SecAtor

Завершаем рабочую неделю подборкой трендовых уязвимостей: 1. Defiant предупреждает, что злоумышленники начали использовать новую серьезную уязвимость WordPress спустя пару часов после выхода обновлений. Исправленная в WordPress 7.1.4 уязвимость затрагивает процесс обновления WordPress и может быть использована для RCE. Злоумышленнику не обязательно иметь учетную запись на сайте, но необходимо «уложиться в очень узкий промежуток времени, пока WordPress выполняет полное обновление ядра. По данным Wordfence, фиксируются только попытки атак. 2. По данным CISA, CVE-2026-97229 в GitLab максимальной степени серьезности уже использована злоумышленниками. Она затрагивает компилятор регулярных выражений CI/CD. Проблема позволяет удаленным злоумышленникам выполнять произвольный код с помощью специально созданного регулярного выражения в конфигурации CI/CD из-за недостаточной проверки выражений. По данным Alpine Linux, 20 и 21 октября злоумышленник атаковал её экземпляр GitLab, используя CVE-2026-97229. Атака не удалась, но дистрибутив Linux восстановил экземпляр с нуля. 3. Steam от Valve уязвима для RCE ZeroClick между компьютерами, подключенными к одной и той же учетной записи. Ошибки обнаружили исследователи Atredis Partners. Уязвимости либо исправлены, либо срок их раскрытия истек. Однако в отчете не указан статус исправления. 4. Telegram не удалось исправить уязвимость, которая позволяет совершать атаки одним щелчком мыши. Уязвимость затрагивает Rlottie, библиотеку, используемую для воспроизведения анимации стикеров. Trend Micro, сообщившая об ошибке через ZDI, рекомендовала «ограничить взаимодействие с продуктом». 5. Drupal предупреждает о критической уязвимости в Commerce Core, которая используется в атаках. CVE-2026-118539 связана с отсутствием механизма авторизации, который может быть использован неавторизованными злоумышленниками, затрагивает Commerce Core от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13. 6. Хакеры используют PHP2Shell для взлома межсетевых экранов Palo Alto Networks. Атаки нацелены на устройства, панель управления которых доступна из интернета. Компания подтвердила атаки. 7. Злоумышленники приступили к использованию уязвимости в формате сжатия данных Brotli от Google. CISA добавила информацию об этой уязвимости в свою базу данных KEV в среду. Атаки начались через два дня после публикации в сети PoC. Об атаках также сообщили компании Ellio и Previdian. Уязвимость позволяет злоумышленникам запускать вредоносный код в приложениях и на серверах, использующих библиотеку Brotli для распаковки данных, предоставляемых пользователем. 8. В библиотеке ZIP языка Rust исправлена уязвимость, позволяющая осуществлять атаки с удалённым выполнением кода при распаковке ZIP-архивов. 9. Уязвимость в коде TCP ядра Linux, CVE-2026-98432 (с 9,8 по CVSS), затрагивает Ubuntu, Red Hat Enterprise Linux (RHEL) и другие дистрибутивы Linux. 27 октября Anthropic сообщила, что ее модель ИИ разработала эксплойт, использующий уязвимость. Debian, Oracle Linux, SUSE и Amazon Linux выпустили исправленные пакеты, по крайней мере, для некоторых своих ядер, но Ubuntu и RHEL - нет. 10. TeamViewer выпустила обновления, устраняющие ряд уязвимостей, включая RCE в компоненте обработки экрана при удаленном управлении. 11. Критическая CVE-2026-97631, обнаруженная 16 лет назад в TianoCore EDK II, открытом исходном коде, который используют большинство мировых поставщиков серверов и ЦОДов через поставщиков прошивки, таких как AMI, Insyde и Phoenix, затрагивает большинство серверов по всему миру. 12. Злоумышленники внедряют бэкдоры на серверы, используя CVE-2026-42589 в приложении Gotenberg для преобразования документов в PDF. 13. Positive Technologies выкатила свой октябрьский «В тренде VM», отметив: уязвимость, приводящую к EoP, в механизме ALPC в Windows – CVE-2026-85880 и проблему, приводящую к RCE, в шлюзах Check Point Security Gateway и межсетевых экранах Spark Firewall (CVE-2026-85102).

Исследователи Лаборатории Касперского задетектили активность неизвестной APT, которая использует NetamLoader для атак на операционную систему Windows 10, адаптированную для правительств стран Азии. Несколько месяцев назад ЛК удалось выявить чрезвычайно сложную цепочку заражения и запутанную структуру загрузки сборок .NET, построенную на разметке XAML. Выявленные артефакты убедительно указывают на атаку на цепочку поставок, нацеленную на пользовательскую сборку Windows, используемую исключительно государственными учреждениями в Азии. Вредоносная структура получила название NetamLoader. На основе телеметрических данных KSN, ЛК обнаружила одну жертву в Азии. Кроме того, вредоносное ПО было разработано для атаки на специально модифицированную версию Windows, предназначенную только для госучреждений. Образец был обнаружен в первой половине 2026 года, когда KSN выдала предупреждение об обнаружении вредоносного ПО для файла .config, использующего внедрение AppDomainManager для загрузки произвольных сборок .NET. Файл был упакован в CAB-архив, расположенный в каталоге, где хранятся пакеты обновлений Windows. Первоначальный анализ содержимого CAB не выявил вредоносного кода. Большинство исполняемых файлов являлись легитимными компонентами стороннего инструмента управления обновлениями Patch My PC, и даже сборки .NET, используемые для внедрения, были подписаны Microsoft. Однако последующее повторное изучение исходного файла .config и полного процесса загрузки позволило выявить цепочку заражения и все представленные в новом отчете артефакты. Вместе с тем, после анализа TTPs, сходства кода и инфраструктуры ЛК пока не удалось связать атаку ни с одной известной APT-группой. Детальный технический разбор и IOCs - в отчете.

Если верить результатам предварительного расследования по Binance, взломанный ноутбук DevOps-инженера мог позволить злоумышленнику получить доступ к сервисному контейнеру и осуществить выводы средств, ущерб от которых оценивается в 6,3 млрд. долл. При этом Binance уверенно заявляет, что не обнаружила доказательств утечки закрытых ключей кошелька. Вместе с тем, Binance не раскрывает, как был взломан ноутбук, как был получен доступ к контейнеру и почему не отработали средства контроля транзакции. Кроме того, в TRM Labs с высокой степенью уверенности связывают атаку с TraderTraitor, северокорейской APT, которая также несет ответственность за взлом Bybit на сумму 1,5 млрд. долл. в феврале 2025 года. Компания намерена покрыть убытки за счет своего фонда SAFU и корпоративных фондов, а также планирует представить обновленное подтверждение резервов после локализации всех последствий и публикации подробного технического анализа инцидента.

Хакеры провернули крупнейшее за всю ограбление, взломав Binance и выкрав цифровые активы на сумму до 6 млрд. долл., что в разы превышает предыдущий рекорд в 1,5 млрд., слитых с Bybit в феврале 2025 года. Предполагаемая кража побудила эмитентов стейблкоинов Tether и Circle заморозить активы на сумму более 2,3 млрд. долл., потенциально связанных с инцидентом. Согласно официальным заявлениям, Binance пока ведет расследование по факту инциденту кибербезопасности, заверя клиентов в сохранности их средств. Binance также предупредила клиентов о необходимости проявлять осторожность в отношении мошенничества и избегать неофициальных ссылок, сообщений или запросов на предоставление информации об учетной записи. Основатель Binance Чанпенг Чжао (CZ) заявил, что инцидент, по всей видимости, был взломом, отметив при этом, что он больше не управляет биржей и ожидает, что все средства пользователей будут полностью компенсированы. Генеральный директор Tether Паоло Ардоино сообщил, что компания заморозила более 1,567 млрд. долл. в USDT, связанных с потенциальным взломом Binance. Глава Circle Джереми Аллер также подтвердил заморозку более 800 млн. долл. в USDC, связанных с инцидентом, добавив, что Circle координирует свои действия с силовиками и продолжит оказывать поддержку расследованию. Все произошло после сообщений о переводе миллиардов долларов в криптовалюте с нескольких горячих кошельков Binance на недавно созданный адрес Ethereum. Согласно анализу транзакций, с горячего кошелька Binance, известного как Binance 14, прошел перевод приблизительно 2,53 млрд. долл. в 64 криптовалютных токенах, а через 24 секунды - еще 174,4 млн. долл. со второго кошелька Binance. В более поздней версии сообщалось, что с третего горячего кошелька Binance ушло еще 780 млн. USDC на тот же адрес Ethereum, в результате чего общая сумма составила приблизительно 3,48 млрд. долл. Тем временем Arkham Intelligence отслеживает 55 адресов, объединенных под брендом binance-hacker-1029, совокупная капитализация которых составляет приблизительно 5,78 млрд. долл. При этом пока нет подтверждений, что именно такая сумма была украдена с Binance. В число отслеживаемых активов входят приблизительно 1,77 млрд. долл. в USDT, 1,44 млрд. долл. в Bitcoin, 876 млн. долл. в Ethereum и 823 млн. долл. в USDC. Обозреватель блокчейна Etherscan также отметил первоначальный адрес получателя как Binance Hot Wallet Exploiter 2, присвоив ему метки Exploit и Heist. В свою очередь, Binance пока не подтвердила легитимность переводов, не раскрывает предполагаемую утечку данных, равно как и общий размер вероятно украденных активов. Будем следить.

Cisco Talos полагает, что вредоносное ПО для кражи ключей Cisco SD-WAN пересекается с инфраструктурой, частично совпадающей с сетью Silent Train от китайской Volt Typhoon. В среду Cisco Talos заметила, что злоумышленник, чья инфраструктура пересекается с тайной сетью Volt Typhoon, воспользовался критической уязвимостью в сети Cisco SD-WAN для развертывания зловреда, предназначенного для сбора ключей шифрования. В тот же день принадлежащая Lumen Black Lotus Labs опубликовала исследование Silent Train, которую Volt Typhoon использовала для атак на организации в США, в том числе в рамках 0-day кампании, использующей ту же уязвимость Cisco. CVE-2026-20127 имеет оценку CVSS 10 и была обнаружена в феврале 2026 года. Злоумышленники могут использовать её удалённо, без необходимости ввода учётных данных, чтобы обойти аутентификацию пиринговых соединений компонентов контроллера SD-WAN и получить права администратора. Cisco предупреждает, что этот доступ может быть использован для изменения конфигурации сети SD-WAN. Cisco Talos приписывает атаки группировке UAT-11473, которую описывает как высокотехнологичную APT, нацеленную на аэрокосмический сектор и оборонные технологии, а также на исследования в области политики. По данным исследователей, вредоносная ПО под названием KeyDrift была разработана для предоставления операторам постоянного доступа к контроллерам SD-WAN и автоматического перехвата ключевого материала. Она внедряется в легитимные процессы плоскости управления, предоставляя им доступ к управляющему трафику после его расшифровки. Ее основной модуль, PolyFlame, работает как бэкдор и может также передавать команды другим хостам в качестве промежуточного узла C2. Второй модуль, LittleFilch, собирает ключевой материал, который, по мнению Talos, включает ключи, защищающие трафик на уровне данных. Talos с высокой степенью уверенности охарактеризовала инфраструктуру UAT-11473 как «значительно совпадающую с сетью скрытого доступа Volt Typhoon Silent Train. Однако при этом не говорится, что это одна и та же группа. Black Lotus Labs отслеживает Silent Train с конца 2023 года. Это, по сути, ретрансляционная инфраструктура, состоящая из скомпрометированных устройств, которую APT использует для сокрытия источника своих атак. По словам исследователей, развертывание Silent Train было частично обусловлено тем, что ФБР в своем время нейтрализовала KV-Botnet, ботнет, который группировка использовал при атаках на критически важную инфраструктуру в США. Телеметрия Lumen позволила выявить как минимум четыре подтвержденные 0-day кампании нулевого дня, нацеленные на Versa Director, N-able N-central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator, а также вероятную кампанию - Quest KACE. По данным Lumen, группа Volt Typhoon задействовала CVE-2026-20127 уже к концу 2025 года и продолжала это делать ещё длительное время после того, как Cisco раскрыла информацию. Использование злоумышленниками технологии Silent Train включает в себя эксплуатацию уязвимостей, кражу учетных данных, утечку данных и поддержание постоянного удаленного доступа к скомпрометированным системам. В числе пострадавших - телеком, госучреждения, оборонные подрядчики, поставщики спутниковой и критически важной связи, поставщики управляемых ИТ-услуг, НИИ и операторы критической инфраструктуры. Наибольший ущерб был нанесен Гавайям, Калифорнии и Техасу. По словам исследователей Lumen, тактика атаки указывает на попытку закрепиться в системах, которые имели бы важное значение во время геополитического кризиса, особенно в Индо-Тихоокеанском регионе. В целом, Silent Train предназначалась только для особо важных целей. Вместе с тем, в отчете Lumen не упоминаются KeyDrift или UAT-11473.

В сеть слили данные более 41 000 сотрудников Министерства внутренней безопасности США, которые были украдены из системы единого входа Okta в начале этого года. Утечку инициировал некто с псевдоним Department of Peace, пояснив, что: «у них есть наша информация, поэтому справедливо, чтобы и у нас была их информация». По словам хакера, данные были украдены из системы единого входа Okta, используемой сотрудниками и подрядчиками Министерства внутренней безопасности США для доступа к центральной системе. В свою очередь, в Okta уведомили общественность, что им известно о публикации, но компания не располагает доказательствами того, что их данные или системы были скомпрометированы. По некоторым сообщениям, большая часть просочившихся в сеть документов содержит информацию о сотрудниках Таможенной и пограничной службы США (CBP), Иммиграционной и таможенной службы (ICE) и Службы расследований внутренней безопасности (HSI). Кроме того, утекла информация примерно 1000 сотрудников CISA, а также персонала нескольких других агентств Министерства внутренней безопасности США. В паблик попали: полные установочные данные сотрудников, адреса электронной почты и номера телефонов, должности и адреса офисов, а также сведения о правах доступа к системам и внутренним приложениям. Теперь кстати еще и доступен онлайн-инструмент для поиска данных. Министерство внутренней безопасности США также осведомлено о потенциальном нарушении и активно работает над локализацией инцидента, прежде всего, намереваясь обеспечить необходимую защиту для персонала. Согласно Distributed Denial of Secrets, получившей копию базы данных (назвавшей Icepick), слитая информация позволяет идентифицировать должностных лиц, ответственных за тайные и секретные операции, а также ключевых сотрудников программ Министерства внутренней безопасности США по выдаче и депортации лиц. В Illumio полагают, что наибольшую обеспокоенность вызывает информация о доступе, которая была получена в результате этого взлома. Потенциально теперь злоумышленник знает, какие сотрудники имеют доступ к каким системам и приложениям, и, по сути, получает план дальнейших действий, определяя, на кого следует нацелиться. В случае с ShinyHunters и ФБР победили силовики - слива удалось избежать, но теперь хакерам опредеделенно удалось сравнять счет.

Исследователи Лаборатории Касперского предупреждают, что миллионы камер видеонаблюдения Intelbras могут находиться под угрозой, все из-за DoS-уязвимости в устройствах. В ходе нового исследования специалисты ЛК обнаружили уязвимость типа DoS, затрагивающую IP-камеры Intelbras. Ошибка связана с конечной точкой обновления прошивки, доступ к которой не требует аутентификации. Уязвимой конечной точкой является маршрут обновления прошивки http:///firmwareUpgrade_service/Demo, на которой отсутствует проверка аутентификации. Более того, на этом эндпоинте не проверяется корректность файла прошивки перед запуском процесса обновления. Это приводит к серьезной проблеме, так как обновление требует перезагрузки камеры. Именно тогда и происходит сбой: камера переходит в режим перезагрузки и пропадает из сети, становясь недоступной для пользователя и всех устройств, на которых она зарегистрирована. Злоумышленник может удаленно инициировать процесс обновления прошивки и перезагрузки камеры без аутентификации и без предоставления корректного образа прошивки, что приведет к переходу в офлайн-режим: легитимные пользователи не смогут управлять камерой. Один запрос выводит камеру из строя примерно на минуту, однако периодическая отправка запросов позволяет поддерживать устройство в офлайн-режиме неограниченное время. Уязвимость затрагивает большое количество пользователей, поэтому последствия ее эксплуатации могут быть значительными. Приложение Intelbras Mibo Smart для подключения управления камерами имеет более 4 млн. загрузок. При этом основная доля пользователей приложения приходится на Бразилию, за которой следуют Парагвай, Эквадор, Колумбия, Аргентина, Чили, Перу, Боливия, Уругвай и Венесуэла. ЛК уведомила об этой проблеме Intelbras, после чего отследили процесс устранения уязвимости, подтвердив по итогу корректность исправления в новой версии прошивки (R.260804, инструкция по установке обновлению). После отправки запроса в MITRE был присвоен идентификатор CAN-2026-2035970, ожидающий финального назначения CVE. MITRE классифицировала уязвимость как среднюю, присвоив ей 5.1 по CVSS 4.0. Технические подробности с демонстрацией рабочего эксплойта - в отчете.

Cisco выпустила обновления для устранения 0-day, приводящей к DoS, в Adaptive Security Appliance (ASA) и Threat Defense (FTD), которую злоумышленники используют для удаленного вывода из строя уязвимых межсетевых экранов. CVE-2026-76418 затрагивает устройства, работающие под управлением ASA и FTD с конфигурациями, содержащими ключевое слово webvpn и включенным SSL VPN как минимум на одном интерфейсе. Успешная эксплуатация позволяет неавторизованным удаленным злоумышленникам инициировать DoS, вызывая неожиданную перезагрузку устройства. Cisco настоятельно рекомендует обновить уязвимые межсетевые экраны после того, как ее группа PSIRT в октябре 2026 года обнаружила доказательства того, что уязвимость используется злоумышленниками. Однако не предоставила никаких IOCs и не поделилась информацией об атаках, в том числе о том, какие организации являются целью атак и кто использует уязвимость. Проблема вызвана логическими ошибками при настройке вторичной аутентификации в группе туннелей. Злоумышленник может использовать эту уязвимость, отправив специально сформированный запрос при подключении к VPN-сети удаленного доступа SSL. Обходных путей для решения этой проблемы нет, но смягчить последствия можно, отключив вторичную аутентификацию для группы туннелей DefaultWEBVPNGroup по умолчанию или для любого списка групп туннелей, настроенных пользователем. В настоящее время Shadowserver отслеживает более 51 000 устройств Cisco ASA SSL VPN, находящихся в сети, при этом сколько из них уязвимо неясно. Предыдущие CVE-2025-20362 и CVE-2025-20333 в ASA и FTD также активно эксплуатировались в качестве нулей в рамках кампании ArcaneDoor, как выявленная в августе CVE-2026-20349, которую злоумышленники использовали для выведения из строя межсетевых экранов ASA и FTD.

Не вдаваясь в лишние подробности отметим ряд значимых, на наш взгляд, киберинцидентов и кампаний. Среди них следующие: 1. Производитель аппаратных кошельков для криптовалют Keystone вынужден уничтожить почти 19 000 устройств после того, как хакер украл ключ аутентификации устройства. Компания приостановила все поставки кошельков до тех пор, пока не будут собраны устройства с новым ключом. Украденный ключ записывается в устройство при сборке и не может быть изменен. Он используется для проверки подлинности устройства. Keystone утверждает, что ключ может быть использован для создания поддельных устройств с бэкдорами, которые могут выглядеть как легитимные. 2. Как передает The Telegraph, США присоединяются к расследованию взлома холодильников в супермаркетах Франции после того, как за несколько недель до этого аналогичный инцидент произошел на американских военных базах. 3. В пятницу хакеры взломали облачную платформу Warp. Злоумышленники задействоввали рой агентов ИИ для взлома одного из поставщиков инфраструктуры компании. Хакеры украли данные отслеживания и телеметрии агентов примерно у 1% клиентов компании. 4. Хакеры взломали Vanden Broele, крупного поставщика ПО для бельгийского правительства. Они получили доступ к eSignFlow, платформе для подписания документов. Компания отключила свои системы в прошлую пятницу, чтобы предотвратить злоупотребления. Сообщается, что пострадали активы более 120 местных органов власти. 5. Хостинг-провайдер DreamHost сбросил пароли клиентов после странного инцидента, затронувшего его FTP/SFTP и веб-почту. На прошлой неделе компания разослала уведомления об изменении паролей всем пострадавшим клиентам. Учетные записи будут заблокированы до установки нового пароля. 6. Хакеры взломали Blast Mail, почтовый сервис, предоставляемый японским облачным провайдером Laxlight. Компания отключила сервис 21 октября, вскоре после обнаружения атаки. Работа сервиса до сих пор не возобновлена. 7. Бразильская хакерская группа успешно препарировала платформу электронной коммерции Convertr, внедрив скиммер для кредитных карт через ее аналитический скрипт. Хакеры, по всей видимости, взломали компанию через открытую аналитическую платформу Plausible. Группа, стоящая за атакой, является известным актором, действующим с 2024 года и специализирующимся на атаках в стиле Magecart. 8. Злоумышленник в рамках массовой кампании крадет секреты и токены из репозиториев GitHub. По данным Wiz, кампания началась в середине сентября. Злоумышленник использует уже скомпрометированные токены GitHub для доступа к учетным записям, отправки команд во все репозитории для вывода всех их секретов в журналы рабочих процессов. Затем злоумышленник собирает журналы и удаляет их через несколько секунд. Wiz обнаружил более 850 скомпрометированных учетных записей и более 13 500 затронутых репозиториев. 9. Помимо Южной Кореи агенты ИИ ARTEX применялись также для взлома компаний в Японии. Исследователи Trend Micro, полагают, что в арсенале был не только ARTEX. Злоумышленники использовали множество других инструментов ИИ, включая фреймворк CyberStrikeAI.

Исследователи Лаборатории Касперского рассказали про безопасное внедрение ИИ-агентов, делая акцент на том, как защитные решения митигируют ИИ-угрозы. ИИ-агенты и связанные с ними инструменты все активнее используются в корпоративной инфраструктуре, позволяя выполнять различные действия с правами пользователя, в том числе обращаться к данным, запускать команды и взаимодействовать с внешними сервисами. Все это создает и новые риски в части ИБ, особенно если использование таких инструментов реализуется вне контроля службы ИБ и без применения проработанных политик безопасности. Так что обнаружение, отслеживание и контроль ИИ-агентов становятся одной из насущных задач команд ИБ в настоящее время. В новом материале ЛК рассказала о новом экспертном наполнении ее продуктов, позволяющих комплексно бороться с угрозами, связанными с распространением ИИ-агентов. В частности, в первую очередь необходимо хорошо понимать угрозу: для этого на портале Kaspersky Threat Intelligence добавлены профили с описаниями различных ИИ-агентов и способами их эксплуатации злоумышленниками. ИИ-агенты по своей сути являются программами (процессами), которые выполняются в операционной системе на конечных устройствах и могут запускать другие процессы. Таким образом, решения класса EDR являются в контексте этой угрозы одним из ключевых средств контроля на конечных устройствах. Они способны выявлять наличие и запуск ИИ-агентов, отслеживать их активность и детектировать потенциально опасное поведение, а при необходимости обеспечивать реагирование - остановку подозрительного процесса, блокировку активности или изоляцию хоста. Собственно, для этих целей в ЛК разработали специальные адаптированные детектирующие правила. Для контроля и ограничения запуска ИИ-агентов целесообразно использовать возможности Kaspersky Security для бизнеса. Решение позволяет обнаруживать наличие ИИ-агентов и регулировать работу с ними при помощи компонентов «контроль приложений» (категоризация запускаемых процессов приложений на конечных устройствах), и «веб-контроль» (управление доступом пользователей на конечных устройствах к определенным категориям веб-ресурсов). Наконец, безвредные ИИ-агенты могут содержать вредоносные инструкции (скиллы), например, загруженные из небезопасных внешних источников. Kaspersky Scan Engine анализирует установленные приложения для выявления подобных угроз, а также отслеживает файлы LLM-моделей на предмет вредоносного кода. Кроме того, ЛК представила отдельный документ под названием Безопасное внедрение облачных ИИ-агентов в процессы разработки: опыт «Лаборатории Касперского. В нем рассматриваются основные риски, связанные с внедрением облачных ИИ-агентов в процессы разработки ПО, а также подходы ЛК к их снижению на конкретных примерах. Приведены практические решения из опыта внедрения ИИ-инструментов в процессы разработки, а также чек-лист с рекомендациями, специфичными для использования облачных моделей. В общем, чтобы использовать все преимущества технологии без ущерба для безопасности, важно выстроить многоуровневую защиту и минимизировать риски: как и чем конкретно могут помочь различные решения ЛК - в новом материале.

Исследователи Dream сообщают, что связанный с Китаем злоумышленник использует уязвимости PHP2Shell для получения root-доступа к межсетевым экранам и развертывания веб-оболочек для постоянного доступа. Хакеры объединили эксплойт для двух уязвимостей PHP (CVE-2026-109618 и CVE-2026-109619), с другим эксплойтом для Fragnesia, уязвимости повышения привилегий в ядре Linux (CVE-2026-46300). В рамках зафиксированных атак хакеры использовали китайскую поисковую систему FOFA для идентификации 19 000 межсетевых экранов от конкретного производителя и 23-24 октября успешно взломали 25 из них. После сканирования хакеры сначала идентифицировали серверы в США, Японии, Тайване и Южной Корее, а затем серверы, работающие на более новых версиях PHP, что дало им пул из 240 потенциальных целей. Затем, используя автоматизированный инструмент, злоумышленники атаковали межсетевые экраны с помощью полной цепочки эксплойтов PHP2Shell-Fragnesia, установив веб-оболочку с правами root на PHP на 24 устройствах для обеспечения постоянного доступа. Хотя на 22 межсетевых экранах никакой активности после взлома не наблюдалось, хакеры продвинулись дальше на двух серверах, принадлежащих организации, связанной с правительством США. Первый сервер с правами root вышел из строя вскоре после взлома, 23 октября. Злоумышленник запустил вторую волну атак 24 октября, которая оказалась успешной. Для сохранения доступа к межсетевому экрану злоумышленники развернули обратный SSH-туннель, а затем использовали его для атаки на внутренний сервер управления межсетевым экраном с помощью цепочки PHP2Shell-Fragnesia, получив доступ к конфигурациям, учетным данным и настройкам всех межсетевых экранов, которыми управляла организация. Затем хакеры использовали сервер управления для доступа и расшифровки пароля учетной записи службы LDAP, идентификации пользователей и групп в домене, проведения брута и создания бэкдор-учетных записей Active Directory, а также для выполнения других задач. Dream не связывает эту деятельность с конкретным субъектом угроз, но считает, что она является частью китайской APT-операции, учтивая таргетирование атак.

Молдову накрыл один из самых серьезных инцидентов в сфере ИБ: хакеры взломали правительственные системы и смогли похитить информацию примерно трети населения страны. Инцидент произошел на прошлой неделе, в пятницу, 23 октября, когда ИТ-структуры правительства обнаружили, что хакеры в моменте эксфильтруют гигабайты данные из их сети. Властям пришлось экстренно отключить 82 общедоступных цифровых сервиса и 30 правительственных сетей, дабы локализовать инцидент и предотвратить дальнейшую утечку данных. По данным молдавского агентства электронного правительства, хакеры похитили крайне конфиденциальные данные 750 000 граждан, что составляет примерно треть от общей численности населения страны в 2,35 миллиона человек. В число похищенных данных входили, в том числе: полные установочные данные и фото, состав семьи, страховой статус, сведения социального страхования, медицинские данные, пенсионная информация, инвалидности, водительские документы, имущество, зарегистрированный бизнес, а также финансовая информация (банковские счета, задолженность и история платежей через MPay). К расследованию взлома привлечены правоохранительные органы. Оператора электронного правительства пытается восстановить работу сервисов после проверки безопасности. Хакеры проникли в систему, используя уязвимости в службе регистрации событий, оставленной в открытом доступе в сети без аутентификации. После того, как нападавших залочили, они вновь пытались взломать те же системы в воскресенье и вторник. Молдавские власти пока не предоставили никакой информации о нападавших и не установили их личности. Вряд ли, за новый инцидентом стоят те же, которые ранее в апреле этого года взломали национальную базу данных медицинских учреждений. Однако объединение двух слитых массивов позволит их владельцам фактические воссоздать цифровой профиль страны.

•  Эксперты «Лаборатории Касперского» в рамках Security Analyst Summit 2026 представили крутое исследование, где рассказали о том, как хакеры могут получить доступ к складам маркетплейсов и логистических центров через обычные сканеры штрихкодов! •  Исследователи смогли разобрать протокол радиочастотной связи между беспроводными сканерами штрихкодов и их базовыми станциями. Выяснилось, что его можно использовать для инъекции произвольных нажатий клавиш и команд, что позволяет выполнять удаленный код на Windows и Linux без участия пользователя. •  Атака может производиться напрямую через беспроводной канал связи между устройствами — хакеру достаточно находиться в зоне действия радиосигнала, чтобы получить доступ без участия пользователя.  •  Этот потенциальный вектор атаки позволяет атакующим получить доступ к сети и проникнуть в систему управления складом (WMS), что позволяет подменять данные о товарах, перенаправлять посылки в другие города, останавливать конвейеры и воровать персональные данные клиентов. •  Уязвимости затрагивают оборудование крупных мировых производителей. Эксперты рекомендуют компаниям изолировать складские сети, отключить неиспользуемый Bluetooth и внедрить строгую аутентификацию устройств. ➡️ Технические подробности и детали доступны по ссылке. S.E. ▪️ infosec.work ▪️ VT

Продолжаем отслеживать критическую HTTP2Shell в библиотеке декодирования C Brotli, встроенной в Node.js, которая позволяет повредить память и получить доступ к конфиденциальным данным. Напомним, что CVE-2026-111497 также известна как Broccoli2Shell и Node2Shell, затрагивает версии Brotli от 1.0.3 до 1.0.9, 1.1.0 и 1.2.0. Проблема первоначально была выявлена в Node.js, после чего исследователи обнаружили, что аналогичный недостаток в декодере Brotli может затрагивать программное обеспечение в различных экосистемах. Наименование HTTP2Shell отражает его влияние на HTTP-клиенты и серверы, хотя уязвимость не является специфичной для HTTP/2 и может затронуть другие приложения, которые распаковывают контролируемые злоумышленником данные Brotli. Помимо Node.js потенциально уязвимым может быть ПО, включающее HTTP-клиенты на Python, такие как urllib3[brotli], requests, httpx и aiohttp[speedups], при использовании уязвимого декодера Brotli, а также другие использующие уязвимые реализации Brotli. На днях Microsoft выпустила экстренное обновление для устранения проблемы в .NET, предупредив, что успешная эксплуатация позволяет повысить привилегии в системах с уязвимой версией .NET. Node2Shell позволяет специально сформированному потоку, сжатому с помощью Brotli, вызвать недопустимое переключение блоков, которое декодер воспринимает как допустимое и ошибочно интерпретирует как запрос на дополнительные входные данные. Продолжая добавлять входные байты во внутренний восьмибайтовый буфер, запись выходит за его пределы, повреждая близлежащую память. Злоумышленник может воспользоваться этим, заставив приложение распаковывать вредоносные данные, например, отправляя сжатый HTTP-ответ приложению, получающему URL-адрес, или отправляя сжатый запрос непосредственно на сервер. В Node.js утверждают, что это может привести к сбою процесса, раскрытию памяти и RCE, что также подтверждает недавний отчет Imperva. Первые исправления для Brotli были внесены в исходный код проекта в феврале, но Node.js и Google выпустили стабильные исправления для пользователей 21 октября, а на следующий день последовало публичное раскрытие информации. Пакеты PyPI с исправлениями стали доступны 23 октября. Исправленные версии: Google Brotli 1.0.10, 1.1.1, 1.2.1; Node.js 22.23.4, 24.22.1, 26.12.1; Python Brotli 1.2.1; Python brotlicffi 1.2.1.0. Несмотря на публикации PoC для Node2Shell, сообщений о злонамеренной эксплуатации в реальных условиях нет. Помимо обновлений администраторам необходимо перезапустить затронутые процессы, а также пересобрать и повторно развернуть образы контейнеров. Согласно порталу с отслеживанием влияния проблемы, обновление системной библиотеки Brotli не устраняет риск в развертываниях Node.js или других приложениях, использующих собственную встроенную копию библиотеки. Кроме того, блокировка входящих запросов Brotli по-прежнему оставляет уязвимым путь для вредоносного HTTP-ответа. Если оперативно обновиться невозможно, рекомендуется удалить поддержку Brotli из приложений Python и заблокировать входящие запросы, сжатые с помощью Brotli, на уровне прокси-сервера или брандмауэра.

Полиции Южной Кореи удалось все же установить личности семи подозреваемых, причастных к виртуозной кампании, в результате которой были взломаны более 90 организаций в стране. В операциях активно использовалась пентест-платформа ARTEX AI. По данным местных СМИ со ссылкой на полицию Сеула, главарь банды имеет многолетний опыт работы в сфере пентеста и опыт в одной из инфосек-компаний в период с 2019 по 2022 гг. В 38 инцидентах злоумышленники требовали выкуп в размере 360 млн. вон (270 000 долл.) за неразглашение украденных данных. По оценкам властей, злоумышленник украл 8,2 млн. записей у своих жертв, среди которых образовательные учреждения, больницы, крупные корпорации и даже гольф-клубы. Yonhap News сообщает, что главарь банды - 32-летний хакер-самоучка, начавший атаковать организации в сентябре 2025 года. В работе использовал пакет ПО для тестирования на проникновение ARTEX AI, ту же самую автономную платформу, которая использовалась в атаках на несколько южнокорейских банков, предположительно, совершенных китайскоязычным злоумышленником. Первоначально хакер использовал традиционные инструменты, но с августа 2026 года перешел на использование ИИ для увеличения масштаба атак. Власти арестовали всех семерых подозреваемых, но под стражей пока остается только лидер. После ареста 15 октября он был официально задержан и передан в прокуратуру 23 октября. Остальные шесть подозреваемых остаются под следствием, но их задержания еще не состоялись. Поводом для возбуждения уголовного производства стало заявление одного из потерпевших, поданное в июне этого года. Следователям удалось отследить подозреваемых по логам серверов взломанных устройств. При этом, по имеющимся данным, правохранительные органы использовали собственный ИИ-инструмент для анализа изъятых улик. Полиция сообщила местным СМИ, что ИИ снизил порог входа для начинающих киберпреступников, что приводит к подобным масштабным и значимым инцидентам, которые ранее были возможны только для «опытных» представителей киберподполья. При этом в Корее это первый официально задокументированный киберинцидент, связанный с крупномасштабным взломом и кражей личной информации с использованием генеративного ИИ. И, по всей видимости, непоследний.

Исследователи Sansec раскрыли масштабную вредоносную кампанию, в рамках которой злоумышленник заразил 953 Интернет-магазина, большинство из них работают на платформе Magento. Атаки продолжаются с июля 2025 года с использованием пяти разных доменов для загрузчика JavaScript. Первые четыре - manulfie.click, neswnsssn.click, lanhd6549tdhse.top и additionalver.com - использовались сразу для нескольких сотен магазинов. Домены neswnsssn.click и manulfie.click утратили свою актуальность и были перерегистрированы повторно в мае 2026 года. Теперь оба используют серверы abovedomains.com. В период с августа по октябрь 2026 Sansec выявила загрузчик manulfie.click в 9 хранилищах, а загрузчик neswnsssn.click - в 6. Позже злоумышленник переключился на домен загрузчика deepveindrilling.com, который находится за Cloudflare и отвечает только на запросы от скриптов, загруженных в браузеры посетителей зараженных магазинов. По данным Sansec, погрузчик deepveindrilling.com был обнаружен в 83 магазинах, в том числе в 60, где ранее использовались предыдущие версии погрузчика. Причем Sansec Watch, служба мониторинга поставщиков облачных услуг, отследила, что браузеры посетителей загружали все четыре ранее упомянутых домена, включая около 52 000 для additionalver.com. В марте в 471 магазине Magento был внедрен загрузчик через уязвимость PolyShell (CVE-2026-48356). Sansec также обнаружила более 100 магазинов, в которых файлы загружались через уязвимости PolyShell или SessionReaper (CVE-2025-54236). В магазинах с установленными патчами загрузчик тоже появился: в одном магазине на Magento 2.4.7-p10 deepveindrilling.com появился в 16:46 UTC 23 октября, через час после чистого сканирования. eComscan обнаружил на нем вредоносную учетную запись админа 16 сентября и бэкдор GSocket 24 сентября. Код загрузчика был разработан для выполнения идентификации посетителей по фингерпринтам, доставляя полезную нагрузку только реальным посетителям, во избежание проверок безопасности. Sansec пока не удалось изучить окончательный вариант полезной нагрузки, но предыдущие версии загрузчика доставляли посетителям скрипты с доменов, связанных с криптовалютами, включая один, имитирующий бренд кошелька Ledger. Владельцам интернет-магазинов рекомендуется перепроверить CMS своих сайтов на наличие кода загрузчика, а также просканировать установку на наличие уязвимостей и бэкдоров, которые могут быть использованы злоумышленниками. Кроме того, следует проверить наличие фейковых админских учетных записей, выполнить очистку и сменить все пароли, убедившись, что на серверах установлены последние доступные обновления.

Apple адаптировала выпущенные в прошлом месяце обновления на более старые модели iPhone и iPad, устранив 0-day, используемую в «чрезвычайно сложных» узкотаргетированных атаках. В сентябре Apple устранила аналогичную уязвимость на устройствах под управлением iOS 26.7.1 и iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Уязвимость связана с записью за пределы допустимого диапазона (CVE-2026-86950) и затрагивает CoreGraphics - фреймворк, используемом для двухмерной векторной графики, рисования текста и рендеринга изображений на iOS, macOS, iPadOS, watchOS и tvOS. Успешная эксплуатация позволяет злоумышленникам вызывать сбои в работе программ, повреждать данные или получать доступ к удаленному выполнению кода путем записи данных за пределы выделенного буфера памяти. Apple отмечает, что обработка специально созданного файла может привести к выполнению произвольного кода. Проблема записи за пределы допустимого диапазона была решена за счет улучшения проверки границ. Благодаря обновлениям на этой неделе, Apple устранила уязвимость также на iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения, iPad Air 4-го поколения, iPad 9-го поколения и более поздних моделей, а также iPad mini 6-го поколения и более поздних моделей. Apple заявляет, что CVE-2026-86950 используется только в целенаправленных атаках, но вместе с тем настоятельно рекомендует установить эти адаптированные патчи для блокировки потенциальных атак. На текущий момент на счету Apple - все закрытые 0-day, использовавшиеся в атаках в этом году. Предыдущая CVE-2026-20700 (уязвимость произвольного выполнения кода в dyld, динамически подключаемом редакторе, используемом операционными системами Apple) также применялась в «чрезвычайно сложных» атаках. Ее устранили в феврале.

Исследователи Forever Security обнаружили на компьютере клиента вредоносный файл инструкций AGENTS в формате Markdown в папке ~/Downloads, который обманом заставил агента ИИ инсталлировать мошеннический пакет npm function-color. Файлы Markdown, такие как AGENTS.md, представляют собой текстовые файлы, содержащие инструкции для разработчиков ИИ-программ, специфичные для конкретного проекта, например, какие инструменты использовать, как запускать тесты и какие правила кодирования соблюдать. Агенты автоматически загружают необходимые файлы из своего рабочего каталога и используют содержащиеся в них инструкции для управления своими действиями. Хотя эти файлы не являются исполняемыми файлами, содержащиеся в них вредоносные инструкции могут привести к тому, что агенты ИИ будут выполнять команды, устанавливать пакеты или изменять настройки, используя доступные им инструменты и разрешения. В Forever Security воспроизвели атаку на OpenAI Codex и воспроизвели аналогичную технику против Claude Code, позволяющую получить доступ к токенам OAuth и захватить учетную запись, используя лишь вредоносные инструкции. Исследователям не удалось определить, как конкретно вредоносный файл с инструкциями попал в папку загрузок на целевом компьютере. При этом простое посещение вредоносной страницы может привести к загрузке вредоносного кода без какого-либо взаимодействия с пользователем. По утверждению Forever Security, «папка ~/Downloads уникальна. Это единственная папка, в которую веб может самостоятельно записывать данные, а веб-страница может незаметно загрузить в нее файл с именем AGENTS.md». Исследователи разработали PoC, дабы продемонстрировать, как атака может внедрить вредоносный файл в папку ~/Downloads незаметно для пользователя. И действительно, он работает. По умолчанию многие популярные браузеры, включая Chrome, Edge и Firefox, сохраняют файлы, загруженные из интернета, в папку ~/Downloads пользователя, не предлагая ему выбрать место сохранения для каждой загрузки. Brave при этом запрашивает подтверждение загрузки. Вместе с тем, Chrome, Edge и Firefox по умолчанию отображают уведомления о загрузке, оповещая пользователей о том, что файл был сохранен локально. После помещения файла в нужную папку для реализации атаки потребуется запуск жертвой своего ИИ-агента в той же директории, чтобы тот мог загрузить файл с инструкциями и обработать содержащиеся в нем вредоносные указания. Как отметили в Forever Security, это довольно распространенная практика, поскольку пользователи часто используют ИИ-агентов для организации этой папки или для обработки недавно загруженного файла. Согласно их статистике, сотни клиентов запускают агентов ИИ, включая Claude Code, OpenAI Codex и Cursor CLI, из папки ~/Downloads. Только Claude Code запустил более 1300 сессий. Исследователи протестировали свою реконструированную цепочку атак на Codex, используя безобидную полезную нагрузку, которая просто открывала приложение калькулятора, и достигли 90% успеха. В отдельном тесте они использовали вредоносный файл CLAUDE.md для перенаправления трафика API Claude Code на контролируемый ими сервер, что привело к утечке токена OAuth агента, позволило серверу выдавать себя за модель и возвращать вызовы инструментов, которые выполняли код примерно в 50% тестов. Исследователи утверждают, что риск данной атаки формирует сочетание преднамеренного поведения браузера и агента, что возлагает всю ответственность за реализацию защиты непосредственно на самого пользователя. OpenAI и Anthropic рекомендуют запускать своих агентов ИИ из каталога проекта, в котором они предназначены для работы. Ограничение рабочей директории рамками соответствующего проекта помогает агенту получить необходимый контекст и ограничивает область его работы, снижая риск обработки ненадежных файлов в несвязанных местах.

По PHP2Shell расклад на сегодня следующий: - Согласно результатам сканирования Qualys и Ox Security (1 и 2), более 99% всех PHP-серверов, уязвимых для PHP2Shell, до сих пор не защищены от атак. В целом, 73% всех PHP-ресурсов в интернете уязвимы для атак. - Сообщения об активной эксплуатации PHP2Shell имеются. Вредоносная активность была обнаружена Perplexity, чьи ханипоты зафиксировали подтвержденное RCE в установке Apache mod_php, работающей под управлением PHP 8.4.26. - Вышеупомянутые наблюдения подтвердил также исследователь Expel Маркус Хатчинс, отслеживающий сообщения о предполагаемых успешных случаях эксплуатации уязвимости PHP2Shell. - По данным TRACE Dataminr, до этих случаев вредоносная деятельность «ограничивалась сканированием и попытками реализации неработающих эксплойтов, без каких-либо случаев компрометации.  - Arctic Wolf связывает некоторые из этих атак с конкретным злоумышленником, а именно с ботнетом Potassium, семейством на основе Mirai, который впервые был обнаружен ранее в этом году. - CYFIRMA заявила о раскрытии предположительно связанной с КНДР кампании, в которой использовался PHP2Shell для активного исследования глобальной инфраструктуры PHP с 21 скомпрометированного узла. Сканирование намеренно проводится в небольших объемах и в умеренном темпе. Целевые серверы включают в себя 216 незащищенных или частично защищенных серверов, расположенных в США, Японии, Южной Корее, Таиланде, Индонезии, Австралии, Тайване, Индии, Сингапуре, ОАЭ, Саудовской Аравии и ЕС. К целевым секторам относятся правительственные учреждения, финансовые организации, логистические компании, аэропорты и авиационную отрасль, производственные предприятия и платформы для онлайн-транзакций. - Defused Cyber сообщает, что также наблюдает атаки PHP2Shell на свои ловушки GlobalProtect от Palo Alto Networks. Активность исходит с IP-адреса 204.76.203[.]7, известного адреса для массовых эксплойтов. Запросы содержат маркер PHP_SESSION_UPLOAD_PROGRESS (p2s-rider) и фиктивную загрузку файла без полезной нагрузки. - В пятницу команда безопасности PHP также поделилась мерами по устранению новой RCE (CVE-2026-115560), для которой нет исправления и которая может быть использована только при атаке на системы с «необычным сочетанием конфигурации и кода приложения». - Corelight, OpenAI и Searchlight выпустили инструменты для сканирования PHP-систем и определения их уязвимости к атакам PHP2Shell. - Исследователи Лаборатории Касперского представили правила для SIEM-системы KUMA и события для разработки собственных правил детектирования или проведения threat hunting. Кроме того, выкатили описание детектирования вредоносной активности с помощью сервиса Kaspersky Managed Detection and Response, а такие уязвимых версий PHP с помощью Kaspersky Vulnerability Management. - Позитивы указали Suricata‑сигнатуры, а Бизоны рассказали, как BI.ZONE EDR и BI.ZONE SOC выявляют эксплуатацию CVE-2026-109618/619 в PHP.