SecAtor
Ir al canal en Telegram
Руки-ножницы российского инфосека. Для связи - mschniperson@mailfence.com
Mostrar más📈 Análisis del canal de Telegram SecAtor
El canal SecAtor (@true_secator) en el segmento lingüístico de Ruso es un actor destacado. Actualmente la comunidad reúne a 42 172 suscriptores, ocupando la posición 3 176 en la categoría Tecnologías y Aplicaciones y el puesto 14 929 en la región Rusia.
📊 Métricas de audiencia y dinámica
Desde su creación el невідомо, el proyecto ha mostrado un crecimiento acelerado, reuniendo a 42 172 suscriptores.
Según los últimos datos del 03 noviembre, 2026, el canal mantiene una actividad estable. En los últimos 30 días la variación de miembros fue de 376, y en las últimas 24 horas de 16, conservando un alto alcance.
- Estado de verificación: No verificado
- Tasa de interacción (ER): El promedio de interacción de la audiencia es 15.66%. Durante las primeras 24 horas tras publicar, el contenido suele obtener 12.78% de reacciones respecto al total de suscriptores.
- Alcance de las publicaciones: Cada publicación recibe en promedio 6 603 visualizaciones. En el primer día suele acumular 5 389 visualizaciones.
- Reacciones e interacción: La audiencia responde de forma activa: el promedio de reacciones por publicación es 0.
- Intereses temáticos: El contenido se centra en temas clave como cve-2026, github, trivy, кража, обнаружение.
📝 Descripción y política de contenido
El autor describe el recurso como un espacio para expresar opiniones subjetivas:
“Руки-ножницы российского инфосека.
Для связи - mschniperson@mailfence.com”
Gracias a la alta frecuencia de actualizaciones (últimos datos recibidos el 04 noviembre, 2026), el canal mantiene la vigencia y un amplio alcance. La analítica demuestra que la audiencia interactúa activamente con el contenido, lo que lo convierte en un punto de referencia dentro de la categoría Tecnologías y Aplicaciones.
42 172
Suscriptores
+1624 horas
+1007 días
+37630 días
Cargando datos
Canales Similares
Nube de Etiquetas
Menciones Entrantes y Salientes
---
---
---
---
---
---
Atraer Suscriptores
noviembre '26nov '26
noviembre '26
+64
en 2 canales
octubre '26
+507
en 13 canales
Get PRO
septiembre '26
+363
en 6 canales
Get PRO
agosto '26
+314
en 8 canales
Get PRO
julio '26
+360
en 14 canales
Get PRO
junio '26
+343
en 15 canales
Get PRO
mayo '26
+386
en 7 canales
Get PRO
abril '26
+350
en 10 canales
Get PRO
marzo '26
+309
en 11 canales
Get PRO
febrero '26
+433
en 14 canales
Get PRO
enero '26
+389
en 13 canales
Get PRO
diciembre '25
+443
en 14 canales
Get PRO
noviembre '25
+414
en 11 canales
Get PRO
octubre '25
+304
en 11 canales
Get PRO
septiembre '25
+306
en 15 canales
Get PRO
agosto '25
+429
en 11 canales
Get PRO
julio '25
+451
en 25 canales
Get PRO
junio '25
+255
en 12 canales
Get PRO
mayo '25
+402
en 17 canales
Get PRO
abril '25
+351
en 13 canales
Get PRO
marzo '25
+579
en 39 canales
Get PRO
febrero '25
+377
en 12 canales
Get PRO
enero '25
+261
en 16 canales
Get PRO
diciembre '24
+667
en 21 canales
Get PRO
noviembre '24
+565
en 19 canales
Get PRO
octubre '24
+652
en 26 canales
Get PRO
septiembre '24
+914
en 26 canales
Get PRO
agosto '24
+600
en 19 canales
Get PRO
julio '24
+496
en 14 canales
Get PRO
junio '24
+485
en 18 canales
Get PRO
mayo '24
+504
en 15 canales
Get PRO
abril '24
+604
en 20 canales
Get PRO
marzo '24
+722
en 18 canales
Get PRO
febrero '24
+769
en 30 canales
Get PRO
enero '24
+661
en 13 canales
Get PRO
diciembre '23
+1 145
en 20 canales
Get PRO
noviembre '23
+817
en 35 canales
Get PRO
octubre '23
+571
en 26 canales
Get PRO
septiembre '23
+458
en 0 canales
Get PRO
agosto '23
+1 137
en 0 canales
Get PRO
julio '23
+789
en 0 canales
Get PRO
junio '23
+618
en 0 canales
Get PRO
mayo '23
+682
en 0 canales
Get PRO
abril '23
+442
en 0 canales
Get PRO
marzo '23
+953
en 0 canales
Get PRO
febrero '23
+554
en 0 canales
Get PRO
enero '23
+775
en 0 canales
Get PRO
diciembre '22
+700
en 0 canales
Get PRO
noviembre '22
+600
en 0 canales
Get PRO
octubre '22
+705
en 0 canales
Get PRO
septiembre '22
+553
en 0 canales
Get PRO
agosto '22
+359
en 0 canales
Get PRO
julio '22
+1 512
en 0 canales
Get PRO
junio '22
+440
en 0 canales
Get PRO
mayo '22
+1 277
en 0 canales
Get PRO
abril '22
+1 378
en 0 canales
Get PRO
marzo '22
+1 618
en 0 canales
Get PRO
febrero '22
+423
en 0 canales
Get PRO
enero '22
+1 212
en 0 canales
Get PRO
diciembre '21
+1 356
en 0 canales
Get PRO
noviembre '21
+608
en 0 canales
Get PRO
octubre '21
+863
en 0 canales
Get PRO
septiembre '21
+2 094
en 0 canales
Get PRO
agosto '21
+1 022
en 0 canales
Get PRO
julio '21
+485
en 0 canales
Get PRO
junio '21
+336
en 0 canales
Get PRO
mayo '21
+879
en 0 canales
Get PRO
abril '21
+1 034
en 0 canales
Get PRO
marzo '21
+680
en 0 canales
Get PRO
febrero '21
+1 450
en 0 canales
Get PRO
enero '21
+627
en 0 canales
Get PRO
diciembre '20
+12 266
en 0 canales
| Fecha | Crecimiento de Suscriptores | Menciones | Canales | |
| 04 noviembre | +14 | |||
| 03 noviembre | +18 | |||
| 02 noviembre | +19 | |||
| 01 noviembre | +13 |
Publicaciones del Canal
В рамках новой атаки на цепочку поставок пользователи Cursor стали жертвами вредоносных версий расширения Claude Code от Anthropic.
Инцидент произошёл 29 октября и затронул версии 2.1.312 и 2.1.313 расширения anthropic.claude-code, которые размещались в магазине расширений Cursor VS Code примерно 11 часов.
Расширение для пользователей macOS и Windows содержало код JavaScript, который запускался при загрузке модулей для установления обратного SSH-туннеля.
Как отмечает Кевин Бомонт, вредоносные версии могли быть загружены примерно на 5000 системах разработчиков.
При этом модифицированные версии расширений не были разработаны Anthropic и не были опубликованы в Microsoft Visual Studio Marketplace, Open VSX или реестре NPM.
Злоумышленник использовал доступ к маркетплейсу Cursor для публикации модифицированной копии расширения Claude Code. Во избежание путаницы Anthropic обновила свое легитимное расширение Claude Code до версии 2.1.314.
Cursor достаточно быстро удалила модифицированное расширение Claude Code из магазина после его обнаружения и приостановила работу торговой площадки для расследования инцидента. При этом не обнаружила других вредоносных расширений, тем не менее сменила все ключи.
Модифицированные версии расширения содержали функционал JavaScript, который выполнялась во время загрузки модуля для сбора информации о хосте, изменения файлов и выполнения команд операционной системы.
Как сообщает Microsoft, загрузчик пытался установить ключ SSH, включить SSH, создать обратный туннель и обеспечить сохранение. После этого с помощью отложенного обратного вызова предпринималась попытка отправить сведения о хосте.
Код собирал такую информацию, как имя хоста, имя пользователя, ОС, архитектуру системы, рабочий каталог и глобальный адрес электронной почты Git, а также развертывал скрипты, специфичные для платформы, и конфигурации запуска для обеспечения постоянного доступа.
По данным Cursor, поскольку для включения локальной службы SSH требуются права администратора, а расширение не обладает ими в большинстве систем macOS и Windows, этот шаг не удался, что помешало злоумышленникам войти в систему через туннель.
Cursor выпустила скрипт для детектирования заражения, а также IOCs для выявления потенциальных угроз безопасности в различных средах.
Пользователям следует как можно скорее удалить вредоносные версии расширений.
Однако, как отмечают в Cursor, необходимо иметь в виду, что удаление расширения может быть недостаточным - полезная нагрузка создает автономные скрипты обеспечения постоянного присутствия.
| 2 | Исследователи VulnCheck отмечают, что критическая уязвимость в Node-RED используется в атаках.
Причем с одного и того же IP фиксировалось сразу несколько атак с целью развертывания различных вредоносных ПО, включая бота под управлением Linux и веб-оболочки.
Node-RED представляет собой инструмент программирования с низким уровнем кодирования и пошаговым управлением потоками, который поддерживает создание событийно-ориентированных приложений с помощью браузерного редактора.
Используется в отраслевых решениях, в том числе коммерческих устройствах ICS/OT.
CVE-2026-58115 (CVSS 10/10) связана с отсутствием аутентификации в HTTP-интерфейсе Node-RED, позволяя злоумышленникам получить доступ к программным узлам, способным выполнять системные команды.
Siemens сообщила о ней 11 августа, после того как обнаружила уязвимость в своих устройствах SIMATIC IoT2050 Advanced, работающих под управлением Industrial OS с установленным Node-RED.
В SIMATIC IoT2050 Advanced версии 4.3.4.1 и более поздних включены исправления.
По данным Siemens, CVE-2026-58115 позволяет неавторизованному удаленному злоумышленнику создавать вредоносные потоки данных и выполнять произвольный код на базовом сервере с максимальными привилегиями.
В воскресенье VulnCheck предупредила, что 30 октября зафиксировала успешную эксплуатацию уязвимости в реальных условиях.
Атака была совершена с IP-адреса в сети AS8075, принадлежащей Microsoft, и привела к созданию полноценной эксплойтной версии.
В ходе атаки был развернут поток Node-RED, запущен автоматически и загружен бинарный файл с сервера, контролируемого злоумышленником, и всё это «за тремя уровнями кодирования».
В качестве полезной нагрузки использовался бот для Linux. Судя по названию файла, VulnCheck полагает, что злоумышленники создали полезные нагрузки для нескольких архитектур.
К 1 ноября VulnCheck зафиксировала еще 15 атак с того же IP, в ходе которых были доставлены дополнительные вредоносные ПО, включая веб-оболочки, позволяющие хакерам выполнять произвольные команды на скомпрометированных серверах.
По мнению исследователей, атаки демонстрируют, что злоумышленники активно сканируют сети Node-RED на наличие экземпляров без аутентификации администратора и автоматически используют их с помощью одного HTTP-запроса.
VulnCheck рекомендует, в случае использования Node-RED где бы то ни было, в том числе встроенного в среду ICS/OT, проверять, доступен ли он извне сети.
Также следует проанализировать развернутые потоки на наличие неожиданных исполняемых узлов или HTTP-конечных точек, поскольку некоторые злоумышленники оставляют веб-оболочки, а не ботов. | 4 562 |
| 3 | Google совместно с коллегами ликвидировала ботнет XCPE, состоящий из более чем 1,3 млн. ТВ-приставок Android TV, которые, как заявляют исследователи, были намеренно заражены вредоносным ПО производителем для последующей их монетизации через киберподполье.
С высокой степенью уверенности создание ботнета приписывается китайской Videostrong Technology Co., которая обеспечила внедрение постоянного бэкдора в производимые ею устройства и продавала доступы к ним представителям хакерской среды.
Клиенты Videostrong Technology использовали устройства с бэкдорами для развертывания вредоносных модулей, которые применялись для мошенничества с рекламой, превращали зараженные устройства в резидентные прокси и доставляли дополнительные полезные нагрузки.
В ответ на угрозы Google вывела из строя сервера C2 XCPE, используемые более чем десятком связанных штаммов вредоносных ПО, что привело к отключению доступа как минимум к 10 млн. дополнительно скомпрометированных различных устройств. Кроме того, отозвала лицензию Videostrong на производство устройств Android TV и поставку программного обеспечения.
В операции принимали участие представители Национального полицейского управления Японии, исследователи Lumen, HUMAN Security, Plume, Synthient и TrendAI, которые оказывали содействие в анализе вредоносной инфраструктуры и подрыву ее работы.
В отличие от других ботнетов, которые обычно взламывают устройства через уязвимости или установку вредоносного ПО, ботнет XCPE был внедрен непосредственно во встроенное ПО устройства на этапе его производства.
При этом Videostrong разрабатывала и распространяла вредоносное ПО на устройствах различных марок и моделей в течение многих лет, совершенствуя свои возможности для обхода обнаружения и заручаясь поддержкой различных хакерских групп.
Основной компонент бэкдора - x.cpe и com.oemservice, работает с привилегиями системного уровня Android. Сама вредоносная ПО использует модульную архитектуру, которая разделяет функции бэкдора от модулей, предназначенных для извлечения дохода операторами.
После запуска зараженного устройства XCPE связывается с сервером С2 в домене anyevonline[.]com для получения информации о подключении и учетных данных для брокера сообщений MQTT, который затем используется для приема команд. Причем использует разные поддомены в зависимости от версии Android и типа устройства.
Брокер MQTT по адресу mqtt.szbboys[.]com позволял операторам отправлять команды и развертывать другое вредоносное ПО на зараженных устройствах.
Благодаря этому соединению операторы могут удаленно управлять скомпрометированными устройствами и совершать различные вредоносные действия, включая установку дополнительных приложений, отключение Google Play Protect, выполнение команд и скриптов оболочки и др.
Монетизация обеспечивалась путем установки вредоносных модулей, принадлежащих другим операторам, превращая бэкдор в подключаемую платформу для совершения киберпреступлений.
По данным Google, эти модули включали ПО, связанное с резидентными прокси-сервисами, такими как Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer.
Ряд других модулей обеспечивали мошенничество с рекламой, а некоторые доставляли другие бэкдоры, включая Moyu, Spirit и Bird, для загрузки и выполнения другого вредоносного ПО.
В Google полагают, что операторы ботнета постоянно меняли архитектуру вредоносного ПО, чтобы избежать обнаружения.
В конце 2024 Videostrong начала использовать отдельный загрузчик под названием com.abc.nexus, который запускал вредоносные модули, в то время как XCPE сосредоточилась на взаимодействии с инфраструктурой С2.
Начиная с августа 2026 года, операторы начали заменять этот погрузчик на более компактные специализированные модули, замаскированные под системные приложения Android.
В свою очередь, в отдельном отчете Synthient, рассказала, как ей удалось отследить бэкдор XCPE и инфраструктуру до Videostrong после обнаружения вредоносного ПО, предустановленного на ТВ-приставке MECOOL KM9PRO Max на базе Android, приобретенной в конце 2025 года. | 4 730 |
| 4 | Разработчики BTCPay Server, системы обработки криптоплатежей с открытым исходным кодом, предупреждают пользователей о кражах с «горячих кошельков», для работы которых используется устаревшие версии ПО.
BTCPay Server реализует решение для самостоятельной обработки платежей, позволяющее принимать биткоины и другие цифровые активы непосредственно на свои кошельки, исключая платежных посредников и минимизируя уплату комиссий.
В ходе предварительного расследования разработчики изначально установили, что замеченные атаки были направлены на серверы, работающие под управлением BTCPay Server 2.4.1 (выпущенной 23 июля 2026 г.) или более ранних версий.
Однако злоумышленники также использовали другой метод для эксплуатации уязвимости, исправленной в версии 2.4.2, выпущенной 7 августа. После чего расследование перефокусировалось на выяснение того, как им удалось войти в систему в качестве администратора на 2.4.2.
29 октября компания сообщила об обнаружении критической уязвимости, найденной с помощью сканера Frontier OSS от Anthropic, что привело к выпуску версии 2.4.7 в качестве экстренного обновления.
В общем, в настоящее время неизвестно, когда именно злоумышленники, стоящие за этой кампанией, впервые начали использовать уязвимость, хотя сообщения об этом начали появляться примерно 1 ноября 2026 года.
Пользователям версии 2.4.1 (или более ранних) рекомендуется перейти на новый сервер с новым кошельком, даже если они не фиксировали кражи.
В случае кражи средств или подозрения на несанкционированный доступ крайне важно считать всю систему и все хранящиеся на ней секреты скомпрометированными и следовать тем же процедурам восстановления.
Согласно сообщению BTCPay Server, от пользователей, использующих последнюю версию 2.4.7, пока не поступало «достоверных сообщений» о выводе средств с горячих кошельков. | 5 048 |
| 5 | Киберподполье продолжает холодильные войны, расширяя экспансию на холодильные системы торговых сетей ряда европейских стран.
В результате кибератак хакерам удалось подрегулировать градусов на 50 температуру в морозильных камерах и системах охлаждения, что вызвало массовые сбои в их работе и привело к размораживанию с последующей порчей продукции.
Проблемы затронули более 115 магазинов в Бельгии, Нидерландах, Швеции, Люксембурге, Ирландии и Эстонии, из них подтвердили инциденты: 4 торговые точки - в ICA (Швеция), 7- Coop (Швеция), 40 - Ahold Delhaize (Бельгия и Люксембург), 15 - Carrefour (Бельгия), 5 - в Spar Colruyt (Бельгия), 15 - Intermarché (Бельгия), 13 - SuperValu (Ирландия) и 1 - в Селёр (Эстония).
В Нидерландах также, предположительно, пострадали как минимум 17 мясных магазинов. В Бельгии с аналогичными проблемами сталкиваются и другие магазины, в том числе супермаркет Ikea в Монсе и продуктовые магазины.
Представители компаний ICA, Ahold Delhaize и Spar Colruyt сообщили оказывают поддержку пострадавшим магазинам в урегулировании ситуации, чьи холодильные и морозильные системы магазинов затронул инцидент.
Представитель группы компаний Colruyt подтвердил, что инцидент «повлиял на работу холодильных систем примерно в пяти магазинах Spar».
Торговые учреждения управляются независимыми предпринимателями, которые имеют собственные холодильные системы. В настоящее время Colruyt также делает все возможное для решения проблемы.
В своем заявлении компания Ahold Delhaize сообщила, что сбой в работе ИТ-систем затронул холодильные установки в нескольких десятках магазинов, предприняв необходимые меры для обеспечения их бесперебойной работы.
Представитель Coop, одной из крупнейших сетей продуктовых магазинов в Швеции, заявил, что в небольшом количестве магазинов (а именно 7 из более чем 800) были затронуты холодильные установки. Проблемы варьировались от полного отключения холодильников и морозильников до частично работающих устройств, а в одном случае система начала выделять тепло.
В Бельгии пострадали только магазины Carrefour в двух регионах, а все гипермаркеты продолжали работать в полном объеме. Так что влияние на Carrefour оказалось очень ограничено: в настоящее время затронуты 15 из наших 700 магазинов как во Фландрии, так и в Валлонии.
Как сообщили в ICA, за ночь температура была изменена на +50°C (122°F) и изменить ее было невозможно, в результате чего магазин был вынужден выбросить замороженные продукты.
Согласно сообщению RTL media, Ahold Delhaize около 4 часов утра предупредила менеджеров через SMS о проблемах с холодильным оборудованием, и некоторые магазины использовали рефрижераторные грузовики, чтобы попытаться сохранить запасы товаров.
При этом, как заявили пострадавшие, Sabcobel является поставщиком холодильных систем в нескольких пострадавших районах. По словам директора самой компании, злоумышленник использовал ту же уязвимость, что и в аналогичных атаках в прошлом месяце во Франции.
В частности, прошлом месяце Францию охватили аналогичные атаки на холодильные установки, затронувшие сотни магазинов, использующих контроллеры Danfoss AK-SM/AK-SC и Copeland/Dixell XWEB, которые были взломаны удаленными злоумышленниками, переведшими их в режим разморозки.
В Sabcobel заявили, что технические специалисты начали отключать поврежденные установки с 1 часа ночи, объясняя сбой в работе дистанционно активированными функциями разморозки.
Несмотря на попытки компании защитить системы клиентов, простого обновления ПО оказалось недостаточно, поскольку холодильники также требуют физических модификаций. | 5 188 |
| 6 | Более 1000 серверов GitLab в Интернете до сих пор не защищены от уязвимости максимальной степени серьезности, активно используемой для атак с RCE.
CVE-2026-97229 связана с переполнением целочисленных значений и была обнаружена в компиляторе регулярных выражений CI/CD, который анализирует и оценивает регулярные выражения в файлах конфигурации конвейера.
При определенных условиях она позволяет неавторизованному пользователю выполнить произвольный код на сервере GitLab с помощью специально созданного регулярного выражения в конфигурации CI/CD из-за недостаточной проверки регулярных выражений
GitLab 12 октября выпустила патчи для устранения этой проблемы в версиях GitLab Community Edition (CE) и Enterprise Edition (EE) 19.4.2, 19.3.5 и 19.2.8. На GitLab.com уже установлена исправленная версия. Клиентам GitLab Dedicated никаких действий предпринимать не нужно.
В пятницу CISA подтвердила активную эксплуатацию уязвимости в реальных условиях, добавив CVE-2026-97229 в свой каталог KEV.
Несмотря на то, что GitLab выпустила обновления три недели назад, в Shadowserver до сих пор отслеживают более 1000 серверов GitLab без исправлений, которые теперь подвергаются активным атакам.
CVE-2026-97229 - это последняя из серии проблем безопасности GitLab, устраненных с начала года после январской CVE-2026-0723 (позволяющую обходить 2Fa) и сентябрьской CVE-2026-85706 (в API для кражи учетных данных и других секретов).
В прошлом месяце также была устранена еще одна уязвимость компилятора регулярных выражений максимальной степени опасности (CVE-2026-110264), которая позволяла злоумышленникам выполнять произвольный код на целевых экземплярах.
В настоящее время Shadowserver фиксирует более 1000 экземпляров GitLab, уязвимых к CVE-2026-97229 и более 11300 экземпляров, уязвимых к CVE-2026-110264. | 6 965 |
| 7 | Beget передает, что в ночь на 2 ноября ее инфраструктура подверглась массированной кибератаке, в результате которой также массированно была нарушена работа сервисов.
Согласно официальному заявлению Beget, обстоятельства непреодолимой силы теперь активно расследуются.
А нам, почему-то, вспомнился загадочный стишок, который три года назад нам прислал анонимный подписчик. Имеет ли это стихотворение отношение к происходящему? Может быть и нет. | 6 319 |
| 8 | Chainalysis сообщает об утечке, называя себя жертвой изощренной кибератаки с использованием ИИ.
Согласно официальному уведомлению, в этом месяце компания обнаружила, что внешний субъект задействовал наступательные агентные методы для получения несанкционированного доступа к системам Chainalysis и внутренним инструментам.
Отдельно отмечено, что инцидент не связан с недавним хищением 6,36 млрд. долл. у Binance, обвинения в совершении которого сообщество предъявляет северокорейским хакерам.
В результате атаки злоумышленникам не удалось добраться до материалов расследований, транзакций или запросов, паролям в открытом виде, а также учетным данным и секретам.
Атакующий смог получить доступ к некоторым неконфиденциальным данным клиентов, таким как идентификаторы пользователей, полные имена, адреса электронной почты и ролям пользователей, зарегистрированных на платформе.
Компания инициировала расследование масштабов утечки данных и пока не раскрывает информацию о том, сколько человек потенциально могло пострадать.
Chainalysis отметила общий рост кибератак с использованием ИИ в масштабах всей отрасли, акцентируя, что при этом в последние недели пострадали и многие другие технологические платформы. В общем, будем следить. | 6 967 |
| 9 | Sin texto... | 5 511 |
| 10 | Завершаем рабочую неделю подборкой трендовых уязвимостей:
1. Defiant предупреждает, что злоумышленники начали использовать новую серьезную уязвимость WordPress спустя пару часов после выхода обновлений.
Исправленная в WordPress 7.1.4 уязвимость затрагивает процесс обновления WordPress и может быть использована для RCE.
Злоумышленнику не обязательно иметь учетную запись на сайте, но необходимо «уложиться в очень узкий промежуток времени, пока WordPress выполняет полное обновление ядра. По данным Wordfence, фиксируются только попытки атак.
2. По данным CISA, CVE-2026-97229 в GitLab максимальной степени серьезности уже использована злоумышленниками. Она затрагивает компилятор регулярных выражений CI/CD.
Проблема позволяет удаленным злоумышленникам выполнять произвольный код с помощью специально созданного регулярного выражения в конфигурации CI/CD из-за недостаточной проверки выражений.
По данным Alpine Linux, 20 и 21 октября злоумышленник атаковал её экземпляр GitLab, используя CVE-2026-97229. Атака не удалась, но дистрибутив Linux восстановил экземпляр с нуля.
3. Steam от Valve уязвима для RCE ZeroClick между компьютерами, подключенными к одной и той же учетной записи.
Ошибки обнаружили исследователи Atredis Partners.
Уязвимости либо исправлены, либо срок их раскрытия истек. Однако в отчете не указан статус исправления.
4. Telegram не удалось исправить уязвимость, которая позволяет совершать атаки одним щелчком мыши. Уязвимость затрагивает Rlottie, библиотеку, используемую для воспроизведения анимации стикеров.
Trend Micro, сообщившая об ошибке через ZDI, рекомендовала «ограничить взаимодействие с продуктом».
5. Drupal предупреждает о критической уязвимости в Commerce Core, которая используется в атаках. CVE-2026-118539 связана с отсутствием механизма авторизации, который может быть использован неавторизованными злоумышленниками, затрагивает Commerce Core от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13.
6. Хакеры используют PHP2Shell для взлома межсетевых экранов Palo Alto Networks. Атаки нацелены на устройства, панель управления которых доступна из интернета. Компания подтвердила атаки.
7. Злоумышленники приступили к использованию уязвимости в формате сжатия данных Brotli от Google. CISA добавила информацию об этой уязвимости в свою базу данных KEV в среду. Атаки начались через два дня после публикации в сети PoC.
Об атаках также сообщили компании Ellio и Previdian. Уязвимость позволяет злоумышленникам запускать вредоносный код в приложениях и на серверах, использующих библиотеку Brotli для распаковки данных, предоставляемых пользователем.
8. В библиотеке ZIP языка Rust исправлена уязвимость, позволяющая осуществлять атаки с удалённым выполнением кода при распаковке ZIP-архивов.
9. Уязвимость в коде TCP ядра Linux, CVE-2026-98432 (с 9,8 по CVSS), затрагивает Ubuntu, Red Hat Enterprise Linux (RHEL) и другие дистрибутивы Linux. 27 октября Anthropic сообщила, что ее модель ИИ разработала эксплойт, использующий уязвимость.
Debian, Oracle Linux, SUSE и Amazon Linux выпустили исправленные пакеты, по крайней мере, для некоторых своих ядер, но Ubuntu и RHEL - нет.
10. TeamViewer выпустила обновления, устраняющие ряд уязвимостей, включая RCE в компоненте обработки экрана при удаленном управлении.
11. Критическая CVE-2026-97631, обнаруженная 16 лет назад в TianoCore EDK II, открытом исходном коде, который используют большинство мировых поставщиков серверов и ЦОДов через поставщиков прошивки, таких как AMI, Insyde и Phoenix, затрагивает большинство серверов по всему миру.
12. Злоумышленники внедряют бэкдоры на серверы, используя CVE-2026-42589 в приложении Gotenberg для преобразования документов в PDF.
13. Positive Technologies выкатила свой октябрьский «В тренде VM», отметив: уязвимость, приводящую к EoP, в механизме ALPC в Windows – CVE-2026-85880 и проблему, приводящую к RCE, в шлюзах Check Point Security Gateway и межсетевых экранах Spark Firewall (CVE-2026-85102). | 7 625 |
| 11 | Исследователи Лаборатории Касперского задетектили активность неизвестной APT, которая использует NetamLoader для атак на операционную систему Windows 10, адаптированную для правительств стран Азии.
Несколько месяцев назад ЛК удалось выявить чрезвычайно сложную цепочку заражения и запутанную структуру загрузки сборок .NET, построенную на разметке XAML.
Выявленные артефакты убедительно указывают на атаку на цепочку поставок, нацеленную на пользовательскую сборку Windows, используемую исключительно государственными учреждениями в Азии. Вредоносная структура получила название NetamLoader.
На основе телеметрических данных KSN, ЛК обнаружила одну жертву в Азии. Кроме того, вредоносное ПО было разработано для атаки на специально модифицированную версию Windows, предназначенную только для госучреждений.
Образец был обнаружен в первой половине 2026 года, когда KSN выдала предупреждение об обнаружении вредоносного ПО для файла .config, использующего внедрение AppDomainManager для загрузки произвольных сборок .NET.
Файл был упакован в CAB-архив, расположенный в каталоге, где хранятся пакеты обновлений Windows. Первоначальный анализ содержимого CAB не выявил вредоносного кода.
Большинство исполняемых файлов являлись легитимными компонентами стороннего инструмента управления обновлениями Patch My PC, и даже сборки .NET, используемые для внедрения, были подписаны Microsoft.
Однако последующее повторное изучение исходного файла .config и полного процесса загрузки позволило выявить цепочку заражения и все представленные в новом отчете артефакты.
Вместе с тем, после анализа TTPs, сходства кода и инфраструктуры ЛК пока не удалось связать атаку ни с одной известной APT-группой.
Детальный технический разбор и IOCs - в отчете. | 7 993 |
| 12 | Если верить результатам предварительного расследования по Binance, взломанный ноутбук DevOps-инженера мог позволить злоумышленнику получить доступ к сервисному контейнеру и осуществить выводы средств, ущерб от которых оценивается в 6,3 млрд. долл.
При этом Binance уверенно заявляет, что не обнаружила доказательств утечки закрытых ключей кошелька. Вместе с тем, Binance не раскрывает, как был взломан ноутбук, как был получен доступ к контейнеру и почему не отработали средства контроля транзакции.
Кроме того, в TRM Labs с высокой степенью уверенности связывают атаку с TraderTraitor, северокорейской APT, которая также несет ответственность за взлом Bybit на сумму 1,5 млрд. долл. в феврале 2025 года.
Компания намерена покрыть убытки за счет своего фонда SAFU и корпоративных фондов, а также планирует представить обновленное подтверждение резервов после локализации всех последствий и публикации подробного технического анализа инцидента. | 7 134 |
| 13 | Хакеры провернули крупнейшее за всю ограбление, взломав Binance и выкрав цифровые активы на сумму до 6 млрд. долл., что в разы превышает предыдущий рекорд в 1,5 млрд., слитых с Bybit в феврале 2025 года.
Предполагаемая кража побудила эмитентов стейблкоинов Tether и Circle заморозить активы на сумму более 2,3 млрд. долл., потенциально связанных с инцидентом.
Согласно официальным заявлениям, Binance пока ведет расследование по факту инциденту кибербезопасности, заверя клиентов в сохранности их средств.
Binance также предупредила клиентов о необходимости проявлять осторожность в отношении мошенничества и избегать неофициальных ссылок, сообщений или запросов на предоставление информации об учетной записи.
Основатель Binance Чанпенг Чжао (CZ) заявил, что инцидент, по всей видимости, был взломом, отметив при этом, что он больше не управляет биржей и ожидает, что все средства пользователей будут полностью компенсированы.
Генеральный директор Tether Паоло Ардоино сообщил, что компания заморозила более 1,567 млрд. долл. в USDT, связанных с потенциальным взломом Binance.
Глава Circle Джереми Аллер также подтвердил заморозку более 800 млн. долл. в USDC, связанных с инцидентом, добавив, что Circle координирует свои действия с силовиками и продолжит оказывать поддержку расследованию.
Все произошло после сообщений о переводе миллиардов долларов в криптовалюте с нескольких горячих кошельков Binance на недавно созданный адрес Ethereum.
Согласно анализу транзакций, с горячего кошелька Binance, известного как Binance 14, прошел перевод приблизительно 2,53 млрд. долл. в 64 криптовалютных токенах, а через 24 секунды - еще 174,4 млн. долл. со второго кошелька Binance.
В более поздней версии сообщалось, что с третего горячего кошелька Binance ушло еще 780 млн. USDC на тот же адрес Ethereum, в результате чего общая сумма составила приблизительно 3,48 млрд. долл.
Тем временем Arkham Intelligence отслеживает 55 адресов, объединенных под брендом binance-hacker-1029, совокупная капитализация которых составляет приблизительно 5,78 млрд. долл. При этом пока нет подтверждений, что именно такая сумма была украдена с Binance.
В число отслеживаемых активов входят приблизительно 1,77 млрд. долл. в USDT, 1,44 млрд. долл. в Bitcoin, 876 млн. долл. в Ethereum и 823 млн. долл. в USDC.
Обозреватель блокчейна Etherscan также отметил первоначальный адрес получателя как Binance Hot Wallet Exploiter 2, присвоив ему метки Exploit и Heist.
В свою очередь, Binance пока не подтвердила легитимность переводов, не раскрывает предполагаемую утечку данных, равно как и общий размер вероятно украденных активов. Будем следить. | 8 956 |
| 14 | Cisco Talos полагает, что вредоносное ПО для кражи ключей Cisco SD-WAN пересекается с инфраструктурой, частично совпадающей с сетью Silent Train от китайской Volt Typhoon.
В среду Cisco Talos заметила, что злоумышленник, чья инфраструктура пересекается с тайной сетью Volt Typhoon, воспользовался критической уязвимостью в сети Cisco SD-WAN для развертывания зловреда, предназначенного для сбора ключей шифрования.
В тот же день принадлежащая Lumen Black Lotus Labs опубликовала исследование Silent Train, которую Volt Typhoon использовала для атак на организации в США, в том числе в рамках 0-day кампании, использующей ту же уязвимость Cisco. CVE-2026-20127 имеет оценку CVSS 10 и была обнаружена в феврале 2026 года.
Злоумышленники могут использовать её удалённо, без необходимости ввода учётных данных, чтобы обойти аутентификацию пиринговых соединений компонентов контроллера SD-WAN и получить права администратора. Cisco предупреждает, что этот доступ может быть использован для изменения конфигурации сети SD-WAN.
Cisco Talos приписывает атаки группировке UAT-11473, которую описывает как высокотехнологичную APT, нацеленную на аэрокосмический сектор и оборонные технологии, а также на исследования в области политики.
По данным исследователей, вредоносная ПО под названием KeyDrift была разработана для предоставления операторам постоянного доступа к контроллерам SD-WAN и автоматического перехвата ключевого материала. Она внедряется в легитимные процессы плоскости управления, предоставляя им доступ к управляющему трафику после его расшифровки.
Ее основной модуль, PolyFlame, работает как бэкдор и может также передавать команды другим хостам в качестве промежуточного узла C2. Второй модуль, LittleFilch, собирает ключевой материал, который, по мнению Talos, включает ключи, защищающие трафик на уровне данных.
Talos с высокой степенью уверенности охарактеризовала инфраструктуру UAT-11473 как «значительно совпадающую с сетью скрытого доступа Volt Typhoon Silent Train. Однако при этом не говорится, что это одна и та же группа.
Black Lotus Labs отслеживает Silent Train с конца 2023 года. Это, по сути, ретрансляционная инфраструктура, состоящая из скомпрометированных устройств, которую APT использует для сокрытия источника своих атак.
По словам исследователей, развертывание Silent Train было частично обусловлено тем, что ФБР в своем время нейтрализовала KV-Botnet, ботнет, который группировка использовал при атаках на критически важную инфраструктуру в США.
Телеметрия Lumen позволила выявить как минимум четыре подтвержденные 0-day кампании нулевого дня, нацеленные на Versa Director, N-able N-central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator, а также вероятную кампанию - Quest KACE.
По данным Lumen, группа Volt Typhoon задействовала CVE-2026-20127 уже к концу 2025 года и продолжала это делать ещё длительное время после того, как Cisco раскрыла информацию.
Использование злоумышленниками технологии Silent Train включает в себя эксплуатацию уязвимостей, кражу учетных данных, утечку данных и поддержание постоянного удаленного доступа к скомпрометированным системам.
В числе пострадавших - телеком, госучреждения, оборонные подрядчики, поставщики спутниковой и критически важной связи, поставщики управляемых ИТ-услуг, НИИ и операторы критической инфраструктуры. Наибольший ущерб был нанесен Гавайям, Калифорнии и Техасу.
По словам исследователей Lumen, тактика атаки указывает на попытку закрепиться в системах, которые имели бы важное значение во время геополитического кризиса, особенно в Индо-Тихоокеанском регионе. В целом, Silent Train предназначалась только для особо важных целей.
Вместе с тем, в отчете Lumen не упоминаются KeyDrift или UAT-11473. | 6 340 |
| 15 | В сеть слили данные более 41 000 сотрудников Министерства внутренней безопасности США, которые были украдены из системы единого входа Okta в начале этого года.
Утечку инициировал некто с псевдоним Department of Peace, пояснив, что: «у них есть наша информация, поэтому справедливо, чтобы и у нас была их информация».
По словам хакера, данные были украдены из системы единого входа Okta, используемой сотрудниками и подрядчиками Министерства внутренней безопасности США для доступа к центральной системе.
В свою очередь, в Okta уведомили общественность, что им известно о публикации, но компания не располагает доказательствами того, что их данные или системы были скомпрометированы.
По некоторым сообщениям, большая часть просочившихся в сеть документов содержит информацию о сотрудниках Таможенной и пограничной службы США (CBP), Иммиграционной и таможенной службы (ICE) и Службы расследований внутренней безопасности (HSI).
Кроме того, утекла информация примерно 1000 сотрудников CISA, а также персонала нескольких других агентств Министерства внутренней безопасности США.
В паблик попали: полные установочные данные сотрудников, адреса электронной почты и номера телефонов, должности и адреса офисов, а также сведения о правах доступа к системам и внутренним приложениям. Теперь кстати еще и доступен онлайн-инструмент для поиска данных.
Министерство внутренней безопасности США также осведомлено о потенциальном нарушении и активно работает над локализацией инцидента, прежде всего, намереваясь обеспечить необходимую защиту для персонала.
Согласно Distributed Denial of Secrets, получившей копию базы данных (назвавшей Icepick), слитая информация позволяет идентифицировать должностных лиц, ответственных за тайные и секретные операции, а также ключевых сотрудников программ Министерства внутренней безопасности США по выдаче и депортации лиц.
В Illumio полагают, что наибольшую обеспокоенность вызывает информация о доступе, которая была получена в результате этого взлома.
Потенциально теперь злоумышленник знает, какие сотрудники имеют доступ к каким системам и приложениям, и, по сути, получает план дальнейших действий, определяя, на кого следует нацелиться.
В случае с ShinyHunters и ФБР победили силовики - слива удалось избежать, но теперь хакерам опредеделенно удалось сравнять счет. | 6 360 |
| 16 | Исследователи Лаборатории Касперского предупреждают, что миллионы камер видеонаблюдения Intelbras могут находиться под угрозой, все из-за DoS-уязвимости в устройствах.
В ходе нового исследования специалисты ЛК обнаружили уязвимость типа DoS, затрагивающую IP-камеры Intelbras. Ошибка связана с конечной точкой обновления прошивки, доступ к которой не требует аутентификации.
Уязвимой конечной точкой является маршрут обновления прошивки http:///firmwareUpgrade_service/Demo, на которой отсутствует проверка аутентификации.
Более того, на этом эндпоинте не проверяется корректность файла прошивки перед запуском процесса обновления. Это приводит к серьезной проблеме, так как обновление требует перезагрузки камеры.
Именно тогда и происходит сбой: камера переходит в режим перезагрузки и пропадает из сети, становясь недоступной для пользователя и всех устройств, на которых она зарегистрирована.
Злоумышленник может удаленно инициировать процесс обновления прошивки и перезагрузки камеры без аутентификации и без предоставления корректного образа прошивки, что приведет к переходу в офлайн-режим: легитимные пользователи не смогут управлять камерой.
Один запрос выводит камеру из строя примерно на минуту, однако периодическая отправка запросов позволяет поддерживать устройство в офлайн-режиме неограниченное время.
Уязвимость затрагивает большое количество пользователей, поэтому последствия ее эксплуатации могут быть значительными. Приложение Intelbras Mibo Smart для подключения управления камерами имеет более 4 млн. загрузок.
При этом основная доля пользователей приложения приходится на Бразилию, за которой следуют Парагвай, Эквадор, Колумбия, Аргентина, Чили, Перу, Боливия, Уругвай и Венесуэла.
ЛК уведомила об этой проблеме Intelbras, после чего отследили процесс устранения уязвимости, подтвердив по итогу корректность исправления в новой версии прошивки (R.260804, инструкция по установке обновлению).
После отправки запроса в MITRE был присвоен идентификатор CAN-2026-2035970, ожидающий финального назначения CVE. MITRE классифицировала уязвимость как среднюю, присвоив ей 5.1 по CVSS 4.0.
Технические подробности с демонстрацией рабочего эксплойта - в отчете. | 7 758 |
| 17 | Cisco выпустила обновления для устранения 0-day, приводящей к DoS, в Adaptive Security Appliance (ASA) и Threat Defense (FTD), которую злоумышленники используют для удаленного вывода из строя уязвимых межсетевых экранов.
CVE-2026-76418 затрагивает устройства, работающие под управлением ASA и FTD с конфигурациями, содержащими ключевое слово webvpn и включенным SSL VPN как минимум на одном интерфейсе.
Успешная эксплуатация позволяет неавторизованным удаленным злоумышленникам инициировать DoS, вызывая неожиданную перезагрузку устройства.
Cisco настоятельно рекомендует обновить уязвимые межсетевые экраны после того, как ее группа PSIRT в октябре 2026 года обнаружила доказательства того, что уязвимость используется злоумышленниками.
Однако не предоставила никаких IOCs и не поделилась информацией об атаках, в том числе о том, какие организации являются целью атак и кто использует уязвимость.
Проблема вызвана логическими ошибками при настройке вторичной аутентификации в группе туннелей. Злоумышленник может использовать эту уязвимость, отправив специально сформированный запрос при подключении к VPN-сети удаленного доступа SSL.
Обходных путей для решения этой проблемы нет, но смягчить последствия можно, отключив вторичную аутентификацию для группы туннелей DefaultWEBVPNGroup по умолчанию или для любого списка групп туннелей, настроенных пользователем.
В настоящее время Shadowserver отслеживает более 51 000 устройств Cisco ASA SSL VPN, находящихся в сети, при этом сколько из них уязвимо неясно.
Предыдущие CVE-2025-20362 и CVE-2025-20333 в ASA и FTD также активно эксплуатировались в качестве нулей в рамках кампании ArcaneDoor, как выявленная в августе CVE-2026-20349, которую злоумышленники использовали для выведения из строя межсетевых экранов ASA и FTD. | 6 699 |
| 18 | Sin texto... | 5 666 |
| 19 | Не вдаваясь в лишние подробности отметим ряд значимых, на наш взгляд, киберинцидентов и кампаний. Среди них следующие:
1. Производитель аппаратных кошельков для криптовалют Keystone вынужден уничтожить почти 19 000 устройств после того, как хакер украл ключ аутентификации устройства.
Компания приостановила все поставки кошельков до тех пор, пока не будут собраны устройства с новым ключом. Украденный ключ записывается в устройство при сборке и не может быть изменен.
Он используется для проверки подлинности устройства. Keystone утверждает, что ключ может быть использован для создания поддельных устройств с бэкдорами, которые могут выглядеть как легитимные.
2. Как передает The Telegraph, США присоединяются к расследованию взлома холодильников в супермаркетах Франции после того, как за несколько недель до этого аналогичный инцидент произошел на американских военных базах.
3. В пятницу хакеры взломали облачную платформу Warp. Злоумышленники задействоввали рой агентов ИИ для взлома одного из поставщиков инфраструктуры компании. Хакеры украли данные отслеживания и телеметрии агентов примерно у 1% клиентов компании.
4. Хакеры взломали Vanden Broele, крупного поставщика ПО для бельгийского правительства. Они получили доступ к eSignFlow, платформе для подписания документов.
Компания отключила свои системы в прошлую пятницу, чтобы предотвратить злоупотребления. Сообщается, что пострадали активы более 120 местных органов власти.
5. Хостинг-провайдер DreamHost сбросил пароли клиентов после странного инцидента, затронувшего его FTP/SFTP и веб-почту. На прошлой неделе компания разослала уведомления об изменении паролей всем пострадавшим клиентам. Учетные записи будут заблокированы до установки нового пароля.
6. Хакеры взломали Blast Mail, почтовый сервис, предоставляемый японским облачным провайдером Laxlight. Компания отключила сервис 21 октября, вскоре после обнаружения атаки. Работа сервиса до сих пор не возобновлена.
7. Бразильская хакерская группа успешно препарировала платформу электронной коммерции Convertr, внедрив скиммер для кредитных карт через ее аналитический скрипт.
Хакеры, по всей видимости, взломали компанию через открытую аналитическую платформу Plausible. Группа, стоящая за атакой, является известным актором, действующим с 2024 года и специализирующимся на атаках в стиле Magecart.
8. Злоумышленник в рамках массовой кампании крадет секреты и токены из репозиториев GitHub. По данным Wiz, кампания началась в середине сентября.
Злоумышленник использует уже скомпрометированные токены GitHub для доступа к учетным записям, отправки команд во все репозитории для вывода всех их секретов в журналы рабочих процессов.
Затем злоумышленник собирает журналы и удаляет их через несколько секунд. Wiz обнаружил более 850 скомпрометированных учетных записей и более 13 500 затронутых репозиториев.
9. Помимо Южной Кореи агенты ИИ ARTEX применялись также для взлома компаний в Японии. Исследователи Trend Micro, полагают, что в арсенале был не только ARTEX. Злоумышленники использовали множество других инструментов ИИ, включая фреймворк CyberStrikeAI. | 5 988 |
| 20 | Исследователи Лаборатории Касперского рассказали про безопасное внедрение ИИ-агентов, делая акцент на том, как защитные решения митигируют ИИ-угрозы.
ИИ-агенты и связанные с ними инструменты все активнее используются в корпоративной инфраструктуре, позволяя выполнять различные действия с правами пользователя, в том числе обращаться к данным, запускать команды и взаимодействовать с внешними сервисами.
Все это создает и новые риски в части ИБ, особенно если использование таких инструментов реализуется вне контроля службы ИБ и без применения проработанных политик безопасности.
Так что обнаружение, отслеживание и контроль ИИ-агентов становятся одной из насущных задач команд ИБ в настоящее время.
В новом материале ЛК рассказала о новом экспертном наполнении ее продуктов, позволяющих комплексно бороться с угрозами, связанными с распространением ИИ-агентов.
В частности, в первую очередь необходимо хорошо понимать угрозу: для этого на портале Kaspersky Threat Intelligence добавлены профили с описаниями различных ИИ-агентов и способами их эксплуатации злоумышленниками.
ИИ-агенты по своей сути являются программами (процессами), которые выполняются в операционной системе на конечных устройствах и могут запускать другие процессы. Таким образом, решения класса EDR являются в контексте этой угрозы одним из ключевых средств контроля на конечных устройствах.
Они способны выявлять наличие и запуск ИИ-агентов, отслеживать их активность и детектировать потенциально опасное поведение, а при необходимости обеспечивать реагирование - остановку подозрительного процесса, блокировку активности или изоляцию хоста. Собственно, для этих целей в ЛК разработали специальные адаптированные детектирующие правила.
Для контроля и ограничения запуска ИИ-агентов целесообразно использовать возможности Kaspersky Security для бизнеса.
Решение позволяет обнаруживать наличие ИИ-агентов и регулировать работу с ними при помощи компонентов «контроль приложений» (категоризация запускаемых процессов приложений на конечных устройствах), и «веб-контроль» (управление доступом пользователей на конечных устройствах к определенным категориям веб-ресурсов).
Наконец, безвредные ИИ-агенты могут содержать вредоносные инструкции (скиллы), например, загруженные из небезопасных внешних источников.
Kaspersky Scan Engine анализирует установленные приложения для выявления подобных угроз, а также отслеживает файлы LLM-моделей на предмет вредоносного кода.
Кроме того, ЛК представила отдельный документ под названием Безопасное внедрение облачных ИИ-агентов в процессы разработки: опыт «Лаборатории Касперского.
В нем рассматриваются основные риски, связанные с внедрением облачных ИИ-агентов в процессы разработки ПО, а также подходы ЛК к их снижению на конкретных примерах.
Приведены практические решения из опыта внедрения ИИ-инструментов в процессы разработки, а также чек-лист с рекомендациями, специфичными для использования облачных моделей.
В общем, чтобы использовать все преимущества технологии без ущерба для безопасности, важно выстроить многоуровневую защиту и минимизировать риски: как и чем конкретно могут помочь различные решения ЛК - в новом материале. | 6 993 |
