Порвали два трояна
رفتن به کانال در Telegram
Про ИБ в бизнесе, промышленности и многом другом 💼 Главный канал Kaspersky: @kasperskylab_ru Связь @KasperskyCrew
نمایش بیشتر
9 437
مشترکین
-224 ساعت
-37 روز
+2730 روز
در حال بارگذاری داده‌ها
کانال‌های مشابه
ابر برچسب‌ها
اشارات ورودی و خروجی
---
---
---
---
---
---
جذب مشترکین
نوامبر '26نوامبر '26
نوامبر '26
+1
در 2 کانال‌ها
اکتبر '26
+91
در 6 کانال‌ها
Get PRO
سپتامبر '26
+84
در 5 کانال‌ها
Get PRO
اوت '26
+62
در 3 کانال‌ها
Get PRO
ژوئیه '26
+82
در 5 کانال‌ها
Get PRO
ژوئن '26
+61
در 6 کانال‌ها
Get PRO
مه '26
+82
در 4 کانال‌ها
Get PRO
آوریل '26
+79
در 3 کانال‌ها
Get PRO
مارس '26
+116
در 8 کانال‌ها
Get PRO
فوریه '26
+136
در 9 کانال‌ها
Get PRO
ژانویه '26
+191
در 3 کانال‌ها
Get PRO
دسامبر '25
+434
در 16 کانال‌ها
Get PRO
نوامبر '25
+89
در 2 کانال‌ها
Get PRO
اکتبر '25
+161
در 12 کانال‌ها
Get PRO
سپتامبر '25
+96
در 3 کانال‌ها
Get PRO
اوت '25
+129
در 5 کانال‌ها
Get PRO
ژوئیه '25
+287
در 23 کانال‌ها
Get PRO
ژوئن '25
+62
در 2 کانال‌ها
Get PRO
مه '25
+337
در 7 کانال‌ها
Get PRO
آوریل '25
+368
در 12 کانال‌ها
Get PRO
مارس '25
+136
در 19 کانال‌ها
Get PRO
فوریه '25
+106
در 5 کانال‌ها
Get PRO
ژانویه '25
+136
در 4 کانال‌ها
Get PRO
دسامبر '24
+959
در 13 کانال‌ها
Get PRO
نوامبر '24
+573
در 6 کانال‌ها
Get PRO
اکتبر '24
+287
در 9 کانال‌ها
Get PRO
سپتامبر '24
+1 009
در 5 کانال‌ها
Get PRO
اوت '24
+151
در 4 کانال‌ها
Get PRO
ژوئیه '24
+180
در 9 کانال‌ها
Get PRO
ژوئن '24
+150
در 11 کانال‌ها
Get PRO
مه '24
+125
در 3 کانال‌ها
Get PRO
آوریل '24
+655
در 9 کانال‌ها
Get PRO
مارس '24
+1 061
در 12 کانال‌ها
Get PRO
فوریه '24
+126
در 3 کانال‌ها
Get PRO
ژانویه '24
+111
در 5 کانال‌ها
Get PRO
دسامبر '23
+513
در 17 کانال‌ها
Get PRO
نوامبر '23
+734
در 16 کانال‌ها
Get PRO
اکتبر '23
+577
در 11 کانال‌ها
Get PRO
سپتامبر '23
+159
در 0 کانال‌ها
Get PRO
اوت '23
+84
در 0 کانال‌ها
Get PRO
ژوئیه '23
+71
در 0 کانال‌ها
Get PRO
ژوئن '23
+380
در 0 کانال‌ها
Get PRO
مه '23
+114
در 0 کانال‌ها
Get PRO
آوریل '23
+60
در 0 کانال‌ها
Get PRO
مارس '23
+68
در 0 کانال‌ها
Get PRO
فوریه '23
+50
در 0 کانال‌ها
Get PRO
ژانویه '23
+36
در 0 کانال‌ها
Get PRO
دسامبر '22
+83
در 0 کانال‌ها
Get PRO
نوامبر '22
+1 536
در 0 کانال‌ها
Get PRO
اکتبر '22
+603
در 0 کانال‌ها
Get PRO
سپتامبر '22
+45
در 0 کانال‌ها
Get PRO
اوت '22
+43
در 0 کانال‌ها
Get PRO
ژوئیه '22
+387
در 0 کانال‌ها
| تاریخ | رشد مشترکین | اشارات | کانال‌ها | |
| 02 نوامبر | 0 | |||
| 01 نوامبر | +1 |
پست‌های کانال
ИИ-агенты на службе атакующих: инцидент с участием CyberstrikeAI
Эксперты Лаборатории Касперского обнаружили вредоносную кампанию, в которой образовательные организации в странах Африки и Латинской Америки были атакованы с помощью С2-агентов, управляемых полуавтономным фреймворком CyberStrikeAI. Злоумышленники автоматизировали значительную часть цепочки атаки, делегировав языковым моделям разведку в сети после первоначальной компрометации, закрепление на дополнительных хостах, массовое похищение учётных данных и другой потенциально ценной информации.
На стороне жертвы работает обычный имплант наподобие Cobalt Strike, но большинство команд ему отдаёт языковая модель, которая самостоятельно выбирает способы оценки хоста, повышения привилегий, извлечения данных и дальнейшего перемещения в инфраструктуре. Человек может вмешаться и скорректировать способы работы, так что злоумышленники уже освоили принцип human-in-the-loop 🤪.
Учитывая, что LLM работает на сервере атакующих, скомпрометированная организация может иметь любую инфраструктуру. ИИ-атака не проявляется повышенным потреблением вычислительных ресурсов или трафика жертвы. Атакующие использовали импланты как для Windows так и для Linux.
Применение ИИ позволяет злоумышленникам проводить атаки быстрее. Замеченные вторжения от установки первого импланта до компрометации доменных администраторов занимали 3-4 дня, но ключевые фазы активности продлились считанные часы. Также ИИ снижает требования к квалификации оператора, которому не обязательно знать все виды атак на Active Directory и разные вариации команд PowerShell для успешной компрометации.
Важно отметить, что появление ИИ в цепочке атаки пока не ставит перед детектированием принципиально новых задач. В сети и на хостах проходят хорошо известные действия: от Kerberoasting до дампа LSASS. Ровно то же самое делал бы живой атакующий, просто медленнее. Для обнаружения атаки достаточно использовать классические, хорошо настроенные правила корреляции и поведенческого анализа. Подробнее о методах детектирования и IoCs атаки читайте на Securelist.
#новости #ИИ #APT @П2Т
| 2 |  Интересные исследования APT, новости ИБ (и никакого Binance) за неделю
❕Технический анализ сложной атаки на цепочку поставок, в которой новое ВПО NethamLoader было внедрено в особую сборку Windows 10, применяемую государственными структурами в Азии. ВПО злоупотребляет легитимным инструментом управления обновлениями Patch My PC, а также компонентами, подписанными Microsoft. Оно также патчит AMSI в памяти для обхода детектирования. Активность пока не атрибутирована.
🟡APT UAT-11473 эксплуатирует обход аутентификации в контроллере Cisco SD-WAN (CVE-2026-20127) для развёртывания ВПО KeyDrift, которое крадёт ключи из процессов control plane. Среди целей — организации из оборонки и аэрокосмической отрасли, а также аналитические центры. Инфраструктура пересекается с сетью Silent Train группы Volt Typhoon.
🟣Атакующие объединили эксплойты PHP4Shell и Fragnesia, чтобы получить root на 25 файрволах PAN-OS. Затем они развили атаку во внутренних сетях и Active Directory. Жертвы отмечены в США, Японии, Тайване и Южной Корее.
🟣Злоумышленники пользуются внешним доступом в Microsoft Teams (который включён по умолчанию), выдавая себя за корпоративную техподдержку и убеждая сотрудников установить средства удалённого администрирования, такие как Quick Assist или AnyDesk. Зафиксировано более 400 инцидентов, приводивших к атакам Black Basta, Cactus, 3AM и Chaos ransomware.
🔵Обзор TTPs Qilin, одной из активнейших RaaS 2025 года с более чем 1000 заявленных жертв. Её ВПО на Rust нацелено на VMware ESXi, автоматизирует смену паролей хостов, включение SSH и шифрование виртуальных машин, а также может распространяться через vCenter. Основной удар приходится на Северную Америку и Европу, при этом заметно страдает сектор здравоохранения.
🟣Cisco выпустила патч для активно эксплуатируемой уязвимости (CVE-2026-76418) в SSL VPN удалённого доступа в Secure Firewall ASA и FTD. Неаутентифицированный атакующий может вызвать отказ в обслуживании.
🟢Автоматизированная кампания Gheist использует похищенные токены GitHub для внедрения процессов (workflows), которые выгружают секреты из репозиториев в run log. Были атакованы более 13500 веток в 850 аккуантах, но реальное извлечение данных могло произойти только в приватных репо и на Enterprise server. Публично доступные репозитории защищены от этой атаки новыми мерами GitHub с 28 июля.
🟢Операция по угону поискового трафика велась через 319 расширений Chrome c 13,4 млн установок. Эти расширения не содержат ни кода, ни опасных разрешений. Они используют настройку в manifest для подмены поисковой системы по умолчанию и маршрутизации каждого запроса через прокси операторов ради партнёрского дохода. В дальнейшем такие редиректы могут вести уже на фишинг или ClicFix.
🟢Интересное дополнение к истории Discover-Tech, о которой мы писали ранее. Реклама, которая доставляла шпионское ПО жертвам, победила вообще всех по числу рекламных показов для пользователей Starlink в 105 странах, включая те, где сервис ограничен. В целом Discover-Tech стала крупнейшим игроком рекламных аукционов в 49 странах.
#дайджест #APT @П2Т | 620 |
| 3 | ⚡️ Реагирование на инциденты 1С, защита ИИ-агентов имеющимися ИБ-решениями и другие полезные посты октября
Разгребая PHP2Shell, мигрируя между ДЦ и устанавливая полторы тысячи патчей Microsoft, можно было пропустить полезные и не сиюминутные материалы нашего канала. Поэтому мы подобрали статьи за месяц, которые помогут выстроить эффективные процессы и системы в ИБ. Если вы что-то пропустили, самое время наверстать упущенное!
🔵реагирование на инциденты, затрагивающие 1С;
🔵топ-риски человеческого фактора в 2026;
🟣как меняется управление уязвимостями: тенденции и советы;
🟢большой пакет правил и функций в продуктах Kaspersky для защиты ИИ-агентов;
🟢эффективная адаптация аналитиков SOC;
🟢основные драйверы внедрения мер ИБ и тренды GRC;
🔵внедрение облачных агентов в разработку: наш опыт;
🔵почему перерасход токенов — это киберугроза;
⚪️саморазмножающиеся ИИ-модели и полное их разоблачение;
🟣итоги, доклады и просто картинки с Security Analyst Summit.
#дайджест @П2Т | 928 |
| 4 | В четверг вечером, 29 октября, крупнейшая в мире криптобиржа узнала, сколько стоит один ноутбук. Не новый MacBook и не игровой монстр с подсветкой, а обычный рабочий ноутбук DevOps-инженера. По предварительной оценке самой Binance, его рыночная стоимость составила около 6,3 миллиарда долларов. Это рекорд. Предыдущий держал Bybit со скромными полутора миллиардами.
Схема была простой. Ключи от кошельков биржи никто не крал. Зачем, если у Binance есть специальная система, которая этими ключами подписывает выводы? Атакующий взломал ноутбук инженера, через него попал во внутренний сервис и начал отдавать распоряжения. Система оказалась исполнительной и подписывала всё, что просили.
Просили много. Всего за несколько минут деньги ушли из кошельков Binance в десяти блокчейнах: Ethereum, Bitcoin, Tron, Solana и ещё шести, чтобы никто не ушёл обиженным. Только в биткоинах вывели 18270 монет. Ethereum досталась роль главного зрелища: там применили модную функцию EIP-7702 и вычистили кошелёк одной транзакцией. Функцию придумывали для улучшения пользовательского опыта, и опыт действительно улучшился. Правда, не у того пользователя.
Дальше всё по законам жанра. Деньги уходят, а биржа сообщает, что средства пользователей в полной безопасности. Сообщение верное: в безопасности они теперь у кого-то другого, и этот кто-то очень бережно их хранит. Основатель биржи Чанпэн Чжао (CZ), который давно не управляет компанией, но по-прежнему ею владеет, посмотрел на происходящее и честно признал: похоже, это взлом. Экспертиза высшей пробы.
В индустрии тем временем включился режим взаимовыручки. Tether заморозил полтора миллиарда в USDT, Circle — восемьсот миллионов в USDC. Всего удалось остановить около трёх миллиардов.
Подозреваемые известны заранее: следователи по блокчейну кивают в сторону Lazarus, а точнее его подразделения TraderTraitor. Специалисты отмечают одну странность: на этот раз северокорейские товарищи отмывали добычу медленнее обычного. Видимо, от такого объёма растерялись даже профессионалы. Когда планировал украсть миллиард, а унёс шесть, перекладывать нужно аккуратно.
Чтобы вечер не пропал зря, в тот же день взломали ещё и Polymarket — через стороннего провайдера. На Polymarket, напомним, можно ставить на что угодно. Кто-то, вероятно, ставил и на это.
Остаётся вопрос, на который ответит обещанный post-mortem. Почему в индустрии, где каждый второй пресс-релиз начинается со слов «многоуровневая защита» и «военный уровень шифрования», с ноутбука одного инженера можно подписывать вывод миллиардов из горячего кошелька?
@gostev_future | 984 |
| 5 |  🛡 Снижаем ИИ-риски имеющимися инструментами
Организациям со зрелой ИБ не обязательно внедрять десяток модных решений, чтобы контролировать риски, связанные с появлением в бизнес-процессах ИИ-агентов. Как мы уже упоминали, ИИ-агенты во многом похожи на инсайдерскую угрозу, а инструменты они используют примерно так же, как атакующие, работающие по тактике LotL. Весь фокус в том,чобы научить традиционные СЗИ отличать деятельность полезного ИИ-агента от активности, порождённой атаками злоумышленников на ИИ-системы.
Чтобы решить эту задачу, «Лаборатория Касперского» обновила правила и экспертное наполнение сразу нескольких продуктов, упрощая ИБ-командам моделирование угроз, блокировку несанкционированных ИИ-сервисов, отслеживание подозрительных действий ИИ-агентов и фильтрацию небезопасного контента (вредоносных скиллов и ML-моделей).
Подход строится на поведенческом детектировании, а не на простом запрете ИИ-инструментов. Например, обновлённые правила Kaspersky Endpoint Detection and Response обнаруживают случаи, когда агент получает доступ к файлам с учётными данными, или когда приложение неожиданно подключается к внешнему API какой-то LLM. Решение также сигнализирует об опасных настройках, например если агенты работают в авторежиме (YOLO) или с отключенной песочницей.
Чтобы принимать решения о настройках ИИ на базе реальных, а не гипотетических рисков, в Threat Intelligence Portal и новом подразделе Hunt Hub появились подробные профили ИИ-агентов и того, как злоумышленники их атакуют. В информацию входит готовая к использованию логика детектирования и сетевые артефакты.
Подробный разбор того, как в защите ИИ участвуют вышеописанные компоненты, какие правила есть в EDR, а также о возможностях Kaspersky Scan Engine и функциях контроля доступа читайте в статье на Securelist.
#советы #ИИ @П2Т | 3 392 |
| 6 | 🤯 Шелл-шок: чему учат PHP2Shell и Brotli
Последняя неделя даёт хорошее представление о том, как будет выглядеть управление уязвимостями в эпоху ИИ.
PHP2Shell (CVE-2026-109618 и -109619, CVSS 9.2) начался с паники. Детали утекли до релиза, патчи PHP вышли 21 октября, а Amazon заметили попытки эксплуатации ещё 17 октября. Затем ханипоты неделю бомбили миллионами запросов с нейрослопными «эксплойтами» с GitHub, а некоторые боты Mirai безуспешно ломились во все серверы, похожие на PHP. Пару громких заявлений о реальной эксплуатации исследователи потом отозвали. Подтверждённых шеллов за первые три дня так и не появилось.
Первая подтверждённая RCE засветилась лишь 24 октября, причём на ханипоте с Apache mod_php, то есть в самой удобной для атакующего конфигурации. Универсального эксплойта так и нет, поскольку параметры атаки нужно подбирать под каждую сборку сервера. Но 26 октября CISA внесла обе CVE в KEV и дала подотчётным ведомствам всего три дня на устранение дефекта.
Как выяснилось, реальная эксплуатация имеет самый неприятный вид: PHP2Shell связали с LPE в ядре Linux (Fragnesia, CVE-2026-46300) и получили root на 25 межсетевых экранах. После успешной компрометации атакующие нацелились на доменный контроллер, и вероятно, пытались закрепиться в инфраструктуре с целью шпионажа.
По данным Censys, из доступных сканированию 43,2 млн серверов с уязвимой версией PHP, сегодня всё ещё подвержены уязвимости 32,7 млн.
Уязвимость в Brotli (CVE-2026-111497) получила меньше внимания, в том числе потому, что разные команды исследователей изучили разные её аспекты и назвали каждая по-своему: Node2Shell, HTTP2Shell, Python2Shell, Broccoli2Shell, Brotli2Shell. Нашли дефект в OpenAI, а в Google исправили библиотеку ещё в феврале. Тогда проблема проходила больше по линии надёжности, а не безопасности. Первоначально октябрьская волна патчей в зависимых проектах началась с одного Node. js. Публичный PoC на стандартных сборках только ронял процесс, а в Red Hat отметили, что надёжного RCE нет. Потом копии уязвимого декодера нашлись в .NET, Windows-сборках PHP, DuckDB, ClickHouse, Apache Arrow, форках 7-Zip и много где ещё. Выискивать и патчить опасную зависимость надо для каждого проекта отдельно.
25 октября исследователи подтвердили, что смогли собрать рабочую цепочку, приводящую к RCE на стандартном Node.js 24.22.0, а уже 26 октября зафиксировали первую атаку. Пришла она с того же IP, с которого раньше эксплуатировали PHP2Shell. 27 октября CVE попала в KEV со сроком устранения до 10 ноября.
Тем временем, отдельные вендоры начали выпускать свои бюллетени для устранения дефекта. Так, в Broadcom оценили уязвимость в VMware SDDC Manager на 9.8 по CVSS.
А джекпот сорвала Palo Alto: PAN-OS задели и PHP2Shell, и Brotli. Во втором случае целью становится сам файрвол. Если включены расшифровка TLS и инспекция Brotli, вредоносные данные может прислать любой сайт, который открыл пользователь за файрволом. Многие хотфиксы для двух дефектов совпадают, так что админы хотя бы сэкономят время на перезагрузках.
Какой можно сделать вывод, глядя на всю эту кутерьму? Часть находок, сделанных ИИ — очень запутанные баги, которые сложно эксплуатировать. Даже опытные исследователи долго не могли понять, насколько они опасны. Импакт оказался реальным, но по CVSS и описанию заранее это не определить. Получается, что единственный надёжный сигнал — подтверждённая эксплуатация. Но этот сигнал поступает слишком поздно для оперативного реагирования.
Поэтому роль превентивного харденинга значительно растёт. Он хлопотный, но в итоге обходится дешевле, чем еженедельно разбирать очередную порцию слоп-PoC.
Ну а страховочной сеткой, конечно, служат развитые процессы детектирования и реагирования. Кстати, наш пост про PHP4Shell на Securelist обновили детектирующими правилами для Kaspersky EDR.
#уязвимости @П2Т | 1 058 |
| 7 |  📣Что менять в защите КИИ перед 2027 годом
Когда: 28 октября 2026 в 11:00 (МСК)
Требования к защите критической информационной инфраструктуры растут с каждым годом. К традиционной дилемме «остановить систему или жить без патчей» и вечному вопросу «что отключать при кибератаке» добавляются вопросы категорирования, ответственности, доступа подрядчиков и импортозамещение.
Как выбирать меры защиты, организовывать реагирование и проверять восстановление КИИ? Об этом поговорим на онлайн-конференции AM-Live! Обсудим:
▶️ изменения в требованиях к защите за последний год;
▶️ когда пересматривать результаты категорирования с учётом отраслевых перечней;
▶️ какие атаки в 2026 году создают наибольший риск остановки критичных процессов;
▶️ как автоматизировать учёт объектов КИИ и изменений в инфраструктуре;
▶️чем защищать систему, которую нельзя обновить и заменить;
▶️какие три действия владельцу значимого объекта КИИ сделать до 1 марта 2027 года.
👤 От «Лаборатории Касперского» в дискуссии поучаствует Алексей Панюхин, старший менеджер предпродажной поддержки решений для бизнеса.
Встречаемся в среду: 28 октября 2026
Нужна предварительная регистрация.
Узнать о конференции и зарегистрироваться ⟶
#события @П2Т | 1 012 |
| 8 | Интересные исследования APT и oh shit новости ИБ за неделю
❗️ Технический анализ BlackX, нового UEFI-буткита на основе BlackLotus, используемого вероятно кластером APT41. Он применялся против дипломатических ведомств в странах Средней Азии.
🟢Группа Storm-0940 атаковала более 2000 организаций с помощью ИИ-фреймворка для пентестов ARTEX. Атаки нацелены на инфраструктуру жертв в Microsoft 365. Группе приписывают в том числе компрометацию ConnectWise Cloud Backup.
❕ Разбор свежих TTPs APT Lazarus, применяемых в операции FlashHole. Злоумышленники злоупотребляли ПО CrossWeb EX, используемого в Южной Корее для доступа к онлайн-банкингу и другим важным сервисам. ВПО использует GitHub в качестве C2 и защищает свой трафик постквантовой криптографией.
🟢Технический анализ нового Go-бэкдора MythicRatatoskr, использующего C2 в mesh-сети Yggdrasil. ВПО применяется группой UAC-0099.
🟣Обзор TTPs APT28, включающих новый бэкдор Hookedge. Он запускает скрытый экземпляр Edge для доставки нагрузок.
🔵Незащищённый сервер раскрыл детали работы оператора, использовавшего ИИ-фреймворк Cairn на базе DeepSeek против 66 целей, включая министерства и госведомства Вьетнама, Тайваня, Индонезии и Индии.
🟣А в Латинской Америке другой фреймворк такого типа, CARLIY0S, использовался группой CyberCartel против более чем 400 финансовых организаций.
🔵Обзор деятельности k0t — предположительно брокера первоначального доступа, компрометирующего устройства FortiGate, FortiWeb и GlobalProtect, в основном в Азиатско-Тихоокеанском регионе и Латинской Америке. Впоследствии его жертвы появлялись на DLS группировок Qilin и The Gentlemen.
🟣Неизвестный злоумышленник внедрил бэкдор Ebury в 333 выходных узла Tor, то есть примерно в 10% от их общего количества. В течение нескольких дней в начале октября он перенаправлял SSH-сессии на свои серверы.
🟢Используя похищенные OAuth-токены, злоумышленники опубликовали троянизированную версию LiteLLM 1.107.0 в официальных репозиториях проекта в PyPI и Docker. Она, как водится, крала учётные данные к облачным сервисам и ИИ-провайдерам. За два часа её скачали около 49000 раз.
🟣Технический анализ нового ВПО HypeAgent. Это многофункциональный троянец для Windows, поддерживающий около 195 команд, включая скрытый RDP, и инжектор в Exodus Wallet для кражи seed-фраз.
🟣GitLab выпустила патч для CVE-2026-110264 с оценкой CVSS 10.0. Дефект в regex-компиляторе позволял неаутентифицированному атакующему выполнять код на серверах, начиная с версии 7.0.
🟡Браузеры и ОС заблокировали восемь промежуточных CA eMudhra и отозвали доверие к её корневому сертификату после ошибки 2025 года, из-за которой приватные ключи оказались слабыми, могли быть восстановлены и использованы для подделки доверенных сертификатов.
#дайджест #APT @П2Т | 1 023 |
| 9 |  Знакомьтесь, победители финала Kaspersky CTF
Прямо перед началом Security Analyst Summit на этой неделе 14 команд-финалистов сошлись в серьёзной борьбе на очном финале Kaspersky CTF. В этом году особый интерес представляло одно задание, выполнить которое нужно было офлайн, без помощи поисковых систем или нейросетей🙃
Участники справились со всеми шестью заданиями, включая офлайновое.
Победители:
🥇BunkyoWesterns (Япония)
Команда участвует в финале SAS CTF третий раз, но не получала ни одного призового места в предыдущие два года. А в этот раз они сразу взяли золото!
🥈PwnSec (регион META)
Пришли на свой второй SAS CTF. После первой попытки команда сделала выводы, вернулась гораздо сильнее и заслуженно вошла в тройку лучших!
🥉 CUT (Россия)
Новички из Центрального университета устроили впечатляющий дебют! Именно они первыми справились с офлайн-задачей. А после заморозки видимой таблицы лидеров (scoreboards), когда они шли четвёртыми, команда в последний час буквально прорвалась в топ-3.
Наши поздравления чемпионам и спасибо всем 14 командам за впечатляющую демонстрацию знаний и умений!
#TheSAS2026 #CTF | 1 037 |
| 10 |  +9⭐️ Краткие итоги Security Analyst Summit 2026
На нашей международной конференции ИБ-экспертов рассказали не только про новый буткит APT41 и обновлённые TTPs Lazarus. Эксперты из двух десятков стран поделились исследованиями про архитектуру нашумевших эксплойт-китов для iOS Coruna и DarkSword, способы ускорения реверс-инжиниринга при помощи ИИ, устройство ботнета Kimwolf, ошибки в OPSEC у APT36, уязвимостях для побега из изолированных сред ESXi, целой серии уязвимостей и мисконфигураций, разрушающих изоляцию клиентов у облачных провайдеров и даже то, как запустить Linux на PlayStation 5. Подробности и фрагменты докладов доступны в соцсетях конференции.
Специальный гость, вернее гостья в этом году — Жеральдин Фаснахт, знаменитая среди скайдайверов и фрирайдеров многочисленными впечатляющими спусками и победами в профильных соревнованиях.
Всего в конференции поучаствовали 180 делегатов из 26 стран, которые прочитали и послушали более трёх десятков докладов за два дня.
#TheSAS2026 #APT @П2Т | 1 493 |
| 11 | 👀 Скучали по буткитам? Тогда знакомьтесь с BlackX
Злоумышленники, предположительно входящие в кластер APT41, значительно доработали ранее известный код буткита BlackLotus и применили его в атаках на дипломатические организации в Центральной Азии. Буткит BlackX используется для закрепления в ранее скомпрометированных системах и долгосрочного шпионажа за жертвами. Эксфильтрация данных ведётся на публично доступные облачные сервисы: Google Drive, OneDrive, Яндекс Диск.
Примечательно, что ВПО пытается отключать СЗИ на хостах, включая продукты «Лаборатории Касперского», но с защитой ЛК трюк не проходит.
Хотя уязвимость в процессах безопасной загрузки (CVE‑2023‑24932), эксплуатируемая этими буткитами, была устранена ещё в 2023 году, Microsoft не торопится целиком блокировать уязвимые загрузчики, поместив их в список DBX. В результате, даже установив обновления Windows, администраторы могли оставить систему уязвимой, если проигнорировали рекомендации Microsoft: обновить съёмные носители и диски восстановления, применить опциональные меры дополнительной защиты.
Поэтому буткитом можно успешно воспользоваться даже на многих Windows-системах, которые обновлялись недавно.
Подробностями исследования вчера поделились на международной конференции Security Analyst Summit 2026, а сегодня они публично доступны на Securelist.
#TheSAS2026 #APT #Windows @П2Т | 1 329 |
| 12 | 🤯 Критические уязвимости в ядре PHP
Два критических дефекта в PHP будут устранены срочным патчем сегодня в 17:00 (мск), поскольку информация об этих дефектах утекла до того, как их закрыли в плановом порядке. Оба бага (CVE-2026-109618 и CVE-2026-109619) имеют рейтинг CVSS4B в 9.2 и могут привести к RCE на сервере, использующем PHP. Затронутые версии пока не подтверждены окончательно, но вероятно это все версии с 5 по 8.
В соцсетях бродит демо-видео эксплойта PHP2Shell, срабатывающего на многих серверах с проектами, использующими PHP: от WordPress до Magento. По предварительным данным, дефекты связаны с повреждением памяти и использованием уже освобождённой памяти в ядре PHP. Атака работает без аутентификации.
Многие эксперты ожидают, что эксплуатация дефекта в атаках начнётся буквально через 15 минут после того, как станут ясны детали уязвимости. Поэтому администраторы, ответственные за публично доступные веб-серверы на базе PHP должны освободить себе сегодняшний вечер для срочной установки обновлений.
#новости #уязвимости @П2Т | 1 656 |
| 13 |  🔥 Новые приключения Lazarus
Исследователи «Лаборатории Касперского» сегодня опубликовали анализ операции FlashHole группы Lazarus, нацеленной на организации в Южной Корее.
Атакующие компрометировали своих жертв, эксплуатируя уязвимости в CrossWeb EX — специализированном решении для финансовой безопасности, которое требуется для доступа ко многим сайтам онлайн-банкинга и государственным веб-ресурсам.
Почти все компоненты ВПО, кроме загрузчика, работают исключительно в памяти. Среди впервые выявленных компонентов — TouchHub и ClientHub, дополняющие уже известные модули, такие как TouchShift, LPEClient и Cubridge. В этой атаке впервые зафиксировано использование Lazarus алгоритма SNOW для шифрования, а также организация C2-трафика для LPEClient через новый компонент ClientHub с применением ML-KEM (CRYSTALS-Kyber) — недавно стандартизированного постквантового алгоритма инкапсуляции ключей.
Подробности атаки были представлены сегодня на Security Analyst Summit 2026.
Полный разбор TTPs и IoC уже на Securelist!
#APT #новости #TheSAS2026 | 1 176 |
| 14 |  ✅ Как безопасно внедрять облачных ИИ-агентов в разработку: опыт «Лаборатории Касперского»
Мы подготовили практическую методичку, которая поможет сделать разработку с ИИ-агентами кибербезопасной.
Что внутри:
🟢основные риски внедрения облачных ИИ-агентов в разработку ПО;
🟢подходы «Лаборатории Касперского» к защите — изоляция рабочей среды, многоуровневое журналирование, LLM Gateway и другое;
🟢чек-лист безопасного внедрения ИИ-агентов.
▶️ Скачайте по ссылке
Над документом работали:
🟢Игорь Кузнецов, директор Глобального центра исследований и анализа угроз «Лаборатории Касперского» (GReAT);
🟢Александр Лискин, руководитель управления исследования угроз;
🟢Владислав Тушканов, руководитель группы исследования технологий машинного обучения;
🟢Дмитрий Шмойлов, руководитель отдела безопасности программного обеспечения;
🟢Егор Михайлов, руководитель отдела развития инструментов и инфраструктуры;
🟢Владимир Рябинин, руководитель группы разработки. | 961 |
| 15 | Интересные исследования APT и новости ИБ за неделю
👀 Технический анализ PEERSTITCH — бесфайлового импланта для FortiGate, который группа CL-STA-0954/UNC5820 развернула после компрометации FortiManager в инфраструктуре сервис-провайдера (MSP). Злоумышленники применили FortiJump (CVE-2024-47575) и в конечном счёте получили доступ к конфигурации и криптографическим ключам для 500 обслуживаемых провайдером файрволов. Имплант модифицирует стандартные процессы FortiOS и скрывает свой трафик в уже существующем трафике легитимных приложений, не открывая никаких портов.
🔎 Обзор TTPs группы Silent Lynx/UAT-6275/TAG-193, которая провела как минимум восемь шпионских кампаний против госорганов в девяти странах СНГ, сосредоточившись на организациях в сфере дипломатии, природопользования, водных ресурсов и энергетики. В качестве приманок использовались документы Word с макросами и архивы WinRAR, эксплуатирующие CVE-2025-8088, вредоносные нагрузки размещались на GitHub. Авторы предполагают, что группа принадлежит к тому же кластеру угроз, что и Tomiris/Storm-0473.
😮 Новый вид «эфемерной» атаки на цепочку поставок. Группа UNC7017 скомпрометировала серверы обновления ПО AOMEI Backupper, но переключала их на раздачу ВПО лишь кратковременно. Исследователи задетектировали только три окна активности за два месяца, каждое длительностью всего 5-10 минут. С сервера загружалось ВПО CROSSROAD для профилирования жертвы и модульный бэкдор SHINYROAD для интересных мишеней.
🌐 Разбор недавней атаки UTA0576, в которой была применена цепочка 0day в Ivanti Connect Secure против полностью обновлённого устройства. Не разворачивая никаких бэкдоров, атакующие извлекли доменные учётные данные, пароли LAPS и ключи восстановления BitLocker. Уязвимость повышения привилегий в этой цепочке до сих пор не устранена.
🟠Обзор инструментария и TTPs группировки Insolent Hyena, которую по итогам анализа переквалифицировали в шпионскую. Используется новое ВПО NightStrike, а также импланты фреймворков AdaptixC2, Cobalt Strike и Havoc.
💻 Анализ TTPs операторов MicrosoftSystem64 RAT, который распространяется как минимум через 88 GitHub-репозиториев на темы AI-агентов и трейдинга, скрывающих вредоносные npm-зависимости внутри работоспособного ПО. Клонированные проекты, поддельная история коммитов и автоматизированные форки делают такие репозитории легитимными на вид, а один из них даже всплыл без явного запроса в ChatGPT и Google AI Overview.
👮♀️ Атакующий захватил как минимум 143 устройства в 34 странах, включая D-Link NAS, Ubiquiti NVR и, что самое интересное, серверы SAP NetWeaver, и превратил их в узлы сети домашних прокси IPRoyal.
📱 Технический анализ нового Android-банкера Hirudo, который подменяет приложения семи индонезийских банков их троянизированными копиями, имитирующими проверки подписи, Accessibility и Play Integrity. Он распространяется через фальшивые приложения для шопинга и просмотра коротких видео. Анализ конфигурации показал, что ВПО также нацелено на кражу учётных данных в Китае, Индии, Мексике, Марокко и Таиланде.
🟡 Разбор инфостилера Aoki. Его новые сборки крадут учётные данные и сессии ИИ-агентов Claude, Codex, Cursor, GitHub Copilot и Kiro. Похищенные ключи и токены позволяют злоумышленникам действовать от имени разработчика и получать доступ к связанным репозиториям и облачным сервисам.
🍏 Анализ Divine Seagull — модульного эксплойт-кита для iOS, который продаётся китаеязычным операторам мошеннических схем. В этом наборе заново упакованы уже известные цепочки уязвимостей из Coruna и DarkSword, он нацелен на устройства вплоть до iOS 26.1. Подтверждена работоспособность только WebKit-эксплойта, а использование в реальных условиях пока не зарегистрировано.
⌨️Как минимум 45 компьютеров в редакции Al Jazeera стали целью шпионского ПО Candiru/Integrity Labs. Примечателен способ инфицирования — это обычная реклама на крупных онлайн-площадках. Доставку ВПО только нужным мишеням помогла осуществить платформа компании Discover-Tech, фильтрующая интересные мишени при участии в рекламных аукционах. Исследователи назвали эту технику AdFection.
❗️ Cisco выпустила патч для CVE-2026-76519, активно эксплуатируемой уязвимости в Secure Email Gateway, позволяющей неаутентифицированному атакующему выполнять команды с правами root, отправив письмо со специально сформированным вложением. Уязвимы устройства с включённой функцией анализа репутации файлов.
🟢Не отстаёт и Palo Alto Networks — CVE-2026-0322 в интерфейсе управления PAN-OS даёт атакующим root-доступ к файрволам PA-Series, VM-Series и Panorama. Уже зафиксированы первые случаи эксплуатации.
🪲 Как минимум с 10 сентября злоумышленники эксплуатируют CVE-2026-110447 — инъекцию команд в приложении Collabora Online Built-in CODE Server для Nextcloud. После атаки разворачивают веб-шелл на PHP, ищут базы паролей и криптокошельки.
🟠PoC под названием AnyPwn эксплуатирует переполнение кучи в AnyDesk и позволяет получить root в Linux через TCP-порт 7070 ещё до подтверждения соединения. Обновляемся до версии 8.0.3.
⚙️ В ночь на 11 октября злоумышленники перевели сотни холодильных установок во французских супермаркетах, включая Intermarché и Super U, в режим разморозки через доступные из интернета контроллеры Danfoss, что привело к порче продуктов и нескольким возгораниям. В течение трёх дней число доступных из интернета интерфейсов Danfoss StoreView во Франции сократилось примерно на 70%.
#дайджест #APT @П2Т | 967 |
| 16 | 🌐 «Закладки» в криптокошельках, атаки через рекламу и другие важные новости конфиденциальности и личной ИБ
🤯 Производитель популярных холодных криптокошельков Ledger остановил продажи своих устройств через трёх официальных реселлеров в Азии, после того, как у нескольких клиентов, купивших устройства через официального реселлера CryptoBilis были украдены деньги на общую сумму $86 млн, а в их устройствах обнаружились несанкционированные изменения конструкции. Злоумышленники добавили в корпус чип, перехватывающий данные, отображаемые на экране, а также модуль 4G. Система самодиагностики Ledger не могла обнаружить закладку, поскольку ни криптографический модуль, ни память этими изменениями не затронуты. Но злоумышленники могли украсть сид-фразу при её выводе на экране. Здесь можно посмотреть на имплант и то, как за год выросло качество работы фальсификаторов. Кроме азиатских фирм, продажи временно остановили в MediaMarkt.
⚡️ Аналогичные импланты были обнаружены в криптокошельках Trezor, но только продаваемых через неофициальные каналы.
🕵️♂️ Производители шпионского ПО могут заражать интересных им людей через рекламные блоки на сайтах и в мобильных приложениях. Теоретически об этом было известно давно, но свежее исследование AdFection содержит доказательства и конкретику. В обнаруженной кампании профилирование жертв велось в 160 странах и охватило несколько миллионов пользователей. Число получивших эксплойты и шпионское ПО неизвестно, но наверняка это небольшие цифры. Исследователи обнаружили, что атаку проводили на 45 компьютеров, принадлежащих Al Jazeera. Ещё раз напоминаем о великой пользе блокировки рекламы.
🍏 Кстати о ней, по предварительным данным Apple планирует усилить блокировку рекламы на iOS.
🚓 В WhatsApp* появится функция «пригласить внешнего пользователя на звонок». По ссылка на созвон может зайти человек, у которого нет WhatsApp. С нетерпением, но без радости ожидаем, как этой функцией вооружатся «сотрудники службы безопасности банка» и другие мошенники.
💾 А в Signal наконец добавят возможность делать локальные зашифрованные резервные копии данных на iOS и Windows. На Android такая функция уже есть.
😵💫 Чушь про то, что из-за поражения ЦОД Яндекса в соцсетях уменьшилось количество ботов, распространяющих пропаганду и дезинформацию, вынуждены были опровергать даже в Cloudflare, чью картинку про обычный бот-трафик взяли для иллюстрации дезы.
🤖 В Google анонсировали в новых версиях Android защищённое пространство для запуска ИИ-систем прямо на устройстве, в изоляции друг от друга и от нерелевантных данных на смартфоне.
📱 Также в Google устранили 110 дефектов в Android, одна из уязвимостей применялась в целевых атаках.
🐩 Вышли новые версии Firefox и Chrome. Обещаны улучшения безопасности и поддержка нового графического формата JPEG XL (jxl).
*WhatsApp принадлежат компании Meta, признанной экстремистской организацией в России.
#дайджест #Азбука_ИБ @П2Т | 1 140 |
| 17 | 👻 Цифровая плесень? Уж точно не завтра
Антропики продолжают планомерную осаду моделей с открытыми весами и выпустили исследование с умеренно сенсационным заголовком «ИИ-модели могут быть способны к саморазмножению без доступа к ЦОД». Авторы заявляют, что уже через несколько месяцев модели смогут саморазмножаться, копируя себя на IoT-устройства вроде умных духовок и телеприставок. В СМИ, конечно, растащили цитату из исследования, в которой этот феномен назван цифровой плесенью.
Если вчитаться в исследование, смелые заявления из первого абзаца постепенно смягчаются до почти полного растворения.
1️⃣ В исследовании не пытались построить полноценный саморазмножающийся ИИ. Авторы поручили передовой модели с открытыми весами развернуть на IoT-устройстве инфраструктуру для инференса (генерации токенов в LLM). Установкой занималась модель GLM-5.2 (другие провалили задачу), но на симулированных жертвах разворачивали инференс на классической лёгкой модели Llama3.1-8B, которая значительно слабее по возможностям.
Следите за руками — если установить инференс на базе Llama удавалось, исследователи вручную разворачивали на «заражённом» устройстве код, который пытается развернуть Llama на следующих устройствах, обращаясь к GLM-5.2 на внешнем сервере. То есть разворачивают слабую модель, а думает сильная, и так каждый раз. Авторы спекулируют, что в будущем мощь текущей GLM-5.2 будет доступна в размере Llama3.1-8B, но делают это на основе стандартного бенчмарка ECI, который вовсе не заточен на предсказание кибер-возможностей ИИ.
2️⃣ Учитывая, что IoT-устройства не блещут ни скоростью, ни объёмами памяти, авторы применили систему организации распределённого инференса. В тесте ту же Ламу разделяли на 8 узлов. Большинство тестов проходило на мощных виртуалках, имитирующих Android 15. В двух экспериментах на живых IoT-устройствах скорость инференса лёгкой и быстрой Llama достигала шокирующих 0,9 токенов в секунду. То есть на осмысленный кусок работы у такой модели уйдут буквально недели — при условии, что ни одно из устройств «ботнета» за это время не отвалится, не перезагрузится, не будет очищено владельцем или заблокировано службами ИБ. Для более крупных моделей потребуется сильно больше устройств, со всеми сопутствующими побочками.
3️⃣ В тесте вообще остался за скобками вопрос поиска устройств-жертв и разведки, эксплуатации уязвимостей, получения повышенных привилегий, влияния всей этой активности на обычную работу устройства — всё то, что делает ботнет ботнетом. GLM 5.2 единственная справилась с задачей, при том что ей всего-то надо было подключиться к другому устройству по понятному адресу, по незащищённому порту ADB, без преодоления каких-либо защитных мер или технических ограничений.
В общем, работа показывает, что передовые модели могут иногда установить более слабую модель на IoT-устройство, которое будет невероятно медленно генерировать бесполезные для эксплуатации новых устройств токены. До «цифровой плесени» нужно сделать два огромных рывка — подтянуть передовые модели до выполнения задачи end-to-end, и сделать так, чтобы это можно было упаковать в лёгкую модель класса Llama 8B.
#новости #ИИ @П2Т | 1 373 |
| 18 |  🗣 Защищаем мобильные устройства сотрудников
Интерес злоумышленников к корпоративным и личным смартфонам только растёт. На них удобнее проводить социоинженерные атаки с «звонками от босса» или «из корпоративной техподдержки», проще выманивать коды аутентификации и устанавливать вредоносное ПО. Как защищать сотрудников от всего этого и держать парк мобильных устройств под контролем? Расскажем на стриме уже завтра, в четверг!
Покажем:
▶️что изменилось в последних релизах Kaspersky Secure Mobility Management и какие возможности появились;
▶️как управлять мобильными устройствами, приложениями и политиками из единой консоли;
▶️как защищать устройства от фишинговых звонков и нежелательного доступа.
Также разберем реальные повседневные сценарии — от удалённого управления устройством и предотвращения нежелательных звонков до новых команд для режима киоска.
Хотите узнать подробности или задать практический вопрос? Приходите на стрим завтра, в четверг, 15 октября 2026 в 11:00 (МСК).
Зарезервировать место на стриме ⟶
#события @П2Т | 4 181 |
| 19 |  🎃 Октябрьский листопад патчепад
Даже тем, кто презирает Хэллоуин, есть чем себя попугать в октябре. Например, новыми цифрами в бюллетенях об уязвимостях. В последние недели впервые появились CVE ID с шестизначными номерами. Telegram считает их номерами телефонов 🤪. Просто для примера: CVE-2026-111111.
Вчерашний Patch Tuesday тоже впервые в истории вырвался за пределы трёх разрядов, в нём 1414 CVE. В Microsoft поняли, что осмыслить такие крупные пакеты багов клиенты не в состоянии, и запустили группировку дефектов по «когортам риска». Попросту говоря, это группировка уязвимостей, которые эксплуатируются в одинаковых условиях и влияют на одни и те же системы. Когорты не замещают ни оценку критичности, ни индивидуальные бюллетени для каждой CVE. Это вспомогательный аналитический инструмент для тех, кто не использует автоматизированную платформу для учёта и оценки уязвимостей.
1102 дефекта в октябрьском пакете затрагивают Windows, 134 — Office, 36 — SharePoint Server, 22 — SQL server, 7 — Exchange Server. Подавляющее большинство (677) приводят к повышению привилегий, 317 — RCE, 40 — к обходу функций безопасности, 73 — DoS.
Критических дефектов устранено 86, из которых 68 приводят к RCE, 14 — к повышению привилегий, 3 — к спуфингу и 1 — к утечке данных. Помимо этого, две уязвимости были разглашены до устранения и одна эксплуатируется в реальных атаках.
Эксплуатируемый зиродей — CVE-2026-96951 (CVSS 8.8) является обходом функций безопасности в Windows Shell, он сухо описан как инъекция команд, позволяющая обойти функцию безопасности при доступе через сеть. За разглашение благодарят экспертов из Fujitsu и Anthropic. Все эти кусочки плохо складываются в паззл, ждём глубокого анализа.
Разглашены до устранения: CVE-2026-108398 (баг в .NET Framework, обход защиты WDAC) и CVE-2026-92707 (дефект в стороннем компоненте для сериализации MessagePack-CSharp, приводящий к DoS).
Среди прочих дефектов, сочетающих относительно простую эксплуатацию с серьёзным импактом, стоит обратить внимание на CVE-2026-65674 (RCE в SQL Server) -70571 (RCE в Exchange Server), -70229 (RCE в AD domain services).
В Adobe по мере сил стараются не отставать, в пакете обновлений устранили 174 дефекта в своих продуктах, среди которых выделяются критические уязвимости (CVSS 10) в ColdFusion и Commerce/Magento. Эти системы обычно доступны из внешней сети, что делает их особенно привлекательными для атакующих.
Пользователям SAP тоже не скучно, октябрьский бюллетень содержит 20 уязвимостей, включая CVE-2026-89111 — SSRF в Cloud SDK for Python. Уязвимость, потянувшая на CVSS 10, позволяет угнать токены OAuth.
Ещё один срочный патч вечером в понедельник выкатили в GitLab — CVE-2026-97229 (CVSS 10) позволяет неаутентифицированному пользователю выполнить код на сервере GitLab.
Если вы давно не слышали в новостях слово Ivanti, не беспокойтесь — всё стабильно, всё в порядке. Активно эксплуатируемая CVE-2026-104935 в Ivanti Connect Secure позволяет неаутентифицированному атакующему выполнить код на сервере.
Ещё одной шестизначной CVE «порадовал» Docker — CVE-2026-105445 в Docker Hub позволяет переназначать личные токены доступа (PAT), получая доступ к чужим репозиториям.
#уязвимости #Microsoft @П2Т | 1 169 |
| 20 |  🗣 Поспорим о стратегии ИБ?
Когда: 14 октября 2026 в 11:00 (МСК)
Стратегию ИБ создают не для комплаенса и не для того, чтобы CISO лучше выглядел на совете директоров. Главное — она позволяет сфокусировать ресурсы на снижении приоритетных рисков, быстрее реагировать на изменения и точнее оценивать результаты работы.
Но как сделать стратегию эффективной и работоспособной, а не формальным документом? Пройдём весь путь от разработки стратегии до проверки результата на онлайн-конференции AM-Live! Обсудим:
▶️ какой результат стратегия ИБ должна дать бизнесу и что вообще считать эффективностью ИБ;
▶️ как перевести бизнес-стратегию в конкретные цели ИБ;
▶️ на каком языке описывать киберриск бизнесу и кто должен принимать остаточные риски;
▶️ какой минимальный набор данных нужен, чтобы начать разработку стратегии;
▶️ как выявить процессы и меры ИБ, которые работают, но не дают соразмерного снижения риска;
▶️ какие показатели действительно показывают эффективность ИБ, а какие лишь создают красивый отчёт.
👤 От «Лаборатории Касперского» в дискуссии поучаствует Елизавета Комарова, solution architect.
Встречаемся в среду: 14 октября 2026
Нужна предварительная регистрация.
Узнать о конференции и зарегистрироваться ⟶
#события @П2Т | 1 091 |
