 | |||
| 03 十月 | +1 | |||
| 02 十月 | +2 | |||
| 01 十月 | +1 |
频道帖子
Repost from Kaspersky
Знакомьтесь, победители финала Kaspersky CTF
Прямо перед началом Security Analyst Summit на этой неделе 14 команд-финалистов сошлись в серьёзной борьбе на очном финале Kaspersky CTF. В этом году особый интерес представляло одно задание, выполнить которое нужно было офлайн, без помощи поисковых систем или нейросетей🙃
Участники справились со всеми шестью заданиями, включая офлайновое.
Победители:
🥇BunkyoWesterns (Япония)
Команда участвует в финале SAS CTF третий раз, но не получала ни одного призового места в предыдущие два года. А в этот раз они сразу взяли золото!
🥈PwnSec (регион META)
Пришли на свой второй SAS CTF. После первой попытки команда сделала выводы, вернулась гораздо сильнее и заслуженно вошла в тройку лучших!
🥉 CUT (Россия)
Новички из Центрального университета устроили впечатляющий дебют! Именно они первыми справились с офлайн-задачей. А после заморозки видимой таблицы лидеров (scoreboards), когда они шли четвёртыми, команда в последний час буквально прорвалась в топ-3.
Наши поздравления чемпионам и спасибо всем 14 командам за впечатляющую демонстрацию знаний и умений!
#TheSAS2026 #CTF
| 2 |  +9⭐️ Краткие итоги Security Analyst Summit 2026
На нашей международной конференции ИБ-экспертов рассказали не только про новый буткит APT41 и обновлённые TTPs Lazarus. Эксперты из двух десятков стран поделились исследованиями про архитектуру нашумевших эксплойт-китов для iOS Coruna и DarkSword, способы ускорения реверс-инжиниринга при помощи ИИ, устройство ботнета Kimwolf, ошибки в OPSEC у APT36, уязвимостях для побега из изолированных сред ESXi, целой серии уязвимостей и мисконфигураций, разрушающих изоляцию клиентов у облачных провайдеров и даже то, как запустить Linux на PlayStation 5. Подробности и фрагменты докладов доступны в соцсетях конференции.
Специальный гость, вернее гостья в этом году — Жеральдин Фаснахт, знаменитая среди скайдайверов и фрирайдеров многочисленными впечатляющими спусками и победами в профильных соревнованиях.
Всего в конференции поучаствовали 180 делегатов из 26 стран, которые прочитали и послушали более трёх десятков докладов за два дня.
#TheSAS2026 #APT @П2Т | 628 |
| 3 | 👀 Скучали по буткитам? Тогда знакомьтесь с BlackX
Злоумышленники, предположительно входящие в кластер APT41, значительно доработали ранее известный код буткита BlackLotus и применили его в атаках на дипломатические организации в Центральной Азии. Буткит BlackX используется для закрепления в ранее скомпрометированных системах и долгосрочного шпионажа за жертвами. Эксфильтрация данных ведётся на публично доступные облачные сервисы: Google Drive, OneDrive, Яндекс Диск.
Примечательно, что ВПО пытается отключать СЗИ на хостах, включая продукты «Лаборатории Касперского», но с защитой ЛК трюк не проходит.
Хотя уязвимость в процессах безопасной загрузки (CVE‑2023‑24932), эксплуатируемая этими буткитами, была устранена ещё в 2023 году, Microsoft не торопится целиком блокировать уязвимые загрузчики, поместив их в список DBX. В результате, даже установив обновления Windows, администраторы могли оставить систему уязвимой, если проигнорировали рекомендации Microsoft: обновить съёмные носители и диски восстановления, применить опциональные меры дополнительной защиты.
Поэтому буткитом можно успешно воспользоваться даже на многих Windows-системах, которые обновлялись недавно.
Подробностями исследования вчера поделились на международной конференции Security Analyst Summit 2026, а сегодня они публично доступны на Securelist.
#TheSAS2026 #APT #Windows @П2Т | 883 |
| 4 | 🤯 Критические уязвимости в ядре PHP
Два критических дефекта в PHP будут устранены срочным патчем сегодня в 17:00 (мск), поскольку информация об этих дефектах утекла до того, как их закрыли в плановом порядке. Оба бага (CVE-2026-109618 и CVE-2026-109619) имеют рейтинг CVSS4B в 9.2 и могут привести к RCE на сервере, использующем PHP. Затронутые версии пока не подтверждены окончательно, но вероятно это все версии с 5 по 8.
В соцсетях бродит демо-видео эксплойта PHP2Shell, срабатывающего на многих серверах с проектами, использующими PHP: от WordPress до Magento. По предварительным данным, дефекты связаны с повреждением памяти и использованием уже освобождённой памяти в ядре PHP. Атака работает без аутентификации.
Многие эксперты ожидают, что эксплуатация дефекта в атаках начнётся буквально через 15 минут после того, как станут ясны детали уязвимости. Поэтому администраторы, ответственные за публично доступные веб-серверы на базе PHP должны освободить себе сегодняшний вечер для срочной установки обновлений.
#новости #уязвимости @П2Т | 1 330 |
| 5 |  🔥 Новые приключения Lazarus
Исследователи «Лаборатории Касперского» сегодня опубликовали анализ операции FlashHole группы Lazarus, нацеленной на организации в Южной Корее.
Атакующие компрометировали своих жертв, эксплуатируя уязвимости в CrossWeb EX — специализированном решении для финансовой безопасности, которое требуется для доступа ко многим сайтам онлайн-банкинга и государственным веб-ресурсам.
Почти все компоненты ВПО, кроме загрузчика, работают исключительно в памяти. Среди впервые выявленных компонентов — TouchHub и ClientHub, дополняющие уже известные модули, такие как TouchShift, LPEClient и Cubridge. В этой атаке впервые зафиксировано использование Lazarus алгоритма SNOW для шифрования, а также организация C2-трафика для LPEClient через новый компонент ClientHub с применением ML-KEM (CRYSTALS-Kyber) — недавно стандартизированного постквантового алгоритма инкапсуляции ключей.
Подробности атаки были представлены сегодня на Security Analyst Summit 2026.
Полный разбор TTPs и IoC уже на Securelist!
#APT #новости #TheSAS2026 | 1 014 |
| 6 |  ✅ Как безопасно внедрять облачных ИИ-агентов в разработку: опыт «Лаборатории Касперского»
Мы подготовили практическую методичку, которая поможет сделать разработку с ИИ-агентами кибербезопасной.
Что внутри:
🟢основные риски внедрения облачных ИИ-агентов в разработку ПО;
🟢подходы «Лаборатории Касперского» к защите — изоляция рабочей среды, многоуровневое журналирование, LLM Gateway и другое;
🟢чек-лист безопасного внедрения ИИ-агентов.
▶️ Скачайте по ссылке
Над документом работали:
🟢Игорь Кузнецов, директор Глобального центра исследований и анализа угроз «Лаборатории Касперского» (GReAT);
🟢Александр Лискин, руководитель управления исследования угроз;
🟢Владислав Тушканов, руководитель группы исследования технологий машинного обучения;
🟢Дмитрий Шмойлов, руководитель отдела безопасности программного обеспечения;
🟢Егор Михайлов, руководитель отдела развития инструментов и инфраструктуры;
🟢Владимир Рябинин, руководитель группы разработки. | 851 |
| 7 | Интересные исследования APT и новости ИБ за неделю
👀 Технический анализ PEERSTITCH — бесфайлового импланта для FortiGate, который группа CL-STA-0954/UNC5820 развернула после компрометации FortiManager в инфраструктуре сервис-провайдера (MSP). Злоумышленники применили FortiJump (CVE-2024-47575) и в конечном счёте получили доступ к конфигурации и криптографическим ключам для 500 обслуживаемых провайдером файрволов. Имплант модифицирует стандартные процессы FortiOS и скрывает свой трафик в уже существующем трафике легитимных приложений, не открывая никаких портов.
🔎 Обзор TTPs группы Silent Lynx/UAT-6275/TAG-193, которая провела как минимум восемь шпионских кампаний против госорганов в девяти странах СНГ, сосредоточившись на организациях в сфере дипломатии, природопользования, водных ресурсов и энергетики. В качестве приманок использовались документы Word с макросами и архивы WinRAR, эксплуатирующие CVE-2025-8088, вредоносные нагрузки размещались на GitHub. Авторы предполагают, что группа принадлежит к тому же кластеру угроз, что и Tomiris/Storm-0473.
😮 Новый вид «эфемерной» атаки на цепочку поставок. Группа UNC7017 скомпрометировала серверы обновления ПО AOMEI Backupper, но переключала их на раздачу ВПО лишь кратковременно. Исследователи задетектировали только три окна активности за два месяца, каждое длительностью всего 5-10 минут. С сервера загружалось ВПО CROSSROAD для профилирования жертвы и модульный бэкдор SHINYROAD для интересных мишеней.
🌐 Разбор недавней атаки UTA0576, в которой была применена цепочка 0day в Ivanti Connect Secure против полностью обновлённого устройства. Не разворачивая никаких бэкдоров, атакующие извлекли доменные учётные данные, пароли LAPS и ключи восстановления BitLocker. Уязвимость повышения привилегий в этой цепочке до сих пор не устранена.
🟠Обзор инструментария и TTPs группировки Insolent Hyena, которую по итогам анализа переквалифицировали в шпионскую. Используется новое ВПО NightStrike, а также импланты фреймворков AdaptixC2, Cobalt Strike и Havoc.
💻 Анализ TTPs операторов MicrosoftSystem64 RAT, который распространяется как минимум через 88 GitHub-репозиториев на темы AI-агентов и трейдинга, скрывающих вредоносные npm-зависимости внутри работоспособного ПО. Клонированные проекты, поддельная история коммитов и автоматизированные форки делают такие репозитории легитимными на вид, а один из них даже всплыл без явного запроса в ChatGPT и Google AI Overview.
👮♀️ Атакующий захватил как минимум 143 устройства в 34 странах, включая D-Link NAS, Ubiquiti NVR и, что самое интересное, серверы SAP NetWeaver, и превратил их в узлы сети домашних прокси IPRoyal.
📱 Технический анализ нового Android-банкера Hirudo, который подменяет приложения семи индонезийских банков их троянизированными копиями, имитирующими проверки подписи, Accessibility и Play Integrity. Он распространяется через фальшивые приложения для шопинга и просмотра коротких видео. Анализ конфигурации показал, что ВПО также нацелено на кражу учётных данных в Китае, Индии, Мексике, Марокко и Таиланде.
🟡 Разбор инфостилера Aoki. Его новые сборки крадут учётные данные и сессии ИИ-агентов Claude, Codex, Cursor, GitHub Copilot и Kiro. Похищенные ключи и токены позволяют злоумышленникам действовать от имени разработчика и получать доступ к связанным репозиториям и облачным сервисам.
🍏 Анализ Divine Seagull — модульного эксплойт-кита для iOS, который продаётся китаеязычным операторам мошеннических схем. В этом наборе заново упакованы уже известные цепочки уязвимостей из Coruna и DarkSword, он нацелен на устройства вплоть до iOS 26.1. Подтверждена работоспособность только WebKit-эксплойта, а использование в реальных условиях пока не зарегистрировано.
⌨️Как минимум 45 компьютеров в редакции Al Jazeera стали целью шпионского ПО Candiru/Integrity Labs. Примечателен способ инфицирования — это обычная реклама на крупных онлайн-площадках. Доставку ВПО только нужным мишеням помогла осуществить платформа компании Discover-Tech, фильтрующая интересные мишени при участии в рекламных аукционах. Исследователи назвали эту технику AdFection.
❗️ Cisco выпустила патч для CVE-2026-76519, активно эксплуатируемой уязвимости в Secure Email Gateway, позволяющей неаутентифицированному атакующему выполнять команды с правами root, отправив письмо со специально сформированным вложением. Уязвимы устройства с включённой функцией анализа репутации файлов.
🟢Не отстаёт и Palo Alto Networks — CVE-2026-0322 в интерфейсе управления PAN-OS даёт атакующим root-доступ к файрволам PA-Series, VM-Series и Panorama. Уже зафиксированы первые случаи эксплуатации.
🪲 Как минимум с 10 сентября злоумышленники эксплуатируют CVE-2026-110447 — инъекцию команд в приложении Collabora Online Built-in CODE Server для Nextcloud. После атаки разворачивают веб-шелл на PHP, ищут базы паролей и криптокошельки.
🟠PoC под названием AnyPwn эксплуатирует переполнение кучи в AnyDesk и позволяет получить root в Linux через TCP-порт 7070 ещё до подтверждения соединения. Обновляемся до версии 8.0.3.
⚙️ В ночь на 11 октября злоумышленники перевели сотни холодильных установок во французских супермаркетах, включая Intermarché и Super U, в режим разморозки через доступные из интернета контроллеры Danfoss, что привело к порче продуктов и нескольким возгораниям. В течение трёх дней число доступных из интернета интерфейсов Danfoss StoreView во Франции сократилось примерно на 70%.
#дайджест #APT @П2Т | 869 |
| 8 | 🌐 «Закладки» в криптокошельках, атаки через рекламу и другие важные новости конфиденциальности и личной ИБ
🤯 Производитель популярных холодных криптокошельков Ledger остановил продажи своих устройств через трёх официальных реселлеров в Азии, после того, как у нескольких клиентов, купивших устройства через официального реселлера CryptoBilis были украдены деньги на общую сумму $86 млн, а в их устройствах обнаружились несанкционированные изменения конструкции. Злоумышленники добавили в корпус чип, перехватывающий данные, отображаемые на экране, а также модуль 4G. Система самодиагностики Ledger не могла обнаружить закладку, поскольку ни криптографический модуль, ни память этими изменениями не затронуты. Но злоумышленники могли украсть сид-фразу при её выводе на экране. Здесь можно посмотреть на имплант и то, как за год выросло качество работы фальсификаторов. Кроме азиатских фирм, продажи временно остановили в MediaMarkt.
⚡️ Аналогичные импланты были обнаружены в криптокошельках Trezor, но только продаваемых через неофициальные каналы.
🕵️♂️ Производители шпионского ПО могут заражать интересных им людей через рекламные блоки на сайтах и в мобильных приложениях. Теоретически об этом было известно давно, но свежее исследование AdFection содержит доказательства и конкретику. В обнаруженной кампании профилирование жертв велось в 160 странах и охватило несколько миллионов пользователей. Число получивших эксплойты и шпионское ПО неизвестно, но наверняка это небольшие цифры. Исследователи обнаружили, что атаку проводили на 45 компьютеров, принадлежащих Al Jazeera. Ещё раз напоминаем о великой пользе блокировки рекламы.
🍏 Кстати о ней, по предварительным данным Apple планирует усилить блокировку рекламы на iOS.
🚓 В WhatsApp* появится функция «пригласить внешнего пользователя на звонок». По ссылка на созвон может зайти человек, у которого нет WhatsApp. С нетерпением, но без радости ожидаем, как этой функцией вооружатся «сотрудники службы безопасности банка» и другие мошенники.
💾 А в Signal наконец добавят возможность делать локальные зашифрованные резервные копии данных на iOS и Windows. На Android такая функция уже есть.
😵💫 Чушь про то, что из-за поражения ЦОД Яндекса в соцсетях уменьшилось количество ботов, распространяющих пропаганду и дезинформацию, вынуждены были опровергать даже в Cloudflare, чью картинку про обычный бот-трафик взяли для иллюстрации дезы.
🤖 В Google анонсировали в новых версиях Android защищённое пространство для запуска ИИ-систем прямо на устройстве, в изоляции друг от друга и от нерелевантных данных на смартфоне.
📱 Также в Google устранили 110 дефектов в Android, одна из уязвимостей применялась в целевых атаках.
🐩 Вышли новые версии Firefox и Chrome. Обещаны улучшения безопасности и поддержка нового графического формата JPEG XL (jxl).
*WhatsApp принадлежат компании Meta, признанной экстремистской организацией в России.
#дайджест #Азбука_ИБ @П2Т | 1 091 |
| 9 | 👻 Цифровая плесень? Уж точно не завтра
Антропики продолжают планомерную осаду моделей с открытыми весами и выпустили исследование с умеренно сенсационным заголовком «ИИ-модели могут быть способны к саморазмножению без доступа к ЦОД». Авторы заявляют, что уже через несколько месяцев модели смогут саморазмножаться, копируя себя на IoT-устройства вроде умных духовок и телеприставок. В СМИ, конечно, растащили цитату из исследования, в которой этот феномен назван цифровой плесенью.
Если вчитаться в исследование, смелые заявления из первого абзаца постепенно смягчаются до почти полного растворения.
1️⃣ В исследовании не пытались построить полноценный саморазмножающийся ИИ. Авторы поручили передовой модели с открытыми весами развернуть на IoT-устройстве инфраструктуру для инференса (генерации токенов в LLM). Установкой занималась модель GLM-5.2 (другие провалили задачу), но на симулированных жертвах разворачивали инференс на классической лёгкой модели Llama3.1-8B, которая значительно слабее по возможностям.
Следите за руками — если установить инференс на базе Llama удавалось, исследователи вручную разворачивали на «заражённом» устройстве код, который пытается развернуть Llama на следующих устройствах, обращаясь к GLM-5.2 на внешнем сервере. То есть разворачивают слабую модель, а думает сильная, и так каждый раз. Авторы спекулируют, что в будущем мощь текущей GLM-5.2 будет доступна в размере Llama3.1-8B, но делают это на основе стандартного бенчмарка ECI, который вовсе не заточен на предсказание кибер-возможностей ИИ.
2️⃣ Учитывая, что IoT-устройства не блещут ни скоростью, ни объёмами памяти, авторы применили систему организации распределённого инференса. В тесте ту же Ламу разделяли на 8 узлов. Большинство тестов проходило на мощных виртуалках, имитирующих Android 15. В двух экспериментах на живых IoT-устройствах скорость инференса лёгкой и быстрой Llama достигала шокирующих 0,9 токенов в секунду. То есть на осмысленный кусок работы у такой модели уйдут буквально недели — при условии, что ни одно из устройств «ботнета» за это время не отвалится, не перезагрузится, не будет очищено владельцем или заблокировано службами ИБ. Для более крупных моделей потребуется сильно больше устройств, со всеми сопутствующими побочками.
3️⃣ В тесте вообще остался за скобками вопрос поиска устройств-жертв и разведки, эксплуатации уязвимостей, получения повышенных привилегий, влияния всей этой активности на обычную работу устройства — всё то, что делает ботнет ботнетом. GLM 5.2 единственная справилась с задачей, при том что ей всего-то надо было подключиться к другому устройству по понятному адресу, по незащищённому порту ADB, без преодоления каких-либо защитных мер или технических ограничений.
В общем, работа показывает, что передовые модели могут иногда установить более слабую модель на IoT-устройство, которое будет невероятно медленно генерировать бесполезные для эксплуатации новых устройств токены. До «цифровой плесени» нужно сделать два огромных рывка — подтянуть передовые модели до выполнения задачи end-to-end, и сделать так, чтобы это можно было упаковать в лёгкую модель класса Llama 8B.
#новости #ИИ @П2Т | 1 329 |
| 10 |  🗣 Защищаем мобильные устройства сотрудников
Интерес злоумышленников к корпоративным и личным смартфонам только растёт. На них удобнее проводить социоинженерные атаки с «звонками от босса» или «из корпоративной техподдержки», проще выманивать коды аутентификации и устанавливать вредоносное ПО. Как защищать сотрудников от всего этого и держать парк мобильных устройств под контролем? Расскажем на стриме уже завтра, в четверг!
Покажем:
▶️что изменилось в последних релизах Kaspersky Secure Mobility Management и какие возможности появились;
▶️как управлять мобильными устройствами, приложениями и политиками из единой консоли;
▶️как защищать устройства от фишинговых звонков и нежелательного доступа.
Также разберем реальные повседневные сценарии — от удалённого управления устройством и предотвращения нежелательных звонков до новых команд для режима киоска.
Хотите узнать подробности или задать практический вопрос? Приходите на стрим завтра, в четверг, 15 октября 2026 в 11:00 (МСК).
Зарезервировать место на стриме ⟶
#события @П2Т | 4 096 |
| 11 |  🎃 Октябрьский листопад патчепад
Даже тем, кто презирает Хэллоуин, есть чем себя попугать в октябре. Например, новыми цифрами в бюллетенях об уязвимостях. В последние недели впервые появились CVE ID с шестизначными номерами. Telegram считает их номерами телефонов 🤪. Просто для примера: CVE-2026-111111.
Вчерашний Patch Tuesday тоже впервые в истории вырвался за пределы трёх разрядов, в нём 1414 CVE. В Microsoft поняли, что осмыслить такие крупные пакеты багов клиенты не в состоянии, и запустили группировку дефектов по «когортам риска». Попросту говоря, это группировка уязвимостей, которые эксплуатируются в одинаковых условиях и влияют на одни и те же системы. Когорты не замещают ни оценку критичности, ни индивидуальные бюллетени для каждой CVE. Это вспомогательный аналитический инструмент для тех, кто не использует автоматизированную платформу для учёта и оценки уязвимостей.
1102 дефекта в октябрьском пакете затрагивают Windows, 134 — Office, 36 — SharePoint Server, 22 — SQL server, 7 — Exchange Server. Подавляющее большинство (677) приводят к повышению привилегий, 317 — RCE, 40 — к обходу функций безопасности, 73 — DoS.
Критических дефектов устранено 86, из которых 68 приводят к RCE, 14 — к повышению привилегий, 3 — к спуфингу и 1 — к утечке данных. Помимо этого, две уязвимости были разглашены до устранения и одна эксплуатируется в реальных атаках.
Эксплуатируемый зиродей — CVE-2026-96951 (CVSS 8.8) является обходом функций безопасности в Windows Shell, он сухо описан как инъекция команд, позволяющая обойти функцию безопасности при доступе через сеть. За разглашение благодарят экспертов из Fujitsu и Anthropic. Все эти кусочки плохо складываются в паззл, ждём глубокого анализа.
Разглашены до устранения: CVE-2026-108398 (баг в .NET Framework, обход защиты WDAC) и CVE-2026-92707 (дефект в стороннем компоненте для сериализации MessagePack-CSharp, приводящий к DoS).
Среди прочих дефектов, сочетающих относительно простую эксплуатацию с серьёзным импактом, стоит обратить внимание на CVE-2026-65674 (RCE в SQL Server) -70571 (RCE в Exchange Server), -70229 (RCE в AD domain services).
В Adobe по мере сил стараются не отставать, в пакете обновлений устранили 174 дефекта в своих продуктах, среди которых выделяются критические уязвимости (CVSS 10) в ColdFusion и Commerce/Magento. Эти системы обычно доступны из внешней сети, что делает их особенно привлекательными для атакующих.
Пользователям SAP тоже не скучно, октябрьский бюллетень содержит 20 уязвимостей, включая CVE-2026-89111 — SSRF в Cloud SDK for Python. Уязвимость, потянувшая на CVSS 10, позволяет угнать токены OAuth.
Ещё один срочный патч вечером в понедельник выкатили в GitLab — CVE-2026-97229 (CVSS 10) позволяет неаутентифицированному пользователю выполнить код на сервере GitLab.
Если вы давно не слышали в новостях слово Ivanti, не беспокойтесь — всё стабильно, всё в порядке. Активно эксплуатируемая CVE-2026-104935 в Ivanti Connect Secure позволяет неаутентифицированному атакующему выполнить код на сервере.
Ещё одной шестизначной CVE «порадовал» Docker — CVE-2026-105445 в Docker Hub позволяет переназначать личные токены доступа (PAT), получая доступ к чужим репозиториям.
#уязвимости #Microsoft @П2Т | 1 147 |
| 12 |  🗣 Поспорим о стратегии ИБ?
Когда: 14 октября 2026 в 11:00 (МСК)
Стратегию ИБ создают не для комплаенса и не для того, чтобы CISO лучше выглядел на совете директоров. Главное — она позволяет сфокусировать ресурсы на снижении приоритетных рисков, быстрее реагировать на изменения и точнее оценивать результаты работы.
Но как сделать стратегию эффективной и работоспособной, а не формальным документом? Пройдём весь путь от разработки стратегии до проверки результата на онлайн-конференции AM-Live! Обсудим:
▶️ какой результат стратегия ИБ должна дать бизнесу и что вообще считать эффективностью ИБ;
▶️ как перевести бизнес-стратегию в конкретные цели ИБ;
▶️ на каком языке описывать киберриск бизнесу и кто должен принимать остаточные риски;
▶️ какой минимальный набор данных нужен, чтобы начать разработку стратегии;
▶️ как выявить процессы и меры ИБ, которые работают, но не дают соразмерного снижения риска;
▶️ какие показатели действительно показывают эффективность ИБ, а какие лишь создают красивый отчёт.
👤 От «Лаборатории Касперского» в дискуссии поучаствует Елизавета Комарова, solution architect.
Встречаемся в среду: 14 октября 2026
Нужна предварительная регистрация.
Узнать о конференции и зарегистрироваться ⟶
#события @П2Т | 1 079 |
| 13 | Интересные исследования APT и новости ИБ за неделю
🟢Разбор кампании Blinder Tunnel от CL-STA-1178, нацеленной на объекты КИИ Ирака, а также на телеком- и авиационные организации в Израиле и ОАЭ. Выдавая себя за рекрутёров Dubai Airports, атакующие отправили инженеру-программисту тестовое задание с троянизированным проектом Visual Studio. В качестве С2 применялись комментарии на GitHub.
🟢Злоумышленники захватили реестры национальных доменных зон .gh, .sl и .as, изменили DNS-записи и получили HTTPS-сертификаты для доменов Google и других известных брендов. Google заблокировала эти сертификаты в Chrome и добилась их отзыва у выпустивших CA.
🟢Появляются технические детали о серии атак на крупные южнокорейские банки. Атакующий использовал ПО для пентестинга ARTEX, а также DeepSeek, GLM-5.3, Grok и Claude Code. Эта комбинация позволяла находить слабо защищённые компоненты вспомогательной ИТ-инфраструктуры: порталы для брокеров и мобильные приложения для сотрудников.
🔵Анализ целевой фишинговой кампании UAT-11985 против лиц, связанных с тайваньскими исследовательскими организациями. Кампания использует приглашения на реальные политические мероприятия, но содержит вредоносные QR-коды, размещённые на подменённых постерах этих событий. Жертв поджидала атака AitM для похищения учётных данных Google и MFA.
🔵Обзор деятельности Earth Sirrush (пересекающейся с UAC-0099) за 4 года. Группа перешла от PowerShell-скриптов к скомпилированным .NET-имплантам, а в последних кампаниях прячет нагрузки более изощрённо: в картинках PNG и во вредоносном плагине для Notepad++.
🟣Новая атака червя Mini Shai-Hulud. Используя учётную запись администратора репозитория, атакующие внедрили его в npm-пакет tensorlake, имеющий около 106 тыс. загрузок в месяц. ВПО было опубликовано по всем правилам, через собственный workflow проекта, и неотличимо от легитимного релиза. Вредоносная нагрузка крадёт учётные данные, самораспространяется через похищенные токены и может удалить домашний каталог, если украденный GitHub-токен будет отозван.
🟣Подробный обзор платформы Midnight Mimosa, основанной на ВПО для рекламного мошенничества и организации прокси. ВПО было предустановлено в прошивке дешёвых Android-смартфонов более чем в 150 странах, прежде всего в Мексике, Франции и Италии. Тот же код также был обнаружен в 13 приложениях в Google Play.
🟣Анализ кампании FakeGit, основанной на сети из 17610 GitHub-репозиториев, распространяющих загрузчик SmartLoader. Атакующие выстроили инфраструктуру, позволяющую заменой одной ссылки в readme и одной командой push очень быстро обновлять вредоносные нагрузки. Около 700 задействованных аккаунтов, по всей видимости, принадлежат реальным разработчикам.
🔵Исследование ботнета PoeLLM, который эксплуатирует открытые серверы LiteLLM, Ollama, Gotenberg и Gitea, преимущественно в США и Западной Европе, для майнинга криптовалюты и дальнейшего распространения. Адрес C2 вычисляется из ключевых слов в стихотворении на GitHub, поэтому оператор может перенести C2, просто отредактировав текст.
🔵Разбор изощрённой кампании, включающей вредоносную рекламу Google Ads по запросу «claude mac», которая отображает в качестве домена bing[.]com, а затем перенаправляет пользователя через результат поиска Bing и скомпрометированный сайт на поддельную страницу загрузки Claude. Дальше в дело вступает ClickFix — кнопка копирования на этой странице подменяет легитимную команду установки Anthropic на команду, которая запускает вредоносный скрипт zsh.
🟣Технический анализ ClingSTUN — Linux-бэкдора, эксплуатирующего известные уязвимости в IoT-устройствах D-Link, TP-Link, Tenda и других производителей, чтобы превращать их в узлы сети домашних прокси. ВПО использует публичные STUN-серверы, маскируя свой трафик под VoIP и WebRTC.
🟣SonicWall раскрыла информацию о четырёх уязвимостях в устройствах SMA1000, среди которых наиболее критична CVE-2026-102255 (CVSS 10.0 🤯 ). Ханипоты уже зафиксировали попытки эксплуатации, соответствующие этой уязвимости.
🚓 Обзор мошеннических схем вокруг GTA VI. В преддверии ноябрьского релиза расплодились фальшивые сайты с «утечками», продающие «ранние билды» за сумму до $1000, а также поддельные сайты PlayStation Store, собирающие данные банковских карт.
#дайджест #APT @П2Т | 1 190 |
| 14 |  💰 DDoS против ИИ
Среди всех изменений в OWASP GenAI Top 10, наиболее впечатляюще выросла в приоритете проблема LLM06:2026, Unbounded Token Consumption. «ИИ-модель израсходовала все токены» стало популярной жалобой, и компании любого ранга (от ООО «Ромашка» до Microsoft и Uber) пытаются взять траты под контроль.
Кроме неэффективно организованной работы с ИИ, причиной избыточных трат могут быть и кибератаки. Эта разновидность угроз уже получила название denial of wallet — злоумышленники обращаются к ИИ-модели (боту техподдержки или другому публично доступному ИИ-инструменту), специальными запросами провоцируя перерасход токенов. Напрашивается аналогия с DoS, но если в классических атаках доступность серверов как правило восстанавливается сразу после окончания атаки, то с DoW дело похуже — надо будет восполнять потраченные бюджеты. При этом сжечь ИИ-бюджет любого масштаба можно довольно быстро и недорого.
Подробнее об этой угрозе и методах защиты от неё рассказали в новой статье в блоге Kaspersky Daily.
#советы #ИИ #угрозы @П2Т | 1 358 |
| 15 | 🔥Свежая уязвимость Netscaler, да, ещё одна
Вечером четверга, чтобы не было скучно на выходных, Citrix выпустили бюллетень об ещё одной критической уязвимости в NetScaler ADC и NetScaler Gateway. CVE-2026-107406 потянула на CVSS4B 9.5, правда, эксплуатации пока не замечено.
Проблема снова затрагивает устройства, сконфигурированные как SAML SP и SAML IdP, и позволяет провоцировать отказ в обслуживании или запуск произвольного кода специально сформированными запросами SAML. Кстати, появление в бюллетене RCE намекает, что в воскресном бюллетене CVE-2026-88779 выход на RCE тоже подтвердился.
Обновление уже выпущено, и лучше бы его установить поскорее. В блоге Citrix прямо ссылаются на на предыдущую пачку дефектов (CVE 2026-88779, CVE 2026-88771 по CVE 2026-88778), поэтому постэкспулатационную активность, которая успешно работала для тех CVE, злоумышленники смогут быстро адаптировать под новую уязвимость.
#новости #уязвимости @П2Т | 1 473 |
| 16 | 🔥 Свежая уязвимость Netscaler, да, ещё одна
Вечером четверга, чтобы не было скучно на выходных, Citrix выпустили бюллетень об ещё одной критической уязвимости в NetScaler ADC и NetScaler Gateway. CVE-2026-107406 потянула на CVSS4B 9.5, правда, эксплуатации пока не замечено.
Проблема снова затрагивает устройства, сконфигурированные как SAML SP и SAML IdP, и позволяет провоцировать отказ в обслуживании или запуск произвольного кода специально сформированными запросами SAML. Кстати, появление в бюллетене RCE намекает, что в воскресном бюллетене CVE-2026-88779 выход на RCE тоже подтвердился.
Обновление уже выпущено, и лучше бы его установить поскорее. В блоге Citrix прямо ссылаются на на предыдущую пачку дефектов (CVE 2026-88779, CVE 2026-88771 по CVE 2026-88778), поэтому постэкспулатационную активность, которая успешно работала для тех CVE, злоумышленники смогут быстро адаптировать под новую уязвимость.
#новости #уязвимости @П2Т | 139 |
| 17 |  Меры ИБ: регуляторика и реальное внедрение
Организация Secure Controls Framework, объединяющая специалистов по регуляторному соответствию (GRC), выпустила отчёт о состоянии индустрии. У отчёта есть даже лаконичная версия, не содержащая ничего, кроме графиков с результатами опроса участников SCF.
Интересные моменты, применимые и к нашим реалиям:
1️⃣ Два основных драйвера внедрения мер ИБ — требования регулятора и требования клиента. Интересно, что клиенты почти догнали регуляторов.
2️⃣ Программы GRC хорошо выполняются в очень маленьких организациях из-за низких требований к ним, и в очень крупных — из-за адекватно выделенных ресурсов. В среднем бизнесе наблюдается провал, когда требования уже высоки, а ресурсов их соблюдать недостаточно.
3️⃣ Среди ключевых проблем специалисты GRC выделяют ИИ-угрозы (фишинг и дипфейки), а на втором месте — управление внутренними внедрениями ИИ. Техдолг и устаревшие системы спустились на на третье место, с небольшим отрывом.
4️⃣ Zero-trust якобы внедрён в 43% небольших организаций, и в 68% крупных.
5️⃣ Самой «перегретой» (overhyped) концепцией в ИБ признан ИИ в SOC.
Полный отчёт
#статистика @П2Т | 1 472 |
| 18 |  🔥Kaspersky Container Security (KCS) теперь можно приобрести через Yandex Cloud Marketplace
Компании смогут развернуть KCS прямо из облака, что существенно сократит время установки.
При этом стандартизация стека технологий облачного провайдера обеспечит бесшовную интеграцию, автоматизированную установку и стабильную работу.
Продукт доступен по модели ежемесячной подписки с возможностью гибко масштабировать защищаемую инфраструктуру в зависимости от текущих задач.
Kaspersky Container Security поддерживает отечественные среды контейнеризации, включая операционные системы, реестры и оркестраторы, и подходит как крупному бизнесу, так и небольшим компаниям. Нашей защитой контейнеров уже пользуются такие компании, как «СберФакторинг», «Московский кредитный банк», «Магнит», «Домклик».
▶️Подробнее о последних обновлениях в KCS расскажем на стриме «Проактивная защита сред разработки» 8 октября — регистрируйтесь по ссылке! | 1 412 |
| 19 |  🔆 Реагирование на инциденты с серверами 1С
Многие атаки на российские организации включают компрометацию ПО 1С, поскольку компания доминирует на отечественном рынке ERP-систем. Поэтому знать основные особенности этой системы нужно как сотрудникам SOC, так и экспертам по IR.
В новой статье на Securelist разобраны основные практические моменты:
🔵 какие события на хостах 1С требуют внимания SOC и могут свидетельствовать о компрометации (спойлер: подозрительные дочерние процессы порожденные из ragent.exe, rphost.exe, rmngr.exe);
🟣 где искать артефакты на скомпрометированном сервере;
🟣 как анализировать журналы 1С и каким событиями уделять внимание;
🟣 что искать на клиентских машинах 1С.
Изучите статью и сохраните для коллег!
#советы #IR @П2Т | 1 692 |
| 20 |  🗣 Безопасный ИИ в компании: от выхода из тени до защищённой разработки
Когда: 7 октября 2026 в 11:00 и 15:00 (МСК)
Сценарии применения ИИ в бизнесе множатся быстрее, чем внедряются методики защиты. Не успели компании адаптировать меры ИБ к чатботам, как сотрудники перешли на агентские системы, которые имеют привилегированный доступ к внутренней инфраструктуре и даже пишут код применяемого в компании ПО. Как управлять этими рисками, обсудят эксперты на онлайн-конференции AM Live!
Мероприятие пройдёт в двух частях: первая посвящена безопасному применению ИИ для бизнес-задач, вторая — безопасности ИИ в разработке.
Темы первой части (в 11:00):
▶️ можно ли составить полный реестр ИИ в компании и как обнаружить теневой ИИ;
▶️ что делать с несанкционированными сервисами;
▶️ на что способен LLM gateway (ИИ-файрвол) и чего он не видит;
▶️ как управлять правами ИИ-агентов;
▶️ нужна ли агенту собственная identity или он должен действовать от имени пользователя;
▶️ какие три шага сделать в первую очередь, если использование ИИ в компании почти не контролируется.
Темы второй части (в 15:00):
▶️ что опаснее: уязвимый код, написанный ИИ, или данные, которые разработчик передаёт ИИ-агенту;
▶️ где внедрять начальный контроль ИИ-разработки: в IDE, на гейтвее, или в CI/CD;
▶️ чем подключение модели или датасета из публичного репозитория отличается от установки неизвестной библиотеки из npm или PyPI;
▶️ должен ли AIBOM стать обязательным артефактом релиза;
▶️ что нельзя проверить автотестами и всё ещё нужно отдавать на ИИ-редтиминг;
▶️какие проверки ИИ-когда скоро станут таким же обязательным элементом конвейера, как SAST и SCA.
👤 От «Лаборатории Касперского» выступят Алексей Беляков (в первой части) и Дмитрий Шмойлов (во второй).
Встречаемся уже в среду, 7 октября 2026!
Нужна предварительная регистрация.
Зарегистрироваться на первую часть ⟶
Зарегистрироваться на вторую часть ⟶
#события @П2Т | 1 692 |
