НеИБи

На югах снова похолодало Изучаем сводку по свежему независимому тестированию российских NGFW от «Инфосистемы Джет». Сразу стоит отметить, что единый стенд под тысячу показателей с реальным EMIX-трафиком не может не вызывать уважения. Тесты были приведены по 12 основным решениям, использующимся в стране. Отметим лишь главное: заявленные характеристики – это еще не конечный продукт. Под реальной нагрузкой, особенно с ростом базы правил, картина у многих меняется кардинально. ▪️ UserGate (F8010) вызывает вопросы Вендор заявляет для своего флагмана 195 Гбит/с на L4/L3. На практике же при нагрузке, эмулирующей живой корпоративный трафик, с 10 тыс. правил мы получаем: ▪️Пропускная способность падает с 8,57 Гбит/с (200 правил) до 0,787 Гбит/с (-91%). ▪️Активные соединения с 10,3 тыс. до 914 (-91%). ▪️Новые соединения в секунду с 8,28 тыс. до 715 (-91%). ▪️Пакеты в секунду с 1,25 млн до 114 тыс. (-91%). Впрочем, очень стабильные 91% – тут не поспорим. ▪️ С-Терра «Экран-М» и PT NGFW Оба решения показали наиболее предсказуемые результаты. «Экран-М» на технологии VPP держит 23-25 Гбит/с при любом количестве правил, практически без падения. PT NGFW также стабильно проходит нагрузочные профили, подтверждая свою репутацию. Оба игрока в ближайшем году однозначно могут рассчитывать на солидный кусок пирога у старожилы рынка. «Катунь Электронике» с UGом стоит поднапрячься в ближайшее время, вступая в сетевую гонку еще и по новым фронтам. ▪️Check Point и InfoWatch «ARMA Стена» — в пределах ожиданий. Эти вендоры теряют чуть больше трети полосы при росте правил. Впрочем, это компромисс, характерный для продуктов такого класса. Публичных исследований такого уровня критически мало. «Инфосистемы Джет» делают большое дело – снимаем шляпу каждый раз. Объективные данные обновились, и выбор становится чуть более осознанным. Обновится ли подход к маркетингу и пяру у UGов, будем наблюдать. А пока перечитаем прекрасную прошлогоднюю ветку на хабре про реалтайм тест G9300 на 7.2 @antiinfosec

Возвращаем страх перед публичными зарядками Больше 13 лет сотрудничества ЛК и Qualcomm, где последние всячески помогали безопасникам погружаться на самые низкие уровни своих чипов, вылилось в найденную дыру. Да еще какую. Эксперты Kaspersky ICS CERT нашли аппаратную уязвимость в загрузочной прошивке (BootROM) чипсетов Qualcomm Snapdragon. Проблема затрагивает устаревшие модели серий, но не флагманы. Уязвимость (CVE-2026-25262) позволяет через протокол Sahara в режиме экстренной загрузки EDL внедрить вредоносный код до запуска ОС. Для этого нужен физический доступ через кабель, однако риск есть даже при подключении к недоверенным USB-портам, например зарядкам в аэропортах или отелях. Особенно неприятно, что обычная перезагрузка не поможет. Злоумышленник может настроить систему так, что она будет лишь имитировать рестарт. Гарантированно очистить состояние устройства можно только полным отключением питания, например, дождаться полной разрядки аккумулятора. Удалить такое вредоносное ПО почти невозможно, а контроль над камерой, микрофоном и данными может сохраняться годами. К счастью, атака целевая и массового заражения через интернет не будет. Но производителям (Qualcomm и вендорам вроде Samsung, Xiaomi) придется выпускать обновление прошивки BootROM – это единственный способ закрыть брешь. Пока же устройство может быть скомпрометировано даже до того, как попадет к пользователю, на этапе ремонта или поставок. @antiinfosec

Хлебнем лиха Захотелось завести отдельные постоянные/непостоянные рубрики в канале. Например, про зоопарк хакерских кластеров и группировок. Рабочего название пока не устоялось (как и у большинства таких шаек). Как вариант, Hactional Geographic или APTional Geographic, но ждем ваши варианты в комментариях. У каждого крупного исследовательского центра есть свой бестиарий с крайне изысканными названиями, состоящими обычно из прилагательного и существительного. И все они крайне условные и часто пересекаются. В много это связано с тем, что в реальности один и тот же хакер может спокойно перетекать из группы в группу, а повторно используемые эксплойты и общие C2 окончательно путают карты. Так что к именам относимся как к рабочим псевдонимам – удобно, но за явку с повинной не принимаем. Начнем, не с самых раскрученных типа DarkSide или REvil, а тех, кто тихо и лихо делает свою работу. Первый кандидат – сравнительно молодая APT Geo Likho. Такое литературное имя им подарили в ЛК. У них уже накопился целый зоопарк со словом «Likho» (оно же старое недоброе «Лихо»): Librarian Likho, Awaken Likho, Angry Likho, Mythic Likho. Это не одно семейство, а разные формирования. Видимо просто кому-то в ЛК очень нравится называть вещи своими именами. Лихой мотив здесь больше про подчерк и инструментарий, а в конкретном случае это целевое использование фишинга на русском языке и схожие трехступенчатые цепочки заражения (от BATCH-файлов до кастомных имплантов). Все они так или иначе направлены на длительный кибершпионаж в России и Беларуси с кражей данных, но не вымогательством. Geo Likho отслеживают с июля 2024 года, но отдельной группой официально признали только в 2026. Ее профиль – это длительный кибершпионаж без вымогательства. По странам, обычно Россия и Беларусь. Есть и единичные инциденты в Германии или Сербии (тут списываем на случайность, так как слишком уж славянская языковая специфика в письмах). Цели: ▪️Авиационная промышленность ▪️Судоходные компании ▪️Госструктуры и образование. Технически группа интересна редким для современных APT приемом. Начинают с фишинга с VBE-скриптами (закодированные VBS-скрипты винды, позволяющие скрытно запускать вредоносный код), а не с макросами или эксплойтами. Дальше та самая трехступенчатая цепочка: загрузчик, тривиальный шпион на Delphi, потом полноценный имплант на C++. Воруют документы, делают скриншоты, перечисляют программы. Кстати, раньше похожие атаки приписывали трояну Batavia, но теперь выяснилось, что это ранняя версия инструментария Geo Likho. Так что новичок с опытом, но пока без имени. То есть да, перед нами краснокнижный вид, однако с особенными навыками для выживания. В арсенале системная и хорошо финансируемая охота за корпоративными тайнами. Geo Likho действует по принципу «тише едешь, дальше будешь», как ленивец. 200 успешных атак за 7 месяцев. Будить лихо, пока оно тихо мы не планируем, но продолжим наблюдать. @antiinfosec

Любовь зла — полюбишь и дырявый код Генератор сайтов Lovable столкнулся с новой утечкой: в интернет могли попасть личные данные пользователей, чаты и исходный код всех проектов, созданных до ноября 2025 года. Компания, чьими услугами пользуются Uber, Zendesk и Deutsche Telekom, больше месяца игнорировала сообщения об уязвимости. По словам "белого хакера", нашедшего ошибку, ему хватило пяти API-запросов, чтобы получить доступ к профилю другого пользователя, а уже через него извлечь доступы к базе данных. Тушить пожар прибежала пиар-команда Lovable, но что-то пошло не так. В компании сначала заявили, что проблема коснулась только пользователей с «публичными настройками видимости». Затем схватились за голову: степень открытости в документации не была описана достаточно прозрачно, да и доступность отдельных элементов менялась со временем.

«Публичный проект означал, что весь проект, включая чат и код, был общедоступным. Со временем мы поняли, что это сбивает с толку. Многие пользователи думали, что слово "публичный" означает, что другие могут видеть их опубликованное приложение, а не чат в неопубликованном проекте. Это вполне логично», — поделились откровением в в компании.

Одумавшись, в Lovable сначала закрыли публичный доступ для корпоратов (в мае), а к декабрю дошли и до free tier. А то, что нашли сейчас — это ошибка в бэкенде, куда затесался старый API-доступ. Сообщение о уязвимости вообще затерялось у партнёров из HackerOne. И разбираться в этом начали только с понедельника. Самое смешное, что год назад тот же Lovable несколько месяцев подряд генерировал сайты с критической уязвимостью. Стартаперы забыли настроить СУБД, из-за чего хакеры могли получить доступ к данным сразу 170 веб-приложений. Впрочем, инвесторов скандал не смутил: к концу года оценка компании достигла $6,6 млрд. @anti_agi

Кастодиальное ограбление за шесть минут У Grinex случилось то, что будто должно было случиться. История у биржи не то чтобы прозрачная. Преемник закрытой Garantex, рублевый стейблкоин, санкции США, офис в Москва-Сити. Теперь еще пропажа денег. На днях хакеры за шесть минут вывели с кошельков биржи больше 1 млрд руб. Похищенное конвертировали в TRX через децентрализованную площадку sun.io и свели на одном кошельке. Работу сервиса приостановили, вывод заблокировали. Сама Grinex заявила о кибератаке с признаками участия зарубежных спецслужб и «ударе по финансовому суверенитету России». Но независимые аналитики считают иначе. Схема слишком прямая, а масштаб мелкий для межгосударственной операции. Скорее обычное ограбление, просто громкое. Вряд ли кто-то с ксивами под мышкой так просто бы сводил награбленное на одном кошельке. Для контекста важно напомнить‼️ Grinex появилась в конце 2024 года в Кыргызстане как наследница Garantex, которую уже весной 2025 года накрыли США. В августе 2025 OFAC ввел санкции и против Grinex за обход санкций. Там же активно торговался рублевый A7A5. А теперь этот инцидент. Пока имеем немного: взлом подтвержден, средства утекли, версия о спецслужбах — заявление самой биржи. Дальше посмотрим, что покажет блокчейн-аналитика и возбудят ли уголовное дело. @antiinfosec

КИИ закручены туговато Нехватка кадров в КИИ достигла 43% – таков основной вывод сделали RTM Group после опроса более 500 организаций. Требования регуляторов и реальные возможности бизнеса окончательно разошлись. Стабильность ключевых отраслей под вопросом, а бюджетные деньги уходят на имитацию бурной деятельности и закупку коробок в шкаф. Рядовых ИБ-шников в КИИ не хватает более чем на 50%, дефицит управленцев оценивается на четверть. Поиск одного спеца занимает от 3 до 15 месяцев. Зарплата ответственного за КИИ – 150 тыс. рублей (в 1,5-2 раза выше рынка), но компетенции каждого второго новичка не соответствуют задачам. 86% объектов покатегорировали, но реально закупать и внедрять защиту начали только 15%. Ну а как могло быть иначе? Сотня с лишним актуальных документов (187-ФЗ, указы, приказы ФСТЭК и ФСБ). Специалисты сутками штудируют регламенты вместо того, чтобы заниматься практической защитой. Тем временем и со стороны ФСТЭК все выглядит не менее плачевно. Еще в конце января регулятор отмечал, что по итогам проверки 700 значимых объектов КИИ выявлено более 1,2 тыс. нарушений. Минимального уровня киберзащиты – от злоумышленников «с минимальными возможностями» – достигли лишь 36% организаций. Среди ключевых причин – системное отстранение ИБ-специалистов от бизнес-процессов, отсутствие полного учета IT-активов и, как следствие, незнание собственных слабых мест. И получается, с одной стороны регулятор, который выбирает все более кроваво-красные оттенки для выделения самых опасных мест, с другой стороны бизнес, который пытается все эти требования закрыть с минимальными тратами, а между ними несколько (дай бог десяток) безопасников с не менее кроваво-красными глазами пытаются держать хоть какой-то уровень безопасности, постоянно отвлекаясь на обе стороны. @antiinfosec

Букинг снова забыл закрыть дверь 13 апреля Booking.com года признал очередную утечку данных о бронированиях. В открытый доступ попали имена, телефоны, емэйлы, адреса, даты поездок и переписка с отелями. Платежи, по заверениям компании, не пострадали. Масштаб и вектор атаки не раскрываются, но по косвенным признакам – снова через компрометацию аккаунтов отелей, как уже бывало. И это не первый, не второй и даже не третий эпизод. В 2016 данные клиентов утекали через взлом серверов (и тогда компания это скрывала). В 2019 дважды: сначала через софт Prestige Software утекло 10 млн записей, потом хакеры через соцфишинг вытащили данные из 40 отелей. Booking тогда получил штраф €475 тыс. от голландского регулятора за запоздалое уведомление. В 2023 опять фишинг через внутренние мессенджеры платформы. И вот те же грабли. Отдельный сюрприз для тех, кто в РФ. Booking.com официально ушел из России в 2022 году, не принимает оплату картами российских банков, поиск по отелям внутри страны недоступен. Но многие продолжают им пользоваться для поездок за рубеж. Через VPN, карты других стран и прочие танцы с бубном. Ирония в том, что теперь данные таких пользователей тоже в неизвестной степени утекли. А поддержки от компании в случае проблем ждать не стоит – ее просто нет. 🔤🔤Здесь могла быть реклама Tutu.ru или «Яндекс.Недвижимости» как альтернатив Букингу, но — увы. Первый в 2022 «порадовал» утечкой: в открытом доступе оказались ФИО, телефоны, email и даже паспортные данные клиентов, а спустя годы (в 2026) в сеть слили полную базу на 26,5 млн строк. Второй вообще отличился масштабно: в 2023 в сеть утекли исходники почти всех сервисов компании — 45 ГБ кода, включая документацию и ссылки на рабочие чаты. Так что Booking если и выигрывает, то только в номинации «Постоянство». Кстати, общий тренд в туризме неутешительный. По данным InfoWatch, на отрасль пришлось 6,1% всех публичных утечек в РФ в 2025 году. В майские праздники объем вредоносного бот-трафика на сайтах туроператоров вырос в 2,5 раза. А глобально на туризм пришлось около 8% всех взломанных аккаунтов в мире. В апреле 2025 исследователи нашли больше 95 тысяч уязвимостей в гостиничных платформах, из них 14 тысяч – критические. @antiinfosec

Ботнетом единым Тут очередная страшилка от Ростелекома про ненациональный мессенджер. Но если отбросить подколы, ситуация и правда выглядит критично. Специалисты Центра кибербезопасности РТК-Сервис поймали WhatsApp* за необычной активностью. Приложение на Android стучится на административные порты 22 (SSH) и 21 (FTP) зарубежных хостов и устанавливает скрытые соединения с серверами управления ботнетов. Для мессенджера такое поведение нештатно. Сети назначения постоянно меняются, а сам трафик по сигнатурам неотличим от работы зараженного устройства или бэкдора. Это значит, что штатные средства мониторинга теряют способность отличать легитимную активность WhatsApp* от реального вторжения. Массовое использование мессенджера в корпоративной среде делает качественную фильтрацию практически невозможной без блокировки конечных устройств. Если приложение действительно действует как ботнет-клиент или позволяет внешним серверам удаленно управлять устройством, злоумышленники могут собирать чувствительные данные, перемещаться по сегментированной сети и использовать зараженный гаджет как плацдарм для распространения вредоноса. ОДНАКО‼️ Есть несколько вопросов. Кроме стандартного "где пруфы, Билли?", хотелось бы какую-то статистику увидеть или примеры поподробней. Названный ненациональный мессенджер, конечно, трудно назвать надежным, поэтому мы уже видели разные отчеты об уязвимостях в нем, но они как-то описывались иначе будто. Так что, продолжим наблюдать пока что. *WhatsApp — принадлежит Meta, признанной в России экстремистской организацией и запрещенной на территории Российской Федерации. @antiinfosec

Махай как бабочка, жаль багрепорт Национальный мессенджер Мах, как выяснилось на выставке «Связь-2026», содержал не менее 200 уязвимостей, и неизвестно, сколько еще содержит. Отчеты собирали через программу Bug Bounty на платформе Standoff. Всего принято 288 репортов из 454 сданных, общая сумма выплат белым хакерам составила почти 22 млн руб., средняя выплата за последние 90 дней – 349 тысяч. Один из исследователей рассказал «Коммерсанту», что чаще всего в мессенджерах находятся уязвимости с вектором IDOR, позволяющим подменять идентификатор объекта в запросе и получать доступ к чужим данным. Помните про чужие кружочки? Вот и белые хакеры помнят. Надеемся, что только белые. Кстати, по нашим данным из этих 22 млн в прошлом году единоразово кому-то выплатили около 3-4 лямов в одни руки. Разумеется, за дело. Точно сказать за что не можем, но судя по прайс-листу из Standoff речь могла идти о получении доступа к местоположению определенных пользователей в реальном времени. То есть вектор атаки позволял не просто читать переписку, а отслеживать перемещения жертвы в режиме онлайн. Для мессенджера, позиционируемого как "национальный" и "защищенный"‼️, такая дыра — уровень, близкий к катастрофическому. Хорошо, что ее обнаружили команда белых магов хакеров. Хотелось бы видеть не только охоту за геолокацией на парковке, а полноценный отчет о том, что сделано на уровне архитектуры, модели угроз и регулярного пентеста до выхода в прод. @antiinfosec

Утекло на 1,2 млн флешек Хакер под ником FlamingChina утверждает, что взломал National Supercomputing Center (NSCC) в Тяньцзине — один из ключевых государственных суперкомпьютерных хабов Китая. На тематическом форуме некий «airbornshark1», зарегистрированный в марте 2026, опубликовал начало торгов по такому сливу. Причем образец уже опубликован на Меге. Заявляются оборонные материалы по ракетам, истребителям и аэрокосмическим симуляциям. Там аж 10 петабайт данных. Ключевое: Доступ якобы получен через скомпрометированный VPN-домен. Данные вытягивались ботнетом примерно 6 месяцев. Образцы выложены в Telegram 6 февраля 2026. Центр обслуживает 6000+ клиентов, включая оборонку и науку. Если цифры верны, это одна из крупнейших утечек в истории – 10 PB превышают объемы многих известных взломов (Equifax – 150 ГБ, Yahoo – 3 ТБ). Впрчоем, подтверждений пока нет. CNN и Tom's Hardware ссылаются на заявления хакера, но без независимой верификации. Китай молчит. Очень интересно, но как проверить – непонятно. 10 петабайт – это 834 жестких дисков по 12 ТБ или 1,2 млн флешек на 8 Гб. Куда скачивать в условиях дорогой памяти, как хранить и обрабатывать – загадка даже для ИБ-исследователей. Очень ждем и следим. @antiinfosec

За SIEM все Похоже, Яндекс решил напомнить всем, что он еще существует в сфере ИБ. Теперь у них есть свой SIEM. Пресс-релиз звучит бодро, как будто речь о чем-то революционном. Но если честно, SIEM давно уже не тот сегмент, где можно удивить хоть кого-то. Это не квантовые вычисления и не автономная кибероборона — просто зрелый инструмент для корреляции событий, который в мире ИБ занимает не такую уж значительную часть инфраструктуры. Индустрия давно движется дальше. Автоматизация, XDR, управление рисками, построение ZTNA – вот где авангард. А SIEM – это все та же база для логов, аналитики, немного корреляции и очень много рутины. Ну и про «ИИ под капотом» тоже трудно всерьез воспринимать. Сегодня без ИИ не выходит даже пресс-релиз, но в большинстве таких случаев речь идет о паре моделей для приоритизации алертов, а не о чем-то принципиально новом. Интересно что там с брокером сообщений, кстати. Не Кафка ли часом? Мы правда не про токсичность. В Яндексе сильные ребята по ИБ, без вопросов. Просто размах посева такого инфоповода поражает. @antiinfosec

Сегодня у ИБ-рынка есть два оттенка: ▪️ Positive Technologies: прибыль удвоилась ▪️ Лаборатория Касперского: первый убыток в истории компании @antiinfosec

Госсектор на барабане Расходы российских госкомпаний на информационную безопасность чаще всего не превышают 1 миллиона рублей в год. Согласно свежему исследованию «СерчИнформ», 34% государственных учреждений выделяют на эти цели до 500 тыс. руб., а 15% - от 500 тыс. до 1 млн. Еще 9% организаций и вовсе не имеют бюджетов на ИБ. При этом о росте финансирования сообщили 32% респондентов, но большинство (52%) оставили его на прежнем уровне. Основной драйвер инвестиций - требования регуляторов (60%), а не реальная защита от угроз, которую назвали лишь 18% опрошенных. Для сравнения, в частном секторе разброс гораздо заметнее. Малый и средний бизнес в России в среднем тратит на кибербезопасность от 100 до 500 тыс. рублей в год, и лишь 4% компаний могут позволить себе более 5 млн. А вот крупный бизнес вообще не скупится. Четверть крупнейших отечественных компаний выделяет на ИБ свыше 100 млн руб. в год. В мире же правительства тратят совершенно другие деньги. Польша в 2025 году заложила на кибербезопасность 4 млрд злотых (около 933 млн евро), Франция – 2 млрд евро, Германия – 3,5 млрд евро, а Великобритания – 2,6 млрд фунтов. Мировые расходы конечных пользователей на ИБ, по прогнозам Gartner, в 2025 году составят 213 млрд долларов. Информационная безопасность, судя по цифрам, действительно становится все более заметной статьей расходов – как в России, так и в мире. Другое дело, что в государственном секторе эта тенденция пока выражена слабее, чем в частном, и зачастую носит вынужденный, регуляторный характер. Но с учетом роста числа кибератак и ужесточения требований, тратить на защиту данных и инфраструктуры, скорее всего, придется больше. @antiinfosec

Под флагом Минцифры Последние пару недель Минцифры, пожалуй, главный ньюсмейкер в цифровой повестке. Сначала проработка мер по снижению использования VPN без прямых запретов для пользователей, потом поручения операторам и цифровым платформам, дискуссии о возможной ответственности. Ведомство на слуху, его названием пестрят заголовки — и, конечно, это не могло остаться незамеченным по ту сторону трансграничного ТСПУ (да и по эту, что греха таить). На таком информационном фоне мошенники решили действовать максимально прямолинейно и сыграть на новостном хайпе. В ход пошла свежая схема, которую недавно зафиксировало МВД. Людям приходят сообщения якобы от Минцифры. Суть короткая и тревожная: на имя получателя оформлена некая доверенность. Звучит угрожающе и размыто. Что именно за документ, кому переданы полномочия – неизвестно. Именно это и нужно злоумышленникам, чтобы спровоцировать мгновенную реакцию. Человек в панике набирает указанный номер, и тут начинается по-классике. На том конце провода отвечают уже не безликие роботы, а живые голоса. Собеседники представляются сотрудниками госорганов или силовых структур. Жертве объясняют: от вашего имени уже что-то нарушается, ситуация серьезная, медлить нельзя. Чем дольше длится разговор, тем плотнее становится давление. В ход идут вымышленные проверки, намеки на уголовные последствия, требования срочно что-то предпринять — паузы и возможности остановиться и подумать жертве просто не дают. В киберполиции подчеркивают, что информация в таких сообщениях не берется с потолка. Данные о так называемом доверителе подбираются заранее. В одном из задокументированных случаев там фигурировал человек из публичных реестров, что добавляет происходящему иллюзию реальности и не оставляет шанса усомниться. Итогом разговора становятся три стандартных сценария: выманивание большего количества чувствительных данных, кодов подтверждения или прямой перевод денег под предлогом защиты от последствий. Получается, теперь мало того, что Минцифры ломает вам интернет во имя «безопасности», так еще и мошенники от его имени готовы оформить на вас доверенность. Осталось дождаться сообщения от Роскомнадзора с просьбой срочно задекларировать душу. А если серьезно. Когда госорган начинает слишком часто мелькать в новостях, жди подставы. @antiinfosec

От карт с деньгами к реальным убийствам Промышленный и медицинский интернет вещей все чаще становятся мишень злоумышленников. Более того, специалисты ЭАЦ InfoWatch отмечают, хакеров больше не интересуют только деньги и данные – в здравоохранении атаки все чаще направлены на прямое нарушение процессов лечения и физический вред пациентам. Инфузионные насосы, томографы и рабочие станции становятся оружием в руках вымогателей, хактивистов и APT-группировок. Последствия выглядят пугающе: 56% организаций сообщают о задержках процедур, 53% – о росте осложнений, а 28% – о повышении смертности после киберинцидентов. За год количество атак на IoT в транспорте выросло на 382%, в энергетике и ЖКХ – на 495%, в строительстве – на 410%. При этом промышленность и транспорт уже занимают 40% всех мировых инцидентов с интернетом вещей. Что в целом логично, учитывая утверждение, мол число подключенных к сети устройств удвоится к 2035 году, а уровень их защиты вечно отстает от темпов роста. Российский рынок промышленного IoT пока составляет лишь 0,5% от мирового, но к 2030 году он должен удвоиться, а медицинский – вырасти в 2,5 раза. Вслед за этим пропорционально вырастет и число атак. И если раньше геополитические хакеры ограничивались шпионажем, теперь они переходят к диверсиям на критически важных объектах. При этом злоумышленники все чаще используют тройное вымогательство – шифруют данные, угрожают публичным разоблачением и манипулируют физическими процессами производства или жизненно важных процессов. @antiinfosec

Тихий карманный шпион Специалисты McAfee раскрыли схему распространения вредоносного ПО под названием Operation NoVoice, нацеленного на устройства Android. Зловред маскируется под полезные приложения вроде менеджеров файлов или оптимизаторов батареи, но на деле получает доступ к микрофону, контактам и смс. Самое неприятное, что он умеет незаметно записывать телефонные разговоры и окружающие звуки, после чего отправляет их на сервер злоумышленников. Основной канал заражения: поддельные сайты и магазины приложений, не связанные с Google Play. Попадая на смартфон, троян запрашивает разрешения на специальные возможности и службу доступности, что позволяет ему перехватывать ввод данных и даже управлять устройством. Пользователь видит лишь обычную иконку, а вредоносная активность происходит в фоне, без лишних уведомлений. При этом зловред избирателен. В его коде прописано 15 разных проверок — на наличие эмулятора, отладочных утилит и активного VPN-соединения. Отдельно зашито исключение для нескольких китайских регионов, включая Пекин и Шэньчжэнь. Если устройство находится там, вредонос активироваться не будет. Когда геолокация недоступна, он просто продолжает работу без остановки. После закрепления NoVoice связывается с управляющим сервером и собирает максимум данных об устройстве. Характеристики железа, версию ядра, сборку Android и уровень установленных патчей, список всех приложений и наличие root-прав. На основе этого подбирается стратегия дальнейшей атаки. В цепочке эксплуатации используется 22 уязвимости. Ошибки работы с памятью в ядре и проблемы в драйверах графических чипов Mali. Их комбинация дает злоумышленникам полный контроль над системой и позволяет отключить SELinux, снимая встроенные механизмы защиты. После этого вредонос каждые 60 секунд стучится на сервер управления и подгружает свежие модули. @antiinfosec

🔐Реальные расходы на виртуальные сети Ну не можем обсудить ситуацию вокруг VPN. Денис Бандалетов из Angara Security обрисовал ее так: чем плотнее регулятор закрывает контуры, тем дороже и сложнее становится обычный доступ к внешним ресурсам. Компании больше не используют VPN как вспомогательный инструмент – теперь это полноценная инфраструктура с отказоустойчивостью, управлением и юридически корректными схемами подключения. Публичные сервисы отпали. Ни по безопасности, ни по стабильности они уже не проходят. Самый болезненный момент – это экономика. К лицензиям и каналам связи добавились затраты на оборудование, мониторинг, управление ключами и выполнение регуляторных требований. И это при том, что главный финансовый удар, возможно, еще впереди. Если введут тарификацию трансграничного трафика, даже скромные 10 Мбит/с, по оценке эксперта, обойдутся бизнесу более чем в 100 тыс. руб. в месяц. Для многих компаний это не просто статья расходов, а вопрос рентабельности самого присутствия во внешнем сегменте. Отдельно Бандалетов обращает внимание на типичную иллюзию: VPN не решает все проблемы безопасности, он лишь переносит точку контроля. Но в текущих реалиях даже этот перенос становится сложной инженерной задачей, за которую бизнес вынужден платить все больше. Регулятор продолжает ужесточать правила, а бизнес приходится продолжать адаптироваться, каждый раз обнаруживая, что очередной виток ограничений оборачивается не просто техническими сложностями, а прямыми и очень ощутимыми расходами. @antiinfosec

Стоит прислушаться к мату Хакеры пристрастили свои вредоносы к шахматам и музыке. Злоумышленники все чаще используют публичные легитимные сервисы как тайники для управления вредоносным ПО. Техника Dead Drop Resolver заключается в том, что адрес управляющего сервера не зашит в тело программы, а извлекается из внешнего источника. Например, из описания профиля на Chess.com или названия плейлиста в Spotify. Вредонос запрашивает обычную публичную страницу, парсит ее и получает актуальную команду. В недавно обнаруженной кампании стилера MaskGram используется именно такой механизм. После заражения программа обращается к нескольким источникам: помимо уже привычных Steam и Telegram, в ход идут профили на шахматном портале и плейлисты музыкального стриминга. Алгоритм извлечения прост: семпл ищет в коде страницы определенные маркеры, вырезает нужную строку и при необходимости расшифровывает ее. В результате вместо прямого обращения к подконтрольному серверу трафик выглядит как обычный пользовательский запрос к популярному ресурсу. Это делает классические методы блокировки практически бесполезными. Запретить доступ к Chess.com или Spotify нельзя (обычно нельзя) — это затронет легитимных пользователей, а менять контент в публичных профилях злоумышленник может буквально на лету, без обновления самого вредоноса. Такой подход значительно повышает живучесть инфраструктуры и усложняет как атрибуцию, так и построение надежных сигнатур для защиты. @antiinfosec

Думаю, что все уже наслышаны про планы Минцифры надавить на Apple. Для тех, кто в танке «белых списках»: в министерстве хотят запретить оплачивать подписки через Apple ID с баланса мобильного телефона. Идея в том, чтобы создать финансовое давление. Мол, пусть возвращают в App Store все забаненные российские приложения. Но эту затею уже раскритиковали даже в ГД. Антон Ткачев заявил, что проблема с обходом ограничений так не решится, а под удар попадут обычные люди, которые платят за облака, медицину, образование и нейросети. В итоге пользователи не откажутся от нужных сервисов, а просто перетекут к серым посредникам. Что, согласитесь, для ИБ-специалиста выглядит как классический сценарий. Вместо того чтобы решить вопрос на уровне компании, создаются условия для расцвета теневых схем. Да и сама Apple, как справедливо заметили в Госдуме, под давлением одной страны свои глобальные правила переписывать не станет, себе дороже. Получается, что механизм не сработает по назначению, а неудобства пользователям обеспечены. Вице-спикер Даванков и Ткачев уже отправили запрос в Минцифры с просьбой пересмотреть инициативу. Рынок адаптируется быстрее, чем регуляторы успевают прикрутить очередной рычаг. @antiinfosec

В Таганроге задержали 33-летнего Артема Кучумова, который, по данным профильных расследователей, был создателем крупного англоязычного форума LeakBase. Эту площадку, где торговали сотнями миллионов украденных паролей и банковскими реквизитами, в начале марта изъяли ФБР и Европол. А задержали предполагаемого администратора спустя три недели, но уже наши. Интересно, что к его деанонимизации привели старые следы, оставшиеся ещё с начала десятых. Отправной точкой стал WebMoney ID, который он публиковал в форумных переписках. Регистрация кошелька вела в Таганрог, а на другом форуме сохранился комментарий с упоминанием, что подарок отправили на ВК-профиль из того же города. Позже выяснилось, что старый ник на RaidForums, где он выкладывал базы, оказался привязан к почте на Rambler, а его тг-аккаунт был слинкован с администраторским на самой LeakBase. Сам форум отличался любопытной деталью: на нем был строгий запрет на продажу данных российских организаций. Обычно это выдают за принципиальную позицию, но в данном случае скорее указывало на то, что владелец находится в России и хотел лишний раз не привлекать внимание местных органов. Не помогло. «Кто не работает по .ру к тому все равно приходят по утру», получается. Задержание, кстати, получилось необычным. Европол прямо заявил, что не имеет к нему отношения и не сотрудничает с российскими властями. Американский Минюст ситуацию не комментирует. При этом ФБР еще с начала марта владеет полной базой форума, с IP-логами, приватными сообщениями и историей транзакций всех 142 тыс.пользователей. Вопрос о том, кто и зачем инициировал арест именно сейчас, пока остается открытым. Только видео какое-то странное. Неплохая машина в таганрогских гаражных рядах заблокирована двумя газелями. Монтажная склейка. Держат парня с красными ушами и расспрашивают, что имеется. Тот: «тока ноутбук». Монтажная. Уже видим в кадре два смартфона. На очень старом мониторе винда с крутит какие-то строчки похожие на переписки. Монтажная склейка. Уже видим планшет (может это оперативный). На мониторе в браузере опера демонстрируется какой-то форум с занимательной анимацией. Свидетели даже уже переехавшего на .bz форума поговаривают, что выглядел он совсем иначе. Впрочем, главное, что сейчас форум и на .bz ликвидирован и закрыт плашкой БСТМ МВД и то хорошо. @antiinfosec