in2security
Open in Telegram
Приветствуем вас на канале In2security! Наш канал – это погружение в безопасность, здесь мы рассказываем о новом и актуальном фишинге, анализируем громкие утечки, говорим про OSINT. Комментарии для СМИ и прочие вопросы: @infosecurityevil № 5143783615
Show more📈 Analytical overview of Telegram channel in2security
Channel in2security (@intosecurity) in the Russian language segment is an active participant. Currently, the community unites 11 942 subscribers, ranking 10 387 in the Technologies & Applications category and 54 560 in the Russia region.
📊 Audience metrics and dynamics
Since its creation on невідомо, the project has demonstrated rapid growth, gathering an audience of 11 942 subscribers.
According to the latest data from 31 July, 2026, the channel demonstrates stable activity. Although there has been a change in the number of participants by -89 over the last 30 days and by -1 over the last 24 hours, overall reach remains high.
- Verification status: Not verified
- Engagement rate (ER): The average audience engagement rate is 23.06%. Within the first 24 hours after publication, content typically collects 15.54% reactions from the total number of subscribers.
- Post reach: On average, each post receives 0 views. Within the first day, a publication typically gains 1 855 views.
- Reactions and interaction: The audience actively supports content: the average number of reactions per post is 0.
- Thematic interests: Content is focused on key topics such as домен, браузер, взлом, дарина, минздрав.
📝 Description and content policy
The author describes the resource as a platform for expressing subjective opinions:
“Приветствуем вас на канале In2security! Наш канал – это погружение в безопасность, здесь мы рассказываем о новом и актуальном фишинге, анализируем громкие утечки, говорим про OSINT. Комментарии для СМИ и прочие вопросы: @infosecurityevil
№ 514378361...”
Thanks to the high frequency of updates (latest data received on 01 August, 2026), the channel maintains relevance and a high level of publication reach. Analytics show that the audience actively interacts with content, making it an important point of influence in the Technologies & Applications category.
11 942
Subscribers
-124 hours
-497 days
-8930 days
Data loading in progress...
Attracting Subscribers
August '26
August '26
+3
in 0 channels
July '26
+9
in 2 channels
Get PRO
June '26
+10
in 0 channels
Get PRO
May '26
+14
in 2 channels
Get PRO
April '26
+10
in 0 channels
Get PRO
March '26
+17
in 1 channels
Get PRO
February '26
+14
in 1 channels
Get PRO
January '26
+2
in 0 channels
Get PRO
December '25
+11
in 0 channels
Get PRO
November '25
+6
in 0 channels
Get PRO
October '25
+8
in 1 channels
Get PRO
September '25
+8
in 0 channels
Get PRO
August '25
+11
in 0 channels
Get PRO
July '25
+9
in 0 channels
Get PRO
June '25
+21
in 0 channels
Get PRO
May '25
+13
in 0 channels
Get PRO
April '25
+12
in 0 channels
Get PRO
March '25
+16
in 0 channels
Get PRO
February '25
+52
in 4 channels
Get PRO
January '25
+15
in 0 channels
Get PRO
December '24
+20
in 2 channels
Get PRO
November '24
+85
in 1 channels
Get PRO
October '24
+30
in 3 channels
Get PRO
September '24
+9
in 0 channels
Get PRO
August '24
+31
in 0 channels
Get PRO
July '24
+59
in 6 channels
Get PRO
June '24
+12
in 2 channels
Get PRO
May '24
+53
in 1 channels
Get PRO
April '24
+122
in 2 channels
Get PRO
March '24
+25
in 0 channels
Get PRO
February '24
+25
in 0 channels
Get PRO
January '24
+41
in 0 channels
Get PRO
December '23
+76
in 1 channels
Get PRO
November '23
+76
in 2 channels
Get PRO
October '23
+74
in 1 channels
Get PRO
September '23
+145
in 0 channels
Get PRO
August '23
+159
in 0 channels
Get PRO
July '23
+155
in 0 channels
Get PRO
June '23
+192
in 0 channels
Get PRO
May '23
+337
in 0 channels
Get PRO
April '23
+335
in 0 channels
Get PRO
March '23
+519
in 0 channels
Get PRO
February '23
+110
in 0 channels
Get PRO
January '23
+702
in 0 channels
Get PRO
December '22
+164
in 0 channels
Get PRO
November '22
+140
in 0 channels
Get PRO
October '22
+144
in 0 channels
Get PRO
September '22
+306
in 0 channels
Get PRO
August '22
+393
in 0 channels
Get PRO
July '22
+997
in 0 channels
Get PRO
June '22
+353
in 0 channels
Get PRO
May '22
+2 467
in 0 channels
Get PRO
April '22
+44
in 0 channels
Get PRO
March '22
+7 734
in 0 channels
Get PRO
February '22
+38
in 0 channels
Get PRO
January '22
+9 237
in 0 channels
Get PRO
December '21
+109
in 0 channels
Get PRO
November '21
+109
in 0 channels
Get PRO
October '21
+147
in 0 channels
Get PRO
September '21
+556
in 0 channels
Get PRO
August '21
+174
in 0 channels
Get PRO
July '21
+366
in 0 channels
Get PRO
June '21
+290
in 0 channels
Get PRO
May '21
+259
in 0 channels
Get PRO
April '21
+319
in 0 channels
Get PRO
March '21
+251
in 0 channels
Get PRO
February '21
+1 611
in 0 channels
Get PRO
January '21
+144
in 0 channels
Get PRO
December '20
+7 170
in 0 channels
| Date | Subscriber Growth | Mentions | Channels | |
| 01 August | +3 |
Channel Posts
У ShinyHunters украли бренд
Пока группировка ShinyHunters вымогает деньги у крупных компаний, другие мошенники решили заработать уже на самих ShinyHunters.
Схема простая.
Неизвестные скачивают опубликованные группировкой базы данных, находят там адреса пользователей и рассылают им письма примерно такого содержания:
Мы - ShinyHunters.
Мы взломали компанию, услугами которой вы пользовались.
Потом проникли в ваш компьютер и телефон.
Записали вас через камеру.
Переведите $2000 в биткоинах в течение 48 часов.
Чтобы письмо выглядело убедительно, мошенники называют реальную компанию, из которой действительно утёк адрес получателя.
В кампании уже использовали данные, украденные у Amtrak, Hallmark, Substack, Betterment, CarGurus, ADT, Panera Bread и McGraw Hill. В нескольких случаях журналисты подтвердили: адрес получателя действительно присутствовал в соответствующем сливе.
Дальше происходит нехитрый психологический фокус.
Человек знает, что пользовался CarGurus.
В письме указан его настоящий адрес.
О взломе компании можно прочитать в интернете.
ShinyHunters - реальная известная группировка.
Значит, и история про захваченные камеру, микрофон и историю посещения порносайтов начинает казаться правдоподобной.
Хотя никаких признаков заражения устройств нет.
У отправителей, судя по имеющимся данным, есть только строка из опубликованной базы: электронная почта и название взломанной компании. Самих ShinyHunters к рассылке тоже не привязали - группировка отрицает участие.
Получается полноценная цепочка повторной переработки чужого преступления:
ShinyHunters крадут данные у компании.
Вымогают деньги за отказ от публикации.
Компания не платит - данные выкладывают.
Другие мошенники скачивают слив бесплатно.
И начинают вымогать деньги уже у пользователей.
То есть одна утечка приносит доход сначала тем, кто её организовал, а затем всем желающим, успевшим скачать базу.
Сейчас сами ShinyHunters утверждают, что стоят за кражей налоговых документов клиентов Ernst & Young, и угрожают публикацией данных, если компания не выйдет на связь до 31 июля. EY подтвердила компрометацию сторонней системы поддержки и кражу документов, но публично не подтвердила причастность группировки.
Поэтому история вполне может повториться уже с гораздо более чувствительными данными.
Главный вывод:
утечка не заканчивается в момент публикации базы.
После публикации она превращается в бесплатное сырьё для фишеров, телефонных мошенников, продавцов пробива, угонщиков аккаунтов и вымогателей всех размеров.
В киберпреступности даже украденное можно украсть ещё раз.
А ShinyHunters, видимо, пора регистрировать товарный знак.
| 2 |  Вредонос не скачали. Его собрал ваш браузер
Злоумышленники, кажется, решили, что отправлять жертве готовый вредоносный файл - слишком прямолинейно.
В кампании SourTrade пользователю показывают поддельные сайты TradingView, Solana и Luno. Трафик приводят через рекламу, а встроенный клоакинг отсеивает исследователей, сканеры и ботов: им демонстрируют пустую страницу, тогда как потенциальная жертва видит убедительную копию нужного сервиса. Кампания локализована на 25 языков и ориентирована на пользователей как минимум в 12 странах.
Но самое интересное начинается после нажатия кнопки Download.
Сайт не передаёт браузеру один готовый .exe. Вместо этого он:
- регистрирует Service Worker для управления загрузкой;
- запускает Shared Worker с кодом сборщика;
- получает с сервера /config - фактически рецепт будущего файла;
- загружает чистый runtime Bun;
- добавляет PE-заголовки и вредоносный JavaScriptCore-байткод;
- генерирует часть данных локально через AES-CTR;
- собирает итоговый Windows-executable прямо в памяти браузера;
- и только потом отдаёт его пользователю как обычную загрузку.
Получается своеобразный вредоносный IKEA:
готового изделия на сервере нет - жертве присылают детали, инструкцию и заставляют её собственный браузер собрать всё на месте.
Для каждой сессии можно менять случайные данные внутри файла. Функционально нагрузка остаётся той же, но её хеш получается новым. Поэтому правило вида «заблокировать известный SHA-256» быстро превращается в дорогостоящую коллекцию уже бесполезных строк.
При этом никакой магической браузерной zero-day здесь нет.
Жертва всё ещё должна перейти по рекламе, открыть поддельную страницу, нажать Download и запустить полученный файл. Браузер не взламывают - его штатные возможности используют как локальный конвейер сборки вредоносного ПО. Mark of the Web также не исчезает.
Главный вывод здесь для защитников: отдельный файл больше нельзя рассматривать в отрыве от цепочки его появления.
Нужно видеть не только итоговый хеш, но и:
- рекламный переход;
- домен поддельной страницы;
- запрос к /config;
- загрузку runtime с дополнительного домена;
- регистрацию Service Worker;
- сформированную браузером загрузку.
А пользователям рекомендация традиционная и от этого не менее актуальная:
не скачивать программы из рекламных объявлений.
Особенно криптокошельки, торговые терминалы, VPN-клиенты и средства удалённого доступа.
Потому что теперь вредонос может не лежать на сайте.
Он может приехать к вам в разобранном виде. | 1 872 |
| 3 |  Настоящий claude.ai. Ненастоящий Claude Desktop
Совет «проверьте адрес сайта перед загрузкой файла» официально нуждается в обновлении.
Злоумышленники купили рекламу в Bing по запросу Claude Desktop App. Ссылка из рекламного объявления вела не на очередной claude-download-super-official[.]top, а на вполне настоящий домен:
claude[.]ai
Там был опубликован пользовательский Claude Artifact, который выглядел как официальная страница загрузки приложения. Кнопка Download уже перенаправляла на инфраструктуру злоумышленников и предлагала скачать ClaudeDesktop.exe.
Самого Claude внутри, разумеется, не оказалось.
Вместо него пользователь получал SectopRAT — троян с возможностями удалённого управления и кражи паролей, файлов, cookies, платёжных данных, учётных записей мессенджеров, VPN и других приложений.
Цепочка тоже была собрана не на коленке:
— легитимный компонент JetBrains;
— загрузка вредоносной DLL через DLL sideloading;
— закрепление в системе через запланированную задачу;
— проверка GPU и объёма видеопамяти для обнаружения песочниц;
— получение адресов C2 через транзакции в блокчейне.
За два дня Huntress обнаружила заражения как минимум в 29 организациях. До удаления вредоносный Artifact успел набрать 7100 просмотров.
Ирония истории: злоумышленники использовали площадку Claude для доставки вредоносного ПО, а исследователи Huntress затем использовали Claude для анализа его шифрования и обфускации.
Главный вывод здесь не в том, что «ИИ снова опасен».
Проблема в другом: легитимный домен больше не означает легитимный контент. Пользовательские страницы, облачные хранилища, репозитории, формы и AI-артефакты превращают доверенную инфраструктуру в первый этап цепочки доставки.
Поэтому программы лучше скачивать не из поисковой рекламы и даже не с первой найденной страницы на правильном домене. Открываем сайт продукта вручную, находим раздел загрузки и отдельно смотрим, куда именно ведёт кнопка Download.
А рекламные ссылки на установщики — это теперь такой же индикатор опасности, как архив с паролем 1234. | 2 261 |
| 4 |  Почти 37 тысяч интерфейсов управления физическими серверами смотрят прямо в интернет. Потому что отдельная management-сеть, видимо, для слабаков.
Исследователи обнаружили 36 872 доступных по IPMI контроллера BMC. На 24 650 из них ещё до авторизации можно было получить данные, пригодные для офлайн-подбора пароля через старую CVE-2013-4786. У 2 340 интерфейсов пароли нашлись в обычных словарях.
BMC — это не просто веб-страница с температурой процессора и скоростью вентиляторов. Через него можно перезагрузить сервер, подключить собственный образ, изменить низкоуровневые настройки или прошивку. Причём всё это происходит ниже операционной системы — там, где установленный на сервере EDR может вообще ничего не увидеть.
В общем, если UDP/623 доступен из интернета, проблема не в том, насколько сложный у вас пароль. Проблема в том, почему этот интерфейс вообще доступен из интернета.
Закрываем IPMI снаружи, меняем заводские пароли и выносим BMC в отдельную сеть управления.
У кого сейчас UDP/623 торчит наружу — можете не признаваться. Просто молча закройте. | 2 415 |
| 5 |  +1В продолжение предыдущего поста. Там мы видели фейковый сайт УФСБ, созданный якобы в рамках образовательного проекта. А вот созданный в это же время фейковый сайт Росфинмониторинга, который эксплуатируют телефонные мошенники.
А вот фейковый сайт Управления по вопросам миграции МВД России.
В текущих условиях не стоит создавать ресурсы, эксплуатирующие реальные наименования или аббревиатуры госорганов, а тем более силовых структур. Это далеко не первый случай, который мы фиксируем, но тем не менее. Хотите научить людей защищаться от фишинга, придумайте что-то нейтральное. | 2 267 |
| 6 |  Интересно, Федеральная служба безопасности оценит тот факт, что «Данный портал создан исключительно в образовательных целях для РП проекта»? Любое совпадение с реальными организациями случайно. С чем, интересно, может еще совпасть аббревиатура УФСБ?
А если серьезно, не делайте подобные сайты для своих пусть даже образовательных проектов. У государства, тем более у силовых структур, нет чувства юмора. И это нормально. | 2 412 |
| 7 |  Вот вы говорите: санкции, а люди, создающие фишинговые сайты, о них и не слышали.
Смотрите, какой красивый пример. На фишинговом сайте сочетаются Госуслуги, Минцифры и некое мифическое ООО Win Garage из Нидерландов, которое, согласно данным сайта, является официальным технологическим партнером проекта. Я такое даже в 2012 году-то вряд ли мог представить.
Ну и конечно же информационное взаимодействие с фишинговым сайтом осуществляется по защищенным каналам связи в соответствии с требованиями Федерального закона № 152-ФЗ «О персональных данных» и стандартов шифрования ГОСТ.
Сертификат Let’s Encrypt у нас теперь по ГОСТу, значит.
Ссылка в футере ведет на реально существующий канал https://t.me/CarsFromEU_CIS, но я сомневаюсь, что он имеет к этому отношение. | 2 773 |
| 8 | Нас часто спрашивают: а почему бы просто не закрыть все околокриминальные даркнет форумы, ведь тогда заживем!
Нет, не заживем. На самом деле в глобальном смысле это примерно так же контрпродуктивно, как и пытаться удалять из даркнета утекшие базы. Все это приводит лишь к дроблению площадок и еще более широкому распространению утекшей информации.
Впрочем, площадки иногда дробятся и по внутренним причинам, причем каждый повстанец стремится получить профит от раскрученного бренда известного форума.
Сегодня рассмотрим такую ситуацию на примере всем известного BreachForums: https://teletype.in/@intosecurity/_bvbF2szdcs
Если вам нравится такой формат, пишите об этом в комментариях, рассылайте ссылки друзьям, и мы запустим соответствующую постоянную рубрику на нашем канале.
#лонгрид | 4 101 |
