Порвали два трояна

🏭 Киберфизические атаки на современный склад Скомпрометированный сканер штрихкодов или принтер этикеток — легко достижимая и эффективная точка проникновения в ИТ-инфраструктуру современного склада, позволяющая злоумышленникам сорвать отгрузки даже без развёртывания ransomware. При анализе безопасности складской инфраструктуры эксперты «Лаборатории Касперского» продемонстрировали, как оборудование на складе, которое доступно всем сотрудникам, может использоваться для манипуляций с warehouse management system (WMS), в которой цифровые записи определяют, что будет перемещено и отгружено. Исследователи перечисляют конкретные слабые места, выявленные при оценке защищённости: 1️⃣ Беспроводные сканеры. Авторы продемонстрировали инъекцию нажатий клавиш в подключённые рабочие станции, что позволяет добиться выполнения кода без участия пользователя. Схема затрагивает решения нескольких вендоров. 2️⃣ Ручные терминалы. Выход из kiosk mode может открыть доступ к учётным данным Wi‑Fi или позволить установить ВПО для удалённого доступа. 3️⃣ Мобильные термопринтеры. На протестированном устройстве Zebra ZQ630, ошибочная конфигурация в процедуре Bluetooth-сопряжения позволила исследователям загрузить и выполнить сторонние приложения на хосте. Но всё это — лишь точки проникновения. Дальше под угрозой сам учёт запасов. Если атакующий получит достаточный уровень доступа к WMS, он сможет подделывать записи о приёмке, менять местоположение товаров на складе или оформлять несанкционированные отгрузки с формально легитимными документами. Разумеется, реальное влияние этих дефектов зависит от прав доступа сотрудников, сетевой связности и того, действительно ли сегментация ограничивает доступ к критическим системам. Рекомендации по защите современного склада включают широкий спектр мер — от сетевой сегментации и контроля физического доступа до специальной защиты систем беспроводной связи и кадровой безопасности. Подробные рекомендации даны в полной версии исследования на Securelist. #советы #угрозы @П2Т

🪲 Ноябрьский вторник патчей: снова 1000+ Microsoft снова разразилась монструозным пакетом обновлений для своих продуктов, но до рекорда октября не дотянула — в обновление вошли «всего» 1235 бага. Лишь один эксплуатируется вживую, и ни один не был разглашён до выпуска патчей. Критических дефектов 66, из них 48 приводят к RCE, а 15 — к повышению привилегий. Среди общего объёма уязвимостей абсолютно доминируют EoP (536 дефектов), следом идут 296 RCE и 157 багов с утечкой информации. 46 уязвимостей приводят к отказу в обслуживании и 27 — к обходу функций безопасности. Активно эксплутируемый зиродей — это CVE-2026-124194 (CVSS 6.5), спуфинг в MS Outlook, который приводит к утечке NTLM-хэшей и позволяет в конечном счёте аутентифицироваться от имени жертвы. Мы много раз видели эту схему в реальных атаках, поэтому не стоит успокаиваться, глядя на низкий CVSS — патчиться нужно оперативно. Среди других дефектов наибольшую тревогу вызывают: CVE-2026-116928 (CVSS 9.8, RCE в Windows Search, эксплуатируемая через Exchange Server), CVE-2026-119958 (9.8, RCE в LDAP), CVE-2026-119952 (8.1, RCE в Schannel, по сети и без аутентификации) и пачка багов в DNS: CVE-2026-81384, -96092, -96177, -88218. Наблюдаемая картина по-прежнему укладывается в общую схему: число найденных уязвимостей растёт, а вот активно эксплуатируемых дефектов по-прежнему немного. Злоумышленникам не нужна тысяча уязвимостей для атаки на организацию. Им достаточно отточить эксплуатацию всего нескольких уязвимостей, которые защитники систематически не успевают устранить. Это значительно повышает роль киберразведки в процессах управления уязвимостями, потому что оценивать вероятность эксплуатации, глядя на CVSS, EPSS и прочие аналитические метрики, становится всё труднее. #уязвимости #Microsoft @П2Т

📌 Уроки кибериммунитета для ИИ-агентов Применение подхода secure by design встречается в разработке ПО нечасто. Все мы знаем, как в итоге это отражается на качестве ПО. С опозданием в два десятка лет этот подход начали рекомендовать агентства по кибербезопасности, но внедрение всё равно идёт довольно медленно. Но есть и хорошие новости! Сейчас — самое время украсть пару страниц из учебника по конструктивной безопасности и применить их, разрабатывая и внедряя ИИ-системы для организаций. Задача эта очень непростая, поскольку агенты по своей природе гибки и работают недетерминированно, но адаптировать соответствующие принципы всё же можно. Вот они: 1. Требования безопасности закладываются ещё на фазе проектирования системы. 2. Система проектируется с учетом того, что её обязательно атакуют. 3. Доверенная вычислительная база и «поверхность атаки» минимизируются. 4. Соблюдается принцип наименьших привилегий. 5. Компоненты системы максимально изолируются. 6. Работает режим «запрет по умолчанию» (default deny). 7. Применяется многоуровневая защита (defense in depth). 8. Организована защита цепочки поставок. Как адаптировать принципы конкретно к ИИ-агентам и где поджидают подводные камни, читайте в посте Kaspersky Daily и специальном исследовании (PDF). #ИИ #советы @П2Т

🟢 Защита от DDoS — наглядно По исследованию «Лаборатории Касперского», продолжается рост числа DDoS-атак. В первой половине 2026 года их количество выросло на 56% год к году. Растёт не только количество, но и сложность угроз. Около трети атак проводятся одновременно на уровнях L3/L4 и L7, затрагивая всю автономную сеть жертвы и значительно усложняя реагирование. Эффективно противостоять современным атакам позволяет решение Kaspersky DDoS Protection. Совместно с командой Anti-malware мы подготовили короткую демонстрацию, в которой рассказали о достоинствах и технических особенностях платформы, возможностях её развёртывания, сертификации, а главное — показали настройки, дэшборды и примеры реагирования, в котором, к слову, клиентам помогает не ИИ-чатбот, а опытный живой эксперт.  ➡️ Смотреть AM-демо: 🌐 Сайт AM Live 📺 VK 📺 YouTube 📺 RuTube #советы #DDoS @П2Т

Интересные исследования APT и новости ИБ за неделю 🟣Технический разбор вторжений вымогателей Storm-2603, где через уязвимость ToolShell устанавливали примечательный бесфайловый веб-шелл, который существовал только в памяти ASP.NET runtime. Злоумышленники повышали привилегии при помощи адаптированной техники EfsPotato, злоупотребляли уязвимой сборкой Velociraptor и пытались отключить EDR с помощью BYOVD, прежде чем развернуть шифровальщик Warlock. 🟢Ещё одна атака на механизм обновлений в китайском IME (инструменте ввода) Sogou. Группа SlippyNunchucks перехватывала запросы DNS, чтобы инфицировать жертв в Азии и на Ближнем Востоке ВПО DarkVigil. 🔵Злоумышленники применяли CyberStrikeAI (открытый фреймворк для редтиминга, в котором C2-агентами управляет LLM) против образовательных учреждений в Африке и Латинской Америке, эскалация до доменного админа обычно занимала три-четыре дня. 🟣Разбор кампании по заражению устройств iOS и Android, в которых APT29 использует n-day уязвимости и атаки watering hole для сбора информации со смартфонов в Европе и США. 🟣Технический анализ PapRAT, нового ВПО, написанного на C++ и Rust, которое APT BITTER использует против организаций в Южной Азии. Цепочки заражения опираются на LNK-файлы, образы VHDX и MSI-установщики. 🟣Google и партнёры ликвидировали XCPE — ботнет из более чем 1,3 млн телеприставок, поставлявшихся с бэкдором. Google связывает троянизированные устройства с OEM-производителем Videostrong Technology. Доступ к гаджетам сдавали в аренду киберпреступникам для рекламного мошенничества и разворачивания домашних прокси. 🟢Атаки на доступные из Интернета контроллеры холодильных установок расширили географию и масштаб ущерба. Злоумышленники принудительно запускают циклы нагрева или разморозки, в результате пострадали сотни супермаркетов по всей Европе и три хранилища донорской крови во Франции. 🟢Злоумышленники скомпрометировали канал обновлений ПО cPGuard, предназначенного для защиты веб-серверов, и через него доставили скрипт, собиравший учётные данные и SSH-файлы с серверов. 🟣Binance опубликовала первые итоги расследования вопиющего взлома на $6,34 млрд. Почерк знакомый: фальшивое собеседование, в ходе которого был заражён инженер. После этого атакующие через «внутренний ИИ-инструмент» Бинанса смогли выкатить обновление для сервиса подписи транзакций. ФБР уверенно обвиняет северокорейцев. 🔵Фальшивые ИБ-инструменты на GitHub пытаются заражать безопасников инфостилерами и AsyncRAT. 🟣Злоумышленники рассылают поддельные приглашения на мероприятия OpenAI, SpaceX и Anthropic. Приглашения ведут сотрудников на фишинговые страницы, которые похищают учётные записи Microsoft и Google, причём атакующие настаивают на использовании рабочих учёток. 😂 🟠Разбор TTPs атаки Anubis ransomware на организацию в США с использованием нового бэкдора Lindnor, а также 13 инструментов и пяти уязвимых драйверов для отключения защитного ПО. 🟣Технический анализ macOS-бэкдора и инфостилера Phexia, распространяемого через ClickFix. Адреса C2 он получает из смарт-контракта в сети Polygon. 🟠Дистрибутивы Linux выпускают исправления для CVE-2026-98432, неприятной уязвимости use-after-free в механизме установления TCP-соединений IPv4. Она затрагивает все ядра вплоть до версии 4.4. Red Hat, Debian и SUSE уже выпустили патчи. 🟢Серьёзная RCE в роутерах Zyxel GS1900, использовалась как зиродей для установки бэкдора JITTERLY и руткита SIXZUT. Довольно путаная история с двумя уязвимостями CVE-2026-7273 и CVE-2026-107441 описана здесь. #дайджест #APT @П2Т

🔥 Видео и презентации с сотен ИБ-конференций без регистрации и SMS Если вы не поехали в этом или прошлом году на Virus Bulletin, SAS, KazHackStan, CCC, или иную ИБ-конференцию, крупную или мелкую — забирайте в закладки этот сайт. Не знаем, кто его поддерживает, но на infocon.org выложены видео и материалы с двух сотен конференций, большей частью за последние годы. Но, например, Virus Bulletin аж с 1991 (тогда видео не снимали, конечно), а HOPE — с 1994. Есть чем заняться на выходных 😉 @П2Т #видео

🧊 Подводная часть айсберга уязвимостей Во всей истории про «апокалипсис патчей» есть интересный и очень неудобный для крупных бизнесов аспект. Дефектов стало настолько много, что вендоры всё чаще устраняют их, не назначая CVE. В результате баги становятся «невидимы» для типового корпоративного ИБ-конвейера. Отказ назначать CVE может проявляться в разных формах — от risk-based disclosure, как в Cisco вежливо назвали свою новую практику выпуска бюллетеней только для дефектов, которые они сочтут опасными, до молчаливого устранения дефектов и отказа назначать им CVE, которым знамениты Anthropic и OpenAI. В результате такие исправления не получают должной оценки и верного приоритета. Пользователи специализированных решений по управлению уязвимостями имеют «запасной аэродром» в виде внутренних ID, назначаемых вендором решения, но это тоже не панацея. VM-вендоры находятся ровно в той же ситуации и далеко не всегда знают, что кроется под капотом того или иного обновления. Есть и обратная сторона — если весь процесс управления уязвимостями жёстко настроен на результаты сканирования, то есть любое устранения начинается с того, что сканер обнаружил уязвимость, то организация является заложником сканера. Если он не находит дефекты без CVE, их никогда и не устранят. Все уже слышали про кратный рост числа CVE, да и шестизначные CVE ID, впервые появившиеся в этом году, наглядно демонстрируют тенденцию. Но вот сколько дефектов ПО устраняется без CVE — не знает вообще никто. Может ещё сто тысяч, а может миллион. Всё это не значит, что ошибки никогда не исправят. Когда по какой-то другой причине, при рутинном обновлении или исправлении другого срочного дефекта, админы будут вынуждены установить v.3.1.3423.hotfix2, заодно будет устранён и баг без CVE. Но эта ситуация приводит к накоплению неуправляемых рисков во всём парке корпоративного ПО. Решение проблемы состоит в более комплексном сборе данных для идентификации уязвимостей. Известный аналитик Антон Чувакин (ex-Gartner) рекомендует сделать бюллетени производителей предметом более глубокого анализа, чтобы извлекать из них информацию и о дефектах, не получивших CVE. Организация продолжает использовать сканеры уязвимостей, но бюллетени становятся таким же первичным источником данных. Многие компании со зрелой ИБ уже делают это, но в текущей ситуации практика должна просто стать массовой. #уязвимости #советы @П2Т

👀 Что делать с опасными сертификатами из цепочки УЦ eMudhra Талантливые люди из индийского УЦ eMudhra умудрились выпустить в 2025 году восемь сертификатов промежуточных CA, приватными ключами в которых служили числа от 4 до 237. Сертификаты, выпущенные на их основе, не так уж многочисленны и преимущественно использовались одним (крупным) клиентом, но вот MITM-атаки с их помощью может проводить любой желающий. 17 октября это обнаружилось — и понеслось. Руководство eMudhra заявило 22 числа о выходе из «глобального бизнеса по выпуску сертификатов TLS» и бесплатном перевыпуске сертификатов на базе доверенных УЦ, но проблемы ИБ это решает не в полной мере. Понятно, что в Chrome и Mozilla опасные корни и промежуточные CA быстро отозвали, но вот в десятках других ИТ-сред — от curl и фирменных браузеров на смартфонах до приложений на базе Electron/Chromium и СЗИ с функцией инспекции TLS, с отзывом сертификатов не всё так однозначно. Собрали всё, что известно про уязвимые сертификаты, их отзыв, и способы проверки, в статье Kaspersky Daily. #советы #угрозы @П2Т

ИИ-агенты на службе атакующих: инцидент с участием CyberstrikeAI Эксперты Лаборатории Касперского обнаружили вредоносную кампанию, в которой образовательные организации в странах Африки и Латинской Америки были атакованы с помощью С2-агентов, управляемых полуавтономным фреймворком CyberStrikeAI. Злоумышленники автоматизировали значительную часть цепочки атаки, делегировав языковым моделям разведку в сети после первоначальной компрометации, закрепление на дополнительных хостах, массовое похищение учётных данных и другой потенциально ценной информации. На стороне жертвы работает обычный имплант наподобие Cobalt Strike, но большинство команд ему отдаёт языковая модель, которая самостоятельно выбирает способы оценки хоста, повышения привилегий, извлечения данных и дальнейшего перемещения в инфраструктуре. Человек может вмешаться и скорректировать способы работы, так что злоумышленники уже освоили принцип human-in-the-loop 🤪. Учитывая, что LLM работает на сервере атакующих, скомпрометированная организация может иметь любую инфраструктуру. ИИ-атака не проявляется повышенным потреблением вычислительных ресурсов или трафика жертвы. Атакующие использовали импланты как для Windows так и для Linux. Применение ИИ позволяет злоумышленникам проводить атаки быстрее. Замеченные вторжения от установки первого импланта до компрометации доменных администраторов занимали 3-4 дня, но ключевые фазы активности продлились считанные часы. Также ИИ снижает требования к квалификации оператора, которому не обязательно знать все виды атак на Active Directory и разные вариации команд PowerShell для успешной компрометации. Важно отметить, что появление ИИ в цепочке атаки пока не ставит перед детектированием принципиально новых задач. В сети и на хостах проходят хорошо известные действия: от Kerberoasting до дампа LSASS. Ровно то же самое делал бы живой атакующий, просто медленнее. Для обнаружения атаки достаточно использовать классические, хорошо настроенные правила корреляции и поведенческого анализа. Подробнее о методах детектирования и IoCs атаки читайте на Securelist. #новости #ИИ #APT @П2Т

Интересные исследования APT, новости ИБ (и никакого Binance) за неделю ❕Технический анализ сложной атаки на цепочку поставок, в которой новое ВПО NethamLoader было внедрено в особую сборку Windows 10, применяемую государственными структурами в Азии. ВПО злоупотребляет легитимным инструментом управления обновлениями Patch My PC, а также компонентами, подписанными Microsoft. Оно также патчит AMSI в памяти для обхода детектирования. Активность пока не атрибутирована. 🟡APT UAT-11473 эксплуатирует обход аутентификации в контроллере Cisco SD-WAN (CVE-2026-20127) для развёртывания ВПО KeyDrift, которое крадёт ключи из процессов control plane. Среди целей — организации из оборонки и аэрокосмической отрасли, а также аналитические центры. Инфраструктура пересекается с сетью Silent Train группы Volt Typhoon. 🟣Атакующие объединили эксплойты PHP4Shell и Fragnesia, чтобы получить root на 25 файрволах PAN-OS. Затем они развили атаку во внутренних сетях и Active Directory. Жертвы отмечены в США, Японии, Тайване и Южной Корее. 🟣Злоумышленники пользуются внешним доступом в Microsoft Teams (который включён по умолчанию), выдавая себя за корпоративную техподдержку и убеждая сотрудников установить средства удалённого администрирования, такие как Quick Assist или AnyDesk. Зафиксировано более 400 инцидентов, приводивших к атакам Black Basta, Cactus, 3AM и Chaos ransomware. 🔵Обзор TTPs Qilin, одной из активнейших RaaS 2025 года с более чем 1000 заявленных жертв. Её ВПО на Rust нацелено на VMware ESXi, автоматизирует смену паролей хостов, включение SSH и шифрование виртуальных машин, а также может распространяться через vCenter. Основной удар приходится на Северную Америку и Европу, при этом заметно страдает сектор здравоохранения. 🟣Cisco выпустила патч для активно эксплуатируемой уязвимости (CVE-2026-76418) в SSL VPN удалённого доступа в Secure Firewall ASA и FTD. Неаутентифицированный атакующий может вызвать отказ в обслуживании. 🟢Автоматизированная кампания Gheist использует похищенные токены GitHub для внедрения процессов (workflows), которые выгружают секреты из репозиториев в run log. Были атакованы более 13500 веток в 850 аккуантах, но реальное извлечение данных могло произойти только в приватных репо и на Enterprise server. Публично доступные репозитории защищены от этой атаки новыми мерами GitHub с 28 июля. 🟢Операция по угону поискового трафика велась через 319 расширений Chrome c 13,4 млн установок. Эти расширения не содержат ни кода, ни опасных разрешений. Они используют настройку в manifest для подмены поисковой системы по умолчанию и маршрутизации каждого запроса через прокси операторов ради партнёрского дохода. В дальнейшем такие редиректы могут вести уже на фишинг или ClicFix. 🟢Интересное дополнение к истории Discover-Tech, о которой мы писали ранее. Реклама, которая доставляла шпионское ПО жертвам, победила вообще всех по числу рекламных показов для пользователей Starlink в 105 странах, включая те, где сервис ограничен. В целом Discover-Tech стала крупнейшим игроком рекламных аукционов в 49 странах. #дайджест #APT @П2Т

⚡️ Реагирование на инциденты 1С, защита ИИ-агентов имеющимися ИБ-решениями и другие полезные посты октября Разгребая PHP2Shell, мигрируя между ДЦ и устанавливая полторы тысячи патчей Microsoft, можно было пропустить полезные и не сиюминутные материалы нашего канала. Поэтому мы подобрали статьи за месяц, которые помогут выстроить эффективные процессы и системы в ИБ. Если вы что-то пропустили, самое время наверстать упущенное! 🔵реагирование на инциденты, затрагивающие 1С; 🔵топ-риски человеческого фактора в 2026; 🟣как меняется управление уязвимостями: тенденции и советы; 🟢большой пакет правил и функций в продуктах Kaspersky для защиты ИИ-агентов; 🟢эффективная адаптация аналитиков SOC; 🟢основные драйверы внедрения мер ИБ и тренды GRC; 🔵внедрение облачных агентов в разработку: наш опыт; 🔵почему перерасход токенов — это киберугроза; ⚪️саморазмножающиеся ИИ-модели и полное их разоблачение; 🟣итоги, доклады и просто картинки с Security Analyst Summit. #дайджест @П2Т

В четверг вечером, 29 октября, крупнейшая в мире криптобиржа узнала, сколько стоит один ноутбук. Не новый MacBook и не игровой монстр с подсветкой, а обычный рабочий ноутбук DevOps-инженера. По предварительной оценке самой Binance, его рыночная стоимость составила около 6,3 миллиарда долларов. Это рекорд. Предыдущий держал Bybit со скромными полутора миллиардами. Схема была простой. Ключи от кошельков биржи никто не крал. Зачем, если у Binance есть специальная система, которая этими ключами подписывает выводы? Атакующий взломал ноутбук инженера, через него попал во внутренний сервис и начал отдавать распоряжения. Система оказалась исполнительной и подписывала всё, что просили. Просили много. Всего за несколько минут деньги ушли из кошельков Binance в десяти блокчейнах: Ethereum, Bitcoin, Tron, Solana и ещё шести, чтобы никто не ушёл обиженным. Только в биткоинах вывели 18270 монет. Ethereum досталась роль главного зрелища: там применили модную функцию EIP-7702 и вычистили кошелёк одной транзакцией. Функцию придумывали для улучшения пользовательского опыта, и опыт действительно улучшился. Правда, не у того пользователя. Дальше всё по законам жанра. Деньги уходят, а биржа сообщает, что средства пользователей в полной безопасности. Сообщение верное: в безопасности они теперь у кого-то другого, и этот кто-то очень бережно их хранит. Основатель биржи Чанпэн Чжао (CZ), который давно не управляет компанией, но по-прежнему ею владеет, посмотрел на происходящее и честно признал: похоже, это взлом. Экспертиза высшей пробы. В индустрии тем временем включился режим взаимовыручки. Tether заморозил полтора миллиарда в USDT, Circle — восемьсот миллионов в USDC. Всего удалось остановить около трёх миллиардов. Подозреваемые известны заранее: следователи по блокчейну кивают в сторону Lazarus, а точнее его подразделения TraderTraitor. Специалисты отмечают одну странность: на этот раз северокорейские товарищи отмывали добычу медленнее обычного. Видимо, от такого объёма растерялись даже профессионалы. Когда планировал украсть миллиард, а унёс шесть, перекладывать нужно аккуратно. Чтобы вечер не пропал зря, в тот же день взломали ещё и Polymarket — через стороннего провайдера. На Polymarket, напомним, можно ставить на что угодно. Кто-то, вероятно, ставил и на это. Остаётся вопрос, на который ответит обещанный post-mortem. Почему в индустрии, где каждый второй пресс-релиз начинается со слов «многоуровневая защита» и «военный уровень шифрования», с ноутбука одного инженера можно подписывать вывод миллиардов из горячего кошелька? @gostev_future

🛡 Снижаем ИИ-риски имеющимися инструментами Организациям со зрелой ИБ не обязательно внедрять десяток модных решений, чтобы контролировать риски, связанные с появлением в бизнес-процессах ИИ-агентов. Как мы уже упоминали, ИИ-агенты во многом похожи на инсайдерскую угрозу, а инструменты они используют примерно так же, как атакующие, работающие по тактике LotL. Весь фокус в том,чобы научить традиционные СЗИ отличать деятельность полезного ИИ-агента от активности, порождённой атаками злоумышленников на ИИ-системы. Чтобы решить эту задачу, «Лаборатория Касперского» обновила правила и экспертное наполнение сразу нескольких продуктов, упрощая ИБ-командам моделирование угроз, блокировку несанкционированных ИИ-сервисов, отслеживание подозрительных действий ИИ-агентов и фильтрацию небезопасного контента (вредоносных скиллов и ML-моделей). Подход строится на поведенческом детектировании, а не на простом запрете ИИ-инструментов. Например, обновлённые правила Kaspersky Endpoint Detection and Response обнаруживают случаи, когда агент получает доступ к файлам с учётными данными, или когда приложение неожиданно подключается к внешнему API какой-то LLM. Решение также сигнализирует об опасных настройках, например если агенты работают в авторежиме (YOLO) или с отключенной песочницей. Чтобы принимать решения о настройках ИИ на базе реальных, а не гипотетических рисков, в Threat Intelligence Portal и новом подразделе Hunt Hub появились подробные профили ИИ-агентов и того, как злоумышленники их атакуют. В информацию входит готовая к использованию логика детектирования и сетевые артефакты. Подробный разбор того, как в защите ИИ участвуют вышеописанные компоненты, какие правила есть в EDR, а также о возможностях Kaspersky Scan Engine и функциях контроля доступа читайте в статье на Securelist. #советы #ИИ @П2Т

🤯 Шелл-шок: чему учат PHP2Shell и Brotli Последняя неделя даёт хорошее представление о том, как будет выглядеть управление уязвимостями в эпоху ИИ. PHP2Shell (CVE-2026-109618 и -109619, CVSS 9.2) начался с паники. Детали утекли до релиза, патчи PHP вышли 21 октября, а Amazon заметили попытки эксплуатации ещё 17 октября. Затем ханипоты неделю бомбили миллионами запросов с нейрослопными «эксплойтами» с GitHub, а некоторые боты Mirai безуспешно ломились во все серверы, похожие на PHP. Пару громких заявлений о реальной эксплуатации исследователи потом отозвали. Подтверждённых шеллов за первые три дня так и не появилось. Первая подтверждённая RCE засветилась лишь 24 октября, причём на ханипоте с Apache mod_php, то есть в самой удобной для атакующего конфигурации. Универсального эксплойта так и нет, поскольку параметры атаки нужно подбирать под каждую сборку сервера. Но 26 октября CISA внесла обе CVE в KEV и дала подотчётным ведомствам всего три дня на устранение дефекта. Как выяснилось, реальная эксплуатация имеет самый неприятный вид: PHP2Shell связали с LPE в ядре Linux (Fragnesia, CVE-2026-46300) и получили root на 25 межсетевых экранах. После успешной компрометации атакующие нацелились на доменный контроллер, и вероятно, пытались закрепиться в инфраструктуре с целью шпионажа. По данным Censys, из доступных сканированию 43,2 млн серверов с уязвимой версией PHP, сегодня всё ещё подвержены уязвимости 32,7 млн. Уязвимость в Brotli (CVE-2026-111497) получила меньше внимания, в том числе потому, что разные команды исследователей изучили разные её аспекты и назвали каждая по-своему: Node2Shell, HTTP2Shell, Python2Shell, Broccoli2Shell, Brotli2Shell. Нашли дефект в OpenAI, а в Google исправили библиотеку ещё в феврале. Тогда проблема проходила больше по линии надёжности, а не безопасности. Первоначально октябрьская волна патчей в зависимых проектах началась с одного Node. js. Публичный PoC на стандартных сборках только ронял процесс, а в Red Hat отметили, что надёжного RCE нет. Потом копии уязвимого декодера нашлись в .NET, Windows-сборках PHP, DuckDB, ClickHouse, Apache Arrow, форках 7-Zip и много где ещё. Выискивать и патчить опасную зависимость надо для каждого проекта отдельно. 25 октября исследователи подтвердили, что смогли собрать рабочую цепочку, приводящую к RCE на стандартном Node.js 24.22.0, а уже 26 октября зафиксировали первую атаку. Пришла она с того же IP, с которого раньше эксплуатировали PHP2Shell. 27 октября CVE попала в KEV со сроком устранения до 10 ноября. Тем временем, отдельные вендоры начали выпускать свои бюллетени для устранения дефекта. Так, в Broadcom оценили уязвимость в VMware SDDC Manager на 9.8 по CVSS. А джекпот сорвала Palo Alto: PAN-OS задели и PHP2Shell, и Brotli. Во втором случае целью становится сам файрвол. Если включены расшифровка TLS и инспекция Brotli, вредоносные данные может прислать любой сайт, который открыл пользователь за файрволом. Многие хотфиксы для двух дефектов совпадают, так что админы хотя бы сэкономят время на перезагрузках. Какой можно сделать вывод, глядя на всю эту кутерьму? Часть находок, сделанных ИИ — очень запутанные баги, которые сложно эксплуатировать. Даже опытные исследователи долго не могли понять, насколько они опасны. Импакт оказался реальным, но по CVSS и описанию заранее это не определить. Получается, что единственный надёжный сигнал — подтверждённая эксплуатация. Но этот сигнал поступает слишком поздно для оперативного реагирования. Поэтому роль превентивного харденинга значительно растёт. Он хлопотный, но в итоге обходится дешевле, чем еженедельно разбирать очередную порцию слоп-PoC. Ну а страховочной сеткой, конечно, служат развитые процессы детектирования и реагирования. Кстати, наш пост про PHP4Shell на Securelist обновили детектирующими правилами для Kaspersky EDR. #уязвимости @П2Т

📣Что менять в защите КИИ перед 2027 годом Когда: 28 октября 2026 в 11:00 (МСК) Требования к защите критической информационной инфраструктуры растут с каждым годом. К традиционной дилемме «остановить систему или жить без патчей» и вечному вопросу «что отключать при кибератаке» добавляются вопросы категорирования, ответственности, доступа подрядчиков и импортозамещение. Как выбирать меры защиты, организовывать реагирование и проверять восстановление КИИ? Об этом поговорим на  онлайн-конференции AM-Live! Обсудим: ▶️ изменения в требованиях к защите за последний год; ▶️ когда пересматривать результаты категорирования с учётом отраслевых перечней; ▶️ какие атаки в 2026 году создают наибольший риск остановки критичных процессов; ▶️ как автоматизировать учёт объектов КИИ и изменений в инфраструктуре;  ▶️чем защищать систему, которую нельзя обновить и заменить; ▶️какие три действия владельцу значимого объекта КИИ сделать до 1 марта 2027 года. 👤 От «Лаборатории Касперского» в дискуссии поучаствует Алексей Панюхин, старший менеджер предпродажной поддержки решений для бизнеса. Встречаемся в среду: 28 октября 2026 Нужна предварительная регистрация. Узнать о конференции и зарегистрироваться ⟶ #события @П2Т

Интересные исследования APT и oh shit новости ИБ за неделю ❗️ Технический анализ BlackX, нового UEFI-буткита на основе BlackLotus, используемого вероятно кластером APT41. Он применялся против дипломатических ведомств в странах Средней Азии. 🟢Группа Storm-0940 атаковала более 2000 организаций с помощью ИИ-фреймворка для пентестов ARTEX. Атаки нацелены на инфраструктуру жертв в Microsoft 365. Группе приписывают в том числе компрометацию ConnectWise Cloud Backup. ❕ Разбор свежих TTPs APT Lazarus, применяемых в операции FlashHole. Злоумышленники злоупотребляли ПО CrossWeb EX, используемого в Южной Корее для доступа к онлайн-банкингу и другим важным сервисам. ВПО использует GitHub в качестве C2 и защищает свой трафик постквантовой криптографией. 🟢Технический анализ нового Go-бэкдора MythicRatatoskr, использующего C2 в mesh-сети Yggdrasil. ВПО применяется группой UAC-0099. 🟣Обзор TTPs APT28, включающих новый бэкдор Hookedge. Он запускает скрытый экземпляр Edge для доставки нагрузок. 🔵Незащищённый сервер раскрыл детали работы оператора, использовавшего ИИ-фреймворк Cairn на базе DeepSeek против 66 целей, включая министерства и госведомства Вьетнама, Тайваня, Индонезии и Индии. 🟣А в Латинской Америке другой фреймворк такого типа, CARLIY0S, использовался группой CyberCartel против более чем 400 финансовых организаций. 🔵Обзор деятельности k0t — предположительно брокера первоначального доступа, компрометирующего устройства FortiGate, FortiWeb и GlobalProtect, в основном в Азиатско-Тихоокеанском регионе и Латинской Америке. Впоследствии его жертвы появлялись на DLS группировок Qilin и The Gentlemen. 🟣Неизвестный злоумышленник внедрил бэкдор Ebury в 333 выходных узла Tor, то есть примерно в 10% от их общего количества. В течение нескольких дней в начале октября он перенаправлял SSH-сессии на свои серверы. 🟢Используя похищенные OAuth-токены, злоумышленники опубликовали троянизированную версию LiteLLM 1.107.0 в официальных репозиториях проекта в PyPI и Docker. Она, как водится, крала учётные данные к облачным сервисам и ИИ-провайдерам. За два часа её скачали около 49000 раз. 🟣Технический анализ нового ВПО HypeAgent. Это многофункциональный троянец для Windows, поддерживающий около 195 команд, включая скрытый RDP, и инжектор в Exodus Wallet для кражи seed-фраз. 🟣GitLab выпустила патч для CVE-2026-110264 с оценкой CVSS 10.0. Дефект в regex-компиляторе позволял неаутентифицированному атакующему выполнять код на серверах, начиная с версии 7.0. 🟡Браузеры и ОС заблокировали восемь промежуточных CA eMudhra и отозвали доверие к её корневому сертификату после ошибки 2025 года, из-за которой приватные ключи оказались слабыми, могли быть восстановлены и использованы для подделки доверенных сертификатов. #дайджест #APT @П2Т

Знакомьтесь, победители финала Kaspersky CTF Прямо перед началом Security Analyst Summit на этой неделе 14 команд-финалистов сошлись в серьёзной борьбе на очном финале Kaspersky CTF. В этом году особый интерес представляло одно задание, выполнить которое нужно было офлайн, без помощи поисковых систем или нейросетей🙃 Участники справились со всеми шестью заданиями, включая офлайновое. Победители: 🥇BunkyoWesterns (Япония) Команда участвует в финале SAS CTF третий раз, но не получала ни одного призового места в предыдущие два года. А в этот раз они сразу взяли золото! 🥈PwnSec (регион META) Пришли на свой второй SAS CTF. После первой попытки команда сделала выводы, вернулась гораздо сильнее и заслуженно вошла в тройку лучших! 🥉 CUT (Россия) Новички из Центрального университета устроили впечатляющий дебют! Именно они первыми справились с офлайн-задачей. А после заморозки видимой таблицы лидеров (scoreboards), когда они шли четвёртыми, команда в последний час буквально прорвалась в топ-3. Наши поздравления чемпионам и спасибо всем 14 командам за впечатляющую демонстрацию знаний и умений! #TheSAS2026 #CTF

⭐️ Краткие итоги Security Analyst Summit 2026 На нашей международной конференции ИБ-экспертов рассказали не только про новый буткит APT41 и обновлённые TTPs Lazarus. Эксперты из двух десятков стран поделились исследованиями про архитектуру нашумевших эксплойт-китов для iOS Coruna и DarkSword, способы ускорения реверс-инжиниринга при помощи ИИ, устройство ботнета Kimwolf, ошибки в OPSEC у APT36, уязвимостях для побега из изолированных сред ESXi, целой серии уязвимостей и мисконфигураций, разрушающих изоляцию клиентов у облачных провайдеров и даже то, как запустить Linux на PlayStation 5. Подробности и фрагменты докладов доступны в соцсетях конференции. Специальный гость, вернее гостья в этом году — Жеральдин Фаснахт, знаменитая среди скайдайверов и фрирайдеров многочисленными впечатляющими спусками и победами в профильных соревнованиях. Всего в конференции поучаствовали 180 делегатов из 26 стран, которые прочитали и послушали более трёх десятков докладов за два дня. #TheSAS2026 #APT @П2Т

👀 Скучали по буткитам? Тогда знакомьтесь с BlackX Злоумышленники, предположительно входящие в кластер APT41, значительно доработали ранее известный код буткита BlackLotus и применили его в атаках на дипломатические организации в Центральной Азии. Буткит BlackX используется для закрепления в ранее скомпрометированных системах и долгосрочного шпионажа за жертвами. Эксфильтрация данных ведётся на публично доступные облачные сервисы: Google Drive, OneDrive, Яндекс Диск. Примечательно, что ВПО пытается отключать СЗИ на хостах, включая продукты «Лаборатории Касперского», но с защитой ЛК трюк не проходит. Хотя уязвимость в процессах безопасной загрузки (CVE‑2023‑24932), эксплуатируемая этими буткитами, была устранена ещё в 2023 году, Microsoft не торопится целиком блокировать уязвимые загрузчики, поместив их в список DBX. В результате, даже установив обновления Windows, администраторы могли оставить систему уязвимой, если проигнорировали рекомендации Microsoft: обновить съёмные носители и диски восстановления, применить опциональные меры дополнительной защиты. Поэтому буткитом можно успешно воспользоваться даже на многих Windows-системах, которые обновлялись недавно. Подробностями исследования вчера поделились на международной конференции Security Analyst Summit 2026, а сегодня они публично доступны на Securelist. #TheSAS2026 #APT #Windows @П2Т

🤯 Критические уязвимости в ядре PHP Два критических дефекта в PHP будут устранены срочным патчем сегодня в 17:00 (мск), поскольку информация об этих дефектах утекла до того, как их закрыли в плановом порядке. Оба бага (CVE-2026-109618 и CVE-2026-109619) имеют рейтинг CVSS4B в 9.2 и могут привести к RCE на сервере, использующем PHP. Затронутые версии пока не подтверждены окончательно, но вероятно это все версии с 5 по 8. В соцсетях бродит демо-видео эксплойта PHP2Shell, срабатывающего на многих серверах с проектами, использующими PHP: от WordPress до Magento. По предварительным данным, дефекты связаны с повреждением памяти и использованием уже освобождённой памяти в ядре PHP. Атака работает без аутентификации. Многие эксперты ожидают, что эксплуатация дефекта в атаках начнётся буквально через 15 минут после того, как станут ясны детали уязвимости. Поэтому администраторы, ответственные за публично доступные веб-серверы на базе PHP должны освободить себе сегодняшний вечер для срочной установки обновлений. #новости #уязвимости @П2Т